GB-T16855.1-1997 机械安全 控制系统有关安全部件 第1部分 设计通则

ICS13.110

109

溥H

中华人民共和国国家标准

GB/T16855.1一1997

机械安全控制系统有关安全部件

第一部分设计通则

Safetyofmachinery-Safetyrelatedpartsof

controlsystems-Partl:Generalprinciplesfordesign

1997一06一06发布1998一01一01实施

国家技术监督局发布

GB/T16856.1一1997

目

次

前言··。··，，·································，···········，··························································⋯⋯a

0引言·............................................................................................................·一1

I范围··········································‘··················“······························，，···········⋯⋯1

2引用标准............................................................................................................1

3定义，.................................................................................................................2

4总则·...............................................................................·························⋯⋯3

5安全功能特征·，··，，·，··············，，，，·，.··············，，·············。·····，··················，，··，······⋯⋯7

6在故障情况下控制系统有关安全部件的设计········，···············································⋯⋯9

7故障考虑························，···············。····························································⋯⋯13

8鉴定·..............................······...................···········..........................................13

9维修和检验‘·，····，.·····‘····，，，，·，·········‘·，······，.·····‘·“·，，，·，····························⋯⋯14

I。使用信息················。············，，，··································································⋯⋯14

附录A(提示的附录)设计过程中需考虑的一些重要问题····，.···························，·········⋯⋯16

附录B(提示的附录)类别的选择指南·..........................................................................17

附录C(提示的附录)各种技术的一些重大故障和失效清单···....................······，··444·····一19

附录ll(提示的附录)机械的安全性、可靠性和可用性之间的关系····，·················，·········⋯⋯20

GB/T16855.1一1997

前言

本标准等效采用欧洲标准(草案)PREN954-1:1994《机械安全控制系统有关部件—第1部分:设

计通则》,PREN954-1已于1996年10月批准为正式欧洲标准，在内容上没有改变。ISO门'C1”于1993

年就将PREN954-1:1992转为国际标准文件(ISO/TC199N45)，发至各成员国征求意见，准备转为国际

标准。为了加快我国的机械安全标准制定步伐，使之尽快与国际和国外先进标准接轨，经研究，先等效采

用该欧洲标准草案PREN954-1:1994制定国家标准，待正式国际标准出来后，若有变化，再进行修订。

本标准与PREN954-1:1994主要有以下两点不同:

1.将引用标准的导言按GB/T1.1-1993进行了修改，并将引用的有关欧洲标准和IEC标准凡有

对应国家标准的均改为相应的国标，而且取消了原标准中引用的一些欧洲标准草案。(prEN842,

prEN981,EN982,EN983,prEN999,prEN1037,prEN50100-1,prEN61310-3)，因为这些标准草案都还正

处在起草过程中，在EN954-1的条文中也没有具体出现过，故在本标准中未引用。

2.取消了提示的附录E“文献目录”。因为该“目录”所列的IEC和几个欧洲国家的有关可编程电子

系统的标准文件，我们国内都没有，即使列出也无处查找。“目录”中所列的有关质量保证体系的几个国

际标准，在本标准正文中都没有涉及到，不应作为本标准的参考文献。

附录A至附录D是提示的附录。

本标准自1998年1月1日开始实施。

本标准由中华人民共和国机械工业部提出。

本标准由全国机械安全标准化技术委员会归口。

本标准负责起草单位:机械科学研究院。

本标准的主要起草人:马贤智、李勤、张尔正、徐自芬、萧维、张铭续、王国扣。

中华人民共和国国家标准

机械安全控制系统有关安全部件

GB/T16855.1一1997

第一部分设计通则

Safetyofmachinery-Safetyrelatedpartsof

controlsystems--Partl:Generalprinciplesfordesign

0引言

机械控制系统中有些部件通常用于保证安全，这些部件称为有关安全部件，它们可由硬件和软件组

成，提供控制系统的安全功能。它们可以是控制系统的整体部分，或单独部分。

关于出现故障时控制系统有关安全部件的性能在本标准中被分为五种类别(B,1,2,3,4)，这些类

别宜用作参考点，不用作有关安全要求方面的某些顺序或层次。

这些类别可以用于:

—所有机械的控制系统，从简单的如小型炊事机械到复杂的制造设施如包装机械、印刷机械、压

力机等的控制系统。

一一防护装置的控制系统，如双手操纵装置、联锁装置、电敏防护装置(光电屏障)和压敏垫等。

类别的选择将取决于机器和防护措施所用的控制手段。

选择类别和设计控制系统有关安全部件时，设计者至少需要说明以下有关安全部件的信息:

—选择的类别;

—在机械防护措施中起作用的功能特征和确切部分;

—各种确切限制;

—考虑所有与安全有关的故障;

-一通过故障排除和采取措施可以排除而勿须考虑的与安全有关的故障;

-一有关可靠性参数，例如环境条件;

