CE Mark, Control Functions, EU European Union, Functional Safety, Guards and Guarding, Hierarchy of Controls, How to, Inherently Safe Design, ISO 13849, RoboticsCE标志，控制功能，欧盟，功能安全，防护装置与防护措施，控制层次，如何操作，本质安全设计，ISO 13849，机器人技术

注释

功能安全关注的是在需要时安全系统未能正常运行的可能性。理解“危险失效的平均时间”（MTTFD）至关重要。如果你曾阅读过相关主题，可能会注意到我将“危险失效的平均时间”缩写为全大写字母形式。使用MTTFD是2015年发布的ISO 13849-1第三版中的最新变更。在第一版和第二版中，正确的缩写是MTTFd。

MTTF_D定义

让我们先来看一些13849里关键的定义：

3.1.1
safety-related part of a control system (SRP/CS)控制系统中的安全相关部分（SRP/CS）
part of a control system that responds to safety-related input signals and generates safety-related output signals

指响应安全相关输入信号并产生安全相关输出信号的控制系统部分

Note 1 to entry: The combined safety-related parts of a control system start at the point where the safety-related input signals are initiated (including, for example, the actuating cam and the roller of the position switch) and end at the output of the power control elements (including, for example, the main contacts of a contactor)

注1：控制系统的安全相关部分从安全相关输入信号的起始点开始（例如，包括操作凸轮和位置开关的滚轮），到功率控制元件的输出端结束（例如，包括接触器的主触点）。

Note 2 to entry: If monitoring systems are used for diagnostics, they are also considered as SRP/CS.

注2：如果监控系统用于诊断，则也视为SRP/CS。

3.1.5
dangerous failure危险失效
failure which has the potential to put the SRP/CS in a hazardous or fail-to-function state可能导致SRP/CS处于危险或无法正常运行状态的故障

Note 1 to entry: Whether or not the potential is realized can depend on the channel architecture of the system; in redundant systems a dangerous hardware failure is less likely to lead to the overall dangerous or fail-to-function state.注1：潜在危险是否实现可能取决于系统的通道架构；在冗余系统中，危险的硬件故障不太可能导致整体危险或功能失效状态。

Note 2 to entry: [SOURCE: IEC 61508 – 4, 3.6.7, modified.]注2：[来源：IEC 61508-4，3.6.7，经修改。]

3.1.25
mean time to dangerous failure (MTTFD)平均发生危险故障时间（MTTFD）
expectation of the mean time to dangerous failure危险失效的平均时间期望

Failures and Faults故障与失效

由于一切事物最终都可能无法按我们预期的方式运行，因此我们知道所有事物都有一定的失效概率，因为任何事物都需要一定时间才会发生失效。诚然，这个时间可能非常短，比如设备首次启动时就出现故障；也可能非常长，有时甚至长达数百年。需要记住的是，由于这是一个“率”，所以它是在一段时间内发生的事件。同时，必须明确指出，我们讨论的是“失效”而非“缺陷”。根据ISO 13849-1:2015中的内容：

3.1.3
fault故障
state of an item characterized by the inability to perform a required function, excluding the inability during preventive maintenance or other planned actions, or due to lack of external resources物品的状态，表现为无法执行所需功能，但不包括在预防性维护或其他计划操作期间的无法使用，或因缺乏外部资源所致的情况。

Note 1 to entry: A fault is often the result of a failure of the item itself, but may exist without prior failure.注1：故障通常是由于产品本身发生失效所致，但也可能在未发生先前失效的情况下存在。

Note 2 to entry: In this part of ISO 13849, “fault” means random fault.注2：在本部分ISO 13849中，“故障”指随机故障。
[SOURCE: IEC 60050-191:1990, 05-01.]

3.1.4
failure失效
termination of the ability of an item to perform a required function终止一个项目执行所要求功能的能力

Note 1 to entry: After a failure, the item has a fault.

注1：发生故障后，该物品存在缺陷。

Note 2 to entry: “Failure” is an event, as distinguished from “fault”, which is a state.注2：“失效”是一个事件，而“故障”是一种状态。

Note 3 to entry: The concept as defined does not apply to items consisting of software only.注3：所定义的概念不适用于仅由软件构成的项目。

Note 4 to entry: Failures which only affect the availability of the process under control are outside of the scope of this part of ISO 13849.注4：仅影响受控过程可用性的故障不在本部分ISO 13849的范围内。
[SOURCE: IEC 60050-191:1990, 04-01.]

