安全标相关说明

1、welcome to phoenix contact功能安全功能安全新标准理论和实践新标准理论和实践en iso 13849-1agenda关于标准的当前状态关于标准的当前状态iso 13849-1iso 13849-1 定义定义 应用应用 设计过程设计过程iso 13849-1iso 13849-1和和iec 62061iec 62061的比较的比较agenda关于标准的当前状态关于标准的当前状态iso 13849-1iso 13849-1 定义定义 应用应用 设计过程设计过程iso 13849-1iso 13849-1和和iec 62061iec 62061的比较的比较关于标准的当前状态安

2、全标准控制系统与安全相关部分安全标准控制系统与安全相关部分en 954-1en 954-1 和机械指令相一致，用于和机械指令相一致，用于cece认证认证 应用在电气机械系统、水压系统应用在电气机械系统、水压系统iec 61508iec 61508 和机械指令和机械指令不一致不一致 定义了电子系统执行安全功能任务的需求定义了电子系统执行安全功能任务的需求 反映了技术发展水平反映了技术发展水平en 954-1en 954-1存在的问题存在的问题没有覆盖复杂的电子系统没有覆盖复杂的电子系统 可编程电子系统可编程电子系统 cc单片机和单片机和asicsasics系统的故障模式系统的故障模式没有关注安全

3、功能的复杂性没有关注安全功能的复杂性没有涉及系统故障概率的要求没有涉及系统故障概率的要求安全等级划分不明确安全等级划分不明确b 1 2 3 4关于标准的当前状态功能安全标准功能安全标准iec 61508: 1999系统与安全相关的电气、电子、可编程电子系统e/e/pe的功能安全generic: independent of applicationen 954-1 /-2: 1996机器安全机器安全 控制系统与安全相关的部分en iso 13849-1: 2007机器安全 控制系统与安全相关的部分 (srpcs)iec/en 62061: 2005机器安全 控制系统与安全相关的电气、电子、可编程

4、电子系统e/e/pe的功能安全机器安全协调标准为什么需要功能安全为什么需要功能安全? ?过去，安全标准采取的是定性评估方法，但是现在：过去，安全标准采取的是定性评估方法，但是现在： 控制系统变得越来越复杂控制系统变得越来越复杂 大多数的安全控制系统采用了复杂的零部件大多数的安全控制系统采用了复杂的零部件 行业需要安全设计，以减少风险行业需要安全设计，以减少风险, ,降低伤害降低伤害, ,保护保护人、设备、人、设备、加工材料加工材料 设计人员希望标准有利于应用，不要受标准的约束设计人员希望标准有利于应用，不要受标准的约束 系统需求系统需求减少系统故障减少系统故障监控系统的安全功能监控系统的安全功

5、能依赖于系统或设备在操作条件下正确的输入信号依赖于系统或设备在操作条件下正确的输入信号“功能安全功能安全“确保：确保： 在正常条件下在正常条件下 在故障条件下在故障条件下安全功能不丧失！安全功能不丧失！“功能安全功能安全”和和“电气安全电气安全”是不同的！是不同的！ 电气安全是保护免受触电电气安全是保护免受触电关于标准的当前状态关于标准的当前状态依赖于风险、故障概率的描述依赖于风险、故障概率的描述安全等级安全等级 b,1,2,3,4b,1,2,3,4 安全等级确定的安全等级确定的 和风险之间的关系不明确和风险之间的关系不明确现在现在: sil (safety integrity level)

6、/ pl (performance : sil (safety integrity level) / pl (performance level)level) 是一种定性评估的方法是一种定性评估的方法 明确了与风险之间的关系明确了与风险之间的关系 系统故障评估的方法系统故障评估的方法b 1234关于标准的当前状态关于标准的当前状态功能安全标准功能安全标准din en iso 13849-1 和和20072007年年5 5月月8 8日公报日公报ecec机械指令相一致机械指令相一致 将取代将取代en 954-1en 954-1，20092009年年1212月月2929日将正式生效日将正式生效 覆盖

