企业官网建设流程全解析

简介：本资源是ISO 3691-4:2020国际标准中核心安全条款——表1“安全回路PL要求”的完整中文翻译，专为工业自动化、AGV/叉车安全系统设计工程师、功能安全评估人员及PL（Performance Level）验证从业者提供关键参考。内容覆盖刹车系统、速度控制、人员检测（ESPE）、急停、自动充电、负载搬运、转向与稳定性等14类安全功能，逐项明确安全功能描述、主要风险、最低PL等级（如PL=d/c/b）及对应技术实现要点，可直接用于安全回路设计、风险分析与合规性自查。资源为单个27KB的Word文档（.docx），结构清晰，含原文条款编号、中文译文及技术注释，便于嵌入项目文档或安全手册。目前已有344人学习下载，是理解叉车类移动式设备功能安全强制要求的高精度、低冗余实用资料。

1. 为什么翻 ISO 3691-4:2020 表1 的 PL 要求，比查百度还费劲？

你手头正调试一台自动叉车的安全控制系统，PLd 级别卡在验收前最后一关；或者你在做 AGV 安全方案文档，客户突然甩来一句：“按 ISO 3691-4-2020 表1 给出安全回路的 PL 分配依据”——你打开标准原文，满屏德语/英语术语、嵌套条件、多级引用（ISO 13849-1、IEC 62061、EN 954-1 已废止但还在交叉引用），表1 本身只有 7 行 × 5 列，却要结合附录 A 的失效数据、附录 B 的共因失效系数、附录 C 的诊断覆盖率计算逻辑才能落地。这不是翻译问题，是把安全功能需求→结构约束→硬件失效率→诊断能力→最终 PL 值的完整推演链被压缩进一张表里。本文不讲“PL 是什么”，只聚焦：如何从这张表出发，反向拆解出可执行的设计输入、可验证的参数边界、可填进安全手册的原始依据。适合正在写 SIL/PL 合规报告、做安全回路原理图评审、或被第三方认证机构退回整改的工程师。你不需要懂德语，但必须知道“Category 3”在表1里对应哪三列、“DCavg ≥ 60%”这个值怎么来的、以及为什么“单通道+强制断开”在某些场景下反而比双通道更难达标。

2. 先吃透表1的骨架：结构、维度与隐含逻辑

ISO 3691-4:2020 表1 的正式名称是“Minimum requirements for safety-related parts of control systems (SRP/CS) for industrial trucks — Performance Level (PL) requirements”。它不是孤立表格，而是 ISO 13849-1:2015 中 PL 计算方法在工业车辆领域的具体化裁剪。理解它的前提，是看清三个不可跳过的底层结构：

2.1 表格的四维坐标系：Category / DC / MTTFd / CCF / PL

表1 实质是一个四维映射表，但以二维表格形式呈现。行是Safety Function Category（安全功能类别，即架构等级），列是Required Performance Level（PLr，即目标性能等级）。每个单元格内包含三组参数要求：

• DC（Diagnostic Coverage）：平均诊断覆盖率，分 DC<60%、60%≤DC<90%、DC≥90% 三级；
• MTTFd（Mean Time to Dangerous Failure）：危险失效平均时间，分 <10 yr、10–30 yr、>30 yr 三级；
• CCF（Common Cause Failure）：共因失效措施等级，用“a”到“e”字母表示（e 最高，需满足 IEC 61508-2 Annex F 全部 13 条）。

提示：PLr（Required PL）是你从风险评估（如 ISO 12100）中导出的设计输入；而表1 给出的是为达成该 PLr 所需的最低架构与参数组合。它不告诉你“你的系统 PL 是多少”，只告诉你“想达到 PLr = PLd，你的 Category 至少是 3，DC 至少 60%，MTTFd 至少 10 年，CCF 至少 c 级”。

