Physical Address
304 North Cardinal St.
Dorchester Center, MA 02124
BS EN ISO 13849——机械安全控制系统安全相关部件标准系列（设计与验证）
Safety of Machinery — Safety-Related Parts of Control Systems: General Principles for Design and Validation
🛡️ BS EN ISO 13849 系列是英国标准（BSI）采纳欧洲标准并等同采用国际标准的机械安全控制系统安全相关部件（Safety-Related Parts of Control Systems, SRP/CS）标准，是欧盟机械指令（Machinery Directive）下重要的协调标准。该系列由两部分组成：第 1 部分规定 SRP/CS 的通用设计原则，第 2 部分规定验证方法。其核心是性能等级（Performance Level, PL）体系，为设计者提供从风险分析到安全功能性能评估的系统化方法，广泛应用于机床、工业机器人、包装、输送与压力机等机械安全防护系统。
💡 BS EN ISO 13849 是机械安全领域引用最广的控制系统安全标准之一，与 IEC 62061 并行，分别以性能等级（PL）与安全完整性等级（SIL）两种体系评价安全功能，二者在风险评估与安全要求上基本对应。
一、标准系列概述 📌
该系列覆盖 ICS 13.110（机械安全），由两部分构成：
| 标准号 | 中文标题 | 主要内容 |
|---|---|---|
| BS EN ISO 13849-1:2015 | 机械安全 控制系统安全相关部件 第 1 部分：设计通用原则 | 规定 SRP/CS 设计与性能等级评估的通用原则 |
| BS EN ISO 13849-2:2012 | 机械安全 控制系统安全相关部件 第 2 部分：验证 | 规定 SRP/CS 的验证方法与程序 |
第 1 部分于 2015 年发布，取代 BS EN ISO 13849-1:2008；第 2 部分于 2012 年发布，取代 BS EN ISO 13849-2:2008。英国技术归口由 MCE/3「机械防护」技术委员会负责，技术内容由 ISO/TC 199「机械安全」与 CEN/TC 114 联合制定。
⚠️ BS EN ISO 13849 关注安全相关控制系统的性能，但不覆盖所有机械安全风险（如机械、电气、热等）。风险评估应遵循 ISO 12100，确定所需的安全功能与所需性能等级（PLr）。
二、设计通用原则（第 1 部分）🧩
第 1 部分规定 SRP/CS 设计应遵循风险降低原则：先通过固有安全设计消除风险，再通过防护装置与安全功能降低剩余风险。安全相关部件分为传感器（如安全门开关、急停、光幕）、逻辑处理单元与执行器（如接触器、阀）等，其整体构成安全功能。
核心是性能等级（PL）体系。标准将安全功能达到的性能等级分为 PL a 至 PL e 五级，PL e 最高。PL 由以下要素决定：
- 类别（Category）：B、1、2、3、4，反映系统结构对单一故障的抵抗能力。
- MTTFd：每个通道平均危险故障间隔时间（Mean Time To Dangerous Failure）。
- DCavg：平均诊断覆盖率（Diagnostic Coverage），反映故障自诊断能力。
- CCF：共因失效（Common Cause Failure），冗余通道间共同原因失效的风险控制。
💡 类别、MTTFd 与 DCavg 共同决定 PL。例如类别 3（双通道冗余）配合高 MTTFd 与中高 DC，通常可达 PL d 或 PL e；类别 B 或 1 的单通道结构通常只能达到较低 PL。
三、性能等级（PL）评估 📊
评估 PL 时，设计者首先通过风险分析确定所需性能等级（PLr），然后选择安全相关部件的结构（类别）、元器件可靠度（MTTFd）与诊断能力（DCavg），并按标准给出的简化方法（结构框图/公式）计算达到的 PL，确保其不低于 PLr。
| 性能等级 | 危险失效概率/小时 | 典型结构与要求 |
|---|---|---|
| PL a | ≥10⁻⁵ 且 <10⁻⁴ | 类别 B/1，单通道，低诊断 |