7、了气压系统、水压系统和机械安全控制系统覆盖了气压系统、水压系统和机械安全控制系统 至高性能至高性能performance levelperformance level等级等级 “e”(e”(类似于类似于sil (1 sil (1 3)3) mttfmttfd d、 dc dc 、 ccfccfdin en iso 13849-1agenda关于标准的当前状态关于标准的当前状态iso 13849-1iso 13849-1 定义定义 应用应用 设计过程设计过程iso 13849-1iso 13849-1和和iec 62061iec 62061的比较的比较定义定义performance level

8、(pl)控制系统执行安全功能的能力控制系统执行安全功能的能力, ,以每小时发生危险故障的以每小时发生危险故障的概率表示概率表示10-410-53 x 10-610-610-710-8abcde低风险低风险高风险高风险定义定义pldin en iso 13849-1en 954-1 b1423 平均无危险故障时间：平均无危险故障时间：mttfmttfd d 系统诊断检测范围：系统诊断检测范围：dcdc 共因故障预防与控制：共因故障预防与控制：ccfccfiso en 13849-1 plrabecd=+平均无危险故障时间平均无危险故障时间 mttfmttfd ddin en iso 13849-

9、1lowmiddlehigh时间 (年)100 年30 年10 年3 年source: bgia reportnot acceptable定义定义平均无危险故障时间平均无危险故障时间 mttfmttfd d 是统计值是统计值, , 不是可以保证的寿命值不是可以保证的寿命值 分成分成3 3种等级种等级: : 此值如果低于此值如果低于3,3,是不能接受的是不能接受的din en iso 13849-1mttfmttfd d等级等级范围范围低低3 3 10 10 年年中中10 10 30 30 年年高高30 30 100 100 年年定义定义系统诊断检测范围系统诊断检测范围 dcdc 通过所有的在线

10、测试和诊断结果辨认通过所有的在线测试和诊断结果辨认 dcdc值来自于制造厂商或参见标准的表格附件值来自于制造厂商或参见标准的表格附件e e 同样同样, ,也可以根据评估也可以根据评估din en iso 13849-1dcdc等级等级dcdc值值无无dc 60%低低60% dc 90%中中90% dc plrdesign the safety related part of the control systemcalculate the achieved performance level = plpl plr ?validationall safety functions analyzed?

11、yesnonono对于每一个安全功能iso 13849-1应用应用safe constructiondin en iso 13849-1agenda关于标准的当前状态关于标准的当前状态iso 13849-1iso 13849-1 定义定义 应用应用 设计过程设计过程iso 13849-1iso 13849-1和和iec 62061iec 62061的比较的比较设计过程设计过程安全功能设计安全功能设计方法：方法： plpl等级定确定等级定确定 设计和技术确认设计和技术确认 plpl等级确认等级确认pl pl plplr r? ? 控制系统确认，是否所有要求都符合？控制系统确认，是否所有要求都符合

12、？din en iso 13849-1pl定义定义风险评估图风险评估图din en iso 13849-1abcde低风险低风险p1p2p1p1p1p2p2p2f1f2f1f2s1s2start高风险高风险s = s = 伤害的严重性伤害的严重性s1:s1:轻微的轻微的, , s2: s2: 严重的严重的, , 不可恢复的不可恢复的f = f = 风险发生的频率或暴露的时间风险发生的频率或暴露的时间f1: f1: 很少很少, , f2: f2: 频繁频繁p = p = 避免风险的可能性避免风险的可能性p1: p1: 可能可能, , p2:p2: 几乎不可能几乎不可能设计过程设计过程安全功能设计

13、安全功能设计方法：方法： plpl等级定确定等级定确定 设计和技术确认设计和技术确认 plpl等级确认等级确认pl pl plplr r? ? 控制系统确认，是否所有要求都符合？控制系统确认，是否所有要求都符合？din en iso 13849-1功能安全设计功能安全设计等级等级 b b 4 4 en 954-1en 954-1指定的结构指定的结构 ( (结构图结构图) ) 根据需要达到的根据需要达到的plplr r等级选择合适的结构等级选择合适的结构 等级对应关系一览等级对应关系一览: :iso 13849-1iso 13849-1标准中没有其它的对应关系标准中没有其它的对应关系! !din