2.2 Category 的真实含义：不是“冗余数量”，而是“失效检测与规避能力”

新手常误以为 Category 2 = 单通道 + 自检，Category 3 = 双通道 + 比较，Category 4 = 双通道 + 独立诊断。这是对 ISO 13849-1 的简化误读。表1 中 Category 的定义严格绑定于“单一故障是否导致安全功能丧失”和“故障能否被检测并导向安全状态”：

• Category 2：允许单一故障存在，但必须在下次启动/操作周期前被检测并停机（如电机过流保护继电器自检）；
• Category 3：单一故障不会立即丧失安全功能，但故障必须被检测（不一定实时），且系统需在规定时间内进入安全状态（如急停回路中，一个触点熔焊，另一个仍能切断动力）；
• Category 4：单一故障不会丧失安全功能，且故障必须被实时检测并立即导向安全状态（如安全 PLC 的双通道输入，任一通道异常即刻切断输出）。

关键区别在于：Category 3 允许“带病运行一段时间”，Category 4 要求“零容忍延迟”。这直接决定你选继电器还是安全 PLC、用普通接触器还是强制导向型继电器。

2.3 PLr 的来源：必须回溯到风险图（Risk Graph）或风险矩阵

表1 不提供 PLr，它只响应 PLr。PLr 必须通过 ISO 12100:2012 的风险评估流程得出。例如：某叉车门禁安全功能，若其失效可能导致人员被夹伤（S2）、发生概率高（F2）、无法避免（P2），查 ISO 12100 附录A 风险图，得 PLr = PLd。此时，表1 告诉你：为满足 PLr=PLd，你至少需要 Category 3 架构，且 DC≥60%、MTTFd≥10 yr、CCF≥c。注意，“至少”意味着你可以用 Category 4 满足 PLd，但不能用 Category 2。

3. 翻译不是逐字转换：技术等效性校验的三步法

拿到标准原文（英文或德文版），直接机翻“Category 3 requires that a single fault in any of the safety-related parts does not lead to the loss of the safety function”会得到“单个故障不会导致安全功能丧失”——这没错，但漏掉了灵魂：“any of the safety-related parts” 指的是 SRP/CS 内所有元件（传感器、逻辑单元、执行器、布线），且该要求必须通过设计证明，而非仅靠选型宣称。真正的翻译工作，是完成技术等效性校验：

3.1 第一步：锚定术语体系，拒绝“字面直译”

ISO 3691-4 使用的术语与 ISO 13849-1 严格一致，但中文国标 GB/T 16855.1-2018（等同采用 ISO 13849-1:2015）已有官方译法。必须强制对齐，否则后续设计评审会因术语不一致被驳回。例如：

注意：GB/T 16855.1-2018 是强制对标依据。若客户要求“符合 ISO 3691-4”，实际审查时必查你是否同步满足 GB/T 16855.1-2018 的计算方法和验证要求。

3.2 第二步：将表格单元格“展开”为可执行条款

表1 每个单元格（如 Category 3 / PLd）是一组缩写，需展开为设计约束清单。以Category 3, PLr = PLd为例，其完整要求是：

1. 架构：必须满足 Category 3 定义（单一故障不立即丧失安全功能，故障可检测并导向安全状态）； 2. 诊断覆盖率 DC：DC_avg ≥ 60%（需按 IEC 61508-6 Annex H 计算，覆盖所有 SRP/CS 元件）； 3. 危险失效平均时间 MTTFd：MTTFd ≥ 10 yr（需基于元件 B10d 数据或 SN 29500 标准计算，排除安全失效）； 4. 共因失效 CCF：至少满足 CCF 等级 "c"（即：1. 结构隔离；2. 电气隔离；3. 环境防护；4. 安装分离；5. 维护规程）； 5. 验证：需提供故障注入测试报告，证明在模拟单一故障（如输入触点粘连、输出晶体管短路）时，系统在 ≤ 200 ms 内进入安全状态。

