1. 课程导入与安全工程全景

在工业自动化领域，TwinCAT 已经从单纯的 PLC 与运动控制平台，发展为覆盖标准控制、安全控制、机器人、视觉与物联网的完整工程环境。当机器需要满足 ISO 13849、IEC 62061 或 GB/T 16855 等机械安全标准时，普通 PLC 的逻辑已不足以承担安全功能，必须引入经过认证的安全控制层。TwinCAT Safety 正是 Beckhoff 在 TwinCAT 3 体系中提供的功能安全解决方案，它把安全逻辑、安全 I/O 与标准控制集成在同一工程中，同时保持安全相关部分与标准部分的严格隔离。

理解 TwinCAT 安全控制，首先要明确它的定位：它不是一套独立于标准 PLC 的硬件，而是运行在 TwinCAT 3 工程中的安全任务与安全程序，配合 EL6900、EL6910、AX5805 等安全端子或 TwinSAFE 逻辑端子，以及 TwinSAFE 协议实现安全信号的采集、逻辑运算与输出。安全程序使用经认证的 TwinSAFE 功能块（如急停、安全门、双手控制、模式选择等）搭建，下载到安全端子或安全 PLC 中独立运行。标准程序与安全程序之间通过安全相关的数据通道交换少量状态与请求信号，但安全逻辑本身不依赖标准 CPU 的运算结果。

机器安全工程的范畴远不止“写一段安全逻辑”。它覆盖风险评价、安全功能定义、安全等级确定、安全回路设计、安全程序实现、验证与确认、文档与变更管理。风险评价通常依据 ISO 12100 进行，先识别危险源与危险状态，再通过本质安全设计、安全防护与补充措施降低风险，最后确定残余风险是否可接受。安全功能定义则把风险评价的结论转化为可执行的安全需求，例如“当安全门打开时，危险运动应在 200 ms 内进入安全停止”。安全等级由所需性能等级 PLr 或 SIL 决定，它直接影响架构、诊断覆盖率与共因失效评估。

功能安全与信息安全是两个不同但必须协同的边界。功能安全关注的是随机硬件失效与系统性失效导致的人身伤害风险，目标是让安全功能在需要时可靠动作；信息安全关注的是未授权访问、篡改、拒绝服务等威胁，目标是保护系统与数据的机密性、完整性与可用性。在 TwinCAT 工程中，安全程序与安全端子的配置受安全密码与校验和（CRC）保护，任何修改都会改变校验和并需要重新验证。标准网络与安全网络可以共用 EtherCAT 物理层，但安全数据通过 TwinSAFE 协议封装，标准侧无法直接改写安全逻辑。工程实践中，既要防止安全参数被误改，也要防止通过标准网络对安全配置进行未授权访问。

本课程的学习地图可以按“标准—设计—实现—验证—运维”五个层次展开。前几章建立安全标准与风险评价的基础，随后进入 TwinCAT Safety 的工程结构、安全端子与 TwinSAFE 通信，再通过急停、安全门、安全光幕、双手控制、模式选择等典型回路完成安全程序实现。中后段会涉及安全运动（如 AX5805 与安全速度、安全位置）、安全 PLC 之间的通信、验证与确认方法，以及故障排查与变更管理。每个模块都围绕一个可复现的实战项目展开，最终形成一个包含风险评价、安全需求、安全程序、接线与验证记录的完整案例。

从工程实现角度看，TwinCAT Safety 的典型工作流是：在 TwinCAT 3 中创建 Safety 项目，选择安全 PLC（如 EL6900 或 EL6910），通过 TwinSAFE 编辑器组态安全端子与安全功能块，设置安全地址与看门狗时间，编译后生成安全程序并下载。安全程序中的功能块带有认证编号与版本，例如急停功能块通常要求双通道输入、交叉监测与手动复位。安全端子的输入滤波、测试脉冲与诊断信息会直接影响响应时间与诊断覆盖率，这些参数需要在设计阶段根据 PLr 要求进行计算与验证。

本课程不会把安全工程简化为“拖几个功能块”。每个安全功能都需要回答：危险是什么、安全功能要阻止什么、需要多快响应、架构能否覆盖预期失效、如何证明它有效。例如一个安全门回路，若 PLr = d、Category 3，通常需要双通道门开关、交叉监测、每周期测试脉冲，并在安全程序中实现门打开即触发安全停止，同时防止自动重启。若门开关为单通道，则只能达到较低等级，必须通过其他措施补足。这些判断会贯穿后续章节的实战项目。

接下来的章节会从安全标准与风险评价开始，逐步进入 TwinCAT Safety 的工程结构、安全端子、TwinSAFE 通信、典型回路、安全运动、验证与确认，以及故障排查与变更管理。每一部分都会围绕可复现的工程对象展开，最终形成一套可以用于实际项目的安全控制实现方法。