PL等级与PFD之间是如何定量对应的？

Question

在功能安全工程实践中，一个常见技术问题是：**PL等级（Performance Level）与PFD（Probability of Dangerous Failure per Hour）之间如何实现定量映射？** 许多工程师误认为PL（如PL d）可直接等同于某个固定PFD值（如10⁻⁷），但依据ISO 13849-1:2015，PL是综合考虑类别（Cat.）、DC（诊断覆盖率）、MTTFd（平均危险失效时间）及共因失效（CCF）后得出的定性等级；而PFDavg（平均概率失效）是IEC 61508/IEC 62061中基于可靠度模型（如马尔可夫或简化公式）计算出的量化指标。二者分属不同标准体系：PL不直接给出PFD数值，仅通过“PL对应PFD范围表”（如PL e对应PFDavg ∈ [10⁻⁷, 10⁻⁶)）提供区间约束。实际设计中，若混用PL评估结果直接代入SIL验算，或忽略架构约束（如Cat. 3结构无法支持PL e），将导致安全裕度误判。如何在跨标准项目中建立PL与PFD的等效校准方法，是系统集成阶段的关键难点。

Answer 1

```html

1. 常见误解：PL = 固定PFD？——从表象到本质的认知纠偏

在产线安全继电器选型或PL验证报告中，常看到“PL d ≈ 10⁻⁶”这类简写。这本质上是严重误读：PL不是数值，而是ISO 13849-1:2015定义的五级性能等级（PL a–e），其判定依赖四大架构与可靠性参数协同约束；而PFD<sub>avg</sub>是IEC 61508中基于时间域失效模型导出的统计期望值。二者分属不同安全生命周期范式：PL面向机械安全子系统（如急停回路），PFD<sub>avg</sub>面向电子/可编程电子安全相关系统（如SIS）。混淆即意味着将“定性分级”当作“定量指标”使用。

2. 标准解耦分析：PL与PFD的底层逻辑差异

• PL生成机制：依据公式查表法——先计算MTTF<sub>d</sub>（高/中/低三档）、DC（低/中/高）、Category（Cat. 1–4）、CCF得分（≥75分才允许Cat. 3/4），再交叉查ISO 13849-1 Annex K表确定PL等级；
• PFD<sub>avg</sub>计算路径：采用马尔可夫模型或简化公式 PFD<sub>avg</sub> ≈ λ<sub>DU</sub> × T<sub>proof-test</sub>/2（对单通道低要求模式），需明确λ<sub>DU</sub>、λ<sub>DD</sub>、诊断覆盖率、测试覆盖率、共因β因子等；
• 关键鸿沟：PL不区分“低要求vs高要求运行模式”，而PFD<sub>avg</sub>严格限定于低要求操作（≤1次/年）；PL隐含“架构冗余容忍度”，PFD<sub>avg</sub>则显式建模状态转移概率。

3. 定量映射的可行边界：PL↔PFD<sub>avg</sub>区间对应关系

ISO 13849-1:2015 Table 3 明确给出PL与PFD<sub>avg</sub>的**单向包容关系**（非等价）：

PL	PFDavg 范围	典型架构约束
PL a	[3.3×10⁻⁵, 3.3×10⁻⁴)	Cat. 1 或 Cat. 2 + 低DC
PL b	[1.0×10⁻⁵, 3.3×10⁻⁵)	Cat. 2 + 中DC ≥60%
PL c	[3.3×10⁻⁶, 1.0×10⁻⁵)	Cat. 3 + DC ≥60% + CCF≥75
PL d	[1.0×10⁻⁶, 3.3×10⁻⁶)	Cat. 3/4 + DC ≥90% + CCF≥75
PL e	[1.0×10⁻⁷, 1.0×10⁻⁶)	仅Cat. 4允许 + DC ≥99% + CCF≥75

4. 等效校准方法论：跨标准项目中的四步对齐法

1. 统一失效定义：明确“危险失效”在双方标准中的一致性（如ISO 13849-1的“dangerous failure” vs IEC 61508的“dangerous undetected failure”）；
2. 架构归一化建模：将Cat. 4结构映射为IEC 61508的2oo3或1oo2D架构，用马尔可夫链重算PFD<sub>avg</sub>，反向验证是否落入PL e区间；
3. MTTF<sub>d</sub>→λ<sub>DU</sub>转换：采用 λ<sub>DU</sub> = 1 / MTTF<sub>d</sub>（仅当失效服从指数分布且无维修时成立），并叠加β共因因子修正；
4. 敏感度蒙特卡洛仿真：对DC、T<sub>PT</sub>、β、λ<sub>DD</sub>进行±20%扰动，生成PFD<sub>avg</sub>分布直方图，确认95%置信下界仍满足目标PL区间。

5. 实战陷阱警示与Mermaid流程图验证

以下为典型跨标校准失败路径（含架构冲突检测）：

flowchart TD
    A[输入：安全功能需求] --> B{是否含可编程器件？}
    B -->|Yes| C[强制采用IEC 61508 SIL评估]
    B -->|No| D[采用ISO 13849-1 PL评估]
    C --> E[检查硬件架构是否满足Cat. 4？]
    D --> E
    E -->|否| F[降级PL或重构架构]
    E -->|是| G[执行PFDavg马尔可夫建模]
    G --> H{PFDavg ∈ PL对应区间？}
    H -->|否| I[调整DC/TPT/CCF设计]
    H -->|是| J[输出双标合规声明]

6. 工程落地工具链推荐

• PL计算：SISTEMA（TÜV认证）、SAFETY EVALUATOR（Rockwell）；
• PFD<sub>avg</sub>建模：exSILentia、Isograph Availability Workbench、MATLAB Reliability Toolbox；
• 联合验证：自研Python脚本（基于SciPy+MarkovChain库）实现PL参数→PFD<sub>avg</sub>区间自动比对；
• 文档证据包：必须包含《PL-PFD映射假设声明书》，明确注明“本项目PL e声明基于Cat. 4+DC=99.2%+β=1.5%实测值，对应PFD<sub>avg</sub>=8.7×10⁻⁷（90%置信）”。

```