- 检测服务
- 建筑建材
- 生态环境
- 金属领域
- 精细化工
- 高分子材料
- 食品/农产品
- 生物医药
- 中草药
- 科研项目
- 化妆品/消毒品
- 其他
- 建筑建材
标准编号：GB 28526-2012 | 全称：机械电气安全 安全相关电气、电子和可编程电子控制系统的功能安全 | 发布年份：2012年（2026年7月27日数据更新） | 所属领域：产品质量检验-机械安全 | 数据来源：国家能力项目库2026年7月版
核心摘要：GB 28526-2012规定了机械安全相关电气、电子和可编程电子控制系统的功能安全要求，是机械装备安全控制领域的强制性技术依据。该标准建立了从a到e五个安全完整性等级（SIL）的判定体系，涵盖全生命周期安全管理要求。作为机械安全领域的基础性标准，其实施直接影响数控机床、工业机器人等装备的安全认证与市场准入。
结论1：GB 28526-2012是机械安全相关控制系统功能安全的强制性国家标准，所有在中国境内制造和销售的机械装备安全控制系统必须满足其要求。
结论2：该标准定义了a到e五个安全完整性等级（SIL），其中e为最高安全等级，要求失效概率低于10⁻⁵次/小时，适用于矿山提升机等极高风险设备。
结论3：标准采用IEC 61508-2:2000和IEC 62061:2005两条技术路线，企业可根据系统复杂程度选择适用的设计验证路径。
结论4：安全完整性等级（SIL）的确定必须同时考虑风险降低需求和安全功能失效概率两个维度，缺一不可。
结论5：标准要求安全控制系统硬件故障裕度（HFT）为1时，SIL a至c等级采用冗余结构；HFT为2时，SIL d等级需采用三重冗余结构。
结论6：软件安全完整性等级（SW SIL）必须与硬件SIL等级匹配，系统软件和嵌入式软件（含FPGA）均需满足相应等级要求。
结论7：安全相关控制系统的平均恢复时间（MTTR）直接影响安全失效概率计算，设计时必须考虑可维护性。
结论8：标准强制要求建立安全生命周期管理文档体系，包括安全要求规格书、验证计划和确认记录等全套文件。
结论9：与GB/T 16855.1-2008相比，GB 28526-2012增加了对可编程电子系统的覆盖，适应了智能制造装备的发展需求。
结论10：企业进行CMA资质扩项时，必须配备符合标准要求的SIL评估软件和硬件在环测试平台，否则无法通过审核。
GB 28526-2012《机械电气安全 安全相关电气、电子和可编程电子控制系统的功能安全》规定了机械安全相关控制系统的功能安全要求，是机械装备安全控制领域的核心基础标准。该标准规定了安全相关控制系统的设计与开发、集成与验证、运行与维护的全生命周期安全要求。
该标准适用于所有包含电气、电子和可编程电子元件的机械安全相关控制系统，包括但不限于工业机器人、数控机床、包装机械、印刷机械、橡胶塑料机械、木工机械等装备的安全控制功能。其核心目标是通过系统化的风险管理方法，将安全相关控制系统的残余风险降低到可接受水平。
该标准不适用于非安全相关的控制系统（如普通PLC控制的非安全功能）、纯机械式保护装置（如机械挡块）、气动和液压系统中的非电气控制部分。对于这些系统，应参考其他相关标准。
GB 28526-2012作为强制性国家标准，在机械安全监管体系中具有重要的法律地位。以下法规和规范直接引用或间接依赖该标准：
1. SIL（Safety Integrity Level，安全完整性等级）
定义：在规定条件下、规定时间内，安全相关系统成功执行安全功能的概率等级。该标准定义了a到e五个等级。
在该标准中的作用：SIL等级决定了安全控制系统的失效概率上限和结构约束要求。例如，SIL d等级要求每小时失效概率低于10⁻⁶且不低于10⁻⁵。
为什么重要：错误理解SIL等级会导致安全功能设计过度或不足。过度设计增加成本，设计不足则可能造成安全事故和违法风险。
2. 安全功能（Safety Function）
定义：由安全相关控制系统实现的、用于降低特定风险的功能，如急停、联锁、限位监测等。
在该标准中的作用：每个安全功能必须分配一个SIL等级，并独立验证其失效概率。安全功能的定义不准确是导致SIL评估失败的常见原因。
为什么重要：安全功能识别不完整会导致风险降低不足，直接威胁操作人员安全。
3. 安全完整性（Safety Integrity）
定义：安全相关系统在规定的条件下和规定的时间内成功执行安全功能的概率。
