【摘要】 EN954-1和EN ISO 13849-1都是歐盟制定的關(guān)于機械安全的指令標準，現(xiàn)在EN ISO 13849-1 已經(jīng)取代了EN 954-1，本文介紹了這兩種標準的異同。
【關(guān)鍵詞】類別 性能等級 診斷覆蓋率 控制系統(tǒng)的相關(guān)安全部分
Abstract: Both EN 954-1 and EN ISO 13849-1 are European directive standards regarding machinery safety. Today, EN ISO 13849-1 replaces EN 954-1 as a new standard. This article wants to explain what is different between them.
Key word: Cat. PL DC SRC/CS
概述
這篇文章介紹了在機械安全領(lǐng)域，最近剛剛發(fā)生的一些變化和實施新標準的情況，聚焦于歐盟的要求，但由于對機械安全標準的全球化需求，所以在EN后面增加了ISO，也即國際標準，因此文中的很多內(nèi)容是關(guān)于全世界的。
機械和過程的自動化正在快速地變化著，更加柔性，更加強勁。為了保證操作員和技術(shù)員的安全，利用自動化具有的先進功能，要對機械保護進行連續(xù)地測量。從歷史上來看，安全系統(tǒng)和自動化系統(tǒng)是完全分開的，操作也是獨立的，安全系統(tǒng)通常與自動化系統(tǒng)是并行的。但有一個重要的原則是：安全系統(tǒng)必須總是有效的。在“正常”情況下的機械操作，一個故障或者不期望發(fā)生的事件不能產(chǎn)生危險，或者破壞安全保護的測量。
現(xiàn)在，擺在我們面前的一個事實是：自動化系統(tǒng)越來越智能；所以，我們也希望安全系統(tǒng)也應(yīng)這樣。需要增加什么樣的安全功能，取決于機械設(shè)備做什么工作，或者它在什么模式下工作。這意味著“安全”是，在某些情況下，能與“正?！钡目刂葡到y(tǒng)進行通信。也意味著，我們需要重新考慮：怎樣實現(xiàn)安全系統(tǒng)的獨立性和完整性。新一代安全系統(tǒng)的一個最顯著特征是：現(xiàn)在已經(jīng)實施的新機械安全標準EN ISO 13849-1（原來的EN 954－1還會延期到2011年12月31日廢止），它必須遵從功能安全的新標準。在本文里，我們將討論其中最重要的部分：EN ISO 13849-1。除了這點，歐盟有一個新的機械安全指令，做為法律依據(jù)應(yīng)對相關(guān)的機械工業(yè)環(huán)境。
任何提供機械或者使用這些機械的單位和個人，必須了解相關(guān)的標準和法規(guī)要求，這一點非常重要。本文試圖幫助那些使用控制系統(tǒng)完成這種任務(wù)的用戶，目的不是替代詳細研究標準和法規(guī)特定條款，而只是給出一個指南，希望用戶能夠清楚地了解到底需要什么。
從EN 954-1到EN ISO 13849-1的轉(zhuǎn)移
很多年來，對安全相關(guān)系統(tǒng)分類的最常用方法就是使用EN 954-1 [或者它的對應(yīng)新標準 ISO 13849-1:1999]的類別（Cat）。這個標準即將作廢，因為它不遵從新的機械指令，這個標準將在2011年12月31日后不再使用。
