Physical Address
304 North Cardinal St.
Dorchester Center, MA 02124
ISO 25119-1:2018 — 农业机械控制系统安全相关部件的通用设计原则
拖拉机和自走式机械 SRP/CS 的功能安全框架与工程实践
1. ISO 25119-1 概述与 SRP/CS 架构
ISO 25119-1:2018 规定了拖拉机和自走式农业机械中控制系统安全相关部件（SRP/CS）的设计与开发通用原则。随着农业装备日益自动化——从 GPS 导航转向到变量施药系统——控制系统的复杂性急剧提升，功能安全已成为关键的工程关切。该标准为农机领域电子和可编程电子（E/E/PE）控制系统的危害缓解提供了结构化框架。
ISO 25119-1 遵循类似 IEC 61508 的生命周期方法，但专门针对农业机械进行了调整，充分考虑了包含粉尘、振动、极端温度和未经培训的最终用户在内的运行环境。
标准定义了五个性能等级（PL a 到 PL e），其中 PL e 代表最高的安全完整性要求。每个性能等级对应特定的每小ru时危险失效概率（PFHd）范围，使工程师能够将安全措施与实际风险水平相匹配。架构要求包括冗余和诊断覆盖率：例如，PL d 通常要求采用 1002 配置的双通道架构，而 PL c 可通过单通道架构配合高诊断覆盖率实现。
| 性能等级 (PL) | PFHd 范围 | 典型架构 | 诊断覆盖率 |
|---|---|---|---|
| PL a | t0-5 至 <10-4 | 单通道 | 无/低 |
| PL b | t3-6 至 <10-5 | 单通道 | 低 |
| PL c | t0-6 至 <3×10-6 | 单通道带诊断 | 中 |
| PL d | t0-7 至 <10-6 | 双通道 (1002) | 高 |
| PL e | t0-8 至 <10-7 | 双通道带多样性 | 很高 |
2. 风险评估与性能等级确定
ISO 25119-1 的核心是针对农业机械危害专门校准的风险图方法。工程师评估三个参数来确定所需的 PL：伤害严重度（S）、暴露频率和持续时间（F）以及避免危险的可能性（P）。与汽车领域的 ISO 26262 使用 ASIL 分解不同，ISO 25119-1 直接将风险图的输出映射到 PL 目标，简化了农业应用的安全生命周期。
评估严重度（S）时，工程师必须考虑到农业机械通常在不受控制的环境中运行，存在旁观者、变化的地形和牲畜——这些因素可能使严重度分级超出工业固定机械所要求的等级。
标准要求识别所有合理可预见的危害，包括系统故障、环境影响以及运行、清洁或维护过程中人为失误产生的危害。对于每个危险事件，需评估无安全措施时的风险，确定所需的风险降低量，最后通过所选组件的可靠性数据进行定量分析来验证实现的 PL。
3. 工程设计洞察与实施要点
实施 ISO 25119-1 需要密切关注系统化失效，标准通过广泛的验证和确认活动来解决这一问题。关键工程考量包括：选择具有成熟使用可靠性数据的组件；在双通道架构中实现看门狗定时器和交叉监控；确保符合 ISO 14982 的电磁兼容性；通过模块化设计和防御性编程技术管理软件复杂性；以及在整个安全生命周期中维护技术文件或安全案例。
在设计阶段构建结构化的安全案例可显著减少认证时间。许多农业 OEM 厂商报告，当安全案例文件按 ISO 25119-1 本身的条款编号组织时，审批速度可加快 30-40%。
标准还针对农业机械的特殊挑战作出了规定，例如操作员覆盖功能的需求，必须设计复位要求并设置时间限制以防止滥用。ISOBUS（ISO 11783）等通信系统带来了额外的复杂性，因为通过串行网络传输的安全相关数据需要完整性措施，包括 CRC 校验、序列号和时间监控。
SRP/CS 设计的常见陷阱包括：低估双通道系统中的共因故障、安全与非安全软件之间隔离不足，以及忽视配置数据（如参数表和校准常数）中的系统性故障。
在工程实践中，ISO 25119-1 的应用需要建立跨学科团队，包括机械工程师、电气工程师、软件工程师和安全工程师。该标准要求在设计过程中进行系统的危害识别和风险评估，确保所有潜在的危险场景都被充分覆盖。对于采用 ISOBUS 通信协议的现代农业机械，还需要特别关注通信延迟和安全相关数据的完整性保护。标准还建议在系统设计早期就进行功能安全分析，以避免后期昂贵的重新设计。
4. 常见问题解答
问：ISO 25119-1 与工业机械的 ISO 13849 有何区别？
答：虽然两者都使用 PL 标识，但 ISO 25119-1 专门针对移动式农业机械，包含操作员覆盖、ISOBUS 通信和农业作业特有环境条件的特别规定。ISO 13849 针对固定式工业机械，具有不同的架构要求和验证方法。
答：虽然两者都使用 PL 标识，但 ISO 25119-1 专门针对移动式农业机械，包含操作员覆盖、ISOBUS 通信和农业作业特有环境条件的特别规定。ISO 13849 针对固定式工业机械，具有不同的架构要求和验证方法。
问：现有的非安全控制系统组件能否用于 SRP/CS 设计？
答：可以，但标准要求提供基于现场故障数据的成熟使用论证。组件必须在类似条件下在足够的运行时数内没有安全相关失效。复用的软件组件需要按照软件安全生命周期进行额外的验证活动。
答：可以，但标准要求提供基于现场故障数据的成熟使用论证。组件必须在类似条件下在足够的运行时数内没有安全相关失效。复用的软件组件需要按照软件安全生命周期进行额外的验证活动。
问：ISO 25119-1 合规需要哪些文档？
答：标准要求：危害日志和风险评估、安全需求规格说明、架构设计文档、验证和确认报告、组件可靠性数据、软件文档以及安全案例。这些文件构成技术档案，需在整个产品生命周期中维护。
答：标准要求：危害日志和风险评估、安全需求规格说明、架构设计文档、验证和确认报告、组件可靠性数据、软件文档以及安全案例。这些文件构成技术档案，需在整个产品生命周期中维护。
