機械安全的兩個等級體系

看機械安全和機器人安全的標準，同樣是功能安全，一套是PL——PL d、PL e、Category 3/4，另一套叫SIL，它們之間能不能對應？到底該用哪套？把SIL和PL的來龍去脈、核心區別、對應關系一次講清楚。

一句話結論：PL 是機械行業出身的“半定量派”，SIL 是流程工業出身的“全定量派”。兩者都是衡量安全功能可靠性的標尺，最終都落到 PFH（每小時危險失效概率）上。SIL 2 大致對應 PL d，SIL 3 大致對應 PL e，但不能畫等號。

為什么會有兩套等級？

PL：機械行業的務實路線

PL（Performance Level，性能等級）出自 ISO 13849 這套機械行業標準。

機械安全控制系統大多是繼電器、接觸器這些硬邦邦的東西，結構相對簡單。工程師們需要的是一套簡單、直觀、拿來就能用的評估方法——不用算太多數學，看架構、看類別，就能大致判斷安全功能夠不夠。于是ISO 13849走了一條“半定量”路線：

?用Category（類別，B/1/2/3/4）描述系統架構

?用MTTFd（平均危險失效時間）描述元件可靠性

?用DC（診斷覆蓋率）描述自診斷能力

?最后查表得到PL等級

簡單說就是：先看結構夠不夠安全，再看元件夠不夠可靠，再看自檢出率夠不夠高，三個因素一綜合，就是你的PL等級。

需要說明的是，ISO 13849-1 的評估對象是“控制系統的安全相關部件”（SRP/CS，Safety-Related Parts of Control Systems）——從傳感器、邏輯單元到執行機構的整條安全鏈路，任何一個環節失效都可能讓安全功能失靈，所以 PL 評定的是整條鏈路而不是單個元件。這套方法覆蓋電氣、電子、可編程電子、液壓、氣動和機械等多種技術，機械行業幾乎所有安全回路都能用。該標準最新版本為 ISO 13849-1:2023（歐洲協調標準 EN ISO 13849-1:2023），在保留 Category + MTTFd + DC 經典框架的同時，細化了軟件安全要求并新增了電磁干擾（EMI）抗擾度等內容；需注意，標準范圍聲明不提供網絡安全（cyber security）方面的具體措施。

SIL：流程工業的嚴謹路線

SIL（Safety Integrity Level，安全完整性等級）出自 IEC 61508，是流程工業出身。

流程工業的特點是什么？系統復雜、規模大、可編程電子設備多。光說“類別3”太粗糙了，工程師需要更精細的定量分析。

于是IEC 61508走了一條“全定量”路線：

?每個元件都有具體的失效率（λ）。

?整個系統的PFH（每小時危險失效概率）直接算出來。

?SIL等級由PFH的數值范圍決定。

IEC 62061是IEC 61508在機械行業的“定制版”，所以它繼承了SIL這套體系。

需要說明的是，IEC 62061 的全稱是“機械安全——安全相關電氣、電子和可編程電子控制系統的功能安全”，評估對象是安全相關電氣控制系統（SRECS，Safety-Related Electrical Control Systems），可以看作 IEC 61508 在機械領域的部門標準（sector standard）。它繼承了 IEC 61508 的 SIL 體系，但把適用范圍明確限定在電氣/電子/可編程電子技術。2021 年發布的新版 IEC 62061:2021（歐洲協調標準 EN IEC 62061:2021）進一步整合了與 ISO 13849 的等級對應關系、SIL 聲明限值（SILCL）與系統性能力（SC）要求。