—所采用的技术。

使用类别作为参考点和设计原理的说明是为了标准可以灵活应用，并为控制系统(和机器)有关安

全部件的设计和应用性能提供一个可以通过第三方或内部或独立试验机构进行评定的明确基准。

范围

本标准规定了控制系统有关安全部件安全要求和设计导则，并规定了这些部件的类别及其安全功

能特征。其中包括所有机械和有关防护装置的可编程系统。本标准适用于所有控制系统有关安全部件，

不管使用何种能量形式，如电的、液压的、气动的、机械的。本标准对在特定情况下采用哪些安全功能和

那种类别未具体规定。

本标准适用于所有专业用的和非专业用的机械。需要时，也可用于具有类似危险的在其他技术应用

场合使用的控制系统有关安全部件。

2引用标准

下列标准所包含的条文，通过在本标准中引用而构成本标准的条文。本标准出版时，所示版本均为

国家技术监督局1997一06一06批准1998一01一01实施

GB/T16855.1一1997

有效。所有标准都会被修订，使用本标准的各方应探讨使用下列标准最新版本的可能性。

GB1251.1-89工作场所险情信号险情听觉信号

GB2421-89电工电子产品基本环境试验规程总则

GB4208-93外壳防护等级分类

GB4706.1-84家用和类似电气装置安全第1部分:一般要求

GB4798.10-84电工电子产品应用环境条件导言

GB/T5226.1-1996工业机器电气设备第1部分:通用技术条件

GB/T15706.1-1995机械安全基本概念与设计通则第1部分:基本术语方法学

GB/T15706.2-1995机械安全:基本概念与设计通则第2部分:技术原则与规范

GB/T16755-1997机械安全安全标准的起草与表述规则

GB16754-1997机械安全急停设计原则

GB/T16856-1997机械安全风险评价的原则

3定义

本标准除使用GB/T15706.1中给出的定义外，还采用下列定义。

3.1控制系统有关安全部件safetyrelatedpartofacontrolsystem

对应于来自受控设备(和/或来自操作者)的输人信号而产生有关安全输出信号的控制系统的一个

部件或分部件。控制系统组合的有关安全部件起始于有关安全信号被触发处，结束于动力控制元件的输

出处(见G&/T15706.1-1995的附录A),这也包括监控系统。

3.2类别category

根据其耐故障情况和随后在故障条件下的工况对控制系统有关安全部件的分类，这种分类是通过

它们的结构安排和(或)通过其可靠性达到的。

3.3控制系统安全性safetyofcontrolsystems

根据在故障情况下的工况所规定的类别的控制系统在给定时间内执行其功能的能力。

3.4控制系统可靠性reliabilityofcontrolsystems

在规定的条件下和规定时间内控制系统执行其规定功能的能力。

3.5故障fault

无能力执行所需功能的产品特征状态，不包括预防性维修或其他有计划的活动期间或由于缺乏外

部资源而无能力执行所需功能。

注

1故障通常是产品自身失效的结果，但它可以存在于没有失效之前。

2在实践中，故障和失效(见3.6)通常用作同义语

3.6失效failure

产品执行所需功能能力的终止。

注:

1失效后产品具有故障。

2“失效’，与“故障”的区别是，“失效”是一事件，而“故障”是一种状态

3所定义的这种概念不适用于只有软件构成的产品。

3.7安全功能safetyfunction

由输人信号触发的并通过控制系统有关安全部件处理的能使机器达到安全状态的一种功能。

3.8抑制muting

在机器以其他安全条件运转期间，由控制系统有关安全部件暂时自动中止一种或几种安全功能。

3.9手动重调manualreset

GB/'r16855.1一1997

控制系统有关安全部件内的一种功能，它可以在机器重新起动之前，由手动恢复给定的安全功能。

4总则

设计过程中的安全目标

提供安全功能的控制系统有关安全部件应设计得使遗留风险在以下情况下是可接受的:

在全部预定使用期间和可能预见的误用时;

出现故障时;

—整个机器在预定使用期间出现可预见的人为差错时。

4.2一般设计对策

设计者应根据对机器的风险评价，决定需要由控制系统有关安全部件的每一个部件减小风险的分

配〔见附录B(提示的附录)〕。这种分配不包括受控机器的全部风险，例如不考虑一台机械式压力机或洗

衣机的全部风险，而只考虑通过应用特定安全功能减小的那部分风险。通过使用压力机电感防护装置触

发的停机功能或洗衣机的锁门功能都是这种功能的例子。

主要目标是设计者应保证控制系统有关安全部件在内部失效或外部干扰的情况下，不产生会导致

高于可接受遗留风险的风险输出。这不是总能达到的，但设计者应将出现高于可接受风险的输出减至最

小，并且在这种情况下应提供其他安全措施。减小风险对策的分步示意图见GB/T15706.1-1995的第

5章。

设计者对有关安全部件选择的类别和其他特征(例如各部分的物理位置、隔离)将取决于该部件对

减小风险的作用和在设计与工艺中使用的技术。设计者应负责说明:

—哪些类别将被用作设计参考点;

—有关安全部件的确切起点和终点;