这个展开过程，就是把“翻译”转化为“设计输入”的核心动作。没有这一步，你的电路图、BOM 表、测试用例全是空中楼阁。

3.3 第三步：用国产元件反向验证参数可行性

很多工程师卡在“MTTFd ≥ 10 yr 怎么满足”。查进口安全继电器 datasheet，MTTFd 往往标称 100 yr，但国产同类产品可能只标 50 yr 或不标。此时不能直接放弃，而应：

• 查该国产元件的B10d 值（10% 失效时的循环次数），按公式MTTFd ≈ B10d / (0.1 × α)计算（α 为每小时操作频率）；
• 若 B10d = 1,000,000 次，设备每天运行 8 小时、每小时动作 10 次 → α = 80 次/小时 → MTTFd ≈ 1,000,000 / (0.1 × 80) ≈ 125,000 小时 ≈ 14.3 年，满足 ≥10 yr；
• 若无 B10d，查SN 29500（电子元器件可靠性预测标准），用其模型估算（需提供元件型号、工作温度、应力系数）。

这步验证必须写入设计文件，否则认证机构会质疑“MTTFd 数值来源”。

4. 避坑指南：在表1 参数落地中最常踩的5个坑

做安全系统，80% 的返工源于对表1 要求的误读或验证缺失。以下是某高校实验室、某AGV制造商、某叉车集成商在实际项目中血泪总结的5个高频坑，按“现象→原因→解决”结构给出：

4.1 现象：PLr=PLd 选了 Category 3，但认证被拒，理由是“未证明故障检测时间”

原因：Category 3 只要求“故障可检测并导向安全状态”，但未明确时限；而 ISO 3691-4:2020第6.3.2 条强制规定：对于移动式工业车辆，安全功能响应时间（从故障发生到进入安全状态）不得超过200 ms。很多设计只关注“能停”，忽略“多快停”。
解决：在安全回路设计中，必须将响应时间作为独立验证项。例如：用示波器抓取急停按钮按下后，主接触器线圈失电的时间；若含 PLC 扫描周期，需叠加 I/O 延迟、程序执行时间、输出驱动延迟，实测总时间 ≤ 200 ms。

4.2 现象：DC 标称 99%，但计算书被退回，要求重算

原因：DC 计算必须覆盖 SRP/CS所有环节，但常遗漏：

• 传感器接线端子的松动失效（归为“连接器”类，DC 通常为 0%）；
• 安全继电器底座的触点弹跳（归为“机械开关”类，DC 依赖外部监测电路）；
• PLC 输入模块的光电耦合器老化（需按 IEC 61508-6 表 H.2 查 DC 值，非厂商整体宣称）。
  解决：用GB/T 16855.1-2018 附录F 的 DC 计算表，逐项填写每个元件类型、失效模式、检测手段、DC 值，加权平均得 DC_avg。例如：安全继电器（DC=90%）、输入端子（DC=0%）、输出接触器（DC=50%），按元件数量与失效权重加权，结果可能仅 62%。

4.3 现象：CCF 做了“结构隔离”，但被认定为等级 "b" 而非要求的 "c"

原因：CCF 等级 "c" 要求5 项措施全部满足（结构隔离、电气隔离、环境防护、安装分离、维护规程），缺一不可。常见错误是只做“两个继电器分开安装”（结构隔离），却未做“输入/输出回路使用独立电缆槽”（安装分离），也未在维护手册中写明“清洁时禁止同时断开两路电源”（维护规程）。
解决：制作CCF 符合性检查表，每项打钩并附证据：

4.4 现象：MTTFd 计算用“平均寿命”，被指出概念错误

原因：MTTFd 是危险失效的平均时间，不是元件“平均使用寿命”。例如：一个安全继电器，100 万次操作中：

• 90 万次为安全失效（触点断开，设备停机，无危险）；
• 10 万次为危险失效（触点粘连，设备继续运行，有撞人风险）；
  则 MTTFd 应基于这 10 万次危险失效计算，而非全部 100 万次。
  解决：必须从供应商获取B10d（危险失效）数据，或按 IEC 61508-2 表 D.1 查元件类型对应的 λd（危险失效率），再用MTTFd = 1 / λd计算。若供应商只给 B10（总失效），需按行业经验比例折算（如接触器 B10d ≈ 0.1 × B10）。