核心觀點一句話總結： PL是機械行業出身的“半定量派”，SIL是流程工業出身的“全定量派”。兩者都是衡量安全功能可靠性的標尺，只是度量衡不同。

PL等級詳解：從a到e的五級體系

PL是什么？

PL（Performance Level，性能等級）是用來描述“安全控制系統在可預見的條件下執行安全功能的能力”的離散等級。

PL 一共分 5 級，分別為 PL a、PL b、PL c、PL d、PL e，PL e 是最高級：

這個PFH是什么意思呢？舉個例子：

?PL d的安全功能，每小時出危險失效的概率在千萬分之一到百萬分之一之間。

?也就是說，平均每100萬到1000萬小時（約114年到1140年），發生1次危險失效。

?PL e就更可靠了，平均每1000萬到1億小時（約1140年到11400年）才發生1次危險失效。

安全功能不是24小時一直被“考驗”的，所以壽命周期內的實際風險還要考慮暴露頻率。

▍PL 的三個決定要素：Category、MTTFd 與 DC

PL 等級不是憑空查出來的，它由三個要素共同決定，缺一不可。

MTTFd（平均危險失效時間）衡量元件的可靠性，ISO 13849-1 將其分為三檔：低（3~10 年）、中（10~30 年）、高（30~100 年）。元件越可靠，能支撐的 PL 越高——例如 Category 3 結構搭配“低”檔 MTTFd，最多只能到 PL d。

DC（診斷覆蓋率）衡量系統檢測危險失效的能力，也分四檔：無（<60%）、低（60%~90%）、中（90%~99%）、高（≥99%）。診斷能力越強，越能及時發現故障、防止其發展為危險狀態；Category 2 的“定期檢測”和 Category 3/4 的故障檢測，本質都是在提高 DC。

此外還要防共因失效（CCF，Common Cause Failure）——兩個通道因同一原因同時失效，比如共用同一電源、同一電磁干擾環境。ISO 13849-1 的 Annex F 給出 8 項防共因失效措施評分表，總分≥65 分才滿足要求，這是 Category 3/4 的硬門檻。

實操中的判定流程可以概括為三步：先選架構確定 Category 能支撐的最高 PL；再看 MTTFd 與 DC 的組合，對照標準中的查表確定候選 PL；最后核對 CCF 等附加要求，得到最終 PL。這也是為什么“看架構、看元件、看自檢”三者缺一不可。

PLr是什么？

PLr（required Performance Level，所需性能等級）是一個非常容易和PL搞混的概念。

?PL = 你的系統“實際達到了”什么等級。

?PLr = 你的系統“應該達到”什么等級。

PLr是風險評估的結果。你先評估這個危險場景的風險有多大，然后得出“這個安全功能至少需要達到PLr = PL d”這樣的結論。然后你設計的安全功能實際達到的PL必須 ≥ PLr，才算合格。

▍PLr怎么算？——風險圖法

ISO 13849-1的Annex A給了一個非常經典的工具：風險圖（Risk Graph）。

第一步：判斷S（傷害嚴重程度）

?S1 = 輕微傷害（通常可恢復）

?S2 = 嚴重傷害或死亡（通常不可逆）

第二步：判斷F（暴露頻率和時間）

?F1 = 很少到經常，且/或暴露時間短

?F2 = 頻繁到持續，且/或暴露時間長

第三步：判斷P（避免傷害的可能性）

?P1 = 在特定條件下可能避免

?P2 = 幾乎不可能避免

然后從左邊的起點1出發，沿著S→F→P走，最后落到哪個等級，PLr就是多少。

舉個例子：一臺沖床，操作員每次都要伸手進去取料（S2，因為可能斷手指或更嚴重），每分鐘都要取一次（F2，頻繁暴露），一旦滑塊誤下行根本躲不開（P2）。從S2→F2→P2走過去，終點就是 PL e。所以你看，風險越高，需要的PLr等級就越高，邏輯非常直觀。

風險圖法直觀易用，但也有局限：S、F、P 三個參數的選取依賴評估人員的經驗，邊界情形（比如 S1 與 F2 的組合）容易產生爭議。因此 ISO 13849-1:2023 允許采用其他等效的風險評估方法（如風險矩陣、定量風險評估），只要評估邏輯合理、結果可追溯即可。

SIL等級詳解：從1到3的三級體系

SIL是什么？

SIL（Safety Integrity Level，安全完整性等級）是用來描述“安全相關控制系統執行安全功能的可靠程度”的等級。

和PL差不多，它們本質上描述的是同一件事——安全功能有多可靠。只不過SIL的“尺子”更精細一些。

在機械安全領域（IEC 62061），SIL一共分3級，SIL 1到SIL 3，SIL 3最高：

SIL 與 PL 的 PFH 區間是可以對應的。在流程工業的IEC 61508里，SIL是有SIL 4的，但機械行業一般用不到SIL 4——機械領域的風險還沒高到那個程度，SIL 3基本就是天花板了。

