工业PLC控制系统功能安全设计指南（中文版）

工业PLC控制系统功能安全设计指南（中文版）编制依据本指南遵循IEC61508（电气/电子/可编程电子安全相关系统的功能安全）通用要求，对应国内等同国标：GB/T20438.1~7-2017；PLC产品专项要求同步满足GB/T15969.6-2015（IEC61131-6）可编程控制器功能安全。说明：本文件为工程实施指南（非国标原文），IEC61508本身是通用E/E/PE安全基础标准，没有单独命名为“PLC功能安全设计指南”的官方文档；各安全PLC厂商（西门子、和利时、罗克韦尔等）配套手册均以IEC61508+IEC61131-6作为基准。适用对象：安全型PLC（FS-PLC）构成的安全相关控制系统（SCS）、安全仪表系统SIS；用于机械、能源、冶金、水处理等非过程工业场景（过程工业可叠加IEC61511/GB/T21109）。1范围与目的1.1本指南规定基于PLC的安全相关系统全生命周期管理、风险分析、SIL分配、硬件架构、安全软件、IO接口、通信、验证确认、运维、变更的设计规则，满足IEC61508安全生命周期模型。1.2本指南覆盖安全功能（SIF）的实现，区分：安全控制回路+普通非安全PLC控制回路；禁止安全功能与普通控制功能无隔离混跑。1.3本指南适用SIL1～SIL3（IEC61508最高SIL4，PLC系统极少落地）。2术语与缩略语（对齐IEC61508-4）缩写全称简要说明SIL安全完整性等级衡量安全功能在要求时成功执行的概率，SIL1~SIL4SIF安全仪表功能一条独立安全保护回路FS-PLC安全PLC经SIL能力认证的可编程电子控制器PFDavg平均危险失效概率低要求模式核心指标，IEC61508核心量化参数HFT硬件故障裕度允许存在硬件故障而不丧失安全功能DC诊断覆盖率系统自检检出危险失效的比例FSA功能安全评估独立第三方/内部评估，验证符合性V&V验证与确认分阶段检验设计、实现是否满足安全要求E/E/PE电气/电子/可编程电子IEC61508的系统分类3总体要求：IEC61508核心——安全生命周期必须完整执行整体安全生命周期，不能只做硬件软件设计：风险与危害分析（HAZID、HAZOP、LOPA）安全要求规范SRS（单独编制安全需求，和普通控制需求分开）SIL分配（为每一条SIF分配目标SIL等级）系统设计（硬件+软件+IO）实现、集成、测试FSA功能安全评估安装调试、试运行运行维护、定期测试变更管理、退役处置IEC61508强制：功能安全管理贯穿全周期，指定功能安全负责人，职责分离（设计、测试、评估人员相互独立，高SIL要求独立评估）。4风险评估与SIL分配规则先通过固有安全、防护措施、报警等降低风险，剩余风险才分配给PLC安全系统SIF；安全PLC是最后防护层，不能替代本质安全设计。低要求模式（绝大多数工业安全PLC：急停、安全联锁、压力保护）采用PFDavg判定：SIL1：10⁻²≤PFDavg<10⁻¹SIL2：10⁻³≤PFDavg<10⁻²SIL3：10⁻⁴≤PFDavg<10⁻³SIL4：10⁻⁵≤PFDavg<10⁻⁴选型基本原则：整套SIF回路（传感器+PLC+执行器）的SIL≥分配SIL；不能只看PLC本体SIL能力。5硬件设计规范（满足IEC61508-2）5.1控制器架构选型SIL1：HFT=0，可单通道（1oo1），要求高DCSIL2：典型HFT=0高DC或HFT=1（1oo2）SIL3：强制HFT≥1，主流架构1oo2（双通道冗余安全PLC）；2oo3可兼顾可用性，成本更高禁止：普通标准PLC（非安全型）直接承担SIL2/SIL3安全功能；普通PLC无安全失效计算、无安全诊断，不满足IEC61508。