我第一次接触机械功能安全是车间老师傅指着一个黄色方块告诉我这东西叫安全继电器比普通继电器贵十倍但你不能替它省钱。说实话当时我不服气一个电磁继电器而已凭什么卖这么贵后来在一次安全评审中我看到整条生产线因为一个安全回路失效被停机排查才真正意识到——安全继电器卖的从来不是铜和铁而是在故障状态下仍然能可靠执行安全功能这件事本身。从早期的安全继电器到今天的PL、SIL等级机械功能安全的演进史其实就是工业界和设备不可靠反复较量的历史。这篇文章我结合自己做过的项目把这条线完整捋一遍希望能帮你彻底看懂为什么要有安全继电器、PLC时代标准为什么要变、PL和SIL到底在衡量什么。1. 安全回路一开始靠碰运气最后靠一套能自证的方法1.1 被动防护为什么不够早期机械设备的安全措施主要就是防护罩、挡板、围栏这些东西。它的逻辑很简单把人和危险运动隔开人碰不到就不会受伤。这种思路到今天也没有过时但它有一个致命的缺陷——防护措施本身会失效。最常见的场景是这样的工人为了换料或者调整工装把防护门打开。这时候联锁开关应该把机器停下来。但如果这个开关坏了、触点粘连了、或者接线松了机器根本不知道门被打开了照样继续动作。工人以为已经停机了伸手进去事故就发生了。这种事故不是个例。我们行业里有一个共识设备故障导致的安全事故往往比人违规操作导致的事故更可怕因为操作者没有任何预警。你想象一下一台冲床的行程开关触点熔接信号回路始终闭合控制系统的判断是安全门已关好实际上门已经开了这种误导性故障放在任何工厂里都是定时炸弹。所以安全防护不能只靠一个开关而必须是一个能感知自身故障、并在故障时主动进入安全状态的系统。这就是功能安全和普通安全防护的本质区别普通防护是静态的功能安全是动态的它要求安全功能本身具备自证能力。1.2 功能安全的三个基本动作要理解机械功能安全先记住ISO 12100里那套循环危险识别 → 风险评价 → 风险降低然后不断迭代。危险识别把机械设备可能造成伤害的地方找出来比如挤压点、剪切点、运动部件、飞溅物。风险评价估计这个危险发生的可能性有多大后果有多严重。风险降低通过设计消除危险、加防护装置、再不行就上安全控制功能把残余风险压到可接受范围。在这个循环里安全相关控制功能Safety-Related Control FunctionSRCF是最后一道防线。它要做的事情很明确当危险发生时控制系统必须可靠地让设备进入安全状态。最常见的安全状态就是停止——切断动力、刹住运动、释放残余能量。问题来了控制系统凭什么保证可靠一个普通接触器一个普通PLC它们自己都会出故障出了故障之后你不一定知道。功能安全要做的事就是让整个控制回路从元件选型、电路结构、诊断机制到验证方法都为故障做好预案。安全继电器、安全PLC、PL、SIL全都是围绕这件事展开的。2. 安全继电器用机械结构保证坏了也往安全方向坏2.1 普通继电器最危险的失效模式安全继电器诞生之前急停回路里用的就是普通电磁继电器。它的结构不复杂线圈通电吸合衔铁带动触点组切换。听着可靠但用久了问题就来了。最危险的不是线圈烧断——线圈烧断之后回路断开最多是按钮按了没反应人会发现。最危险的是触点熔接。继电器带负载分断时触点之间会拉电弧电弧高温把触点表面烧熔两个触点就焊在一起了。这时候控制回路明明发出断开指令触点却死死粘着电流还在走。你可以把触点熔接理解成家里灯的开关你按了关但灯还是亮的。按一次不亮还能勉强用但在安全回路上这种故障意味着设备根本停不下来。更麻烦的是操作者完全无法从面板上看出触点已经熔接了——这就是典型的危险失效dangerous failure。2.2 强制导向触点如何破解熔接安全继电器解决这个问题的方法很朴素但非常有效把多组触点机械连接在一起保证它们只能同步动作不能独走。这就是强制导向触点positive-guided contacts / forcibly guided contacts的原理。以常见的PNOZ、3SK1这类安全继电器模块为例内部装有两个主继电器K1、K2每个继电器上既有常开触点也有常闭触点而且所有触点通过机械杆刚性联动。关键规则只有一条当任何一个常开触点发生熔接而无法断开时同一继电器里的常闭触点也必须无法闭合。反过来如果常闭触点能闭合说明常开触点一定可靠断开了。这样设计之后控制器就能通过检测常闭触点的状态随时发现常开触点是否粘死。哪怕K1的常开触点已经熔接了它的常闭触点会保持在断开状态这个信号被控制器读到之后系统就知道我这边出问题了立刻进入保护状态并给出报警。故障还是会发生但系统不会带着故障继续跑这就是安全。2.3 接线实例急停双通道与反馈回路安全继电器的正确使用方式不是把急停按钮串进线圈那么简单。一个典型的双通道接法是这样急停按钮的两对常闭触点分别接到安全继电器的两个输入通道CH1、CH2。