14、 en iso 13849-1b1234pla - bca - da - ee等级等级 b b 4 4 根据需要达到的根据需要达到的plplr r等级选择合适的结构等级选择合适的结构din en iso 13849-1功能安全设计功能安全设计mttfd=低mttfd=中mttfd=高abcdeplcat.bcat.1cat.2cat.2cat.3cat.3cat.4dc 无dc 无dc 低dc 中dc 高dc 低dc 中inputlogicoutput传感器传感器安全输入设备安全输入设备电源控制设备电源控制设备安全输出设备安全输出设备逻辑处理设备逻辑处理设备安全控制设备安全控制设备安全功能设计

15、安全功能设计 控制系统与安全相关的部分控制系统与安全相关的部分安全防护装置安全防护装置安全传感器安全传感器 ( (输入输入) )急停按钮急停按钮电磁门开关电磁门开关双手控制按钮双手控制按钮安全光栅安全光栅安全继电器安全继电器总线控制器总线控制器安全防护装置安全防护装置安全控制部分安全控制部分 ( (逻辑逻辑) )联动装置联动装置接触器接触器acac驱动驱动elrelr固态接触器固态接触器安全防护装置安全防护装置安全输出部分安全输出部分 ( (输出输出) )等级等级 b b系统组件系统组件: : i:i:输入输入, ,传感器传感器 l:l:逻辑逻辑, ,控制设备控制设备 o:o:输出输出,(,(

16、马达马达-)-)开关开关 i im m: :相连线相连线定义定义iloimimdin en iso 13849-1mttfd低低 中中dc-ccf-系统结构系统结构等级等级 b b 按照相关标准设计按照相关标准设计 应用基本安全原理应用基本安全原理 在指定的操作条件下使用在指定的操作条件下使用 系统可容许故障系统可容许故障 = 0= 0 一个故障发生会导致安全功能的丧失！一个故障发生会导致安全功能的丧失！ 主要通过选择比较好的零部件主要通过选择比较好的零部件 至高可达到至高可达到: : plplmaxmax = b = bdin en iso 13849-1iloimimdin en iso

17、13849-1mttfd高高dc-ccf-定义定义等级等级 1 1系统组件系统组件: : i:i:输入输入, ,传感器传感器 l:l:逻辑逻辑, ,控制设备控制设备 o:o:输出输出,(,(马达马达-)-)开关开关 imim: :相连线相连线系统结构系统结构等级等级 1 1 满足等级满足等级b b的要求的要求 设计时使用比较好的零部件，以及使用安全设计原则设计时使用比较好的零部件，以及使用安全设计原则( (参见参见iso iso 13849-2)13849-2) 系统可容许故障系统可容许故障 = 0= 0 一个故障发生会导致安全功能的丧失！（但概率比等级一个故障发生会导致安全功能的丧失！（但概

18、率比等级b b要低）要低） 主要通过选择比较好的零部件主要通过选择比较好的零部件 至高可达到至高可达到: : plplmaxmax = c = cdin en iso 13849-1等级等级 2 2 系统组件系统组件: : te:te:测试设备测试设备 ote:ote:测试设备输出部分测试设备输出部分iloimimteoteimmdin en iso 13849-1mttfd低低 高高dc低、中低、中ccf满足满足定义定义系统结构系统结构等级等级 2 2 满足等级满足等级b b的要求的要求 使用安全设计原则使用安全设计原则( (参见参见iso 13849-2)iso 13849-2) 安全功能

