功能安全从标准EN9541到标准EN1S013849-1的过渡稍后我们将更加深入地观察一下这些因素，但在此之前思考一下整个标准的基本目的和原则是大有帮助的。显而易见的是我们有许多新东西要去学习，但细节会让我们理解正在尝试所做的是什么事情.以及为什么去做这件事。首先。我们为什么需要新的标准？很显然，过去十年间机器安全系统中所用的技术已经前进并且有相当程度的更改。相对而言，最近的安全系统所依靠的“简单”设备带有可预见到的以及可预测的故障模式。最近一些时间内，我们观察到安全系统中更加复杂的电子和可编程设备的使用正在增长。这在成本、灵活性与兼容性方面给予了我们极大好处，但它也意味着之前存在的标准已经不再胜任。为了理解安全系统是否已经足够好，我们需要知道更多有关信息。这就是新标准需要更多信息的原因所在。由于安全系统开始使用更为“黑盒子”式的方法。我们开始更加依赖标准的一致性。因此这些标准需要能够合理质问该技术。为了实现这一目标，他们必须提到基础因素，如可靠性、故障检测.架构完整性和系统完整性。这就是标准ENS0138491存在的目的。为了规划标准的逻辑方式，重要的是要意识到它在功能上有着两种不同的用户类型：安全子系统设计者与安全系统设计者。通常子系统设计[典型上称为安全部件生产商]会倾向于高等级的复杂性。他们需要提供所需数据.这是为了系统设计者能确保系统的充足完整性。通常这将会需要一些测试.分析和计算过程。结果将会以标准需要的数据格式表示出来。系统设计{[典型上称为机器设计者或集成商]将会使用该数据，执行一些相对而言简单计算.以确定系统的整体性能等级PL]。为了确定PL所需的PL】.标准提供风险图.使之进入损坏严重性.接触次数和避免可能性的应用因素为输入。输出为PL「。旧标准EN954-1的用户将会熟悉这种方式，但是现在请注意S1线在旧的风险图位置进行细分。请注意它意味着在较低风险等级进安全措施的完整性可能会进行重新配置。最全的工业自动化手册3BAllen-BradleyP1a类别S1P23P1S1F2P2P1StartP1S2P2P1S2P2F2P2现在。我们可以观察到系统的PL来自风险图与通过系统获得的PL通过计算]之间的直接关系。然而，有一样非常重要的零件需要覆盖。我们现在可以区分系统需要多么好的标准，并且如何确定它有多好.但是我们不知道它应该做些什么。我们需要确定安全功能是什么。很明显.安全功能一定对任务是合适的.我们怎么提供？标准怎样帮助我们？意识到所需功能只能通过考虑特性战胜实际应用的方法来进行确定，这是十分重要的。这可以被视为安全概念设计阶段。它不能被标准完全覆盖，因为标准不了解具体应用的全部特性。这也经常应用在机器制造商。它们制造机器但不一定解它会使用的准确条件。列出通常使用的安全功能。标准会提供一些帮助.并且给出了一些正常的要求。其他标准.例如EN1S012100:基础设计原则和ENIS014121:风险评估在此阶段强烈推荐使用。也有大型范围的机器具体标准，将会提供具体机器的解决方案。在欧洲EN标准中，他们被定义为C类型标准，它们中的大多数在SO标准中都有对等的标准。因此我们现在可以观察到安全概念设计阶段是由于机器类型和应用特性以及使用环境决定的。机器制造商预计到了这些因素，为了能够设计安全概念。使用特定的[即预期的]条件在用户手册可以找到。机器用户需要检查比较他们的实际使用情况。的工业自动化手册4功能安全从标准EN9541到标准EN1S013849-1的过渡因些我们现在需要描述一下安全功能。从标准的附录A中，我们可以得到控制系统[SRP/CS]的安全零件所需的性能等级PL】.该系统将会用于实施该功能。现在我们需要设计在决定使用标准ENIS013849-1或者EN/EC62061]的明显因素之一便是安全功能的复杂性。在大多数情况下，对于机械而言，安全功能相对而言是简单的.标准ENSO13849-1将会是最为适宜的。为了评估PL,它利用了已经提及的因素：可靠性数据.