ISO 13849-1-2023 中文版 机械安全 安全控制系统部件 第 1 部分：设计通则 + PL 等级评定指南

ISO13849-1:2023中文版机械安全安全控制系统部件第1部分：设计通则+PL等级评定指南前言ISO13849-1:2023是国际标准化组织发布的机械安全控制系统核心顶层标准，替代旧版ISO13849-1:2015，是全球机械设备安全相关控制系统（SRP/CS）设计、选型、验证、合规评定、CE认证、风险定级的唯一通用权威依据。本标准隶属于机械安全专项体系，专门规范各类机械装备电气、电子、可编程电子、气动、液压、机械联锁等安全控制系统的通用设计准则、结构类别（CAT）、性能等级（PL）、可靠性参数、故障响应逻辑与全生命周期安全要求，是区别于通用工业IEC61508功能安全体系的机械行业专属功能安全基准。相较于IEC61508、IEC61511等通用功能安全标准，ISO13849体系最大核心特征为适配机械动态工况、高频启停、重复作业、人为干预频繁、故障可容忍降级停机的行业特性，采用「结构类别CAT+性能等级PL」双维度评定体系，替代通用SIL等级，更贴合机械设备安全风险管控逻辑，兼顾安全性与设备生产连续性。ISO13849-1:2023作为最新修订版本，重点优化了可编程电子系统（PES）、数字安全控制系统、智能联锁、柔性自动化产线的合规规则，补齐了旧版对数字化、智能化机械安全管控的短板，统一了全球机械PL等级评定、结构设计、故障诊断的执行口径。在工程实操、设备认证、安评整改中，绝大多数机械安全不合规、PL等级降级、CE认证驳回、现场安全隐患问题，均源于CAT结构选型错误、PL评定逻辑混乱、混用工业SIL等级、故障安全设计缺失、诊断覆盖率取值偏差、软件安全管控不足。本文结合十余年自动化设备、非标机械、流水线、机器人工作站安全设计与认证整改经验，摒弃机械条文直译，以2023版核心升级、标准强制设计通则、CAT结构匹配规则、全套PL等级评定实操指南、参数取值规范、高频误区整改、合规文档闭环为核心架构，内容兼顾理论权威性与现场落地性，可直接作为机械设计手册、安全工程师培训教材、CE认证报审依据、设备改造合规指南。1标准定位与机械安全体系层级关系1.1核心定位与专属属性ISO13849-1:2023是所有机械安全控制系统的设计与定级总纲，核心定位为“统一机械安全控制系统结构设计、故障准则、可靠性指标、风险定级、合规判定规则”。本标准管控覆盖全品类安全控制部件，包含安全继电器、安全PLC、安全传感器、急停回路、安全门锁、光栅防护、液压气动安全回路、机械联锁机构、可编程安全电子系统等，适用于所有工业生产机械设备，不含民用普通设备。本标准核心优势为机械场景定制化：不照搬通用工业概率安全逻辑，结合机械设备“故障停机即为安全、允许受控停机、杜绝危险动作”的核心安全逻辑，构建CAT结构兜底+PL性能量化的双重保障体系，是机械行业区别于化工、轨交、核电功能安全体系的核心标志。1.2标准体系协同闭环逻辑ISO13849整体标准分为两部分，形成完整设计+验证闭环，同时对接机械风险评估基础标准，构成机械安全完整合规体系：1.ISO13849-1:2023（本文）：定义安全控制系统设计通则、CAT结构类别、PL性能等级、故障准则、系统架构要求，为设计定级依据；2.ISO13849-2:2012：规范安全控制系统的验证、测试、计算、故障分析、文档审核，为落地验证依据；3.ISO12100：机械安全顶层风险评估标准，通过风险判定确定设备所需PL等级，为本标准定级提供输入依据；4.配套专项标准：各类专用机械安全标准（冲压、注塑、机器人、包装机械）均采信本标准的PL/CAT定级规则。1.3适用范围与边界定义适用对象：所有工业机械设备安全相关控制系统，涵盖机械加工设备、自动化流水线、机器人工作站、冲压设备、注塑设备、包装机械、输送设备、起重辅助机械等，包含电气、电子、可编程、气动、液压、机械复合型安全控制回路。适用场景：新机安全设计、设备改造升级、安全回路整改、CE安全认证、第三方风险评估、工厂安审、老旧设备合规升级、安全系统验证测试。