ISO 13849-2系统能力验证全指南：从设计承诺到实测证据

MECHANICALSAFETY·FUNCTIONALSAFETYVALIDATIONISO13849-2系统能力验证全指南从设计承诺到实测证据：如何证明你的安全功能足够可靠基于ISO13849-2:2012/ISO13849-1:2023标准体系·政策解读与工程实践分析·测试·组合—三种验证方法的完整落地路径CONTENTS目录01问题引入：纸面达标为何失效真实案例复盘·计算与验证的本质区别02基础概念：标准体系与核心术语Part1/Part2分工·PL/PFHd·Category·MTTFd/DC/CCF03验证方法：分析、测试与组合功能测试·故障注入测试·附录D故障清单·简化算例04验证范围与实施要点CCF现场核对·软件验证·环境条件·最不利条件测试05验证报告与工程实践报告结构·九大常见坑·工具选型·最佳实践01问题引入：纸面达标为何失效SISTEMA算出PLd，故障注入一测就"露馅"了01·问题引入案例：SISTEMA算PLd，故障注入一测就"露馅"背景：2023年华东某汽车零部件厂冲压线安全门联锁采用双通道安全继电器，按ISO13849-1Category3架构设计。SISTEMA计算报告明确显示：PLd，达标。验收功能测试顺利通过——安全门打开，设备停止，一次通过。第三方审核员要求：做一次故障注入测试将其中一个通道的输入触点人为短接，模拟触点熔焊。结果令人后背发凉：系统未检测到任何异常，诊断输出毫无反应；此时打开安全门，设备依然能够启动。这个"Cat3/PLd"系统，在单一故障面前安全功能实际已失效。关键发现：计算给出的是"设计能力"，而"证明"必须靠验证。常规动作都做了，为什么还是漏了？因为没有验证检测电路是否真正有效。01·问题引入根因拆解：两个问题让"Cat3/PLd"名存实亡01共因失效（CCF）风险两个输入通道共用一根多芯电缆的相邻芯线。设计文件CCF评分表填了80分（≥65分即视为措施充分），但那是"纸面设计"，实际布线根本没有落实对应的隔离措施。02检测脉冲被线路电容旁路输入线缆过长，安全继电器发出的检测脉冲被线路电容"吃掉"，检测电路形同虚设。声称的诊断覆盖率（DC）在实际硬件上根本没有达到。核心教训SISTEMA计算、设计评审、功能测试，该做的"常规动作"都做了，为什么还是漏了？因为计算给出的是"设计能力"，而"证明"必须靠验证（Validation）。Part1告诉你"怎么设计"，Part2告诉你"怎么证明"。01·问题引入核心命题：设计决定上限，验证守住下限ISO13849-1：怎么设计定义安全功能与所需性能等级PLr选择Category架构（B/1/2/3/4）计算MTTFd、DCavg、CCF评分用SISTEMA等工具估算达到的PL输出设计计算报告ISO13849-2：怎么证明验证设计过程每一步是否符合要求功能测试：逐项安全功能操作测试故障注入测试：人为制造故障验证检测能力现场核对CCF措施是否真正落实输出验证报告，形成可审计证据SISTEMA算出来的PL是"设计承诺"，故障注入测出来的才是"实际水平"02基础概念：标准体系与核心术语理清术语，是正确验证的第一步02·基础概念ISO13849标准体系：机械安全功能安全的核心框架标准编号国内对应标准核心内容ISO13849-1:2023GB/T16855.1-2025设计通则：Category架构、MTTFd、DC、CCF评分、PL等级、简化PFHd估算方法、软件要求ISO13849-2:2012GB/T16855.2-2015验证：验证流程、分析方法、测试方法、附录D故障清单示例、验证报告要求IEC62061:2021GB/T20438相关机械功能安全：SIL验证的对应体系，与ISO13849并行可用ISO12100:2010GB/T15706-2012机械安全设计通则：风险评估与风险减小的总体方法论，确定PLr的上游依