诊断覆盖率DC】.系统架构类别以及相关位置，软件要求等。这是一种简单的描述，意味着的只是概述。理解标准结构中必须应用的全部条款是十分重要的。不过.帮助垂手可得。有一种优秀的软件工具可以帮助我们计算方向。这种软件工具被称为SISTEMA。由在德国的BGA公司生产。使用和下载更多详细信息请访问网址：www.dquv.de/bgia/en/pra/softwa/sistema在该出版物即将打印时，它有德语和英语两个版本，其他语种的版本将在日后发布。该工具并不是商业生产。SISTEMA的开发者BGA是一家位于德国的.备受尊敢的研究与实验机构。依照德国的法定事故保险与保护准则.该机构特别擅长处理与安全相关的科学与技术难题。它与全球超过二十多家的职业健康与安全机构有合作关系。BGA的专家与他们的BG同事一起重点参与起草了ENIS013849-1标准和1EC/EN62061标准。Rockwell Automation带SISTEMA使用的数据罗克韦尔安全设备的"library”(文献库)是可用的带有SISTEMA性能等级计算工具。为获得该文献请登陆到：无论是PL以何种方式完成.从正确的基础开始是非常重要的。我们需要以标准允许我们开始的相同方式浏览系统。工业自动化手册5Allen-Bradley系统结构输入子系统逻辑子系统输出子系统任何一个系统都可以被分为基础系统部件或者称为“子系统”。每个子系统都拥有它自己的离散功能。大多数系统可被分成三个基础功能：输入、逻辑求解和激活有些简单的系统可能没有逻辑求解功能】。实施这些功能的部件组称为子系统。输入子系统输出子系统学PLC就是快I一个简单的单通道电气系统示例如上图所示。它只包括输入和输出子系统。输入子系统逻辑子系统输出子系统系统稍微复杂一些，因此也需要一些逻辑。安全控制器内部将会产生容错（即双通道），但整体系统依然限制在单通道状态。这是由于单一限位开关和单接触器的缘故。6功能安全从标准EN9541到标准EN1S013849-1的过渡输入子系统逻辑子系统输出子系统双通谨安全系统拿起以前图画中的基础架构，也有其他需要考虑的地方。首先，系统一共有多少个“通道”？如果它的子系统失效.单通道系统将会失效。双通道系统[他称冗余系统]需要拥有两处故障，在系统失效之前每个通道中有一处。因为它有两个通道。它能容忍一个单独的故障，并且依然继续工作。上面的图中展示了一个双通道系统。很明显，对于危险条件下时，双通道系统更不容易发生失效，不是单通道系统。如果我们包括故障检测的诊断措施.我们可以让它变得更加可靠[在它的安全功能方面]。当然，检测故障的同时，我们也需要理解它，并将系统转换为安全状态。下图显示包括通过监控技术实现的诊断措施输入子系统逻辑子系统输出子系统监控带双通道安全系统的诊断7ABAllen-Bradley通常[但并不总是这样]在所有的子系统中，系统由两个通道组成。因此我们可以看到，在这种情况下，子系统有两个“子通道”。标准中将它们描述为“模块”。双通道子系统会有一个最小的双模块，且单通道子系统会有一个最小的单模块。有可能一些系统是由双通道和单通道模块一起组成的。如果我们想要更加深入地调查系统，我们需要观看一下模块的部件零件。SISTEMA.工具使用“元素”这个术语描述这些部件零件。元素元素输入子系统逻辑子系统输出子系统元素诊带双通道安全系统诊断功能的细分系统限位开关子系统显示细分成了元素等级。输出接触器子系统被细分成了模块等级，且逻辑子系统根本未被细分。两个限位开关的监控功能和接触器用逻辑控制器执行。因此，盒子代表限位开关，且接触器子系统与逻辑子系统盒体拥有小部分的重叠。系统细分的原则可在标准ENIS0138491和SISTEMA工具的基础系统结构原则指定的方法辨别出来。然而.注意有一些细微差别是十分重要的。该标准并不限制具体方法.但为了简化方法将预估结果确定为PL,通常的第一步是打破系统结构，闯入每个通道中的通道和模块。带有SISTEMA工具.系统通常首先被划分为子系统。