看机械安全和机器人安全的标准，同样是功能安全，一套是PL——PL d、PL e、Category 3/4，另一套叫SIL，它们之间能不能对应？到底该用哪套？把SIL和PL的来龙去脉、核心区别、对应关系一次讲清楚。

一句话结论：PL 是机械行业出身的“半定量派”，SIL 是流程工业出身的“全定量派”。两者都是衡量安全功能可靠性的标尺，最终都落到 PFH（每小时危险失效概率）上。SIL 2 大致对应 PL d，SIL 3 大致对应 PL e，但不能画等号。                                                                                                                                                    

一、为什么会有两套等级？

PL：机械行业的务实路线

PL（Performance Level，性能等级）出自 ISO 13849 这套机械行业标准。

机械安全控制系统大多是继电器、接触器这些硬邦邦的东西，结构相对简单。工程师们需要的是一套简单、直观、拿来就能用的评估方法——不用算太多数学，看架构、看类别，就能大致判断安全功能够不够。于是ISO 13849走了一条“半定量”路线：

▸用Category（类别，B/1/2/3/4）描述系统架构

▸用MTTFd（平均危险失效时间）描述元件可靠性

▸用DC（诊断覆盖率）描述自诊断能力

▸最后查表得到PL等级

简单说就是：先看结构够不够安全，再看元件够不够可靠，再看自检出率够不够高，三个因素一综合，就是你的PL等级。

需要说明的是，ISO 13849-1 的评估对象是“控制系统的安全相关部件”（SRP/CS，Safety-Related Parts of Control Systems）——从传感器、逻辑单元到执行机构的整条安全链路，任何一个环节失效都可能让安全功能失灵，所以 PL 评定的是整条链路而不是单个元件。这套方法覆盖电气、电子、可编程电子、液压、气动和机械等多种技术，机械行业几乎所有安全回路都能用。该标准最新版本为 ISO 13849-1:2023（欧洲协调标准 EN ISO 13849-1:2023），在保留 Category + MTTFd + DC 经典框架的同时，细化了软件安全要求并新增了电磁干扰（EMI）抗扰度等内容；需注意，标准范围声明不提供网络安全（cyber security）方面的具体措施。

SIL：流程工业的严谨路线

SIL（Safety Integrity Level，安全完整性等级）出自 IEC 61508，是流程工业出身。

流程工业的特点是什么？系统复杂、规模大、可编程电子设备多。光说“类别3”太粗糙了，工程师需要更精细的定量分析。

于是IEC 61508走了一条“全定量”路线：

▸每个元件都有具体的失效率（λ）。

▸整个系统的PFH（每小时危险失效概率）直接算出来。

▸SIL等级由PFH的数值范围决定。

IEC 62061是IEC 61508在机械行业的“定制版”，所以它继承了SIL这套体系。

需要说明的是，IEC 62061 的全称是“机械安全——安全相关电气、电子和可编程电子控制系统的功能安全”，评估对象是安全相关电气控制系统（SRECS，Safety-Related Electrical Control Systems），可以看作 IEC 61508 在机械领域的部门标准（sector standard）。它继承了 IEC 61508 的 SIL 体系，但把适用范围明确限定在电气/电子/可编程电子技术。2021 年发布的新版 IEC 62061:2021（欧洲协调标准 EN IEC 62061:2021）进一步整合了与 ISO 13849 的等级对应关系、SIL 声明限值（SILCL）与系统性能力（SC）要求。