這里補充一個容易混淆的概念：IEC 61508 按安全功能的運行模式區分兩種量化指標——低要求模式（demand mode，安全功能每年被請求不超過一次，如緊急停車按鈕）用平均失效概率 PFDavg 衡量；高要求或連續模式（如安全光幕的持續防護）用每小時危險失效概率 PFH 衡量，兩種模式的 SIL 數值邊界不同。機械安全領域的 SRECS 絕大多數屬于高要求/連續模式，因此 IEC 62061 與 ISO 13849 都統一以 PFH 作為“通用貨幣”，這也是兩套體系能相互對照的基礎。

SIL怎么確定的？——兩條路

IEC 62061里確定所需SIL的方法有兩大類：

第一類：定量法（直接算 PFH），這是最嚴謹的方法。通過風險評估算出這個危險場景的可容忍風險（tolerable risk），然后反推安全功能需要達到的 PFH 上限，再對應到 SIL 等級。這種方法準確，但工作量大，需要詳細的風險數據。

第二類：簡化法（風險圖/風險矩陣）和PL的風險圖思路類似，也是用幾個參數（傷害程度、暴露頻率、發生概率、避免可能性）來組合打分，最后對應到SIL等級。IEC 62061的Annex A提供了簡化方法，參數比ISO 13849的風險圖多一些（多了“危險事件發生概率”這個維度），顆粒度更細。

IEC 62061:2021 的簡化方法（Annex A）把風險參數擴展為四個維度：傷害嚴重程度 Se、暴露頻率與時間 Fr、避免或限制傷害的可能性 Pr、危險事件發生概率 Av，四者組合后查表得到所需 SIL。相比 ISO 13849 的 S/F/P 三參數，它把“危險事件本身的發生概率”也納入考量，顆粒度更細，對低速、低概率危險場景的評估更合理。

SILCL是什么？

SILCL（SIL Claim Limit，SIL聲明限值）也是一個容易混淆的概念。它和PLr/PL的關系類似：

?SILCL = 子系統/元件“最多能聲稱達到”什么SIL等級

?所需SIL = 你的安全功能“需要達到”什么SIL等級

你買了一塊安全PLC，廠家說它能達到SIL 3——這就是它的SILCL = SIL 3。但這不等于你用它做的所有安全功能都是SIL 3的，因為整個安全功能還包括傳感器、執行器等其他環節，整體能達到的SIL取決于最短的那塊板。

與 SILCL 相關的另一個概念是系統性能力（Systematic Capability，SC）。SIL 不僅取決于硬件失效率，還取決于設計、軟件、制造與維護等“系統性”環節的質量。IEC 61508 把系統性能力分為 SC 1~SC 4 四級，IEC 62061:2021 同樣要求：子系統聲明的 SILCL 不得超過其系統性能力等級。換句話說，即使硬件參數算出來支持 SIL 3，如果軟件開發與驗證流程達不到對應能力，聲明仍會被降級。

衡量SIL的兩個維度

SIL的判定需要同時滿足兩個維度的要求：

維度一：架構約束（Architectural Constraints）

和PL的Category類似，系統架構也得達到最低要求。IEC 61508里用的是SFF（Safe Failure Fraction，安全失效分數）+ HFT（Hardware Fault Tolerance，硬件故障容錯）的矩陣：

?HFT 0 = 單通道，一個故障就能導致安全功能失效

?HFT 1 = 雙通道，一個故障不會導致安全功能失效（因為有冗余）

?SFF = 安全失效 + 可檢測危險失效 / 總失效。

架構約束的意思是：就算你PFH算出來夠高，但架構太簡單（比如單通道），也不能聲稱高SIL等級。 這是為了防止“靠元件可靠性堆出來的高等級”——架構上的容錯才是更穩妥的安全。

IEC 61508-2 用“安全失效分數（SFF）× 硬件故障容錯（HFT）”的矩陣落實架構約束，類型 A（失效模式已知的簡單元件）與類型 B（微處理器等復雜元件）各有一張表。以類型 A 為例：SFF 達到 90%~99% 時，SIL 2 允許 HFT 0（單通道），SIL 3 要求 HFT 1（雙通道）；若 SFF 只有 60%~90%，SIL 2 就要求 HFT 1。類型 B 的要求更嚴格。這意味著想達到 SIL 3，雙通道架構幾乎是必需的——與 PL 體系里 Category 3/4 的冗余思路完全一致。

