1. 机器安全工程导论与Schneider安全PLC定位
机器安全工程的核心任务，不是让机器“不出故障”，而是让机器在出现故障、误操作或人员进入危险区时，仍能把风险降到可接受水平。理解这一点，是学习安全 PLC 的起点。因为安全 PLC 并不是一台“更可靠”的普通 PLC，而是安全相关控制功能（SRP/CS）中的一部分，它的选型、接线、编程和验证方式，都由上层法规与风险评估结果决定。
一、三层法规与标准体系：从风险到控制
机械安全领域最常被混淆的，是“法规—标准—技术实现”之间的关系。可以用三层来理解：
- 机械指令/法规层：如欧盟机械指令 2006/42/EC（现由机械法规 EU 2023/1230 逐步替代），规定机器进入市场前必须满足的基本健康与安全要求（EHSR），并要求制造商完成风险评估、技术文件与 CE 符合性声明。
- A/B/C 类标准层：A 类为通用设计原则，代表是 ISO 12100，它给出风险评估与风险减小的通用方法论；B 类为通用安全技术，如 ISO 13849（控制系统安全相关部件）、IEC 62061（机械电气安全功能）；C 类为具体机器标准，如 ISO 10218（机器人）、ISO 16092（压力机）。C 类标准优先，若存在 C 类标准，应优先按其规定确定安全要求。
- 功能安全基础层：IEC 61508 是电气/电子/可编程电子安全相关系统的功能安全基础标准，定义了安全生命周期、SIL 概念与硬件/系统/软件要求。ISO 13849 与 IEC 62061 都是在机械领域对 IEC 61508 思想的落地与简化。
因此，实际工程顺序通常是：先按 ISO 12100 做风险评估，确定危险、风险等级与所需风险减小措施；再依据 C 类标准或 ISO 13849/IEC 62061 确定安全功能及其性能要求；最后才选择安全 PLC、安全继电器、光幕、门锁等具体部件并实现。
二、SIL 与 PL：两种“安全性能”语言
安全完整性等级（SIL）来自 IEC 61508/IEC 62061，用 SIL1～SIL3（机械领域通常到 SIL3）表示安全功能在要求时的失效概率。ISO 13849 则使用性能等级（PL），分为 PLa～PLe。两者不是简单一一对应，但存在常用对照关系：PLc 大致对应 SIL1，PLd 对应 SIL2，PLe 对应 SIL3。工程中更常用 PL，因为它直接由结构类别（Cat. B、1、2、3、4）、MTTFd、DCavg、CCF 四个参数查表得出。
以一台带安全门的包装机为例：风险评估得出安全门打开时需切断危险运动，所需性能等级为 PLd。若选用双通道安全门锁 + 安全 PLC 双通道输入 + 双通道输出，结构类别可达 Cat.3，MTTFd 取“高”（30～100 年），DCavg 取“中”（90%～99%），并满足 CCF 评分 ≥65 分，查 ISO 13849-1 表可得 PLd。若把门锁改为单通道，则结构类别降为 Cat.1，即使 MTTFd 很高也只能达到 PLc，不满足要求。这说明：PL 不是靠“选好品牌”堆出来的，而是由结构、诊断与共因失效共同决定的。
三、Schneider 安全 PLC 在自动化安全架构中的角色
在典型机器安全架构中，安全 PLC 位于“安全控制层”，向上承接风险评估与安全功能规范，向下连接安全输入（急停、安全门锁、光幕、安全激光扫描仪、使能开关）与安全输出（安全接触器、安全阀、变频器 STO、机器人安全输入）。它替代了传统“安全继电器堆叠”的方案，优势在于：逻辑可编程、诊断信息丰富、便于多安全功能集中管理、可与标准 PLC 通过网关交换非安全数据。
Schneider Electric 的安全 PLC 产品谱系主要分为两类：
- Modicon M580 Safety：基于 ePAC 平台，面向过程与大型机械安全，支持 SIL3，常与 Modicon M580 标准控制器组成“安全 + 标准”混合架构，适合工厂级安全控制与远程 I/O 分布式安全。
- Modicon M262 / M241 安全型与 Preventa 安全模块：面向中小型机器，Preventa 系列包含安全继电器、安全模块与安全 PLC 相关产品，常用于单机安全门、急停、光幕等安全功能。
此外，Schneider 的 EcoStruxure Machine Expert 与 EcoStruxure Control Expert 提供安全编程环境，安全程序与标准程序分区管理，安全变量带专用属性，下载与在线修改受安全密码与校验保护。安全 I/O 模块通常采用双通道输入、双通道输出与测试脉冲，用于检测交叉短路、断线与粘连。
四、从标准到选型：一个可执行的判断路径
面对一台新机器，安全 PLC 的定位可以按以下顺序判断：
- 按 ISO 12100 识别危险源与危险状态，确定每项安全功能及其所需风险减小量。
- 若存在 C 类标准，优先按 C 类标准确定安全功能与所需 PL/SIL；否则按 ISO 13849-1 或 IEC 62061 确定。
- 根据所需 PL 反推结构类别、MTTFd、DCavg 与 CCF 要求，确定输入/输出通道数量与诊断方式。
- 选择安全 PLC 或安全模块：大型分布式安全选 M580 Safety；单机中小型安全选 Preventa 安全模块或安全型控制器。
- 用 EcoStruxure 安全编程环境实现安全逻辑，完成安全程序与标准程序隔离、安全变量校验与下载保护。
- 按 ISO 13849-2 进行验证：检查结构、诊断、参数、接线与功能测试，确认达到所需 PL。
需要特别强调的是：安全 PLC 的“安全”不是来自 CPU 本身，而是来自双通道结构、诊断覆盖、共因失效控制与安全程序校验。若把安全 PLC 当作普通 PLC 使用，单通道接线、无诊断、无安全程序分区，即使硬件标称 SIL3，实际安全功能也可能只有 Cat.1/PLc。因此，安全 PLC 的正确用法是“按标准设计、按 PL 验证、按安全程序实现”，而不是“买来即安全”。