2、功能安全标准体系：IEC 61508 与 ISO 13849 / IEC 62061 的关系
好，咱们进入正题。这一节我打算聊聊功能安全的标准体系。说实话，很多刚入行的工程师一上来就被 IEC 61508、ISO 13849、IEC 62061 这几个编号搞晕了。我当年也一样，翻着标准文档，感觉像在看天书。
其实没那么复杂。你想想看，这些标准就像一套工具，各有各的用处。今天我就用我自己的理解，帮你把这套体系理清楚。
2.1 标准家族的「祖孙三代」
先说清楚一个核心关系：IEC 61508 是「爷爷」，它是功能安全的基础标准，覆盖所有行业。而 ISO 13849 和 IEC 62061 是「儿子」，专门针对机械安全领域。
为什么会这样？因为机械行业有自己的特点。比如，机械设备的故障模式跟化工过程不一样，风险分析的方法也不同。所以，IEC 61508 这个通用标准到了机械领域，需要「本地化」一下。
我个人习惯把这三者的关系画成一张图，这样更直观：
这张图你看懂了吗？IEC 61508 在最上面，它定义了功能安全的通用框架和 SIL（安全完整性等级）概念。下面两个标准，ISO 13849 和 IEC 62061，都是它的「机械版」实现。
核心要点：ISO 13849 和 IEC 62061 是并行关系，不是替代关系。它们都源自 IEC 61508，但采用了不同的安全等级衡量方式——PL 和 SIL。
2.2 标准适用范围：什么时候用哪个？
这个问题我经常被问到。我的回答很简单：看你的控制系统类型。
- ISO 13849：适用于所有类型的控制系统，包括液压、气动、机械、电气。它用 PL（Performance Level，性能等级）来衡量安全能力。
- IEC 62061：专门针对电气/电子/可编程电子系统。它用 SIL（Safety Integrity Level，安全完整性等级）来衡量。
我在项目中遇到过这样的情况：一个客户做了一台包装机，控制部分既有继电器逻辑，又有 PLC 程序。这时候怎么选？我建议他用 ISO 13849，因为它覆盖范围更广，能同时处理电气和非电气部分。
但如果你做的是机器人控制系统，全是电子电路和软件，那 IEC 62061 更合适。它跟 IEC 61508 的 SIL 体系完全兼容，做认证时更容易对接。
我的建议：别纠结。两个标准都认可，选一个你熟悉的就行。关键是理解背后的安全逻辑，而不是死抠标准编号。
2.3 核心概念：SIL、PL、MTTFd、DC、CCF
好，接下来是硬核内容。这些概念是功能安全的基石，我一个个讲。
2.3.1 SIL 与 PL
SIL（安全完整性等级）来自 IEC 61508，分 4 级：SIL 1 到 SIL 4。SIL 4 要求最高，故障概率最低。IEC 62061 沿用了这个体系，但机械安全通常只用到 SIL 3。
PL（性能等级）来自 ISO 13849，分 5 级：PL a 到 PL e。PL e 要求最高。
这两个体系可以对应起来。我整理了一张对照表：
| ISO 13849 (PL) | IEC 62061 (SIL) | 每小时危险失效概率 (PFHd) | 典型应用 |
|---|---|---|---|
| PL a | — | ≥ 10⁻⁵ 到 < 10⁻⁴ | 简单手动控制 |
| PL b | SIL 1 | ≥ 3 × 10⁻⁶ 到 < 10⁻⁵ | 单通道安全回路 |
| PL c | SIL 1 | ≥ 10⁻⁶ 到 < 3 × 10⁻⁶ | 单通道带诊断 |
| PL d | SIL 2 | ≥ 10⁻⁷ 到 < 10⁻⁶ | 双通道冗余 |
| PL e | SIL 3 | ≥ 10⁻⁸ 到 < 10⁻⁷ | 高可靠性冗余 |
你看，PL d 对应 SIL 2，PL e 对应 SIL 3。但要注意，PL a 和 PL b 在 IEC 62061 里没有直接对应，因为 SIL 1 的下限比 PL b 高一点。
注意：这张对照表是工程上的近似对应，不是严格的数学等价。认证时还是要按各自标准的要求来。
2.3.2 MTTFd（平均危险失效时间）
MTTFd 是 Mean Time To Dangerous Failure 的缩写。说白了，就是系统平均多久会出现一次「危险的」故障。
ISO 13849 把 MTTFd 分成三档：
- 低：3 年 ≤ MTTFd < 10 年
- 中：10 年 ≤ MTTFd < 30 年
- 高：30 年 ≤ MTTFd ≤ 100 年
我刚开始做安全评估时，总以为 MTTFd 越高越好。其实不是。你想想看，如果一个继电器标称 MTTFd 是 100 年，但你的机器设计寿命只有 10 年，那这个指标就过剩了。够用就行，别盲目追求高指标，成本会翻倍。
2.3.3 DC（诊断覆盖率）
DC 是 Diagnostic Coverage 的缩写。它衡量的是系统能检测出多少比例的故障。
举个例子：一个安全继电器有 10 种可能的故障模式，你的诊断电路能发现其中 8 种，那 DC 就是 80%。
ISO 13849 把 DC 也分了四档：
- 无：DC < 60%
- 低：60% ≤ DC < 90%
- 中：90% ≤ DC < 99%
- 高：99% ≤ DC
DC 和 MTTFd 是配合使用的。高 MTTFd 加上低 DC，效果可能还不如中等 MTTFd 加上高 DC。这个平衡点需要根据你的系统架构来算。
2.3.4 CCF（共因失效）
CCF 是 Common Cause Failure 的缩写。这是做冗余设计时必须考虑的问题。
什么叫共因失效？就是同一个原因导致多个通道同时失效。比如，两个安全继电器装在一个机箱里，一个雷击把两个都打坏了。这就是共因失效。
我曾经在一个项目里吃过这个亏。客户要求双通道冗余，我们用了两个同型号的传感器，装在同一个位置。结果一次振动冲击，两个传感器同时失效。嗯，从那以后，我再也不敢忽视 CCF 了。
ISO 13849 和 IEC 62061 都要求对 CCF 进行评估。常用的方法包括：
- 物理隔离（不同安装位置）
- 电气隔离（不同电源）
- 多样性设计（不同原理的传感器）
- 环境防护（防尘、防水、防震）
2.4 标准选择：一张决策流程图
为了帮你快速判断该用哪个标准，我画了一张决策流程图：
2.5 我的经验总结
说了这么多，最后给你几个实用建议：
- 别把标准当圣经。标准是工具，不是目的。你的目标是造一台安全的机器，不是写一本符合标准的文档。
- 从风险分析开始。不管用哪个标准，第一步永远是风险评估。搞清楚你的机器有什么危险，再决定需要多高的安全等级。
- 注意文档记录。功能安全最怕「说不清楚」。我见过太多项目，设计做得很好，但文档一塌糊涂，最后认证过不了。每个计算、每个假设都要写清楚。
- 多跟认证机构沟通。别自己闷头做。提前跟 TÜV 或 SGS 的审核员聊聊，他们能告诉你哪些地方容易踩坑。
一句话总结：IEC 61508 是通用基础，ISO 13849 和 IEC 62061 是机械专用。选哪个看你的控制系统类型，但核心概念（SIL、PL、MTTFd、DC、CCF）是通用的，必须吃透。
好，这一节就到这里。内容不少，但都是干货。你消化一下，有问题随时问我。