原文链接：https://mp.weixin.qq.com/s/QvVA2W8Xfl_7iMCgjyf7Iw

大家好，我是盾山。国庆找了个安静的角落，把 ISO 13849 又从头到尾啃了一遍。说实话，早先写过一版，但是从工程师角度考虑更想知道：做完这一步，下一步是什么？要交出什么东西？凭什么说做到了？标准是按条款编号写的，可项目从来不是按条款编号跑的。

所以这次我不打算顺着章节讲。我想做一件更笨、但更有用的事：把一份安全功能从无到有，按真实做项目的顺序拆成六站，每一站讲清楚该做什么开发、该出什么交付物、在哪里停下来评审和测试，以及依据在标准的哪一条。

文中条款号对应 ISO 13849-1:2023，方便你随时翻回去核对。泡杯咖啡，放首音乐，我们慢慢来。

因原文篇幅过长，如果想要获取完整版解读，请拉至文章末端获取~

〇、先看两张地图

第一张：迭代回路

ISO 13849-1:2023 把安全相关控制系统（SRP/CS）的设计定义成一条迭代回路：从风险评估出发，判断是否需要安全功能；对每个安全功能，依次完成“规范（含 PLr）→ 设计实现 → 评定 PL → 验证 PL 是否 ≥ PLr → 确认 → 检查所有功能是否都已分析”，最终回到“风险降低是否达成”的判断。

依据在 §4.4 与 Figure 4。任一步骤不通过，就回到设计环节修改后重新来。

图 1　SRP/CS 设计迭代回路（来源：ISO 13849-1:2023 Figure 4）

第二张：六站开发流程

把上面这条回路按真实开发顺序展开，就是本文要讲的六站：

安全功能定义与描述（标准第 5 章）PLr 计算（§5.3 + Annex A）架构设计与系统设计（第 6 章 + 第 9 章 + Annex L）硬件要求（§6.1.4、§6.1.10–6.1.11 + ISO 13849-2）软件要求（第 7 章）测试与验证确认（第 8 章 + 第 10 章）

图 2　按开发流程组织的六站与五个决策门（本文整理绘制）

开发前先确认三件事

① 适用模式（前置门槛）。 本标准只适用于高需求/连续模式 。量化判据很清楚：安全功能的请求频率 > 1 次/年，属于高需求/连续模式，适用本标准；请求频率 ≤ 1 次/年，属于低需求模式，应走 IEC 61508 / IEC 62061，不适用本标准。连续模式指安全功能持续处于激活状态（如各类监控功能）。开始设计前先确认模式，标准选错，整个论证都无效。

② 六站的输入输出接口。 每一站的输出就是下一站的输入：

③ 迭代回退不是一律回第一站。 按失败类型，回退到能解决问题的最近一站：

G1（PLr 评定）不通过： S/F/P 取值有争议 → 回第一站补危险场景数据；C 类标准有新规定 → 直接更新 PLr。G2（架构方案）不通过： 类别选低了 → 本站换类别重算；MTTFD 不够 → 标注元件要求交第四站；CCF 不够 → 本站补分离/多样性；EMI 不可行 → 回 §Annex L 改设计。G3（硬件）不通过： 故障清单有漏洞 → 补全清单与处置；失效数据不可追溯 → 换数据来源或按 Annex C 重算；DCavg 超限 → 回查 Table E.1 重取；降额不足 → 重选元件；环境超标 → 改环境声明或换器件。G4（软件）不通过： 措施选型不符 PLr → 按 Annex N 重新定位 Case；追溯缺失 → 补需求–设计–代码追溯；安全/非安全未隔离 → 补隔离与共享资源论证；检测机制不完整 → 补看门狗/自检/程序序列监控。G5（最终发布门）不通过： PL 验证不达标 → 回第三站改架构或第四站换元件；确认不通过 → 按失败项归属回第三/四/五站，一路可回到第一站。每次回退都要记录原因和修改内容，作为技术文档的一部分。

术语速查

一、第一站：安全功能定义与描述（标准第 5 章）

1.1 开发点

上游是风险评估。 安全功能不是凭空来的，它的输入是 ISO 12100 的风险评估，输出包括：各危险需要的风险降低量、机器运行特性（预期用途/可预见误用/运行模式/循环时间/响应时间）、紧急操作、人机交互与维修活动、人机工程、环境限制、重叠危险。

如果机器有对应的 C 类标准（如工业机器人的 ISO 10218），安全功能和 PLr 可能已被标准直接规定，直接取用；没有 C 类标准时，才需要按 Annex A 风险图做最坏情况假设来算 PLr。

九类常见安全功能，每一类都有具体特性（§5.2.2）：

安全停止（§5.2.2.2）： 触发后尽快进入安全状态，优先级高于所有启动和非安全停止；按 IEC 60204-1 的停止类别实现——类别 0（直接切断执行器电源，靠惯性停止）、类别 1（受控停止后再切断电源）、类别 2（受控停止，电源保持）；停止条件须维持到满足重启条件；多机协同时须通知监控系统或其他机器。手动复位（§5.2.2.3）： 复位执行器须在危险区外且有足够视野，不能从危险区内激活；视野不足时须用特定复位序列或区域监控；手动复位的 PLr 可与关联功能不同；自动复位只在“持续检测人员、能防止危险”时才允许。重启（§5.2.2.4）： 只有安全条件得到保证时才允许自动重启；带启动功能的联锁防护门须遵循 ISO 12100 §6.3.3.2.5。本地控制（§5.2.2.5）： 授权手段须在危险区外；多个控制站不得因此产生危险。Muting 安全功能暂时暂停（§5.2.2.6）：自动启动和终止；错误信号不得导致意外暂停；暂停期间保护性能不得降级。安全相关参数（§5.2.2.7）：参数越限即采取措施；手动输入要有数据校验。能量波动与断电（§5.2.2.8）：断电时仍须维持或触发安全状态输出。运行模式选择（§5.2.2.9）：任一时刻只有单一模式生效；选择动作本身不得启动机器；模式切换不得损失风险降低。维护任务的安全功能（§5.2.2.10）：维保人员进入危险区时，需要替代性安全功能（如使能装置 + 安全限速）。

1.2 响应时间与安全距离（ISO 13855:2024）

SRS 必须写清响应时间，而响应时间由安全距离公式约束。ISO 13855:2024 的基本公式是：

S = (K × T) + DDS + Z

S： 安全距离（mm），防护装置到危险区的最小距离。K： 接近速度参数（mm/s）——步行接近取 1600 mm/s，上肢伸入取 2000 mm/s。T： 整个系统的响应时间（s），分解为 T = tI + tL + tO + tD + tR + tM + tF + tS