替換EN 954-1的新標準已經(jīng)分布，它就是EN ISO 13849-1:2008?！皺C械安全－控制系統(tǒng)的安全相關(guān)部分”。還有一個選擇的標準可以使用：EN/IEC 62061 “機械安全－電氣、電子和可編程電氣控制系統(tǒng)的功能安全”。使用這兩個標準都能夠遵從機械指令。本文將討論這兩個標準之間的相互關(guān)系。至于選擇哪一個標準來使用，這由用戶來決定，我們將著重于EN ISO 13849-1:2008。特別針對那些熟悉類別的設(shè)計者而言，標準給他們提供了一條轉(zhuǎn)移的路徑。因此，對于機械安全系統(tǒng)，它是最通常使用的標準。它既可以用于一個完整的系統(tǒng)，也可以用于一個子系統(tǒng)。
EN 954-1與EN ISO 13849-1基本的不同
首先，讓我們看看老EN 954-1和新EN ISO 13849-1有什么不同的地方。老標準的輸出是類別Cat [B,1, 2, 3 或 4]。新標準的輸出是性能等級PL [a, b, c, d 或 e]。類別概念仍然保留，在系統(tǒng)提出PL之前，還有其他的需求要滿足。
把要求列為下面的內(nèi)容：
? 系統(tǒng)的體系結(jié)構(gòu)。這基本抓住了我們有什么，使用什么樣的類別。
? 系統(tǒng)組成部分需要的可靠性數(shù)據(jù)。
? 需要系統(tǒng)的診斷覆蓋率[DC]。它有效地代表了對系統(tǒng)內(nèi)部故障監(jiān)視的能力。
? 公因失效的防護。
? 系統(tǒng)故障的防護。
? 軟件相關(guān)的特定要求。
[DividePage:NextPage]
然后，我們將近距離查看這些因素，但之前我們要考慮整個標準的基本目的和原理。非常清楚的一點是：有很多新內(nèi)容需要學(xué)習(xí)，因為了解細節(jié)會使我們對安全概念更有心得，那時我們就會理解標準要達到什么目的，為什么要這么做。
首先，我們?yōu)槭裁葱枰粋€新標準？顯而易見的是：用于機械安全系統(tǒng)的技術(shù)，在過去的十年里，已經(jīng)有了很大進步，發(fā)生了很大變化。稍遠的最近，安全系統(tǒng)采用了具有可預(yù)測和可預(yù)見失效模式的“簡單”設(shè)備；稍近的最近，我們已經(jīng)看到在安全系統(tǒng)中，更多地使用比較復(fù)雜的電子和可編程設(shè)備。這表明在成本、靈活性和兼容性上，我們有更多的技術(shù)可供選擇，同時也意味著：原來的標準有點過時，不再適用了。要判斷一個安全系統(tǒng)是否滿足要求，我們必須知道得更多。這就是為什么新標準需要更多的信息。以前的安全系統(tǒng)多采用“黑盒子”的方法，而現(xiàn)在更多地依靠符合標準。因此，實施標準需要具有運用技術(shù)的能力。為了達到這個目的，標準必須提出基本的可靠性、故障檢測、體系結(jié)構(gòu)和系統(tǒng)集成等要素。這就是提出EN ISO 13849-1的目的。
為了通過這個標準完成一個機械安全項目，非常重要的是要明白：有兩類根本不同的用戶類型：安全相關(guān)子系統(tǒng)的設(shè)計者和安全相關(guān)系統(tǒng)的設(shè)計者。通常來說，子系統(tǒng)的設(shè)計者（典型的是安全組件制造商）被認為是復(fù)雜的更高一級。他們需要提供相關(guān)數(shù)據(jù)，使系統(tǒng)設(shè)計者能夠確保系統(tǒng)具有足夠的完整性。這要進行很多測試、分析和計算。結(jié)果要用標準所規(guī)定的數(shù)據(jù)格式表示。
系統(tǒng)設(shè)計者（典型的是機械設(shè)計者和集成商）將使用這些數(shù)據(jù)去完成一些相關(guān)的計算，決定系統(tǒng)的整體性能等級（PL）。