-—达到那种(些)类别设计的设计基本原理(例如考虑的故障、排除的故障)。

由控制系统有关安全部件减小的风险越大.需要那些部件具有的耐故障能力越高。这种能力(理解

为所需执行的功能)可通过可靠性值和耐故障结构部分地量化。可靠性和结构两者都影响有关安全部件

耐故障的这种能力。规定的耐故障性可通过规定元件可靠性水平和(或)采用改进的有关安全部件结构

来达到。可靠性和结构的作用可随所用的技术而变化。例如，在一种技术条件中，一种高可靠性的单通

通道有关安全部件，可能提供与在别的技术中故障容许的可靠性较低的结构具有同样的或更高的耐故

障性。

注1:有关安全部件耐故障性越高，不能执行所擂安全功能的棍率就越低。

可靠性和安全性不是同一概念(见3.3和3.4)。例如，在一个冗余的结构中，具有相对不可靠性元

件系统的安全性可能比具有较简单结构但具有较高可靠性元件系统的安全性更高。弄清这一概念很重

要，因为在有些应用场合，不管达到的可靠性如何，优先需要最高的安全性。例如，当失效的后果总是严

重的并且通常是不可挽回的时候。在这种应用场合，应根据风险评价，提供一种故障探测(一个周期允许

的故障)结构，这种结构能提供一次、两次或多次故障后所需的安全功能。

在安全性主要是通过改善系统结构获得的场合，对复杂结构本标准不要求计算可靠性值。在元件的

可靠性对安全性是重要的场合，对于简单结构(例如一个单通道)计算可靠性值对通过各有关安全部件

分担全部风险的减小是有用的。

注2:机械的安全性、可靠性和可用性之间的关系在附录D(提示的附录)中进一步讨论。

在低风险应用的情况下，避免故障的一些措施可能是合适的;对于高风险应用场合，要通过改善控

制系统有关安全部件的结构未提供避免、查明或容许故障的一些措施。实际措施包括冗余、多样性、监

控

所达到的控制系统有关安全部件的耐故障工况是一种多参量函数，包括:

—与执行安全功能有关的可靠性;

GB/T16855.1一1997

—控制系统的结构;

—有关安全文件的质量;

—规范的完善性;

—设计和维修;

—软件的质量和正确性;

-—功能试验的范围;

—受控机器或机器零件的工作特性。

这些参量可归咎于以下三个主要特征:

—硬件的可靠性—为避免故障的各元件可靠性水平;

—系统结构—为避免、容许或查明故障，对控制系统有关安全部件中各元件的配置;

—影响控制系统有关安全部件工况的不可能定量的一些定性特征。

4.3安全措施选择和设计的过程

本条规定了选择待提供的安全措施及随后设计控制系统有关安全部件的过程。重要的是判别控制

系统有关安全部件和非有关安全部件与机器的所有其他部件间的接口，以实现由有关安全部件减小风

险的作用。

因为减小机器风险可有多种方式，设计控制系统有关安全部件也可有很多方式，所以这种过程是反

复的。在程序的某一步所做的决定和(或)假设可能影响前一步的决定和(或)假设。这方面可通过某一

步程序的反馈进行核查。在鉴定阶段的这种核查对确保所达到的安全性能与在规范中所规定的相同是

重要的。

图1是该过程的说明。提醒设计者在设计进程中应考虑的一些重要方面以问题的形式给在附录A

(提示的附录)中。这些问题说明了在设计有关安全部件中应遵循的基本原理。对于每种应用场合不是

所有问题都适用，在有些应用场合还需要增加一些问题。

第1步:危险分析和风险评价

—根据GB/T15706.1和GB/T16856鉴别机器在各种运行模式期间和在其寿命期的每一阶段

所存在的各种危险。

—根据GB/T15706.1和GB/T16856评价由这些危险产生的风险和确定对那种应用场合合适

的风险减小。

第2步:确定减小风险的措施

一一在机器和(或)安全防护设施方面的设计措施都能起到减小风险的作用。作为设计措施组成部

分起作用的控制系统各部件或在安全防护装置的控制中起作用的控制系统部件都应视为控制系统有关

安全部件。

第3步:规定需由控制系统有关安全部件提供的安全要求。

—规定由控制系统提供的安全功能(见第5章和其他参考文件)。有些特性将出自于设计，有些出

自于使用的其他方法，还有些出自于控制系统的直接要求表1中列出了选择具体安全功能时均应包括

的、比较通用的各种安全功能和特性的参考资料来源。

—规定如何达到安全(如通过使用经过验证的元件和(或)通过使用故障探侧系统)和如何选择控

制系统有关安全部件内的每个零件和组件的类别(例如选择结构)。

第4步:设计

—根据第3步形成的规范和4.2中的一般设计对策，设计控制系统有关安全部件。列出所应包括

的为达到相应类别提供设计原理的各种设计特征。

—考虑可预见的故障(见第7章)验证每一阶段的设计。

注:验证是确定控制系统有关安全部件是否满足设计过程每个阶段全部规定要求的过程。

第5步:鉴定

GB/T16855.1一1997

对机器的危险分析

(GB/T15706.1和GB/T16856)

对机器的风险评价

(GB/T15706.1和GB/T16856)

第1步

确定达到风险减小的措施

(GB/T15706.1-1995的第5章)

(通过机器设计)’!(通过安全防护)’

通过控制系统

第2步

对以下项目规定安全要求:

安全功能特性(第5章)

—和—

达到风险减小的措施(4.2)

选择类别(第6章)

第3步

设计控制系统有关安全部件(见第7章)卜-I验证

第4步

鉴定达到的安全功能和类别(见第8章)

第5步

本标准中不考虑。

图1设计控制系统有关安全部件的迭代过程

GB/T16855.1一1997

一一对照第3步中的规范，鉴定设计所达到的安全功能和类别，必要时重新设计(见第8章)。

—在控制系统有关安全部件设计中，使用可编程电子设备时，还需其他一些详细程序(见

8.3.2).

注

1目前认为，在由于控制系统的操作不当而可能出现重大危险的一些情况下，很难以某种程度的确然性断定，依赖

单通道可编程电子设备的正确运行是可靠的。在这种情况得以解决之前，单纯依靠这种单通道装置的正确运行

是不可取的(见GB5226.1-1996的12.3.5),

2控制系统的有关安全部件还需要和整个控制系统一起并作为机器的一部分进行鉴定。这种鉴定要求不是本标准

的范围，而应由机器设计者或适当的C类标准规定.

