冗餘閥系統：ISO 13849-1 安全迴路指南
冗餘氣動閥系統是輸出子系統，設計目的是在發生單一故障後仍維持已定義的安全反應。它不會自動讓機台達到 PL d 或 PL e。風險評估、輸入裝置、安全邏輯、閥架構、診斷、氣動迴路與機台的實際反應，全部都會影響最終達成的性能等級。
本文聚焦於閥輸出子系統：兩個閥元件如何配置、其回授必須證明什麼、故障如何影響供氣與排氣路徑，以及安裝在機台上的系統必須測試哪些項目。若要了解完整的輸入－邏輯－輸出流程，請先閱讀較完整的 ISO 13849 氣動安全迴路指南。
重點摘要
- ISO 13849-1 定義五個性能等級，但單靠冗餘並不能建立其中任何一個等級。
- 3/2 雙閥可支援安全排氣；具監控的 5/2 設計可支援已定義的安全返回。
- 回授必須偵測危險的閥故障，而不只是確認線圈電壓。
- 必須在安裝完成的機台上驗證壓力、動作、重置與重新啟動行為。
冗餘閥系統實際保護的是什麼？
ISO 13849-1:2023 定義從 PL a 到 PL e 的五個性能等級，但不會替特定氣動應用指定安全功能或所需的 PLr（ISO，2023）。冗餘閥系統只保護設計者明確定義的機台安全功能。
這項功能可能是在護罩開啟時防止意外加壓，也可能是排空一個危險區、讓致動器移至受控的返回位置、維持足夠壓力直到煞車接合，或選擇較低的設定壓力。每項功能都需要觸發條件、安全狀態、PLr、架構、診斷行為與可量測的驗收標準。
「冗餘」描述的是結構，不是結果。兩個閥元件可以提供兩條輸出路徑，但如果受污染的共用氣源讓兩個元件同時卡住、共用接頭使兩個線圈都失效、堵塞的消音器阻止排氣，或控制器忽略回授差異，系統仍然會失效。
先回答四個問題：
- 這項功能必須控制哪一個危險動作或壓力？
- 在最可信的負載與致動器位置下，什麼實體狀態才是安全的？
- 閥輸出子系統必須承受或偵測哪些單一故障？
- 要用什麼證據證明安裝完成的機台能到達並維持該狀態？
根據我們審查氣動安全規格的經驗，最常見的措辭問題，是把元件名稱當成安全功能。應將「使用冗餘閥」改成可量測的要求，例如：「在任何被納入評估的單一輸出故障後，延伸端口的壓力不得超過定義的閾值。」
ISO 4414:2010（2021 年確認仍為現行版本）涵蓋氣動系統在設計、安裝、操作與維護階段的重大危害。它強調一項核心原則：不能脫離儲存壓力、重力、彈簧、真空、管路、致動器與維修程序，單獨評估閥門。
只有在氣動路徑、診斷與故障反應保持足夠獨立，能維持已定義的安全功能時，第二個閥元件才真正有用。
三種冗餘閥架構
Parker P33 系列採用常閉式 3/2 安全排氣功能，並提供內部或外部監控版本；ROSS 則記載冗餘 3/2 與 5/2 雙閥配置（Parker，2024；ROSS，取用於 2026）。這些案例展現現代機台安全迴路中三類實用的架構。
內部監控雙閥
兩個閥元件與監控邏輯整合在同一組件內。產品會在內部檢查元件同步或狀態，偵測到定義的差異後阻止正常操作。系統設計者仍須遵循安全手冊對重置、配線、配管、最低循環次數、消音器與故障反應所規定的條件。
外部監控雙閥
每個閥元件都向安全繼電器或安全 PLC 提供位置或壓力狀態回授。外部邏輯會在通電與斷電過程中，將命令狀態與兩個回授通道比較。例如，ROSS 對其 RSe 系列規定由外部監控兩個 PNP 滑閥位置感測器。這種產品專屬的配置不能套用到使用不同感測器或內部幾何形狀的閥門。
兩個獨立閥通道
當氣動互連、電氣控制、診斷、可靠度資料與共因措施符合所需架構時，分立閥可以設計成冗餘輸出子系統。單純將兩個普通方向閥串聯或並聯，不能證明故障容忍能力。迴路必須說明任一元件卡住、洩漏、動作變慢或失去命令時會發生什麼。
