工业 PLC 控制系统功能安全设计指南（中文版） 符合 IEC 61508 要求

工业PLC控制系统功能安全设计指南（中文版）符合IEC61508通用要求版本修订记录版本号修订日期修订内容说明编制审核批准V1.0____年__月__日首版完整版编制，完全对标IEC61508:2010功能安全基础标准，聚焦工业PLC安全控制系统，覆盖全生命周期设计、硬件冗余、软件编程、故障安全、SIL定级验证、测试整改、运维管控，解决常规PLC设计无安全架构、故障不可控、SIL不达标、认证不通过等行业痛点，适配化工、能源、装备制造、智能产线安全PLC落地场景前言可编程逻辑控制器（PLC）是工业自动化控制系统的核心核心载体，普通商用PLC仅满足逻辑控制与稳定运行需求，不具备功能安全失效防护能力。在化工SIS系统、锅炉燃烧控制、压力联锁、高速设备急停、高危工艺联锁等安全相关场景，普通PLC的单点故障、程序异常、IO失效、通讯中断极易引发设备损毁、工艺事故、人身伤害。IEC61508是工业电气/电子/可编程电子（E/E/PE）系统功能安全的顶层通用标准，定义了安全生命周期、失效分类、安全完整性等级（SIL）、故障安全机制、软硬件设计准则，是所有安全PLC、安全控制系统设计、验证、认证的唯一通用依据。本指南基于十年工业安全PLC落地经验，摒弃通用标准空洞解读，聚焦可落地、可验证、可过审的设计方法，从基础规范、硬件架构、软件设计、冗余策略、故障处置、SIL验证、测试方法、运维管控、通病整改全维度，形成完整的PLC功能安全设计体系，可直接用于研发设计、项目集成、第三方认证、工厂合规内审。1总则与标准适配范围1.1适用范围本指南适用于所有参与安全功能执行的工业PLC控制系统，包含安全型PLC、普通PLC改造安全回路、分布式PLC安全联锁系统、远程IO安全控制站、PLC联动安全执行机构，覆盖流程工业、离散制造、能源装备、智能产线等所有需要满足IEC61508功能安全合规的场景。本指南覆盖PLC全生命周期：需求分析、架构设计、硬件选型、软件编程、调试测试、变更管控、运维巡检、退役处置，完全匹配IEC61508全生命周期管控要求。1.2规范性引用标准IEC61508:2010电气/电子/可编程电子安全相关系统功能安全（通用基础标准）IEC61511过程工业领域功能安全（PLC化工SIS适配）IEC61513核电领域PLC功能安全（高危场景适配）GB/T50770-2013自动化仪表工程施工及质量验收规范IEC61131-6可编程控制器功能安全编程规范1.3核心术语与失效定义（IEC61508官方定义）PLC功能安全设计的核心是管控失效、兜底风险，需严格区分两类核心失效模式：随机硬件失效：PLCCPU、电源、IO模块、通讯芯片、线路老化等硬件随机故障，不可完全避免，需通过冗余设计降低风险。系统性失效：程序逻辑漏洞、编程不规范、设计缺陷、参数配置错误、变更失控导致的可复现失效，需通过标准化设计与全流程管控彻底规避。安全失效：故障发生后PLC自动进入安全停机、联锁锁定状态，无危险输出，属于合规失效。危险失效：故障发生后PLC持续输出错误指令、联锁失效、设备误动作，是功能安全设计的核心管控对象。安全完整性等级SIL：量化PLC安全系统风险降低能力，工业PLC主流合规等级：SIL1（普通联锁）、SIL2（通用工业安全）、SIL3（高危工艺SIS）。2PLC功能安全核心设计原则（IEC61508强制底线）所有安全PLC设计必须遵循以下五大刚性原则，任何一条违规将直接导致SIL降级或认证不通过，为审核红线要求。2.1故障安全（Fail-Safe）原则PLC所有安全相关回路、逻辑、IO点必须默认故障导向安全。当出现CPU异常、断电、通讯中断、模块故障、信号断线、程序卡死等任意故障场景，PLC不得保持原有运行状态，必须立即触发安全动作：联锁停机、切断动力、锁定输出、报警告警，杜绝失控风险。禁止设计“故障保持运行”的安全逻辑。2.2安全与非安全分区隔离原则PLC程序、IO点位、内存资源、通讯通道必须严格分区隔离，非安全逻辑不得干扰安全逻辑。普通工艺控制、数据采集、上位机通讯、报表统计等非安全功能，不得占用安全IO、不得篡改安全参数、不得屏蔽安全联锁、不得影响安全程序扫描周期。2.3确定性运行原则PLC安全程序必须具备确定性执行特性，扫描周期固定、逻辑跳转固定、响应时间可量化，禁止递归循环、随机延时、后台不确定任务、优先级混乱程序，确保安全联锁响应时间可计算、可验证、可追溯。