4.4人类工效学设计原则

人与控制系统有关安全部件之间的接口应设计和安装得在机器全部预定使用期间和可预见的误用

时不会使人遭到危险(还可见GB/T15706.2和GB5226.1-1996的第10章)。

应采用人类工效学原则使得机器和控制系统(包括有关安全部件)便于便用，使操作者不试图以危

险的方式操作。

表1有关标准中给出的适用于控制系统有关安全部件要隶的一览表

要求本标准

GB/T15706.1

-1995

GB/T15706.2

-1995

GB/T5226.1

-1996

GB4706.1-84其他标准

定义

3

332

设计原则

4.23

9.422

人类工效学

原则

4.44.910

停机功能

5.23.7.1

9.2.2

9.2.5.3

9.4.1

:、‘:

急停功能5.39.2.5.4

GB16754

手动重调5.4

起动和重

新起动

5.5

:.:，;

9.2.1

9.2.5.1

9.2.5.2

9.2.6

响应时间

5.6

有关安全

参数

5.7

3.7.9e

7.1

9.3.2

s3.4

11.8

局部控制

功能

5.8

:.:，:。

动力源的波

动、丧失和

恢复

59

4.3

7.I

7.5

GB/T16855.1一1997

表1(完)

要求本标准

GB/T15706.1

-1995

GB/T15706.2

-1995

GB/T5226.1

--1996

GB4706.1-84

其他标准

抑制5.10

安全功能的

手动暂停

5.11

:.:.:。

9.2.4

盖和电柜13.4

可编程电子

系统:.:.:。

12.3

意外起动5.4

指示与报警3.6.7

人们陷人危

险时的躲避

和援救

6.1.2

电气设备全部

断开和能量

消散:.:.，

物理环境和

运行条件

4.4

控制模式和

模式选择

}一

3.7.9

3.7.10

3.7.11

9.2.3

接口/连接

9.1.4

11

15.4

控制系统不

同有关安全

部分之间的

关系

3.7.6e9.3.4

人一机接口

10

5安全功能特性

5.1概述

本章给出了一个可能由控制系统有关安全部件提供的典型安全功能(见GB/T15706.1--1995的

3.13)清单(见表1)。为了实现特定应用场合控制系统所需的安全措施，设计者(或C类标准的制定者)

应采纳这一清单中的必要安全功能。

表1列出了典型安全功能。有关这些安全功能特性的细节可参考相应的引用标准。对于每项安全

功能，可参考这些标准(见第2章)的有关部分。设计者(或C类标准的制宁者)应仅证所洗怪的安奈劝

GB/T16855.1一1997

能要满足所有这些标准的要求。对于有些功能特性，在本章中也提出了附加详细要求，在选择安全特性

时这些附加详细要求应包括进去。

在必要场合，这些特性应适合采用不同动力源。

5.2停机功能

涂了表1中引用的各项要求外，还应做到:

由防护装置触发的停机功能应在防护装置刚一动作就使机器处于安全状态。这种停机功能应优先

于运行停机功能。

当一组机器以协同方式一起工作时，应采取措施将信号提供给监控器和(或)存在安全停机条件的

其他机器

注:这种停机可能会引起操作问题和难于重新起动，例如在电弧焊时。有些应用场合，这种功能可与运行停机结合

起来，以减少起用安全功能。

5.3急停功能

除了表1中引用的各项要求外，还应做到:

当一组机器以协同方式工作时，有关安全部件应具有将急停功能信号传给协同系统的各个部分的

装置。

在协同系统的一些部分是明显分离的场合(例如通过防护装置或物理装置)，不需要总是对整个系

统采用急停，而只是对通过风险评价认为必要的特定部分采用急停。

有危险的部分急停生效后，该部分与其他部分接口处应不存在危险。

5.4手动重调

除了表1中引用的各项要求外，还应做到:

由防护装置触发停机指令后，这种指令应一直保持到具备重新起动的安全条件。

重调防护装置安全功能，解除停机指令。如果由风险评价指明了这一点，这种停机指令的解除应通

过手动分步仔细的操作加以确认(手动重调)。

手动重调应:

—通过控制系统有关安全部件内的分离式手动操纵装置进行;

—保证所有安全功能和安全装置处于运行准备状态;如果不可能做到这一点，重调就不能实现;

-一不触发运动或危险状态;

—动作准确;

—使控制系统为接受单独的起动指令做好准备;

—只允许通过释放的操纵器操作。

重调操纵器应位于危险区外边并能清楚地看到危险区内是否有人的安全位置.

5.5起动和重新起动

除了表1中引用的各项要求外，还应做到:

当有关安全装置给出起动或重新起动指令时，只有在危险状态不可能存在的情况下，起动或重新起

动才应自动地进行。

对起动和重新起动的这些要求应当也适用于可能被遥控的那些机器。

56响应时间

除了表1中引用的要求外，还应做到:

当对控制系统有关安全部件的风险评价表明需要时，设计者或供应方应说明响应时间。

注:控制系统的响应时间是机器全部响应时间的一部分。机器系统所佑要的全部响应时间可能影响有关安全部件

的设计(例如需要提供制动系统)。

5了与安全有关的参数

除了表1中引用的各项要求外，还应做到:

GB/T16855门一1997

当与安全有关的参数(例如位置、速度、温度、压力)偏离规定限制时，控制系统应起用适当措施(例

如驱动停机装置、报警信号、报替器)。

如果在可编程电子系统中与安全有关的参数的手动输人差错会导致危险状态，那么在有关安全控

制系统内应提供数据检查系统(例如检查各种限制、格式和(或)逻辑输人数值)。

5.8局部控制功能

当机器被局部控制时(例如通过可携带控制装置、吊挂操纵板)，除了表)中引用的各项要求外，还

应做到:

—选用的局部控制措施应位于危险区外;

—由局部控制区外边应不可能引致危险状态;

—局部和外部(例如遥控)控制之间的切换应不产生危险状态。

5.9动力源的波动、丧失和恢复

除了表I中引用的各项要求外，还应做到:

当出现能级超出设计运行范围的波动时，包括能源丧失，控制系统有关安全部件应继续提供或激发

能使机器系统其他部分保持安全状态的输出。

当能源恢复时，只有在不存在危险状态的情况下，才能自动重新起动。

5.10抑制(见3-8)

抑制不得导致任何人面临危险状态。

抑制终止时控制系统有关安全部件的所有安全功能都应恢复。

提供抑制功能的有关安全部件的类别应选择得使包含的抑制功能不削弱安全所需的有关安全功

能。

注:在有些应用场合需要一个抑制指示信号。

5.11安全功能的手动暂停

当有必要手动暂停安全功能时(例如，设定、调整、维护、修理)，除了表1中引用的要求外，还应做

到:

—在那些不允许手动暂停的运行模式中，提供有效而可靠措施防止手动暂停;

—在(机器)可能继续正常运行之前，应恢复控制系统有关安全部件的安全功能;

—担负手动暂停的控制系统有关安全部件应选择得使其遗留风险是可接受的。

注:在有些应用场合需要一个手动暂停指示信号

6在故障情况下控制系统有关安全部件的设计

6.，概述

控制系统有关安全部件应符合本标准中规定的五种类别的一项或多项要求。

根据4.2中阐述的对策，类别表明控制系统有关安全部件在其耐故障方面所需的工况。

B类是基本类。当出现故障时，不能执行安全功能。在1类中主要是通过选择和应用合适的元件提

高耐故障的能力。在2,3,4类中对特定安全功能方面的性能提高主要是通过改进控制系统有关安全部

件结构实现的。这在2类中，是通过定期检查正在被执行的特定安全功能达到的，在3类和4类中是通

过保证单项故障不会导致安全功能丧失达到的。在3类中，只要合理可行，要查明单项故障，而在4类

中，要查明单项故障，并要规定承受故障积累的能力。

各类别之间耐故障工况的直接比较只有在一次仅有一个参数变化时才能进行。较高的类别只有在

可比较的条件下，例如使用类似的制造技术、可靠性可比较的元件、类似的维修规范和在可比较的应用

场合，才能被理解为可提供更大的耐故障性。

表2是控制系统有关安全部件的各个类别、要求和在故障情况下的系统工况一览表。

当考虑一些元件失效原因时，有些故障可不包括在内(见第7章)。

GB/T16855.1一1997

表2控制系统有关安全部件类别

类别求系统工况

实现安全的主要原则

控制系统有关安全部件和(或)其防护装置

以及它们的元件都应根据有关标准设计、

选择、装配和组合，以使其能承受预期的影

响

—出现故障时可能导致安全功

能的丧失

通过选用元件

应采用s类的要求

便用经过验证的安全元件和安全原则

像上述的s类那样，但安全功能具

有更高的与安全相关的可靠性

应采用s类的要求和经过验证的安全原则

应通过机器控制系统以适当的时间间隔检

查安全功能

注:适当的时间间隔取决于机器的类

型和应用场合

—两次梭查期间出现故障会导

致安全功能丧失

—安全功能丧失通过检查判明

应采用B类的要求和使用经过验证的安全

原则。

控制系统应设计得:

—控制中的单项故库应不导致安全功能

丧失，和

一一只要合理可行，查明单项故陈

—出现单项故障时安全功能始

终执行

—有些(但不是全部)故降将被

查明

—未查明的故障积象可能导致

安全功能丧失

通过结构设计

应采用B类的要求和使用经过验证的安全

原则

控制系统应设计得:

—一控制中的单项故障不应导致安全功能

丧失，和

—在下一个有关安全功能指令发出时或

发出之前查明单项故障。如果不可能查明，

那么，故障的积累不应导致安全功能丧失

—故障出现时安全功能始终执

行

—故障要及时查明，以防止安全

功能丧失

注:风险评价应指明由故障引起的总体或部分安全功能丧失是否可接受

6.2类别规范

6.2.1B类

根据有关标准，采用针对具体应用场合的一些基本安全原则，将控制系统有关安全部件至少应设

计、制造、选择、装配和组合得能承受:

—预期的操作应力(例如与开关容量和频次有关的耐久性和可靠性);

-—加工物质的影响(例如洗衣机中的洗涤物质);

-一其他相关的外界影响(例如机械振动，外部场，电源波动或中断)。

注:

I对遵循B类的部件不采用专门安全措施。

2出现故障时可能导致安全功能丧失.