这两路信号在模块内部必须一致只要有一路断开模块就判断安全回路开路切断输出。安全继电器的输出触点一般用两路串联控制主接触器K1、K2由主接触器去切断电机动力。K1、K2的辅助常开触点反馈回安全继电器的启动回路形成一个反馈监测。如果接触器本身卡住了、触点黏住了辅助触点没有跟着动作安全继电器下一次启动就会被拒绝。为什么急停按钮要用常闭触点因为急停的设计哲学是断电安全——按钮被按下时触点断开、回路失电、设备停。如果哪天按钮本身坏了、线断了回路也是断开的设备照样停。万一用了常开触点线断了、按钮坏了回路反而看起来正常真正要按急停的时候却按不出来那就完全违背了安全逻辑。在我做过的项目里安全继电器部分我始终要求现场按这个方式接线而且每一路都要验证。不要以为安全继电器模块接上进线就万事大吉如果你把反馈回路省略了安全继电器就会丧失对执行元件的监测能力相当于只保护了一半。3. 安全PLC出现后标准从规定怎么接转向要求怎么证明3.1 安全PLC的硬件自证逻辑安全继电器再可靠也有它的天花板逻辑靠接线实现改一个逻辑要重新设计接线点数一大柜子就是蜘蛛网。到了20世纪90年代产线需要越来越多的联锁、互锁、时序逻辑安全PLC应运而生。安全PLC和普通PLC最大的区别不是用了更贵的芯片而是从硬件架构上就假设自己会坏并且提前响应。普通PLC视CPU故障为崩溃安全PLC视CPU故障为正常工作路径中的一种可能分支。具体来说安全PLC内部的CPU通常是双通道冗余的。两个CPU跑同样的程序每个周期做一次结果比较不一致就立刻输出安全状态。程序和数据放在带纠错能力的存储器里每次循环做CRC校验。输出回路定期做脉冲测试短暂断开一下输出确认输出级没有被击穿或粘死。看门狗盯住程序运行时间跑飞了立刻切断安全输出。这些措施听起来复杂核心就一句话设备无法保证不犯错但能在犯错之后不害人。所以安全PLC的所有设计目标都是围绕故障可检出、检出任一故障都进入安全状态来展开的。3.2 黑通道通信安全与通信解耦安全PLC带到现场的一个重要变化是安全通信。早期的安全信号只能靠硬接线一根一根传一个急停信号从设备A传到设备B要专门拉线。安全PLC普及之后安全信号可以走总线了。但这里有一个让很多人困惑的问题普通的总线通信比如PROFIBUS、PROFINET、EtherNet/IP它们自己的校验机制是用来保证数据传得对不对的不是用来保证数据在安全意义上可不可信的。一个数据包因为线路干扰被篡改普通通信协议可能校验不出来就算校验出来了它也没有能力控制设备进入安全状态。于是大家想了一个聪明的办法黑通道原理。安全通信协议比如PROFIsafe、FSoE不管下面跑的是什么普通通信总线——把它们当作一个黑盒子只在用户数据之上叠加安全保护层。每一帧安全报文都带序列号防止重放和重复数据时间戳或看门狗计数防止超时和延迟接受者ID防止报文被发到错误设备循环冗余校验CRC防止数据篡改。这样哪怕底层的普通总线完全不安全安全层也能识别出任何异常然后让设备进入安全状态。这种做法让你可以在普通以太网上跑安全数据省了一大笔布线成本而且安全等级一点不降。3.3 EN 954-1到ISO 13849-1标准思路的转折硬件在升级标准也必须跟上。1996年发布的EN 954-1定义了B类、1类、2类、3类、4类这五档安全控制系统的结构类别。这套框架的核心是结构决定一切——你只要按照类别要求的电路结构去搭就能得到对应等级的安全性能。这套方法在纯继电器时代还够用因为继电器的故障模式是几十年积累出来的大家心里有数。但到了安全PLC时代标准就出问题了软件逻辑怎么分类CPU内部的自检算哪个类别一次通信超时怎么归类更关键的是EN 954-1只规定了怎么设计却没有量化安全程度。它回答不了我的功能在每小时运行中到底有多大概率发生危险失效这个问题。而在有软件、有通信的系统里这个问题恰恰是最核心的。所以2006年前后机械安全领域的标准发生了一次根本性的转向。ISO 13849-1抛弃了单纯按结构类别定等级的思路引入了**PL性能等级这个概念用PFHd每小时危险失效概率来量化安全功能。同时IEC 62061也把源自IEC 61508的SIL安全完整性等级**引入机械安全。这就是整个标准体系转折的分水岭过去是你按我的图纸搭电路我就承认你安全现在是你自己说你的功能要求是什么然后拿出可信的概率计算和证明流程让我相信你的系统达到了那个等级。4. PL和SIL两把尺子量同一个东西4.1 一句话讲清PL和SILPLPerformance Level性能等级是ISO 13849-1定义的从a到e共五档主要用于估算机械控制系统中安全相关控制功能的性能。它既适用于继电器、接触器这类简单电气系统也适用于液压、气动、机械式系统。