简介面向工业自动化领域从事安全控制系统设计、维护的工程师这份资料依据ISO 13849-1与GB/T 16855.1-2008标准系统讲解安全等级PLr评估与安全回路构建方法。文档结合机器人取料工位等实例说明安全光幕、安全门、急停等安全设备必须接入安全回路而不能仅接普通PLC IO点同时给出元件PL等级选取、整条回路总PL的简易计算办法并指出普通PLC因PL等级通常不超过PLc、难以满足PLd等较高安全要求应改用安全PLC或安全控制器。进一步介绍借助SISTEMA软件对子系统PL值进行验证并生成报告以及EN ISO 13849-1在电气、电子、可编程、机械、液压控制系统的适用范围帮助工程师将风险降至可接受水平。内容紧凑适合作为安全系统设计初期的参考与排错指南包体为单个docx文档大小114KB共1个文件文字承载全部图文、流程与表格便于复制查阅。目前已有260人学习下载适合需要按标准规范推进机器安全防护改造的工程技术人员。 做工业自动化安全设计这几年我见过太多“安全回路看起来没问题一算却不达标”的案例。前几天帮一家设备厂复核包装机安全系统急停回路用了双通道、带肯定打开触点的安全继电器、带反馈的接触器配置看起来相当齐全但按ISO 13849-1标准一算PL只到c级远达不到设计需求的d级。问题出在哪不是器件选错了而是整个流程漏掉了最关键的一步——PLr的正式评估。很多工程师习惯凭经验堆安全器件却忽略了这套标准的底层逻辑安全等级不是堆出来的而是算出来的。今天这篇文章就把从PLr评估到安全回路构建的完整方法从头到尾捋一遍。这篇内容适合三类人读刚接手设备安全设计的新人工程师需要把标准条款落到图纸和程序里的老手以及做设备验收、想系统化理解安全控制系统的质量同行。看完你应该能独立完成从风险图评估PLr、搭建安全回路架构、用SISTEMA验证到整理技术文件的全流程。1. 先搞清楚PLr是什么再谈怎么设计很多项目出问题都出在“设计先行、评估在后”。真正符合ISO 13849-1流程的做法是针对每一个安全功能先通过风险图评估出PLr再反过来决定回路架构和器件选型。PLr是所需性能等级Required Performance Level它回答的是“这台设备这条回路到底需要多安全”而性能等级PL才是设计完成后的结果。目标定错后面做得再精致也是白搭。1.1 风险图评估法S、F、P三个参数组合出PLrISO 13849-1给出了一套叫风险图risk graph的评估方法主要看三个参数。S是伤害严重程度S1指可逆的轻伤S2指不可逆的严重伤害甚至死亡。F是暴露在危险区中的频率和时长F1表示很少或短时间进入F2表示频繁或长时间暴露。P是能否避免危险的可能性P1指在特定条件下有较大可能避开P2指几乎不可能避开。三个参数组合后查风险图就能对应到PLr从a到e逐级提高。比如S2F2P2通常对应e级S1F1P1可能是a或b级。这里必须提一句风险图还有一类结果不是字母而是“其他措施”意思是这个风险不能只靠控制系统的安全功能解决必须加机械防护、防护罩或者从根本上改变工艺流程。很多工程师一看到风险高就直接堆安全回路忽略了这条原则结果电气回路做得再好审核时照样被打回。1.2 一个真实案例半自动包装机的PLr怎么定拿我近期复核的半自动包装机举例。操作员每天8小时站在设备旁手动把料盒放进封口工位封口刀头会快速下压手没来得及撤出就可能被切断。这个伤害是不可逆的S取S2操作员整个班次都在设备附近工作暴露频率很高F取F2刀头下压速度快手在危险区内的避让时间窗口很短P取P2。查风险图这个安全功能的PLr就是d级。如果评估结果是d级但你觉得成本太高想降到c级可以怎么做在风险层面想办法而不是在回路层面省东西。比如增加自动上料工装让手根本不需要进入封口工位F就从F2降到F1PLr也会降下来。这就是PLr评估前置的价值它逼你在设计早期做工艺优化而不是等设备做完了再来堆安全盒子。2. 