4.5 现象：表1 选了 Category 4，但成本超预算，想降为 Category 3

原因：Category 降级不是简单改个参数，而是整个安全功能架构重构。Category 4 要求实时检测，通常用安全 PLC；Category 3 可用安全继电器，但必须重新验证：

• 故障检测是否仍能在 200 ms 内完成（继电器响应慢于 PLC）；
• DC 是否仍 ≥60%（继电器无内置诊断，DC 依赖外部监测）；
• CCF 是否仍满足等级（继电器体积小，结构隔离更难实现）。
  解决：降级前必须做差距分析（Gap Analysis）：列出原 Category 4 设计的所有安全措施，逐条对照 Category 3 要求，标注哪些保留、哪些删除、哪些需新增替代方案。例如：删除“安全 PLC 双通道输入自检”，新增“输入端子并联检测电阻 + 电流监控模块”。

5. 实战技巧：用 Excel 搭建表1 参数合规性速查表

与其每次翻标准查表1，不如建一个动态速查工具。我用 Excel 做了一个轻量级核查表（无需编程，兼容 WPS），已用于 3 个 AGV 项目，把原本 2 天的手动核对压缩到 20 分钟。核心是把表1 的逻辑转为可筛选、可计算、可导出的结构。

5.1 表格结构设计：四层联动

整个 Excel 文件分 4 个 Sheet：

• Sheet1 “PLr输入”：下拉菜单选择 S（严重度）、F（频次）、P（避免性），自动计算 PLr（PLa~PLe）；
• Sheet2 “Category要求”：输入 PLr，自动高亮满足该 PLr 的最小 Category（如 PLd → Category 3）；
• Sheet3 “参数计算器”：输入元件 B10d、操作频率、DC 类型，自动计算 MTTFd、DC_avg；
• Sheet4 “CCF检查表”：勾选 5 项措施，自动判断 CCF 等级（a~e）。

关键在 Sheet2 的公式：

=IF(AND($B$2="PLd", C3>=60, D3>=10, E3>=3), "✓", "✗") // B2=PLr输入单元格，C3=DC值，D3=MTTFd值，E3=CCF等级（a=1,b=2,c=3...）

这样，当你在 Sheet3 输入 DC=65、MTTFd=12、CCF=c，Sheet2 会自动显示 Category 3 对 PLd 的 ✓。

5.2 参数录入规范：让计算结果可追溯

所有输入参数必须标注来源，否则审核时无法验证。例如：

提示：操作频率 α 必须是实际工况值，不是理论最大值。某项目曾用“100 次/小时”计算，实测仅 5 次/小时，导致 MTTFd 被高估 20 倍。

5.3 输出交付物：一键生成合规声明

Sheet1 底部设“生成报告”按钮（Excel 表单控件），点击后自动汇总：

• PLr 来源（S/F/P 值及对应风险图编号）；
• 选用 Category 及依据（表1 单元格坐标）；
• DC/MTTFd/CCF 实测值与要求值对比；
• 关键元件 B10d 数据表（含来源截图编号）；
• 故障响应时间实测记录（含示波器截图编号）。

这份报告可直接作为 CE 符合性声明附件，某公司用此模板一次通过 TÜV 认证，未被要求补充材料。

最后说句实在话：翻 ISO 3691-4 表1，本质不是语言问题，而是把抽象标准转化为具体设计约束的工程翻译。我见过太多项目，花三个月调通功能，却因一张表1 的参数没闭环，被卡在出厂前。后来养成习惯：每画一张安全回路图，就打开这个 Excel 表，把 Category、DC、MTTFd、CCF 四栏填满，空着任何一栏就不签字。不是怕审核，是怕真出了事，回看设计文件时，那句“未满足表1 要求”比任何追责都刺眼。希望帮到你。

本文还有配套的精品资源，点击获取