SILSafety Integrity Level安全完整性等级来自IEC 61508在机械安全领域按IEC 62061执行从1到4共四档。SIL更偏安全仪表系统的思维在化工、过程工业里应用得尤其广泛。两个体系来源不同、名字不同但衡量的是同一个物理量这个安全功能在规定条件下、规定时间内完成规定功能的概率具体就是每小时危险失效概率PFHd。等级越高允许的危险失效概率越低。4.2 PFHd对照表PL a-e与SIL 1-4的换算很多人把PL e和SIL 3画等号这个说法不是完全准确但因为主要档位正好重叠工程上经常做近似对应。下面这张表是两者在PFHd意义上的对照等级PFHd范围每小时危险失效概率对应关系PL a≥1×10⁻⁵ 且 1×10⁻⁴SIL无要求/低于SIL 1PL b≥3×10⁻⁶ 且 1×10⁻⁵介于SIL 1与SIL 2之间PL c≥1×10⁻⁶ 且 3×10⁻⁶约等于SIL 1PL d≥1×10⁻⁷ 且 1×10⁻⁶约等于SIL 2PL e≥1×10⁻⁸ 且 1×10⁻⁷约等于SIL 3SIL等级PFHd范围每小时危险失效概率对应关系SIL 1≥1×10⁻⁶ 且 1×10⁻⁵约等于PL cSIL 2≥1×10⁻⁷ 且 1×10⁻⁶约等于PL dSIL 3≥1×10⁻⁸ 且 1×10⁻⁷约等于PL eSIL 4≥1×10⁻⁹ 且 1×10⁻⁸机械领域基本不用所以PL e等于SIL 3这个说法在常见工程场景下是可以接受的。但如果你在认证文档里写标准要求你精确到PFHd值不建议用近似关系代替精确计算。4.3 怎么确定你需要的等级风险评估很多初学者直接问我这台机器应该选PL d还是PL e这个问题本身就是错的。PL和SIL不是选出来的是根据风险评估算出来的。ISO 13849-1里确定PLrrequired performance level需求性能等级的方法是用三个参数查表SSeverity伤害严重度S1是轻微伤可逆S2是重伤或死亡不可逆。FFrequency暴露频率与时间F1是很少或短时间暴露在危险区域F2是频繁或长时间暴露。PPossibility of avoidance避免危险的可能性P1是有机会躲避P2是基本没法躲。三个参数组合后查表比如一台伺服冲压机动作速度快、工人要频繁上料一旦发生事故就是断手级别的伤害选S2工人每个班次数百次伸入工作区选F2冲压速度太快工人根本来不及缩手选P2。查表得到PLr e。这就是整个项目需要多高的安全等级的源头。同样的机器如果加了一个带门锁联锁的防护罩操作者只能偶尔进去换模具参数就可能变成S2、F1、P1PLr就降到了c甚至b。所以风险降得越低系统要求等级也跟着降成本自然下来了。IEC 62061确定SILr的思路类似通过S、F、W三个指标打分再查区间最终得出SIL等级需求。两个体系的最大区别不在结果而在方法论和适用习惯。做机械设备的欧洲客户普遍认PL做过程控制、化工设备的认SIL。国内现在很多机械出口项目主机厂会被要求同时满足ISO 13849-1和IEC 62061两本标准都得看。4.4 SISTEMA计算PL的实际流程确定PLr之后还要验证实际设计的PL是否达到需求。手工计算PFHd非常痛苦好在有德国IFA原BGIA开发的SISTEMA这个免费软件专门用来做ISO 13849-1的计算。SISTEMA里填的要素主要有四块结构类别Category B、1、2、3、4根据你的电路结构是单通道、双通道、还是带诊断的双通道来选。MTTFd平均危险失效时间每个通道里元件的平均危险失效时间一般元件厂商会给。传感器和执行机构的数据可以在SISTEMA的元件库里直接选也可以手动填。DCavg平均诊断覆盖率系统能检测出多大比例的危险失效。如果你的回路里有测试脉冲、反馈检测、冗余比较DC就能往中档或高档填。CCF共因失效两个通道是不是因为同一个原因一起坏掉。比如两根线走同一根电缆管、两块板卡用同一路电源都算共因失效风险。ISO 13849-1附录F有个评分表49个评分项目里拿够65分才算合格。把这四项填进去SISTEMA会给出每个安全功能最终的PL和PFHd值并且自动与PLr比较给出合格/不合格结论。这个软件本身免费功能也不复杂但它的计算结果完全依赖输入数据是否真实。元件选型表上标了MTTFd你就用没标必须查认证报告或者数据库不要自己编一个经验值否则后面评审容易被卡。5. 落到工厂现场选型、接线和验证的完整流程5.1 选型什么时候用安全继电器什么时候上安全PLC我经常被问到一个问题现在安全PLC这么成熟是不是可以全面淘汰安全继电器我的答案很直接不是。安全继电器在三个场景下依然是首选。