据IEC61508系列GB/T20438系列电气/电子/可编程电子安全相关系统功能安全：验证与确认概念的来源，基础标准02·基础概念Part1与Part2：设计与验证的完整闭环Part1：设计阶段风险评估确定所需PLr选择安全功能架构Category选取元件并确定MTTFd设计诊断机制确定DC评估CCF措施并评分SISTEMA计算达到的PL输出安全要求规格与设计文件设计输出整改反馈Part2：验证阶段审查安全要求规格完整性分析：核对设计参数与计算功能测试：逐项安全功能验证故障注入：验证检测能力现场核对CCF措施落实环境条件与EMC测试输出验证报告与证据档案02·基础概念验证（Verification）与确认（Validation）：两个层次验证Verification回答："设计过程对不对"检查设计过程的每一步是否符合要求：安全要求规格写对了吗？架构选对了吗？MTTFd/DC/CCF取值有依据吗？软件按规范开发了吗？确认Validation回答："最终结果够不够"在真实或接近真实的运行条件下，整体确认安全功能达到了要求的PL。通过功能测试和故障注入测试，验证实际系统的安全性能。ISO13849-2的总标题叫Validation，但正文要求两步都做先验证设计过程（Verification），最后做整体确认（Validation）。两步合在一起，才叫"证明"。中文语境里"验证"和"确认"经常混着用，在标准里是两个不同层次，需要区分清楚。02·基础概念系统能力（SC）：针对系统性失效的防护等级ISO13849-1:2023引入系统能力（SystematicCapability，SC）概念，用SC1-4评估针对系统性失效的防护措施，与针对随机硬件失效的PFHd/PL计算是两条并行线。SC评估什么软件设计流程与规范程度设计文档的完整性与可追溯性配置管理与变更控制验证与确认活动的充分性人员能力与培训记录SC与PL的关系PL/PFHd：评估随机硬件失效概率SC：评估系统性失效的防护能力SC评的是"设计过程有没有能力做出可靠的东西"Part2验证的是"做出来的东西到底可不可靠"两者配合，才是完整的"证明"02·基础概念性能等级PL与PFHd：验证结论的"标尺"PFHd（ProbabilityofdangerousFailureperHour）=每小时危险失效概率，是PL等级的量化基础。验证报告最终要回答：实测PFHd落不落在PLr要求的区间里？PL等级PFHd范围（每小时）典型应用场景PLa≥10⁻⁵且<10⁻⁴低风险设备，轻微伤害且可避免PLb≥3×10⁻⁶且<10⁻⁵较低风险，通常单通道架构PLc≥10⁻⁶且<3×10⁻⁶中等风险，Cat2或Cat3入门PLd≥10⁻⁷且<10⁻⁶高风险，工业现场最常见要求，Cat3PLe≥10⁻⁸且<10⁻⁷极高风险，人身安全直接相关，Cat402·基础概念Category架构：B/1/2/3/4五级结构类别架构特征故障时安全行为诊断要求CCF要求可达PLB单通道，基础故障可导致安全功能丧失无不要求a~b1单通道，经验证元件同B，但元件更可靠无不要求b~c2单通道+周期性测试故障在下一次测试时被检出低~中不要求b~c3双通道冗余单一故障不导致功能丧失中~高≥65分c~d4双通道+高诊断单一故障被检测，故障不累积高≥65分d~e02·基础概念三大可靠性参数：MTTFd·DCavg·CCFMTTFd平均危险失效时间通道发生危险失效的平均时间。分三档：·低：3~10年·中：10~30年·高：30~100年机电元件由B10d值和年操作次数推算；电子元件优先取制造商数据。DCavg平均诊断覆盖率诊断手段能检测到的危险失效比例。分四档：·无：0%·低：<60%·中：60%~90%·高：>90%验证的核心：声称的DC是否与实际检测手段匹配——这正是故障注入测试要查的。CCF共因失效评分单一原因导致多个通道同时失效的防护措施评分。Cat3/4要求≥65分。六大评估维度：·分离/隔离（15分）·多样性（20分）·设计/应用/经验（15分）·评估/分析（5分）·培训（5分）·环境（25分）03验证方法：分析、测试与组合三种方法发现问题的能力差异很大03·验证方法三种验证方法：能力边界与适用场景验证方法能发现什么发现不了什么典型手段分析