為了決定需要什么樣的PL（PLr：所需的性能等級），標準提供了風(fēng)險圖，通過此圖，要輸入應(yīng)用中傷害嚴重度、發(fā)生的頻率和防止的可能性等參數(shù)。
輸出的是PLr值。老EN 954-1的用戶會比較熟悉這種方法，但要注意：S1線現(xiàn)在分為兩部分，而老風(fēng)險圖則沒有。還要注意：這意味著在低風(fēng)險級需要安全測量的完整性，有重新考慮的可能性。
所以現(xiàn)在我們能夠看到系統(tǒng)的PLr（通過風(fēng)險圖）和系統(tǒng)達到的PL（通過計算）之間的關(guān)系。
我們知道，從標準中，我們可以計算系統(tǒng)需要多好的安全和怎樣決定能夠使它多好，但我們不知道它需要做什么。我們需要決定安全功能是什么。很清楚，安全功能必須適合于任務(wù)，那么我們怎樣提供這些？標準怎樣來幫助我們？
必須明白，需要的功能可以僅由實際應(yīng)用的主要特性來決定。這可以看作安全概念的設(shè)計階段。它不能被標準全部覆蓋，因為標準不知道具體應(yīng)用的所有特性。標準常常應(yīng)用于機械制造商，他們生產(chǎn)機械，但不必知道機械使用的確切條件。
這個標準列出很多通用的安全功能和一些常用的相關(guān)要求，希望對用戶能夠提供一些幫助。其他標準，像EN ISO 12100：基本設(shè)計原理和EN ISO 14121：風(fēng)險評估，在這個階段，極力推薦給用戶使用。還有，大量的機械特殊標準提供了特殊機械的解決方案。在歐盟的EN標準中，這一類稱之為C類的標準，大多數(shù)等同于ISO標準。
因此，我們現(xiàn)在看到安全概念設(shè)計階段是依賴于機械的類型，還依賴于應(yīng)用的特性和使用的環(huán)境。機械制造商要預(yù)見這些因素，使之在設(shè)計中使用安全概念。使用的預(yù)期（比如預(yù)計）條件應(yīng)該在用戶手冊中給出。機械的用戶需要檢查他們是否滿足實際的使用條件。
我們現(xiàn)在有了安全功能的描述。從標準的附錄A中，我們也有了需要的性能等級（PLr），用于控制系統(tǒng)的安全相關(guān)部分（SRC/CS），它用于執(zhí)行這個功能。我們現(xiàn)在需要設(shè)計這個系統(tǒng)，并且確保它滿足PLr值。
在決定使用（EN ISO 13849-1或者EN/IEC 62061）一個最重要的因素是安全功能的復(fù)雜性。大多數(shù)情況，對于機械設(shè)備，安全功能相對簡單，使用EN ISO 13849-1 更適合。為了評估PL值，使用已經(jīng)提到的因素：可靠性數(shù)據(jù)、診斷覆蓋率（DC）、系統(tǒng)結(jié)構(gòu)（類別）和相應(yīng)的軟件要求。
這只是一個簡單的描述，僅意味著給了你一個概念。重要的是理解：標準的內(nèi)容給出了所有必須執(zhí)行的規(guī)定。無論如何，幫助就在手邊?，F(xiàn)在有一種很棒的軟件工具，可以幫助我們解決計算問題。它的名字叫SISTEMA。它是由德國的BGIA（德國社會事故保險職業(yè)安全和健康研究所）開發(fā)的。這個軟件可以免費下載供用戶使用，詳情請登錄：
現(xiàn)在這個軟件版本只支持德語和英語，其他語言版本會在不遠的將來發(fā)布。這個工具不是一個商業(yè)化產(chǎn)品，BGIA, SISTEMA的開發(fā)商, 是一個基于德國政府的著名研究和測試機構(gòu)。它特別參與了德國意外保險和預(yù)防法令中相關(guān)安全科學(xué)和技術(shù)問題的解決。它已經(jīng)與二十多個國家的職業(yè)健康和安全部門合作工作。來自BGIA的專家, 與他們的BG同事一起，積極參與了EN ISO13849-1和IEC/EN 62061草案的制定。