分别是防护装置响应、逻辑响应、输出响应、动力传输响应、机器状态变化、机器制动时间、额外时间、控制系统采样间隔。DDS： 与防护装置相关的伸手距离（mm），2024 版由旧称“入侵距离 C”更名。Z： 补充距离因子，覆盖测量误差、位置不确定性、反射误差、离地间隙、制动力矩衰减等。**动态危险（如移动机器人）：**还要加上危险自身在响应时间内的位移 SM：

S = (K × T) + SM + DDS + Z

新手最容易踩的坑：只算控制系统的响应时间，漏掉机器制动时间 tM——而制动时间往往占总响应时间的大头，必须实测或从制造商数据获取。安全距离不够时，要么换更快的制动器，要么把防护装置放更远，要么降低机器速度。

1.3 编写 SRS：每个安全功能 13 项信息

SRS 是所有 SRP/CS 设计活动的基础（§5.2.1.1）。对每一个安全功能，SRS 至少要包含 §5.2.1.3 a)–m) 这 13 项：

功能简述/标题；

触发事件；

安全反应（输出要达到的安全状态）；

PLr；

响应时间（含 ISO 13855 定义的停止性能）；

该功能生效的运行模式；

与机器控制系统及其他安全功能的接口；

功能通道故障时进入安全状态的流程；

断电时的行为；

需求率/操作频率；

同时激活功能之间的优先级（如急停优先于一切）；

适用的 C 类标准要求；

复位条件。

此外，设计时要主动识别并消解“功能挡了生产、使用不便、任务未被识别”等可能诱导用户旁路安全功能的诱因（§5.2.3）；远程访问只有在特定措施到位时才允许，安全软件不得被远程修改，除非随后完成了本地验证（§5.2.4）。

1.4 输出物

SRS 安全要求规范（每个安全功能一条，含上述 13 项）；

安全功能清单（与危险一一对应的映射表）；

各安全功能 PLr 初判（供第二站细化）；

九类特定安全功能的要求补充说明。

1.5 评审节点

写 SRS 时要查 Annex M 的 Table M.1，确认每个功能对应的产品标准（如安全停止 → IEC 60204-1 / ISO 14119 / ISO 13855 / IEC 602046；手动复位 → IEC 602046；启动/重启 → IEC 60204-1 §6.2.11），Table M.2 给出停止时间、安全距离等参数参考。

SRS 评审（§5.4）： 设计开始前，必须把 SRS 对照风险评估逐条核验，确保每个安全功能都为实现预期的风险降低而设。评审由独立于设计者的人员执行，结果进入后续确认记录（§10.2）。

二、第二站：PLr 计算（§5.3 + Annex A）

2.1 PLr 的两个来源（§5.3）

路径一：从 ISO 12100 风险评估输入，或从 C 类标准继承。如果 C 类标准已直接规定 PLr，或 ISO 12100 评估已给出风险减小要求，直接取用，不必再用风险图重算。路径二：按 Annex A 风险图计算。没有 C 类标准、也没有完整的定量风险评估数据时，用 S/F/P 三参数风险图估算。此时必须明确这是最坏情况假设——危险事件发生概率取 100%，暴露频率和规避可能性都按保守值选，假设依据要文档化。

风险图本质是 ISO 12100 风险评估的简化兜底工具。能用路径一就不用路径二。

2.2 三参数查图（Annex A，Figure A.1）

S 伤害严重度：S1 轻微/可逆；S2 严重/不可逆或死亡。F 暴露频率与时长：F1 少见/短时；F2 频繁/持续。P 规避可能性：P1 特定条件下可避免；P2 几乎无法避免。三者组合查得 PLr a–e。

图 3　S/F/P 三参数风险图（来源：ISO 13849-1:2023 Figure A.1）**风险图的逻辑前提（Annex A.3）：**这张图画的是“还没装你要设计的这个安全功能之前”的风险状态，危险事件概率按 100% 处理。如果机器上已有独立于控制系统的机械防护或其他安全功能，读图起点要放在这些措施落实之后。只有能文档化论证“危险事件发生概率确实很低”时，才允许把结果下调一个 PL，否则一律按 100%。

**F 的量化判据：**当暴露频率高于每 15 分钟一次、且没有其他理由时，选 F2；只有“累计暴露时间 ≤ 总运行时间的 1/20”且“频率不高于每 15 分钟一次”两个条件同时满足，才能选 F1。

标准自己的例子：每天运行 8 小时的机器，人每小时暴露 2 分钟换工件，一天累计 16 分钟、占 480 分钟的 1/30，频率约 1 次/小时，所以选 F1。

2.3 P 参数：五因素打分（Table A.1 / A.2）

五因素选好后，按 Table A.2 判定：

有一个或多个 C → P2；

没有 C、但有 ≥3 个 B → P2；

没有 C、有 2 个 B、其余 A → P1 或 P2（边界，须书面论证）；

没有 C、有 ≤1 个 B、其余 A → P1。

**循环论证禁令：**评 P 时不能拿“已经有安全功能”当理由去降低 P 值——那个安全功能正是你要设计的东西。

2.4 PL、PFH 与 SIL 的对应（Table 2 / Table 4）

PL 本质上由 PFH 量化：

2.5 输出物与决策门 G1

**输出物：**PLr 确定记录（每功能 S/F/P 取值 + 查图结果 + 依据）、风险降低需求对照表、PLr 定稿值（写入 SRS）。

决策门 G1（PLr 评定评审），逐项检查：

S：S1/S2 须有事故后果分析或类似事故记录支撑；骨折等边界情况要有书面判定理由。F：F1 必须同时满足 1/20 时间比与 15 分钟频率两个条件；刚好卡在 15 分钟按保守取 F2。P：五因素 A/B/C 判定依据齐全；有 C 即 P2、无 C 但 ≥3 个 B 即 P2、无 C 且 ≤1 个 B 即 P1，2 个 B 的边界书面论证。循环论证检查：没有用“已实现的安全功能”去降低 P。降一级论证：若从图中结果下调 PLr，须有“危险事件概率确实很低”的文档化论证（统计数据、物理隔离）。五项全部通过才算 G1 通过；有争议且无法书面论证，回到第一站补充危险场景数据。

三、第三站：架构设计与系统设计（第 6 章 + 第 9 章 + Annex L）

这一站技术含量最高。标准把“达到的 PL”拆成两组（§6.1.1）：可量化的是类别、MTTFD、DC、CCF；不可量化的是故障下行为、软件、系统性故障、基本/经验证安全原则、经验证元件、环境与故障排除。PL 评定对每个子系统逐一进行。

