别急着沿用旧计算书：一道安全门回路的复核降级记

欧盟机械安全标准ISO 13849-1在2023年出了第四版，替代2015版：EN版本自2024年5月进入协调标准清单，旧版计划在2027年5月15日撤销引用，欧盟层面的旧决定也自2027年1月20日起废止。对多数工厂来说，这意味着几年前交付设备时那份安全回路计算书，不能默认一直有效——按新版的算法复核一遍，结论可能不一样。最近一次复核就把一道安全门回路从最高档降了一级，过程值得说一说。

复核对象是一个焊接单元的安全门，回路结构是：带强制断开触点的门锁开关、安全继电器、支持安全转矩关断的伺服驱动器。性能等级可以理解为这套安全功能的可靠程度，从a到e五档，e最高，当年的计算书判到e，与风险评估的要求一致。复核的第一步不是算数，而是把安全功能重新写清楚：门打开后多长时间内、以什么方式让危险运动停下来，断电时轴会不会下坠，重新上电要什么条件。新版把这份"安全要求清单"从建议变成了强制要求，而不少老计算书恰恰没有这一页。

逐项核对下来，暴露出三处问题。第一，回路分检测、逻辑、输出三个环节，新版要求每个环节的自诊断能力分别达标——对应诊断覆盖率至少六成——不能用整体平均值掩盖某一环的空白。原方案对继电器和接触器都做了监控，偏偏门锁开关的信号是单通道的，没有任何测试脉冲，这一环实际没有诊断。第二，冗余是假独立：门锁与继电器共用同一路24伏电源、走同一线槽，电源一出问题两路一起失效，抗共因失效的评分根本撑不住。第三是硬伤：当年用故障排除把继电器触点粘连直接排除在外，而新版明确写了最高等级不能建立在这种假设上。

按新版重新建模后，结论从e落到d——回路还能用，但不再满足原风险评估给出的要求。整改对应三处：门锁换成双通道、带诊断输出的安全开关，两路信号进继电器做交叉监控；安全回路单独供电、单独走线槽，把物理独立做实；驱动器侧启用安全转矩关断并接入使能输出；最后补上每年一次的验证测试和记录。

这个案例的价值在方法而不在结论。其一，性能等级不是元件的标签，三个环节各自标着高等级，串成一条功能后仍可能达不到，要看最弱一环和整体失效频率。其二，缺少可靠性数据时的简化算法有明确边界，最高档既不能靠简化路径凑，也不能靠故障排除凑。其三，标准按20年任务时间计算，磨损件的更换周期不能因为"算出来好看"就无限延长，台账上的更换记录仍是复核时要查的东西。

对还在沿用旧计算书的产线，建议按三步做：先把每道安全功能写清楚，触发条件、动作、时间、断电行为一样不能少；再按检测、逻辑、输出分环节查自诊断，不要信平均值；最后核实冗余是不是真的物理独立。这三步花不了多少钱，多数问题会自己浮出来，不必等认证审查或事故来替你发现。