6.2.21类

1类应采用B类要求和本条要求。

cB/T16855.1一1997

1类控制系统有关安全部件应采用经过验证的元件和原则来设计、制造。

有关安全应用的经过验证的元件是指:

—在类似应用场合已广泛使用过并且具有成功经验的那些元件，或

—采用经过证明对有关安全应用是适用而可靠的原则制作并经过验证的那些元件。

在有些经过验证的元件中，某些评估出的故障由于已知故障率很低，也可以不包括在内。

可根据应用场合，决定将某一特定元件认可为经过验证的元件。

注1:在只有单一电子元件水平上，通常不可能实现1类

经过验证的安全原则的例子是:

—避免某些故障(例如通过隔离避免短路);

—减小故障概率(例如元件的超标定或低估);

—采用定向故障模式(例如在故障事件中除去动力是至关重要的时，采用保证开路);

—尽早查明故障(例如早期故障检查);

—限制故障后果。

新开发的元件和原则如果满足上述条件，它们可以考虑视为等效“经过验证的”。

注z:1类中的失效概率低于s类的，因此，安全功能丧失可能性较少.

注3:出现故障时可能导致安全功能丧失。

6.2.3z类

应采用B类的要求和经过验证的安全原则以及本条的要求。

2类控制系统有关安全部件的安全功能应按适当的时间间隔通过机器控制系统进行检查。安全功

能检查应在以下情况下进行:

—在机器起动时和在某种危险状态产生之前，和

—如果风险评价和操作类型表明有必要的话，在运行期间定期进行。

这种检查可以自动地或手动地进行。安全功能的某种检查应做到:或

—如已查明没有故障允许运行，或

—如果查明有故障，产生一个触发合适控制动作的输出。只要可能，这种翰出应产生安全状态。当

这种输出不可能产生安全状态时(例如执行开关装置中的触头焊合)，该输出应提供危险警报。

这种检查自身应不导致危险状态。

故障查明后，安全状态应保持到故障被排除。

注

1因为安全功能检查不可能应用于所有元件，例如压力开关或温度传感器，所以在有些悄况下，z类是不适用的

2一般z类可以借助电子技术实现，例如在防护设备和特定控制系统中。

3这种系统工况允许:

—一种故障出现可能导致两次检查之间安全功能丧失;

—通过检查发现安全功能的丧失。

检查设备可以与提供安全功能的有关安全部件是一个整体或者是分离的。

6.2.43类

应采用B类的要求和经过验证的原则以及本条的要求。

3类控制系统有关安全部件应设计得在这些部件中任何一个出现单项故障，都不会导致安全功能

丧失。应考虑共因失效。只要合理可行，在有关安全功能的下一个指令发出时或在发出之前应查明单项

故障

注

1检查单项故障的这种要求并不意味着所有故障都将查明。因此，未查明的故障积萦可能导致意外愉出和机器危

险状态。继电器触头的持连动作或冗余电输出的监控是查明故障的实际可行措施的典型例子。

2如果技术上和应用上需要的话，C类标准的制定者应对查明故障给出进一步详细规定。

11

GB/'r16855.1一1997

3这种系统工况允许:

—当单项故障出现时安全功能总是有效的;

—有些(但不是全部)故障将被查明;

—未查明故障积累可能导致安全功能丧失。

4“只要合理可行”是指为查明故障所需的措施及实施这些措施的程度主要取决于失效的后果和在应用中出现失

效的可能性。所采用的技术将影响执行故障检查的可能性。

6.2.54类

应采用B类要求和经过验证的安全原则以及本条的要求。

对4类控制系统有关安全部件应设计得:

—在这些有关安全部件中的任一部件的单项故障都不导致安全功能丧失，和

—在有关安全功能的下一个指令发出时或发出之前查明单项故障。例如，在开关闭合((on)时、机

器运行周期结束时立即查明。如果不可能查明，那么故障积累也不应导致安全功能丧失。

如果不可能查明某些故障，至少应假设在故障出现之后下一次检查期间，由于技术或电路原因，会

进一步出现某些故障。在这种情况下，故障的积累应不导致安全功能丧失。当认为故障进一步出现的概

率很小时，故障复查可以停止。在这种情况下，需要考虑的组合的故障数取决于技术、结构和应用的场

合，但应充分满足检查判据。

注1:实际上需考虑的故障数将会有很大变化，例如在复杂的徽处理器电路的情况下，可能存在大量故障，但在电液

系统中，考虑三项(甚至两项)故障可能就足够了。

在以下情况时这种故障复查可以限于组合中的两种故障:

—元件故障率很低，和

—组合中的故障在很大程度上是相互独立的，和

—各种故障必须按中断安全功能的一定顺序出现。

如果由于第一个单项故障的结果会出现进一步故障，第一个和随后的所有故障都应考虑为单项故

障。应考虑共因失效，例如通过使用不同的方案、专门试验程序等加以研究。

注2:在复杂电路结构的情况下(例如微处理器，完整的冗余技术)故障复查一般在结构方面进行，即以装配组为基

础.

注3:本系统工况允许:

—出现故障时安全功能一直有效;

—及时查明故障以防安全功能丧失

6.3不同类别有关安全部件的选择和组合

6.3.1类别的选择

安全功能(见3.7和第5章)是根据4.3中阐述的程序确定的(见图1第3步)。执行这些安全功能

的控制系统所有有关安全部件都应选择故障工况类别(见3.2)，以达到预期的风险减小(见6.2和

表2)。如果对控制系统各有关安全部件选用不同的类别，在故障情况下这些部件仍应保持预期的系统

工况。

风险减小量和各类别之间没有直接关系，只存在微弱相关性(选择类别的指南见附录B),

具体的控制系统有关安全部件类别的选择主要取决于该部件:

—承担安全功能所达到的风险减小;

—故障出现的概率;

—在故障情况下产生的风险;

