ISO 13849-1机械安全控制系统测试梳理

标准定位与适用范围

标准定位与体系层级

该标准给出安全相关控制系统部件的设计与集成通则，适用于电气、液压、气动、机械等不同技术与能源形式，属于 B1 类标准，建立在 A 类基础标准的风险评估框架之上，并为 C 类机型标准提供控制层面的支撑。它显式适用于高需求与连续模式的安全功能；低需求模式的功能安全由另外的体系处理。信息技术安全与恶意攻击不在其范围内，需由专门文件与适用法规覆盖。

现行版次与过渡边界

现行文本为 2023 年第 4 版，取代 2015 年第 3 版；欧洲采纳版随后列入官方公报，旧版设有过渡期。公开转述对旧版撤销日期存在不同说法，因此技术文件应写明所采用的版次与采标体系，并按官方公报当期条目核对推定符合性的范围、限制与截止日期。计算工具与元件库的版本也须与所用标准版次对应，不能把旧版项目文件直接打开就当作新版复核通过。

第 4 版的主要变化

全文按安全功能的设计与开发流程重排；新增风险评估建议章，强化安全功能规范与安全要求规格；把术语统一为子系统并更新子系统组合方法；软件安全要求独立成章；新增人机工效章；验证内容移入独立章节并纳入原第 2 部分的规范要求；附录层面新增功能安全管理、电磁干扰抗扰、安全要求规格补充、软件故障避免与部件安全相关值等内容；确定所需性能等级的附录参数也有调整。这些变化可能影响旧项目的故障排除依据与验证证据充分性。

试验目的与可靠性含义

要回答的问题

评价回答的是「每一条安全功能从触发到进入安全状态，其传感器、逻辑与执行环节组合起来，在随机硬件失效与系统性失效两方面是否具备所需性能等级的证据」。它服务于安全功能设计、元件选型、验证计划与整机技术文件编制。它不回答机器有哪些危险、需要哪些安全功能，也不回答防护结构的尺寸是否足够；前者来自风险评估，后者来自距离与防护类标准。

性能等级的可靠性含义

性能等级是在规定条件与设计假设下对安全功能能力的分级，所需等级由风险评估给出。它依赖架构类别、部件可靠性数据、诊断覆盖率、共因失效措施与故障排除的正当性，也依赖软件生命周期与验证证据。等级达标不等于安全功能在所有工况下都不失效，也不能换算成事故概率保证或设备服役年限；把等级写成绝对化结论，超出证据范围。

与其他文件的分工

危险识别与所需性能等级来自 ISO 12100 的风险评估及适用的 C 类标准；安全距离与防护结构由相应 B 类标准给出；电气通用要求由机械电气标准覆盖；电磁抗扰在新版中有专门附录支撑；信息安全威胁另由技术报告、专用规范与法规处理。该标准只是控制层面的评价框架，把其他维度的要求都折算成一个等级，会造成覆盖错位。

PL ≥ PL_r　达标判据示意，PL_r 为风险评估给出的所需性能等级；PL 由各子系统组合得到，不由单个元件标注值直接替代。

试验条件与参数框架

安全功能与安全要求规格

每条安全功能应先形成可复核的安全要求规格：触发条件、安全状态、所需性能等级、响应时间、运行模式与复位条件、失去能源时的行为、与其他安全功能的交互，以及可预见的误用。第 4 版强化了这部分内容并提供补充附录。规格不清会导致后续计算选错边界：例如只评价了检测到危险的部分，却把执行元件与最终切断能量的环节留在范围外。

输入端参数与假设

典型输入包括架构类别与通道结构、部件的平均危险失效前时间或其等价数据、平均诊断覆盖率、共因失效评分、故障排除的依据、任务时间与运行频次、环境条件与电磁抗扰证据。元件数据须注明来源与适用条件，未标注数据的部件不能凭经验直接取高值；故障排除更需要在所选版次与适用技术下逐条给出正当性，不能沿用旧项目的备注。

边界划分与子系统组合

新版把安全功能分解为若干子系统分别评价再组合，因此子系统边界的划分直接影响结果。边界应与传感器、逻辑、执行及通信链路的实际拓扑一致，并与图样、物料清单和参数配置对应。多子系统组合时的限定条件、共因失效措施是否覆盖全部相关部件、以及软件化手工参数化的规则，都需在规格与计算记录中写明。