性能等级PL的四大构成类别、MTTFd、DCavg、CCF缺一不可确定PLr之后下一步是把性能等级PL真正“设计”出来。PL不是某一个参数的评分而是由多个要素共同决定的工程计算中最常打交道的是Category、MTTFd、DCavg、CCF四类。很多人在这里栽跟头只盯着Category忽略其他三个结果怎么算都差一档。2.1 Category架构从B到4抗故障能力逐级增强Category类别描述的是安全回路的结构形式以及它能容忍什么样、多少个故障。标准里从低到高有B、1、2、3、4五个级别类别结构特征故障行为B单通道满足基本安全要求任何故障都可能导致安全功能丧失1单通道使用经过验证的元件故障仍可能导致安全功能丧失但元件可靠性更高2单通道周期性检测故障在测试间隔内可能未被发现存在窗口期3双通道单故障可以被检测单个故障不会导致安全功能丧失4双通道高频检测故障累积也不会失效多个故障叠加也不会导致安全功能丧失必须反复强调一个误解图纸上画了两路不等于Category 3。Category 3的核心要求是“单故障可检测”即两个通道之间必须有监视机制可以是安全PLC里的通道比较逻辑也可以是安全继电器内部的交叉监控。两路只是并联、没有任何比较和诊断故障照样可能神不知鬼不觉地存在这最多算冗余不算安全架构。2.2 MTTFd和DCavg寿命与诊断覆盖率决定PL上限MTTFd是危险失效平均时间反映元件本身有多耐用分三档高≥30年、中10~30年、低3~10年。低于3年的元件不满足基本要求不能用于安全功能。任何元件的失效都算数包括机械触点磨损、继电器粘连、传感器短路等。DCavg是平均诊断覆盖率反映系统能自动发现多少故障分四档无60%、低60%~90%、中90%~99%、高≥99%。诊断不是免费的它需要额外的手段执行器的反馈触点接入逻辑单元、两个输入通道的周期性比较、看门狗、信号合理性检查等每一项都在提高DCavg。一个很常见的情况Category 3架构没错MTTFd也是高但DCavg卡在中低档PL就是上不去。这时候不需要更换昂贵硬件把执行器辅助触点接回安全PLC做EDM监控加上输入通道的状态比较DCavg提上去PL自然就达标了。这就是“诊断提升救活整条回路”的典型套路。2.3 CCF两个通道之间的“共同死法”要提前堵死CCF共因失效解决的是另一个维度的问题两个通道各自可靠但会不会因为同一个原因同时失效比如两路信号走在同一条线缆里一根线短路全部短路或者两个通道共用同一路电源电源过压同时烧掉或者高温环境下两块板卡一起老化。ISO 13849-1给了一张CCF评分表按通道分离、物理隔离、EMC抗扰、电源隔离、环境防护等项目逐项打分总分超过65分才算满足要求。这里最容易忽略的是布线分离双通道的电缆不允许绑在同一束线槽里要分开走线路径。很多项目这个分值丢失就是因为在电柜里为了美观把所有线扎在一起。这个细节审核员一眼就能看出来是现场检查的高频问题。3. 安全回路构建从传感器、逻辑到执行器的完整设计路线有了PLr和Category的初步构想下面进入落地阶段。安全回路的构建不是简单地买一堆安全器件拼起来而是有清晰的工程次序。3.1 先定安全功能规范再划SRP/CS边界ISO 13849-1针对的是安全相关控制系统的控制部分SRP/CS。真正动手画回路前要把每个安全功能写成一份简短规范危险运动是什么触发条件是什么触发后要执行什么动作系统允许的最长响应时间是多少。举个例子某个安全门功能门打开→请求停止→接触器断开或驱动器STO生效→危险轴必须在200ms内停下来。这份规范是所有后续工作的基线也是验证阶段的对照表。没有它画回路就是凭感觉后面验收时审核员问“你这个安全功能的设计依据是什么”你拿不出一份像样的文件。这也是很多项目后期反复返工的根源之一。3.2 类别选择与通道结构双通道不等于Category 3通常的做法是PLr为a或b级时单通道加可靠元件就能满足PLr为c级时Category 2或单通道高MTTFd比较常见PLr为d级绝大多数选择Category 3双通道PLr为e级则要用Category 3高MTTFd高DCavg或者直接上Category 4。