现在，当我们拥有多个相同的部件，比如继电器、阀门或安全系统时，就形成了一个由相同元件组成的群体，每个元件最终都会发生故障。我们可以记录下每次发生的故障，进行统计，并绘制出随时间推移该群体中故障数量的变化曲线。如果你觉得这听起来有点像统计学，那是因为它确实如此。

下面我们来看看该群体中可能出现的故障类型。有些故障会导致“安全”状态，例如继电器所有触点断开；而另一些故障则可能进入潜在的“危险”状态，比如常闭阀门出现严重泄漏。如果我们统计出所有故障，并分别统计其中“安全”故障和“危险”故障的数量，就能获得一些非常有用的信息。

不同的失效类型用小写希腊字母 λ（lambda）表示。我们可以添加一些下标，以帮助识别所讨论的失效类型。常用的变量符号如下[14]：

λ = failures
λ(t) = failure rate
λs = “safe” failures
λd = “dangerous” failures
λdd = detectable “dangerous” failures
λdu = undetectable “dangerous” failures

计算MTTF_D

由于我们现在可以对故障率数据进行数学处理，因此可以开始计算部件或系统的预期寿命。这种预期的或可能的寿命正是定义3.1.25所涉及的内容，也是我们所说的MTTF_D。

MTTF_D 是指故障概率相对恒定的年数。如果观察典型的故障率曲线（因其形状类似一个舒适的浴缸而被称为“浴盆曲线”），MTTF_D 对应的是曲线中从早期失效期结束到产品寿命末期磨损期之间的较平缓部分。该部分曲线所代表的时间段，即为产品“任务时间”的假设范围。任务时间是指控制系统中与安全相关的部件完成彻底更换或翻新之间的间隔时间。SRP/CS 的翻新包括更换 SRP/CS 中所有易损部件。

ISO 13849-1 assumes the mission time for all machinery is 20 years [4.5.4] and [Cl. 10].ISO 13849-1 假设所有机械的使用寿命为20年。

Figure 1 – Typical Bathtub Curve

ISO 13849-1 提供了关于 MTTFD 如何与 PL 的确定相关的指导，见 [第 4.5.2 条]。MTTFD 进一步分为三个等级，如 [表 4] 所示。

此表的注释同样重要。由于在上表中难以清晰阅读这些注释，我在此重新列出：

NOTE 1 The choice of the MTTFD ranges of each channel is based on failure rates found in the field as state-of-the-art, forming a kind of logarithmic scale fitting to the logarithmic PL scale. An MTTFD value of each channel less than three years is not expected to be found for real SRP/CS since this would mean that after one year about 30 % of all systems on the market will fail and will need to be replaced. An MTTFD value of each channel greater than 100 years is not acceptable because SRP/CS for high risks should not depend on the reliability of components alone. To reinforce the SRP/CS against systematic and random failure, additional means such as redundancy and testing should be required. To be practicable, the number of ranges was restricted to three. The limitation of MTTFD of each channel values to a maximum of 100 years refers to the single channel of the SRP/CS which carries out the safety function. Higher MTTFD values can be used for single components (see Table D.1).注1：各通道MTTFD范围的选择基于现场实际测得的故障率，这些数据代表当前技术水平，并形成一种与对数PL等级相匹配的对数尺度。对于真实的SRP/CS系统，不期望出现任一通道的MTTFD值低于三年的情况，因为这意味着一年后市场上约30%的系统将失效并需要更换。同样，任一通道的MTTFD值超过100年也是不可接受的，因为高风险的SRP/CS不应仅依赖于组件本身的可靠性。为增强SRP/CS对系统性及随机性故障的防护能力，应采用冗余、测试等附加措施。为确保实用性，范围数量被限制为三个。此处对每个执行安全功能的SRP/CS单通道MTTFD值上限设定为100年。对于单个组件，可使用更高的MTTFD值（见表D.1）。

NOTE 2 The indicated borders of this table are assumed within an accuracy of 5%.注2 本表所示边界在5%的精度范围内。

标准接着告诉我们，应使用一个简单的层级结构来选择MTTFD：

For the estimation of MTTFD of a component, the hierarchical procedure for finding data shall be, in the order given:对于组件的平均无故障时间（MTTFD）估算，查找数据的层级程序应按以下顺序进行：

a) use manufacturer’s data;使用制造商的数据；
b) use methods in Annex C and Annex D;使用附件C和D中的方法；
c) choose 10 years.选择10年

[4.5.2]

为什么是十年？因为十年相当于假设任务寿命二十年的一半。

查看[附录C.2]，您将找到用于估算MTTFD的“良好工程实践”方法，前提是制造商未提供该信息。ISO 13849-2 中提供了某些类型组件的通用MTTFD参考表格，但并非所有部件都能列出。对于未列出的部件，我们该如何处理？[附录C.4] 提供了针对气动、机械和机电元件估算MTTFD的计算方法。

Calculating MTTFD for pneumatic, mechanical and electromechanical components计算气动、机械和机电组件的平均故障前时间（MTTFD）

在介绍如何计算组件的MTTFD之前，我需要先向你介绍几个其他变量。

Variable	Description
B10	Number of cycles until 10% of the components fail (for pneumatic and electromechanical components)
B10D	Number of cycles until 10% of the components fail dangerously (for pneumatic and electromechanical components)
T	lifetime of the component
T10D	the mean time until 10% of the components fail dangerously
hop	is the mean operation time, in hours per day;
dop	is the mean operation time, in days per year;
tcycle	is the mean operation time between the beginning of two successive cycles of the component. (e.g., switching of a valve) in seconds per cycle.
s	seconds
h	hours
a	years