1. 安全PLC工程导论
在工业自动化现场，普通PLC负责“让设备动起来”，而安全PLC负责“让设备在危险发生时可靠地停下来或进入安全状态”。MELSEC iQ-R安全PLC是三菱电机在iQ-R平台上提供的安全控制解决方案，它并非一台完全独立于主控系统之外的“黑箱”，而是与标准PLC在同一机架、同一工程环境中协同工作的安全控制器。理解它的定位，是开展后续安全工程设计的起点。
一、MELSEC iQ-R安全PLC的定位
iQ-R安全PLC的核心由安全CPU模块（如R08SFCPU、R16SFCPU、R32SFCPU等）与安全I/O模块、安全通信模块共同构成。安全CPU在同一个机架上与标准CPU（如R08CPU）并行运行：标准CPU处理常规顺序控制、模拟量调节、HMI通信等非安全任务；安全CPU独立执行安全程序，完成急停、安全门、光幕、安全继电器等安全信号的采集与安全输出控制。
这种“同一平台、双CPU分工”的定位带来三个工程上的直接好处：其一，安全程序与标准程序在工程工具GX Works3中统一组态，减少两套系统之间的接口工作量；其二，安全数据可通过安全通信（如CC-Link IE Field Network with Safety）在安全CPU之间、安全CPU与远程安全I/O之间传递，避免大量硬接线；其三，安全CPU自身通过IEC 61508 SIL3与ISO 13849 PLe/Cat.4认证，使系统集成商在整机安全认证时可以直接引用模块的安全参数，而不必从零论证。
二、安全控制系统架构
一个典型的iQ-R安全控制系统可以按“信号采集—安全逻辑处理—安全输出—执行机构”四层来理解。现场的安全输入设备（急停按钮、安全门开关、安全光幕、安全激光扫描仪）接入安全输入模块或安全远程I/O；安全CPU读取这些输入后，执行安全程序中的安全逻辑（如双通道一致性判断、互锁、延时断开、使能条件判断）；处理结果通过安全输出模块驱动安全接触器、安全阀、伺服STO等执行机构，使设备进入安全状态。
需要特别注意的是，安全架构中“安全”与“标准”两条路径在物理上可以共机架，但在逻辑上必须保持独立：安全信号不得经过标准CPU中转，安全输出也不得由标准程序直接控制。安全CPU与标准CPU之间可以交换状态字、诊断信息等非安全数据，用于HMI显示和系统协调，但这类数据不参与安全功能。
三、相关标准：IEC 61508与ISO 13849
安全PLC工程不是“凭经验接线”，而是有明确标准依据的工程活动。IEC 61508是功能安全的基础标准，它提出安全完整性等级（SIL）概念，从SIL1到SIL4，等级越高，对硬件失效概率、诊断覆盖率、系统能力的要求越严格。iQ-R安全CPU通常达到SIL3，意味着其每小时危险失效概率在10⁻⁸到10⁻⁷之间，并具备较高的诊断覆盖率。
ISO 13849则更贴近机械安全领域，它用性能等级（PL）和类别（Cat.）来描述安全相关控制系统的可靠性。PL从a到e，Cat.从B到4。iQ-R安全模块常见认证为PLe/Cat.4，表示在结构上采用双通道、交叉监控、高诊断覆盖率的设计。工程中需要把整条安全链（传感器+安全PLC+执行器）的PL或SIL合并计算，而不是只看PLC本身。例如，一个急停回路若使用双通道急停按钮（Cat.4）、iQ-R安全CPU（PLe）、双通道安全接触器（Cat.4），整条链的PL通常可达到e；若其中某个环节只有Cat.2，则整链PL会被拉低。
四、工程流程概览
iQ-R安全工程的典型流程可以概括为六个阶段，但每个阶段都有具体的输入和输出，而不是空泛的“配置—调试”。
- 安全需求分析：识别设备危险源，确定每个安全功能的触发条件、响应时间、安全状态。例如：安全门打开后，主轴必须在300ms内停止。
- 风险评估与等级确定：依据ISO 12100进行风险评估，用ISO 13849或IEC 61508确定所需PL或SIL。例如：某冲压工位风险等级要求PLe。
- 安全架构设计：选择安全CPU型号、安全I/O点数、安全通信方式，绘制安全回路图，分配安全输入/输出地址。
- 安全程序开发：在GX Works3中创建安全工程，编写安全程序（如双通道一致性判断、互锁、延时断开），设置安全参数（如输入滤波、测试脉冲周期）。
- 验证与确认：通过安全程序仿真、强制输入输出、故障注入（如断开一路通道）验证安全功能是否按预期动作，记录响应时间。
- 文档与维护：生成安全验证报告、接线图、参数表，建立安全功能台账，为后续修改和年检提供依据。
五、一个教学示例：安全门监控回路
假设某装配单元有一扇安全门，门打开时要求伺服驱动器进入STO状态，同时安全接触器断开电机动力。安全门开关采用双通道触点，接入iQ-R安全输入模块的X0和X1；安全输出模块的Y0和Y1分别驱动两个安全接触器线圈；伺服STO信号由安全输出Y2控制。
安全程序中的核心逻辑是：当X0与X1状态不一致超过设定时间（例如200ms），判定为通道故障，立即输出安全状态；当两者同时为“门打开”状态，则Y0、Y1、Y2全部断开。安全CPU的响应时间由输入滤波时间、程序扫描时间、输出响应时间共同决定。若输入滤波设为10ms、程序扫描周期为5ms、输出响应为15ms，则总响应时间约为30ms，远小于300ms的要求，满足设计目标。
验证时，可以手动断开X1通道，观察安全CPU是否在200ms内报通道故障并断开输出；也可以用GX Works3的安全监视功能查看安全程序的执行状态和诊断信息。只有这些验证通过，安全门回路才能被认定为有效。
六、学习本课程需要建立的三个观念
第一，安全是“系统属性”，不是“模块属性”。安全CPU认证等级再高，如果传感器是单通道、执行器是普通继电器，整条安全链仍然不达标。第二，安全程序必须可读、可验证、可追溯。安全逻辑应尽量简洁，避免复杂跳转和间接寻址，以便审查和故障排查。第三，安全工程贯穿设备全生命周期。从设计、安装、调试到改造、年检，任何变更都要重新评估安全功能是否仍然有效。