简介：本资源是ISO 3691-4:2020国际标准中核心安全条款——表1“安全回路PL要求”的专业中文翻译，面向工业自动化工程师、叉车AGV系统安全设计人员、功能安全（IEC 62061/ISO 13849）实践者及PL验证技术人员。内容完整覆盖刹车系统（4.2）、速度控制（4.3）、ESPE人员检测（4.8.2）、急停功能（4.8.1）、负载搬运（4.5）、转向与稳定性（4.6–4.7）、自动充电（4.4）及多模式操作（4.9）等14类安全功能，逐项列出安全功能描述、主要风险备注与对应最低性能等级（PL=d/c/b），并标注关键参数如0.3 m/s速度阈值、180 mm间隙检测范围、0.7 m/s转弯限速等实操依据。资源为单个27KB的Word文档（.docx），结构清晰、术语统一、表格排版规范，便于嵌入安全评估报告或PL验证文档。目前已有344人学习下载，是开展叉车类移动机器人安全回路设计、PL计算与CE认证准备的权威参考译本。
1. ISO 3691-4-2020 表1 翻译不是“字面搬运”，而是安全回路PL等级落地的校准标尺
你手头正调试一台AGV叉车的安全PL验证，PL=d要求已写进技术协议，但现场急停响应时间测出来是287ms，而ISO 13849-1里PL=d对应的最大允许响应时间是250ms——差这37ms，整条产线验收卡住。这时候翻出ISO 3691-4-2020原文，发现表1里第15条“急停功能”只写了“d”，没写具体参数；再查第19条“抑制人员检测装置”，备注栏赫然印着“速度必须小于0.3m/s以下，该回路进安全回路”。原来，PL等级不是孤立指标，而是和速度阈值、检测区域尺寸、制动释放逻辑强耦合的系统约束。这份翻译不是为读通条款，而是为把“PL=d”从纸面术语，拆解成可测量、可布线、可测试的硬件配置清单：比如ESPE光电保护装置选型时，必须同步确认其响应时间是否满足c级（≤500ms）还是d级（≤250ms）；比如刹车系统控制回路里，电池断开检测信号是否接入安全PLC的Category 3通道——这些细节，全藏在表1每一行“最低PL要求”与“备注”的咬合关系里。它专为做安全回路设计、功能安全验证、CE认证整改的工程师准备，新手照着填表能避坑，老手靠它核验供应商方案是否偷工减料。
2. 表1结构解构：为什么PL等级必须绑定具体安全功能与失效模式
ISO 3691-4-2020 表1不是安全功能罗列清单，而是一张失效驱动的PL分配决策树。它强制把抽象的“安全等级”锚定到具体物理动作、可测参数和确定性失效路径上。理解这张表的结构逻辑，是避免后续误用的前提。
2.1 表头四维字段的工程含义：从“写什么”到“怎么用”
表1共含5列，但实际起作用的是前4列，第5列“备注”是关键执行指南：
| 列名 | 原文字段 | 工程实质 | 典型误读陷阱 |
|---|---|---|---|
| 序号 | 1,2,3… | 安全功能唯一ID，非优先级排序 | 误以为序号1最重要，实则每项独立验证 |
| 条款号 | 4.2, 4.3, 4.8.2.1… | 对应标准正文位置，用于追溯技术依据 | 直接抄条款号当设计输入，忽略其上下文条件（如4.8.2.6明确区分直线/转向/旋转场景） |
| 安全功能描述 | “刹车系统控制冲撞人员PL功能控制减速功能” | 功能行为+风险对象+控制目标三合一 | 拆成“刹车系统”和“PL功能”两件事做，导致制动器释放逻辑未纳入安全回路 |
| 主要风险备注 | “如果电池断开，制动性能降低（不太可能）” | 失效模式+发生概率+影响程度 | 忽略括号内“不太可能”，对电池断开检测做冗余设计，徒增BOM成本 |
提示：第4列“最低PL要求”（如d、c、b）是结果值，不是输入值。它的确定依赖于第3列描述的功能是否完整覆盖第4列所列风险。例如第2项“停车系统控制碰撞风险”，若仅实现断电停车而未监控电池电压，则无法满足PL=d——因为“电池断开”这一失效模式未被覆盖。
2.2 PL等级与安全功能的强绑定逻辑：以第4.2刹车系统为例
第4.2条款拆为两项（序号1、2），表面看都是刹车，实则控制目标完全不同：