第一安全回路的点数少一个急停、一个安全门、一个双手按钮用安全继电器模块体积小、成本低、响应快第二项目对安全性要求是固定逻辑不需要改程序第三现场维护工人对继电器比较熟悉出了故障可以快速排查。一台单机设备你给它上全套安全PLC成本高、调试慢完全是杀鸡用牛刀。反过来如果这条产线有十几台设备联动、几十个安全输入输出、还有安全通信和远程诊断的需求那就必须上安全PLC。另外涉及多个急停、安全门互锁、模式切换自动/手动的复杂逻辑用安全继电器搭电路会搭到你怀疑人生程序里几行就解决了。有一回我改造一条老产线原设计用了二十多个安全继电器柜子塞得满满当当排查故障时拿万用表量半天。后来统一换成安全PLC安全程序里做了结构化设计硬件点数反而从四十多个降到二十多个柜子体积小了一半。但代价是程序逻辑要让现场电工重新学所以我保留了每个安全回路的LED指示没有省掉故障诊断面板。对维护人员友好的系统才是真正划算的系统。5.2 现场接线最容易犯的三个错误安全产品的选型只是第一步现场接线才是事故高发区。我总结了三个最常见的问题各位同行可以对照自查。第一个错误是把急停按钮的常开常闭接反。我在一个项目里见过工人把急停信号接到了PLC的普通输入点上用的还是常开点结果急停按钮损坏后PLC完全感知不到。正确的做法是急停用常闭触点而且最好接入安全控制器专用的安全输入通道不要混进普通输入。第二个错误是省略反馈回路。安全继电器或安全PLC的输出触点控制接触器之后接触器的辅助触点必须反馈回安全回路。这个反馈的作用是确认执行元件真的动作到位了。省掉这一步接触器卡死、触点粘连安全控制器仍然会自以为是地认为输出已经断开。第三个错误是双通道信号不用诊断而是直接并联。安全功能如果要求双通道两个通道必须各自独立接到控制器输入端由控制器内部来做比较诊断。有人图省事把两个常闭触点串联或者并联变成一个信号然后告诉审核我是双通道。这种接法一旦其中一个触点故障另一个触点还被信号回路掩盖双通道就失去了意义。5.3 验证文档要准备哪些这个部分容易被很多项目组忽略而且往往到了客户验收时才手忙脚乱。功能安全验证不是一个测试报告就完事的标准要求的是一套可追溯的文件链。我的经验是至少准备这几份风险评估报告说明这台机器有哪些危险、风险多大、需要用哪些安全功能来降低风险。安全需求规格把每个安全功能的作用、触发条件、响应时间、要求的PLr/SILr写清楚。安全回路电气图标明安全相关元件的品牌型号、触点编号、接线端子。计算/计算文件用SISTEMA导出的计算文件或等效的计算书证明实际PL/PFHd达到要求。验证测试记录包括功能测试、故障注入测试。故障注入测试很关键——人为模拟触点熔接、信号断线、电源掉电确认系统在故障出现时能进入安全状态。元器件证书安全继电器、安全PLC、安全接触器这些元件必须有对应的认证证书比如TÜV出具的PL认证报告。这些文档不只是在认证时需要。设备投入使用三五年后某个安全模块老化需要更换型号翻开旧文件一看就知道新选型是否还能满足原等级这对后期维护的价值太大了。5.4 我个人踩过的几个坑最后讲几个我在现场实际踩过的坑都是现金流换来的教训。第一个坑是低估了CCF的影响。有一次设计双通道急停回路两条通道的线用同一个线槽走到接线端子槽道里还并排走了动力线。SISTEMA计算时CCF那栏怎么都拿不到65分后来一对照才发现附录F里明确对通道之间的隔离距离屏蔽和布线方式有要求。我当时把两路信号线用不同线槽走并且加装了屏蔽层重新评分才过关。线上走线工艺不要小看它它是安全等级计算的一部分。第二个坑是换了安全继电器型号但没有重新验证。原来用的A品牌安全继电器改版停产了采购直接换了B品牌功能相同的型号。这看起来只是替换实际上安全认证范围变了PFHd值、输入响应时间、内部诊断覆盖率都不一样。好在测试时发现新模块的输出延迟比原来多了几个毫秒而我们的安全功能对时间有要求差点没合格。后来我们规定安全相关元件更换型号必须重新验证不能光看接线端子对得上就行。第三个坑是安全PLC程序里的绕过功能开关没有做权限管理。设备调试时为了方便我在安全程序里留了一个维护模式后来交给生产部门时忘了删差点被现场操作工按出来直接绕过安全门联锁。这是最危险的情况——功能设计本身再安全如果给操作者留一个临时后门就等于把安全等级清零。调试用的旁路开关在正式生产后必须从物理上拆除或者用带钥匙的专用开关并且要有日志记录。做了这么多年机械功能安全我的体会是安全继电器、安全PLC、PL、SIL这些概念本身都不难理解难的是在整个项目周期里始终带着它会坏的视角去设计、去选型、去接线、去验证。安全不是买一个贵的安全继电器就算完成了而是一条从风险识别到故障诊断再到验证管理的完整链路。下次你再看到黄颜色的安全模块可以多想一步它背后的标准和结构设计才是真正值这个价钱的地方。