核心观点一句话总结： PL是机械行业出身的“半定量派”，SIL是流程工业出身的“全定量派”。两者都是衡量安全功能可靠性的标尺，只是度量衡不同。

二、PL等级详解：从a到e的五级体系

PL是什么？

PL（Performance Level，性能等级）是用来描述“安全控制系统在可预见的条件下执行安全功能的能力”的离散等级。

PL 一共分 5 级，分别为 PL a、PL b、PL c、PL d、PL e，PL e 是最高级：

这个PFH是什么意思呢？举个例子：

▸PL d的安全功能，每小时出危险失效的概率在千万分之一到百万分之一之间。

▸也就是说，平均每100万到1000万小时（约114年到1140年），发生1次危险失效。

▸PL e就更可靠了，平均每1000万到1亿小时（约1140年到11400年）才发生1次危险失效。

安全功能不是24小时一直被“考验”的，所以寿命周期内的实际风险还要考虑暴露频率。

▍PL 的三个决定要素：Category、MTTFd 与 DC

PL 等级不是凭空查出来的，它由三个要素共同决定，缺一不可。

MTTFd（平均危险失效时间）衡量元件的可靠性，ISO 13849-1 将其分为三档：低（3~10 年）、中（10~30 年）、高（30~100 年）。元件越可靠，能支撑的 PL 越高——例如 Category 3 结构搭配“低”档 MTTFd，最多只能到 PL d。

DC（诊断覆盖率）衡量系统检测危险失效的能力，也分四档：无（<60%）、低（60%~90%）、中（90%~99%）、高（≥99%）。诊断能力越强，越能及时发现故障、防止其发展为危险状态；Category 2 的“定期检测”和 Category 3/4 的故障检测，本质都是在提高 DC。

此外还要防共因失效（CCF，Common Cause Failure）——两个通道因同一原因同时失效，比如共用同一电源、同一电磁干扰环境。ISO 13849-1 的 Annex F 给出 8 项防共因失效措施评分表，总分≥65 分才满足要求，这是 Category 3/4 的硬门槛。

实操中的判定流程可以概括为三步：先选架构确定 Category 能支撑的最高 PL；再看 MTTFd 与 DC 的组合，对照标准中的查表确定候选 PL；最后核对 CCF 等附加要求，得到最终 PL。这也是为什么“看架构、看元件、看自检”三者缺一不可。

PLr是什么？

PLr（required Performance Level，所需性能等级）是一个非常容易和PL搞混的概念。

▸PL = 你的系统“实际达到了”什么等级。

▸PLr = 你的系统“应该达到”什么等级。

PLr是风险评估的结果。你先评估这个危险场景的风险有多大，然后得出“这个安全功能至少需要达到PLr = PL d”这样的结论。然后你设计的安全功能实际达到的PL必须 ≥ PLr，才算合格。

▍PLr怎么算？——风险图法

ISO 13849-1的Annex A给了一个非常经典的工具：风险图（Risk Graph）。

第一步：判断S（伤害严重程度）

▸S1 = 轻微伤害（通常可恢复）

▸S2 = 严重伤害或死亡（通常不可逆）

第二步：判断F（暴露频率和时间）

▸F1 = 很少到经常，且/或暴露时间短

▸F2 = 频繁到持续，且/或暴露时间长

第三步：判断P（避免伤害的可能性）

▸P1 = 在特定条件下可能避免

▸P2 = 几乎不可能避免

然后从左边的起点1出发，沿着S→F→P走，最后落到哪个等级，PLr就是多少。

举个例子：一台冲床，操作员每次都要伸手进去取料（S2，因为可能断手指或更严重），每分钟都要取一次（F2，频繁暴露），一旦滑块误下行根本躲不开（P2）。从S2→F2→P2走过去，终点就是 PL e。所以你看，风险越高，需要的PLr等级就越高，逻辑非常直观。

风险图法直观易用，但也有局限：S、F、P 三个参数的选取依赖评估人员的经验，边界情形（比如 S1 与 F2 的组合）容易产生争议。因此 ISO 13849-1:2023 允许采用其他等效的风险评估方法（如风险矩阵、定量风险评估），只要评估逻辑合理、结果可追溯即可。

三、SIL等级详解：从1到3的三级体系

SIL是什么？

SIL（Safety Integrity Level，安全完整性等级）是用来描述“安全相关控制系统执行安全功能的可靠程度”的等级。

和PL差不多，它们本质上描述的是同一件事——安全功能有多可靠。只不过SIL的“尺子”更精细一些。

在机械安全领域（IEC 62061），SIL一共分3级，SIL 1到SIL 3，SIL 3最高：

SIL 与 PL 的 PFH 区间是可以对应的。在流程工业的IEC 61508里，SIL是有SIL 4的，但机械行业一般用不到SIL 4——机械领域的风险还没高到那个程度，SIL 3基本就是天花板了。

