安全 PLC 与功能安全国产替代：SIL3 国产化率不足 20%，卡点到底在哪

结论先行

国产安全控制器已经能用，但要看用在哪个等级上。 2026 年的真实局面是分层的：

层级	国产现状	能不能用
SIL2 及以下（食品机械、包装、电梯、一般单机）	市占率约 31.6%，成本低 35—40%、交付快 50%	可以，且性价比明显
SIL3（化工 SIS、大型冲压、机器人协同工位）	国产化率 不足 20%	慎换，需逐项核算

三个真实卡点，按重要性排：

1. 软件工具链认证——SIL3 要求硬件架构、软件工具链、全生命周期文档三项齐备，国产目前的关键缺口在软件工具链这一环；
2. 安全协议生态——PROFIsafe、CIP Safety 等主流安全总线需签技术授权，国产厂商接入成本较高；
3. 人才——全国持证功能安全工程师数量有限，能主导 SIL3 全生命周期项目的更少。

一句话：选型的落点是”你的回路风险评估落在哪个 SIL 等级”，不是”国产还是进口”。

先看清楚：差距不在芯片

把”国产不行”简单归因于芯片，是错的。按公开数据拆开看：

环节	国产化程度	说明
功能安全芯片	近年从两成出头提升到三成左右	进步最快的一层
安全继电器专用芯片	从不足一成提升到接近两成	仍在爬坡
32 位安全处理器	仍是短板	高端器件依赖进口
安全控制器整机（按出货量）	占出货量约 55—65%	数量上已经过半
安全控制器整机（按金额）	只占 40—50%	价格差 20—35%，价值量仍未过半

数量过半、金额未过半，是这件事最准确的画像：国产在中低端已经规模化，但高端溢价仍掌握在进口品牌手里。

高端（SIL3、多轴安全 PLC）环节的进口依赖度仍在 35—45% 量级。

卡点一：软件工具链的 SIL3 认证

SIL3 不是”硬件能扛住”就完了。按 IEC 61508，一个 SIL3 级的安全控制器要同时满足三项：

要求	内容	国产现状
硬件架构认证	冗余架构、诊断覆盖率、失效模式分析	已可达成
软件工具链认证	编译器、功能块库、配置工具本身要过认证	关键缺口
全生命周期文档可追溯	需求、设计、验证、变更全部留痕	流程能力在建

为什么软件工具链这么难：安全 PLC 的程序是用厂商自己的工具链生成的，工具链本身如果有缺陷，生成的所有程序都不可信。所以标准要求的不是”程序对不对”，而是”生成程序的工具是否已被认证为不会出系统性错误”。这是一项独立的、耗时很长的认证，也是目前国产厂商公开承认的关键突破点。

另外注意一项隐性成本：功能安全认证（IEC 61508 / ISO 13849）通常会给产品开发周期增加 8—14 周，这也是国产厂商迭代速度受限的原因之一。

卡点二：安全协议的生态壁垒

现场总线时代，安全信号靠硬接线；现在越来越多的产线走安全总线（PROFIsafe over PROFINET、CIP Safety 等）。变化是很快的：

• 2026 年新装项目中，约 30—40% 已采用集成安全通讯，而不是全硬接线安全回路；
• 但 PROFIsafe、CIP Safety 等主流安全协议需要与国外厂商签署技术授权，国产厂商接入成本较高；
• 开源安全协议栈（如 OPC UA Safety）商业化进程偏慢。

对用户的实际影响：如果你的产线已经全量走某一家的安全总线生态，换国产控制器要重新评估兼容性与授权成本——这笔账往往比控制器本身的差价更大。

卡点三：人，而不是设备

这是最容易被忽略、也最难短期解决的一项：

• 全国持证功能安全工程师数量有限（不足 2000 人量级）；
• 其中能主导 SIL3 全生命周期项目的不足 300 人；
• 认证培训周期长达数月，高校课程体系与实训平台仍在补。

行业正在从”采购硬件”转向”采购安全能力”——越来越多终端客户把能否提供 SIL 验证报告或配套工具列为招标硬性条款。这意味着：能交付文档的供应商，比能交付控制器的供应商更稀缺。

