# 將旋轉致動器整合至安全回路時，如何符合 ISO 13849？

> Source: https://rodlesspneumatic.com/zh-hant/blog/how-can-you-achieve-iso-13849-compliance-when-integrating-rotary-actuators-into-safety-circuits/
> Language: zh-Hant

## Summary

運用 5 個 PL 等級、明確安全狀態、故障分析、SISTEMA 與整機驗證，將旋轉致動器整合至 ISO 13849 安全功能。

## Page Content

# 將旋轉致動器整合至安全回路時，如何符合 ISO 13849？

要符合 ISO 13849，必須先定義機器安全功能、決定其所需性能等級（PLr）、設計並評估完整的輸入－邏輯－輸出鏈，再驗證已安裝機器的實際反應。旋轉致動器本身不會自動成為「符合 ISO 13849」的產品。其控制閥、回授、機械負載與故障行為都必須支援指定的安全狀態。

這項區分很重要。即使回路計算達到所需 PL，旋轉工作台仍可能持續滑行、讓偏心負載下墜、困住危險壓力，或在供氣恢復時重新啟動。計算結果必須與實際物理反應一致。

> 重點摘要 ISO 13849-1 定義 5 個性能等級，但不會替特定旋轉致動器應用指定 PLr。 選擇閥或感測器前，先定義停止角度、保持行為、壓力狀態與重新啟動條件。 必須在可信故障條件下驗證已安裝的軸。只有 SISTEMA 計算結果，不能取代機器驗證。

## 對旋轉致動器而言，符合 ISO 13849 代表什麼？

[ISO 13849-1:2023](https://www.iso.org/standard/73481.html) 適用於使用電氣、液壓、氣動、機械與軟體技術的安全相關控制系統。它提供設計與評估方法，但不會為特定應用規定安全功能或 PLr。因此，符合性屬於明確定義的機器安全功能，而不是通用的致動器標籤。

安全功能可能是在防護門開啟時防止意外旋轉，也可能要求分度工作台在實測角度內停止、保持偏心負載，或在有意識地重設前禁止重新啟動。每項功能都需要各自的觸發條件、安全狀態、PLr、架構、計算與驗證證據。

PLr 是分配給某項安全功能的所需性能等級。 PL 則是實作設計經評估與驗證後所達成的等級。兩者不是可互換的標籤。

不要混用 PL 與 SIL 術語。ISO 13849 使用 a 至 e 的性能等級；IEC 62061 等標準則使用安全完整性等級。產品可能同時公布多種架構的資料，但「PLe 致動器」不能取代完整 ISO 13849 安全功能的評估。

若要進一步了解 PLr、Category、MTTF_D、DCavg 與 CCF，請參閱[ISO 13849 氣動安全回路指南](/zh-hant/blog/how-can-iso-13849-safety-circuits-protect-your-pneumatic-systems-from-critical-failures/)。本文聚焦於旋轉輸出級及其機器反應。

最有意義的符合性問題不是「哪一款致動器的額定等級最高？」而是： 控制系統要求進入安全狀態後，哪一種故障仍可能造成危險旋轉？ 這個問題會決定致動器、傳動機構、保持裝置、感測器與負載行為是否必須納入安全分析。

## 應如何定義安全功能與安全狀態？

[ISO 12100:2010](https://www.iso.org/standard/51528.html) 提供控制系統設計前應採用的機械風險評估架構。[ISO 14118:2017](https://www.iso.org/standard/66460.html) 也涵蓋氣動能量、重力或彈簧等儲存能量，以及外部影響所造成的意外啟動。設計應從危害與可量測反應開始，而不是先選定偏好的閥回路。

每項安全功能都要撰寫一份規格。「安全停止旋轉致動器」過於模糊，無法驗證。實用的規格應明確列出：

| 要求 | 旋轉軸範例 |
| --- | --- |
| 觸發條件 | 自動分度期間，防護門聯鎖開啟 |
| 危害 | 工裝可能在掃掠區域內撞擊或夾住人員 |
| 所需反應 | 移除驅動扭矩並停止旋轉 |
| 安全狀態限制 | 收到安全要求後的角位移不得超過已驗證限制 |
| 保持條件 | 在最不利負載下，軸仍保持於允許位置範圍內 |
| 壓力條件 | 依風險評估要求，指定腔室排氣、保持加壓或隔離 |
| 重設行為 | 關閉防護門或恢復供氣，都不得直接引發旋轉 |
| 操作模式 | 分別評估自動、設定、清潔、故障復歸與維護模式 |
| PLr | 由風險評估或適用的 C 類標準分配給此安全功能 |