PL = F(K, M, D, C, S)　评价框架示意，K 为架构类别、M 为部件可靠性数据、D 为平均诊断覆盖率、C 为共因失效措施、S 为软件与系统性失效证据；具体分级方法按现行文本核对。

试验方法与步骤

评价主流程

由风险评估确定每条安全功能及所需性能等级→编写安全要求规格→划分子系统边界→收集部件数据与适用条件→选定架构类别并核查其设计条件→计算或估计各子系统与整链的性能等级→核查共因失效评分与故障排除依据→核查软件安全要求与电磁抗扰证据→按新版验证章逐项验证→形成记录并纳入技术文件。

计算与工具版本控制

计算应保留输入数据、来源、版次、工具版本与输出结果，并与安全要求规格、图样及物料清单互相索引。换版或升级工具后，应读取迁移提示与源数据差异，重新核对故障排除、诊断覆盖率与共因失效评分是否仍成立；旧项目文件能正常打开不等于技术结论被新版接受。对同一安全功能，不宜混用两个版次的参数定义。

验证与故障响应

验证覆盖安全功能在正常与故障条件下的行为、故障注入与诊断响应、失去能源与复位行为、软件版本与参数化控制、以及电磁干扰下的抗扰证据。输出元件能否可靠进入安全状态、传感器被遮挡或旁路时的响应、以及急停与安全功能的优先级，都需按模式逐项观察。发现偏差时先回到规格与边界核查，再决定整改，而不是调整输入数据让计算结果达标。

PL_chain = Λ(PL_1, …, PL_n)　整链能力示意，Λ 表示受最弱子系统约束；忽略执行元件或通信链路会使结果偏高。

测量、判据与失效定义

记录量与结果表达

报告至少应包含标准版次与采标体系、安全功能清单及所需等级来源、安全要求规格、子系统边界图、部件数据及来源、架构类别与设计条件、计算结果与工具版本、共因失效评分与故障排除依据、软件与电磁抗扰证据、验证逐项记录、偏离与整改。结果宜写成「某安全功能在某版次下由哪些子系统组成、达到什么等级、验证观察到什么」的可复现形式。

判据来源与失效定义

所需性能等级来自风险评估与适用法规或 C 类标准，不由计算方法自行设定；计算方法与等级尺度来自本标准的现行文本。任一子系统的证据不足、故障排除无正当依据、软件生命周期证据缺失、或实际配置与记录不一致，都不能给出达标结论。性能等级达标只说明该安全功能在声明条件下的控制层面能力，不构成整机安全或法规合规结论。

常见结论误用

把单个元件标注的等级当成整条安全功能的等级；沿用旧版工具与元件库复核新版项目；把故障排除当作默认可选项；忽略执行元件与通信链路；把共因失效评分写成固定套路；把软件参数化变更当作不影响等级；以及把信息技术安全威胁也计入该标准的评价范围。这些都超出证据能支撑的范围。

R(t) = e^(−λt)　可靠性示意，λ 为危险失效率、t 为任务时间；说明可靠性数据与任务时间需成对使用，不能脱离条件比较数值。

数据分析与报告

数据处理要点

保留每条安全功能独立的输入与输出，不把不同功能的结果合并求平均；部件数据、故障排除与共因失效评分应逐条列明来源。趋势或复评记录应标注标准版次、工具版本、软件版本与配置变更节点，条件变更处加断点。对换版前后的差异宜保留对照表，说明哪些结论被重新确认、哪些证据被补充。

报告审查要素

核查标准版次与官方公报条目、所需性能等级来源、安全要求规格完整性、子系统边界与图样一致性、部件数据可追溯性、架构类别的设计条件、故障排除与共因失效依据、软件安全要求与验证记录、电磁抗扰证据，以及结论的限定条件。若文件只给一个等级字母而无输入与验证记录，通常不足以支撑争议复核。

DC = λ_dd / (λ_dd + λ_du)　诊断覆盖示意，分子为可检出的危险失效、分母为危险失效总量；取值须有来源并与其他输入保持同一版次定义。

实施要点与行业实践

实施要点

在项目启动阶段写清四件事：采用的版次与采标体系、每条安全功能的所需等级来源、子系统边界与元件数据来源、以及计算工具与验证记录的对应关系。建立安全要求规格台账、元件库版本台账、软件与参数变更台账和换版对照表；更换元件、修改参数化或升级固件时设置重新评价触发规则。

