数控系统功能安全标准综述*

黄祖广 张承瑞 赵钦志 尹震宇

(①山东大学机械工程学院，山东济南 250061;②国家机床质量监督检验中心，北京 100102;③中国科学院沈阳计算技术研究所有限公司，辽宁沈阳 110171)

何谓功能安全?功能安全是机械及机械控制系统有关的整体安全组成部分，取决于安全相关电气控制系统(SRECS)的正确功能，以及其他技术安全相关系统和外部风险降低设施的正确执行。当每一个特定的安全功能获得实现，并且每一个安全功能必需的性能等级被满足的时候，功能安全目标就达到了。数控系统功能安全，是数控系统具有故障安全处理行为，即当出现故障时，系统能够进入安全状态或进行故障消除的数控系统，亦称安全数控系统。换句话说，当安全数控系统满足以下条件时就认为是功能安全的，即当任一随机故障、系统故障或共因失效都不会导致安全系统的故障，从而引起人员的伤害或死亡、环境的破坏、设备财产的损失。也就是数控系统的安全功能，无论在正常情况或者有故障存在的情况下，都应该保证正确实施。

2012年6月29日，国家质量监督检验检疫总局和国家标准化管理委员会联合首次发布了GB 28526－2012《机械电气安全安全相关电气、电子和可编程电子控制系统的功能安全》强制性国家标准(以下简称 GB28526－2012)，并于2013年5月1日起强制实施。GB28526－2012标准是由全国工业机械电气系统标准化技术委员会(SAC/TC231)归口，是我国首次制定并发布的数控系统功能安全强制性国家标准。为此，本文对我国首部数控系统功能安全标准GB28526－2012进行了简要解读和讨论，便于数控行业理解与实施。

1 标准概况

GB28526－2012标准为条文强制性国家标准，标准的第5章、第6.4条、第6.6.3 条、第 6.10 条、第 6.12 条为强制性条款，其余为推荐性条款。标准等同采用了IEC 62061:2005《机械安全—安全相关电气、电子和可编程电子控制系统安全功能》，技术内容与 IEC62061:2005标准内容相一致。

GB28526－2012标准规定了机械(机器)设备用安全相关电气/电子/可编程电子控制系统(SRECS)的设计、集成、确认和评估等要求，适用范围与我国机械电气设备另一项重要安全标准GB5226.1－2008《机械电气安全 机械电气设备 第1部分:通用技术条件》相协调。

GB28526－2012标准是数控系统功能安全的通用安全标准，是数控系统功能安全的设计、集成、确认和评估的重要依据。本标准适用于单独的或组合的方式使用的控制系统，以执行机械安全相关控制功能。它不包括需要或要求由其他标准或法规为保护人身免遭危险的所有要求(例如防护、非电气联锁或非电气控制)。标准仅涉及预期降低直接接近机械或直接使用机械而造成的人身伤害或健康危害风险的功能安全要求;仅限于机械自身或以协调方式共同工作的机械的危险直接引起的风险;并没有规定机械非电气(例如液压、气动)控制元素性能要求;也不包括电气控制设备自身引起的电气危险，例如电击等。

2 标准制定背景

随着数控设备面向高速、大型、重型、智能发展，对与之配套的数控系统及伺服驱动单元的安全性提出了新需求，要求数控系统及伺服驱动单元等具有安全功能，以实现对人员和设备的保护，减少事故危害，确保数控机床的高效、安全加工。数控系统的安全功能已成为国内外数控厂商关注的焦点，并成为数控系统的重要功能。国外知名的数控系统厂商如发那科、西门子等公司，在研制的高档数控系统、伺服驱动单元、PLC等产品中，都集成了安全控制功能和安全总线，以提高系统安全等级，满足数控设备对数控系统功能安全的要求。

为了规范和引导国内控制系统行业安全相关技术发展，完善安全相关电气控制系统的设计和验证能力，提高国产数控系统安全性能水平。2008年，挂靠在北京机床研究所的全国工业机械电气系统标准化技术委员会(SAC/TC231)秘书处组织行业专家，对IEC/TC44(机械电气安全技术委员会)组织制定的IEC62061:2005《机械安全—安全相关电气、电子和可编程电子控制系统的功能安全标准》进行了研究，并适时提出了国家标准立项申请。2009年，根据国家标准化管理委员会下达的“国标委综合［2009］59号《关于下达2009年第一批国家标准制修订计划的通知》”文件，由SAC/TC231秘书处提出的我国首部数控系统功能安全国家标准列入了2009年度国家强制性标准制修订计划，项目计划编号为:20090708－Q－604。项目具体由国家机床质量监督检验中心、中国科学院沈阳计算技术研究所有限公司等单位负责起草制定。

3 与其他相关标准关系

GB28526－2012对应的IEC62061标准与相关标准的关系如图1所示。

4 标准条款及对应目标

GB28526－2012标准的主要条款及对应目标如表1所示。

5 标准有关问题说明

5.1 标准结构

GB28526－2012标准的架构清晰明了，全文分为10个章节和6个附录，同其他的标准一样，从第4章开始，是标准的正文，标准的主要内容及结构如下:

(1)第4章功能安全管理。

(2)第5章安全相关控制功能规范要求(SRCF)。

(3)第6章安全相关电气控制系统设计与整合(SRECS)。

(4)第7章SRECS使用信息。

(5)第8章安全相关电气控制系统确认。

(6)第9章 修改。

(7)第10章 文件。

(8)附录A(资料性附录)SIL分配。

(9)附录B(资料性附录)安全相关电气控制系统(SRECS)设计示例。

(10)附录C(资料性附录)嵌入式软件设计和开发指南。

(11)附录D(资料性附录)电气/电子部件的失效模式。

(12)附录E(资料性附录)按照 GB/T 17799.2－2003用于工业环境的SRECS电磁现象(EM)和提高的抗扰度水平。

(13)附录F(资料性附录)共因失效(CCF)敏感度评估方法。

5.2 关于标准范围

GB28526－2012标准的适用于非便携式机械设备用安全相关电气电子和可编程电子控制系统(SRECS)的设计、集成和验证，提出要求并给出建议。该标准适用于单独的或组合的方式来使用的控制系统，以使工作时非便携式机械执行安全相关控制功能。该标准的思路、方法以及一些具体要求也体现了GB/T 20438/IEC61508的具体应用，只关注与减小对直接使用机器的人的健康造成的伤害或伤亡，未对非电气控制元件(液压，气动)的性能提出要求，对于电气安全的要求需遵循GB5226.1/IEC60204－1标准要求。

5.3 关于“第2章规范性引用文件”

本标准所涉及的规范性引用文件如下:

(1)GB 5226.1－2008 机械电气安全机械电气设备第1部分:通用技术条件(IEC 60204－1:2005，IDT)

(2)GB/T 15706.1－2007 机械安全基本概念与设计通则第1部分:基本术语和方法(ISO 12100－1:2003，IDT)

(3)GB/T 15706.2－2007 机械安全基本概念与设计通则第2部分:技术原则(ISO 12100－2:2003，IDT)

(4)GB/T 16855.1－2008 机械安全 控制系统有关安全部件 第1部分:设计通则(ISO 13849－1:2006，IDT)

表1 标准条款及对应目标

(5)GB/T 16855.2－2007 机械安全控制系统有关安全部件第2部分:确认(ISO 13849－2:2003，IDT)

(6)GB/T 16856.1－2008 机械安全风险评价 第1部分:原则(ISO 14121－1:2007，IDT)

(7)GB/T 16856.2－2008 机械安全风险评价第2部分:实施指南和方法举例(ISO/TR 14121－2:2007，IDT)

(8)GB/T 17799.2－2003 电磁兼容通用标准工业环境中的抗扰度试验(IEC 61000－6－2:1999，IDT)

(9)GB 18209.1－2000 机械电气安全 指示、标志和操作 第1部分:关于视觉、听觉和触觉信号的要求(IEC 61310 －1:1995，IDT)

(10)GB 18209.2－2000 机械电气安全 指示、标志和操作 第2部分:标志要求(IEC 61310－2:1995，IDT)

(11)GB 18209.3－2002 机械电气安全 指示、标志和操作 第3部分:操作件的位置和操作的要求(IEC 61310－3:1999，IDT)

(12)GB/T 20438.2－2006 电气/电子/可编程电子安全相关系统的功能安全第2部分:电气/电子/可编程电子安全相关系统的要求(IEC 61508－2:2000，IDT)(13)GB/T 20438.4－2006 电气/电子/可编程电子安全相关系统的功能安全 第4部分:定义和缩略语(IEC 61508 －4:1998，IDT)(14)GB/T 21109.1－2007 过程工业领域安全仪表系统的功能安全第1部分:框架、定义、系统、硬件和软件要求(IEC 61511 －1:2003，IDT)(15)IEC 61508－3 电气/电子/可编程电子安全相关系统功能安全第3部分:软件要求(Functional safety of electrical/electronic/programmable electronic safety－related systems–Part 3:Software requirements)

5.4 关于“第3章 术语、定义和缩略语”

本标准引用了包括GB/T 15706.1－2007、GB/T 20438.4 －2006 等标准的术语及定义的术语共52条。

5.5 关于“第4章 功能安全管理”

本章规定了达到SRECS功能安全要求的具体技术活动和管理内容。

5.6 关于“第5章 安全相关控制功能规范要求(SRCF)”

本章规定了安全相关控制功能的具体要求和制定流程。

5.7 关于“第6章 安全相关电气控制系统设计与整合(SRECS)”

本章规定了符合功能安全要求的SRECS的选择原则、设计和实现方法。包括:系统架构的选择，安全相关软、硬件的选择，软硬件的设计，设计的软硬件符合功能安全要求的验证。

5.8 关于“第7章 SRECS使用信息”

本章规定了SRECS对随设备提供的使用信息的具体要求，包括:用户手册和流程，维护手册和流程。

5.9 关于“第8章 安全相关电气控制系统确认”

本章规定了应用于SRECS的验证流程的具体要求。包括对SRECS的检查和测试，以确保满足安全需求规范的要求。

5.10 关于“第9章 修改”

本章规定了SRECS需要更改时，更改的流程和要求，包括:对任何SRECS更改的正确计划以及进行更改前的确认，更改后SRECS满足安全需求规范等。

5.11 关于“第10章 文件”

本章规定了功能安全相关的所有文档列表。

5.12 关于“附录A(资料性附录)SIL分配”

本附录提供了一个风险估计的定性办法及能够用于对机械的SRCF进行SIL分配。

5.13 关于“附录B(资料性附录)安全相关电气控制系统(SRECS)设计示例使用条款5、6的概念和要求”

本附录提供了 SRECS设计中的结构化建议定义了一个方法，可以将安全相关控制功能的功能性及安全性的一体化整体要求分解成为许多细分的子功能。

5.14 关于“附录C(资料性附录)嵌入式软件设计和开发指南”

本附录用于帮助人们设计开发嵌入式软件以实现SRECS内部的安全相关控制功能。

5.15 关于“附录 D(资料性附录)电气/电子部件的失效模式”

本附录给出SRECS及其子系统的最低操作环境应符合GB5226.1的规定。

5.16 关于“附录E(资料性附录)按照GB/T 17799.2－2003用于工业环境的SRECS电磁现象(EM)和提高的抗扰度水平”

本附录提供了用于工业环境的SRECS的电磁现象和提高的抗扰度。

5.17 关于“附录F(资料性附录)共同原因失效(CCF)敏感度评估方法”

本附录提供了适用于子系统设计的CCF预测提供了简便的定性方法。

6 结语

GB28526－2012强制性国家标准是一项极其重要的数控系统功能安全通用标准。标准内容丰富，因篇幅关系，本文仅对标准的一些关键问题进行了说明。详尽内容请阅读该标准文本，现已由中国标准出版社出版印刷。为了便于机床行业更好地理解和实施本标准，全国工业机械电气系统标准化技术委员会后续还将对该标准的一些难点问题进行详尽解读，敬请关注。

［1］黄祖广，尹霞宁，赵钦志，等.GB 28526－2012机械电气安全 安全相关电气、电子和可编程电子控制系统的功能安全［S］.北京:中国标准出版社，2012.

［2］IEC 62061:2005 Safety of machinery－Functional safety of safety－related electrical，electronic and programmable electronic control systems［S］.2005.

［3］黄祖广，赵钦志，杨京彦，等.GB 5226.1 －2008机械电气安全机械电气设备第1部分:通用技术条件［S］.北京:中国标准出版社，2012.

［4］IEC 60204:2009 Safety of machinery– E-lectrical equipment of machines–Part 1:General requirements［S］.2005.

［5］黄祖广，赵钦志，黄麟，等.机械电气系统安全标准汇编［G］.北京:中国标准出版社，2010.