安全狀態取決於應用。讓致動器兩個接口都排氣，或許可以移除水平分度器的扭矩，但同樣的動作可能會釋放偏心或受重力作用的手臂。彈簧復歸單元在移除供氣時也可能產生動作。這類情況可能需要受控截止、煞車、機械限制，或受到監控的回復路徑。

必須考量完整運動特性。[旋轉致動器扭矩指南](/zh-hant/blog/how-to-calculate-torque-requirements-for-rotary-actuators-a-complete-engineering-guide/)可協助估算選型所需的負載扭矩與慣量，但扭矩估算無法確定停止角度或實際達成的 PL；這兩項都需要實測機器行為與安全控制證據。

## 旋轉致動器位於安全功能的哪個位置？

IFA 指南說明，SRP/CS 通常從感測輸入，經邏輯處理延伸至功率控制元件，例如閥。如果致動器故障不會造成危險狀態，致動器可以位於這個邊界之外；若致動器或負載故障可能引發危險運動，就必須將相關致動器與機械措施納入安全分析。

從危害往回繪製安全功能。不要讓圖面停在安全 PLC 的輸出端。

| 層級 | 典型旋轉軸元件 | 所需證據 |
| --- | --- | --- |
| 輸入 | 防護門開關、光柵、致能裝置、位置或壓力回授 | 安全資料、配線、安裝與故障反應 |
| 邏輯 | 安全繼電器、可設定控制器、安全 PLC、應用軟體 | PL 能力、軟體驗證、重設邏輯與差異時間 |
| 氣動功率控制 | 受監控方向控制閥、隔離或排氣元件、先導回路 | 安全手冊、B10D 或 PFH 資料、回授時序與流量限制 |
| 致動器與傳動 | 葉片式或齒條與小齒輪致動器、軸、聯軸器、軸承、煞車、擋塊 | 故障模式、機械強度、背隙、保持與停止行為 |
| 機器製程 | 工裝、治具、偏心負載、掃掠區域、硬擋塊 | 最不利慣量、重力扭矩、衝擊能量與允許位移 |

感測器可能讓模型看似完整，實際上卻監控錯誤位置。閥位開關只能確認閥元件，不能確認軸位置；安裝在會滑移的聯軸器前方的軸感測器，也無法證明工裝已停止。診斷裝置必須放在能偵測 DCavg 理由中所主張之危險故障的位置。

致動器類型會影響故障分析。葉片式單元、齒條與小齒輪致動器，以及氣動旋轉台，在洩漏路徑、背隙、軸承配置、擋塊與允許負載方面可能各不相同。以另一種設計替代前，請先審查這些差異。[齒條與小齒輪和葉片式比較指南](/zh-hant/blog/rotary-actuators-rack-pinion-vs-vane-type-explained/)提供機械差異比較；安全評估仍需要特定零件資料。

## 回路必須處理哪些旋轉致動器故障？

[ISO 4414:2010](https://www.iso.org/standard/44790.html) 涵蓋機械設備所用氣動系統的重大危害，並在 2021 年確認後持續有效。對旋轉軸而言，分析必須將每一項可信的氣動、電氣、感測與機械故障，連結至危害位置的角度、扭矩、壓力及重新啟動行為。