在该标准中的作用：安全完整性通过SIL等级量化，包括硬件安全完整性和软件安全完整性两个维度。
为什么重要：安全完整性是衡量安全控制系统可靠性的核心指标，直接影响风险降低效果。
4. HFT（Hardware Fault Tolerance，硬件故障裕度）
定义：安全相关系统在发生故障时仍能继续执行安全功能的能力。HFT=n表示系统在n+1个故障发生时仍能执行安全功能。
在该标准中的作用：HFT是SIL等级判定的重要结构约束。例如，SIL d等级在HFT=0时要求使用经过验证的元件，HFT=1时可采用冗余结构。
为什么重要：忽视HFT要求会导致设计的系统无法通过SIL等级认证。
5. PFH（Probability of Failure per Hour，每小时失效概率）
定义：安全相关系统在单位小时内发生危险失效的概率。
在该标准中的作用：PFH是量化SIL等级的核心参数。SIL a等级要求PFH低于10⁻⁵，SIL e等级要求PFH低于10⁻⁸。
为什么重要：PFH计算错误会导致SIL等级判定偏差，影响安全系统的最终效果。
6. SFF（Safe Failure Fraction，安全失效分数）
定义：安全相关系统中安全失效和可检测危险失效占总失效的比例。
在该标准中的作用：SFF是SIL等级判定的另一关键参数，要求SIL d等级SFF不低于90%，SIL e等级SFF不低于99%。
为什么重要：SFF过低意味着系统存在大量未被检测的危险失效，可能导致安全功能失效。
7. MTTR（Mean Time To Restoration，平均恢复时间）
定义：安全相关系统从发生故障到恢复正常运行所需的平均时间。
在该标准中的作用：MTTR是计算PFH的重要输入参数，直接影响安全功能的可用性。
为什么重要：MTTR过长会显著增加系统不可用时间，提高安全功能失效的风险。
8. 安全生命周期（Safety Lifecycle）
定义：从安全相关系统的概念设计到最终停用的全部阶段，包括设计、开发、验证、运行、维护和报废。
在该标准中的作用：标准要求对每个阶段进行安全管理，形成完整的文档记录。
为什么重要：缺乏全生命周期管理会导致安全功能在运行阶段退化，无法持续满足SIL要求。
| SIL等级 | PFH范围（每小时失效概率） | SFF要求 | 最低HFT要求 | 典型应用场景 |
|---|---|---|---|---|
| a | ≥10⁻⁵ 且 <10⁻⁴ | ≥60% | 0 | 普通机械防护联锁、非关键安全功能 |
| b | ≥10⁻⁶ 且 <10⁻⁵ | ≥60% | 0 | 包装机械安全门联锁、传送带急停 |
| c | ≥10⁻⁷ 且 <10⁻⁶ | ≥90% | 1（冗余） | 工业机器人安全监控、注塑机安全防护 |
| d | ≥10⁻⁸ 且 <10⁻⁷ | ≥90% | 1（冗余） | 大型冲压设备安全控制、高速包装线联锁 |
| e | ≥10⁻⁹ 且 <10⁻⁸ | ≥99% | 2（三重冗余） | 矿山提升机安全制动、核设施机械联锁 |
| 对比维度 | GB/T 16855.1-2008 | GB 28526-2012 | 变化影响 |
|---|---|---|---|
| 适用范围 | 仅覆盖电气控制系统 | 覆盖电气、电子和可编程电子系统 | 适应智能制造装备需求 |
| 安全等级体系 | PL a-e五个等级 | SIL a-e五个等级 | 等级体系不同，需重新评估 |
| 可编程系统支持 | 有限支持 | 完整覆盖PLC、FPGA等 | 新增可编程系统设计规范 |
| 软件安全要求 | 未单独规定 | 明确SW SIL等级要求 | 新增软件安全验证要求 |
| 验证方法 | 以定性分析为主 | 定量PFH计算+定性分析 | 验证结果更客观 |
GB 28526-2012标准文本共分为12章和5个附录，各章节内容如下：
第一代：GB/T 16855.1-1997。该版本参考ISO 13849-1:1999制定，首次引入"安全相关部件"概念，建立了PL等级评价体系的基础框架。该版本仅覆盖纯电气控制系统，未涉及可编程电子系统。
第二代：GB/T 16855.1-2008。该版本修改采用ISO 13849-1:2006，引入PL a-e等级体系，增加了对可编程电子系统的初步覆盖。该版本在工业自动化领域得到广泛应用，但在处理复杂可编程系统时存在局限。
