ISO 13849-12023 机械安全.控制系统的安全相关部件.第1部分设计的一般原则标准立项发展报告

机械安全控制系统的安全相关部件第1部分：设计的一般原则标准立项发展报告StandardizationDevelopmentReport:Safetyofmachinery—Safety-relatedpartsofcontrolsystems—Part1:Generalprinciplesfordesign摘要关键词：机械安全；控制系统；安全相关部件；性能等级；功能安全；风险评估；标准化Keywords:MachinerySafety;ControlSystems;Safety-relatedParts;PerformanceLevel;FunctionalSafety;RiskAssessment;Standardization1引言1.1研究背景机械装备在全球制造业中占据核心地位，其安全性能的优劣直接关系着操作人员的身体健康与生命安全。据统计，在全球范围内，因机械设备安全防护不足而导致的生产安全事故每年仍造成大量的伤亡与经济损失。在这些事故中，控制系统的失灵或误动作是重要的致因之一，例如安全防护装置的信号未能正确传递到执行机构、紧急停止回路失效、控制系统在故障状态下输出危险指令等。因此，对控制系统中承担安全功能的部件提出系统化、可量化的设计要求，成为国际标准化领域的重要课题。ISO13849-1最初制定于1999年，旨在为机械控制系统的安全相关部件提供设计原则和性能评定方法。经过二十余年的发展，该标准已历经多次修订，从最初的类别（Category）体系逐步演进到以性能等级（PerformanceLevel,PL）为核心的评价框架，在适用性、精确性和可操作性方面不断增强。2023年4月26日，国际标准化组织正式发布ISO13849-1:2023版本，取代了此前的ISO13849-1:2015版本，标志着机械安全控制系统设计标准进入了一个新阶段。1.2标准修订的必要性ISO13849-1:2023的修订发布具有深刻的时代背景和技术动因。第一，工业信息安全形势日趋严峻。随着工业控制系统从封闭式架构走向开放互联，网络攻击对机械安全系统的威胁日益加剧。恶意代码注入、非授权访问、数据篡改等手段可能直接导致安全功能的失效，而旧版标准对网络安全问题未给予系统性的关注和指导。ISO13849-1:2023首次在机械安全控制系统设计框架中系统性地纳入了网络安全考量，要求设计者在进行安全系统设计时充分考虑信息安全对功能安全的影响。第二，安全软件设计需求更加复杂。现代机械控制系统中的安全功能越来越多地通过软件方式实现，安全相关嵌入式软件的复杂度持续增长。旧版标准对软件安全要求的设计指导相对有限，难以满足当前工业实践中对软件系统性能力（SystematicCapability）评估的需求。新版本细化了安全软件的设计要求，特别是针对软件开发生命周期中各阶段的安全措施提出了更为明确的规定。第三，与相关标准的协同需求日益突出。机械安全领域涉及多项相互关联的标准，如ISO12100（风险评估与风险减小）、IEC62061（机械功能安全）以及IEC61508（电气/电子/可编程电子安全相关系统功能安全）等。不同标准之间的术语定义、评估方法和指标要求需要保持协调一致，2023版的修订进一步增强了与其他国际标准的兼容性与互操作性。1.3适用范围与意义ISO13849-1:2023适用于机械控制系统中安全相关部件的设计，涵盖电气、电子、可编程电子、液压、气动及机械等各类技术类型的安全相关控制系统，无论其复杂程度如何。该标准为设计者提供了从风险识别、性能等级确定、系统架构设计到验证确认的全流程方法论，是机械安全设计的核心参考依据。2标准技术内容概述2.1核心概念与术语体系ISO13849-1:2023在术语体系上延续并完善了前版标准的基本框架，核心概念涵盖以下几个关键术语：-安全相关部件（Safety-RelatedPartsofControlSystems,SRP/CS）：控制系统中对安全功能起决定性作用的部件，其故障可能导致危险状态的产生或安全防护能力的丧失。SRP/CS涵盖从传感器、逻辑处理单元到执行机构的完整信号链路。-安全功能（SafetyFunction）：由SRP/CS实现的、用于将机械装备的风险降低到可接受水平的功能，如急停功能、安全门联锁、双手操纵、限位保护等。每个安全功能需单独识别并明确其性能等级要求。-性能等级（PerformanceLevel,PL）：用于描述SRP/CS执行安全功能能力的分级体系，分为a、b、c、d、e共五个等级。