序号1（14.2）：核心是“减速功能”，对应动态过程控制。PL=d要求意味着：从触发减速指令到实际减速度达到设定值，整个链路（传感器→控制器→执行器→机械响应）必须满足Category 3架构、DC≥99%、MTTFd≥30年。典型落地是：使用双通道速度编码器+安全PLC双核运算+液压制动器双电磁阀。
序号2（24.2d）：核心是“停车系统”，对应终态保持。PL=d要求聚焦于“电池断开”这一特定失效下，制动器能否可靠抱死。此时重点不是响应速度，而是失效导向的机械冗余：比如弹簧加载式失电制动器（fail-safe design），其弹簧力矩需经计算验证，确保在电池完全失效时仍能提供≥1.5倍额定负载的制动力矩。
这两项PL=d要求，硬件选型、诊断覆盖率、验证方法全不同。若混为一谈，用同一套安全PLC程序同时处理减速和停车，必然在EN ISO 13849-1的架构验证环节被驳回。
2.3 “备注”栏的隐藏参数：把文字描述转成可测指标
表1中“备注”栏看似补充说明，实则是将安全要求翻译成工程语言的关键接口。以第19条为例：
原文备注：“速度必须小于0.3m/s以下，该回路进安全回路”
工程转化：
- “速度必须小于0.3m/s” → 要求安装速度监控模块，且其测量精度需满足±0.02m/s（按IEC 61508 SIL2要求，误差带宽≤5%）；
- “该回路进安全回路” → 意味着速度信号必须通过安全输入模块（如Pilz PNOZmulti的STO通道）接入，而非普通DI点；
- 隐含条件：当速度≥0.3m/s时，人员检测装置抑制功能必须硬线切断（不能仅靠软件置位），否则PL等级降为c级。
这种转化不是翻译，而是安全工程师的“需求解码”。没有这步，采购回来的“符合ISO 3691-4的人员检测系统”，很可能因速度信号走普通IO而无法通过第三方认证。
3. 安全回路PL等级落地：从表1要求到硬件选型与接线实操
拿到表1的PL要求，下一步是把它变成可采购、可接线、可测试的实物。这里不讲理论，只列一线工程师拆解表1后的标准动作流。
3.1 PL等级映射安全架构：Category与DC的硬性组合
表1中每个PL等级（b/c/d）都对应EN ISO 13849-1的特定架构要求。直接查标准易迷路，我整理成可执行对照表：
| PL要求 | 最低架构Category | 最低诊断覆盖率DC | 典型硬件实现方式 | 表1中对应条款举例 |
|---|---|---|---|---|
| b | 1 | — | 单通道+基本诊断（如继电器自检） | 第9条充电连接失活、第10条负载位置检测 |
| c | 2 | ≥60% | 双通道+交叉诊断（如两个独立安全继电器互检触点） | 第3条过速检测、第24条点动功能 |
| d | 3 | ≥90% | 双通道+高诊断覆盖率（安全PLC双核表决，或专用安全继电器带DC监测） | 第1/2条刹车系统、第15条急停、第16条人员检测 |
注意：Category 3不是“双PLC”，而是指单个控制器内具备双通道、独立诊断、故障自动导向安全状态的能力。常见误操作是买两台普通PLC做主从，却未启用其安全协议（如PROFIsafe），结果PL等级卡在c级。
3.2 关键元器件选型参数表：按表1条款反向锁定规格
表1中每项PL要求，都指向具体元器件的核心参数。以下是现场最常被忽略的5个硬性指标，直接决定认证能否通过：
| 表1序号 | 安全功能 | 必控参数 | 测量方法 | 不达标后果 |
|---|---|---|---|---|
| 16 | 行进方向人员检测 | ESPE响应时间 ≤250ms（PL=d） | 示波器抓取光幕遮挡信号到输出继电器动作时间 | 整机PL降为c，无法满足AGV高速运行场景 |
| 17 | 间隙区域人员检测 | 检测距离 ≤180mm（机械间隙） | 用标准块（180mm厚）实测光幕最小有效检测距离 | 存在人员被夹伤风险，CE审核一票否决 |
| 19 | 抑制人员检测装置 | 速度阈值精度 ±0.02m/s | 标定速度传感器输出，对比激光测速仪读数 | 抑制功能在0.28m/s时误触发，影响生产节拍 |
| 20 | 负载端部停车 | 停止时间 ≤250ms（PL=d） | 高速摄像机记录负载触碰限位开关到完全静止帧数 | 停止延迟导致货架变形，质保索赔 |
