1. 安全标准概述：IEC 61508、ISO 13849、IEC 62061 的核心要求与适用范围
各位工程师朋友，咱们今天聊聊安全标准。说实话，我刚入行那会儿，看到 IEC 61508、ISO 13849、IEC 62061 这一串编号就头疼。每个标准几百页，到底该看哪个？哪个才是咱们做 PLC 安全程序真正要用的？
别急，我花了好几年才把这些理清楚。今天我把核心要点提炼出来，你照着用就行。
1.1 IEC 61508：安全标准的“老祖宗”
IEC 61508 是功能安全的母标准。它不针对某个具体行业，而是给所有安全相关系统定了个通用框架。说白了，它是“宪法”，其他标准都是它的“子法”。
核心要求：
- 安全生命周期模型：从概念设计到退役，每个阶段都有明确要求。我见过不少项目，只关注编程，忽略了前期风险分析，结果后面改得死去活来。
- SIL 等级（安全完整性等级）：分 SIL1 到 SIL4，数字越大要求越严。SIL3 在工业领域已经很高了，SIL4 通常用在核电、铁路这些地方。
- 硬件故障裕度与诊断覆盖率：不是随便选个 PLC 就能用，得算 PFH（每小时危险失效概率）。
关键点：IEC 61508 是“通用标准”，它告诉你“要做什么”，但不告诉你“具体怎么做”。具体怎么做，得看下面两个标准。
1.2 ISO 13849：机械安全的“实战派”
ISO 13849 是专门针对机械安全控制系统的标准。我这些年做自动化项目，接触最多的就是它。它用 PL（性能等级）代替了 SIL，从 a 到 e 共五级。
核心要求：
- PL 等级确定：通过风险图评估，确定你需要 PLr（required PL）。比如急停回路，通常要求 PLd 或 PLe。
- 类别（Category）：B、1、2、3、4 共五类。类别越高，对硬件冗余和故障检测要求越严。我习惯这么记：Cat.3 要求单点故障后仍能执行安全功能，Cat.4 要求单点故障能被检测出来。
- MTTFd、DC、CCF：这三个参数决定了你的 PL 等级。MTTFd 是平均危险失效时间，DC 是诊断覆盖率，CCF 是共因失效。
我的经验：做急停回路时，我建议直接按 Cat.3 或 Cat.4 设计。别想着省成本用 Cat.2，万一出事了，你省的那点钱根本不够赔。
1.3 IEC 62061：机械安全的“学院派”
IEC 62061 是 IEC 61508 在机械领域的“子标准”。它和 ISO 13849 是并列关系，都管机械安全，但思路不同。
核心要求：
- SIL 等级（没错，它用 SIL）：通过严重度、暴露频率、避免可能性三个参数确定 SIL 等级。
- 子系统架构：把安全功能拆成传感器、逻辑、执行器三个子系统，分别计算 PFH。
- 诊断功能与测试间隔：要求定期测试安全功能，比如急停按钮按下后，PLC 必须检测到并触发停机。
注意：ISO 13849 和 IEC 62061 不能混用。你选了一个，整个系统就得按它的逻辑走。我见过有人用 ISO 13849 的 PL 等级去套 IEC 62061 的 SIL 要求，结果评审时被专家怼得哑口无言。
1.4 三个标准的对比与选择
你可能会问：“那我到底该用哪个？”
嗯，这里有个简单判断方法：
| 标准 | 适用范围 | 等级体系 | 我的建议 |
|---|---|---|---|
| IEC 61508 | 所有行业（通用） | SIL 1-4 | 做安全 PLC 或安全模块开发时必看 |
| ISO 13849 | 机械安全（欧洲常用） | PL a-e | 做机械设备、急停回路、安全门时首选 |
| IEC 62061 | 机械安全（国际通用） | SIL 1-3 | 做复杂安全系统、需要精确计算 PFH 时用 |
核心结论：如果你做的是 PLC 安全程序，尤其是急停回路，我建议优先掌握 ISO 13849。它更贴近实际工程，PL 等级也更容易理解。但如果你要开发安全 PLC 硬件，那 IEC 61508 是绕不开的。
1.5 避坑指南
最后分享几个我踩过的坑：
- 别把 SIL 和 PL 直接划等号：虽然有个对照表（比如 SIL2 约等于 PLd），但两者计算逻辑不同，不能直接替换。
- 安全程序不是“加个急停按钮”就完事了：急停回路需要独立的硬件通道，不能和普通 IO 混用。我曾经见过一个项目，急停信号进了普通 DI 模块，结果 CPU 死机时急停失效了。
- 文档比代码更重要：安全标准要求你保留设计文档、计算过程、测试记录。没有文档，你的安全程序就是“非法”的。
好了，这一章就到这里。下一章咱们会深入讲急停回路的具体设计规范，包括硬件选型、接线方式、PLC 程序怎么写。到时候我会拿一个实际项目案例来拆解，保证你听完就能上手。