| 架構 | 監控位置 | 主要工程問題 |
|---|---|---|
| 整合式雙閥 | 經認證組件的內部 | 必須提供哪些外部條件與重置邏輯？ |
| 外部監控雙閥 | 安全繼電器或安全 PLC | 邏輯是否在每個要求的轉換上評估兩個實際閥位置？ |
| 兩個獨立通道 | 機台安全控制系統 | 完整氣動配置在任一單一故障後，是否仍能維持安全狀態？ |
第 3 類與第 4 類如何改變故障行為？
IFA 的 ISO 13849 應用報告，是透過 MTTFd、DCavg 與對累積故障的抵抗能力區分第 3 類與第 4 類，而不是只看外觀上是否有兩個通道（IFA 報告 2/2017e，2019）。兩種指定架構都需要對氣動安全系統的共因故障採取適當措施。
在第 3 類中，單一故障不得造成安全功能喪失。部分故障會被偵測，但未偵測到的危險故障累積後，仍可能最終擊穿這項功能。因此，若診斷漏掉危險的閥卡死，或兩個通道共用未處理的故障原因，即使示意圖有兩個通道，也可能不夠。
第 4 類同樣要求容忍單一故障，但需要更強的故障偵測或抵抗故障累積能力。IFA 對指定的第 4 類架構說明高 MTTFd 與高 DCavg。這就是宣稱具備第 4 類能力的產品通常會明確列出監控條件、可靠度資料與故障反應要求的原因。
| 設計問題 | 第 3 類取向 | 第 4 類取向 |
|---|---|---|
| 單一故障的影響 | 安全功能仍可用 | 安全功能仍可用 |
| 故障偵測 | 部分危險故障可能未被偵測 | 危險故障會及時被偵測，或其累積受到控制 |
| MTTFd 與 DCavg | 允許的組合取決於設計 | 高數值與指定架構相關 |
| 共因故障 | 需要採取措施 | 需要採取措施 |
| 達成的 PL | 由所有相關參數計算 | 由所有相關參數計算 |
不要在規格中寫「第 3 類等於 PL d」或「第 4 類等於 PL e」。類別只是 PL 評估的一項輸入。元件可靠度、診斷有效性、CCF、系統性措施、軟體、介面與安全功能的其他子系統仍然重要。
CCF 審查不能只做到把閥門分開安裝。髒空氣、凝結水結冰、過高溫度、振動、共用調壓器故障、錯誤的替換零件、共用配線損壞或相同的維護錯誤，都可能同時影響兩個通道。文件化措施必須針對實際安裝處理這些風險。
閥門回授必須偵測什麼？
ROSS 表示，對 RSe 的兩個滑閥位置感測器在每次通電動作與斷電動作時進行監控，若外部安全控制器執行指定檢查，該產品可提供最高 99% 的診斷覆蓋率（ROSS RSe，取用於 2026）。此數值只適用於特定型號，不能套用到一般回授。
診斷覆蓋率是指已實作的診斷措施偵測危險故障的有效程度。線圈電壓只能證明控制器發出了命令，不能證明電磁閥產生了足夠的力、先導級移動、滑閥或提升閥動作、排氣路徑開啟，或下游壓力下降。有效診斷必須針對確切閥門與迴路所識別的危險故障模式。
常見的回授方法包括：
- 強制驅動或接近式閥位置感測
- 兩個冗餘閥元件各自的獨立回授
- 危險區的下游壓力合理性檢查
- 通電與斷電期間的通道差異定時
- 將閥狀態與致動器位置或受防護機台狀態比較
- 故障後抑制下一個危險循環的控制器反應
壓力回授有其限制。位於安全閥上游的開關不能顯示下游腔室是否已排空。歧管後方的一個開關，可能漏掉止回閥後方被困住的壓力。壓力閾值可以確認氣動狀態，但不一定能證明垂直軸已停止，或夾具仍然保持負載。
位置回授也有其限制。滑閥感測器可能證明閥元件位置，卻不能證明堵塞的消音器仍有足夠排氣流量。因此，診斷概念應把每個被納入評估的訊號，連結到明確的危險故障與故障反應。
根據我們審查替換需求的經驗，「包含回授」對安全替代品來說通常過於含糊。需求應指出訊號的正常與故障狀態、差異定時、控制器反應、接頭腳位，以及感測器回報的是實際閥位置還是只有電氣命令。