3.1 类别选择（§6.1.3，Table 5）

类别决定子系统的故障容错逻辑，是 PL 的地基。五类要求逐级递增：

类别选择实操：

PLr a/b → Cat B 即可；**PLr c →**Cat 1 或 Cat 2/3；PLr d → Cat 2（约束硬）或 Cat 3；PLr e → Cat 3 或 Cat 4。

PLr d 时 Cat 2 vs Cat 3：Cat 2 单通道 + 周期测试、成本低，但请求率、测试通道可靠性、DC 三个约束都很硬。频繁请求型功能（光幕，每分钟多次）测试率容易满足，Cat 2 可行；偶尔请求型（急停，每天几次）测试率很难达到请求率的 100 倍，选 Cat 3。另外 Cat 2 在两次测试之间一个故障就会丧失功能，故障期间有人暴露就不能选。PLr e 时 Cat 3 vs Cat 4：Cat 3 不保证所有故障被检出，未检故障累积仍可能失效；Cat 4 要求下次请求前检出、故障累积也不丧失。后果极严重、无法容忍累积风险时选 Cat 4。已有经验证子系统（Annex O type 1，制造商给出 PL/Category）直接采用，不必重选类别。

偏离指定架构（Figure 7–11）是允许的，但必须用 Markov、GSPN、可靠性框图或 FTA（参考 IEC 61508、IEC 61078）证明达到 PLr，并给出详细计算（§6.1.3.2.1）。

3.2 Cat 2 的定量约束（§6.1.3.2）

Cat 2 看着省钱，约束却最容易被忽略：

请求率 ≤ 测试率的 1/100（测试至少比请求快 100 倍）；或者每次请求时立即测试，且“检出故障 + 进入安全状态”的总时间短于机器到达危险状态的时间。

测试通道 MTTFD > 功能通道 MTTFD 的一半（§6.1.3.2.4）。功能通道各部分 DC ≥ low。当 PLr 达到含 c 且可行时，检出故障后（OTE）应触发并维持安全状态直到故障清除；实在不可行（如末端开关触点熔焊）时至少给出警告。

DCavg 只算功能通道（输入 E / 逻辑 L / 输出 P），不算测试通道 TE。

功能通道 MTTFD 按 Annex D.1 parts count 合成：

1/MTTFD = 1/MTTFD_E + 1/MTTFD_L + 1/MTTFD_P

算出的 MTTFD 上限 100 年，且不应低于 10 年，否则连最低档都不满足。2023 版不再给包含测试通道的整条功能合成公式，只保留“测试通道 MTTFD > 功能通道一半”这一条硬约束。

3.3 三个定量参数（§6.1.4–6.1.6）

MTTFD（Table 6）：低 3–10 年、中 10–30 年、高 30–100 年。取数优先级：制造商数据 → Annex C 方法 → 同类现场数据 → 默认 10 年（§6.1.4）。DC（Table 7）：无 <60%、低 60–90%、中 90–99%、高 ≥99%。DC = ΣλDD / ΣλDtotal。CCF（§6.1.6）：Cat 2/3/4 必须按 Annex F 评估，得分 ≥65。三个参数与类别结合，查 Figure 12 即可读出子系统可达 PL（简化程序，§6.1.8，mission time 按 20 年计）：

图 4　类别 × DCavg × 每通道 MTTFD → PL（来源：ISO 13849-1:2023 Figure 12）

3.4 DC 取值：完整 Table E.1

算 DCavg 不能拍脑袋，按 Table E.1 取具体诊断措施的 DC。

输入设备：

逻辑设备：

输出设备：

Table E.1 的几条关键注释，直接决定能不能声称高 DC：

NOTE 5 b：声称逻辑的 medium/high DC，必须对可变存储器、不变存储器、处理单元各用至少一种措施，且每种 DC ≥60%。NOTE 3（过程故障检测的有效 DC 上限）：测试率 rt / 请求率 rd >1 → DC 限 60%；>10 → 限 90%；>100 → 限 99%。NOTE 4（无动态测试的交叉监控，Cat 3/4）：rt <1 次/年 → DC=0；rt ≥1 次/年 → 限 90%；rt ≥1 次/月 → 限 99%。DC 措施可以组合以达到更高 DC。

DCavg 必须用失效率加权（Annex E 公式 E.1）：

DCavg = Σ(DCi × λDi) / ΣλDi

失效率越高（MTTFD 越短、越容易坏）的部件权重越大。只有走 §6.1.9 无数据替代程序时，才简化为算术平均。

3.5 CCF：Annex F 计分

Cat 2/3/4 每个子系统都要按 Table F.1 计分，≥65 分才满足简化程序“β = 2%”的假设：

三条硬规则：①每项措施完全实现才给满分，部分实现给 0；②按具体应用评估（纯电气系统不看流体污染项，反之亦然）；③元件内部防护不足时，须在系统级用外部保护、滤波、屏蔽补足。气动/液压系统 EMI 项不适用，但合格线仍是 65。

F.3 各措施的技术要点：

F.3.1 分离/隔离（15 分）：a) 布线分离、多芯电缆导体适当绝缘；b) 管路分离，避免相邻高压管释放损坏；c) 动态测试检测电缆短路和开路；d) 每通道信号路径独立屏蔽；e) 冗余通道在独立 PCB 或独立外壳/机柜；f) 冗余通道间足够的电气间隙和爬电距离，并考虑锡须。六方面全部完全实现才给 15 分。F.3.2 多样性（20 分）：a) 不同技术/设计/物理原理（一通道电子、另一通道机电硬接线；一阀橡胶密封、另一金属密封；两个位置开关一个开门动作、一个关门动作）；b) 不同测量/物理原理（数字与模拟、距离与压力）；c) 不同元件、不同制造商（不能是换标件）；d) 不同负载（一个无负载切换、一个带负载切换）。F.3.3 设计/应用/经验：3.1 输入输出与逻辑电源受过压过流保护（注意开关电源最大过压电平）；过压力措施在故障时主压力永不超过工作压力 1.5 倍时可单通道。3.2 只使用经验证元件。F.3.4 评估/分析（5 分）：对每部分做 FMEA/FTA 识别 CCF 原因并用于设计。F.3.5 培训（5 分）：设计人员有培训证书。F.3.6 环境：6.1 电气系统按 IEC 61326-3-1、IEC 61000-6-7、IEC 61800-5-2 防 EMI，流体系统过滤介质、压缩空气排水；6.2 按 IEC 60068 系列应对温湿度、冲击、振动。典型 CCF 原因：过电压、过压力、过电流、过温度、湿度、冲击、振动、EMI、介质污染。等级要由预期应用（含冷却风扇失效这类可预见故障和合理可预见误用）推导。