設計與驗證期間應使用故障表。下列表格只提供檢查方向，不代表通用故障排除項目，也不會自動取得診斷貢獻。

| 可信故障 | 可能的危險影響 | 設計或診斷問題 | 驗證證據 |
| --- | --- | --- | --- |
| 一個閥元件無法切換 | 驅動壓力持續存在 | 單一故障是否會破壞安全狀態？閥狀態是否受監控？ | 注入故障並記錄壓力與運動曲線 |
| 排氣路徑受限 | 軸停止時間晚於預期 | 最不利條件是否納入消音器、管路與流量控制元件？ | 在允許的節流條件下測試停止角度 |
| 致動器內部洩漏增加 | 軸緩慢爬行或失去保持扭矩 | 在超出允許位置前，能否偵測洩漏？ | 在壓力與溫度限制下執行保持測試 |
| 位置回授卡住或不一致 | 控制器接受錯誤的停止位置 | 每個感測器可偵測哪些危險故障？ | 開路、短路、卡住與差異測試 |
| 聯軸器、鍵或擋塊失效 | 工裝獨立於受感測的軸移動 | 回授是否位於故障的危害側？ | 機械檢查與有依據的故障處置 |
| 供氣中斷或恢復 | 負載下墜、彈簧復歸動作或循環重啟 | 零壓力與重新加壓時會進入什麼狀態？ | 供氣中斷與恢復測試 |
| 軟管破裂或接口開放 | 不受控旋轉或失去保持能力 | 是否需要獨立煞車或限制機構？ | 可信管路故障分析，並在安全可行時進行實測 |
| 共同污染影響兩個通道 | 冗餘閥因共同原因失效 | 是否控制空氣品質、過濾、維護與通道隔離？ | CCF 審查與維護證據 |
| 重設邏輯錯誤 | 重設動作引發運動 | 重設是否與啟動指令分離？ | 各模式重設與重新啟動測試 |

只有冗餘並不能消除共同原因失效。兩個相同的閥可能共用受污染空氣、過高壓力、不當維護、受阻的共同排氣路徑，或相同軟體錯誤。CCF 評估必須記錄真正落實的措施。

同樣地，彈簧復歸只是一種行為，不是安全結論。應確認復歸方向、全行程可用彈簧扭矩、負載扭矩、速度、夾點、端點衝擊能量，以及彈簧或機械連接失效時的結果。

## PLr、Category、MTTF_D、DCavg 與 PFH 之間有何關係？

IFA 針對 ISO 13849-1:2023 發布的 2025 年報告列出 5 個 PL 等級，各自對應每小時危險失效平均頻率 PFH 的範圍。實際達成的 PL 還取決於架構、元件可靠度、診斷涵蓋率、共同原因措施、系統性控制與正確整合。只知道 Category 無法確定 PL。

| 性能等級 | 每小時 PFH 範圍 |
| --- | --- |
| PL a | >= 10^-5 至 = 3 x 10^-6 至 = 10^-6 至 = 10^-7 至 = 10^-8 至 PFH_D 標記；現行 2023 年版 IFA 資料使用 PFH 。請遵循專案所用標準版本的術語與計算方法，並確保報告與元件庫一致採用相同版本。

PFH 是現行 IFA ISO 13849-1:2023 資料所使用的每小時危險失效平均頻率。它是 PL 結果的一部分，不能單獨證明實體機器反應安全。

對會隨磨耗變化的氣動元件，應向製造商索取確切的 B10D、PFH 或子系統資料，以及其使用條件。不要任意替致動器或閥指定通用的 2,000 萬次循環值。切換頻率、壓力、空氣品質、溫度、負載、維護、任務時間與核准配件，都可能影響資料是否適用。

[IFA SISTEMA 工具](https://www.dguv.de/ifa/praxishilfen/practical-solutions-machine-safety/software-sistema/index.jsp)使用 PLr、Category、MTTF_D、DCavg 與 CCF 評估指定架構。IFA 將 SISTEMA 3.x 對應至 ISO 13849-1:2023；Version 2.x 則屬於 2015 版。未經審查，不要混用不同版本的專案、元件庫與假設。

在 SISTEMA 中，應為每一項危險反應建立獨立安全功能。依實際情況建立輸入、邏輯與輸出子系統模型，並記錄位於量化模型之外、但仍是達成安全狀態所必要的致動器或機械措施。綠色的計算結果無法偵測聯軸器滑移、消音器堵塞、感測器位置錯誤或負載不穩定。

## 應如何驗證已安裝旋轉軸的安全功能？

[ISO 13849-2:2012](https://www.iso.org/standard/53640.html) 截至 2026 年 7 月 17 日仍是現行已發布的驗證標準。它要求以分析與測試驗證指定的安全功能、達成的 Category 與 PL。ISO 已列出替代草案，但草案不是已發布的驗證依據。