机械功能安全演进：从安全继电器到PL/SIL等级解析
我第一次接触机械功能安全是车间老师傅指着一个黄色方块告诉我这东西叫安全继电器比普通继电器贵十倍但你不能替它省钱。说实话当时我不服气一个电磁继电器而已凭什么卖这么贵后来在一次安全评审中我看到整条生产线因为一个安全回路失效被停机排查才真正意识到——安全继电器卖的从来不是铜和铁而是在故障状态下仍然能可靠执行安全功能这件事本身。从早期的安全继电器到今天的PL、SIL等级机械功能安全的演进史其实就是工业界和设备不可靠反复较量的历史。这篇文章我结合自己做过的项目把这条线完整捋一遍希望能帮你彻底看懂为什么要有安全继电器、PLC时代标准为什么要变、PL和SIL到底在衡量什么。1. 安全回路一开始靠碰运气最后靠一套能自证的方法1.1 被动防护为什么不够早期机械设备的安全措施主要就是防护罩、挡板、围栏这些东西。它的逻辑很简单把人和危险运动隔开人碰不到就不会受伤。这种思路到今天也没有过时但它有一个致命的缺陷——防护措施本身会失效。最常见的场景是这样的工人为了换料或者调整工装把防护门打开。这时候联锁开关应该把机器停下来。但如果这个开关坏了、触点粘连了、或者接线松了机器根本不知道门被打开了照样继续动作。工人以为已经停机了伸手进去事故就发生了。这种事故不是个例。我们行业里有一个共识设备故障导致的安全事故往往比人违规操作导致的事故更可怕因为操作者没有任何预警。你想象一下一台冲床的行程开关触点熔接信号回路始终闭合控制系统的判断是安全门已关好实际上门已经开了这种误导性故障放在任何工厂里都是定时炸弹。所以安全防护不能只靠一个开关而必须是一个能感知自身故障、并在故障时主动进入安全状态的系统。这就是功能安全和普通安全防护的本质区别普通防护是静态的功能安全是动态的它要求安全功能本身具备自证能力。1.2 功能安全的三个基本动作要理解机械功能安全先记住ISO 12100里那套循环危险识别 → 风险评价 → 风险降低然后不断迭代。危险识别把机械设备可能造成伤害的地方找出来比如挤压点、剪切点、运动部件、飞溅物。风险评价估计这个危险发生的可能性有多大后果有多严重。风险降低通过设计消除危险、加防护装置、再不行就上安全控制功能把残余风险压到可接受范围。在这个循环里安全相关控制功能Safety-Related Control FunctionSRCF是最后一道防线。它要做的事情很明确当危险发生时控制系统必须可靠地让设备进入安全状态。最常见的安全状态就是停止——切断动力、刹住运动、释放残余能量。问题来了控制系统凭什么保证可靠一个普通接触器一个普通PLC它们自己都会出故障出了故障之后你不一定知道。功能安全要做的事就是让整个控制回路从元件选型、电路结构、诊断机制到验证方法都为故障做好预案。安全继电器、安全PLC、PL、SIL全都是围绕这件事展开的。2. 安全继电器用机械结构保证坏了也往安全方向坏2.1 普通继电器最危险的失效模式安全继电器诞生之前急停回路里用的就是普通电磁继电器。它的结构不复杂线圈通电吸合衔铁带动触点组切换。听着可靠但用久了问题就来了。最危险的不是线圈烧断——线圈烧断之后回路断开最多是按钮按了没反应人会发现。最危险的是触点熔接。继电器带负载分断时触点之间会拉电弧电弧高温把触点表面烧熔两个触点就焊在一起了。这时候控制回路明明发出断开指令触点却死死粘着电流还在走。你可以把触点熔接理解成家里灯的开关你按了关但灯还是亮的。按一次不亮还能勉强用但在安全回路上这种故障意味着设备根本停不下来。更麻烦的是操作者完全无法从面板上看出触点已经熔接了——这就是典型的危险失效dangerous failure。2.2 强制导向触点如何破解熔接安全继电器解决这个问题的方法很朴素但非常有效把多组触点机械连接在一起保证它们只能同步动作不能独走。这就是强制导向触点positive-guided contacts / forcibly guided contacts的原理。以常见的PNOZ、3SK1这类安全继电器模块为例内部装有两个主继电器K1、K2每个继电器上既有常开触点也有常闭触点而且所有触点通过机械杆刚性联动。关键规则只有一条当任何一个常开触点发生熔接而无法断开时同一继电器里的常闭触点也必须无法闭合。反过来如果常闭触点能闭合说明常开触点一定可靠断开了。这样设计之后控制器就能通过检测常闭触点的状态随时发现常开触点是否粘死。哪怕K1的常开触点已经熔接了它的常闭触点会保持在断开状态这个信号被控制器读到之后系统就知道我这边出问题了立刻进入保护状态并给出报警。故障还是会发生但系统不会带着故障继续跑这就是安全。2.3 接线实例急停双通道与反馈回路安全继电器的正确使用方式不是把急停按钮串进线圈那么简单。