3.6 系统性故障与功能安全计划（§6.1.7）

系统性故障来自错误规格、制造缺陷、环境应力、人为错误。标准要求用系统性方法管控，并编制功能安全计划，覆盖防止错误规范、错误实现、错误修改的全过程。

基本/经验证安全原则的具体内容由 ISO 13849-2 给出（见第四站）。Annex G 给出系统级措施（断电设计、电压波动防护、物理环境防护、程序序列监控等）。

3.7 EMI 抗扰度设计（Annex L，2023 新增）

四条路线，选一条完整落实（Figure L.1）：

路线 A：跟随相关产品标准的 EMI 要求（如 IEC 61800-5-2）。路线 B：PLr 为 a/b 时，按 IEC 61000-6-2。路线 C：按 Table L.1 逐项计分——双通道 ≥280 分（满分 390）、单通道 ≥230 分（满分 320）；PLr e 走 C 还须同时满足 Cat 4。路线 D：按功能安全通用 EMI 标准 IEC 1000-6-7 或 IEC 61326-3-1。Table L.1 计分条目（可直接当 EMI 设计检查表）：

注：“双通道”指 Cat 2 的功能 + 测试通道，或 Cat 3/4 的冗余功能通道；标 (hr) 的措施强烈推荐，若适用却未实现，须详细论证等效方案。

3.8 子系统分解与组合（§5.5 + §6.2）

分解三原则：

按功能边界：每个子系统执行完整子功能（输入/逻辑/输出），接口信号明确，不能把一个完整功能拆到两个子系统。按技术与物理位置：不同技术（电/液/气）分开，因为 MTTFD 方法不同；物理分离的模块（远程 I/O）单独成系统，物理分离本身就是 CCF 措施。按责任边界：不同供应商的部件单独成系统，因为其 Annex O 安全值只覆盖自己的范围。组合时：

PFH 已知，求和法（§6.2.2）：PFH_SRP = ΣPFHi；整体 PL 取“最低子系统 PL”与“总 PFH 对应 PL”两者中的较低者。PFH 未知，Table 9 降级规则（§6.2.3）：按最低 PL 及该 PL 子系统数量 Nlow 判定：| 最低 PL | 数量条件 | 整体 PL | | — | — | — | | a | Nlow >3 | 不成立（a 不允许） | | a | Nlow ≤3 | 保持 a | | b | Nlow >2 | 降 a | | b | Nlow ≤2 | 保持 b | | c | Nlow >2 | 降 b | | c | Nlow ≤2 | 保持 c | | d | Nlow >3 | 降 c | | d | Nlow ≤3 | 保持 d | | e | Nlow >3 | 降 d | | e | Nlow ≤3 | 保持 e |

**PL–SIL 映射三前提（§6.1.2，Table 4）：**SIL 子系统要代入本标准，必须同时满足①按 IEC 61508 / IEC 62061:2021 开发；②高需求/连续模式；③Route 1H（不是 Route 1S）。映射 SIL1→b/c、SIL2→d、SIL3→e，不必再推类别，但系统失效与软件仍须满足。

3.9 软件参数化安全（§6.3）

目标是保证安全相关参数被正确传到执行硬件、传输中不引入未检危险故障。

**基本要求（§6.3.3）：**必须用制造商专用工具（不能用通用编辑器改配置）；工具和子系统有防未授权修改手段（专用密码）；运行时参数化只在不导致不安全状态时允许；预设计子系统的参数化由制造商确认覆盖，集成方按 §6.3.5 做文档。

**自行设计时追加：**参数化写入 SRS；提供数据合理性校验（限值、格式、逻辑检查）；保证数据完整性五件事——配置范围控制、传输前损坏控制、传输错误影响控制、不完整传输影响控制、硬件故障影响控制。

**验证（§6.3.4）三项：**每个安全参数正确设置（最小/最大/代表值都测）、合理性检查能检出无效值、防未授权修改有效。

**记录（§6.3.5）七项：**日期、数据集版本、执行人、数据来源、安全参数标识、连续参数化的影响与边界、被参数化子系统标识。

3.10 工效学设计（第 9 章 + ISO 12100 §6.2.8）

工效学不是好不好看，而是让安全器件在预期使用和可预见误用中真正可用，把危险暴露降到最低：

急停、复位、模式选择的位置、高度、操作力符合人体测量数据，不进入危险区就能操作；

急停醒目、易触及、操作力通常 ≤10 N，不能误触也不能被遮挡；

复位按钮在危险区外、有足够视野；

核心目的是消除用户旁路安全功能的动机——按钮太高、太远、太费力，操作者就可能去短接它，这比设计缺陷本身更危险。

参考 ISO/TR 22100-3、ISO 9241-210。输出物是人机接口布置图与操作器件规格核对记录。

3.11 PFH 的五条计算路径

第三站处于架构阶段，用目标值估算 PL 即可支撑 G2；元件级精确取数在第四站完成。子系统级 PFH 有五条路径：

简化程序（§6.1.8，Figure 12）：标准架构最常用。前提 mission time 20 年、失效率恒定、CCF 到位（β=2% 为隐含假设，Annex F ≥65 分验证）。Markov 建模（§6.1.3.2.1）：偏离指定架构时必须用，也可用于标准架构精确取值。FTA 故障树（§6.1.3.2.1）：顶事件“安全功能丧失”，通过最小割集算 PFH。无 MTTFD 替代法（§6.1.9，Table 8）：仅无任何可靠性数据、且 §C.2 不适用时。Cat B→5.0×10⁻⁶（b）、Cat 1→1.7×10⁻⁶（c）、Cat 2→1.7×10⁻⁶（c）、Cat 3→2.9×10⁻⁷（d）、Cat 4→4.7×10⁻⁸（e）；T10D 最坏 10 年（经验证元件 20 年），DCavg 取算术平均。**逻辑子系统（§6.1.9.4）：**Cat B/2/3 每通道按 10 年、Cat 1 按 30 年，最高 PL c，Cat 4 被排除，Cat 2/3 须 CCF 且 DCavg ≥60%。SIL 子系统 Route 1H（§6.1.2）：PFH 直接代入，按 Table 4 映射。

3.12 输出物与决策门 G2

**输出物：**架构框图、类别声明与定性要求核对、PFH/PL 计算书（含 MTTFD/DC/CCF 取值表）、EMI 设计记录（路线 + L.1 计分）、子系统清单与组合计算、功能安全计划、工效学核对记录。

决策门 G2，逐项检查：

类别能支撑 PLr：Cat B≤b、1≤c、2≤d、3≤e、4≤e。故障清单完整：每个元件危险失效模式都有处置（诊断/冗余/排除），排除项有物理依据和文档。CCF 够分：≥65，电子系统 EMI 防护项（25 分）不为 0。EMI 路径可行：各抗扰度等级（ESD/射频/EFT/浪涌/传导/工频磁场）有对应措施，关键信号线布线分离。四项全过才算 G2 通过。