这里补充一个容易混淆的概念：IEC 61508 按安全功能的运行模式区分两种量化指标——低要求模式（demand mode，安全功能每年被请求不超过一次，如紧急停车按钮）用平均失效概率 PFDavg 衡量；高要求或连续模式（如安全光幕的持续防护）用每小时危险失效概率 PFH 衡量，两种模式的 SIL 数值边界不同。机械安全领域的 SRECS 绝大多数属于高要求/连续模式，因此 IEC 62061 与 ISO 13849 都统一以 PFH 作为“通用货币”，这也是两套体系能相互对照的基础。

SIL怎么确定的？——两条路

IEC 62061里确定所需SIL的方法有两大类：

第一类：定量法（直接算 PFH），这是最严谨的方法。通过风险评估算出这个危险场景的可容忍风险（tolerable risk），然后反推安全功能需要达到的 PFH 上限，再对应到 SIL 等级。这种方法准确，但工作量大，需要详细的风险数据。

第二类：简化法（风险图/风险矩阵）和PL的风险图思路类似，也是用几个参数（伤害程度、暴露频率、发生概率、避免可能性）来组合打分，最后对应到SIL等级。IEC 62061的Annex A提供了简化方法，参数比ISO 13849的风险图多一些（多了“危险事件发生概率”这个维度），颗粒度更细。

IEC 62061:2021 的简化方法（Annex A）把风险参数扩展为四个维度：伤害严重程度 Se、暴露频率与时间 Fr、避免或限制伤害的可能性 Pr、危险事件发生概率 Av，四者组合后查表得到所需 SIL。相比 ISO 13849 的 S/F/P 三参数，它把“危险事件本身的发生概率”也纳入考量，颗粒度更细，对低速、低概率危险场景的评估更合理。

SILCL是什么？

SILCL（SIL Claim Limit，SIL声明限值）也是一个容易混淆的概念。它和PLr/PL的关系类似：

▸SILCL = 子系统/元件“最多能声称达到”什么SIL等级

▸所需SIL = 你的安全功能“需要达到”什么SIL等级

你买了一块安全PLC，厂家说它能达到SIL 3——这就是它的SILCL = SIL 3。但这不等于你用它做的所有安全功能都是SIL 3的，因为整个安全功能还包括传感器、执行器等其他环节，整体能达到的SIL取决于最短的那块板。

与 SILCL 相关的另一个概念是系统性能力（Systematic Capability，SC）。SIL 不仅取决于硬件失效率，还取决于设计、软件、制造与维护等“系统性”环节的质量。IEC 61508 把系统性能力分为 SC 1~SC 4 四级，IEC 62061:2021 同样要求：子系统声明的 SILCL 不得超过其系统性能力等级。换句话说，即使硬件参数算出来支持 SIL 3，如果软件开发与验证流程达不到对应能力，声明仍会被降级。

衡量SIL的两个维度

SIL的判定需要同时满足两个维度的要求：

维度一：架构约束（Architectural Constraints）

和PL的Category类似，系统架构也得达到最低要求。IEC 61508里用的是SFF（Safe Failure Fraction，安全失效分数）+ HFT（Hardware Fault Tolerance，硬件故障容错）的矩阵：

▸HFT 0 = 单通道，一个故障就能导致安全功能失效

▸HFT 1 = 双通道，一个故障不会导致安全功能失效（因为有冗余）

▸SFF = 安全失效 + 可检测危险失效 / 总失效。

架构约束的意思是：就算你PFH算出来够高，但架构太简单（比如单通道），也不能声称高SIL等级。 这是为了防止“靠元件可靠性堆出来的高等级”——架构上的容错才是更稳妥的安全。

IEC 61508-2 用“安全失效分数（SFF）× 硬件故障容错（HFT）”的矩阵落实架构约束，类型 A（失效模式已知的简单元件）与类型 B（微处理器等复杂元件）各有一张表。以类型 A 为例：SFF 达到 90%~99% 时，SIL 2 允许 HFT 0（单通道），SIL 3 要求 HFT 1（双通道）；若 SFF 只有 60%~90%，SIL 2 就要求 HFT 1。类型 B 的要求更严格。这意味着想达到 SIL 3，双通道架构几乎是必需的——与 PL 体系里 Category 3/4 的冗余思路完全一致。