双通道架构要贯穿整个回路不能只在输入端双通道、逻辑端又合并成单通道。以急停回路为例急停按钮的两路常闭触点分别接到安全PLC两个独立的输入点PLC内部周期性比较两个输入是否一致逻辑处理同样双通道冗余输出端用两个接触器或伺服驱动器的STO同样保持双通道。通道之间任何一点的合并都会拉低整体PL因为SRP/CS的PL取各子系统中的最低值短板效应非常明显。3.3 元件选型输入、逻辑、输出三类器件的关键参数输入器件方面急停按钮要符合ISO 13850选双通道常闭触点、直接断开式这样即使触点粘连或弹簧断裂断开状态也能可靠传递安全门开关要用带肯定断开操作结构的安全门锁或限位开关靠机械结构保证触点在操作头受压时强制分离光幕要按IEC 61496选Type 2或Type 4Type 4对应更高安全等级。逻辑器件方面简单回路用安全继电器足够复杂回路建议上安全PLC。安全PLC选型的核心不是CPU性能而是它的输入输出模块是否覆盖了你要用的安全通信协议以及整条安全链路上的模块有没有安全认证。拿普通模块当安全模块用是绝对的红线。执行器件方面最常用的是安全接触器和伺服驱动器的STO安全转矩关断。STO是硬件级切断不依赖驱动器固件和通信总线可靠性很高执行器子系统用STO比单纯用接触器更简洁。如果用了接触器务必选带强制导向辅助触点的安全接触器这样外部触点状态才能被逻辑单元可靠监测。3.4 安全逻辑与复位方式控制逻辑怎么写才不被审核挑刺安全功能逻辑本身不复杂常见就几种急停触发→立即停机并保持停机状态安全门打开→断电停机关上门不能自动重启光幕遮挡→暂停危险动作释放后需要手动复位。最容易出问题的是复位设计。审核时一定会问复位按钮在哪个位置操作者能不能看到危险区全部区域如果工人还在危险区里外面的人按一下复位设备突然启动后果不堪设想。稳妥做法是把启动和复位按钮装在危险区外、视野无遮挡的位置或者干脆让进入危险区的人员也能在安全门内侧解除复位信号。现在不少安全PLC支持带监视的复位功能把复位逻辑做成双通道反馈比单纯接一个普通按钮可靠得多。4. 用SISTEMA把PL从“感觉安全”变成“数据安全”回路画完设计还没完需要用工具把PL算出来。这是验证阶段最重要的一步。4.1 为什么非要用SISTEMA拍脑袋的PL过不了审核SISTEMA是IFA德国职业安全与健康研究所开发的免费软件专门用于ISO 13849-1的PL计算。它最大的价值是把标准里那些查表逻辑固化成工具你输入架构、元件数据它自动算可靠性指标每一步都有出处审核时能直接导出报告。有人觉得“Category 3加双通道肯定就是d级”这个想法很危险。PL由多个参数耦合决定同样Category 3MTTFd低一档或者DCavg低一档结果可能就是c级。与其凭经验猜不如让工具把每一种组合的边界算清楚。4.2 SISTEMA建模的标准步骤实际操作分五步新建工程填入设备名称和总体描述给每个安全功能建立独立的页面填入PLr目标。将安全功能拆分为输入、逻辑、输出三个子系统block也可以更细取决于实际硬件结构。在每个block里选择Category填入MTTFd档位或具体数据、DCavg档位并完成CCF评分表。按信号流把子系统串起来软件会单独计算每一个block的PL以及整条链路的PL。运行计算对比结果和PLr整体PL必须大于等于PLr才算设计满足要求。逻辑子系统如果是安全PLC通常可以直接引用厂商提供的数据包里面已经带好了Category、MTTFd、DCavg这些参数。输入输出模块也一样正规安全产品厂商会给出经过评估的参数不用自己猜。