四、第四站：硬件要求（§6.1.4、§6.1.10–6.1.11 + ISO 13849-2）

4.1 经验证元件（well-tried components）的判定（§3.1.49 + 13849-2）

不是“用得多”就算经验证元件，必须同时满足：

①该元件类型已在大量类似应用中成功使用多年，有现场数据；②失效模式和失效率被充分了解，有公开可靠性数据（B10D、MTTF）；③在本应用环境（温度/振动/EMI/污染）下能保持规定性能。

复杂元件（PLC、微处理器、ASIC、变频器）不能直接当作经验证元件——它们要么按 IEC 61508 / IEC 62061 开发（有安全手册），要么在子系统级用冗余和诊断补偿。

安全原则分级：基本安全原则适用所有类别（13849-2 Tables A.1/B.1/C.1/D.1）；Cat 1 及以上追加经验证安全原则（A.2/B.2/C.2/D.2）与经验证元件。

4.2 Annex O：先确认元件的设备类型

选型时先按 Annex O 判断元件属于哪一类、制造商能提供哪些安全值：

Type 1：制造商已按 ISO 13849-1 完整开发，提供 PL/Category/MTTFD/DC/PFH 全部安全值，可直接采用。Type 2：制造商只提供部分安全值（如 MTTFD），PL/Category 需用户结合应用评估。Type 3：制造商未提供安全值，用户按 Annex C/D 自行计算全部参数。Type 4：制造商已为特定应用开发，提供限定条件下的安全值，超出限定需重新评估。Type 1/4 应提供（Table O.1）：PL 或 SIL、PFH、Category、HFT、MTTFD、λD、DC、CCF 措施、mission time、环境与使用限制。拿到数据表逐项核对，缺项不能当 Type 1。应用条件（温度、电压、负载率、EMC、操作频率）一旦超出声明范围，制造商给的值失效。

新手常见错误：把无安全声明的普通继电器（Type 3）当经验证元件、不计算 MTTFD。

4.3 建立故障清单与故障排除论证（§6.1.10）

每个可能引起安全功能失效的元件都要列入清单，说明故障在设计中如何被考虑（§6.1.10.1）。通用清单以 ISO 13849-2 附录 A–D 为基础，超出部分用 FMEA 评估（§6.1.10.2）。

故障排除（§6.1.10.3）：能论证某故障“合理可预见地不会发生”才可以排除，且必须：有物理/技术依据（降额电阻开路可排除、短路不可随便排除）、写明具体条件并覆盖全部预期环境、文档化。**PL e 不得仅靠故障排除实现。**ISO 13849-2 里几条高频硬件规则：

降额是故障排除有效的前提（§D.2.1）：触点电流 <额定一半、开关频率 <额定一半、总操作次数 ≤电气寿命 10%。锡须（§D.2.2）：无铅工艺风险高时，电阻等元件的“短路排除”无效；要做短路排除须用薄膜、mini MELF 或 μMELF 电阻。单 IC 幻觉（§D.2.4）：一个普通 IC 内的多通道/检测可能因单一故障同时失效，Cat 2/3/4 不能只靠一个普通 IC，除非满足 IEC 61508-2 Annex E（专用安全芯片）。软错误（Annex D.3）：存储单元、锁存器、触发器可被 α 粒子、宇宙射线中子打翻，属非永久且可能潜伏，按“分析—避免—控制”处理；缓解措施已在硬件/软件中实现可不单独计，子系统集成时通常不重复。环境以 EN 60204-1 为基础；输入用 NC、继电器用 NO 使断线趋向安全；瞬态抑制元件与负载并联；串联冗余触点顺序切换避免同时熔焊。

4.4 元件级 MTTFD 取数（Annex C/D）——所有 PFH 路径的基础

第一步：单个元件 MTTFD，四种路径：

路径 1｜良好工程实践（§C.2，Table C.1）：满足三条件时直接查表。小负载接触器 B10D=2000 万次、额定负载接触器 130 万次、急停器件 10 万次、气动元件 2000 万次；液压元件 MTTFD 按 nop 分档 150–1200 年。路径 2｜B10D 法（§C.4）：机械/机电/气动核心方法。T10D = B10D/nop，MTTFD = T10D/0.1 = B10D/(0.1·nop)。路径 3｜电子元件查表（§C.5，Tables C.2–C.7）：数据来自 SN 29500，基准 +40°C，通常假设 50% 危险失效故 MTTFD = 2×MTTF；温度/负载超基准用修正系数。路径 4｜液压法（§C.3）：nop ≥100 万次/年→150 年，50–100 万→300，25–50 万→600，<25 万→1200。nop 及核心公式：

nop = (d_op × h_op × 3600) / t_cycle　（次/年）

λD = 1/MTTFD（恒定失效率）；FIT = λD × 10⁹；1 年 = 8760 h。

λD = 0.1·nop/B10D（1/年），精确值为 0.10536/T10D（因 −ln 0.9 = 0.10536），标准用 0.1 近似。

PFH = λD/8760 = 1/(MTTFD × 8760)（1/h）。

无 B10D 时 B10D = B10/RDF（无 RDF 时取 B10D = 2·B10）。

**B10D 法算例（§C.4.3 气动阀）：**dop=220、hop=16、tcycle=5 s、B10D=6000 万次。nop = 220×16×3600/5 = 2.53×10⁶；T10D = 23.7 年；MTTFD = 237 年 → 超上限按 100 年计。

第二步：通道/子系统组合，两种方法：

Parts count（Annex D.1，公式 D.1）：1/MTTFD_channel = Σ nj/MTTFDj（失效率相加，不是 MTTFD 相加）。不对称通道对称化（Annex D.2，公式 D.2）：MTTFD_eq = (2/3)×[MTTFD_C1 + MTTFD_C2 − 1/(1/MTTFD_C1 + 1/MTTFD_C2)]

标准算例：3 年和 100 年两通道 → 66 年（假设两通道独立并联）。每通道 MTTFD 上限：Cat B/1/2/3 为 100 年、Cat 4 为 2500 年。

**单部件子系统（§C.4.2）：**单通道且通道内只有一个元件时，子系统 MTTFD = 元件 MTTFD，无需 parts count。若通道内有多个元件串联（急停 + 继电器），就不是单部件，必须倒数求和。

**环境温度：**电子元件 MTTFD 以 +40°C 为基准；工作温度超过基准 10K 以上时，按实际温度重取（§10.6.1）。

4.5 输出物

元件清单（型号、额定值、操作应力、失效数据、供应商、Annex O 类型）；

故障清单（含处置说明与排除论证）；

通道级 MTTFD 计算书（含对称化）；

环境条件声明与符合性依据；

PFH/PL 计算书（路径选择 + B10D/nop/dop/hop/tcycle 输入表 + Markov 记录）。

4.6 决策门 G3（硬件设计评审）

逐项检查：

故障清单完整且处置成立，排除项有物理依据、写明条件、覆盖环境，无“未考虑”元件；失效数据可追溯（制造商 → Annex C → 现场 → 默认 10 年），机电件操作次数未超上限；DCavg 合规，失效率加权，各 DC 符合 Table E.1 及注释上限；降额到位，锡须/单 IC/软错误已处理；环境声明完整，超基准 10K 已重取 MTTFD。五项全过才算 G3 通过，不带问题进入软件设计。