維度二：PFH（每小時危險失效概率）

這個就是純定量計算了。把所有元件的失效率加起來，考慮診斷覆蓋率、共因失效等因素，算出系統整體的PFH，再對應SIL等級。

兩個維度都滿足了，你才能說達到了某個SIL。

下面這張表是IEC 62061標準中的Table 4，直接把IEC 62061的SIL、IEC 61508的SIL和ISO 13849的PL放在一起做了對比：

SIL和PL的異同：

相同點：

目標一致：都是衡量安全功能可靠性的標尺，最終都落到PFH（每小時危險失效概率）這個“通用貨幣”上。

都基于風險：等級的確定都是從風險評估出發，風險越高，要求的等級越高。

都考慮冗余和診斷：雙通道架構、診斷覆蓋率都是影響等級的關鍵因素。

都可以用于機械安全：在歐洲機械指令下，用ISO 13849（PL）或IEC 62061（SIL）都能獲得符合性推定。

不同點：

對應關系：SIL 2 等于 PL d 嗎？

很多人都想知道“SIL 2到底等于PL幾級”。答案是：大致對應，但不能畫等號。這是IEC 62061標準中Table 4給出的對應關系：

從PFH區間來看：

?SIL 1 對應 PL b 和 PL c

?SIL 2 對應 PL d

?SIL 3 對應 PL e

這個對應關系是有前提的——只是PFH數值范圍上的大致對應，不能簡單互換。

原因有三：

覆蓋范圍不同。PL覆蓋電氣、液壓、氣動、機械等各種技術；SIL只覆蓋電氣/電子/可編程電子系統。一個包含液壓元件的安全功能，你可以用PL評估，但不能直接說它達到了SIL幾。

架構約束不同。PL的Category和SIL的架構約束（HFT+SFF）雖然思路類似，但判定標準不完全一樣。一個Category 3的系統可能在架構上剛好夠SIL 2，也可能不夠，得具體算。

系統性要求不同。兩套標準對開發流程、文檔、驗證確認的要求各有側重。SIL對系統性能力的要求通常更細一些。

做項目的時候，客戶說“我要SIL 2”，你不能直接說“那我做個PL d就完事了”。一定要確認清楚：是按哪套標準來評估？最終出哪套標準的符合性報告？混用標準是功能安全評審中常見的坑。

正確的做法是：項目啟動時就在安全需求中明確采用哪套標準，并讓設計、驗證與文檔全流程保持一致；如果客戶既有 PL 要求又有 SIL 要求，可以在不同子系統上分別聲明，但必須在文檔中標注每個子系統依據的標準與評估邊界，避免“一張圖紙混用兩套體系”。