Analysis结构错误、参数取值错误、标准条款引用错误实物与图纸不符、接线错误、元件批次缺陷PL计算、SISTEMA、设计评审、CCF评分核对功能测试

Testing逻辑错误、接线错误、参数配置错误潜伏硬件故障（触点熔焊、短路）、检测能力缺失逐项安全功能操作测试、急停/复位时序测试故障注入

FaultInjection检测电路是否真的有效、冗余是否真的冗余系统性设计缺陷（需结合分析）人为开路/短接/通道间短路，观察系统响应关键提醒：功能测试只能证明"正常情况下工作正常"，安全系统恰恰要在"不正常"时才见真章。03·验证方法分析方法：基于文档和计算的验证分析验证的三项核心工作01设计评审逐条对照安全要求规格，检查架构、元件选型、诊断方案是否符合标准02PL计算复核用SISTEMA或手工计算，核对MTTFd、DCavg、CCF、Category输入参数03参数真实性核查参数是"纸面填的"还是"从实物核实的"，决定分析结论能不能站得住03·验证方法功能测试：逐项验证安全功能的逻辑正确性功能测试在正常操作条件下，逐项验证每个安全功能是否按设计要求响应。这是验证的基础环节，但不是全部。急停功能测试按下急停按钮，验证设备在规定时间内进入安全状态；测试复位逻辑，确认需手动复位才能重启安全门联锁测试打开安全门，验证设备立即停止；门关闭后需按复位按钮才能恢复运行，防止自动重启光幕/光栅测试遮挡光幕光束，验证设备停止；测试消隐、旁路功能是否仅在授权条件下生效双手控制测试验证双手同时按下才启动，单手操作不触发；测试双手释放后设备立即停止安全速度监控验证超速时设备进入安全状态；测试安全限位、安全停止功能的响应时间功能测试的局限只能证明正常情况下工作正常，无法发现潜伏硬件故障和检测能力缺失03·验证方法故障注入测试：验证安全架构的试金石人为制造故障（开路、短路、通道间短路），观察系统是否能检测到故障并进入安全状态。这是Cat3/4架构验证的核心环节。核心目的：验证检测电路是否真的有效、冗余是否真的冗余测试时必须同时检查两件事设备是否停止注入故障后，设备是否进入安全状态，停机时间是否在允许范围内故障是否被检测诊断输出是否有故障指示，复位后是否锁定故障状态（Cat3/4关键项）机器人焊接单元入口处的安全光幕与防护围栏03·验证方法附录D故障清单：六类典型注入故障故障类型注入方式期望结果开路（断线）断开输入/输出线缆，模拟线缆断裂系统进入安全状态或故障被检测，诊断输出报警对地短路信号线短接到0V/地故障被检测，系统进入安全状态对电源短路信号线短接到24V电源故障被检测，系统进入安全状态通道间短路双通道之间短接，模拟共因失效必须被检测（Cat3/4的关键项，开头案例即失效于此）元件故障触点熔焊、晶体管击穿（可借助强制导向触点联动特性间接验证）故障被检测，冗余通道接管安全功能电源故障掉电、电压超出允许范围（过压/欠压）系统进入安全状态，恢复后需手动复位03·验证方法组合方法：分析与测试互为补充工程上最常见的做法：先分析定出"预期PL"，再用测试验证关键环节。分析和测试的结论要能对得上。第一步：分析设计评审与参数核对SISTEMA计算预期PL识别高风险环节确定测试重点第二步：测试功能测试逐项验证故障注入测试关键环节最不利条件下测试记录测试条件与结果第三步：比对分析与测试结论对得上吗？不一致则回到设计修正一致则输出验证报告关键原则：如果分析说DC是90%，故障注入却测出检测电路没反应，那就是设计或实现有问题，必须回到设计阶段修正，而不是"修一修报告"。03·验证方法简化算例：DC从90%掉到60%，PL差一档ISO13849-1简化方法给出单通道系统PFHd估算公式，用一个算例说明检测手段失效的影响。