如何确定机器PL等级

在功能安全中，机器安全功能必须不仅限于一次性响应，而是必须在可预见的运行条件与故障条件下保持可靠运行。

这正是划分PL等级 (PL) 的意义所在。 PL等级规定了控制系统安全相关元件执行规定安全功能的能力。在实践中，这有助于工程师评估安全电路或安全子电路是否提供了所需的风险降低等级。
本文简要概述了用于确定PL等级的主要参数。本文旨在作为技术指南，而非替代项目特定的风险评估、验证或标准审查。

PL等级描述了安全回路在可预见条件下执行安全功能的能力。 PL等级分为五个独立等级：

PL a 是其中的最低等级，而 PL e 是最高等级。
PL等级仅针对完整的安全回路或完整的安全子回路进行测定，其不会脱离完整的安全相关功能和回路架构被单独赋予某个标准元件。

在评估PL等级之前，必须先评估机器风险。风险评估确定了每项安全功能所需的风险降低等级。
根据该风险评估，为每个执行安全功能或安全子功能的安全回路分配所需的PL等级。随后必须对照该要求评估所实施回路达到的性能等级。

流程顺序至关重要：
1. 识别危险
2. 确定所需的PL等级
3. 定义所需的安全功能
4. 设计安全电路或安全子电路
5. 评估所达到的PL等级是否满足要求
6. 在机器环境中验证安全功能

多个定量和定性参数会影响已达到的性能等级。以下概述介绍了其中最重要的参数。

电路构成

安全电路的结构取决于元件布局、诊断功能以及可靠性措施。这些结构被划分为类别 B 到 4。

该类别描述了安全电路的抗故障能力以及电路在故障发生时的行为。例如，架构会影响单一故障是否会导致安全功能丧失，还是故障会被检测到并有效处理。

平均危险失效时间 (MTTF_D) 考量安全回路中所用元件的可靠性。
MTTF_D 重点关注危险失效。此类失效可能会妨碍安全功能的正确执行。所有相关安全元件的可靠性数据均须在完整回路的背景下考虑。

诊断覆盖率 (DC) 用于衡量安全回路中诊断的有效性。
它描述的是可检测到的危险失效与未被检测到的危险失效之间的比例。通常，风险越高，对诊断有效性的要求也越高。因此，诊断措施对所达到的性能等级产生重大影响。

共因失效 (CCF) 是指两个或多个独立故障由同一原因引起的现象。
这对于多通道安全电路尤为重要。即使两个通道采用独立设计，环境应力、安装不当、不恰当的设计假设或共用电源问题等共因仍可能影响两个通道。针对共因失效的措施有助于降低多个通道因同一原因发生失效的概率。

必须评估安全回路在故障条件下的行为。重要故障和失效应采用适当方法进行分析，例如：

根据应用、电路类别和所选元件的不同，可能需要额外的设计或诊断措施以满足 ISO 13849 的要求。

如果控制系统包含了安全相关的用户软件，则开发过程必须引入防止故障的措施。
结构化开发模型（如 V 模型）可为规格的定义、实现、验证与批准提供支持。目标是让软件可读、可理解、可测试、可维护且尽可能无故障。

系统性失效并非随机硬件失效。此类失效通常源于人为、流程或设计相关原因。
示例包括：

功能安全计划是应对系统性失效最为重要的方式之一。它规定了相应措施，以防止安全相关功能在规格定义、实现、验证、批准或后续修改中出现错误。

最终的性能等级评估将所有相关参数汇总在一起。该概览应展示电路类别、MTTFD、诊断覆盖率、共因失效措施、故障行为、软件质量和系统性失效措施如何共同影响安全功能所达到的性能等级。

PL等级评估并非仅仅是一项计算工作，更是一项安全工程任务，需结合完整的机器环境。

同一元件可能因安全功能、电路、诊断、软件、环境及验证概念的不同而表现各异。因此，安全相关电路应结合整体功能或子功能进行评估，而非孤立地评估单个元件。

Festo 为机器制造商提供自动化元件、文档和应用知识，为其安全相关设计工作提供支持。风险评估、实施和验证的最终责任仍由机器制造商或工程团队承担。