2.4冗余与诊断覆盖原则高等级SIL2/SIL3PLC系统必须配置硬件冗余、IO冗余、回路冗余，同时保障高诊断覆盖率。硬件故障可被系统实时检测、精准报错、快速锁定，杜绝隐性危险失效。诊断覆盖率需匹配对应SIL等级要求。2.5变更可控可追溯原则所有安全程序、安全参数、联锁逻辑、IO配置的修改，均属于IEC61508定义的安全变更，必须执行申请、风险评估、测试验证、审批归档、版本回滚全流程管控，禁止私自修改、在线无控变更、静默更新。3PLC安全系统硬件架构设计（IEC61508分级方案）硬件架构决定PLC系统基础SIL上限，架构不达标，软件优化无法弥补等级缺陷。本章节按SIL等级提供标准化硬件设计方案。3.1通用硬件选型基础要求安全相关PLC、IO模块、电源模块需选用具备功能安全认证的合规器件，器件失效率、诊断覆盖率参数可查、可量化，支持FMEDA计算。安全回路采用硬接线优先原则，关键急停、安全联锁、硬件限位保留硬接线兜底，不依赖纯软件逻辑。安全IO与普通IO物理分区、布线分离、端子独立，杜绝线路串扰、混接导致的联锁失效。系统供电采用双路冗余供电，避免单电源故障导致整体安全系统宕机。3.2分级冗余架构设计方案3.2.1SIL1基础架构（单CPU+单IO）适用于普通工业低风险联锁场景，采用单CPU架构，无需冗余，但需满足完整故障诊断、Fail-Safe输出、安全分区设计。所有安全输出故障默认断开、联锁触发停机，保障基础安全兜底。3.2.2SIL2标准架构（双CPU冗余+双IO冗余）工业最通用安全架构，采用双CPU热备冗余、双路安全IO、交叉校验机制。主CPU故障时，备CPU无扰动切换，安全逻辑持续运行；双IO信号实时比对，信号偏差超阈值立即触发安全联锁，杜绝单点失效风险，完全满足通用工业高危设备控制需求。3.2.3SIL3高危架构（三取二冗余TMR）适用于化工SIS、高压设备、锅炉、高危工艺场景，采用三CPU、三IO三取二表决架构。任意单通道故障不影响系统安全运行，双通道故障触发安全停机，诊断覆盖率达到99%以上，满足IEC61508最高工业PLC安全完整性要求。3.3硬件故障安全设计细节数字量安全输出：常态得电、故障失电，失电即触发安全停机/联锁，符合Fail-Safe逻辑。数字量安全输入：采用双通道差分采集，断线、短路可精准诊断，区分真实信号与线路故障。模拟量安全信号：设置上下限安全阈值、突变检测、信号漂移监测，异常信号直接屏蔽并触发联锁。通讯安全：安全通讯采用冗余总线、心跳监测、超时判定，通讯中断立即进入安全状态，禁止保持运行。4PLC功能安全软件逻辑设计（IEC61508核心合规项）80%的PLC功能安全不合规问题均来自软件设计缺陷，IEC61508对安全程序的规范性、确定性、安全性、可追溯性有严格强制要求，本章节提供标准化编程设计规范。4.1程序分层隔离架构严格采用三层程序架构，物理分区、逻辑隔离，杜绝交叉干扰：安全逻辑层（最高优先级）：包含急停联锁、超限停机、故障锁定、安全阈值判定、冗余信号表决，独立扫描、优先执行，不受普通程序影响。工艺控制层（中等优先级）：常规设备启停、逻辑联动、时序控制，仅在安全条件满足后可执行。数据交互层（最低优先级）：上位机通讯、数据上传、参数显示、日志存储，无任何设备控制权限。4.2安全程序刚性编程规范安全逻辑禁止使用浮动变量、随机函数、递归程序、延时不确定指令，所有逻辑时序固定、条件明确、结果唯一。所有安全联锁条件硬编码固化或参数锁定，普通操作员无修改权限，修改需审批留痕。禁止程序旁路、屏蔽安全联锁，临时屏蔽需设置时效、专人监护、记录归档，到期自动恢复。安全程序扫描周期独立锁定，不随工艺逻辑、通讯负载变化，保障响应时间稳定可控。所有安全故障、联锁动作、状态变更必须实时日志记录，日志不可删除、不可篡改、永久留存。4.3关键安全逻辑设计细则4.3.1急停与安全停机逻辑急停信号为最高优先级硬联锁，触发后立即切断所有安全输出、终止所有工艺逻辑、锁定设备状态，复位必须人工手动复位，禁止自动复位、程序复位、远程复位。急停逻辑不依赖通讯、不依赖上位机、仅依托本地安全回路执行。4.3.2超限联锁逻辑温度、压力、速度、位移、电流等安全参数，设置预警阈值与安全停机阈值两级防护。