决策路径：你的场景能不能换国产

按回路的风险评估结论往下走，不要按品牌往下走。

可以优先评估国产的三类场景

1. 风险评估结论在 SIL2 及以下——食品机械、包装机械、电梯、一般单机设备；
2. 标准 PLC + 安全继电器就能覆盖的中小安全回路——急停、安全门、光幕，逻辑简单、点数少；
3. 交期敏感、预算有限，且不涉及第三方 SIL 验收要求的项目。

这些场景下，国产在**成本与交付（快 50%）**上的优势是实打实的。

建议保留原方案或重新核算的四类场景

1. 风险评估要求 SIL3 的回路——化工 SIS、大型冲压、机器人协同工位；
2. 需要接入特定安全总线生态的产线——先算兼容性与授权成本；
3. 海外交付或外资终端客户要求国际认证证书的项目；
4. 已有第三方验收承诺、换件需原厂确认的存量系统。

安全继电器还是安全 PLC：分水岭在哪

两者不是替代关系，是不同层级。

	安全继电器	安全 PLC
逻辑	固定逻辑，靠接线实现	可编程，支持复杂联锁
适用规模	回路少（几个急停、一两个安全门、一副光幕）	回路多、需分区停机、需安全总线
诊断	状态指示为主	详细诊断信息、可上报
成本	低	高
依赖程序	不依赖，靠硬件保证	依赖（故工具链必须认证）

分水岭是安全逻辑的复杂度与是否需要诊断，不是点数的绝对值。

实际方案常是混用：安全 PLC 做逻辑与诊断，末端仍由安全继电器或安全输出模块驱动执行元件。末端执行端一定要保留强制导向触点这一层保障——这是”逻辑正确”和”真的断开了主回路”之间的最后一道物理保证（详见 安全光幕与安全继电器怎么选）。

一个常被漏掉的验收指标：整链急停响应时间

控制器样本上的响应时间，和产线实际的急停响应时间，不是一回事。

• 传统架构下，安全信号要经 PLC 扫描 → 逻辑判断 → 发送指令 → 伺服响应 多个环节，延迟逐段叠加；
• 实测中”整链响应超标”相当常见（例如 138 ms 对 100 ms 的要求）；
• 达标做法是安全逻辑内置于伺服驱动器，或安全 PLC 与运动控制器共享时钟同步的双核同构架构。

写进技术协议的应该是”从触发急停到轴完全静止”的整链时间，而不是控制器样本上的响应时间。这一条不写清楚，验收时最容易扯皮。

功能安全项目：交付的不只是一台控制器

交付物	说明
风险评估与 HAZOP 记录	定 SIL/PL 等级的依据
安全需求规格（SRS）	每条安全功能的要求
SIL / PL 计算与验证报告	越来越多客户列为招标硬性条款
安全逻辑说明与源码	可追溯、可解释
FMEA 检查清单	失效模式分析
急停响应时间实测记录	见上文
安全功能测试操作规程	复测依据

行业趋势：具备 SIL 验证报告自动生成、远程安全诊断、备件寿命预测能力的厂商，市占率在持续上升——安全服务的毛利可达硬件的数倍，是这一行真正的第二增长曲线。对用户而言，这意味着选供应商时要看它的文档交付能力，而不只是报价。

相关产品 / 方案

• 品类：CPU · 中间继电器 · 继电器附件 · 电源类保护器件 · 小型断路器 · 工业交换机
• 大类：PLC 与运动控制 · 传感与识别 · 系统集成（控制柜成套）
• 品牌：西门子 PLC · 三菱 PLC 与伺服 · 施耐德低压 · 菲尼克斯电气 · 欧姆龙
• 延伸阅读：安全光幕和安全继电器怎么选 · 工业实时以太网为什么不走 TCP/IP · 远程 IO 总丢站的三类现场坑
• 行业方案：锂电与光伏产线电气 BOM · 生物制药装备防爆电气 BOM
• 在库规格与交期：官方商城

