9.4.1  一般要求
电气设备中的失效或骚扰会引起危险情况或损坏机械和加工件时，应采取适当措施以减少这些失效或骚扰出现的可能性。所需的措施及其实现，无论是单独或结合使用，均依赖于有关应用的风险评价 等级(见4.1),
电气控制电路应有适当的安全性能水平，这由机械的风险评价确定。GB/T 16855.1,GB/T 16855.2 和IEC 62061的要求适用。
减少这些风险的措施包括但不限于：
—机械上的保护器件(如联锁防护装置，脱扣器件);
 电路的保护联锁；
——采用成熟的电路技术和元件(见9.4.2.1);
  提供部分或完整的冗余技术(见9.4.2.2)或相异技术(见9.4.2.3);
  提供功能试验(见9.4.2.4).
存贮器记忆例如由电池供电保持的场合，应采取措施防止由于电池失效或摘除而引起危险情况。
应提供措施(如使用按键、通路编码或工具)防止未经授权或意外修改存储器的内容，
9.4.2  失效情况下减低风险的措施
9.4.2.1  采用成熟的电路技术和元件
这些措施包括但不限于：
  工作目的的控制电路接地(见9.4.3.1和图2);
  按照9.4.3.1连接控制器件；
 用断电的方式停机(见9.2.2);
  切断被控制器件的所有通电导线(见9.4.3.1);
——使用强制(或直接)断开操作的开关电器(见GB 14048.5—2008);
—— 电路设计上要减少意外操作引起的失效的可能性。
9.4.2.2  部分或完整采用冗余技术
通过提供部分或完整的冗余技术可能使电路中单一失效引起危险的可能性减至最小。正常操作中冗 余技术可能是有效的(在线冗余),或设计成专用电路，仅在操作功能失效时去接替保护功能(离线冗余)。
在正常工作期间离线冗余技术不起作用的场合，应采取措施确保这些控制电路在需要时可供使用，
9.4.2.3  采用相异技术
采用有不同操作原理或不同类型元件或器件的控制电路，可以减少故障和失效可能引起的危险。 例如：
—— 由联锁防护装置控制的常开和常闭触点的组合；
  电路中不同类型控制电路元件的运用；
  在冗余结构中机电和电子电路的组合。
电和非电(如机械、液压、气压)系统的结合可以执行冗余功能和提供相异技术。
9.4.2.4  功能试验的规定
功能试验可用控制系统自动进行，也可在起动和按预定间隔手动检查或试验，或以适当方式组合 (见17.2和18.6)。
9.4.3  接地故障和电压中断及电路连续性损失引起误操作的防护
9.4.3.1  接地故障
控制电路的接地故障不应引起意外的起动、潜在的危险运转或妨碍机械的停止。 满足这些要求可采用但不限于下列的方法：
方法a)由控制变压器供电的控制电路：
1) 控制电路电源接地的情况，在电源点，共用导体连接到保护联结回路。所有预期要操作电磁或 其他器件(如继电器、指示灯)的触点、固态元件等插入控制电路电源有开关的导线一边与线圈 或器件的端子之间。线圈或器件的其他端子(最好是同标记端)直接连接控制电路电源且没有任何开关要素的共用导体(见图3)。
例外：保护器件的触点可以接在共用导线和线圈之间，以达到：
—在接地故障事件中，自动切断电路，或
——连接非常短(如在同一 电柜中)以致不大可能有接地故障(如过载继电器)。
2)  控制电路由控制变压器供电且不连接保护联结回路，接线如图3所示，并配备有在接地故障中 自动切断电路的器件(也见7.2.4)。
方法b)控制电路由控制变压器供电，变压器带中心抽头绕组，中心抽头连接保护接地回路，接线如 图4所示，图中所有控制电路电源导线中，有包含开关元素的过电流保护器件。
注1:对有中心抽头的接地控制电路， 一个接地故障会在继电器线圈上留下50%的电压。在这种情况下，继电器会 保持，导致不能停机。
注2:线圈或器件可在一边或两边接通(或断开)。
方法c)控制电路不经控制变压器供电而是下列的一种：
1)  直接连接到已接地电源的相导体之间，或；
2)  直接连接到相导体之间或连接到不接地或高阻抗接地的电源相导体和中性导体之间。
在意外起动或停止失效事件中，或在c)2)的情况中，可能引起危险情况或损坏机械的那些机械功 能的起动或停止，应使用切换所有带电体的多极开关，在接地故障事件中应提供自动切断电路的器件。
9.4.3.2  电压中断
应采用7.5中详述的要求。
如果采用存储器， 一旦电源发生故障应确保正常功能(例如用非易失性存储器),否则记忆消失会发 生危险情况。
9.4.3.3  电路连续性损失
如果有关安全的控制电路连续性损失取决于滑动触头时，就可能引起危险情况，此时应采取适当措 施(如采用双重滑动触头)。