19、必须在合理的时间间隔之间进行检测安全功能必须在合理的时间间隔之间进行检测 设备启动时设备启动时 优先于任何危险情况优先于任何危险情况din en iso 13849-1系统结构系统结构等级等级 2 2 系统可容许故障系统可容许故障 = 0= 0 在两个测试周期之间，一个故障可能导致安全功能的丧失！在两个测试周期之间，一个故障可能导致安全功能的丧失！ 然而，周期性的测试可以发现这个故障。然而，周期性的测试可以发现这个故障。 主要通过结构设计主要通过结构设计 至高可达到至高可达到: : plplmaxmax = d = ddin en iso 13849-1等级等级 3 3i1l1o1imci2l

20、2o2imimmimmdin en iso 13849-1mttfd低低 高高dc低、中低、中ccf满足满足定义定义系统结构系统结构等级等级 3 3 满足等级满足等级b b的要求的要求 使用安全设计原则使用安全设计原则( (参见参见iso 13849-2)iso 13849-2) 系统可容许故障系统可容许故障 = 1= 1 当一个故障发生时，安全功能仍然保持；当一个故障发生时，安全功能仍然保持； 一些，但不是所有的故障都能被发现；一些，但不是所有的故障都能被发现； 未检测到的故障累计起来可能导致安全功能的丧失！未检测到的故障累计起来可能导致安全功能的丧失！ 主要通过结构设计主要通过结构设计 至

21、高可达到至高可达到: : plplmaxmax = e = edin en iso 13849-1等级等级 4 4i1l1o1imci2l2o2imimmimmdin en iso 13849-1mttfd高高dc高高ccf满足满足定义定义系统结构系统结构等级等级 4 4 满足等级满足等级b b的要求的要求 使用安全设计原则使用安全设计原则( (参见参见iso 13849-2)iso 13849-2) 系统可容许故障系统可容许故障 = 1= 1 一个故障不会导致安全功能的丧失！一个故障不会导致安全功能的丧失！ 在下一个命令发生的时候或之前（例如：接通或机器操作周期结束），在下一个命令发生的时候

22、或之前（例如：接通或机器操作周期结束），这个故障会被发现，如果这个故障会被发现，如果the single fault is detected at or the single fault is detected at or before the next demand upon the safety functions, e.g. before the next demand upon the safety functions, e.g. immediately, at switch on, or at end of a machine operating immediately, at sw

23、itch on, or at end of a machine operating cyclecycle 如果没有发现，累计故障也不会导致安全功能的丧失！如果没有发现，累计故障也不会导致安全功能的丧失！ 主要通过结构设计主要通过结构设计 至高可达到至高可达到: : plplmaxmax = e = edin en iso 13849-1系统结构系统结构对于电子系统，此标准适用于需要执行以下要求中的一种：对于电子系统，此标准适用于需要执行以下要求中的一种： 性能等级性能等级plplr r = “a” = “a” 或或 “b”“b” 通过在故障条件下其特点已经有明确定义的硬件，执行安全功能通过在故

24、障条件下其特点已经有明确定义的硬件，执行安全功能 可编程电子系统最高可编程电子系统最高plplr r 等级为等级为“d”“d” 例如：监视例如：监视 最高最高plplr r “d” “d”安全功能通过不同的可编程电子系统执行安全功能通过不同的可编程电子系统执行 不同的应用软件、操作系统或硬件不同的应用软件、操作系统或硬件 与安全相关的部分与安全相关的部分( (包括软件包括软件) )需要执行合适的标准需要执行合适的标准 (e.g. iec (e.g. iec 61508)61508)din en iso 13849-1软件软件软件要求软件要求 all lifecycle activities o

25、f safety-related embedded or all lifecycle activities of safety-related embedded or application software shall primarily consider the application software shall primarily consider the avoidance of faults introduced during the software avoidance of faults introduced during the software lifecycle.life

26、cycle. the main objective of requirements is to have readable, the main objective of requirements is to have readable, understandable, testable and maintainable software.understandable, testable and maintainable software.din en iso 13849-1软件软件软件类型软件类型内置软件内置软件 硬件、硬件、 操作系统操作系统应用软件应用软件 某种类型机械设备特殊控制软件某种