應把診斷視為證據鏈：命令、閥位置、下游壓力與危險動作回答的是不同問題，沒有任何單一訊號能自動證明這四項。
安全排氣、安全返回與壓力保持
Parker 將 P33 定義為常閉式 3/2 安全排氣閥，而 ROSS 則記載用於安全返回與雙壓力功能的 5/2 RSe 配置（Parker P33，2024；ROSS RSe，取用於 2026）。端口數量應依每項已定義危害所要控制的機台反應決定。
安全排氣是阻斷供氣並排放已定義下游區域的功能。只有在降低壓力會導向安全實體狀態時，才適合使用。較大的下游容積、較長軟管、流量控制器、止回閥、閉中心方向閥與排氣消音器，都可能使預期的壓力衰減變慢或無法發生。
安全返回是讓致動器朝向已定義位置移動，而不是單純釋放兩個腔室。返回動作本身在速度、力量、方向與最終位置上都必須安全。5/2 冗餘閥可以支援這項功能，但致動器負載、緩衝、流量控制器與機械行程仍須驗證。
如果排氣會使垂直負載下落、夾具鬆開或真空吸附的工件脫落，保持壓力可能更安全。保持功能可能需要活塞桿鎖、煞車、機械支撐、先導操作式止回配置或其他經驗證的措施。它也可能困住危險能量，因此生產安全功能與維修隔離程序必須分開考量。
對分度台或旋轉夾具，請使用專門的 ISO 13849 旋轉致動器整合指南，定義角度停止、保持扭矩與斷電時的壓力狀態。
| 預期功能 | 氣動反應 | 主要驗證關注點 |
|---|---|---|
| 安全排氣 | 阻斷供氣並降低下游壓力 | 壓力衰減時間與殘餘動作 |
| 防止意外加壓 | 讓危險區保持隔離 | 洩漏、重新啟動與單一故障行為 |
| 安全返回 | 將致動器導向已定義位置 | 返回速度、力量、停止點與負載行為 |
| 安全壓力選擇 | 只允許預期的壓力等級 | 錯誤壓力故障與受監控的閥狀態 |
| 負載保持 | 保持或以機械方式限制負載 | 漂移、困住的能量、釋放與維修可及性 |
機台防護中的安全排氣閥指南涵蓋安裝位置與壓力衰減測試。對垂直軸，也請閱讀氣缸活塞桿鎖的行為與垂直升降氣缸設計。
標準快速排氣閥可以縮短致動器的排氣路徑，但不代表具備冗餘架構或診斷功能。同樣地，先導操作式止回閥可以保持壓力，卻會產生另一種困住的能量危害。
如何在 SISTEMA 中建模閥子系統？
IFA 的 SISTEMA 工具會將指定架構與 PLr、類別、MTTFd、DCavg 及 CCF 輸入一併用來評估達成的 PL（IFA，取用於 2026）。冗餘閥應放在輸出子系統中，不能用來取代完整的安全功能模型。
先建立安全功能，再將它分成輸入、邏輯與輸出子系統。閥輸出子系統必須符合實際迴路與監控方式。如果整合式雙閥具有經認證的子系統數值與 SISTEMA 函式庫，只有在製造商所述的操作與整合條件下，才能使用確切的製造商資料。
對由分立閥元件構成的設計，應收集評估每個通道與診斷措施所需的資料：
- 確切閥料號與安全功能
- 該型號供應的 B10d、MTTFd、PFHd 或經認證子系統資料
- 年度操作次數與安全功能需求型態
- 任務時間與維護限制
- 允許的壓力、溫度、空氣品質、切換速率與排氣配件
- 可偵測的危險故障與被納入計算的診斷覆蓋率
- 多通道設計的 CCF 措施
- 控制器定時、測試脈衝、差異限制與重置反應
不要從相似的閥系列複製 B10d 數值。不同的密封件、滑閥、先導級、感測器、操作壓力或測試頻率，都可能使假設的可靠度資料失效。同樣地，不能因為迴路包含兩個感測器，就逕自採用 99% DC 數值；診斷邏輯必須實作製造商規定的檢查。
SISTEMA 能驗證已建模的控制架構，卻無法偵測反接配管、堵塞排氣、未建模的止回閥、錯誤的感測器位置、重力危害，或與文件版本不同的軟體。這些問題屬於設計審查與驗證範圍。
