4. 异常停机信号体系设计

在产线控制系统中，“停机”并不是一个单一动作，而是由不同来源、不同安全等级、不同响应速度的信号共同触发的集合。如果把这些信号混在一起处理，就会出现两类典型问题：一是把安全信号当普通报警处理，导致响应延迟；二是把工艺偏差直接等同于急停，造成频繁误停。因此，异常停机信号体系设计的核心，是先把信号按“安全等级”和“响应紧迫度”分类，再为每一类确定优先级、采集通道和停机方式。

一、按安全等级与响应紧迫度分类

工程上通常把停机触发信号分为四个层级，从高到低依次为：安全级、设备故障级、工艺偏差级、预警提示级。安全级信号直接威胁人身安全，必须走独立安全回路，不依赖普通PLC扫描周期；设备故障级信号威胁设备本身，需要快速停机但允许经过PLC逻辑判断；工艺偏差级信号影响产品质量或生产节拍，通常先降速或暂停，不一定立即切断动力；预警提示级信号只做提醒，不直接停机。

以一条典型包装产线为例，可以建立如下分类关系：

需要特别说明的是，安全级信号必须采用“常闭+双通道”采集方式。急停按钮使用常闭触点，正常时回路导通，按下时断开；安全门开关使用双通道触点，两路信号分别进入安全继电器或安全PLC的两个独立输入点，只有两路同时断开才判定为开门。光幕则通过OSSD（Output Signal Switching Device）双路输出，任一路异常即触发停机。这种设计的目的，是让“断线”和“触发”产生相同的安全效果，避免因线路故障导致安全功能失效。

二、优先级仲裁与停机链设计

当多个信号同时到达时，系统必须按优先级仲裁。优先级不是简单的“谁先到谁先处理”，而是“最高等级信号决定停机方式”。例如，光幕遮挡（安全级）与温度超限（工艺级）同时发生，系统应执行安全级停机，而不是先处理温度报警。实现上，通常在PLC中设置一个停机优先级字，每个信号对应一个优先级编码，扫描时取最高优先级作为本次停机的执行等级。

停机链的设计要区分“硬停机”和“软停机”。硬停机由安全继电器直接切断伺服使能、变频器输出或主接触器线圈，不经过PLC程序；软停机由PLC发出受控停止指令，让设备按设定减速度停止。安全级信号同时触发硬停机和软停机，设备故障级只触发软停机，工艺偏差级触发降速或暂停。这样既保证安全，又避免不必要的机械冲击。

三、采集方式与信号处理细节

不同层级的信号，采集方式差异很大。安全级信号必须使用安全继电器或安全PLC的专用输入通道，这些通道具有内部测试脉冲，能检测输入线路的短路和断线。以急停回路为例，典型接线是：24V电源→急停按钮常闭触点→安全继电器S11/S12→安全继电器输出→主接触器线圈。当急停按下，S11/S12失电，安全继电器在几十毫秒内切断输出，主接触器释放，伺服使能断开。

设备故障级信号通常来自驱动器或智能仪表，通过现场总线（如EtherCAT、Profinet）或硬线接入标准PLC。这类信号需要做“首出记忆”，即记录第一个触发停机的故障源，避免后续连锁信号覆盖真实原因。例如伺服过载触发停机后，气压低信号可能因为设备停止而随之出现，如果不做首出记忆，维护人员会误判为气压问题。

工艺偏差级信号多来自模拟量输入，需要设置合理的死区和滤波时间。以温度超限为例，如果设定上限为180℃，死区设为2℃，则温度超过182℃才触发停机，降到178℃以下才允许恢复。滤波时间通常设为0.5～2秒，避免传感器瞬时波动造成误停。对于位置偏差，可以用“偏差持续超过阈值一定时间”作为触发条件，而不是瞬时超差就停机。

四、优先级编码与停机字设计

在PLC程序中，建议为每个停机信号分配一个位地址，并组成停机字。例如：

// 停机字位定义（示例）
// Bit 0-3: 安全级
// Bit 4-7: 设备故障级
// Bit 8-11: 工艺偏差级
// Bit 12-15: 预警提示级

// 优先级仲裁（伪代码）
IF SafetyStopWord <> 0 THEN
    StopLevel := 1;  // 安全级
    ExecuteHardStop();
ELSIF FaultStopWord <> 0 THEN
    StopLevel := 2;  // 故障级
    ExecuteSoftStop();
ELSIF ProcessDevWord <> 0 THEN
    StopLevel := 3;  // 工艺级
    ExecuteSlowDown();
ELSE
    StopLevel := 0;  // 正常
END_IF;

这种编码方式的好处是，无论哪个信号先到，只要它属于更高层级，就会覆盖低层级信号的处理方式。同时，停机字可以直接映射到HMI画面，维护人员一眼就能看出当前停机属于哪个层级、由哪个信号触发。

五、恢复逻辑与安全确认

停机后的恢复不能简单“按启动按钮继续”。安全级停机必须满足三个条件才能复位：危险源已消除（如安全门关闭、光幕无遮挡）、安全回路双通道均恢复正常、操作人员手动按下复位按钮。复位后还需要执行“使能确认”，即伺服使能、抱闸释放、主接触器吸合按顺序进行，避免带载启动造成冲击。

设备故障级停机在故障消失后，通常允许自动恢复或远程复位，但需要设置恢复延时，例如故障消失后等待3秒再允许启动，防止故障反复抖动。工艺偏差级停机在工艺参数回到正常范围后，可以自动恢复运行，但应记录恢复时间和恢复时的工艺值，便于质量追溯。

总结来说，异常停机信号体系的设计，本质上是把“谁更紧急、谁更危险、谁先响应”这三个问题用硬件通道和软件优先级同时回答。分类决定了信号走哪条采集路径，优先级决定了多个信号同时出现时执行哪种停机方式，采集方式决定了信号是否可靠、是否可追溯。三者配合，才能让产线在异常发生时既停得住，又停得准，还能安全恢复。