試運轉前先制定可量測的驗收標準。記錄收到安全要求後的最大允許角度、停止時間、軸位置範圍、壓力閾值、保持時間、重設行為與故障反應。請在最可能產生最不利反應的條件組合下測試：

- 允許的最大移動質量與半徑

- 最高可信角速度

- 最不利重力或偏心負載方向

- 最低與最高供氣壓力

- 若密封與閥時序會受影響，則測試最低允許溫度

- 最長的核准管路與限制最大的允許排氣配置

- 已磨損但仍可使用的機械間隙

- 人員可接近危害的每一種操作模式

不要只量測控制器狀態位元。應讓安全要求、邏輯輸出、閥回授、下游壓力、軸角度與危險工裝位置依時間建立關聯。型錄中的閥切換時間並不是機器停止時間。

對旋轉設備而言，停止角度通常比只看停止時間更實用。同樣是 150 ms 的停止時間，在某個角速度下可能可接受，在另一個角速度下卻可能造成危害。兩項數值都要記錄，再將掃掠路徑與防護距離及安全功能驗收標準比較。

故障測試應對應架構與故障分析。在安全可行的情況下，阻止一個閥元件改變狀態、製造回授差異、中斷一個輸入通道、在允許配置內限制排氣、移除及恢復供氣，並測試重設行為。若規格要求，應確認系統會禁止下一個危險循環。

檢查與功能測試週期必須依風險評估、元件安全手冊、Category 與診斷設計、操作環境、使用情況、維護紀錄，以及任何適用的 C 類標準制定。ISO 13849 並未規定「PL e 每月一次」或「PL c 每年一次」之類的通用排程。

## 哪些文件能讓設計隨時接受稽核？

IFA 現行 SISTEMA 頁面說明，Version 3.x 專門對應 ISO 13849-1:2023，並可列印已評估安全功能的摘要。這份報告只是其中一項紀錄，並不是完整的符合性檔案。檔案還必須把風險評估、回路、軟體、元件資料、機器測試與受控版本連結起來。

下列紀錄應納入組態控制：

- 機器限制、危害分析與風險降低決策

- 每項功能的安全功能規格與 PLr 理由

- 標示確切元件版本的氣動與電氣圖

- 軟體版本、校驗碼、參數集與驗證紀錄

- 製造商安全手冊、B10D 或 PFH 資料，以及 SISTEMA 元件庫

- Category、MTTF_D、DCavg、CCF、PFH 與系統性措施的證據

- 閥、感測器、致動器、聯軸器、擋塊、煞車與負載的故障分析

- 驗證計畫、量測設備、原始曲線、結果與偏差

- 檢查、維護、更換與功能測試要求

- 元件替代、管路、消音器、壓力、負載、速度與軟體的變更控制紀錄

供應商文件應指明適用的確切零件與版本。請索取聲明的安全功能、架構限制、診斷時序、允許測試脈衝、任務時間、切換頻率、壓力與空氣品質限制、核准消音器、維護條件，以及真正適用於該元件的任何證書或聲明。

不要在缺乏情境下要求「ISO 13849 旋轉致動器」。應向供應商提供安全功能、PLr、壓力範圍、循環次數、負載、安裝方向、停止要求、回授概念、環境與規劃的閥配置。這些資訊才能用來確認元件資料是否適用於實際應用。

## ISO 13849 旋轉致動器整合常見問題

ISO 13849-1:2023 是一份 152 頁的安全相關控制系統方法標準，現行 ISO 13849-2 驗證文件則有 79 頁。以下常見問題說明簡短產品介紹通常忽略的邊界，包括元件能力、架構、診斷、安全狀態行為、測試與機器層級驗證。

### 旋轉致動器本身可以取得 PL e 認證嗎？

供應商可以針對明確定義的產品與使用條件，提供安全資料、聲明的子系統能力或第三方認證。這並不會讓完整機器安全功能自動達到 PL e。ISO 13849-1 說明，它不會為每一種元件規定產品層級設計要求；整合人員仍必須評估並驗證完整功能。

### Category 3 會自動等於 PL d 嗎？

不會。Category 3 描述架構的故障行為，不代表完整達成的 PL。結果還取決於 MTTF_D、DCavg、CCF、系統性措施、軟體、子系統介面與計算所得 PFH。IFA 的性能等級指南會將確定性的架構與這些機率及診斷特性結合評估。