—避免故障的可能性。

6.3.2各有关安全部件的组合

为获得所需的摘出信号，可以只用一个有关安全部件或多个有关安全部件组合应用。一种安全功能

可以通过一个或多个部件(单独的或以联合的方式)实现。几种安全功能也可以通过一个部件实现，当不

12

GB/T16855.1一1997

同类别的各分部件执行一种安全功能时，最终类别只能通过重新全面分析所考虑结构的系统故障工况

才能确定(见表2中的各类别判据)。如果各部件的分析结果是合适的，这种分析可以简化。

7故障考虑

71概述

根据所需的类别，各有关安全部件应按其承受故障的能力(见4.2)选择。为了评价其承受故障的能

力，应考虑失效的各种模式。某些故障也可以排除(见7.2),

附录C(提示的附录)列出了与不同技术有关的一些重大故障。在附录C中所给出的那些故障清单

不是唯一的，当必要时应考虑并列出一些附加故障。在这种情况下鉴定方法也应明确说明。

通常应考虑以下故障判据:

—如果由于一项故障的结果促使一些元件进一步产生故障，那么，第一项故障和所有后面的故障

都应考虑为单项故障;

—共因故障被视为是单项故障;

—不同时考虑两项独立的偶然故障。

72故障排除

如果不假定某些故障可以排除，那么评价控制系统有关安全部件就是无意义的。可能排除的故障是

安全技术要求和故障出现的理论可能性之间的综合结果。这将受到有关安全部件中各元件的结构、尺

寸、安装和布局影响。设计者应说明所有有关故障排除的理由并列出清单。

故障的排除可根据:

—某种(些)故障出现的不可能性;

—普遍认可的技术经验，这种经验能独立适用于所考虑的应用场合;

—由应用导致的技术要求和所考虑的特定风险。

8鉴定

3.1概述

本章说明第4章中第5步的要求。

鉴定是确定控制系统有关安全部件与机械的安全要求规范符合程度的过程。鉴定包括根据鉴定方

案(见8-2)进行试验和分析。

控制系统有关安全部件的设计应进行鉴定。鉴定应证明有关安全部件满足:

—规定类别的全部要求(见第6章)和

—在设计基本原理中提出的该部件具休安全特性。

控制系统有关安全部件的鉴定应包括下列要素:

-—选择鉴定方案;

—鉴定活动的管理与实施(试验规范、试验程序、分析程序);

—文件(所有鉴定活动和决定的可审查的报告)。

8.2鉴定方案

鉴定方案应明确鉴定过程各阶段执行的要求。鉴定方案应与控制系统有关安全部件的设计同时制

定，也可由有关C类标准规定。该方案应包括对以下各项要求的说明:

—通过试验鉴定，包括:

a)规定的安全功能试验。

b)规定的类别试验;

C)对环境参数的标定和符合性试验;

—通过分析鉴定。

13

GB/'r16855.1一1997

8.3试验鉴定

8.3.1规定的安全功能试验

最重要的步骤之一是完全符合其规定特性的(控制系统有关安全部件的)安全功能试验。检查差错，

尤其是检查制定机器规范和机器研制期间的疏漏是十分重要的。

安全功能的试验目标是查明有关安全输出信号是正确的并且逻辑上取决于输人信号。当通过风险

评价认为必要时，对鉴定系统的试验应包括在静态和动态模拟状态下的所有正常条件和可预见的非正

常条件。

8.3.2规定的类别试验

类别取决于在故障事件中的系统工况。试验应证明该要求已满足。试验程序应根据以下两条判据

选择:控制系统的技术和复杂程度。原则上，下列方法是适用的:

—对线路图的理论检查和根据线路图进行性能分析;

—对实际电路的实际实验和对实际元件的故障模拟，尤其是在理论检查和分析期间对性能判别

产生疑问的地方;

—控制工况模拟(例如借助于硬件和(或)软件模式)。

无论何时试验复杂的控制系统有关安全部件，通常都需要将该系统分成几个功能子系统并要专门

提供故障模拟试验接口。

8.3.3环境参数标定与符合性试验

这些试验应证明在所有规定的运行模式中和各种规定的环境条件下所规定的设计特性均已达到。

试验应包括诸如对预期的机械结构、电参数的额定值、温度、湿度、振动、冲击载荷、电磁兼容性、加工材

料影响等试验。

与这些试验有关的标准应考虑GB/T5226.1,GB4208,GB2421,GB4798.10等。

8.4分析鉴定

在大多数复杂的系统中，为鉴定风险已减小，分析将是必要的。分析工具可采用故障清单(见第7

章)、故障树分析、故障模式和效应分析、临界状态分析、系统故障检查清单等。

8.5鉴定报告

当鉴定过程结束时，应写出安全鉴定报告，总结试验并分析、指明哪些已达到，包括结果。报告应特

别写明:

—试验的所有项目;

—试验的负责人;

—试验设备(包括标定细节)和模拟工具;

—某种分析或出现的试验故障以及结果的最终结论。

各种结果应形成文件并以可审查的形式保存。

注:按照8.5的要求去做将有助于制造方完善关于控制系统有关安全部件的设计技术文件。

9维修和检查

为了保持有关安全部件的规定性能，预防性维修或纠正性维修通常是必要的。规定的性能随时间产

生的偏差可能导致安全的恶化甚至导致危险状态。为了识别这种偏差，有时必须人为的定期进行检查。

对维修的所有信息规定都应符合GB/T15706.2-1995的5.5.le的规定。

10使用信息

应采用GB/T15706.2-1995第5章和其他有关标准(例如GB/T5226.1-1996的第18章和第

19章)中的原则。尤其重要的是要向使用者提供安全使用控制系统有关安全部件的那些信息，这包括

(但不限于):