其中PLa代表最低能力要求，PLe代表最高能力要求。性能等级的确定需综合考虑结构的分类（Category）、平均危险故障间隔时间（MTTFd）、诊断覆盖率（DC）以及共因失效（CCF）等关键参数。-类别（Category）：依据SRP/CS抵抗故障能力的结构特性，将系统结构分为B、1、2、3、4共五种类别，类别越高表示结构的容错能力和鲁棒性越强。-平均危险故障间隔时间（MTTFd）：量化评估SRP/CS中每个通道在危险故障发生前的预期工作时间，通常以年为单位，分为低（3~10年）、中（10~30年）、高（30~100年）三个区间。-诊断覆盖率（DC）：系统检测到的危险故障占所有危险故障的比例，以百分比表示。DC越高，说明系统的自诊断能力越强，安全完整性亦相应提升。-共因失效（CCF）：由同一事件或根源引发的多个独立部件同时失效的现象，是评估系统鲁棒性时必须考虑的重要因素。2.2性能等级（PL）的确定方法ISO13849-1:2023明确了安全功能性能等级的确定程序。设计人员需首先依据ISO12100开展风险评估，识别机械装备的危险源，评估每种危险情境的严重程度（S）、暴露频率/时间（F）及避免危险的可能性（P），通过PLr（所需性能等级）评定图确定每个安全功能所需的性能等级。随后，通过以下要素的组合来验证设计是否达到所需的性能等级：1.结构类别（Category）：根据所选架构确定系统抵抗故障的结构能力；2.MTTFd（平均危险故障间隔时间）：评估每个通道中元器件的可靠性水平；3.DC（诊断覆盖率）：评估系统故障自诊断的充分程度；4.CCF（共因失效）：评估系统设计中对共同原因失效的防护措施；5.系统性能力（SystematicCapability,SC）：评估设计过程中对系统性失效（含软件错误、规格缺陷等）的预防和控制能力，这一要素在2023版中得到更充分的阐述。各要素在不同组合条件下对应不同的PL值，设计者需通过迭代优化使最终达到的PL不低于所需的PLr。2.32023版主要技术变化相较于ISO13849-1:2015，2023版在以下方面实现了重要的技术更新：（1）网络安全要求的引入。新版本明确提出了安全相关系统设计应识别并评估网络安全威胁对安全功能的影响。在系统设计阶段，需考虑未授权访问、恶意篡改、拒绝服务等网络安全事件对SRP/CS安全性能的可能损害，并采取适当措施加以防护。虽然该标准不提供详尽的网络安全设计指南（这些内容由IEC62443系列标准提供），但确立了将信息安全与功能安全统筹考虑的设计原则，标志着机械安全标准对OT/IT融合趋势的正式回应。（3）诊断覆盖率评估方法的完善。新版本提供了更丰富的诊断措施示例及其对应的DC值参考，增加了对复杂传感器和执行器系统中诊断措施的说明，特别针对带有嵌入式自诊断功能的新型智能安全器件（如带安全功能的编码器、安全输入输出模块等）给出了更为细化的评估指南。（4）与ISO12100和IEC62061的协调性增强。2023版在术语定义、风险评估流程和性能等级确定方法等方面进一步完善了与国际通用机械安全标准体系的衔接，特别是与IEC62061在安全完整性等级（SIL）与性能等级之间的映射关系更加明确，便于设计人员在不同标准框架下的统一应用。3标准体系与协调关系ISO13849-1:2023在机械安全标准体系中占据核心地位，其与相关标准之间的关系可从以下几个方面加以理解。3.1与ISO12100的关系ISO12100《机械安全设计通则风险评估与风险减小》是机械安全领域最基础的标准，确立了风险评估与风险减小的总体原则和程序。ISO13849-1是ISO12100在控制系统安全设计层面的具体化和操作化。设计人员首先依据ISO12100完成整体风险评估，确定需要降低的风险量，然后利用ISO13849-1提供的方法确定并实现SRP/CS所需的性能等级。两者构成从风险分析到安全措施实施的方法论链条，互为依托。3.2与IEC62061的关系IEC62061《机械安全与安全相关的电气、电子和可编程电子控制系统的功能安全》是机械安全领域另一个重要的功能安全标准，采用安全完整性等级（SIL）作为安全性能的度量指标。ISO13849-1采用PL体系，两者在术语、量化指标和技术框架上存在差异，但在适用对象和目标上高度一致。多年来，两大标准的技术协调一直是国际标准化组织之间合作的重点。2012年发布的IEC62061:2012和ISO13849-1:2015版本已实现了PL与SIL之间的对应映射（PLa对应SIL1以下，PLb~c对应SIL1，PLd对应SIL2，PLe对应SIL3），2023版延续并巩固了这一协调成果。