如需包含 B10d 到 MTTFd 換算的完整計算流程，請使用完整 ISO 13849 氣動迴路指南。任何通用網站計算器都不能取代 SISTEMA 或文件化的安全評估。
冗餘閥輸出級的驗證測試
ISO 13849-2:2012 要求透過分析與測試，驗證指定的安全功能、達成的類別與達成的 PL（ISO，2012）。截至 2026 年 7 月，該版本仍為已發布版本，其替代版本仍在制定中，因此安裝完成的閥子系統需要可追溯的測試證據，而不只是目錄審查。
在測試前先寫好驗收標準。定義需求訊號、安全壓力閾值、允許動作、時間限制、致動器負載、供氣範圍、重置行為與重新啟動條件。接著在會產生最嚴苛反應的機台配置下，測試正常功能與可信的故障。
| 測試 | 要記錄的證據 | 要捕捉的不安全結果 |
|---|---|---|
| 提出安全功能需求 | 輸入、邏輯輸出、兩個閥回授、壓力與動作的同一時間基準 | 安全反應延遲或不完整 |
| 阻止元件 A 移動 | 元件 B 狀態、壓力路徑、診斷警報與重新啟動抑制 | 單一故障擊穿安全功能 |
| 阻止元件 B 移動 | 將通道對調後重複相同證據 | 未涵蓋的不對稱故障 |
| 將一個回授訊號固定為開或關 | 控制器差異反應與重置行為 | 感測器故障被接受為有效狀態 |
| 將核准的排氣路徑限制到可信的極限 | 下游壓力與危險動作 | 堵塞或劣化的排氣破壞時序 |
| 測試供氣與電力恢復 | 閥狀態、軟啟動行為與機台動作 | 危險的自動重新啟動 |
| 測試最差致動器位置與負載 | 壓力、行程、停止點與保持行為 | 安全狀態只在輕負載下成立 |
應在真正重要的容積處量測壓力。閥旁的壓力表可能顯示低壓，但氣缸腔室仍可能被止回閥困住。當動作是危害時，除了壓力，也要記錄實際軸位置或速度。
重置需要單獨測試。重置可以清除安全狀態，但不應自行啟動危險動作。通道差異被偵測後，系統應持續抑制動作，直到完成文件化的故障清除與重置條件。
不存在只依 PL 的通用每日、每月或每年測試週期。檢查與功能測試週期必須依產品說明、風險評估、診斷概念、使用頻率、環境、維護歷史與適用的機械專用標準決定。
供應商應提供哪些證據？
ROSS 公布其 RSe 在一個文件化配置下的 B10d 為 2,000 萬次循環、PFHd 為每小時 7.71 x 10^-9，以及最大 250 ms 的差異時間（ROSS RSe 文件，取用於 2026）。這些數值展示工程師需要的細節程度，不是通用的冗餘閥數值。
應針對確切訂購配置索取證據，包括線圈電壓、本體尺寸、感測器、接頭、先導配置與重置選項。系列型錄可能包含數個認證或整合條件不同的版本。
根據我們的經驗，最有用的供應商回覆會從確切料號、證書範圍、安全手冊版本與回授真值表開始。流量與端口尺寸很重要，但不能彌補缺少故障反應或監控證據。
技術資料包應包含：
- 宣告的安全功能與適用標準
- 涵蓋確切型號的證書或評估
- 在明確整合條件下的類別與 PL 能力
- 適用時的 B10d、MTTFd、PFHd、任務時間與假設操作速率
- 氣動符號與內部功能說明
- 監控方式、訊號邏輯與差異定時
- 允許的安全繼電器或安全 PLC 介面條件
- 配線、配管、重置、測試脈衝與故障反應要求
- 壓力、溫度、空氣品質、安裝與循環限制
- 核准的排氣消音器與軟啟動配置
- 現行安全手冊、聲明、SISTEMA 函式庫與版本歷史
如果「雙通道」、「故障安全」或「已準備好 PL e」沒有連結到上述紀錄，就應拒絕這類說法。機台製造商也必須在電氣圖、氣動圖、軟體、物料清單、試運轉報告與替換程序中保留整合條件。