标准并未明确描述出子系统概念，但它在SISTEMA中的用法更易理解和更有直觉方法的特点。当然.这对最终计算没有影响。SISTEMA和标准都使用相同的原则和规则。有趣的是注意子系统方8功能安全从标准EN9541到标准EN1S013849-1的过渡法也用于标准EN1EC62061中。我们一直在使用作为示例的系统只是标准指定的系统架构中五种基础类型之一。对类别系统熟悉的人会辨别出表示类别3或者4的示例。标准使用原来的EN9541类别作为它指定系统架构的五种基础类型。它将它们称为指定架构类别。对类别的要求几乎都是相同的但不完全是】.在标准EN954-1中指定。指定架构类别是通过下面图画表示的。注意它们能应用于一个完全的系统或者一个子系统，这是十分重要的。这些框图不应被纯粹视为物理结构.它们更多用于概念需求的图形表示。输入设备逻辑输出设备指定架构类别B必须为基础安全原则[参见ENIS013849-2标准附录]。在发生单一故障时.系统或子系统会失效。参见ENIS0138491标准的全部要求。输入设备逻辑输出设备指定架构类别1指定架构类别1有着与类别B相同的结构。在发生单一故障时同样会失效。但是因为它也必须使用久经验证的安全原则[参见ENIS0138492标准附录】.它比类别B更不容易失效。参见ENIS0138491标准的全部要求。最全的工业自动化手册9ABAllen-Bradley布线布线输入设备逻辑输出设备监控测试测试输出指定架构类别2必须为基础安全原则参见ENIS013849-2标准附录剥。同样也必须通过系统或者子系统的功能测试进行诊断监控。这必须在启动时发生，然后周期性带频率，对安全功能的每次需求它等同于至少一百次测试。如果单一故障发生在功能测试期间，系统或子系统依然会失效.但这通常比类别1更不易发生。参见ENIS0138491标准的全部要求。布线布线输入设备逻辑输出设备监控布线输入设备逻辑输出设备监控指定架构类别3必须为基础安全原则[参见ENS013849-2标准附录】。也会有发生单一故障时。系统/仔系统不能失效的要求。这意味着系统需要与安全功能相关的单一故障容错功能。实现这个要求最常用的方法是部署一个双通道架构，如上图所示。除此之外。它也需要.无论在哪里都可用的功能.即单一故障应能检测到。这个要求与标准EN9541的类别3的原始要求是相同的。在短语无论在哪里都可用”在文中的含义证明其有些问题。它表示类别3可以覆盖来自带有冗余的系统的一切.但对于检测单一故障地方的10功能安全从标准EN9541到标准EN1S013849-1的过渡冗余系统，没有检测到故障[通常用描述性且适合的术语称为“糟糕的冗余”]。这个问题在标准EN1S0138491中有所讨论，通过需要预估诊断覆盖率DC的质量。我们可以观察到系统的可靠性MTTF越大.我们所需的DC就会越少。然而.很显然DC需要类别3架构的至少60%。布线布线输入设备逻辑输出设备监控布线布线输入设备逻辑输出设备监控指定架构类别4必须为基础安全原则[参见ENIS0138492标准附录]。有关类别3拥有一个相似的要求图，它需要的监控能力越大，即诊断覆盖率越高。这是通过重虚线表示监控功能。大体上说，类别3和类别4之间差别是：类别3必须能检测到大多数情况下的故障.类别4必须检测到所有单一故障。DC需要至少99%。即便是故障组合。也不能导致危险故障。可靠性数据EN1S013849-1标准使用可量化的可靠性数据作为PL计算的一部分，由控制系统的安全零件实现的。这明显违反了EN954-1标准。引起的第一个问题便是“我们从哪里获得数据？”有可能使用来自识别可靠性手册的数据。但标准更为清楚地表明优先的资源就是制造商。为此目的.罗克韦尔自动化在SISTEMA数据文献库的表格中获得了相关信息。在适当的时候。它将会以其他形式出版这数据。在我们进行下一步之前.我们应该考虑什么类型的数据是需要的.同时也能明白它是如何产生的。的工业自动化手册11BAllen-Bradley