行业实践与合规提示

常见做法是把风险评估、安全要求规格、性能等级评价与验证记录串成控制层面的证据链，并与防护距离、电气通用要求和机型分部共同构成整机技术文件；联网设备还需单独处理信息安全威胁与防损坏要求。宣传与标书用语应避免把等级达标写成绝对化或因果外推表述，也不应把「达到某等级」改写为对整机无风险的普遍承诺。所有参数与数值均为说明性引用，须按现行有效文本与技术协议核对。

符合 ⇔ 规格 ∧ 计算 ∧ 验证 ∧ ¬Δ　结论成立条件示意，安全要求规格、可追溯计算、逐项验证齐备且配置未发生未复核变更时，才可给出限定范围内的达标表述；不构成整机法规合规结论。

典型应用场景

典型应用场景

急停、联锁门、光幕与双手控制等安全功能的设计评价、安全控制器与安全继电器选型的数据核对、机型专用标准中控制要求的符合性支撑、旧项目在新版下的差异复核与证据补强、元件替换或固件升级后的重新评价、整机技术文件中控制章节的编制，以及事故与安全功能失效调查后的计算记录回溯等。

常见问题解答

问：ISO 13849-1 现行是哪一版？

答：现行文本为 2023 年第 4 版，取代 2015 年第 3 版。欧洲采纳版已列入官方公报，旧版设有过渡期；公开转述对撤销日期有不同说法，因此应按官方公报当期条目核对推定符合性的范围、限制与截止日期，并写明技术文件采用的版次。

问：第 4 版相比 2015 版有哪些实质变化？

答：全文按设计与开发流程重排，新增风险评估建议章，强化安全功能规范与安全要求规格，术语改为子系统并更新组合方法，软件安全要求独立成章，新增人机工效与电磁干扰抗扰等内容，验证移入独立章节并纳入原第 2 部分的规范要求，另增功能安全管理、软件故障避免与部件安全相关值等附录。

问：一个标了高等级的元件，能说整条安全功能达标吗？

答：不能。评价对象是整条安全功能链：传感器、逻辑、通信与执行环节组合起来受最弱子系统约束。只引用某个元件标注的等级，或把最终切断能量的执行元件留在边界外，都会使结论偏高。

问：所需性能等级从哪里来？

答：来自按 A 类基础标准开展的风险评估，以及适用的 C 类机型标准或法规基本要求；计算方法本身不规定某条安全功能应达到哪个等级。报告应写明等级来源与所依据的风险情形，而不是只给一个等级字母。

问：旧版计算文件能直接用来证明符合新版吗？

答：不宜。新版的参数定义、故障排除依据、软件要求与验证内容都有变化，计算工具与元件库版本也需对应。打开旧文件成功不等于技术结论被接受，宜做换版对照并补强证据，保留迁移提示与源数据差异记录。

问：故障排除可以直接沿用旧项目的备注吗？

答：不能默认沿用。故障排除需在所选版次、适用技术与具体部件条件下逐条给出正当性，并核查是否仍满足架构类别的设计条件。缺少依据时应补充分析或调整设计，而不是靠调整输入数据让计算结果达标。

问：信息安全攻击造成的风险由这个标准覆盖吗？

答：不覆盖。该标准处理随机硬件失效与系统性失效，显式面向高需求与连续模式的安全功能；恶意攻击、数据损坏与远程软件更新带来的威胁需由专门的技术报告、规范与适用法规另行处理，并在风险评估中单列。

问：性能等级达标是不是整机就合规了？

答：不能这样推断。它只是控制层面的证据，整机合规还涉及危险识别、防护结构与安全距离、电气通用要求、机型专用分部、适用法规的符合性评定程序与技术文件。结论应限定在所评价的安全功能与条件下分别表述。

本文围绕相关产品标准与强制性安全标准的公开资料与工程实践进行梳理，用于说明不合格项目的试验方法、判定逻辑、成因分析与整改方向，不构成对任何具体产品的合格结论，也不替代适用法规、客户规范或经签署的试验大纲。正式标准编号、版本、限值与试验程序均以委托方提供的现行有效文本及技术协议为准；检测结论与合规判断应分别表述。