替換品應先比較功能，再比較尺寸。兩個端口與電壓相符的閥，可能在內部監控、感測器邏輯、重置行為、排氣能力、故障鎖定、認證或最低操作頻率上不同。外形尺寸相同的替代品可能使安全計算失效，並需要重新驗證。
在安全相關的替換需求中，整合手冊與回授真值表和端口尺寸、流量能力同樣重要。
冗餘閥系統 FAQ：工程師應驗證什麼？
ISO 13849-1:2023 使用五個 PL 區段，但以下每個 FAQ 都回到同一項規則：架構標籤與元件證書不能取代已定義的安全功能、完整的 PL 評估與安裝機台驗證（ISO，2023）。應將閥視為該鏈中的一個輸出子系統來驗證。
使用兩個閥會自動形成第 3 類嗎？
不會。第 3 類要求安全功能能承受單一故障，並符合適用的可靠度、診斷、共因與系統性要求。兩個普通閥可能共用危險故障路徑，或完全沒有有效監控。實際氣動互連與故障反應必須經過分析。
第 4 類、PL e 閥可以讓整台機台達到 PL e 嗎？
不可以。閥可以在明確條件下提供經認證或評估的輸出子系統，但輸入裝置、安全邏輯、配線、診斷、其他輸出、軟體、介面與機台實體反應也必須符合安全功能要求。安裝完成的功能仍需要確認與驗證。
冗餘閥系統是否總是應該排掉機台的全部空氣？
不應如此。風險評估會定義安全狀態與危險區。全部排氣可能使垂直負載下落、夾具鬆開或真空吸附的工件脫落。有些機台需要分區排氣、受控安全返回、保持壓力或機械限制，而不是不加區分地讓整個工廠降壓。
下游壓力回授足以監控兩個閥元件嗎？
不一定。壓力回授可以確認某個容積已跨過閾值，但可能無法識別是哪一個閥元件故障，也不能證明其位置。類別與 DC 的宣稱必須遵循產品故障分析與監控說明。有些設計需要每個元件各自的獨立位置回授。
冗餘閥安全功能應多久測試一次？
不存在只依 PL d 或 PL e 決定的通用週期。應使用閥門安全手冊、診斷設計、風險評估、操作頻率、污染暴露、維護歷史與適用的機械標準。將假設的測試或操作頻率納入可靠度評估與驗證計畫。
來源與技術參考
本指南取材自 2026 年 7 月 22 日取用的 11 個主要來源：5 個 ISO 或 IFA 參考資料與 6 份製造商文件。產品數值仍附帶於確切型號與整合條件；ISO 來源則規範系統層級的設計與驗證說明。本文未使用客戶軼聞、市場價格主張或通用節省百分比。
- 國際標準化組織。ISO 12100:2010，機械安全、風險評估與風險降低。2022 年確認。取用於 2026-07-22。
- 國際標準化組織。ISO 13849-1:2023，控制系統安全相關零組件，第 1 部分。取用於 2026-07-22。
- 國際標準化組織。ISO 13849-2:2012，驗證。取用於 2026-07-22。
- 國際標準化組織。ISO/DIS 13849-2，制定中的修訂草案。取用於 2026-07-22。
- 國際標準化組織。ISO 4414:2010，氣動流體動力安全要求。2021 年確認。取用於 2026-07-22。
- 德國社會事故保險職業安全與健康研究所。ISO 13849-1 的 SISTEMA 軟體。取用於 2026-07-22。
- 德國社會事故保險職業安全與健康研究所。IFA 報告 2/2017e，機械控制的功能安全。取用於 2026-07-22。
- Parker Hannifin。P33 安全排氣閥技術型錄。2024 年 11 月。取用於 2026-07-22。
- Parker Hannifin。P33 安全排氣閥整合指南。取用於 2026-07-22。
- ROSS Controls。Series 1286 具內部監控 DMC 雙閥的安全進氣組件。取用於 2026-07-22。
- ROSS Controls。RSe 外部監控冗餘雙閥。取用於 2026-07-22。