4.3 结果不达标怎么调四板斧与典型案例计算出来PL低于PLr是常态不用慌按下面四个方向逐项排查调整方向常见原因对策Category架构本身容忍不了单故障升级类别增加通道和监控MTTFd元件档位低或串联元件太多选更可靠的元件减少串联元件数量DCavg缺少诊断反馈增加EDM、通道比较、STO反馈CCF通道分离不够布线绑扎按评分表逐项整改后重新评分最典型的案例就是前文提到的一台设备安全门功能PLrd原方案用安全继电器加接触器Category 3MTTFd中DCavg只有低SISTEMA一算只到c。后来把接触器强制导向辅助触点接入安全继电器的EDM反馈端子DCavg提升到中整体PL立刻到了d。全程没换一个硬件只是补齐了诊断回路。这句话我在多个项目里反复验证过值得每个做安全设计的人记住。5. 实战中审核员专门会查的几个点最后这部分是经验沉淀。我自己走完几十个项目的安全评估发现有些细节被问得最多也最容易翻车。5.1 双通道通道比较缺失画了双路但不监控等于没有第一种典型翻车图纸上急停按钮画了两路常闭看起来是双通道但PLC程序里两个输入点没有做状态比较一路断了系统完全不知道。审核员会当场问如果其中一路因为线缆破损断路你怎么知道没有通道比较逻辑就没有单故障检测Category 3不成立。规避方法在安全PLC程序里写一段通道比较逻辑每几个扫描周期比较一次两个输入的状态不一致就触发安全停机并报警。5.2 EDM反馈不接接触器粘连时机器还会启动第二种翻车比第一种更隐蔽。安全继电器标称Category 3/4前提是外部接触器必须在监控范围内。如果接触器的强制导向辅助触点没有串进安全继电器的反馈回路接触器主触点一旦烧结粘连安全继电器下一循环检测不到机器照样启动这是直接的安全隐患。所以选安全继电器时一定要算好反馈回路的端子够不够用回路设计时就把EDM接线预留出来。5.3 安全距离与光幕安装逻辑达标了物理位置不对也不行光幕本身的PL算得很漂亮但安装位置离危险点太近人已经碰到危险部件了光幕才响应停机距离不够一样出事故。按ISO 13855计算安全距离时要把系统总响应时间考虑进去光幕检测时间、安全PLC扫描周期、接触器断开时间、制动力矩衰减时间每一项都会让距离变大。几毫秒的响应时间差反映到安装距离上可能就是几十毫米。这块虽然不属于ISO 13849-1的PL计算范围但安全评估报告里通常要配套说明别漏。5.4 安全功能被旁路人为短接的高频事故设备调试时图方便把安全门开关短接调试完忘了恢复这是我在现场见过最多的人为移除安全功能案例。工程解法有两个方向一是选用带肯定断开操作结构的安全门开关靠机械结构保证触点在操作头受压时强制分离人为线缆短接时也能从结构上留下明显痕迹二是在安全PLC里加屏蔽记录和周期性自检程序检测到屏蔽动作就报警。管理和设计双管齐下才能把这个老问题压住。5.5 MTTFd数据来源不能编也不能拍脑袋凑SISTEMA自带标准数据库但涉及具体型号一定要向供应商索取安全评估数据或FMEDA报告。缺数据时宁可保守取低档也不要把数值往高了填审核时每个数据的出处都要经得起追溯。我就见过有人为了凑PL把某继电器的MTTFd填成100年审核员翻产品手册发现厂家给的只有20年整份报告直接被否。5.6 别忘了安全相关软件SRASW的验证与文档如果用了安全PLC涉及安全功能的代码就属于安全相关应用软件SRASWISO 13849-1对它同样有明确要求要有软件需求规范、结构设计说明、验证记录。最实用的做法是把安全功能程序和非安全功能程序分开安全程序尽量写得短而简单验证范围越小审核越轻松。另外所有评估、计算、验证记录都要存档形成完整的技术文件包这些在设备验收和安全认证审查时是硬性要求。我个人的习惯是每个新项目开工先拉一张安全功能清单危险源、伤害描述、PLr目标、选定的Category、预估的MTTFd和DCavg、对应的SISTEMA工程文件编号全部列成一张表挂在项目文件夹最显眼的位置。这张清单就是整个安全系统的需求文档画图、编程、验收都以它为准能省掉大量后期返工。最后再提醒一句SISTEMA的默认数据只能当入门参考关键安全功能的数据出处最好都能追溯到厂家的官方评估报告做安全这行严谨一点怎么都不为过。本文还有配套的精品资源点击获取