排除边界：民用家用设备、纯手动无动力机械、无安全控制回路的简易设备不适用；核电、轨交、化工专用安全系统优先遵循行业专属标准，本标准仅作辅助参考；非安全普通控制回路无强制约束。22023版核心升级与行业工程价值相较于经典旧版2015版，ISO13849-1:2023针对智能制造、柔性自动化、数字化安全系统、可编程安全控制器普及的行业现状完成系统性升级，解决了旧版数字化设备管控缺失、定级模糊、软件规则不完善的痛点，六大核心升级具备极强工程落地价值：1.强化可编程电子系统（PES）管控：细化安全PLC、可编程安全逻辑、嵌入式安全软件的设计与定级规则，填补数字化安全系统合规空白；2.优化PL等级评定算法与参数阈值：调整MTTFd、DCavg、CCF等核心参数取值区间，让定级结果更贴合现代电子设备可靠性水平，减少过度降级问题；3.明确软件安全基础要求：新增简易安全软件、固化逻辑、不可修改安全程序的豁免与管控规则，区分机械简单安全软件与高复杂工业软件；4.细化共因失效（CCF）防控细则：针对双通道冗余安全回路，明确物理隔离、电气隔离、器件差异化、布线规范的落地要求；5.适配柔性自动化产线场景：针对动态防护、可切换安全区域、自适应联锁等新型智能机械场景补充设计准则；6.统一全球认证评定口径：消除区域评定差异，完全对齐欧盟机械指令2006/42/EC合规要求，提升CE认证通过率。3核心专属术语与工程概念释义本节梳理ISO13849-1:2023核心专属术语，统一设计、定级、认证、审评口径，规避基础认知偏差导致的合规失效。1.安全相关控制系统（SRP/CS）标准定义：机械设备中用于检测危险状态、触发安全响应、限制机械危险动作、降低人员伤害风险的全部控制部件与回路集合。工程释义：包含输入（光栅、门锁、急停）、逻辑处理（安全继电器、安全PLC）、输出（接触器、阀组）三段式安全链路，是机械安全防护的核心载体。2.结构类别（CATB/1/2/3/4）机械安全专属结构分级，代表安全回路的硬件架构底线，从单通道基础结构到双通道冗余容错结构逐级升级，是PL等级的基础前提，无合格CAT结构无法达标对应PL等级。3.性能等级（PLa/b/c/d/e）量化安全完整性等级，从PLa（最低风险）至PLe（最高风险），通过MTTFd、DCavg、CCF三大核心参数综合评定，是设备风险匹配、认证合规的最终指标。4.危险失效平均时间（MTTFd）安全部件发生危险失效的平均时间，表征硬件固有可靠性，数值越高，硬件安全可靠性越强，是PL定级核心量化参数。5.平均诊断覆盖率（DCavg）系统可检测危险失效的比例，表征系统自诊断能力，高诊断覆盖率可快速发现潜伏故障，避免累积失效引发安全事故，冗余系统必备指标。6.共因失效（CCF）外部环境、同源器件、同一故障源导致多通道冗余系统同时失效的现象，2023版重点强化防控，是高等级PLd/e定级的关键否决项。4机械安全控制系统通用设计通则（2023版强制底线）本节为ISO13849-1:2023全域强制设计准则，适用于所有等级安全回路，无场景豁免、无等级宽松，是所有机械安全系统合规的前置红线，属于认证与安审一票否决项。4.1五大核心安全设计目标1.故障安全优先：安全控制系统发生任何单一故障、器件损坏、回路异常、断电断信号时，必须自动触发安全状态，停机、锁闭、禁止危险动作，杜绝故障侧危险输出；2.风险匹配适配：系统CAT结构与PL等级必须严格匹配设备固有风险，高风险设备禁止低等级设计，杜绝防护不足；3.失效可控可检测：关键安全故障需可自诊断、可报警、可提示，潜伏故障需通过定期试验、自检测机制及时排查；4.系统独立隔离：安全控制回路与普通工艺控制回路电气、逻辑隔离，杜绝普通回路故障、程序异常干扰安全功能；5.可维护可验证：安全回路结构清晰、可测试、可排查、可维护，禁止隐藏式、不可验证的安全逻辑。4.2八大强制通用设计准则1.被动安全准则：安全系统默认安全状态，断电、故障、停机均为安全态，仅正常工况允许设备运行，禁止默认危险状态；2.单一故障容错准则：CAT3/CAT4高等级系统，任意单一器件、单通道故障，不丧失整体安全功能；3.故障累积防控准则：低等级故障不得累积升级为高危失效，系统诊断与定期试验可及时清除潜伏故障；4.共因失效隔离准则：冗余双通道系统需实现电源、布线、器件、环境的隔离防护，降低同源失效概率；5.