[DividePage:NextPage]
羅克韋爾自動化產(chǎn)品的數(shù)據(jù)可以使用SISTEMA
羅克韋爾自動化安全產(chǎn)品的“數(shù)據(jù)庫”現(xiàn)在可以使用SISTEMA軟件，計算性能等級（PL）。請登錄下面網(wǎng)站，獲得這個數(shù)據(jù)庫：
無論什么方法，PL的計算是非常重要的，是一個正確的開始。我們需要按標準以同樣的方式來觀察我們的系統(tǒng)，下面就從這里開始。
系統(tǒng)結(jié)構(gòu)
任何系統(tǒng)能夠拆分成基本系統(tǒng)組件或者“子系統(tǒng)”。每個子系統(tǒng)都有自己離散功能。多數(shù)系統(tǒng)能夠拆分成三個基本功能；輸入、邏輯解算和輸出（一些簡單系統(tǒng)可以沒有邏輯解算）。組件組執(zhí)行這些子系統(tǒng)的功能。
一個簡單通道電氣系統(tǒng)例子見上圖。它僅由輸入和輸出子系統(tǒng)組成。
本系統(tǒng)稍微復(fù)雜一點，因為還需要一些邏輯。安全控制器本身具有內(nèi)部故障冗余功能（比如：雙通道），但整個系統(tǒng)仍然受限于單通道，因為限位開關(guān)和接觸器都是單通道的。
使用前一幅圖的基本結(jié)構(gòu)，還要考慮其他一些問題。首先，這個系統(tǒng)具有多少個“通道”？ 一個單通道系統(tǒng)，一旦它的子系統(tǒng)失效，它就會失效。一個雙通道（也稱為冗余）系統(tǒng)，一個通道失效，它還能工作，只有兩個通道都失效時，它才失效。因為它有兩個通道，可以容忍一個通道的故障。上圖顯示了一個雙通道系統(tǒng)。
非常清楚，雙通道系統(tǒng)比起單通道系統(tǒng)來說，更不容易走向危險的條件。如果我們包含對故障檢測的診斷測量，我們還能夠使它更加可靠（根據(jù)它的安全功能）。當(dāng)然，有了故障檢測，我們還需要做出反應(yīng)，把系統(tǒng)切到安全狀態(tài)。下面的圖表示了具有監(jiān)視技術(shù)進行的診斷測量。
通常（但不總是）的情形是：系統(tǒng)由兩個通道，全部由子系統(tǒng)構(gòu)成。因此，我們能夠看到：這種情況下，每個子系統(tǒng)有兩個“子通道”。標準描述這些為“模塊”。一個兩通道子系統(tǒng)至少有兩個模塊，一個單通道子系統(tǒng)至少有一個模塊。有些系統(tǒng)是由雙通道和單通道模塊組合而成的。
如果我們想深入研究這個系統(tǒng)，我們需要考慮模塊的組件部分。SISTEMA 工具使用了術(shù)語“元件”（elements）表示這些組件部分。
見上圖，限位開關(guān)子系統(tǒng)被分解到了元件級。輸出接觸器子系統(tǒng)分解到模塊級，邏輯子系統(tǒng)沒有再分。對限位開關(guān)和接觸器的監(jiān)視功能由邏輯控制器執(zhí)行。因此，方塊表示的限位開關(guān)和接觸器子系統(tǒng)與邏輯子系統(tǒng)有小小的重疊。
這個系統(tǒng)細分的原則，在EN ISO 13849-1中的方法論中給予了認可，也是SISTEMA工具中基本系統(tǒng)結(jié)構(gòu)的原則。然而要注意的是：這里有些微小的差異。標準在它的方法論中沒有強制，但為了簡化評估PL的方法，通常第一步是把系統(tǒng)結(jié)構(gòu)拆分成通道，再把每個通道拆分成模塊。使用SISTEMA，系統(tǒng)通常第一步分成子系統(tǒng)。標準沒有明確描述一個子系統(tǒng)概念，但在SISTEMA中使用，提供了更易理解和更直觀的方法。當(dāng)然，這對最后的計算沒有任何影響。SISTEMA和標準兩者使用相同的原理和公式。非常有趣的是：子系統(tǒng)的方法也用在EN/IEC 62061中。