5.2硬件失效与诊断要求硬件失效分为：危险失效、安全失效（误动作）；计算PFDavg时使用元件FMEDA失效数据（厂商提供经认证的失效速率λ）。诊断机制：CPU自检、内存校验、看门狗、IO通道短路/断线检测、电源监测、通道交叉比对（双通道）；硬件约束：安全背板、安全IO模块、安全电源必须和控制器SIL能力匹配；非安全模块禁止接入安全背板。隔离：安全PLC柜、安全回路线缆与普通控制回路物理隔离，独立接地、独立供电。5.3IO、传感器、执行终端输入：安全型接近开关、安全光栅、急停按钮、隔离开关，优先双通道接线；输出：安全继电器、安全接触器、SIL认证电磁阀；禁止普通固态继电器直接用于SIL2+安全输出；每个SIF回路单独评估，不共用执行元件（除非在SRS中明确评估共因失效CCF）。6安全软件设计规范（满足IEC61508-3）安全PLC软件分为：固件（厂商安全内核）+用户安全应用程序用户程序开发必须使用PLC安全编程环境（安全FBD、安全LD），禁止使用不受限高级语言、指针、动态内存；软件安全生命周期：软件需求→软件设计→编码→模块测试→集成测试→软件V&V；编程强制规则：安全逻辑与普通控制逻辑分区隔离，变量分区，禁止跨区随意读写；安全变量只读保护，禁止普通程序改写安全联锁条件；程序校验和CRC，每次下装自动校验，非法修改拒绝运行；禁止隐式变量、全局变量滥用；每个安全逻辑添加注释、溯源到SRS安全需求；软件版本严格配置管理，每版归档、变更走变更审批；软件故障避免措施：数据流分析、控制流分析、MC/DC覆盖率测试（SIL2/SIL3强制）。7安全通信跨安全PLC、安全IO远程通信必须使用安全协议：PROFIsafe、FSoE等，不能直接使用普通Modbus/TCP、普通Profinet；普通通信无安全校验，不满足IEC61508；安全通信包含：序列号、CRC、超时检测、地址校验，抵御报文丢失、重复、篡改；安全通信链路也要纳入FMEDA计算，计入整体PFDavg。8验证、确认与功能安全评估（FSA）分阶段验证：单元测试、集成测试、系统黑盒测试；测试用例逐条对应SRS安全需求；确认：在现场工况下测试所有安全触发场景，包含正常、故障、断线、短路、单通道失效场景；FSA：SIL1：可内部功能安全评估；SIL2/SIL3：IEC61508要求独立评估人（和设计开发团队分离）；输出FSA报告，作为安全交付文件。9文档、变更、运维（IEC61508-1管理要求）9.1交付文档包（必须成套）安全需求规范SRSHAZOP/LOPA风险报告、SIL分配表FMEDA报告、PFDavg计算书硬件原理图、安全IO清单、架构图安全软件源码、版本记录、测试报告FSA功能安全评估报告操作维护规程、定期测试规程9.2变更管理任何硬件、程序、参数修改，都需要重新评估对SIL、PFD的影响；变更申请→影响分析→重新测试→评估→归档，未经审批禁止在线修改安全程序。9.3运行与定期测试制定SIF周期性测试计划（测试间隔写入SRS）；记录所有安全动作、报警、故障；故障维修后必须复现测试安全功能；备件必须是同型号SIL认证备件，替换后校验。10合规判定要点（IEC61508符合性自查清单）✅是否建立完整安全生命周期流程，有独立功能安全负责人✅是否区分安全功能和非安全功能，隔离设计✅是否使用带SIL能力认证的FS-PLC、安全IO、安全元器件✅是否完成FMEDA、PFDavg计算，回路整体满足目标SIL✅是否完成V&V测试，测试用例覆盖故障场景✅是否完成FSA评估，形成评估报告✅是否有严格软件、硬件变更管控❌红线：普通PLC、普通IO、普通通信直接用于SIL2/SIL3安全功能；无SRS、无PFD计算；安全逻辑和普通逻辑混杂无隔离。配套标准清单（备查）GB/T20438.1-2017（IEC61508-1）一般要求【本指南基准】GB/T20