27、类型机械设备特殊控制软件参数参数 参数配置的软件参数配置的软件din en iso 13849-1软件软件软件安全需求软件安全需求软件安全生命周期软件安全生命周期 v v 模型模型din en iso 13849-1技术规范技术规范系统设计系统设计模块设计模块设计编码编码模块测试模块测试综合测试综合测试确认确认确认确认softwarefor safety-related embedded software (sresw) components (pl a to d) limited variability language (lvl) software safety lifecycle wit

28、h v and v activities documentation of specification and design modular and structured design and coding appropriate lifecycle activities after modificationsdin en iso 13849-1softwareadditional measures for pl c or d (excerpt) project management and quality management system comparable to, e.g. iec 6

29、1508 or iso 9001; documentation of all relevant activities during software safety lifecycle; configuration management to identify all configuration items and documents related to a sresw release; structured specification with safety requirements and design; use of suitable programming languages and

30、computer-based tools with confidence from use; etc.din en iso 13849-1designdesigning a safety functionmethod: determination of the required pl design and technical realization verification of the achieved pl;pl plr? validation of the control system;have all requirements been fulfilled?din en iso 138

31、49-1verification of plevaluation of the probability of failure to determine the pl, the following is required mttfd dc ccf goal: a single value is to be determined for each characteristicdin en iso 13849-1interlocktimerspeed monitorssm relayverification of plexample: protective door with inhibitg1k1

32、f1k2fault exclusion on f1category 3 structureprotectivedoorverification of pldetermination of mttfdmttfd details from supplier good engineering practice for mttfd din en iso 13849-1, appendix c the component manufacturer confirms well-tried safety principles(iso 13849-2) the component manufacturer s

33、pecifies deterministic usage or application well-tried safety principles are applied mttfd = 10 yearsdin en iso 13849-1verification of plevaluation of mttfdmanufacturers information downtime monitor for safety applications mttfdk1 = 15,220 years proof test interval 4.5 yearsdin en iso 13849-1k1plpl评

34、估参数评估参数din en iso 13849-1电动机械部件电动机械部件mttfdmttfd b10d- b10d- 值值 发生发生1010危险故障概率时，开关动作的次数危险故障概率时，开关动作的次数 b10d- b10d- 来自于制造厂商来自于制造厂商, ,或或 b10d = 0.5 x b10 (b10d = 0.5 x b10 (发生故障发生故障, ,开关动作的次数开关动作的次数) ) b10 b10 供应商提供，我们认为其中供应商提供，我们认为其中5050为危险故障为危险故障 取决于应用中开关动作的频率取决于应用中开关动作的频率plpl确认确认mttfmttfd d 和和 b b10

35、d10d参数参数din en iso 13849-1来源： iso 13849-1, 附件 cplpl确认确认b b10d 10d 值转换成值转换成mttfmttfd d, ,计算公式计算公式din en iso 13849-1opddnbmttf1 . 010cycleopopopthshdn3600cycleopopopthdn= 平均动作次数平均动作次数/ /年年= = 工作天数工作天数/ /年年= = 工作小时工作小时/ /天天= = 动作一次的时间动作一次的时间( (以以s s为时间单位为时间单位) )，例如，例如600s600s动作一次动作一次560,52600600. 32436

36、5shshdnopverification of pl更换时间更换时间 t t10d 10d 零部件更换时间零部件更换时间 零部件发生零部件发生10%10%危险故障的平均时间危险故障的平均时间 在故障概率太高时在故障概率太高时, ,零部件必须更换零部件必须更换din en iso 13849-1opddnbt1010verification of plmttfmttfd d评估评估良好的工程使用习惯良好的工程使用习惯限位开关限位开关 b10d = 400,000 b10d = 400,000 动作次数动作次数 = mttf= mttfdg1dg1 = 76 years = 76 years =