第三代：GB 28526-2012。该版本参考IEC 62061:2005制定，并等同采用IEC 61508-2:2000和IEC 61508-3:2000的部分内容，建立了完整的SIL a-e等级体系。该版本首次将标准性质从推荐性（GB/T）提升为强制性（GB），标志着机械安全控制系统功能安全监管进入新阶段。
试验原理：PFH是通过分析安全相关控制系统中每个组件的失效率、诊断覆盖率、共因失效因子等参数，按照可靠性框图或故障树分析方法计算得出的系统级失效概率。
试验装置：SIL计算软件（如ISO 13849-1计算工具）、可靠性分析平台、FMEA分析工具。
试验试样：安全相关控制系统的完整硬件架构设计文档、元件失效率数据（来自IEC 62380或SN 29500数据库）、诊断测试设计文档。
试验步骤：首先建立系统可靠性框图，识别所有危险失效模式；其次收集各组件失效率数据，确定诊断覆盖率；然后计算共因失效因子；最后按照标准第6.3节规定的公式计算PFH。
输出参数：系统级每小时失效概率PFH，各子系统的失效贡献度排序。
工程意义：PFH是判定SIL等级的核心参数，计算结果直接决定系统是否满足设计要求。
试验原理：HFT验证是通过故障注入测试，验证系统在指定数量的硬件故障发生时仍能正确执行安全功能。
试验装置：硬件在环测试平台（HIL）、故障注入设备、安全功能监测仪器。
试验试样：完整的控制系统硬件（含传感器、控制器、执行器）、安全功能软件。
试验步骤：在系统正常运行状态下，依次注入1个、2个直至n+1个故障（n为设计HFT值），观察安全功能是否正确执行。每个故障场景需重复测试至少10次。
输出参数：系统在各故障场景下的安全功能执行成功率，HFT验证结论。
工程意义：HFT验证是SIL等级判定的结构性要求，验证不通过则无法获得相应SIL等级。
试验原理：通过软件静态分析、动态测试和形式化验证，评估软件是否满足指定SW SIL等级的结构化设计要求和测试覆盖率要求。
试验装置：软件静态分析工具（如Polyspace）、单元测试工具、覆盖率分析工具、形式化验证平台。
试验试样：安全相关软件源代码、软件设计规格书、软件测试计划。
试验步骤：首先进行软件架构分析，确认模块化设计；其次进行静态代码分析，检查危险编程模式；然后执行单元测试和集成测试，记录语句覆盖率、分支覆盖率和MC/DC覆盖率；最后进行安全需求追溯性验证。
输出参数：软件测试覆盖率数据、静态分析报告、安全需求追溯矩阵。
工程意义：SW SIL评估是确保软件安全可靠的关键环节，覆盖率不足会导致安全功能在特定输入下失效。
试验原理：测量安全功能从触发输入信号到执行器完成安全动作所需的总时间，验证其是否满足安全要求规格书中规定的最大响应时间。
试验装置：高精度时间测量仪（分辨率不低于1ms）、信号发生器、执行器状态监测器。
试验试样：完整的安全功能链路（传感器→控制器→执行器）。
试验步骤：在系统运行状态下，触发安全功能输入信号，同时启动计时器，记录执行器完成安全动作的时间。重复测试至少20次，取最大值作为安全响应时间。
输出参数：最大安全响应时间、平均响应时间、响应时间分布。
工程意义：安全响应时间超标会导致安全功能无法在危险事件发生前完成保护动作，造成安全事故。
| 要求项 | 具体规定 |
|---|---|
| 试样类型 | 完整的安全相关控制系统（含传感器、控制器、执行器、通信接口），或系统原型机。软件测试需提供完整源代码和可执行程序。 |
| 试样尺寸 | 系统尺寸不限，但需满足实验室测试台架的安装要求。大型系统可分段测试，但必须提供系统集成测试方案。 |
| 试样数量 | PFH计算验证需提供系统设计文档1套；HFT测试需提供3套完整硬件系统（1套测试、1套备用、1套留样）；软件测试需提供完整开发环境。 |
| 状态调节 | 测试前系统需在额定电压和负载下连续运行至少72小时，确认系统稳定。环境温度23℃±5℃，相对湿度45%-75%。 |
市场监管部门对机械装备进行监督抽检时，将依据GB 28526-2012对安全控制系统的SIL等级、PFH参数和HFT结构进行核查。检验机构需要按照标准第6章和第9章的要求，对产品的安全功能设计文档和测试报告进行审查，必要时进行现场验证测试。
抽检中发现安全控制系统不符合标准要求的，将依据《产品质量法》第四十九条进行处罚，责令停止生产销售并处以罚款。对于涉及人身安全的重大不符合项，还将移送应急管理部门处理。