设计者可根据机械控制系统的技术复杂程度和应用情境，选择合适的标准加以应用。3.3与IEC61508的关系IEC61508是功能安全的母标准，适用于所有行业的安全相关电气/电子/可编程电子系统。ISO13849-1在框架结构和大原则上遵循IEC61508的基本理念，但在具体技术指标（如PFHd值的计算方式、体系结构约束条件等）和操作层面进行了适合机械行业应用的调整和简化。对于包含可编程电子部件的SRP/CS，ISO13849-1:2023也参考了IEC61508的相应规定，确保两者在关键安全性要求上的一致性。3.4与网络安全标准的关系随着工业控制系统信息安全问题的日益突出，ISO13849-1:2023在设计原则中纳入了网络安全考量，与IEC62443（工业通信网络网络和系统安全）系列标准形成了互补关系。ISO13849-1关注控制系统安全功能的完整性和可靠性，IEC62443则关注工业自动化控制系统整体的信息安全防护，两者共同为智能制造环境中机械装备的安全可靠运行提供保障。4国内外发展与应用4.1国际应用状况ISO13849-1已成为国际机械安全领域最具影响力的标准之一，被全球各主要工业国家和地区广泛采用或参考。在欧盟，该标准已被列入机械指令（2006/42/EC）的协调标准清单，作为证明机械装备符合基本健康与安全要求（EHSR）的重要途径。在欧盟新机械法规（EU）2023/1230自2027年1月起实施后，ISO13849-1仍将是重要的协调标准之一。在日本、韩国及东南亚等国家和地区，该标准也被广泛采标为各自的工业安全标准。在工业实践中，ISO13849-1被广泛应用于安全光幕、安全门锁、急停按钮、双手控制装置、安全PLC、安全驱动系统等各类安全产品的设计认证，是全球功能安全评估和认证机构（如TÜV、BG等）开展机械安全认证的重要依据。4.2国内应用与标准转化我国高度重视机械安全标准化工作，ISO13849-1已通过等同采用（IDT）方式转化为国家标准GB/T16855.1《机械安全控制系统安全相关部件第1部分：设计通则》，由全国机械安全标准化技术委员会（SAC/TC208）归口管理。该标准作为我国机械安全基础标准体系的重要组成部分，在以下方面发挥着关键作用：在装备制造领域，GB/T16855.1被广泛用于指导机床、锻压机械、工业机器人、食品包装机械、印刷机械、纺织机械等各类装备的安全控制系统设计。设计人员依据该标准确定的PL等级方法，科学合理地选择和配置安全元器件，确保装备在正常操作和可预见的异常情况下均能保持足够的安全性能。在安全监管与执法领域，该标准为特种设备安全监管、安全生产执法等技术检查提供了科学依据。通过依据该标准对在用机械设备的安全控制系统进行评估，有助于识别系统性安全风险，推动事故预防关口前移。4.3标准实施中的常见问题与技术难点在ISO13849-1的实践应用中，设计人员和技术人员常面临以下问题和难点：（1）PL与SIL的概念混淆。由于ISO13849-1（PL体系）和IEC62061（SIL体系）在机械安全领域同时存在，一些设计人员对两者的适用条件、量化方法和等价关系中把握不准，有时导致设计指标的设定不够合理。实际上，两者在PFHd等核心参数上存在明确的对应关系，设计者应根据系统实际构成选择适用的标准评估路径。（2）MTTFd参数获取困难。MTTFd的计算依赖于元器件失效数据的可靠性。在实际工程中，部分元器件供应商无法提供符合预期的失效数据，特别是新型智能安全元器件的基础失效率数据往往不足，导致设计者需要借助数据库（如IEC62380、SN29500）或经验数据进行估算，这在一定程度上增加了评估结果的偏差风险。（3）软件安全性评估的实践经验不足。2023版细化了对安全软件的系统性能力要求，尤其是针对嵌入式软件的开发过程控制和验证方法，对于不少中小企业而言，建立满足标准要求的软件安全开发流程仍是一个挑战。此外，软件工具置信度评估的方法论在实践中也需要进一步积累经验。（4）新旧版本转换的过渡管理。对于已按旧版本完成设计认证的产品，需要评估2023版的适用性并确定合理的过渡期安排。对于正在设计中的项目，则需要及时调整设计流程和文档体系以满足新版要求。5主要参与单位介绍5.1国际标准化组织及ISO/TC199技术委员会ISO13849-1:2023由国际标准化组织下设的ISO/TC199（机械安全技术委员会）负责制定与维护。ISO/TC199成立于1992年，秘书处由德国标准化协会（DIN）承担，主要职责是开展机械安全基础标准的制定和修