1. 功能安全基础：IEC 62061标准概述
各位工程师朋友，咱们今天聊聊功能安全。说实话，我刚入行那会儿，觉得功能安全就是一堆文档、一堆流程，挺烦人的。直到有一次，我在现场看到一台机器因为安全回路失效差点伤到人——从那以后，我再也不敢轻视这件事了。
IEC 62061这个标准，说白了就是给机械领域的功能安全定规矩的。它专门针对「机械电气控制系统」，告诉你怎么做才能把风险降到可接受的水平。你想想看，一台自动化产线，万一安全门没锁住、急停按钮没反应，后果是什么？嗯，这就是我们需要这个标准的原因。
1.1 功能安全概念
功能安全不是「不出故障」，而是「出了故障也能安全」。这个概念我花了很长时间才真正理解。
举个例子：一个急停按钮，按下去机器必须停。但如果按钮本身坏了呢？或者线路断了呢？功能安全要解决的，就是这些「万一」的情况。它通过冗余、诊断、故障响应等机制，让系统在发生故障时仍然处于安全状态。
核心思想：功能安全 = 系统在故障条件下仍能维持安全状态的能力。
我在项目中遇到过一件事：客户说他们的安全回路已经用了双通道，应该没问题了吧？结果一分析，两个通道共用一个电源，电源一坏全完蛋。这就是典型的「共因失效」——你以为是冗余，其实是个假象。
1.2 IEC 62061标准概述
IEC 62061是国际电工委员会发布的机械安全标准，全称是「机械安全——与安全相关的电气、电子和可编程电子控制系统的功能安全」。名字很长，但核心就一句话：给机械电气控制系统定安全要求。
这个标准有几个关键特点：
- 适用范围：机械领域的电气/电子/可编程电子安全相关系统
- 安全完整性等级：采用SIL（Safety Integrity Level）作为安全能力度量
- 生命周期模型：从概念设计到退役，全流程覆盖
- 与ISO 13849的关系：两者可以配合使用，62061偏电气，13849偏机械
我的建议：如果你做的是纯机械安全（比如气动、液压），优先看ISO 13849。如果涉及PLC、驱动器、传感器这些电气件，IEC 62061更合适。当然，两个标准一起用也没问题，我很多项目都是双标准并行。
1.3 安全生命周期模型
安全生命周期，说白了就是「从生到死」的管理流程。IEC 62061把整个生命周期分成几个阶段：
- 概念阶段：确定机器用途、识别危险源
- 风险评估：分析风险有多大，定目标SIL等级
- 安全要求规范：写清楚系统要满足什么安全功能
- 设计与实现：选硬件、写软件、搭架构
- 验证与确认：测试、计算、证明你做到了
- 生产与运维：制造、安装、维护、定期检查
- 退役：拆机、报废、数据归档
我见过不少公司，设计阶段做得挺好，一到运维就松懈了。结果设备用了三年，安全功能退化得一塌糊涂。记住：安全不是一次性的，是持续的过程。
1.4 关键术语定义
做功能安全，有几个术语你必须烂熟于心。我每次培训都会强调：术语搞不清楚，后面全白干。
SIL（安全完整性等级）
SIL是衡量安全系统能力的指标，分1到4级，等级越高越安全。IEC 62061主要用SIL 1到SIL 3，SIL 4在机械领域极少见。
| SIL等级 | PFH（每小时危险失效概率） | 典型应用场景 |
|---|---|---|
| SIL 1 | ≥ 10⁻⁶ 且 < 10⁻⁵ | 低风险设备，如简单防护罩 |
| SIL 2 | ≥ 10⁻⁷ 且 < 10⁻⁶ | 中等风险，如安全门锁 |
| SIL 3 | ≥ 10⁻⁸ 且 < 10⁻⁷ | 高风险，如机器人安全控制 |
注意：SIL等级不是拍脑袋定的。它需要通过风险评估来确定。我曾经见过一个项目，客户上来就说「我要SIL 3」，结果一分析风险，SIL 2就够了。盲目追求高SIL只会增加成本，没有任何实际意义。
PFH（每小时危险失效概率）
PFH就是「每小时出危险故障的概率」。比如PFH = 10⁻⁷，意思是平均每1000万小时（约1140年）才可能发生一次危险失效。嗯，这个数字看起来很小，但你要知道，一个系统里可能有几十个元器件，每个都有失效概率，加起来就不小了。
DC（诊断覆盖率）
DC衡量的是系统能检测出多少故障。比如一个传感器，如果它能检测出90%的故障，那DC就是90%。剩下的10%就是「潜伏故障」——你发现不了，但它就在那里。
我习惯把DC分成几个档次：
- 无诊断（DC < 60%）：基本靠运气，不推荐
- 低诊断（60% ≤ DC < 90%）：有基本检测，但不够
- 中诊断（90% ≤ DC < 99%）：大部分故障能发现
- 高诊断（DC ≥ 99%）：几乎全覆盖，成本也高
避坑指南：我曾经在一个项目里，选了高诊断覆盖率的传感器，结果忽略了「诊断间隔时间」——传感器每10秒才自检一次，这10秒内如果出故障，系统根本不知道。所以，DC高不等于安全，还要看诊断频率。
其他重要术语
- 安全功能：由安全相关系统执行的具体安全任务，比如「急停后切断动力」
- 安全状态：系统在故障后进入的安全模式，比如「停机断电」
- 共因失效：同一个原因导致多个通道同时失效，比如电源故障、电磁干扰
- 系统能力（SC）：系统抵抗系统性故障的能力，比如软件质量、设计规范
1.5 我的几点经验
做了十几年功能安全，我总结了几条心得，分享给大家：
- 文档不是负担，是保护伞。出了事故，你拿不出文档证明你按标准做了，那责任就是你的。
- 别迷信高SIL。SIL 3的系统如果设计不合理，可能还不如一个设计良好的SIL 1系统可靠。
- 诊断覆盖率不是越高越好。要平衡成本和收益。99%的DC和95%的DC，成本可能差一倍，但安全提升有限。
- 共因失效是隐形杀手。双通道、冗余设计，如果共因失效没处理好，等于白做。
好了，这一章的内容就到这里。功能安全的基础概念，说白了就是「风险意识」加上「系统方法」。你理解了SIL、PFH、DC这些术语，后面的章节就好办了。
公众号:蓝海资料掘金营，微信deep3321