3. 安全完整性等级（SIL）与性能等级（PL）
做运动控制安全，有两个概念你绕不开——SIL 和 PL。
说实话，我刚入行那会儿也被这两个东西搞晕过。明明都是衡量安全性能的指标，为什么搞两套？后来做项目多了才明白，这背后其实是两个不同的标准体系在各自发展。今天咱们就把它们彻底捋清楚。
3.1 什么是SIL？
SIL，全称 Safety Integrity Level，安全完整性等级。它来自国际标准 IEC 61508（功能安全通用标准）和 IEC 62061（机械领域功能安全标准）。
说白了，SIL 衡量的是：安全功能在需要时，能可靠执行的概率有多高。
SIL 分为四个等级：
| SIL等级 | 每小时危险失效概率（PFH） | 风险降低因子（RRF） |
|---|---|---|
| SIL 1 | ≥ 10⁻⁶ 且 < 10⁻⁵ | 100 ~ 1,000 |
| SIL 2 | ≥ 10⁻⁷ 且 < 10⁻⁶ | 1,000 ~ 10,000 |
| SIL 3 | ≥ 10⁻⁸ 且 < 10⁻⁷ | 10,000 ~ 100,000 |
| SIL 4 | ≥ 10⁻⁹ 且 < 10⁻⁸ | 100,000 ~ 1,000,000 |
关键点：SIL 4 在工业运动控制中几乎用不到。它通常用于核电、铁路信号这类极端场景。咱们做伺服驱动、机器人安全，最多到 SIL 3。
3.2 什么是PL？
PL，全称 Performance Level，性能等级。它来自欧洲标准 EN ISO 13849-1（机械安全—控制系统安全相关部件）。
PL 衡量的是：安全控制系统在特定架构下，能提供的可靠性能有多高。
PL 分为五个等级：
| PL等级 | 每小时危险失效概率（PFH） | 对应类别（Category） |
|---|---|---|
| PL a | ≥ 10⁻⁵ 且 < 10⁻⁴ | B, 1 |
| PL b | ≥ 3×10⁻⁶ 且 < 10⁻⁵ | 1, 2 |
| PL c | ≥ 10⁻⁶ 且 < 3×10⁻⁶ | 1, 2, 3 |
| PL d | ≥ 10⁻⁷ 且 < 10⁻⁶ | 2, 3 |
| PL e | ≥ 10⁻⁸ 且 < 10⁻⁷ | 3, 4 |
我的经验：PL d 和 PL e 是运动控制中最常见的。比如伺服驱动的 STO（安全转矩关闭）功能，通常要求 PL d 或 PL e。我做过一个项目，客户非要 PL e，结果架构上得多加一个冗余通道，成本直接翻倍。所以别盲目追求高等级，够用就好。
3.3 SIL 与 PL 的对应关系
你可能会问：既然两套标准，那怎么对应？
其实 IEC 62061 和 ISO 13849-1 已经给出了一个对照表：
| SIL | PL | PFH 范围（重叠区） |
|---|---|---|
| SIL 1 | PL c | 10⁻⁶ ~ 10⁻⁵ |
| SIL 2 | PL d | 10⁻⁷ ~ 10⁻⁶ |
| SIL 3 | PL e | 10⁻⁸ ~ 10⁻⁷ |
注意：这个对应不是绝对的。SIL 2 和 PL d 的 PFH 范围有重叠，但它们的评估方法不同。SIL 更看重硬件故障裕度（HFT）和诊断覆盖率（DC），而 PL 更看重类别（Category）和平均无故障时间（MTTFd）。
我曾经在一个项目中，用 SIL 2 的评估方法算出来合格，但换成 PL d 的评估方法就不够。后来发现是架构类别选错了。所以，客户要求哪个标准，你就用哪个标准评估，别混着来。
3.4 如何确定SIL或PL等级？
确定等级，通常分三步走：
- 风险分析：识别危险源，评估风险大小。
- 风险降低目标：确定需要降低多少风险，才能达到可接受水平。
- 分配安全功能：把风险降低目标分配给具体的电气、电子、可编程电子安全相关系统。
具体方法上，SIL 常用风险图法（Risk Graph），PL 常用风险参数法（Risk Parameters）。
举个例子，风险图法会考虑四个参数：
- S（Severity）：伤害严重程度
- F（Frequency）：暴露频率
- P（Possibility of avoidance）：避免危险的可能性
- W（Probability of unwanted occurrence）：非预期发生的概率
根据这些参数组合，查表就能得到对应的 SIL 等级。
避坑指南：我曾经遇到一个团队，风险分析时把 S 参数定低了，结果安全功能设计出来根本不够用。后来现场出了个小事故，虽然没伤人，但整改费用花了十几万。所以，风险分析别拍脑袋，一定要有数据支撑。
3.5 SIL与PL的核心逻辑关系图
下面这张图，是我自己总结的。它把 SIL 和 PL 的评估逻辑、对应关系、以及最终如何落到安全功能上，画在了一起。你看完应该能有个整体印象。
3.6 实际项目中的选择建议
说了这么多理论，最后给点实在的：
- 如果客户是欧洲的，大概率要求 ISO 13849-1，那就用 PL 体系。
- 如果客户是北美的，或者行业有 IEC 62061 的惯例，那就用 SIL 体系。
- 如果客户没明确要求，我个人建议用 PL 体系。因为 PL 的评估方法更直观，类别、MTTFd、DC 这些参数，工程师更容易理解和计算。
一个小技巧：现在很多安全控制器和驱动器，厂家会直接给出 SIL 和 PL 的对应数据。比如某款伺服驱动器，STO 功能标称 SIL 3 / PL e。你直接拿来用就行，不用自己从头算。但要注意，系统级的 SIL/PL 不等于器件级的，还得考虑接线、传感器、逻辑控制器等整个链条。
嗯，关于 SIL 和 PL 的核心内容，差不多就这些了。记住一句话：SIL 和 PL 不是敌人，是兄弟。它们的目标都是让机器更安全，只是走的路不同。你掌握了它们的逻辑，以后做安全方案设计，心里就有底了。