1. 机器安全工程与安全PLC概述

机器安全工程的核心目标，是在设备全生命周期内把人员伤害风险降到可接受水平，同时不牺牲生产效率。它并不是“加几个急停按钮”这么简单，而是一套由法规、标准、风险评估、安全功能设计与验证共同构成的工程体系。理解这套体系，是学习三菱iQ-F安全PLC的起点。

一、法规与标准：从机械指令到功能安全标准

在欧洲市场，机械产品需符合《机械指令》（2006/42/EC，现逐步过渡到新机械法规EU 2023/1230），其本质是“基本健康与安全要求”，属于强制性法规。法规本身不告诉你如何设计，而是把技术实现路径交给协调标准。标准体系可分为三层：

• A类标准（基础安全标准）：如ISO 12100，规定风险评估与风险降低的通用方法论，是所有机械安全的顶层逻辑。
• B类标准（通用安全标准）：如ISO 13849-1（控制系统安全相关部件）、IEC 62061（机械安全功能安全）、IEC 61508（功能安全基础标准），规定安全相关控制系统的设计、验证与确认方法。
• C类标准（机器专用安全标准）：如ISO 10218（工业机器人）、IEC 61496（电敏保护设备），针对具体机器类型给出具体安全要求与安全距离计算。

实际工程中，优先级是：有C类标准先满足C类，再回溯B类与A类。ISO 12100给出的三步法——本质安全设计、安全防护与补充保护措施、使用信息——是风险降低的基本顺序，不能颠倒。

二、SIL与PL：两种功能安全度量语言

功能安全关注的是“安全功能在需要时能否可靠执行”。衡量可靠性的指标有两套常用体系：IEC 61508/ IEC 62061的SIL（安全完整性等级）和ISO 13849-1的PL（性能等级）。二者目标一致，但计算路径不同。

SIL分为SIL1～SIL4，依据每小时危险失效概率（PFH_D）划分，例如SIL2对应PFH_D在10^-7～10^-6/h之间。PL分为PLa～PLe，依据每小时危险失效概率（PFH_D）或平均危险失效时间（MTTF_D）与诊断覆盖率（DC）、共因失效（CCF）综合评定，例如PLd对应PFH_D在10^-7～10^-6/h之间，与SIL2大致对应。

PL评估的关键参数包括：类别（Category B、1、2、3、4）、MTTF_D、DC_avg、CCF。类别决定结构冗余与故障检测能力，MTTF_D反映元件可靠性，DC反映诊断覆盖比例。工程上常用SISTEMA软件进行PL验证，输入各子系统的MTTF_D、DC、类别，输出整体PL是否达标。

三、安全PLC在自动化系统中的角色

传统安全回路用安全继电器搭建，逻辑固定、扩展性差。安全PLC把安全逻辑软件化，通过安全CPU、安全I/O、安全通信实现灵活的安全功能，如急停、安全门、光幕、安全限速、安全扭矩关断（STO）等。它与标准PLC的关系是：标准PLC负责过程控制，安全PLC独立负责安全功能，二者通过安全通信或硬线交换状态，但安全功能不依赖标准PLC。

安全PLC的核心特征包括：双通道/多通道处理、自诊断、安全程序与标准程序隔离、安全通信协议（如CIP Safety、PROFIsafe、CC-Link IE Safety）。在自动化系统中，它通常位于控制层，向下连接安全输入设备，向上连接安全输出执行器，横向与标准PLC、HMI、机器人控制器交互。

四、三菱iQ-F安全PLC的产品定位与典型场景

三菱iQ-F系列安全PLC（如FX5-SF系列安全扩展模块配合FX5U CPU，或iQ-F安全控制器）定位于中小型机械的安全控制。它把安全功能集成到紧凑的iQ-F平台中，支持安全输入/输出扩展、安全程序编写（GX Works3 Safety），并可通过CC-Link IE Field Safety或PROFIsafe与安全设备通信。其典型配置包括：安全CPU模块、安全输入模块、安全输出模块、安全通信模块，以及对应的安全电源与接线端子。

典型应用场景包括：

• 注塑机安全门与合模区域保护：安全门开关+安全光幕+安全继电器，实现开门即停、光幕遮挡即停，安全等级要求PLd。
• 机器人工作站安全围栏与安全停止：安全激光扫描仪+安全PLC+机器人STO，实现人员进入减速、进入危险区停止，安全等级要求PLd～PLe。
• 包装机械安全门与急停链：多个急停按钮串联+安全门开关+安全接触器，实现全机急停与门开停机，安全等级要求PLd。
• 机床安全防护与安全限速：安全门锁+安全PLC+变频器STO，实现门开停转、维护模式限速，安全等级要求PLd。

在这些场景中，安全PLC承担的是“安全逻辑决策与输出控制”角色：它读取安全输入状态，执行安全程序（如急停逻辑、门监控逻辑、光幕屏蔽逻辑），驱动安全输出，同时通过安全通信把状态上报给标准PLC或HMI。安全程序的编写需遵循安全编程规范，如使用经过认证的安全功能块、避免非安全变量影响安全逻辑、进行交叉故障检测等。

五、从标准到选型：一个简化的判断路径

面对一台具体机器，工程上可按以下路径推进：先做风险评估（ISO 12100），确定危险源与风险等级；再确定安全功能与所需PL/SIL（ISO 13849-1或IEC 62061）；然后选择安全输入/输出设备与安全控制器；最后进行PL验证（SISTEMA）与安全功能测试。三菱iQ-F安全PLC的选型需关注：安全I/O点数、安全通信协议、安全程序容量、响应时间、认证等级（PLd/PLe、SIL2/SIL3）以及是否支持所需安全功能块。

例如，某包装机需要实现急停、安全门、光幕三种安全功能，要求PLd。可选配置：FX5U CPU + FX5-SF安全扩展模块 + 安全输入模块（接急停、门开关、光幕OSSD）+ 安全输出模块（接安全接触器）。安全程序中，急停与门开关采用双通道监控，光幕采用OSSD信号监控，输出采用双通道接触器反馈。通过GX Works3 Safety编写安全程序，下载后使用SISTEMA验证PLd是否达标。若MTTF_D或DC不足，可通过增加诊断、选用更高MTTF_D元件或提高类别来改善。

理解法规、标准、SIL/PL与安全PLC的角色，是后续学习三菱iQ-F安全PLC硬件配置、安全程序编写与验证的基础。安全工程不是一次性任务，而是贯穿设计、安装、调试、维护、改造的全过程。