五、第五站：软件要求（第 7 章）

5.1 先判定语言类型（Figure 15）

LVL 有限可变语言：梯形图、功能块图（FBD）、顺序功能图（SFC）、布尔代数等。FVL 全可变语言：C、C++、Java、ST、汇编等。FVL 一律按嵌入式软件（SRESW）要求执行；限制编译器与编码规范后可归为 LVL（§7.2.3）。

5.2 SRESW 嵌入式安全软件（§7.3.1）

适用：安全逻辑运行在嵌入式处理器/单片机（安全 PLC 内核、安全控制器、运动安全模块）。

**PLr a–d 基本措施 a)–g)：**①软件安全生命周期（V 模型）；②规范与设计文档（SSDS、MDS、带注释代码）；③模块化结构化设计编码（限制层级、定义接口、避免中断）；④系统性故障控制（程序顺序、通信错误）；⑤软件诊断措施的正确性验证（RAM/ROM/CPU 测试、合理性检查）；⑥功能测试（黑盒：有效/无效/边界值、时序）；⑦修改后基于影响分析的生命周期活动。

**PLr c–d 追加 h)–o)：**项目与质量管理、全生命周期活动文档化、配置管理、结构化需求与设计、经验证的语言与工具、与非安全部分分离、代码走查评审加控制流分析、灰盒与性能测试。

PLr e：原则上应符合 IEC 61508-3:2010 第 7 章（适宜 SIL 3）；但采用双通道 + 多样性设计/编码时，两通道软件各自满足 PLr c/d 的附加措施即可——用架构多样性对抗共因。工程上 PL e 的 C 代码通常依托已获 SIL 3 认证的控制器和编译器，从零自建认证成本极高。

5.3 SRASW 应用软件（§7.4）

适用场景：在已经过认证的硬件平台（安全 PLC、安全继电器模块、安全控制器）上编写的应用层逻辑，比如把光幕、急停、联锁门按工艺组合起来、做模式切换与复位互锁的那段梯形图/FBD 程序。软件安全生命周期（§7.1，含验证与确认活动）对 SRASW 同样适用。

**语言与可达 PL：**用 LVL（IEC 61131-3 受限子集：梯形图/FBD/SFC/布尔）编写并满足下列要求，PL a–e 都可达；若用 FVL（ST/C 等）写 SRASW，则直接套用 §5.2 的 SRESW 要求，PL a–e 同样可达。一个部件内某段 SRASW 若因修改而影响到多个不同 PL 的安全功能，这一段一律按其中最高 PL 的要求执行。

5.3.1 基本措施（PLr a–e 全部适用，§7.4）

五项缺一不可：

带验证与确认活动的开发生命周期——评审与测试，LVL 按 Figure 14 的 V 模型走；规范与设计文档化；模块化、结构化编程；功能测试；修改后执行相应的开发活动（不能改完就上线）。

5.3.2 附加措施（PLr c–e，按效率递增）

PLr 为 c（低效力）、d（中效力）、e（高效力）时，在基本措施之上追加以下十组要求，等级越高执行得越严。两条降一级规则要记住：Cat 2 的测试通道软件要求可降一个 PL；Cat 3/4 的功能通道若采用多样性，软件要求也可降一个 PL。

a) 软件设计规范（SDS）须经评审并向全生命周期人员开放，内容必须描述：①安全功能、所需 PL 与对应运行模式；②性能准则（如响应时间）；③通信接口；④硬件故障的检测与控制，以达到所需 DC 和故障反应。

b) 工具、库、语言的选择：

工具须适配应用，能在编译期（而不只是运行时）检出会引发系统性错误的情形——数据类型不匹配、模糊的动态内存分配、接口调用不完整、递归、指针运算；工具应能强制或至少监督语言子集与编码规范。单用一个部件及其工具实现 PL e 时，工具须符合相应部件标准；若用两个多样部件配多样工具，则既往项目的成功运行经验即可。

合理可行时应使用经过验证的功能块库——优先用工具厂商提供的安全 FB 库（PL e 强烈推荐），或经验证的项目专用 FB 库。

采用适合模块化的、经过论证的 LVL 子集（IEC 61131-3 语言的公认子集）。

c) 软件设计特征：①用半形式化方法描述数据流与控制流（状态图、程序流程图）；②以源于经验证安全 FB 库的功能块为主实现模块化结构化编程，保证易读易测；③功能块代码规模受限；④块内代码只有一个入口、一个出口；⑤采用输入 ⇒ 处理 ⇒ 输出三段架构；⑥每个安全输出只在一个程序位置被赋值（杜绝多处互相覆盖）；⑦在输入、处理、输出块内使用硬件故障检测控制与防御性编程技术，导向安全状态。

d) SRASW 与非安全软件共存于一部件时：①两者必须编在不同功能块、接口定义清晰；②不得把安全与非安全数据做会降低安全信号完整性的逻辑组合——例如用一个逻辑“或”把安全信号和非安全信号并起来再去驱动安全输出，这是被明确禁止的。

e) 实现/编码：①代码可读、可理解、可测试，因此应使用符号变量而非裸硬件地址；②采用经过论证的编码规范；③在应用层做数据完整性与合理性检查（如限值检查，属防御性编程）；④代码应通过仿真测试；⑤PL d/e 须做控制流分析与数据流分析。

f) 测试：①主要确认方式是对功能行为与性能准则（如时序）做黑盒测试；②PL d/e 建议执行基于边界值分析的测试用例；③测试计划含完成判据与所需工具；④I/O 测试须确保安全信号在 SRASW 内被正确使用。