37、 t= t10dg110dg1 = 7.6 years = 7.6 years即即7.67.6年，产品需要更换一次年，产品需要更换一次din en iso 13849-1g1verification of plmttfmttfd d评估评估良好的工程使用习惯良好的工程使用习惯 时间继电器时间继电器 b10d = 400,000 b10d = 400,000 动作次数动作次数 = mttf= mttfdk2dk2 = 76 years ( = 76 years (机械的机械的!)!) mttfmttfd d( (电气的电气的) ) = 1,000 years= 1,000 years( (评估评

38、估) ) mttfmttfdk2dk2 ( (机械的机械的!) + !) + mttfmttfd d( (电气的电气的) ) ? ?din en iso 13849-1k2verification of plevaluation of mttfd由各个零部件的mttfd，可以计算出整个系统的mttfd值！din en iso 13849-1didddnididmttfmttfmttfmttfmttfmttf1.11111211verification of plevaluation of mttfdusing the parts count method“ on k2 mttfdmechani

39、c = 76 years mttfdelectronic = 1,000 years mttfdk2 = 70.7 years t10dk2 = 7.6 yearsdin en iso 13849-1k2verification of plevaluation of mttfdusing the parts count method“ on g1 and k1 mttfdg1 = 76 years mttfdk1 = 15,220 years mttfdkanal1 = 75,6 yearsdin en iso 13849-1g1k1verification of plevaluation o

40、f mttfdsymmetrization of 2 channelsdin en iso 13849-12,1,2,1,11132cdcdcdcddmttfmttfmttfmttfmttfyearsyearsyearsyearsyearsmttfd18,737 ,7016 ,75117 ,706 ,7532verification of plevaluation of dcevaluation of dc for the components manufacturers data estimation according to measures in annex e example: g1:

41、 cross comparison without dynamic test through k1:dc = 90 % k1: manufacturers data: dc = 90 % k2: forcibly guided contacts: dc = 99 %din en iso 13849-1verification of plevaluation of dcestimation of dc for the complete control system non tested parts dc = 0 parts with fault exclusion mttfd = din en

42、iso 13849-1nnnavgmttfmttfmttfmttfdcmttfdcmttfdcdc1.11.212211verification of plevaluation of dcestimation of dc for the complete control system categorization dcavg: 90% dc 99% = middledin en iso 13849-1%957 ,701220.1517617 ,70%99220.15%9076%90 111211221111jahrejahrejahrejahrejahrejahredcmttfmttfmttf

43、mttfdcmttfdcmttfdcdcavgkkgkkkkggavgverification of plmeasures against ccfdin en iso 13849-1measurepointsphysical separation between signal paths: separation in wiring piping, sufficient clearance and creepage distances on pcbs15different technologies/design or physical properties are used, for examp

44、le: first channel programmable electronic and the second channel hard wired20protection against over-voltage, over-current, over-pressure etc.15components used are well tried5are the results of an fmea taken into account to avoid ccf in design5designers/maintainers been trained to understand the cau

45、ses and consequences of ccf?5prevention of contamination and electromagnetic compatibility (emc) against ccf in accordance with standards25other influences: have the requirements for immunity to all relevant environmental influences such as temperature, shock vibration, humidity been considered10ver

46、ification of pldetermination of the achieved plpossibilities to determine the pl table in annex k category 3 dc = middle mttfd = 73.2 years resulting pl e“ 6.62 x 10-8 pfhd 3 3noneab 2 2abc 2 2bcd 3 3cde 3 3dedin en iso 13849-1verification of plexampledin en iso 13849-1功能需求功能需求 当有人站在下方的时候当有人站在下方的时候, ,安全安全门不能关闭门不能关闭 操作模式操作模式 自动自动verification of pldin en iso 13849-1plrplr等级定义举例等级定义举例开始开始需要的需要的plpl等级等级abcdep1p2p1p2p1p2p1p2f1f2f1f2s2s1低低风险风险高高风险风险s: s: 伤害的严重性伤害的严重性f: f: 风险发生频率风险发生频率p: