1.四种风险因素

采用风险评估，可以通过以下四种风险因素对风险进行判定：

1）潜在性损伤的严重性；

2）人员出现（暴露）在危险区域的频繁程度（频率）；

3）危险性事件发生的概率；

4）避免损伤或实现伤害最小化的可能性。

这些风险因素构成了用于实现安全相关控制功能的输入参数：采用这些输入参数，可以将风险分摊给安全相关控制的相关要求。因此，IEC 62061提供了一个程序，用于这些风险因素的评估和安全性能的分级（见图3-1）。

图3-1 与被识别危险有关的风险

2.确定必要的安全性能（安全完整性）

如果风险评估判定控制器失灵，或保护装置的故障可能导致超过容许程度的严重风险，则必须将该风险概率降低至剩余风险可以被接受的程度。换句话说，即该控制器必须达到足够的“安全性能”。

IEC 62061提供了一个程序，该程序采用了一种对风险进行分级的方法，也就是说对于风险进行了概率的、量化的分析，从而对于安全性能实现了层次化的分级。这个风险分析的结果即是相关安全功能的安全完整性等级（SIL）。

ISO 13849-1包含有一个类似的、对安全性能进行量化和层次化分析的过程。该标准中所规定的不同的性能等级（PL），可以通过指定的故障概率与IEC 62061中的SIL关联起来。

通过采用EN ISO 13849-1和IEC 62061标准，机器制造商可以保持与新机械指令所规定的内容的一致性，从而也就具备了出口能力和承担了相关的责任。这些标准既引入了定量，也引入了定性方面的考虑因素。通过采用合适的安全功能，并引入用于降低风险的保护措施，均源自风险评估的程序。此后，采用硬件组件和软件组件（如果适用的话），对安全功能的解决方案进行检查和评估，直至已经达到风险评估所要求的安全完整性为止。

注：对于将要设计制造的机器设备，如果符合一个已有的C类标准，则优先考虑该标准中描述的保护措施。然而，为了保证其技术要求不落后于当前最先进的技术发展水平，仍然必须进行上述检查过程。

3.风险图（参考标准：ISO 13849-1）

目的：

采用风险因素计算所需要的性能等级PLr，即危险性系统故障的概率（见图3-2）。

(www.daowen.com)

图3-2 根据ISO 13849-1制作的风险图，用于确定所要求的性能等级

为了确定必要的性能等级，使用了参数S（损伤的严重程度）、F（暴露在危险区域中的频率和（或）持续时间）和P（避免危险或实现伤害最小化的可能性）。

对于损伤的严重程度S，通常分为可逆性的（例如，挤压创伤或轻伤，通常是可以恢复的）和不可逆性的（例如，截肢、死亡，通常是不可以恢复的）。

对于暴露（出现）在危险区域中的频繁程度（频率）和持续时间F，通常没有一个严格意义上的时间限度。如果人员暴露在危险区域的频率超过每小时一次（例如，需要去安放和固定需要加工的工件），则必须选择F₂（连续不断且频繁地暴露（出现）在危险中）。该参数的选择与是否是同一个操作人员暴露（出现）在危险区域中无关。如果这一类操作只是偶尔才需要执行，则可以选择F₁（很少地或者不经常性地暴露（出现）在危险区域中）。

对于避免危险或实现伤害最小化的可能性P，存在很多不同的影响因素。此时，必须考虑操作人员接受培训后的结果、知识水平，以及规避风险的措施是否可以确保提高风险避免的概率，或者操作是否始终是在监管下进行的。只有确实可以避免事故或者可以明显减小损伤水平的情况下，才必须选择参数P₁（特定条件下可以）。

性能等级（PL）是安全性能的一种定量的方法，如同IEC 61508和IEC 62061中的安全完整性等级（SIL）。

4.用于实现控制器的安全性能（参考标准：IEC 62061）

标准IEC 62061附录A用表格的形式描述了这个程序。这些表格可以直接用于风险评估数据和SIL的分配结果。

对于各个风险参数，采用表头中给出的分值为其选择相关权重。全部参数的加权值的和构成了损伤概率。

C=F+Pr+P

暴露频率和持续时间采用参数“F”表示。不同的运行模式（自动模式、维护模式等）要求操作人员进入危险区的必要性，可能是不同的。操作类型（设置刀具、供料等）也至关重要。从相关表格中选择适用频度和持续时间。如果暴露时间小于10min，则其值可以参考下一级的规定分值。然而，小于等于1h时，频度值不得做减小处理。

危险事件的发生概率采用参数“Pr”表示。该参数的评估必须独立于其他参数。此时，也必须考虑操作人员的行为（即约束条件，例如因时间限制承受的精神压力、并未意识到危险等）。对于正常生产条件下的最坏情况，该概率为“极高”。采用较低分值时，必须对具体原因进行解释（例如操作人员的能力极好）。

避免伤害或伤害受限的概率采用参数“P”表示。此时，必须考虑机器的因素（例如将机器从危险区域移走的可性能）和危险能否检出的因素（例如因周围噪声过高无法检测出危险）。根据该表格进行分级（不可能、可能、很可能）。

借助该概率类别以及被考虑危险可能导致的损伤严重性，可以从该表查出相关安全功能必须具备的SIL等级。

其目的是根据风险因素，确定系统必须具备的安全完整性等级SIL（见图3-3）。

图3-3 确定所需要的SIL