### 彈簧復歸致動器能保證安全狀態嗎？

不能。ISO 14118:2017 將氣動供應、重力、壓縮彈簧與外部影響視為可能造成意外啟動或運動的能源。只有當復歸方向、扭矩、速度、停止能量、負載互動與可信故障都符合安全功能規格時，彈簧復歸才是安全的。

### 雙位置回授足以主張診斷涵蓋率嗎？

不足。診斷涵蓋率取決於診斷能偵測哪些危險故障，以及何時能偵測。兩個感測器可能共用同一安裝誤差、觀察失效聯軸器的同一側，或漏掉閥故障。請將每項計入診斷貢獻的功能對應到故障模式，並驗證其故障反應。

### 旋轉安全功能必須多久測試一次？

不存在只依 PL 決定的通用週期。應依元件說明、操作頻率、Category 與診斷架構、環境、維護紀錄、風險評估及適用的機器專用標準設定週期。Category 2 的測試要求也關乎測試與安全要求行為之間的關係，而不是通用的每月排程。

### 致動器應納入 SISTEMA 模型嗎？

這取決於安全功能邊界與危險故障行為。IFA 指南指出，功率控制元件通常是 SRP/CS 的終點；但如果致動器或負載故障可能造成危險狀態，就必須考量致動器特性。量化模型與模型外必要的機械措施都應記錄。

## 結論

ISO 13849-1:2023 提供五級的安全相關控制系統設計方法，而不是獨立旋轉致動器的符合性標籤。可辯護的整合應從一項可量測的安全功能開始，評估完整控制鏈、處理旋轉軸的實際故障，並依其驗收標準驗證已安裝的機器。

請明確定義防護門開啟、感測器故障、閥卡住、供氣消失或壓力恢復時，系統必須採取的動作。接著證明旋轉軸在最不利的可信負載與運動條件下，能到達並維持指定的安全狀態。這些證據，而不是元件銘牌或 SISTEMA 截圖，才是符合性的基礎。

## 資料來源與查閱日期

以上技術說明採用現行 ISO 型錄紀錄與 DGUV／IFA 實作指南。由於 ISO 13849-2 正在修訂，且 SISTEMA 版本對應特定版本的 ISO 13849-1，因此列出查閱日期。專案團隊在驗證機器時，應再次確認已發布標準與軟體版本。

- 國際標準化組織。[ISO 13849-1:2023－控制系統安全相關部件，第 1 部](https://www.iso.org/standard/73481.html)。2023 年 4 月發布。查閱日期：2026 年 7 月 17 日。

- 國際標準化組織。[ISO 13849-2:2012－驗證](https://www.iso.org/standard/53640.html)。現行已發布版本；替代草案正在制定。查閱日期：2026 年 7 月 17 日。

- 國際標準化組織。[ISO 12100:2010－風險評估與風險降低](https://www.iso.org/standard/51528.html)。查閱日期：2026 年 7 月 17 日。

- 國際標準化組織。[ISO 14118:2017－防止意外啟動](https://www.iso.org/standard/66460.html)。2023 年確認持續有效。查閱日期：2026 年 7 月 17 日。

- 國際標準化組織。[ISO 4414:2010－氣壓流體動力安全要求](https://www.iso.org/standard/44790.html)。2021 年確認持續有效。查閱日期：2026 年 7 月 17 日。

- 德國法定意外保險職業安全衛生研究所。[IFA Report 1/2025－機器控制功能安全](https://dguv.de/ifa/publikationen/reports-download/reports-2025/ifa-report-1-2025/index.jsp)。查閱日期：2026 年 7 月 17 日。

- 德國法定意外保險職業安全衛生研究所。[ISO 13849-1 SISTEMA 軟體](https://www.dguv.de/ifa/praxishilfen/practical-solutions-machine-safety/software-sistema/index.jsp)。查閱日期：2026 年 7 月 17 日。

- 德國法定意外保險職業安全衛生研究所。[液壓與氣動機器安全資源](https://www.dguv.de/ifa/praxishilfen/praxishilfen-maschinenschutz/hilfen-zu-hydraulik-pneumatik/index.jsp)。查閱日期：2026 年 7 月 17 日。