14

GB/T16855.1一1997

—所选类别的限制，包括某些故障排除;

注:在保持选择的类别和安全性能中，当故障排除是主要的时，为保证故障排除的连续合理性需要提供合适的信息

(例如更改、维修和修理)。

—与规定性能的偏差对安全功能的影响;

—对控制系统有关安全部件与防护装置的接口的明确阐述;

—响应时间;

—运行限制(包括环境条件);

—指示和报替;

—安全功能的抑制和暂停;

—控制模式;

—维修和检验(见第9章);

—维修检查清单;

—内部零件的易接近性和更换;

—方便、安全的故障检修措施。

Gs/T16855.1一1997

附录A

(提示的附录)

设计过程中器考虑的一些三要问题

本附录列出了在设计过程中(见4.3)需要考虑的一些重要间题。

A1当出现故障时控制系统有关安全部件需要起什么作用?

a)不需要任何特别的作用。

b)在某一时间内需要起安全作用

c)需要立即起安全作用。

A2应假设在哪些部件中出现故障?

a)仅在(根据经验)经常出现故障的那些有关安全控制系统的部件中，如在外围传感器和线路中。

b)在有关安全控制系统的附件中。

c)在所有控制系统的有关安全部件中。

A3偶然故障和系统故障两者都考虑了吗?

AQ在控制系统有关安全部件的各元件中应假设哪些故障?

a)仅在未经验证元件中的故障。

注:“验证’卜并不是在可靠性的惹义上说的，而应从安全的观点理解(见6.22).

b)所有元件中的故障。

A5关干查明故障要求的正确参考类别已选定了吗?

a)对查明故障的常规要求。

注:这意味着所有可用相对简单的方法查明的故障都应查明

b)对查明故障的强烈要求。

注，这意味着应采用能查明大多数故障的技术。如果是不可行的，则应假设各种故障的组合(故津积累见6.2.5)

A6如果故障已查明，控制系统下一步应起什么作用?

a)应使机器处于像风险评价要求的那样一种预定的状态。

b)在故障排除前不允许机器进一步运行。

c)充分指明故障(例如，通过视觉显示装置—VDU—发出报警信号)

A了满足维修的必需要求是什么?

a)保证提供关于设计规范偏差影响的信息。

b)自动指明维修要求。

c)设定维修间隔。

d)设定元件寿命。

e)保证提供诊断设施和试验点。

f)维修期间有关安全的特殊防护。

A8查明故障应采取什么方法?

a)如果可能，宜自动查明故障。

b)人工查明故障，例如采用周期性检查方法。

c)采用一种以上方法。

A9遗留风险达到可接受程度了吗?

a)借助于各种减小风险措施的不同组合能更容易使遗留风险达到可接受程度吗?

b)检查所采取的措施:

—不减小机器执行其安全功能的能力。

—不产生新的、意外的危险或问题。

GB/T16855.1一1997

c解决的办法对所有运行条件和所有程序都有效吗?

d)这些解决办法相互兼容吗?

e)安全规范正确吗?

A10考虑人类工效学原则了吗?

a)控制系统有关安全部件，包括防护装置，便于使用吗?

b)有安全方便的通向控制系统的通道吗?

c)优先给出警告信号了吗?(例如高亮度的)?

A11安全性、可靠性、可用性以及人类工效学之间的关系已按这种方式，即在系统的整个寿命期间安

全措施都要保持，并且不会导致人为毁坏安全功能的方式优化了吗?

附录B

(提示的附录)

类别的选择指南

B1概述

本附录阐述了一种选择作为各种控制系统有关安全部件设计参考点的合适类别的简单方法(根据

GB/T16856)

使风险定量化通常是很难的，甚至是不可能的，并且这种方法只与通过所考虑的控制系统有关安全

部件承担的风险减小作用有关。这种方法只能给出风险减小的估价，并且预期对设计者和标准的制定者

根据故障情况下的工况选择类别给以指导。然而这只是一个方面，另一方面的作用，也会影响对已达到

安全的评价。这些包括诸如元件的可靠性、所用的技术、具体应用场合，同时它们可能表明与预期的选择

类别的偏差。

方法如下:

损伤严重度(用S代表)相对容易评估，例如，划伤、断肢、死亡。对于出现的频次，采用辅助参数来改

善评估。这些参数是:

-—暴露于危险的频次和时间(F);

—避开危险的可能性((P),

经验表明这些参数可组合成如图BI所示由低到高的风险等级。需强调的是。这是一个只给出风险

评价的定性过程

在图B1中优先选用的类别是用一个大的实心圆表示。在有些应用场合设计者或c类标准的制定

者可偏离到用小的实心圆或大的空心圆表示的另一类别可以采用不是优先选用的类别，但是在故障情

况下预定的系统工况应保持。偏离的理由应给出。选择不是优先选用类别的理由，可能是由于采用不同

技术，例如采用经过验证的液压或机电元件((1类)，联合应用电气或电子系统((3类或4类)。选用较低类

别(图B1中的小圆)时，可能需要如下附加措施:

—超标定或采用能导致故障排除的技术;

--一采用动态监控。

例如，风险评价具有参数S1(见B2.1)给出控制系统有关安全部件的类别为1类时，在有些应用场

合设计者或c类标准制定者可通过使用其他安全防护措施选择B类