一个典型的双通道接法是这样急停按钮的两对常闭触点分别接到安全继电器的两个输入通道CH1、CH2。这两路信号在模块内部必须一致只要有一路断开模块就判断安全回路开路切断输出。安全继电器的输出触点一般用两路串联控制主接触器K1、K2由主接触器去切断电机动力。K1、K2的辅助常开触点反馈回安全继电器的启动回路形成一个反馈监测。如果接触器本身卡住了、触点黏住了辅助触点没有跟着动作安全继电器下一次启动就会被拒绝。为什么急停按钮要用常闭触点因为急停的设计哲学是断电安全——按钮被按下时触点断开、回路失电、设备停。如果哪天按钮本身坏了、线断了回路也是断开的设备照样停。万一用了常开触点线断了、按钮坏了回路反而看起来正常真正要按急停的时候却按不出来那就完全违背了安全逻辑。在我做过的项目里安全继电器部分我始终要求现场按这个方式接线而且每一路都要验证。不要以为安全继电器模块接上进线就万事大吉如果你把反馈回路省略了安全继电器就会丧失对执行元件的监测能力相当于只保护了一半。3. 安全PLC出现后标准从规定怎么接转向要求怎么证明3.1 安全PLC的硬件自证逻辑安全继电器再可靠也有它的天花板逻辑靠接线实现改一个逻辑要重新设计接线点数一大柜子就是蜘蛛网。到了20世纪90年代产线需要越来越多的联锁、互锁、时序逻辑安全PLC应运而生。安全PLC和普通PLC最大的区别不是用了更贵的芯片而是从硬件架构上就假设自己会坏并且提前响应。普通PLC视CPU故障为崩溃安全PLC视CPU故障为正常工作路径中的一种可能分支。具体来说安全PLC内部的CPU通常是双通道冗余的。两个CPU跑同样的程序每个周期做一次结果比较不一致就立刻输出安全状态。程序和数据放在带纠错能力的存储器里每次循环做CRC校验。输出回路定期做脉冲测试短暂断开一下输出确认输出级没有被击穿或粘死。看门狗盯住程序运行时间跑飞了立刻切断安全输出。这些措施听起来复杂核心就一句话设备无法保证不犯错但能在犯错之后不害人。所以安全PLC的所有设计目标都是围绕故障可检出、检出任一故障都进入安全状态来展开的。3.2 黑通道通信安全与通信解耦安全PLC带到现场的一个重要变化是安全通信。早期的安全信号只能靠硬接线一根一根传一个急停信号从设备A传到设备B要专门拉线。安全PLC普及之后安全信号可以走总线了。但这里有一个让很多人困惑的问题普通的总线通信比如PROFIBUS、PROFINET、EtherNet/IP它们自己的校验机制是用来保证数据传得对不对的不是用来保证数据在安全意义上可不可信的。一个数据包因为线路干扰被篡改普通通信协议可能校验不出来就算校验出来了它也没有能力控制设备进入安全状态。于是大家想了一个聪明的办法黑通道原理。安全通信协议比如PROFIsafe、FSoE不管下面跑的是什么普通通信总线——把它们当作一个黑盒子只在用户数据之上叠加安全保护层。每一帧安全报文都带序列号防止重放和重复数据时间戳或看门狗计数防止超时和延迟接受者ID防止报文被发到错误设备循环冗余校验CRC防止数据篡改。这样哪怕底层的普通总线完全不安全安全层也能识别出任何异常然后让设备进入安全状态。这种做法让你可以在普通以太网上跑安全数据省了一大笔布线成本而且安全等级一点不降。3.3 EN 954-1到ISO 13849-1标准思路的转折硬件在升级标准也必须跟上。1996年发布的EN 954-1定义了B类、1类、2类、3类、4类这五档安全控制系统的结构类别。这套框架的核心是结构决定一切——你只要按照类别要求的电路结构去搭就能得到对应等级的安全性能。这套方法在纯继电器时代还够用因为继电器的故障模式是几十年积累出来的大家心里有数。但到了安全PLC时代标准就出问题了软件逻辑怎么分类CPU内部的自检算哪个类别一次通信超时怎么归类更关键的是EN 954-1只规定了怎么设计却没有量化安全程度。它回答不了我的功能在每小时运行中到底有多大概率发生危险失效这个问题。而在有软件、有通信的系统里这个问题恰恰是最核心的。所以2006年前后机械安全领域的标准发生了一次根本性的转向。ISO 13849-1抛弃了单纯按结构类别定等级的思路引入了**PL性能等级这个概念用PFHd每小时危险失效概率来量化安全功能。同时IEC 62061也把源自IEC 61508的SIL安全完整性等级**引入机械安全。这就是整个标准体系转折的分水岭过去是你按我的图纸搭电路我就承认你安全现在是你自己说你的功能要求是什么然后拿出可信的概率计算和证明流程让我相信你的系统达到了那个等级。4. PL和SIL两把尺子量同一个东西4.1 一句话讲清PL和SILPLPerformance Level性能等级是ISO 13849-1定义的从a到e共五档主要用于估算机械控制系统中安全相关控制功能的性能。它既适用于继电器、接触器这类简单电气系统也适用于液压、气动、机械式系统。SILSafety Integrity Level安全完整性等级来自IEC 61508在机械安全领域按IEC 62061执行从1到4共四档。SIL更偏安全仪表系统的思维在化工、过程工业里应用得尤其广泛。两个体系来源不同、名字不同但衡量的是同一个物理量这个安全功能在规定条件下、规定时间内完成规定功能的概率具体就是每小时危险失效概率PFHd。等级越高允许的危险失效概率越低。4.2 PFHd对照表PL a-e与SIL 1-4的换算很多人把PL e和SIL 3画等号这个说法不是完全准确但因为主要档位正好重叠工程上经常做近似对应。下面这张表是两者在PFHd意义上的对照等级PFHd范围每小时危险失效概率对应关系PL a≥1×10⁻⁵ 且 1×10⁻⁴SIL无要求/低于SIL 1PL b≥3×10⁻⁶ 且 1×10⁻⁵介于SIL 1与SIL 2之间PL c≥1×10⁻⁶ 且 3×10⁻⁶约等于SIL 1PL d≥1×10⁻⁷ 且 1×10⁻⁶约等于SIL 2PL e≥1×10⁻⁸ 且 1×10⁻⁷约等于SIL 3SIL等级PFHd范围每小时危险失效概率对应关系SIL 1≥1×10⁻⁶ 且 1×10⁻⁵约等于PL cSIL 2≥1×10⁻⁷ 且 1×10⁻⁶约等于PL dSIL 3≥1×10⁻⁸ 且 1×10⁻⁷约等于PL eSIL 4≥1×10⁻⁹ 且 1×10⁻⁸机械领域基本不用所以PL e等于SIL 3这个说法在常见工程场景下是可以接受的。但如果你在认证文档里写标准要求你精确到PFHd值不建议用近似关系代替精确计算。4.3 怎么确定你需要的等级风险评估很多初学者直接问我这台机器应该选PL d还是PL e这个问题本身就是错的。PL和SIL不是选出来的是根据风险评估算出来的。ISO 13849-1里确定PLrrequired performance level需求性能等级的方法是用三个参数查表SSeverity伤害严重度S1是轻微伤可逆S2是重伤或死亡不可逆。FFrequency暴露频率与时间F1是很少或短时间暴露在危险区域F2是频繁或长时间暴露。PPossibility of avoidance避免危险的可能性P1是有机会躲避P2是基本没法躲。三个参数组合后查表比如一台伺服冲压机动作速度快、工人要频繁上料一旦发生事故就是断手级别的伤害选S2工人每个班次数百次伸入工作区选F2冲压速度太快工人根本来不及缩手选P2。查表得到PLr e。这就是整个项目需要多高的安全等级的源头。同样的机器如果加了一个带门锁联锁的防护罩操作者只能偶尔进去换模具参数就可能变成S2、F1、P1PLr就降到了c甚至b。所以风险降得越低系统要求等级也跟着降成本自然下来了。IEC 62061确定SILr的思路类似通过S、F、W三个指标打分再查区间最终得出SIL等级需求。两个体系的最大区别不在结果而在方法论和适用习惯。做机械设备的欧洲客户普遍认PL做过程控制、化工设备的认SIL。国内现在很多机械出口项目主机厂会被要求同时满足ISO 13849-1和IEC 62061两本标准都得看。4.4 SISTEMA计算PL的实际流程确定PLr之后还要验证实际设计的PL是否达到需求。手工计算PFHd非常痛苦好在有德国IFA原BGIA开发的SISTEMA这个免费软件专门用来做ISO 13849-1的计算。SISTEMA里填的要素主要有四块结构类别Category B、1、2、3、4根据你的电路结构是单通道、双通道、还是带诊断的双通道来选。MTTFd平均危险失效时间每个通道里元件的平均危险失效时间一般元件厂商会给。传感器和执行机构的数据可以在SISTEMA的元件库里直接选也可以手动填。DCavg平均诊断覆盖率系统能检测出多大比例的危险失效。如果你的回路里有测试脉冲、反馈检测、冗余比较DC就能往中档或高档填。CCF共因失效两个通道是不是因为同一个原因一起坏掉。比如两根线走同一根电缆管、两块板卡用同一路电源都算共因失效风险。ISO 13849-1附录F有个评分表49个评分项目里拿够65分才算合格。把这四项填进去SISTEMA会给出每个安全功能最终的PL和PFHd值并且自动与PLr比较给出合格/不合格结论。这个软件本身免费功能也不复杂但它的计算结果完全依赖输入数据是否真实。元件选型表上标了MTTFd你就用没标必须查认证报告或者数据库不要自己编一个经验值否则后面评审容易被卡。5. 落到工厂现场选型、接线和验证的完整流程5.1 选型什么时候用安全继电器什么时候上安全PLC我经常被问到一个问题现在安全PLC这么成熟是不是可以全面淘汰安全继电器我的答案很直接不是。安全继电器在三个场景下依然是首选。