**g) 文档：**①所有生命周期与修改活动都要记录；②文档完整、可得、可读、可懂；③源码内的模块头须含责任主体、功能与 I/O 描述、所用库 FB 版本，并有足够的网络/语句与声明行注释。

**h) 验证：**通过评审、审查、走查等方式进行。注意：验证只针对应用专用代码，不针对已验证的库功能块。

**i) 配置管理：**强烈建议建立程序与数据备份，对某一 SRASW 版本相关的文档、软件模块、验证/确认结果与工具配置进行标识和归档。

j) 修改：修改 SRASW 前必须先做影响分析，确保与软件设计一致；修改后执行相应生命周期活动；须有防止未授权修改的手段，并记录修改历史。

5.3.3 落地提示

工程上写 SRASW 最容易踩的坑有三个：一是安全输出在多个网络/分支里重复赋值，故障时表现出难以排查的间歇性安全问题——对应 c)⑥；二是图省事把安全信号和普通信号做逻辑运算，等于自降完整性——对应 d)②；三是用了厂商 FB 库却不锁版本、不记录，换版后行为漂移无法追溯——对应 b) 与 g)③。这三条在第四决策门 G4 都会被重点看。

5.4 共存、通信与 V 模型

安全与非安全共存（§7.1）：同一硬件上必须证明非安全功能在正常和故障条件下都不影响安全功能，不得阻塞或延迟任何时刻的安全响应。Clause 7 不覆盖 AI 技术。数字通信（13849-2 Table D.22）：跨安全总线/工业以太网时，损坏、重复、乱序、丢失、延迟、插入、伪装、寻址错误都不能靠故障排除，须用黑通道 + 安全通信层（参考 IEC 61784-3）：序列号、时间期望/看门狗、消息认证、冗余交叉校验。

图 5　软件安全生命周期简化 V 模型（来源：ISO 13849-1:2023 Figure 14）

5.5 Annex J / N：措施选择

Annex J：给出 PLr d 完整 V 模型活动、验证步骤与文档（Table J.1），可直接当开发模板。Annex N（全文最长）：Table N.1 按 PLr × 类别 × 软件类型分 4 个 Case；Table N.2 用于 LVL 的 SRASW；Table N.3 用于 FVL 的 SRESW/SRASW。操作步骤：先按 N.1 定位 Case → 查 N.2/N.3 选措施 → 逐项落实并留证据。SRESW 措施概览：

5.6 输出物与决策门 G4

**输出物：**软件设计规范（SDS/SSDS/MDS）与接口定义、编码遵循与评审记录（含控制流分析）、测试报告（黑盒/灰盒、边界值、性能）、配置管理与版本记录、修改影响分析、Annex N 措施选择记录。

**决策门 G4，逐项检查：**措施选型与 PLr 匹配（Case 正确、符合 Annex J）；需求→设计→代码可追溯、无孤儿需求；安全与非安全隔离、共享资源时序容量有论证；看门狗/自检/程序序列监控完整、失效反应清晰；修改走流程并重新验证。五项全过才进入测试验证。

六、第六站：测试与验证确认（第 8 章 + 第 10 章）

图 6　确认（Validation）过程总览（来源：ISO 13849-1:2023 Figure 17）

6.1 验证 Verification（第 8 章）——“算得对不对”

核对每个安全功能的 PL 计算：类别架构是否符合 §6.2、MTTFD/DC/CCF 是否正确、各子系统 PL 是否 ≥ PLr。输出是 PL 验证结论。这是分析性验证，发生在设计计算阶段。

6.2 确认 Validation（第 10 章）——“实现在预期条件下对不对”

由分析与测试两大手段构成，由独立于设计者的人员执行：

§10.2：先确认 SRS 自身的一致性与完整性（覆盖预期应用、风险评估、运行与环境、可预见误用）。§10.3 分析：自上而下 FTA/ETA，自下而上 FMEA/FMECA。§10.4 测试：软件单元/集成测试、硬件功能测试、仿真，以及 Cat 2/3/4 必做的故障注入（§10.1.1：验证还应包含适当故障注入，证明故障反应由已实现的诊断触发）。§10.5：安全功能确认；**§10.6：安全完整性确认（Table 10）；§10.7：环境确认；§10.8：确认记录；§10.9：**维护要求确认。**故障注入怎么做（§10.4）：**要有计划、有清单、有判定标准。

注入对象：按故障清单逐项，覆盖每个元件的危险失效模式（输入开路/短路/漂移、逻辑电源/时钟/存储位翻转、输出触点焊接/线圈开路/对电源对地短路）；Cat 3/4 还要注入双通道共因（公共电源）。注入方法：①物理注入（断线、短接、替换故障电阻，最真实）；②模拟注入（测试接口模拟传感器、强制 I/O，可重复）；③软件注入（验证逻辑，不能替代硬件物理注入）。判定四条：进入安全状态；响应时间 ≤ SRS 规定；故障被诊断检出并有报警；消除后不自动重启。四项全过。记录：故障编号、位置、方法、预期/实际反应、实测响应时间、判定、整改与复测。覆盖率必须达到故障清单的 100%，不能只挑容易注入的做。**测量精度：**温度 ±5 K；时间、压力、力、电气量、相对湿度、线性尺寸 ±5%。样品为单件生产样件，测试中不得修改。测试方法共 8 类：故障仿真、软件故障模拟、全模式功能、扩展功能（异常信号/断电恢复/误操作）、实际电路故障注入、生产样件故障注入、硬件模型故障注入、子系统（电源）失效测试。

6.3 Table 10：确认要求矩阵

Cat B/1 不要求故障注入，因为它们的设计哲学承认“一个故障即丧失”，靠的是元件本身高可靠而非诊断。§10.7 环境确认覆盖机械应力与耐久、电气额定与电源、温湿度、EMI，测试后功能仍须符合规范或进入安全态。

6.4 收尾：维护与使用信息（Clauses 11/12/13）

PL 验证和确认都通过后，还要补齐：

Clause 11 维护信息：维护点可达（穿工作服、带工具也够得到）、限制专用工具、最好有自动到期/劣化警告；超过 T10D 或测试间隔会使安全恶化。Clause 12 技术文档：要能让懂行的人重现你的论证。Clause 13 使用信息：按 ISO 20607 / IEC/IEEE 82079-1，给集成商（使用限制、接口、响应时间、请求频率上限、muting、模式与复位、测试间隔、mission time）和给用户（维护任务清单、合格人员要求、关键安全件只能用原件或满足相同安全要求的件、磨损件 T10D 前更换）。**重要规则：**任何修理或修改 SRP/CS 的维护活动后，都要重新确认（含功能测试）——换一个接触器也要重跑该功能的确认。

6.5 输出物与决策门 G5

**输出物：**验证/确认计划、分析报告（FMEA/FTA + 排除论证）、测试报告（功能/故障注入/环境）、确认记录（覆盖每个安全要求）与 PL/PFH 最终计算书、独立人员确认证明。

**决策门 G5（最终发布门）最硬：**PL 验证不达标 → 回第三站改架构或第四站换件；确认不通过 → 按归属回第三/四/五站。只有 PL ≥ PLr 且确认通过，这一版才算完，进入发布/量产。

七、落地检查清单：六站交付物总表

对照 Clause 12 技术文档，最终需归档：

第一站：SRS 与安全功能清单、SRS 评审记录；第二站：PLr 确定记录（S/F/P 取值与依据）；第三站：架构框图、类别声明、PFH/PL 计算书、EMI 设计记录、功能安全计划；第四站：元件清单、故障清单（含排除论证）、MTTFD 计算书；第五站：软件设计规范、编码/评审/测试记录、配置管理与修改记录；第六站：验证/确认计划、分析报告、测试报告、确认记录。