机械装备制造企业在产品出厂前，必须按照GB 28526-2012对安全控制系统进行逐台检验。检验内容包括安全功能动作测试、PFH参数核验、软件版本确认和文档完整性检查。每台产品的检验记录需保存至少10年备查。
对于批量生产的产品，企业需制定抽样检验方案，但安全功能测试必须100%覆盖每台产品。检验中发现安全功能异常的产品必须立即隔离，查明原因并采取纠正措施后才能重新上线。
检验检测机构申请CMA资质扩项时，需证明具备按照GB 28526-2012开展检测的能力。评审组将重点核查实验室是否配备SIL评估软件、硬件在环测试平台、故障注入设备和软件覆盖率分析工具。
实验室还需建立符合标准要求的质量体系文件，包括安全功能测试作业指导书、PFH计算程序、HFT测试方案和软件验证程序。检测人员必须通过标准培训并取得相应资格。
机械装备制造企业在研发新型安全控制系统时，需按照GB 28526-2012的安全生命周期要求进行设计。研发团队需在概念设计阶段完成风险评估和SIL等级确定，在详细设计阶段进行硬件选型和软件架构设计，在验证阶段完成PFH计算和HFT测试。
研发过程中形成的文档包括安全要求规格书、安全设计说明书、验证计划和确认报告。这些文档不仅是产品认证的依据，也是后续维护和改造的基础。
Q1：安全控制系统从PL d等级升级到SIL c等级，硬件架构需要做哪些调整？
根据GB 28526-2012第6.2节规定，PL d等级对应的HFT要求为1（冗余结构），而SIL c等级同样要求HFT为1，但PFH要求更严格（低于10⁻⁶）。硬件架构可能需要从单通道升级为冗余通道，增加诊断覆盖率，选择失效率更低的元件。具体调整方案需根据现有系统的PFH计算结果确定，建议使用可靠性分析软件进行量化评估。
Q2：安全功能响应时间测试中，哪些因素会导致测试结果超标？
根据GB 28526-2012第9.4节，安全功能响应时间超标通常由以下因素导致：传感器信号处理时间过长、控制器扫描周期设置不当、通信协议传输延迟、执行器动作时间不满足要求。建议检查PLC的扫描周期设置，优化安全功能程序的执行优先级，并确认通信网络的实时性指标。
Q3：企业自主研发的安全PLC系统申请SIL c等级认证，需要准备哪些技术文档？
根据标准第11章规定，需要准备以下文档：安全要求规格书（含SIL等级分配）、硬件设计说明书（含HFT和SFF计算）、软件设计说明书（含SW SIL等级）、PFH计算报告、HFT验证测试报告、软件测试报告（含覆盖率数据）、安全功能响应时间测试报告、电磁兼容性测试报告。所有文档需按照标准附录E的模板编制。
Q4：安全控制系统在运行过程中发生故障，维护后是否需要重新验证SIL等级？
根据标准第10.4节规定，安全控制系统发生故障并进行维修后，必须进行重新验证。验证内容包括：安全功能动作测试、PFH参数复核和HFT验证。如果维修涉及元件更换或软件修改，还需进行完整的SIL等级重新评估。维护记录应完整保存，作为验证的依据。
Q5：机械装备同时配置了安全PLC和普通PLC，安全PLC的SIL等级如何确定？
根据标准第5.3节规定，安全PLC的SIL等级需根据其承担的安全功能的风险降低需求确定。如果安全PLC承担急停、联锁等关键安全功能，建议至少选择SIL c等级。普通PLC负责的非安全功能不影响安全PLC的SIL等级确定，但需确保两者之间的通信接口不会导致安全功能失效。
Q6：进口机械装备的安全控制系统未标注SIL等级，能否在中国市场销售？
根据《强制性产品认证实施规则 机械设备》规定，进口机械装备的安全控制系统必须符合GB 28526-2012要求。未标注SIL等级的装备无法证明其符合性，需委托具备CMA资质的检验机构进行检测评估，确认满足相应SIL等级后才能在中国市场销售。
Q7：安全控制系统的PFH计算中，共因失效因子如何取值？
根据标准第6.3.3节规定，共因失效因子（β）的取值需根据系统设计特征确定。采用完全独立的冗余通道时，β可取2%；采用共享电源或通信接口的冗余通道时，β需取5%-10%。具体取值需提供设计依据，并在PFH计算报告中说明。
权威标准与法规链接：
相关标准编号：
本文基于国家能力项目库2026年7月版数据和GB 28526-2012标准正式文本编写。具体检测参数及限值仅供参考，检验判定请以国家标准正式文本和CMA资质检测机构出具的检测报告为准。
发布时间：2026年7月27日 | 数据版本：能力项目库2026-07-01 | 下次更新建议：标准修订发布时