维度二：PFH（每小时危险失效概率）

这个就是纯定量计算了。把所有元件的失效率加起来，考虑诊断覆盖率、共因失效等因素，算出系统整体的PFH，再对应SIL等级。

两个维度都满足了，你才能说达到了某个SIL。

下面这张表是IEC 62061标准中的Table 4，直接把IEC 62061的SIL、IEC 61508的SIL和ISO 13849的PL放在一起做了对比：

四、SIL和PL的异同：

相同点：

1. 目标一致：都是衡量安全功能可靠性的标尺，最终都落到PFH（每小时危险失效概率）这个“通用货币”上。
2. 都基于风险：等级的确定都是从风险评估出发，风险越高，要求的等级越高。
3. 都考虑冗余和诊断：双通道架构、诊断覆盖率都是影响等级的关键因素。
4. 都可以用于机械安全：在欧洲机械指令下，用ISO 13849（PL）或IEC 62061（SIL）都能获得符合性推定。

不同点：

对应关系：SIL 2 等于 PL d 吗？

很多人都想知道“SIL 2到底等于PL几级”。答案是：大致对应，但不能画等号。这是IEC 62061标准中Table 4给出的对应关系：

从PFH区间来看：

▸SIL 1 对应 PL b 和 PL c

▸SIL 2 对应 PL d

▸SIL 3 对应 PL e

这个对应关系是有前提的——只是PFH数值范围上的大致对应，不能简单互换。

原因有三：

      1、覆盖范围不同。PL覆盖电气、液压、气动、机械等各种技术；SIL只覆盖电气/电子/可编程电子系统。一个包含液压元件的安全功能，你可以用PL评估，但不能直接说它达到了SIL几。

      2、架构约束不同。PL的Category和SIL的架构约束（HFT+SFF）虽然思路类似，但判定标准不完全一样。一个Category 3的系统可能在架构上刚好够SIL 2，也可能不够，得具体算。

      3、系统性要求不同。两套标准对开发流程、文档、验证确认的要求各有侧重。SIL对系统性能力的要求通常更细一些。

做项目的时候，客户说“我要SIL 2”，你不能直接说“那我做个PL d就完事了”。一定要确认清楚：是按哪套标准来评估？最终出哪套标准的符合性报告？混用标准是功能安全评审中常见的坑。

正确的做法是：项目启动时就在安全需求中明确采用哪套标准，并让设计、验证与文档全流程保持一致；如果客户既有 PL 要求又有 SIL 要求，可以在不同子系统上分别声明，但必须在文档中标注每个子系统依据的标准与评估边界，避免“一张图纸混用两套体系”。

五、什么时候用PL？什么时候用SIL？

优先选PL的场景：

• 安全功能比较简单：急停、安全门、双手按钮、安全地毯这些传统功能。
• 系统技术多样：含有液压、气动、机械元件。
• 客户或市场要求ISO 13849：尤其是欧洲的中低端机械设备
• 团队对定量分析不熟悉：PL方法上手更快，工具也更普及。

优先选SIL的场景：

• 系统复杂、软件多：安全PLC、复杂的安全逻辑、网络通信安全功能。
• 全是电子电气系统：没有液压、气动、机械元件。
• 客户或行业要求IEC 62061/61508：比如某些高端机床、半导体设备。
• 需要和流程工业系统对接：SIL是跨行业的通用语言。

实际选型可以按三步走：

• 第一步看技术类型——回路中含液压、气动、机械元件，选 ISO 13849（PL）；纯电气电子系统两套都可用。
• 第二步看系统复杂度——软件与网络通信占主导、可编程电子密集，优先 IEC 62061（SIL）；简单逻辑回路，ISO 13849 更省成本。
• 第三步看外部要求——客户合同、行业规范或目标市场法规指定哪套，就用哪套。两套都允许时，选自己团队最熟悉、工具链最完整的一套即可。