达到预警阈值声光告警，达到停机阈值立即触发联锁停机，同时锁定故障状态，排查完成后方可复位启动。4.3.3冗余信号表决逻辑双路/三路安全信号实时比对，信号偏差超出允许范围判定为信号故障，触发安全联锁；单通道信号异常不直接停机，告警提示，双通道异常立即停机，兼顾安全性与设备稳定性。4.3.4故障锁定与复位逻辑所有安全故障触发后必须状态自锁，故障未消除、未人工确认前，系统永久锁定，禁止设备启动，杜绝故障自愈误启动导致的安全风险。5PLC功能安全风险分析与SIL定级验证依据IEC61508要求，PLC安全系统必须完成风险分析、失效量化、SIL定级、FMEDA验证，是认证审核的核心技术依据。5.1PLC专项风险分析方法在常规HAZOP风险分析基础上，聚焦PLC独有失效场景开展专项分析：硬件失效风险：CPU宕机、模块损坏、IO信号异常、电源故障、通讯中断软件失效风险：逻辑漏洞、程序跑飞、参数错误、优先级错乱、联锁屏蔽失效运维风险：误操作、私自改程序、变更无测试、维保不规范环境风险：电磁干扰、温湿度异常、线路老化导致的信号失效5.2SIL定级判定规则结合事故严重度、暴露频率、规避概率、可检测性，划分PLC系统SIL等级：SIL1：低风险场景，失效仅造成轻微设备损耗，无人身伤害SIL2：中高风险场景，失效可造成设备严重损坏、轻微人身伤害，通用工业PLC主流等级SIL3：高危工艺场景，失效可造成重大安全事故、人员伤亡，适配化工SIS、高压设备控制5.3FMEDA量化验证要求针对PLC整套安全系统开展失效模式、影响及诊断分析，统计硬件失效率、危险失效概率（PFH）、平均危险失效间隔（MTBF）、诊断覆盖率，对照IEC61508阈值判定SIL等级符合性，输出量化验证报告，作为认证核心证据。6PLC功能安全全维度测试验证方法所有设计完成后必须开展专项功能安全测试，验证系统Fail-Safe能力、联锁有效性、故障处置能力、SIL符合性，杜绝设计合规、运行失效的问题。6.1硬件故障注入测试模拟PLC各类硬件故障：断电、模块拔出、线路短路/断路、通讯中断、CPU异常、信号漂移，验证系统是否可精准诊断、正确告警、触发安全联锁、进入安全状态，无危险失效。6.2安全逻辑全覆盖测试逐条验证所有安全联锁、急停、超限停机、故障锁定、复位逻辑，覆盖正常工况、异常工况、故障工况，确保100%逻辑有效、无盲区、无失效、无延迟。6.3冗余切换测试针对双CPU、双IO冗余系统，模拟主设备故障，验证备设备无扰动切换，安全逻辑不中断、联锁不失效、无误动作。6.4长期稳定性与漂移测试长期带电运行，监测PLC程序稳定性、信号漂移、故障误触发概率，验证系统长期安全运行能力，规避间歇性隐性故障。7高频设计缺陷与标准化整改方案高频不合规设计问题风险等级根因分析IEC61508合规整改方案故障后PLC保持当前输出，无安全停机动作严重未遵循Fail-Safe故障导向安全原则重构安全输出逻辑，所有故障场景默认失电停机、状态锁定，兜底安全机制普通程序可篡改安全参数、屏蔽联锁严重安全与非安全逻辑未隔离，权限无管控程序分层隔离，安全参数锁定加密，分级授权，修改全程审计留痕急停复位可自动恢复、远程复位严重安全复位逻辑设计缺陷强制人工本地手动复位，取消所有自动、远程复位逻辑，故障自锁单通道IO故障无诊断、无告警一般硬件诊断覆盖率不足升级双路冗余IO，开启线路故障诊断，异常立即告警联锁安全程序扫描周期不固定，逻辑不确定一般未满足确定性运行要求独立锁定安全程序扫描周期，清理不确定指令，固化逻辑执行顺序8PLC安全系统全生命周期运维与变更管控8.1日常运维管控要求定期开展安全回路巡检、IO校验、冗余切换测试、故障模拟测试，年度完成功能安全复测。禁止私自改动安全程序、短接安全点位、屏蔽安全联锁，所有运维操作留痕归档。建立PLC安全故障台账，所有失效事件复盘分析，优化设计规避同类问题复发。8.2安全变更管控流程任何安全程序、参数、硬件、逻辑变更，必须执行：变更申请→风险评估→离线测试→上线验证→现场复测→版本归档→回滚备案，杜绝无控变更，完全符合IEC61508系统性失效管控要求。9认证归档全套证据清单PLC功能安全需求规格书（SRS）PLC安全架构设计说明书（软硬件架构、隔离冗余方案）HAZOP/PLC专项风险评估报告SIL定级报告、FMEDA量化验证报告全项目功能安全测试报告（故障注入、逻辑测试、冗余测试）安全程序版本台账、变更记录、权限管控台账运维巡检记录、