安全控制系统设计的迭代流程中，第一步就是要确定设备的安全功能，一台设备中可以有多个安全功能被用来降低风险。
什么是安全功能？
安全功能（SF：Safety Function）是指其失效后会立即造成风险增加的机器功能。它是一种通过采取措施（包括控制技术措施）将特定危险所造成的风险降低到可接受水平的功能。
以一台码垛设备为例，常用的安全功能有安全门联锁开关功能、安全光幕功能。再以一台AGV为例，常用的安全功能有安全扫描仪、安全速度监控。因此，不同的设备类型，其安全功能可能会不同。确定设备的安全功能可以参考相关设备的C类标准，也可以基于风险评估和工程实践。
安全功能与相关标准
在确定由安全控制系统执行的安全功能之后，则需要规定每种安全功能所要求的特征。表1中罗列了部分经常应用的安全功能所对应的参考标准。
典型机器安全功能及其某些特征的标准
在规定安全功能特征的过程中，往往要制定安全需求规范，需要考虑的因素包括但不限于以下的几点：
1、安全功能预定实现或防止的机器动作
2、安全功能的操作频率
3、操作特征，含操作模式、响应时间等
以数控机床的为例，其需求规范就是在正常操作模式下，每十五分钟打开一次安全门。当打开安全门触发安全联锁功能时，控制主轴和进给轴的伺服的STO（Safe Torque Off）需要被切断。
两种方法，轻松确定性能等级
在规定安全功能之后，需要进行所需性能等级的确定，这是影响安全控制系统设计的重要环节之一。
什么是性能等级？
性能等级（PL: Performance Level）是用于规定安全控制系统在预期条件下执行安全功能的离散等级。如表2所列，性能等级分为5级，从最低PL=a到最高PL=e，各自对应一个明确的每小时危险失效概率范围。
性能等级（PL）
方法1：参考C类标准
在C类标准中，通常会给出执行安全功能的安全控制系统的所需性能等级。如机器人集成，参考GB 11291.2/EN ISO 10218-2，安全控制系统的所需性能等级要求为PLd。一个机器人工作站中的安全门联锁功能，通常由安全联锁开关、安全控制器以及机器人安全使能构成的安全控制系统（或称为控制系统安全相关部件）来执行，该系统需要达到性能等级PLd。
方法2：参考GB/T 16855.1的附录A
如果没有C类标准可参考，则建议通过GB/T 16855.1 中的附录A确定所需性能等级。如图1所示，宜根据三个风险参数S、F、P确定所需性能等级。以一台简单的手动上下料的装配设备为例，通常可以选择S1、F2、P2作为风险参数。参考图1，针对执行安全光幕这个安全功能的安全控制系统，确定其所需性能等级要求为PLr=c。
用于确定安全功能PLr的风险图
风险参数：
S ——伤害的严重度；
S1——轻微（通常是可恢复的伤害）；
S2——严重（通常是不可恢复的伤害或死亡）；
F ——暴露于危险的频率和/或持续时间；
F1——很少-不常和/或暴露时间短；
F2——频繁-连续和/或暴露时间长；
P ——避免危险或限制伤害的可能性；
P1——在特定条件下可能；
P2——几乎不可能。
需要注意，这是一个常规方法，假定了在最坏情况下发生危险事件的可能性。这种方法的估计结果可能会不同于C类标准的要求。在有适用C类标准的情况下，PLr以C类标准中的要求为准。
在了解了安全控制系统设计的迭代流程以及安全功能、性能等级这些基础知识之后，就可以进行具体的安全控制系统的设计了。