两者都能选的时候，对于普通的机械安全功能，其实用哪套都可以。关键是：

▸选一套就用到底，不要PL和SIL混着算。

▸最终的验证和确认要按所选标准来。

▸文档中明确说明使用的标准和方法。

IEC 62061的引言里也说了：虽然两套标准方法论不同，但目标是一致的——都是为了实现足够的风险降低。从法规层面看，欧盟机械指令 2006/42/EC 把 EN ISO 13849-1 与 EN IEC 62061 同时列为协调标准，满足任一的相应要求即可推定符合机械指令的基本健康与安全要求（EHSR）。2023 年发布的欧盟新机械法规（EU）2023/1230 将于 2027 年 1 月 20 日起取代机械指令，但这两份功能安全标准依然是实现“安全功能可靠”这一基本要求的主要途径。因此对出口欧美的机械产品来说，两套体系并存会是长期现实。

四个关键提醒：

        第一，等级不是越高越好。

很多人一上来就要SIL 3、PL e，觉得等级越高越安全。其实安全是个成本和风险的平衡。等级越高，成本成倍增加，但风险的降低是边际递减的。该用PL c的地方硬上PL e，钱花了，安全效益却没增加多少。正确的做法是：风险评估告诉你需要什么等级，就做到什么等级。

以急停回路为例：Category 1 的简单回路与 Category 4 的双通道加高诊断回路，成本可能相差数倍；而风险评估的结果往往只需要 PL c/d。把预算花在架构上真正薄弱的环节，比盲目堆等级更有效。

        第二，PL和SIL本质上都是“概率游戏”。

很多人觉得“达到SIL 3就绝对安全了”。不对。SIL 3只是说每小时危险失效概率低于10⁻⁷——不是零。功能安全做的是“把风险降到可接受的水平”，不是“消除风险”。理解这一点，你就不会对安全等级有不切实际的期待。

功能安全的目标是把残余风险降低到可接受水平，而不是归零。ISO 12100 的风险评估框架要求在设计、防护、警示信息三个层级逐层降险，安全等级只是“技术防护”这一环节的量化标尺。

        第三，架构永远是第一位的。

不管PL还是SIL，架构约束都是硬门槛。单通道系统再怎么堆高可靠性元件，也达不到高等级。为什么？因为单点故障就能让安全功能失效，这是架构的先天缺陷，靠元件质量补不上来。做安全设计，先想清楚架构，再谈可靠性。

典型例子：单通道急停回路里，如果急停按钮触点粘连，按下急停不再起作用——单点故障直接导致安全功能丧失。Category 3/4 通过双通道加诊断，让这类故障在下次动作前被检测出来，或由冗余通道直接接管。

        第四，两套体系正在趋同。

从2021版IEC 62061和2023版ISO 13849-1来看，两套标准在很多方面都在互相靠拢——软件要求、架构约束、验证方法等等。

具体来看：IEC 62061:2021 更新了与 ISO 13849 的对应表，并引入 SILCL 与系统性能力要求；ISO 13849-1:2023 在保留 Category 框架的同时，补充了与硬件故障容错（HFT）相关的架构要求，细化了软件安全要求并新增了 EMI 抗扰度内容（网络安全的具体措施仍不在标准范围内）。对工程师而言，两套标准的术语、方法与验证工具正在逐步对齐，未来混合评估的摩擦会越来越小。

总结：

PL来自ISO 13849，是机械行业的“半定量派”，5个等级（a到e）。SIL来自IEC 62061/61508，是流程工业的“全定量派”，机械领域3个等级（1到3）。

两者都是衡量安全功能可靠性的标尺，最终都落到PFH上。SIL 2大致对应PL d，SIL 3大致对应PL e，但不能画等号。选哪套标准，要看你的系统复杂度、技术类型和客户要求。

选型决策树（简版）：

• 含液压/气动/机械元件 → ISO 13849（PL）
• 纯电气/电子/可编程电子 → 两套都可用
• 软件密集、网络通信复杂 → 优先 IEC 62061（SIL）
• 客户/行业指定 → 按指定标准
• 两套都允许 → 选团队最熟悉、工具链最完整的一套

附：术语与标准速查

术语：

相关标准与法规的现行版本速查：