PFHd=(1-DCavg)/MTTFd假设安全回路通道MTTFd=20年场景DCavgPFHd估算（每小时）对应PL设计声称：自检+交叉监控到位中（90%）≈5.7×10⁻⁷PLd实测：检测电路被旁路，DC实际只到低档低（60%）≈2.3×10⁻⁶PLc同样的回路，只因为检测手段没真正起作用，PFHd差了4倍，性能等级从PLd掉到PLc。设计计算写得再漂亮，验证不达标，一切都归零。04验证范围与实施要点从纸面到现场：每一项都要落到实处04·验证范围与实施验证覆盖范围：八大对象逐项核查验证对象具体内容主要方法安全功能清单每个安全功能是否都有定义、都有明确的PLr审查安全要求规格架构Category结构是否符合所选Category的全部要求设计评审+分析元件可靠性MTTFd、B10d取值是否有依据、是否与实物一致查数据手册、标准附录表诊断覆盖率DC声称的DC档位是否与实际检测手段匹配分析+故障注入实测共因失效CCFCCF评分是否≥65分，措施是否真的落实现场核对（最易纸面达标）软件SRASW是否按ISO13849-1软件要求开发文档审查+代码走查环境条件EMC、温度、振动、湿度是否满足型式试验报告+现场实测操作与维护文档使用说明书、维护周期、复位方式是否合理文档审查04·验证范围与实施CCF共因失效：评分容易，落实最难CCF（CommonCauseFailure）指单一原因导致多个通道同时失效。Cat3/4要求评分≥65分，但评分表是"纸面设计"，必须现场核对措施是否落实。评估维度满分现场核对要点分离/隔离15两通道是否使用独立电缆？PCB上信号路径间距是否足够？是否共用接插件？多样性20两通道是否采用不同技术/原理？是否使用不同型号元件？设计/应用/经验15是否使用经验证的安全元件和安全原则？设计是否参考成熟方案？评估/分析5是否做了FMEA分析？分析结果是否反馈到设计中？培训5设计和维护人员是否接受CCF相关培训？有无培训记录？环境25EMC防护是否到位？气动系统过滤是否满足？温湿度是否在允许范围？开头案例的教训：CCF评分表填了80分，但两通道共用多芯电缆相邻芯线——评分时给了分离隔离15分，实际布线根本没落实。先现场核对措施，再填评分表。04·验证范围与实施软件（SRASW）验证：文档审查与代码走查SRASW（Safety-RelatedApplicationSoftware）是安全相关应用软件。ISO13849-1对软件有明确的开发流程要求，验证时需审查文档和代码。文档审查要点软件安全要求规格是否清晰可追溯软件架构设计是否符合PLr要求是否使用经验证的软件库和功能块配置管理与版本控制是否规范变更记录是否完整，变更后是否重新验证测试用例是否覆盖所有安全功能测试报告是否包含通过/失败记录代码走查要点安全逻辑与非安全逻辑是否物理隔离是否存在可能被篡改的安全参数watchdog与时钟监控是否有效数据存储是否有校验机制（CRC等）通信是否有超时和错误检测是否禁止使用动态内存分配和递归故障响应是否进入定义的安全状态04·验证范围与实施环境条件验证：EMC、温度、振动、湿度安全功能必须在预期的环境条件下可靠工作。验证需确认系统在电磁、温湿度、振动等环境下不丧失安全功能。EMC电磁兼容静电放电（ESD）抗扰度射频电磁场辐射抗扰度电快速瞬变脉冲群（EFT）浪涌（Surge）抗扰度传导骚扰抗扰度依据IEC61000-6系列温度与湿度工作温度范围验证高温/低温存储测试湿热循环测试结露条件下的功能验证防护等级IP确认依据IEC60068系列振动与冲击正弦振动测试随机振动测试机械冲击测试接线端子松动检查继电器触点抖动验证依据IEC60068-2-6验证方式元件级：型式试验报告系统级：现场实测确认核对证书与实际安装确认环境条件在额定范围保留测试报告作为证据04·验证范围与实施关键细节一：在最不利条件下测试ISO13849-2要求测试在最不利的运行条件下进行。