什么時候用PL？什么時候用SIL？

優先選PL的場景：

安全功能比較簡單：急停、安全門、雙手按鈕、安全地毯這些傳統功能。

系統技術多樣：含有液壓、氣動、機械元件。

客戶或市場要求ISO 13849：尤其是歐洲的中低端機械設備

團隊對定量分析不熟悉：PL方法上手更快，工具也更普及。

優先選SIL的場景：

系統復雜、軟件多：安全PLC、復雜的安全邏輯、網絡通信安全功能。

全是電子電氣系統：沒有液壓、氣動、機械元件。

客戶或行業要求IEC 62061/61508：比如某些高端機床、半導體設備。

需要和流程工業系統對接：SIL是跨行業的通用語言。

實際選型可以按三步走：

第一步看技術類型——回路中含液壓、氣動、機械元件，選 ISO 13849（PL）；純電氣電子系統兩套都可用。

第二步看系統復雜度——軟件與網絡通信占主導、可編程電子密集，優先 IEC 62061（SIL）；簡單邏輯回路，ISO 13849 更省成本。

第三步看外部要求——客戶合同、行業規范或目標市場法規指定哪套，就用哪套。兩套都允許時，選自己團隊最熟悉、工具鏈最完整的一套即可。

兩者都能選的時候，對于普通的機械安全功能，其實用哪套都可以。關鍵是：

?選一套就用到底，不要PL和SIL混著算。

?最終的驗證和確認要按所選標準來。

?文檔中明確說明使用的標準和方法。

IEC 62061的引言里也說了：雖然兩套標準方法論不同，但目標是一致的——都是為了實現足夠的風險降低。從法規層面看，歐盟機械指令 2006/42/EC 把 EN ISO 13849-1 與 EN IEC 62061 同時列為協調標準，滿足任一的相應要求即可推定符合機械指令的基本健康與安全要求（EHSR）。2023 年發布的歐盟新機械法規（EU）2023/1230 將于 2027 年 1 月 20 日起取代機械指令，但這兩份功能安全標準依然是實現“安全功能可靠”這一基本要求的主要途徑。因此對出口歐美的機械產品來說，兩套體系并存會是長期現實。

四個關鍵提醒：

等級不是越高越好。

很多人一上來就要SIL 3、PL e，覺得等級越高越安全。其實安全是個成本和風險的平衡。等級越高，成本成倍增加，但風險的降低是邊際遞減的。該用PL c的地方硬上PL e，錢花了，安全效益卻沒增加多少。正確的做法是：風險評估告訴你需要什么等級，就做到什么等級。

以急停回路為例：Category 1 的簡單回路與 Category 4 的雙通道加高診斷回路，成本可能相差數倍；而風險評估的結果往往只需要 PL c/d。把預算花在架構上真正薄弱的環節，比盲目堆等級更有效。

PL和SIL本質上都是“概率游戲”。

很多人覺得“達到SIL 3就絕對安全了”。不對。SIL 3只是說每小時危險失效概率低于10??——不是零。功能安全做的是“把風險降到可接受的水平”，不是“消除風險”。理解這一點，你就不會對安全等級有不切實際的期待。

功能安全的目標是把殘余風險降低到可接受水平，而不是歸零。ISO 12100 的風險評估框架要求在設計、防護、警示信息三個層級逐層降險，安全等級只是“技術防護”這一環節的量化標尺。

架構永遠是第一位的。

不管PL還是SIL，架構約束都是硬門檻。單通道系統再怎么堆高可靠性元件，也達不到高等級。為什么？因為單點故障就能讓安全功能失效，這是架構的先天缺陷，靠元件質量補不上來。做安全設計，先想清楚架構，再談可靠性。

典型例子：單通道急停回路里，如果急停按鈕觸點粘連，按下急停不再起作用——單點故障直接導致安全功能喪失。Category 3/4 通過雙通道加診斷，讓這類故障在下次動作前被檢測出來，或由冗余通道直接接管。

兩套體系正在趨同。

從2021版IEC 62061和2023版ISO 13849-1來看，兩套標準在很多方面都在互相靠攏——軟件要求、架構約束、驗證方法等等。

具體來看：IEC 62061:2021 更新了與 ISO 13849 的對應表，并引入 SILCL 與系統性能力要求；ISO 13849-1:2023 在保留 Category 框架的同時，補充了與硬件故障容錯（HFT）相關的架構要求，細化了軟件安全要求并新增了 EMI 抗擾度內容（網絡安全的具體措施仍不在標準范圍內）。對工程師而言，兩套標準的術語、方法與驗證工具正在逐步對齊，未來混合評估的摩擦會越來越小。

總結：

PL來自ISO 13849，是機械行業的“半定量派”，5個等級（a到e）。SIL來自IEC 62061/61508，是流程工業的“全定量派”，機械領域3個等級（1到3）。

兩者都是衡量安全功能可靠性的標尺，最終都落到PFH上。SIL 2大致對應PL d，SIL 3大致對應PL e，但不能畫等號。選哪套標準，要看你的系統復雜度、技術類型和客戶要求。

選型決策樹（簡版）：

含液壓/氣動/機械元件 → ISO 13849（PL）

純電氣/電子/可編程電子 → 兩套都可用

軟件密集、網絡通信復雜 → 優先 IEC 62061（SIL）

客戶/行業指定 → 按指定標準

兩套都允許 → 選團隊最熟悉、工具鏈最完整的一套

附：術語與標準速查

術語：

相關標準與法規的現行版本速查：