在機械安全領域哪些風險還是可以接受的，哪些錯誤可能是致命的，從標準的角度來看，在什么條件下允許讓出現(xiàn)安全關鍵錯誤的自動化系統(tǒng)在有限的時間內(nèi)繼續(xù)運行？

　　這些問題代表了一種新的安全方法。因此，功能安全控制系統(tǒng)不應再簡單地在出現(xiàn)故障時關閉。相反，他們及時報告情況——并在“從安全的角度來看是合理的時間”內(nèi)保持運行。

　　在機械安全方面，容錯意味著什么？

　　容錯性是指技術系統(tǒng)能夠保持其功能，即使是在故障狀態(tài)和故障損害功能的情況下。容錯系統(tǒng)不僅需要故障檢測，還需要合格的故障評估。因此，可以決定檢測到的故障是可以容忍的，還是嚴重到不可避免的立即停止（關閉）。

　　容錯可提高系統(tǒng)的可用性

　　在當前實施的“傳統(tǒng)工廠自動化系統(tǒng)”中，這種類型的故障評估并不常見。但是，沒有故障評估就不可能容錯。很明顯，分級故障反應的決策只能在具有合適設計的設備或系統(tǒng)上進行。容錯設備或系統(tǒng)的開發(fā)人員和用戶還必須定義持續(xù)運行（在降級狀態(tài)下）的時間長度Δtdeg。如有必要，還必須指定其他風險減少措施，然后將這些措施納入使用信息。這可以用來結(jié)束處理步驟，并給出一個實際的例子。

　　機械指令 – 降級操作是否符合標準？

　　在機械工程領域，功能安全控制系統(tǒng)有助于涵蓋符合機械指令（2006/42/EC）的健康和安全保護要求。這里的出發(fā)點是基于EN ISO 12100的風險分析和風險估計。該標準描述了基本危險，并幫助設計工程師識別相關的重大危險，這些危險通過降低風險措施降低到可接受的剩余風險。

　　符合EN ISO 13849-1和/或IEC 62061的保護措施

　　如果使用控制保護措施，制造商將按照EN ISO 13849-1和/或IEC 62061來設計這些措施。技術文檔將包含構(gòu)建這些措施的指南，這些措施與安全相關的可靠性和預期用途。

　　功能安全的安全狀態(tài)

　　當今的功能安全控制系統(tǒng)的設計目的是使其安全狀態(tài)成為斷電狀態(tài)。 換言之：所有危險運動都將停止。這是所有設備和機器的正確選擇，在這些設備和機器上，安全的狀態(tài)是斷電，因此是停機。

　　但是，在Industrie 4.0的背景下，越來越多的設備和機械需要或被要求提高可用性。此外，“硬停”可能會導致進一步的危險，風險分析中需要考慮這些危險。因此，發(fā)生故障時，教條式地移除電源已經(jīng)不應再是唯一的應對措施。

　　ZVEI白皮書 – 機械安全中的容錯概念

　　ZVEI（德國電氣和電子制造商協(xié)會）內(nèi)部的一個工作組與Pilz和IFA（職業(yè)安全與健康研究所）合作，編制了一份白皮書，闡述了設備和機械功能安全中容錯設備和系統(tǒng)的基本原理。它們旨在證明，在與安全有關的傳感器和動力驅(qū)動中實施安全子功能下降的臨時操作是符合機械指令的保護目標的，并且不違反協(xié)調(diào)標準EN ISO 13849或EN 62061。

　　按照標準，在降級狀態(tài)下運行會打破在發(fā)生故障時立即斷電的教條主義。這提高了工廠和機械的安全性和可用性：

• 減少了篡改的誘因
• 不會在不適當?shù)臅r候關閉造成任何損壞
• 提高生產(chǎn)力
• 基于事件的維護，沒有停機

　　ZVEI的TASi工作組呼吁用戶和制造商在機械上實現(xiàn)這些好處，因此使其為運營商帶來利潤。

　　該白皮書主要針對機器制造商和系統(tǒng)集成商，他們?yōu)闄C器控制器設計和實施安全功能和子系統(tǒng)。這些信息也可以應用于產(chǎn)品開發(fā)中安全相關設備和系統(tǒng)的設計。該白皮書可從ZVEI網(wǎng)站免費下載