第一安全回路的点数少一个急停、一个安全门、一个双手按钮用安全继电器模块体积小、成本低、响应快第二项目对安全性要求是固定逻辑不需要改程序第三现场维护工人对继电器比较熟悉出了故障可以快速排查。一台单机设备你给它上全套安全PLC成本高、调试慢完全是杀鸡用牛刀。反过来如果这条产线有十几台设备联动、几十个安全输入输出、还有安全通信和远程诊断的需求那就必须上安全PLC。另外涉及多个急停、安全门互锁、模式切换自动/手动的复杂逻辑用安全继电器搭电路会搭到你怀疑人生程序里几行就解决了。有一回我改造一条老产线原设计用了二十多个安全继电器柜子塞得满满当当排查故障时拿万用表量半天。后来统一换成安全PLC安全程序里做了结构化设计硬件点数反而从四十多个降到二十多个柜子体积小了一半。但代价是程序逻辑要让现场电工重新学所以我保留了每个安全回路的LED指示没有省掉故障诊断面板。对维护人员友好的系统才是真正划算的系统。5.2 现场接线最容易犯的三个错误安全产品的选型只是第一步现场接线才是事故高发区。我总结了三个最常见的问题各位同行可以对照自查。第一个错误是把急停按钮的常开常闭接反。我在一个项目里见过工人把急停信号接到了PLC的普通输入点上用的还是常开点结果急停按钮损坏后PLC完全感知不到。正确的做法是急停用常闭触点而且最好接入安全控制器专用的安全输入通道不要混进普通输入。第二个错误是省略反馈回路。安全继电器或安全PLC的输出触点控制接触器之后接触器的辅助触点必须反馈回安全回路。这个反馈的作用是确认执行元件真的动作到位了。省掉这一步接触器卡死、触点粘连安全控制器仍然会自以为是地认为输出已经断开。第三个错误是双通道信号不用诊断而是直接并联。安全功能如果要求双通道两个通道必须各自独立接到控制器输入端由控制器内部来做比较诊断。有人图省事把两个常闭触点串联或者并联变成一个信号然后告诉审核我是双通道。这种接法一旦其中一个触点故障另一个触点还被信号回路掩盖双通道就失去了意义。5.3 验证文档要准备哪些这个部分容易被很多项目组忽略而且往往到了客户验收时才手忙脚乱。功能安全验证不是一个测试报告就完事的标准要求的是一套可追溯的文件链。我的经验是至少准备这几份风险评估报告说明这台机器有哪些危险、风险多大、需要用哪些安全功能来降低风险。安全需求规格把每个安全功能的作用、触发条件、响应时间、要求的PLr/SILr写清楚。安全回路电气图标明安全相关元件的品牌型号、触点编号、接线端子。计算/计算文件用SISTEMA导出的计算文件或等效的计算书证明实际PL/PFHd达到要求。验证测试记录包括功能测试、故障注入测试。故障注入测试很关键——人为模拟触点熔接、信号断线、电源掉电确认系统在故障出现时能进入安全状态。元器件证书安全继电器、安全PLC、安全接触器这些元件必须有对应的认证证书比如TÜV出具的PL认证报告。这些文档不只是在认证时需要。设备投入使用三五年后某个安全模块老化需要更换型号翻开旧文件一看就知道新选型是否还能满足原等级这对后期维护的价值太大了。5.4 我个人踩过的几个坑最后讲几个我在现场实际踩过的坑都是现金流换来的教训。第一个坑是低估了CCF的影响。有一次设计双通道急停回路两条通道的线用同一个线槽走到接线端子槽道里还并排走了动力线。SISTEMA计算时CCF那栏怎么都拿不到65分后来一对照才发现附录F里明确对通道之间的隔离距离屏蔽和布线方式有要求。我当时把两路信号线用不同线槽走并且加装了屏蔽层重新评分才过关。线上走线工艺不要小看它它是安全等级计算的一部分。第二个坑是换了安全继电器型号但没有重新验证。原来用的A品牌安全继电器改版停产了采购直接换了B品牌功能相同的型号。这看起来只是替换实际上安全认证范围变了PFHd值、输入响应时间、内部诊断覆盖率都不一样。好在测试时发现新模块的输出延迟比原来多了几个毫秒而我们的安全功能对时间有要求差点没合格。后来我们规定安全相关元件更换型号必须重新验证不能光看接线端子对得上就行。第三个坑是安全PLC程序里的绕过功能开关没有做权限管理。设备调试时为了方便我在安全程序里留了一个维护模式后来交给生产部门时忘了删差点被现场操作工按出来直接绕过安全门联锁。这是最危险的情况——功能设计本身再安全如果给操作者留一个临时后门就等于把安全等级清零。调试用的旁路开关在正式生产后必须从物理上拆除或者用带钥匙的专用开关并且要有日志记录。做了这么多年机械功能安全我的体会是安全继电器、安全PLC、PL、SIL这些概念本身都不难理解难的是在整个项目周期里始终带着它会坏的视角去设计、去选型、去接线、去验证。安全不是买一个贵的安全继电器就算完成了而是一条从风险识别到故障诊断再到验证管理的完整链路。下次你再看到黄颜色的安全模块可以多想一步它背后的标准和结构设计才是真正值这个价钱的地方。