| 22 | 转弯侧场速度监测 | 侧向速度分辨率 ≤0.05m/s | 在旋转工况下，用陀螺仪+轮速编码器融合计算侧向分量 | 侧场区域失效，人员从侧面进入无响应 |
这些参数不是“建议值”，而是EN ISO 13849-1 Annex K中明确定义的验证项。采购时若供应商只提供“符合PL=d”，却拒绝出示上述参数的第三方测试报告（如TÜV证书），一律视为无效。
3.3 安全回路接线实操：哪些信号必须走安全通道？
表1中“进安全回路”是高频短语，但工程师常错判范围。以第15条“急停功能”为例，现场典型错误接法：
# ❌ 错误：急停按钮信号走普通DI模块 X1: 急停按钮常闭触点 ──┬──> PLC普通DI点 (地址 %I0.0) └──> 安全PLC安全输入点 (地址 %IX0.0) # 冗余但无意义 # ✅ 正确：急停信号仅接入安全PLC，并驱动安全输出控制制动器 X1: 急停按钮常闭触点 ──> 安全PLC安全输入点 (%IX0.0) ↓ 安全PLC安全输出点 (%QX0.0) ──> 制动器控制继电器线圈 ↓ 制动器控制继电器常开触点 ──> 液压制动器电磁阀关键规则：
- 所有标注“进安全回路”的信号（如急停、速度阈值、人员检测输出），必须全程在安全PLC内部完成逻辑运算，禁止在普通PLC中做中间处理；
- 安全输出必须直接驱动执行器（如制动器、电机抱闸），禁止经过普通继电器转接（会引入未诊断的单点失效）；
- 若需普通PLC参与（如HMI显示急停状态），只能通过安全PLC的安全输出点取样，且采样电路需满足Category 2架构（如双电阻分压+光耦隔离）。
4. 避坑：表1翻译落地中最常踩的5个血泪坑
表1看着就一张表格，但实际落地时，90%的认证失败和现场事故都源于对这几处细节的误读。以下是某实验室连续3个项目踩过的坑，按“现象→原因→解决”还原：
4.1 现象：PL=d的刹车系统，电池断开后制动器不动作
原因：误读第2项备注“如果电池断开，制动性能降低（不太可能）”，以为无需设计电池断开检测。实际“不太可能”指失效概率低，但一旦发生必须导向安全状态——即制动器抱死。而现场用的电磁制动器是得电释放型（fail-danger），断电即松闸。
解决：更换为弹簧加载式失电制动器（fail-safe），并按ISO 3691-4 Annex D计算弹簧力矩，确保在电池完全失效时制动力矩≥1.5×额定负载扭矩。同时在安全回路中增加电池电压监测模块（如Pilz PNOZ s22），电压<20V时强制触发安全输出。
4.2 现象：人员检测装置在0.35m/s时仍被抑制，PL等级被降为c
原因：第19条“速度必须小于0.3m/s以下”被理解为“速度信号<0.3m/s时允许抑制”，但忽略其前提——速度信号本身必须来自安全通道。现场用普通编码器测速，信号走普通AI模块，其精度±0.1m/s，导致0.25m/s时系统误判为0.15m/s而允许抑制。
解决：改用安全编码器（如SICK DFS60B），其输出含安全速度值（Safe Speed Value），通过PROFIsafe协议直连安全PLC。在安全PLC中设置速度比较功能块（如Siemens F-FB32），仅当安全速度值<0.3m/s时才使能抑制信号。
4.3 现象：ESPE在转弯时检测失效，人员从侧面进入未停止
原因：第22条“转弯和旋转时，卡车速度限制在0.7米/秒”被当成整车速度限制，未落实到“侧向速度”。AGV直线速度0.5m/s，但原地旋转时轮速达0.8m/s，侧向速度分量超0.7m/s，而ESPE侧场未按此速度重新标定检测距离。
解决：在安全PLC中增加侧向速度计算模块：融合陀螺仪角速度ω与轮距L，实时计算侧向速度v_y = ω × L/2。当v_y > 0.7m/s时，自动缩小ESPE侧场检测距离（按ISO 13855公式重新计算），并触发降速指令。
4.4 现象：点动功能（第24条）PL=c，但点动时负载下落
原因：第24条“点动功能”PL=c，被理解为“点动按钮信号走Category 2即可”。但忽略其风险描述“意外运动或者碰撞导致的负载下落”，这意味着点动指令必须同时闭锁所有可能导致负载运动的输出（如起升、倾斜），而不仅是控制行走。
