4. 安全控制相关标准与规范
在PLC设备联锁与安全控制程序设计中，标准不是“可参考的文献”，而是决定安全功能能否成立、安全回路能否被接受、程序结构能否通过验证的工程依据。ISO 13849 与 IEC 62061 是机械安全领域最常用的两个功能安全标准，它们分别从“性能等级（PL）”和“安全完整性等级（SIL）”两个角度，对安全相关控制系统的设计、验证与确认提出要求。理解这两套标准的关系，是后续进行安全功能定义、回路选型、程序架构设计和验证测试的前提。
一、两套标准的分工与适用边界
ISO 13849 的全称是《机械安全 控制系统安全相关部件》，它适用于机械领域的安全相关控制系统，核心概念是性能等级 PL（Performance Level），分为 PLa 到 PLe 五个等级。该标准强调通过类别（Category）、平均危险失效时间（MTTFd）、诊断覆盖率（DC）和共因失效（CCF）四个参数，综合评定一个安全功能所能达到的PL等级。它的优势在于对机械行业常见的继电器、接触器、安全继电器、安全PLC等元件有成熟的参数库和评定方法。
IEC 62061 的全称是《机械安全 安全相关电气、电子和可编程电子控制系统的功能安全》，它源自IEC 61508，核心概念是安全完整性等级 SIL（Safety Integrity Level），分为SIL1、SIL2、SIL3三个等级。该标准更侧重于安全相关电气/电子/可编程电子系统的功能安全生命周期管理，包括安全功能定义、安全需求分配、子系统结构约束、PFHd（每小时危险失效概率）计算等。对于以安全PLC、安全总线、安全I/O为架构的现代设备，IEC 62061 的量化方法往往更直接。
两套标准并非互斥。ISO 13849 的PL等级与 IEC 62061 的SIL等级之间存在近似对应关系：PLa 约对应无SIL要求，PLb 约对应SIL1，PLc 约对应SIL1，PLd 约对应SIL2，PLe 约对应SIL3。实际项目中，若安全功能主要由继电器和接触器实现，优先采用ISO 13849；若安全功能由安全PLC和安全总线实现，优先采用IEC 62061。无论采用哪套标准，都必须完成风险评估和安全功能定义，这是所有后续工作的起点。
二、风险评估与安全功能定义的实际做法
风险评估不是填一张表就结束，而是要输出可执行的安全功能需求。以一台典型的PLC控制冲压设备为例，危险源包括滑块下行挤压、模具闭合夹伤、送料机构卷入等。对每个危险源，需要估计伤害的严重程度（S）、暴露于危险的频率（F）和避免伤害的可能性（P），再结合风险图确定所需的PL等级。例如，滑块下行挤压若属于“严重伤害、频繁暴露、几乎无法避免”，风险图通常指向PLd；若属于“轻度伤害、偶尔暴露、可能避免”，则可能只需PLc。
确定PL等级后，必须把安全功能写成可验证的条目。一条完整的安全功能定义至少包含以下要素：安全功能名称、触发条件、安全状态、响应时间、所需PL/SIL等级、以及验证方法。例如：“当安全门被打开时，安全功能SF-01应在200ms内切断滑块下行控制输出，使滑块停止在安全位置，所需等级PLd，验证方法为安全门开关触发后测量输出切断时间。”这样的定义才能直接指导PLC程序中的安全逻辑设计、安全继电器选型和验证测试。
三、从标准到PLC程序的落地路径
在PLC安全程序设计中，标准要求最终要转化为具体的程序结构和参数。以ISO 13849为例，若安全功能要求PLd，则通常需要采用类别3或类别4的架构。类别3要求安全功能具有冗余通道，且单通道故障不会导致安全功能丧失；类别4则进一步要求故障累积也能被检测。在PLC程序中，这意味着安全输入需要双通道读取、交叉比较，安全输出需要双通道输出和回读校验。
以安全门监控为例，若采用双通道安全门开关接入安全PLC，程序中的安全逻辑应包含：通道A和通道B的输入状态比较、不一致检测、去抖动滤波、以及输出使能条件判断。若两个通道状态不一致超过设定时间（例如500ms），程序应判定为故障并进入安全状态。同时，安全输出模块需要回读实际输出状态，若输出命令与回读状态不一致，也应触发安全停止。这些程序结构直接对应ISO 13849中DC（诊断覆盖率）的要求，是达到PLd的必要条件。
对于IEC 62061，则需要计算安全功能的PFHd。以安全PLC加安全I/O的架构为例，安全PLC的PFHd、安全输入模块的PFHd、安全输出模块的PFHd、以及执行元件（如安全接触器）的PFHd需要分别获取，再按子系统串联模型求和。若计算得到的PFHd小于SIL2对应的阈值（10⁻⁷至10⁻⁶每小时），则满足SIL2要求。实际项目中，这些数据通常来自元件制造商的安全手册，程序设计师需要收集并核算，而不是凭经验估计。
四、常见误区与判断依据
实际工程中，最常见的误区是把“安全回路接通”等同于“安全功能达标”。例如，安全门开关接入普通PLC输入点，程序中做了简单的常闭判断，就认为实现了安全门监控。这种做法的问题在于：普通PLC不是安全相关系统，其自身失效概率未按功能安全标准评估，单通道输入也无法满足PLd所需的诊断覆盖率。正确的判断依据是：安全功能所经过的每一个环节——传感器、逻辑处理、输出执行——都必须满足对应的PL/SIL要求，且整个链路的结构约束和诊断覆盖必须可计算、可验证。
另一个误区是混淆“安全功能”与“安全措施”。安全防护罩、安全光幕、安全地毯属于安全防护措施，它们本身不构成安全功能；只有当它们与控制系统结合，形成“触发—逻辑处理—安全输出”的完整链路，才构成一条安全功能。标准要求的是对安全功能进行定义、评定和验证，而不是对单个元件进行认证。因此，在PLC安全程序设计中，必须从系统链路的角度理解标准要求，而不是孤立地看某个元件是否“安全认证”。
最后需要强调，ISO 13849 和 IEC 62061 都要求安全功能在投入使用前进行验证。验证不是简单通电测试，而是要按照安全功能清单逐条确认：触发条件是否有效、响应时间是否达标、安全状态是否可靠、故障注入后是否进入安全状态。只有完成验证并形成记录，安全控制程序才算真正满足标准要求。