FAQ

SIL3 国产化率不足 20%，是不是意味着国产安全 PLC 不能用？ 不是不能用，而是场景受限。国产安全 PLC 已在食品、电梯等 SIL2 及以下场景规模化应用，市占率约 31.6%，成本低 35—40%、交付快 50%。但 SIL3 级应用要求同时满足硬件架构认证、软件工具链认证与全生命周期文档可追溯，目前国产的关键卡点在软件工具链 SIL3 认证这一环。判断标准是回路风险评估结论落在哪个 SIL 等级，而不是品牌。

国产和进口安全 PLC 的真实差距在哪，是芯片吗？ 主要不是芯片。真正稀缺的是：软件工具链的 SIL3 认证（编译器、库、配置工具本身要过认证）、安全协议生态（PROFIsafe、CIP Safety 等需签技术授权、接入成本较高）、以及人才（全国持证功能安全工程师有限，能主导 SIL3 全生命周期项目的更少）。功能安全专用芯片国产化率近年提升明显，但 32 位安全处理器仍是短板。

什么场景可以放心用国产安全 PLC？ 三类可以优先评估：一是风险评估结论在 SIL2 及以下的回路（食品机械、包装机械、电梯、一般单机设备）；二是标准 PLC 加安全继电器就能覆盖的中小安全回路；三是交期敏感、预算有限且不涉及第三方 SIL 验收要求的项目。这些场景下国产在成本与交付上的优势是实打实的。

什么场景不建议换国产？ 四类建议保留或重新核算：风险评估要求 SIL3 的回路（化工 SIS、大型冲压、机器人协同工位）；需要接入 PROFIsafe、CIP Safety 等特定安全总线生态的产线；海外交付或外资终端客户要求国际认证证书的项目；已有第三方验收承诺、换件需原厂确认的存量系统。

安全 PLC 和标准 PLC 加安全继电器，该怎么选？ 按安全回路规模与复杂度分：回路少且逻辑简单，用标准 PLC 加安全继电器更经济，安全功能由继电器硬件保证、不依赖程序；回路多、需要分区停机、需要安全总线通讯或详细诊断信息时，上安全 PLC 更合适。分水岭是安全逻辑的复杂度与是否需要诊断，而不是点数绝对值。

急停响应时间不达标，通常是什么原因？ 根因往往是安全与运动控制分离设计。传统方案里安全信号要经过 PLC 扫描、逻辑判断、发送指令、伺服响应多个环节，延迟逐段叠加。达标做法是采用安全逻辑内置于伺服驱动器，或安全 PLC 与运动控制器共享时钟同步的双核同构架构。选型时应把”从触发急停到轴完全静止”的整链时间作为验收指标写进技术协议。

上功能安全项目，交付时除了硬件还要什么？ 功能安全交付的是安全能力而非一台控制器，至少要包含：风险评估与 HAZOP 记录、安全需求规格、SIL/PL 等级计算与验证报告、安全逻辑说明与源码、FMEA 检查清单、急停响应时间实测记录、安全功能测试操作规程。越来越多终端客户把能否提供 SIL 验证报告或配套工具列为招标硬性条款。

安全继电器和安全 PLC 是什么关系，能互相替代吗？ 两者是不同层级，不是替代关系。安全继电器是固定逻辑的硬件安全部件，处理急停、安全门、光幕这类单回路，靠强制导向触点保证输出可靠；安全 PLC 是可编程安全控制器，处理多回路、分区停机、安全总线和复杂联锁。小规模用继电器、大规模用安全 PLC，也常混用：安全 PLC 做逻辑与诊断，末端仍由安全继电器或安全输出模块驱动执行元件。

---

本文功能安全等级定义参照 IEC 61508 / IEC 62061 与 ISO 13849-1；国产化率、市占率、成本与交付周期、认证周期、人才规模等为 2026 年公开行业研究报告与媒体报道的口径，不同机构统计范围与样本不同，数值存在差异。安全协议授权、工具链认证状态随厂商进展变化较快。具体项目的 SIL/PL 等级必须由具备资质的功能安全工程师依据风险评估结论确定，并以所选型号的官方认证证书与最新样本为准；本文为选型思路参考，不替代风险评估报告、安全设计文件与第三方验收结论。