2. 安全功能与安全回路设计基础

在机器安全工程中，安全功能（Safety Function）是整套安全控制体系的逻辑起点。它描述的是“当某种危险条件出现时，机器应如何响应才能把风险降到可接受水平”。例如，一台带可开启防护门的冲压设备，其安全功能可以表述为：当防护门被打开时，危险运动应在规定时间内停止并保持在停止状态，直到防护门重新关闭并执行复位。这个表述包含了触发条件（防护门打开）、响应动作（停止危险运动）、目标状态（安全停止）以及时间要求（规定时间内），四者缺一不可。

安全功能与普通控制功能的关键区别在于：普通功能追求“该动的时候动”，安全功能追求“不该动的时候绝不动，该停的时候一定停”。因此，安全功能必须建立在故障安全原则之上。故障安全原则的核心思想是：当系统发生断电、断线、元件失效、信号丢失等异常时，系统应自动导向安全状态，而不是维持危险运行。安全状态（Safe State）是指机器或系统处于风险可接受的状态，通常表现为动力源被切断、运动被机械制动、能量被泄放或执行机构被锁定。需要特别注意的是，安全状态并不总是“停止”——对于某些设备，保持低速点动、维持冷却或保持夹紧反而更安全，因此安全状态必须结合具体工艺和风险评估来定义。

从回路结构看，一个完整的安全回路通常由三部分组成：输入层、逻辑层和输出层。输入层负责采集安全信号，如急停按钮、安全门开关、安全光幕、安全激光扫描仪、双手控制装置等；逻辑层负责对输入信号进行安全处理与判断，如安全继电器、安全PLC；输出层负责执行安全动作，如安全接触器、安全阀、变频器安全转矩关断（STO）等。三者之间不是简单的串联，而是通过双通道、交叉监控、反馈检测等机制形成具有诊断能力的安全链。

在施耐德电气安全 PLC 体系中，典型的安全回路拓扑可以归纳为三种常见形式。第一种是安全继电器集中式，适用于安全功能数量少、逻辑简单的中小型设备，例如单台包装机或小型机床。其优点是响应快、接线直观、认证成熟；缺点是逻辑修改困难、扩展性差。第二种是安全 PLC 集中式，以 Modicon M580 Safety 或 M262 Safety 为代表，适用于安全功能较多、需要与标准控制深度集成的产线。安全 PLC 内部采用双通道处理器架构，安全任务与标准任务分离运行，安全程序通过专用安全编程工具开发和验证。第三种是分布式安全拓扑，通过安全总线（如 PROFIsafe、CIP Safety）将远程安全 I/O 模块、安全驱动器和安全传感器连接起来，适用于大型生产线或跨区域设备。分布式拓扑减少了现场接线，但需要关注总线通信的响应时间和故障恢复机制。

选型时不能只看“点数够不够”，而应从安全功能需求出发，逐项核对以下依据。第一，所需性能等级（PL）或安全完整性等级（SIL）。根据 ISO 13849-1 或 IEC 62061 进行风险评估后，确定每个安全功能需要达到的 PLr 或 SIL。例如，急停功能通常要求 PL d 或 PL e，而某些低速维护门可能只需 PL c。第二，安全功能的响应时间。从传感器触发到输出执行的总响应时间必须小于风险评估中确定的安全距离所允许的时间。安全 PLC 的扫描周期、总线通信延迟、输出模块响应时间都要计入。第三，输入输出类型与数量。需要统计双通道急停、安全门、光幕、使能开关等输入点数，以及安全接触器、阀、STO 等输出点数，并预留 20% 左右的扩展余量。第四，诊断覆盖率与共因失效。双通道结构并不自动等于高诊断覆盖率，还需要交叉监控、测试脉冲、反馈回读等机制来支撑。第五，与标准控制的集成方式。如果安全系统需要与 MES、SCADA 或标准 PLC 交换状态信息，应选择支持标准通信接口的安全 PLC，而不是孤立的安全继电器。

下面给出一个简化的安全功能清单示例，用于说明选型前的信息组织方式。假设某装配工位有一扇安全门和一个急停按钮，驱动一台三相异步电机，要求安全门打开时电机停止，急停按下时整机断能。

根据上述清单，如果只有这两个安全功能，且逻辑关系简单，选用一台安全继电器即可满足；但如果该工位后续还要增加光幕、安全激光扫描仪、双手控制等多个功能，并且需要与标准 PLC 共享状态，则应优先考虑安全 PLC 方案。施耐德电气 Modicon M580 Safety 支持安全 I/O 本地和远程扩展，安全程序与标准程序可在同一机架内分区运行，适合这种“当前简单、未来可扩展”的场景。

最后需要强调，安全回路设计不是“选一个安全 PLC 就结束了”。故障安全原则必须贯穿到接线、供电、接地、屏蔽和机械安装中。例如，急停按钮应使用常闭触点，确保断线时等同于按下；安全接触器应使用强制导向触点，以便反馈回路检测粘连；安全输出应避免与标准输出共用电源，防止标准侧故障串入安全侧。只有把安全功能定义、安全状态、故障安全原则和三层回路结构统一起来，才能形成真正可靠的安全回路。