4. 安全联锁系统总体架构

数控设备的安全联锁系统并不是“一个急停按钮加一个继电器”那么简单，它是一条从危险状态感知到危险能量切断的完整信号链。理解这条链路的层级结构，以及它与普通数控控制系统的边界关系，是后续设计联锁逻辑、选择安全元件、确定安全等级（PL/SIL）的基础。

一、四层纵向结构：感知—判断—执行—告知

从功能职责上划分，安全联锁系统可以拆成四个纵向层级，每一层承担不同的任务，层与层之间通过明确的信号接口衔接。

第一层：传感器层（安全输入）。这一层的任务是“如实反映危险状态”，包括防护门开关、安全光幕、安全激光扫描仪、双手操作台、安全地毯、编码器位置反馈、温度/压力/振动传感器等。安全传感器与普通传感器的关键区别在于：它们通常采用双通道冗余、常闭触点或自检脉冲输出，以便让控制器能够识别线路断线、触点粘连等隐性故障。例如安全门锁常用两个独立触点（一个常闭、一个常开）分别接入控制器的两个输入通道，只有当两路信号状态“互补一致”时才判定门已关闭。

第二层：逻辑控制器层（安全判断）。这一层接收传感器信号，按预定的安全逻辑进行判断，并输出控制指令。常见实现形式有安全继电器模块、安全PLC（如带F-CPU的故障安全型PLC）、安全总线主站等。逻辑控制器层要完成三件事：一是逻辑运算（如“门开 或 光幕遮挡 → 触发停止”）；二是自诊断（检测输入通道差异、输出回读、看门狗超时）；三是状态管理（区分“已触发停止”“等待复位”“已复位运行”等状态）。安全PLC通常采用双处理器比较架构，两个通道运算结果不一致时立即进入安全状态。

第三层：执行器层（安全输出）。这一层把逻辑判断的结果转化为物理动作，包括安全接触器、安全继电器输出触点、伺服驱动器STO（安全转矩取消）输入、液压/气动换向阀、制动器等。执行器层最典型的工程做法是冗余切断：用两个串联的安全接触器同时切断伺服动力回路，并利用辅助触点把接触器实际动作状态回读给控制器，形成“输出—回读—比较”的闭环。如果回读状态与指令不符，控制器立即报警并锁定，不允许再次启动。

第四层：报警与显示层（人机告知）。这一层不直接参与安全切断，但决定了操作者能否快速理解“发生了什么、该怎么做”。它包括HMI报警画面、三色灯、蜂鸣器、报警历史记录、诊断代码显示等。报警层的关键设计原则是区分报警等级：安全联锁触发（如门开停机）属于高优先级，需要明确提示触发源和复位条件；一般工艺报警（如润滑不足）属于低优先级，不应与安全报警混用同一提示方式，否则会削弱操作者对安全事件的敏感度。

二、安全系统与非安全系统的关系：独立、交叉、不互替

数控设备上同时存在两套控制系统：一套是负责加工逻辑的非安全控制系统（CNC数控系统、普通PLC、标准I/O、标准HMI），另一套是负责人身与设备安全的安全相关控制系统。两者不是主从关系，而是并行独立、有限交叉的关系。

“独立”体现在三个层面。第一，供电与回路独立：安全回路通常由独立的安全继电器或安全PLC供电，不经过CNC的普通输出模块，避免CNC故障时把安全回路一起拉垮。第二，判断逻辑独立：安全停机条件由安全控制器自行判断，不依赖CNC的软件状态。第三，执行路径独立：安全接触器直接切断伺服动力，而不是通过CNC发“停止指令”让伺服自己停——后者属于非安全停止，不能替代安全功能。

“交叉”体现在信息层面而非控制层面。安全控制器可以把“当前处于安全停止状态”“门已关闭允许运行”等状态信号送给CNC和HMI，用于显示和工艺联锁；CNC也可以把“主轴已停止”“进给轴已静止”等状态送给安全控制器作为判断条件之一。但这种交叉必须是单向、可诊断的：安全系统向非安全系统输出状态是允许的，非安全系统向安全系统输入信号则必须经过冗余校验，不能单路直接采信。

三、层级之间的信号接口与典型参数

四层之间的接口不是抽象的，而是有具体电气与协议形式的。以一台立式加工中心的安全门联锁为例，可以给出如下示例配置（参数为教学示例，实际项目需按风险评估与PL等级计算确定）：

从这张表可以看出，安全链路的每一层都有可量化的时间与容量参数。整条链的总响应时间是各层响应时间之和：传感器动作时间 + 控制器扫描与判断时间 + 执行器切断时间。以示例参数估算，门锁动作约10ms、安全继电器响应20ms、接触器释放约20ms，总响应时间约50ms。这个数值必须小于设备风险评估中确定的“安全距离允许的最大停止时间”，否则需要缩短链路或选用更快器件。

四、报警显示层的分级设计

报警层虽然不参与切断，但它决定了安全事件能否被正确处置。工程上通常把报警分为三级：安全联锁报警（红色，如门开停机、光幕遮挡、STO触发）必须显示触发源和复位条件；安全诊断报警（橙色，如通道差异、回读不一致、看门狗超时）提示安全系统自身异常，需要维护介入；工艺报警（黄色，如润滑不足、气压偏低）与安全功能无关，不应占用安全报警的提示通道。

分级的意义在于：当操作者看到红色安全报警时，他知道设备处于安全停止状态，必须排除危险源并按复位流程操作；看到橙色诊断报警时，他知道安全功能可能已降级，不能强行复位继续生产。如果所有报警都用同一种颜色和声音，操作者会逐渐对报警“脱敏”，这是安全联锁系统在工程现场最常见的失效诱因之一。