在"空载、低速"下测出来的结果，不能代表实际工况。反面案例：空载低速测急停有同事在设备空载、低速状态下测急停，停机时间300ms。实际满载高速下是800ms。如果安全距离按300ms计算，后果不堪设想。正确做法：最不利条件组合最大负载+最高速度+电源电压极限值+允许的环境温度范围，在这些条件的最不利组合下进行测试。最不利条件四要素最大负载设备满载运行，惯性最大时触发安全功能最高速度最大运行速度下，制动距离最长电压极限电源电压的上限和下限值都要测温度极限允许的环境温度范围的上下限04·验证范围与实施关键细节二：注入点覆盖输入、输出和电源故障注入不能只测输入侧。输出侧（接触器、阀）和电源侧同样要测，开头案例的问题恰恰出在检测链路失效。输入侧急停按钮、安全门开关、光幕触点开路/熔焊模拟信号线对地/对电源短路双通道之间短路检测脉冲是否被旁路线缆长度对检测的影响输出侧接触器、安全继电器输出、阀接触器触点熔焊模拟强制导向触点联动验证输出通道间短路阀线圈断线/短路反馈触点是否真实检测电源侧24V电源、保险丝、接地电源掉电/欠压/过压电源纹波与干扰保险丝熔断后状态接地断开/接地不良恢复供电后的安全状态04·验证范围与实施SISTEMA的角色：分析工具，不是验证工具SISTEMA能做什么由德国IFA开发的免费工具，支持ISO13849-1的PL计算。建模安全回路结构，自动计算MTTFd、DCavg、CCF，输出达到的性能等级PL和报告。SISTEMA不能做什么算出来的PL是"设计能达到的PL"，不是"已经证明的PL"。它无法发现实物与图纸不符、接线错误、检测电路被旁路等实际问题。审核员常见追问："SISTEMA报告有了，故障注入测试记录在哪？"——把SISTEMA报告当验证报告交差，大概率会被打回。05验证报告与工程实践把"证据"写下来，让验证经得起审计05·验证报告与实践验证报告：六项必备内容构成完整证据链ISO13849-2要求验证活动形成文档。验证报告不是一张"验收单"，而是设备安全档案的一部分。01安全功能清单及描述每个安全功能的定义、触发条件和响应方式02PLr与验证结论每个功能的要求PLr和实际达到的PL03验证方法及依据采用分析/测试/组合的说明，引用的标准条款04测试记录测试条件、注入故障、系统响应、是否通过05与安全要求规格对照逐条对照安全要求规格的符合性结果06验证人员与签署验证人员、日期、签署，独立性声明后续改造、审计、事故调查都要用到验证报告——测试时同步记录，不要事后补05·验证报告与实践九大常见坑点：验证环节最容易踩的坑#坑点典型表现建议做法1只做功能测试"开门停机测了，都通过了"按附录D补故障注入，覆盖输入/输出/电源2只测"停了"不测"检测到没"注入后设备停了，但诊断无输出Cat3/4要求单一故障被检测，同时检查诊断指示3测试条件不是最不利空载、低速、常温下测最大负载、最高速度、极限电压和温度4SISTEMA参数与实物不符CCF纸面80分，实际共电缆现场逐项核对CCF措施，再填分5验证报告事后补只有结论，没有测试记录测试时同步记录条件、数据、结果6改造后不重新验证换了接触器，报告还是三年前的任何影响安全功能的变更都要重新验证7把认证当项目验证"元件有TÜV证书，不用验证了"型式认证证明元件，项目验证证明你的系统8只验证部分安全功能只测急停，光幕门联锁没测对照安全功能清单逐项验证，一项不能少9验证人员不独立设计、实现、验证同一人安排交叉评审或独立验证，至少第二人复核05·验证报告与实践主流验证工具与手段：三类"武器"怎么选类别工具/手段提供方收费特点分析工具SISTEMAIFA（德国）免费ISO13849-1事实标准工具，支持PL计算与报告导出分析工具PAScalPilz收费与PNOZ产品线深度集成，支持安全回路验证分析工具SafetyEvaluationToolSiemens免费与TIAPortal集成，可输出SISTEMA兼容数据分