八、15 个附录在流程中的落点

2023 版 15 个附录（A–O）全部为资料性，但落地几乎每站都要翻：

Annex A / M：风险图、安全功能与产品标准对照——第一、二站；Annex B：框图方法——第三站；Annex C / D：元件与通道 MTTFD——第四站；Annex E：DC 估算——第三、四站；Annex F：CCF 计分——第三站；Annex G：系统性故障措施——第三站；Annex H / I：组合与简化程序算例——第三站；Annex K：Figure 12 的数值表——第三、四站；Annex L：EMI 四路径——第三站；Annex O：元件设备类型——第四站；Annex J / N：SRESW 模板与软件措施——第五站。计算书和设计文档要标注所用附录及条款。CCF 计分表、DC 估算表、软件措施表是最容易遗漏但必查的三样。

九、配套标准与版本

本文基于 BS EN ISO 13849-1:2023（第四版）。配套按需取用：

ISO 13849-2:2026（草案）：故障清单与验证示例，附录重构为 A–D 四类技术指南；ISO/TR 13849-3:2026：马尔可夫模型 PFH 计算与公式；ISO 13855:2024：安全距离与响应时间定位；IEC 62061:2021 / IEC 61508：SIL 路线与低需求模式；IEC 61800-5-2：安全驱动（STO/SS1/SS2/SOS）；ISO 12100:2010：风险评估与风险降低总原则。

十、完整算例

算例一：PLr 完整计算

**场景：**半自动冲压机，操作者每 30 秒伸手取件，双手按钮启动，冲压速度 500 mm/s，启动到下死点 0.8 s。无 C 类标准。

S：可能切断手指/掌，不可逆 → S2。F：每 30 秒一次，高于 15 分钟上限。虽累计暴露仅约占运行时间 1.7%（满足 1/20），但频率条件不满足 → F2。P（五因素）：①熟练→B；②中速但逃生仅 0.8 s→B；③模具四周受限、偶尔可能→B；④动作可见→A；⑤放件按按钮低复杂→A。A×2、B×3、无 C → P2。查图：S2+F2+P2 → PLr = e。结论：须用 Cat 3/4 实现。

算例二：MTTFD → PL 计算与不达标根因

**场景：**上一功能用安全光幕 + 安全 PLC + 双接触器做 Cat 3，PLr=e。

元件 MTTFD：光幕 100 年、PLC 100 年；接触器 B10D=100 万次，nop = 300×8×3600/30 = 288,000 次/年 → MTTFD = 1,000,000/(0.1×288,000) = 34.7 年。每通道 parts count：1/MTTFD = 1/100+1/100+1/34.7 = 0.0488 → 20.5 年（medium）。DCavg：光幕 90%（λ=1.14×10⁻⁶）、PLC 99%（1.14×10⁻⁶）、接触器 99%（3.29×10⁻⁶），加权 = 97.2%（medium 档）。CCF：80 分（见算例三）。查 Table K.1：Cat 3/medium/20.5 年 → PFH 约 1.2×10⁻⁶/h → PL c。不达标，PFH 比 PL e 上限高约 12 倍。**根因：**光幕与 PLC 串联后通道只有 50 年；而 Cat 3/medium 要到 PL e，每通道 MTTFD 需 ≥62 年（Table K.1 62 年档 8.84×10⁻⁸）。改进：①改 Cat 4，把 DCavg 提到 high、通道 MTTFD 提到 high（Cat 4/high/30 年档 9.54×10⁻⁸ = PL e）；②直接用已认证 PL e 子系统；③与机械护栏分担风险、重新评定 PLr。

算例三：CCF 打分

同一 Cat 3 系统按 Table F.1：分离 15（六项全实现）；多样性 0（同技术同型号，典型短板）；设计/应用/经验 20（过压过流防护 15 + 经验证元件 5）；评估分析 5；培训 5；环境 35（EMI 25 + 其他 10）。总分 80 ≥65 通过。

敏感性：分离若任一项无法论证（整项归零），总分降到 65 压线；再叠加 EMI 不到位则仅 40 分。这就是每项都要留证据的原因。

算例四：马尔可夫公式法（TR 13849-3 Example B）

防护门联锁双通道，300 天/年、16 h/天、循环 4 分钟，rt=15/h，TM=20 年，β=2%。

nop = 300×16×3600/240 = 72,000。SW1B λD=4.11×10⁻⁸/h（T10D=278 年）；K1B λD=2.05×10⁻⁶/h（T10D=5.6 年，须周期更换）；SW2 λD=8.22×10⁻⁷/h（T10D=13.9 年）；PLC/CC λD=5.71×10⁻⁶/h。通道：λAD=2.10×10⁻⁶、λBD=1.22×10⁻⁵，均高于封顶下限 1.142×10⁻⁶，无需封顶。DCB = 7.66×10⁻⁶/1.22×10⁻⁵ = 0.626 λCC = 0.02×min(λAD,λBD) = 4.19×10⁻⁸/h 一般解（公式 19–31）：PFH = 6.72×10⁻⁷/h → PL d。对比：简化程序（Annex I）为 5.16×10⁻⁷/h，小 17.7%。偏差来自 DCavg 67.9% 只能选 60% 列、对称化对带诊断系统不精确、λCC 算法不同。测试率影响：双通道对测试率不敏感（高测试率仅使 PFH 增加 1.13×10⁻¹²），但测试间隔仍不宜超过一周到一个月。启示：K1B 这类磨损件 T10D<TM，必须写明 5.6 年更换，否则公式前提失效；含低 MTTFD 元件的通道，优先改善该通道比优化另一通道更有效。

完整版：

一点闲笔

人这一辈子和做安全一样。我们以为牢靠的东西——计划、身体、关系——其实都是单通道。真正的成熟或许不是相信它们不会坏，而是提前想过：万一坏了，安全状态是什么，谁来拉我一把。有些时候可能也会冲动，干就完了，干完再考虑。希望这篇文章对你有益~

有形的我在飘荡着，在飘的路上，寻找自己的第一通道和第二通道。

（本文基于 ISO 13849-1:2023、ISO 13855:2024、ISO/TR 13849-3:2026 与 ISO/DIS 13849-2:2026 草案整理，草案条款号以正式发布版为准。）