2. 安全恢复逻辑工程基础
产线异常停机之后，真正决定“能不能恢复、恢复到什么程度、恢复过程中会不会再伤人”的，不是复位按钮，而是一套事先设计好的安全恢复逻辑。理解这套逻辑，需要先厘清四个核心概念：安全状态、安全恢复、失效安全与安全完整性等级（SIL）。它们不是并列的名词，而是从“目标”到“手段”再到“可信度”的递进关系。
安全状态：停机不是目的，进入可控状态才是
安全状态（Safe State）指设备或产线在失去正常控制后，能够稳定停留或到达的一种不会对人员、设备、环境造成不可接受风险的状态。它不等于“断电”，也不等于“停止”。对一台伺服压机，安全状态可能是切断主驱动动力并保持机械制动抱闸；对一台带垂直负载的升降机构，安全状态可能是保持制动而非释放；对一条有高温物料的输送线，安全状态可能是维持局部冷却循环而不是全部断电。因此，安全状态是按设备风险单独定义的，必须明确三件事：进入条件（什么信号触发）、目标状态（停在哪、保持什么）、保持方式（靠什么维持）。
工程上常用“安全状态表”来固化定义。例如某包装线的一段输送单元：
| 单元 | 触发条件 | 目标安全状态 | 保持方式 |
|---|---|---|---|
| 进料输送 | 安全门打开 | 停止运行，不积料 | 变频器STO，抱闸 |
| 热封单元 | 急停按下 | 加热断电，气缸退回 | 双通道切断，弹簧复位 |
| 出料机械手 | 光幕遮挡 | 停止运动，保持当前位置 | 伺服STO，抱闸 |
注意“保持当前位置”与“退回原点”是两种不同的安全状态，选择哪一种取决于退回过程本身是否会产生新的风险。
安全恢复：从安全状态回到生产状态的有序过程
安全恢复（Safe Recovery）是本节最容易被忽视、也最容易出事故的环节。很多现场把“复位”等同于“恢复”，按下复位就重新启动，这是危险的。安全恢复应是一个有顺序、有条件、有确认的过程，通常包含四个阶段：
- 原因确认：确认触发停机的根因已消除，而不是被旁路或屏蔽。例如安全门已关闭并锁止，光幕区域无遮挡物。
- 状态复位：将安全回路从“已触发”复位到“待机”，但此时动力仍不应自动接通。复位是逻辑动作，不是启动动作。
- 人工确认启动：由操作员在确认人员已撤离、防护已恢复后，执行启动指令。启动必须是独立的、有意的动作。
- 分步恢复：按工艺顺序逐段恢复，先恢复辅助系统（润滑、冷却、气源），再恢复主驱动，最后恢复联动。避免全线同时上电带来的冲击和不可控动作。
失效安全：让故障导向安全侧
失效安全（Fail-Safe）指当系统元件、线路或电源发生故障时，系统自动趋向安全状态，而不是趋向危险状态。实现失效安全的核心是“故障时断开”而非“故障时接通”。例如：急停按钮采用常闭触点，线路断开即触发停机；安全继电器采用强制导向触点，触点熔焊时也能被检测；安全门锁采用通电释放、断电锁止，失电时门保持锁定。相反，如果设计成“通电才停机”，一旦断电或断线，系统就失去了保护能力，这是失效危险（Fail-to-Danger）。
失效安全还要求考虑共因失效。如果两个通道共用同一电源、同一接插件、同一线槽，那么一次短路可能同时使两个通道失效。因此双通道设计必须做到电气隔离、物理分离、独立供电。
安全完整性等级：安全功能有多可信
安全完整性等级（SIL）是衡量安全功能可信程度的量化指标，按IEC 61508和IEC 62061，分为SIL1至SIL4。它关注的不是“有没有安全功能”，而是“这个安全功能在需要时能否可靠动作”。核心参数包括：
- PFDavg：平均要求时失效概率，低要求模式使用，SIL2对应10⁻³～10⁻²。
- PFH：每小时危险失效概率，高要求或连续模式使用。
- HFT：硬件故障裕度，即容错通道数。
- SC：安全失效分数，反映诊断覆盖率。
- DC：诊断覆盖率，决定能否检测出危险失效。
举例说明：某安全功能要求SIL2，采用双通道急停回路，每通道PFDavg为5×10⁻⁴，则整体PFDavg约为1×10⁻³，满足SIL2要求。但如果两通道共用同一安全继电器，共因失效会使实际可信度下降，需要通过共因因子β修正。工程上更常见的做法是直接选用经过认证的安全继电器或安全PLC，其SIL等级和PFD数据由制造商提供，设计者只需确认架构满足要求。
逻辑工程在产线恢复中的角色与边界
安全恢复逻辑工程的角色，是把上述概念转化为可执行的逻辑：定义安全状态、设计触发与复位条件、选择失效安全架构、验证SIL等级、规定恢复顺序。它的边界同样重要——逻辑工程不能替代机械防护、不能替代风险评估、不能替代人员培训。逻辑只能保证“在给定条件下正确动作”，不能保证“条件本身是安全的”。
从图中可以看出，安全恢复逻辑工程是一条从触发源到安全输出、再经过四个恢复阶段回到生产状态的完整链路。失效安全决定了链路在故障时的走向，SIL则决定了这条链路在需要时动作的可信程度。两者共同支撑恢复过程的安全边界。
一个可参考的恢复逻辑检查要点
在实际产线中，可以把安全恢复逻辑的检查归纳为以下要点，用于设计评审或现场确认：
| 检查项 | 确认内容 | 常见问题 |
|---|---|---|
| 安全状态定义 | 每个单元是否明确停在哪、保持什么 | 只写“停机”，未定义保持方式 |
| 触发与复位分离 | 复位是否独立于启动 | 复位即自动启动 |
| 失效安全方向 | 断线、断电、元件故障是否导向安全 | 常开触点设计，断线不触发 |
| 共因失效 | 双通道是否独立供电、独立走线 | 共用电源或接插件 |
| SIL验证 | PFDavg或PFH是否满足目标等级 | 只选型未计算，或忽略共因因子 |
| 恢复顺序 | 是否按辅助→主驱动→联动分步 | 全线同时上电 |
需要强调的是，以上参数和示例均为教学假设，实际工程中应以设备制造商数据、风险评估报告和适用标准为准。安全恢复逻辑工程的价值，在于把“安全”从一句口号变成一组可定义、可验证、可复现的逻辑条件。它既不能过度设计导致产线无法正常恢复，也不能简化到只剩一个复位按钮。边界清晰、逻辑完整、验证有据，才是产线安全恢复的工程基础。