在机械安全领域哪些风险还是可以接受的，哪些错误可能是致命的，从标准的角度来看，在什么条件下允许让出现安全关键错误的自动化系统在有限的时间内继续运行？

这些问题代表了一种新的安全方法。因此，功能安全控制系统不应再简单地在出现故障时关闭。相反，他们及时报告情况——并在“从安全的角度来看是合理的时间”内保持运行。

在机械安全方面，容错意味着什么？

容错性是指技术系统能够保持其功能，即使是在故障状态和故障损害功能的情况下。容错系统不仅需要故障检测，还需要合格的故障评估。因此，可以决定检测到的故障是可以容忍的，还是严重到不可避免的立即停止（关闭）。

容错可提高系统的可用性

在当前实施的“传统工厂自动化系统”中，这种类型的故障评估并不常见。但是，没有故障评估就不可能容错。很明显，分级故障反应的决策只能在具有合适设计的设备或系统上进行。容错设备或系统的开发人员和用户还必须定义持续运行（在降级状态下）的时间长度Δtdeg。如有必要，还必须指定其他风险减少措施，然后将这些措施纳入使用信息。这可以用来结束处理步骤，并给出一个实际的例子。

机械指令 – 降级操作是否符合标准？

在机械工程领域，功能安全控制系统有助于涵盖符合机械指令（2006/42/EC）的健康和安全保护要求。这里的出发点是基于EN ISO 12100的风险分析和风险估计。该标准描述了基本危险，并帮助设计工程师识别相关的重大危险，这些危险通过降低风险措施降低到可接受的剩余风险。

符合EN ISO 13849-1和/或IEC 62061的保护措施

如果使用控制保护措施，制造商将按照EN ISO 13849-1和/或IEC 62061来设计这些措施。技术文档将包含构建这些措施的指南，这些措施与安全相关的可靠性和预期用途。

功能安全的安全状态

当今的功能安全控制系统的设计目的是使其安全状态成为断电状态。 换言之：所有危险运动都将停止。这是所有设备和机器的正确选择，在这些设备和机器上，安全的状态是断电，因此是停机。

但是，在Industrie 4.0的背景下，越来越多的设备和机械需要或被要求提高可用性。此外，“硬停”可能会导致进一步的危险，风险分析中需要考虑这些危险。因此，发生故障时，教条式地移除电源已经不应再是唯一的应对措施。

ZVEI白皮书 – 机械安全中的容错概念

ZVEI（德国电气和电子制造商协会）内部的一个工作组与Pilz和IFA（职业安全与健康研究所）合作，编制了一份白皮书，阐述了设备和机械功能安全中容错设备和系统的基本原理。它们旨在证明，在与安全有关的传感器和动力驱动中实施安全子功能下降的临时操作是符合机械指令的保护目标的，并且不违反协调标准EN ISO 13849或EN 62061。

按照标准，在降级状态下运行会打破在发生故障时立即断电的教条主义。这提高了工厂和机械的安全性和可用性：

l  减少了篡改的诱因

l  不会在不适当的时候关闭造成任何损坏

l  提高生产力

l  基于事件的维护，没有停机

ZVEI的TASi工作组呼吁用户和制造商在机械上实现这些好处，因此使其为运营商带来利润。

该白皮书主要针对机器制造商和系统集成商，他们为机器控制器设计和实施安全功能和子系统。这些信息也可以应用于产品开发中安全相关设备和系统的设计。该白皮书可从ZVEI网站免费下载