软件极简安全准则：安全逻辑软件禁止复杂冗余、动态可变逻辑，安全程序固化、不可随意篡改；6.手动复位准则：安全停机、故障保护触发后，必须人工手动复位方可恢复运行，禁止自动复位重启；7.优先级最高准则：所有安全指令（急停、防护打开、超程）优先级高于所有工艺控制、自动运行指令；8.器件合规选型准则：安全回路部件必须选用合规安全认证器件，禁止普通通用器件替代安全专用部件。5安全控制系统CAT结构类别详解（PL定级基础）CAT结构是PL等级的硬件基础，2023版严格保留B/1/2/3/4五类结构层级，结构等级直接决定PL上限，所有定级必须先判定CAT结构，再量化评定PL等级。5.1CATB基础通用结构适用场景：极低风险、低速、低动能、无挤压剪切风险的辅助机械结构。结构特征：单通道安全回路，无冗余、无强制诊断，依靠基础器件可靠性实现安全功能，结构简单。PL上限：最高PLa/PLb，无法达到中高等级防护，仅适用于极低风险设备。核心要求：器件选型满足基础可靠性，故障可导向安全，无复杂冗余设计。5.2CAT1高可靠单通道结构适用场景：低风险常规机械设备，风险伤害轻微、发生概率极低。结构特征：单通道架构，无冗余，但必须选用高可靠、经认证的专用安全器件，依靠器件固有可靠性降低失效风险。PL上限：最高PLc。核心要求：禁止普通器件替代，器件MTTFd参数达标，选型可追溯、可认证。5.3CAT2可诊断单通道结构适用场景：中风险机械设备，存在常规挤压、撞击风险，需定期检测保障安全。结构特征：单通道安全架构，配备周期性自动诊断测试功能，可定期检测回路潜伏故障，提前规避失效风险。PL上限：最高PLd。核心要求：必须具备自动测试机制，测试周期合理，故障可报警、可锁定，杜绝潜伏故障累积。5.4CAT3冗余容错结构（工程最常用）适用场景：中高风险自动化设备、流水线、机器人辅助设备，存在高频人身伤害风险。结构特征：双通道冗余架构，单通道故障不会导致安全功能丧失，具备基础故障诊断能力，允许单一故障存在，设备可停机检修。PL上限：最高PLd。核心要求：双通道独立、故障互不影响，可检测绝大多数危险失效，严控共因失效。5.5CAT4最高安全冗余结构（高危专用）适用场景：高危重型机械、冲压设备、锻压设备、高速机器人工作站、致死风险设备。结构特征：全独立双通道冗余架构，全覆盖故障诊断，任意单一故障、叠加故障均不会丧失安全功能，无潜伏故障累积风险。PL上限：最高PLe（行业最高等级）。核心要求：双通道完全物理隔离、电气隔离、器件独立，DCavg诊断覆盖率极高，CCF防控措施完善，零高危故障容忍。62023版PL性能等级全套评定指南（实操核心）本章为ISO13849-1:2023核心落地内容，基于MTTFd硬件可靠性、DCavg诊断覆盖率、CCF共因失效防控、CAT结构兜底四要素，梳理完整PLa~PLe量化评定标准，适配所有机械安全回路定级场景，可直接用于工程计算与认证报审。6.1核心评定参数2023版取值规范1.MTTFd危险失效平均时间分级低：≤30年、中：30~100年、高：≥100年，2023版优化了可编程器件MTTFd取值规则，杜绝参数虚高评定。2.DCavg平均诊断覆盖率分级无诊断、低DC：＜60%、中DC：60%~90%、高DC：90%~99%、极高DC：≥99%，明确安全PLC、安全继电器的诊断覆盖率默认取值。3.CCF共因失效评分通过隔离、差异化、环境防护、维护规范四大维度打分，总分≥65分方可满足高等级PLd/e定级要求，2023版细化扣分细则。6.2各PL等级完整评定标准PLa（最低风险）适配CATB结构；无强制MTTFd与DC要求；仅需基础故障安全设计；适用于几乎无伤害风险的辅助机械。PLb（低风险）适配CATB/CAT1结构；MTTFd低等级；DC无/低；基础故障安全导向；适用于轻微伤害、低概率风险设备。PLc（中低风险）适配CAT1/CAT2结构；MTTFd中等级；DC中低；无严重共因失效；适用于常规轻度伤害风险机械设备。PLd（中高风险，工业最常用）适配CAT2/CAT3结构；MTTFd中/高等级；DC≥60%；CCF评分达标；单故障可容错、可检测；适用于自动化流水线、机器人、包装机械等主流中高风险设备。PLe（最高风险，高危设备专用）仅适配CAT4结构；MTTFd高等级（≥100年）；DC≥90%；CCF高分达标；全故障容错、全覆盖诊断；适用于冲压、锻压、高速高危致死风险设备。6.3PL定级核心匹配逻辑（2023版更新）1.结构兜底原则：CAT结构上限锁定PL最高等级，CAT3无法评定PLe，硬件结构不达标，参数再优也无效；2.短板判定原则：MTTFd、DCavg、CCF、CAT四项参数中，最低项决定最终PL等级；3.软件简化原则：2023版明确简单固化安全软件不降级，无复杂可变逻辑无需额外软件冗余；4.场景适配原则：风险评估得出的需求PL，必须≤系统评定PL，严禁系统等级低于风险需求。7软硬件专项安全设计细则（2023版新增强化）7.1硬件安全回路设计要求1.回路架构合规：严格匹配对应CAT结构，高等级系统禁止单通道简化设计，冗余回路必须独立布线、独立供电；2.器件选型固化：安全输入、逻辑、输出部件均需选用带安全认证的专用器件，禁止普通继电器、普通PLC替代安全部件；3.故障安全接线：急停、安全门锁、光栅等输入设备必须常闭接线，断线、损坏直接触发安全停机；4.共因隔离防护：双通道器件分柜安装、独立回路、避免同线束敷设，降低环境干扰、温度老化引发的共因失效；5.诊断功能落地：CAT2及以上系统必须实现故障报警、故障锁定、日志记录，方便故障追溯与维护。7.2软件安全设计新增要求（2023版重点）1.安全逻辑固化：机械设备安全保护逻辑禁止现场随意修改、无权限篡改，参数变更需审批归档；2.极简安全逻辑：安全联锁、停机逻辑简洁可控，禁止复杂嵌套、动态跳转逻辑，降低软件失效风险；3.区分安全与非安全逻辑：安全程序分区隔离，非安全工艺程序故障不得影响核心安全保护功能；4.简易软件豁免机制：2023版新增固定不可修改的简单安全逻辑，可豁免复杂软件V&V验证，大幅降低常规设备合规成本。8全生命周期安全管控要求ISO13849-1:2023完善了设备全生命周期合规要求，覆盖设计、选型、安装、调试、运维、改造、报废全流程，杜绝阶段性合规、全程失控问题。设计阶段：基于ISO12100风险评估确定目标PL/CAT等级，严格按通则设计安全回路，完成架构与参数匹配；选型验证阶段：核对器件MTTFd、DC、CCF参数，出具PL等级计算报告，完成系统定级验证；安装调试阶段：严格按安全规范布线、隔离、接线，完成故障模拟测试、安全功能验证；运维阶段：定期开展安全回路检测、故障排查、器件老化检查，保留测试记录，及时更换老化安全部件；改造变更阶段：安全回路改造、器件替换、逻辑修改必须重新开展PL评定与验证，禁止私自变更；报废阶段：高危设备报废前完成安全功能隔离，避免拆解过程安全事故。9工程高频误区与资深整改方案（2023版适配）结合多年机械CE认证、安评整改、设备合规升级经验，梳理ISO13849-1:2023高频否决误区，覆盖设计、定级、选型、运维全流程痛点：误区1：混用IEC61508SIL等级替代PL等级整改：机械行业强制使用PL/CAT体系，SIL仅为通用工业等级，二者评定逻辑、参数、场景完全不同，SIL达标无法替代PL合规，是认证高频驳回点。误区2：参数达标即可升级PL，忽视CAT结构兜底整改：CAT结构是硬性上限，CAT3无论参数多优，最高仅PLd，无法评定PLe，硬件结构缺陷无法通过软件、参数弥补。误区3：双通道冗余即满足CAT4、PLe整改：普通双通道仅为CAT3，CAT4需要全隔离、高诊断、高CCF防控、无潜伏故障，绝大多数自动化设备仅能达到CAT3/PLd。误区4：安全软件随意修改，无需复测定级整改：2023版强化软件变更管控，安全逻辑、联锁参数修改后必须重新验证PL等级，私自变更直接判定不合规。误区5：忽略共因失效CCF评分，导致PL降级整改：很多设备MTTFd、DC参数达标，但布线未隔离、器件同源，CCF得分过低，直接导致PL等级降级，是工程最隐蔽痛点。误区6：安全回路自动复位，无需手动确认整改：所有安全保护停机后必须人工手动复位，自动复位违反故障安全准则，属于一票否决项。10合规必备归档文档清单（CE认证/安审专用）依据ISO13849-1:2023及欧盟机械指令要求，