IEC 62061：机械安全——安全相关电气控制系统功能安全

标准概述与适用范围

IEC 62061是机械行业专用的功能安全标准，源自通用的IEC 61508框架。其全称为”机械安全——安全相关电气、电子和可编程电子控制系统的功能安全”，为机械应用中的安全相关电气控制系统（SRECS）的设计和验证提供了结构化的方法论。该标准填补了一个关键空白：随着机器日益自动化并依赖复杂的可编程电子设备来执行安全功能，设计人员需要一种系统化的方法来确保控制系统的故障不会导致危险状况。

该标准适用于单独或组合使用的控制系统，用于执行非手提式机械的安全相关控制功能，包括协同工作的机器组。它涵盖电气、电子和可编程电子技术，设计为技术中立型，同时为每种实现方法提供具体指导。重要的是，IEC 62061不涵盖纯液压或气动安全系统等非电气系统，这些属于ISO 13849等其他标准的范畴。

与IEC 61508和ISO 13849-1的关系

IEC 62061在功能安全标准的更广泛生态系统中运作。它是IEC 61508框架内的应用特定标准，继承了IEC 61508的基本概念，同时针对机械环境定制了要求。该标准明确定义了与其他关键标准的关系。

对于复杂的可编程电子子系统，IEC 62061假定设计符合IEC 61508-2的相关要求，采用Route 1H。标准明确指出，Route 2H（经验证的使用经验）不适用于一般机械应用。这是一个务实的认识——机械控制系统更新换代迅速，通常无法积累Route 2H所需的运行小时数。

SRECS安全生命周期：从规范到验证

IEC 62061定义了SRECS的完整安全生命周期，涵盖九个关键条款，指导设计人员从初始概念到退役的全过程。该标准的核心围绕以下阶段组织：

第4条 – 功能安全管理：规定了实现所需功能安全所必需的管理和技术活动，包括定义角色和职责、建立安全计划程序以及确保参与安全工作人员的能力。

第5条 – 安全相关控制功能（SRCF）规范：要求创建功能需求规范和安全完整性需求规范。功能规范描述SRECS必须做什么，完整性规范则定义必须以多高的可靠性执行这些功能，以SIL目标值表示。

第6条 – 设计与集成：涵盖系统架构选择、硬件和软件设计及验证。这是技术细节最丰富的部分，涉及架构约束、容错要求、诊断覆盖率和系统能力。标准支持多种架构配置，包括1oo1、1oo2和2oo2投票结构。

第7-9条 – 使用信息、验证和修改：涉及生命周期的后期阶段，确保最终用户获得足够的安全操作和维护文档，确保完成的SRECS经过系统验证，以及任何后续修改遵循受控程序。

SIL分配与架构考虑

IEC 62061中的安全完整性等级分配遵循基于风险的方法。机械应用的SIL确定考虑三个参数：伤害严重程度（Se）、暴露于危险中的频率和持续时间（Fr）以及避免危险的概率（Av）。这些参数的组合产生从SIL 1（最低）到SIL 3（机械最高）的目标SIL等级。

每个SRECS被分解为子系统，每个子系统进一步分为子系统元素。任何子系统的危险故障都会导致安全相关控制功能的危险故障。标准区分两种基本组件类型：

• 低复杂度组件：故障模式明确定义，故障条件下的行为可完全确定（例如机电继电器、限位开关、接触器）。
• 复杂组件：故障模式未明确定义或故障条件下的行为无法完全定义（例如微处理器、可编程逻辑控制器）。

对于每个子系统，设计人员必须计算每小时危险故障概率（PFH_D），并确保其不超过分配SIL的目标失效值。同时必须满足安全失效分数（SFF）和硬件容错（HFT）相关的架构约束。标准提供了表格，用于确定不同子系统架构可达到的最大SIL等级，考虑诊断覆盖率和检验测试间隔。

工程设计启示

从实际工程角度来看，应用IEC 62061可以得出几个重要经验。首先，系统性和随机性硬件故障之间的区分是基础性的。系统性故障（设计错误、软件缺陷、规格错误）必须通过严格的开发过程和验证来解决，而随机硬件故障则通过架构措施和诊断覆盖率来管理。标准要求综合应用这两种方法。

其次，”安全失效分数”的概念对机械领域尤为重要，因为大多数机械安全功能的请求模式是”高请求”或”连续”模式而非”低请求”模式。这意味着SRECS必须在机器运行期间连续维持其安全功能，每小时危险故障概率（PFH_D）是相关指标，而非请求时失效概率（PFD）。

第三，标准的修改条款（第9条）的重要性常被低估。对SRECS的任何修改——无论是硬件、软件还是参数变更——都必须经过结构化的影响分析和重新验证。现场经验表明，相当大比例的安全相关事件发生在对已验证系统进行未记录修改之后。

常见问题解答