解决：在安全PLC中建立点动模式专用安全程序段：当点动按钮按下时，除行走轴外，强制将起升、倾斜、侧移等所有轴的使能信号置0，并在HMI上显示“点动模式：仅行走可用”。
4.5 现象：自动充电断开检测未进安全回路，触电风险未消除
原因：第9条备注“不需要进安全回路”，被误读为“无需任何安全措施”。实际“不需要进安全回路”指其失效不会直接导致危险运动，但“触电风险”属于电气安全范畴，需满足IEC 60204-1要求——即充电连接器断开时，充电回路必须在100ms内切断。
解决：增加充电安全继电器（如Schmersal AZM150），其输入接充电连接器微动开关，输出控制充电接触器线圈。继电器自带100ms延时切断功能，并通过安全输出点反馈至安全PLC，作为充电完成的必要条件。
5. 验证闭环：用表1条款反向生成测试用例，让PL等级可测量、可举证
表1的价值不在阅读，而在驱动验证。我坚持用“条款反推测试法”：对表1每一项PL要求，生成一条可执行、可录像、可存档的测试用例。这不是为了应付审核，而是把PL等级从“纸面承诺”变成“证据链”。
5.1 测试用例设计模板：四要素缺一不可
每个测试用例必须包含：
- 触发条件（精确到物理量）：如“人员检测装置光幕被180mm标准块遮挡”；
- 预期响应（精确到时间/状态）：如“从遮挡开始到制动器完全抱死，时间≤250ms”；
- 测量工具（型号+校准状态）：如“Tektronix MDO3024示波器（校准有效期至2025-06-30）”；
- 通过准则（量化阈值）：如“示波器捕获的制动器电流下降沿到零点时间≤250ms，且重复10次全部达标”。
提示：测试用例必须覆盖表1中所有“备注”里的边界条件。例如第17条“间隙区域≤180mm”，测试时不仅要测180mm，还要测181mm（应不触发）、179mm（应触发），证明检测距离公差带被严格控制。
5.2 关键测试项实录：以第16条人员检测为例
这是PL=d要求最高频、最容易翻车的条款，现场测试必须分三层：
| 测试层级 | 触发条件 | 预期响应 | 测量要点 | 常见失败点 |
|---|---|---|---|---|
| 静态精度 | 用180mm标准块垂直遮挡光幕中心 | 输出继电器动作 | 示波器抓取光幕输出信号上升沿到安全PLC输入点动作时间 | 光幕响应时间超250ms（选型错误） |
| 动态覆盖 | AGV以0.3m/s匀速前进，标准块从侧面180mm处切入光幕 | AGV在200mm内完全停止 | 高速摄像机（1000fps）记录从切入到静止距离 | 侧向速度未补偿，检测区域收缩不足 |
| 失效注入 | 断开光幕供电电源（模拟线路短路） | 安全PLC报“ESPE故障”，AGV禁止启动 | 查看安全PLC诊断缓冲区，确认故障代码为“0x1A2F” | 光幕未接安全输出反馈，故障无法识别 |
这三项测试全部通过，才能签字确认第16条PL=d达标。少一项，就是证据链断裂。
5.3 认证举证包：把测试数据打包成审核官一眼看懂的证据
TÜV或SGS审核时，不会逐条看你的测试录像，而是快速扫描证据包结构。我固定用以下4个文件夹归档：
ISO3691-4_Table1_Verification/ ├── 01_Test_Plan/ # 含表1全部42项的测试用例表（Excel），每项标注测试日期、执行人、工具编号 ├── 02_Raw_Data/ # 原始数据：示波器截图（带时间标尺）、高速摄像帧序列、PLC诊断日志（CSV） ├── 03_Evidence_Summary/ # 证据摘要：每项PL要求配1页PDF，含测试照片+关键数据截图+结论（如“第16条：通过”） └── 04_Certification_Report/ # 第三方出具的PL验证报告（如TÜV SÜD的Test Report No. XXXX）从那以后我每次做安全回路验证，都强制走一遍这个证据包流程——哪怕客户没提认证要求。因为PL等级不是“我觉得达到了”，而是“我能拿出哪一页证据证明它达到了”。表1的每一行，最终都要在03_Evidence_Summary文件夹里，找到对应的PDF页码。希望帮到你。
本文还有配套的精品资源，点击获取
