如何依据ISO 13849-1确定性能等级（PLr）
Date: 08/06/2026
内容：
确保机械安全，绝不仅仅是选择一个保护装置那么简单。标准制定机构和监管机构要求工程师定量证明：控制系统中的每一项安全相关功能，都能将风险降低至可接受水平。若未能做到这一点，不仅可能导致违规并带来法律风险，更严重的是——可能对操作员造成伤害。
目前国际公认的两大常用安全框架为：
性能等级（PL），由 ISO 13849-1 定义
安全完整性等级（SIL），由IEC 62061 和 IEC 61508 定义
这两大框架均旨在降低安全相关控制系统中发生危险失效的概率，但所采用的方法和术语有所不同。
本文聚焦于性能等级（PL），以及机械设计人员如何确定安全功能所需的等级。
什么是安全功能？
定义 – ISO 13849-1
安全功能是针对特定危险事件实现或保持机器安全状态所需要的功能，即失效后可能造成风险增加的机器功能。每一项安全功能均应单独定义、单独评估。
一项定义完善的安全功能应明确以下内容：
- 所针对的危险状况；
- 触发事件或输入信号；
- 激活后机器必须达到的预定安全状态。.
示例
如果操纵杆被松开或发生故障（输入信号），机器应立即停止所有臂架/铲斗的运动（安全状态），从而避免碰撞或挤压伤害的风险（危险）。
👍重要提示
在开展任何性能等级合规性评估之前，每项安全功能都必须明确定义、关联特定危险事件，并进行独立评估。将多种危险场景捆绑为单一安全功能进行评估，是一种常见且后果严重的错误。
依据ISO 13849-1进行风险评估
确定所需性能等级（PLr）始终从风险评估开始。
根据ISO 13849-1标准，风险估算基于以下三个参数：
参数 | 含义 | 评估 |
S | 伤害的严重程度 | S1 — 可恢复的伤害（割伤、挫伤等） S2 — 不可恢复的伤害或死亡 |
F | 暴露于危险的频率和/或持续时间 | F1 — 很少～不常暴露 F2 — 频繁～连续暴露 |
P | 避免危险或限制伤害的可能性 | P1 — 在特定条件下可能 P2 — 几乎不可能 |
如何计算性能等级（PLr）？
计算过程遵循以下步骤：
识别机器在整个生命周期内关联的所有危险状况。
明确定义每一项安全功能：输入、输出，以及所针对的具体危险。
基于现实中最恶劣的运行工况，评估每项安全功能的S/F/P参数。
根据ISO 13849-1风险估算图，读取PLr。
设计SRP/CS（控制系统安全相关部分），确保PL ≥ PLr。
👍重要提示
每一项安全功能均需独立评估。
一台机器可能具备多项安全功能，且各项功能的PLr可能各不相同。
👉 结果：得出该特定安全功能的所需性能等级（PLr）。
示例
移动式机械的操纵杆控制
对于移动式作业机械，需考虑以下安全功能：如果操纵杆被松开或发生故障（输入信号），机器的所有臂架/铲斗运动必须立即停止。
PLr计算如下：
严重程度（S）：非预期的臂架/铲斗运动可能导致挤压或碰撞伤害，甚至致命后果。
→ S2（严重/不可恢复）频率（F）：操作员在整个工作班次中持续使用操纵杆。暴露频繁且持续。
→ F2（频繁/连续）可能性（P）：非预期运动通常可通过视觉察觉；在大多数情况下，操作员可在碰撞发生前做出反应并停止机器。
→ P1（在特定条件下可能）
计算结果： S2 / F2 / P1 → PLr = d
组件如何影响整体性能等级
在功能安全中，所需性能等级（PLr）是针对整个安全功能而言的。各个组件和子系统通过自身的可靠性和诊断功能，共同助力系统达到这一等级要求。之所以需要对组件进行详细拆解分析，是因为系统的安全要求可能因所涉及的组件及其在具体应用中的交互方式而异。
对于低风险应用场景，告知操作员需要进行维护即可。对于中风险应用场景，可能需要并行实施应急策略。对于高风险应用场景，必须触发自动响应。例如：系统可能会限制重型或特种车辆的操控速度。
验证和确认：ISO 13849的相关规定
一旦确定了所需PLr，就必须据此设计安全功能。但仅宣称达到了某一性能等级是不够的——ISO 13849-1要求进行双重证明：验证（通过分析证明设计满足PLr要求）、确认（在实际工况下确认功能行为正确）。
这涉及使用MTTFd、DCavg、CCF（以及由此得出的PFHd）进行分析计算，并对子系统和整机进行功能性确认测试。可借助SISTEMA等工具支持安全性论证并提供相关证据。
计算 MTTFd（平均危险失效间隔时间）
评估诊断覆盖率（DCavg）
评估共因失效（CCF）以及由此得出的 PFHd（每小时危险失效平均频率）
The role of APEM in Functional Safety
APEM在功能安全中的作用
APEM通过提供可靠的人机界面（HMI）组件，以及功能安全分析所需的技术数据，为机械制造商提供支持。
这包括：
MTTFd值
可靠性信息
面向安全的产品架构
适用于恶劣环境的坚固 HMI 解决方案
这些要素帮助工程师设计出能够满足其特定应用场景所需性能等级的系统。
所需性能等级计算：摘要
确定所需性能等级（PLr）或安全完整性等级（SIL）是一个结构化且受标准约束的过程——而非简单的经验估算。对于受ISO 13849-1规范的机械应用，工作流程始终一致：1）识别所有危险状况；2）定义每一项安全功能；3）使用S/F/P参数进行风险评估；4）根据风险图读取PLr；5）设计并验证SRP/CS架构，确保PL ≥ PLr。
在这一过程中，安全链中的每一个组件都至关重要。带有制造商声明MTTFd值的操纵杆、按钮和使能装置，绝不可随意替换为无数据支撑的替代品——因为正是这些数据构成了计算的基础，而计算结果则是证明已达到所需安全等级的核心证据。
🔔 关键要点：
安全等级的确定，始于对“危险”的分析，而非对“组件”的选择。然而，安全等级的最终实现——及其所能达到的上限——却完全取决于所选用的具体组件。因此，选择具有可追溯且符合标准的安全数据的组件，其重要性丝毫不亚于围绕这些组件所作出的架构设计决策。