我們做為例子使用的系統(tǒng)正好是標準指定的五種基本系統(tǒng)結(jié)構(gòu)類型中的一種。熟悉系統(tǒng)類別的讀者能夠辨認出：我們的例子是典型的類別3或者類別4。
[DividePage:NextPage]
新標準使用原EN 954-1的類別，做為它指定系統(tǒng)結(jié)構(gòu)的五種基本類型。把它們稱之為指定結(jié)構(gòu)類別。對類別的要求幾乎（但不完全）與EN 954-1中給出的相同。指定結(jié)構(gòu)類別由下面的各圖表示。要注意的是：它們既可以應(yīng)用于整個系統(tǒng)，也可以應(yīng)用于子系統(tǒng)。圖中表示的不是純粹的物理結(jié)構(gòu)，它們只是概念要求的圖形表示。
指定結(jié)構(gòu)類別B必須使用基本安全原則（請參看EN ISO 13849-2附錄）。這種系統(tǒng)或者子系統(tǒng)會在單一故障事件中失效。見EN ISO 13849-1的全部要求。
指定結(jié)構(gòu)類別1具有和類別B相同的結(jié)構(gòu)，在單一故障事件中，仍然會失效。但因為它也使用良好驗證的安全原則（見EN ISO 13849-2附錄），故失效概率比類別B低。見EN ISO 13849-1 的全部要求。
指定結(jié)構(gòu)類別2必須使用基本安全的原則（見EN ISO 13849-2的附錄）。也必須有通過系統(tǒng)或者子系統(tǒng)功能測試的診斷監(jiān)視。這個測試必須在啟動、然后在每個安全功能要求中至少進行一百次測試的頻率周期出現(xiàn)。如果故障在功能測試時發(fā)生，這個系統(tǒng)或者子系統(tǒng)仍然會失效，但通常失效概率比類別1小。見EN ISO13849-1的全部要求。
指定結(jié)構(gòu)類別3必須使用基本安全原則（見EN ISO 13849-2的附件）。還有一個在單一故障發(fā)生時，系統(tǒng)/子系統(tǒng)必須不能失效的要求。這意味著：系統(tǒng)需要具有單一故障容錯的安全功能。實現(xiàn)這一要求的通常做法是采用上圖所示的雙通道結(jié)構(gòu)。另外，還要求對單通道的故障能夠進行檢測。這個要求同原來的EN 954-1中的類別3的要求是相同的。它意味著類別3的系統(tǒng)，冗余涵蓋了所有部分，冗余系統(tǒng)的所有單一故障都能檢測，但沒有整體的故障檢測（常常被描述為“愚蠢的冗余”）。為了解決這個問題，在EN ISO 13849-1的要求中提出，由診斷覆蓋率（DC）的品質(zhì)來評估。我們可以看出，系統(tǒng)的可靠性（MTTFd：平均危險失效時間）越高，需要的診斷覆蓋率（DC）越低。無論如何，已經(jīng)清楚地表明，在類別3的結(jié)構(gòu)中，DC至少達到60%。
指定結(jié)構(gòu)類別4必須使用安全基本原則（見EN ISO 13849-2的附錄）。它與類別3的要求很相似，但需要更多的監(jiān)視，比如更高的診斷覆蓋率。這里用虛線表示了這種監(jiān)視功能。類別3和類別4基本的不同點是：類別3能夠檢測大多數(shù)的故障，而類別4能檢測所有的單一故障。 DC值至少達到99%。甚至在故障的組合的情況下，也不能引起危險失效。
（羅克韋爾自動化（中國）有限公司 全球標準及貿(mào)易部中國地區(qū)經(jīng)理 華镕）