| PL b | ≥3×10⁻⁶ 且 <10⁻⁵ | 类别 1/2，单通道 |
| PL c | ≥10⁻⁶ 且 <3×10⁻⁶ | 类别 2，部分诊断 |
| PL d | ≥10⁻⁷ 且 <10⁻⁶ | 类别 3，双通道冗余，高 MTTFd |
| PL e | ≥10⁻⁸ 且 <10⁻⁷ | 类别 3/4，双通道，高 MTTFd，高 DC |
标准还规定了软件安全要求，涵盖嵌入式软件与可编程电子系统，要求软件开发遵循规定的安全生命周期并避免系统性失效。
⚠️ 高性能等级（PL d/e）通常需要冗余结构（类别 3/4）与充分的诊断。若仅依赖单通道结构，即使元件可靠性很高，也难以达到 PL e，因为单故障可能导致安全功能丧失。
四、验证方法（第 2 部分）🔧
第 2 部分规定 SRP/CS 的验证方法，用于证明设计满足第 1 部分的性能要求。验证包括检查与试验两类：
- 检查（inspection）：对设计文档、电路图、软件、元器件选择与结构进行审查，确认符合设计要求。
- 试验（testing）：通过功能试验、故障注入与环境试验，验证安全功能在正常与故障条件下均能正确动作。
标准提供了验证的详细方法清单与示例，涵盖硬件、软件、机械部件与气动/液压部件的验证要点，并要求验证记录可追溯，为安全功能性能评估提供证据。
✅ 通过第 2 部分的验证，确认 SRP/CS 达到声明的 PL，是机械 CE 符合性与安全认证的重要环节，也为安全功能性能评估提供可信证据。
五、工程实践与应用 🛠️
- 🔍 风险评估：按 ISO 12100 识别危险，确定需要安全功能及所需 PLr。
- 🔧 结构设计：选择合适类别与冗余结构，匹配高可靠元器件（高 MTTFd）。
- 📊 性能计算：按标准方法计算 PL，确保达到 PLr。
- 📋 验证与文档：按第 2 部分进行验证，保留设计、计算与试验记录，形成技术文件。
✅ 正确应用 BS EN ISO 13849，可系统化地设计、评估与验证机械安全控制系统，提升机械安全水平并支撑法规符合性。
六、常见问题解答 ❓
❓ 问：BS EN ISO 13849 与 IEC 62061 有何关系？
答：两者都评价安全功能性能。ISO 13849 采用性能等级（PL）体系并面向各类 SRP/CS，IEC 62061 采用 SIL 体系并主要面向电气/电子/可编程系统。二者在风险评估与安全要求上基本对应，可任选其一。
答：两者都评价安全功能性能。ISO 13849 采用性能等级（PL）体系并面向各类 SRP/CS，IEC 62061 采用 SIL 体系并主要面向电气/电子/可编程系统。二者在风险评估与安全要求上基本对应，可任选其一。
❓ 问：什么是性能等级（PL）？
答：PL 是安全功能达到的降低风险能力的等级，分 PL a 至 PL e 五级，由类别、MTTFd、DCavg 与 CCF 共同决定，对应不同的危险失效概率区间。
答：PL 是安全功能达到的降低风险能力的等级，分 PL a 至 PL e 五级，由类别、MTTFd、DCavg 与 CCF 共同决定，对应不同的危险失效概率区间。
❓ 问：为什么达到 PL e 通常需要冗余？
答：PL e 要求危险失效概率很低，单通道结构发生单个危险故障即可能使安全功能失效，难以满足。冗余结构（类别 3/4）加高诊断覆盖率才能达到 PL e。
答：PL e 要求危险失效概率很低，单通道结构发生单个危险故障即可能使安全功能失效，难以满足。冗余结构（类别 3/4）加高诊断覆盖率才能达到 PL e。
❓ 问：MTTFd 和 DCavg 分别指什么？
答：MTTFd 是通道平均危险故障间隔时间，反映元器件可靠度；DCavg 是平均诊断覆盖率，反映系统检测危险故障的比例。两者与类别共同决定 PL。
答：MTTFd 是通道平均危险故障间隔时间，反映元器件可靠度；DCavg 是平均诊断覆盖率，反映系统检测危险故障的比例。两者与类别共同决定 PL。
🔍 问：第 2 部分验证包括哪些内容？
答：包括检查（文档、电路、软件、结构审查）与试验（功能、故障注入、环境试验），证明安全功能在正常与故障条件下正确动作，并保留可追溯记录。
答：包括检查（文档、电路、软件、结构审查）与试验（功能、故障注入、环境试验），证明安全功能在正常与故障条件下正确动作，并保留可追溯记录。
