1. 课程导入
工业自动化系统的可靠性要求正在从“设备可用”向“功能安全”演进。当一台冲压机、一条输送线或一套化工装置发生故障时，普通PLC可能只是停机报警，而安全PLC必须在毫秒级时间内将系统带入安全状态，避免人员伤害或设备损毁。安全PLC（Safety PLC）并非普通PLC的“加固版”，而是从架构设计、诊断机制、通信协议到认证流程都遵循独立标准体系的专用控制器。本章作为《安全PLC硬件架构设计实战》的开篇，将厘清安全PLC的定义边界、与普通PLC的本质差异、核心安全标准（IEC 61508与ISO 13849）的框架逻辑，并规划一条从硬件基础到实战落地的学习路径。
1.1 安全PLC的定义与功能安全边界
核心原理：安全PLC是指通过TÜV、BG等独立认证机构审核，符合IEC 61508或ISO 13849功能安全标准，能够在自身发生硬件故障、软件异常或外部干扰时，将受控设备安全地带入预定安全状态的可编程电子系统。其核心价值不在于“不会坏”，而在于“坏了也能安全地停下来”。安全PLC的硬件设计必须保证：任何单一故障（甚至某些多重故障）都不会导致危险失效（即失去安全功能）。这要求系统具备故障检测、故障反应和故障裕度三重能力。
判断方法：区分安全PLC与普通PLC，可以从以下三个维度进行判断：
| 判断维度 | 普通PLC | 安全PLC |
|---|---|---|
| 故障处理策略 | 检测到故障后停机报警，等待人工干预 | 检测到故障后自动进入安全状态（如切断动力电源），无需人工介入 |
| 硬件冗余结构 | 通常为单通道，可选冗余模块 | 内置1oo2（双通道并联）或2oo2（双通道互检）架构，且每个通道独立供电、独立时钟 |
| 诊断覆盖率（DC） | 通常低于60%，仅覆盖CPU和电源基本故障 | 要求DC≥99%（SIL 3），覆盖内存、总线、I/O、时钟、电源、通信全链路 |
| 认证要求 | 无强制认证，遵循IEC 61131-2即可 | 必须通过TÜV等机构认证，获得SIL 2/SIL 3或PL d/PL e等级证书 |
1.2 安全标准体系：IEC 61508与ISO 13849
核心原理：IEC 61508是功能安全的“母标准”，覆盖电气/电子/可编程电子系统全生命周期，定义了安全完整性等级（SIL 1~4）。ISO 13849则源自机械安全领域，采用性能等级（PL a~e）评估控制系统安全相关部件，更强调架构类别（B、1、2、3、4）与平均危险失效时间（MTTFd）、诊断覆盖率（DC）的组合计算。两者并非互斥，而是从不同维度描述同一安全目标。
关键参数对照：
| 参数 | IEC 61508（SIL） | ISO 13849（PL） |
|---|---|---|
| 危险失效概率（PFH） | SIL 2: 10⁻⁷ ~ 10⁻⁶ /h | PL d: 10⁻⁷ ~ 10⁻⁶ /h |
| 架构要求 | 冗余结构 + 诊断 + 多样性 | 类别2/3/4（对应不同冗余与测试机制） |
| 诊断覆盖率要求 | SIL 3要求DC≥99% | PL e要求DC≥99% |
| 适用场景 | 过程工业、大型设备、安全仪表系统 | 机械安全、机器人、装配线 |
判断方法：在硬件架构设计前，必须先明确目标安全等级。例如，一台伺服压装机需要PL d等级，则硬件架构至少满足ISO 13849类别3（双通道+诊断），且MTTFd≥30年、DC≥90%。若采用IEC 61508路线，则需计算PFH值并设计相应的冗余结构。
1.3 安全PLC与普通PLC的硬件架构差异
核心原理：普通PLC的硬件设计目标是“高可用性”，即尽量减少停机时间；而安全PLC的设计目标是“高安全性”，即任何故障都必须导向安全状态。这两种目标在架构上产生了根本性分歧。普通PLC采用单CPU+单总线结构，故障时可能输出不确定状态；安全PLC则采用双通道互锁结构，两个通道独立采集、独立运算、交叉比较，结果一致才输出。
硬件架构对比表：
| 硬件模块 | 普通PLC | 安全PLC |
|---|---|---|
| CPU | 单核，主频高，追求吞吐量 | 双核或双芯片，主频适中，强调同步与比较 |
| 内存 | 标准RAM/Flash，ECC可选 | 带SECDED（单纠错双检错）的RAM，Flash带CRC校验 |
| 输入回路 | 单端采样，RC滤波 | 双通道采样+测试脉冲输出，可检测短路/断路 |
| 输出回路 | 晶体管/继电器直接输出 | 双通道输出+反馈监测，输出前需“握手”确认 |
| 时钟 | 单晶振，失效后系统挂起 | 双晶振+频率监控，失步时触发安全停机 |
| 电源 | 单路DC/DC，过压/欠压保护 | 双路冗余电源+电压监控窗口，掉电时序可控 |
案例拆解：某化工装置紧急停车系统（ESD）原采用普通PLC实现，后因一次CPU死机导致安全阀未能在规定时间内关闭，引发介质泄漏。改造为安全PLC后，硬件架构变为2oo2结构：两个独立CPU同时执行安全逻辑，通过交叉通信比较中间结果。当其中一个CPU检测到异常（如内存校验错误），系统立即切断输出继电器电源，使阀门回到失电关闭的安全位置。整个响应时间从原来的120ms缩短至40ms，且通过了TÜV的SIL 3认证。
1.4 课程目标与学习路径规划
核心原理：本课程的目标是培养学员独立完成安全PLC硬件架构设计的能力，包括需求分析、架构选型、原理图设计、诊断机制实现、安全通信配置以及认证文档准备。学习路径遵循“标准理解→架构设计→模块实现→系统集成→认证验证”的递进逻辑。
学习路径清单：
- 阶段一（第1~5章）：功能安全标准精讲，掌握SIL/PL定级方法，理解安全生命周期模型。
- 阶段二（第6~12章）：安全PLC硬件模块设计，包括冗余CPU、安全数字量I/O、安全模拟量采集、电源与时钟监控电路。
- 阶段三（第13~20章）：安全通信协议（PROFIsafe、FSoE、CIP Safety）的硬件接口实现与诊断机制。
- 阶段四（第21~26章）：系统集成与故障注入测试，包括FMEDA分析、故障注入台架搭建、安全验证测试。
- 阶段五（第27~30章）：认证流程与文档体系，包括TÜV审核要点、安全手册编写、变更管理。
实战场景：假设你是一家运动控制设备厂商的硬件工程师，需要为新一代伺服驱动器设计安全停止功能（STO）。按照本课程路径，你将首先依据ISO 13849确定目标PL等级（通常为PL d），然后设计双通道STO硬件电路：两个独立MOSFET开关串联在电机动力线上，每个开关由独立的安全输出信号控制，并带有反馈监测。接着，你需要通过故障注入测试验证：当任意一个MOSFET短路时，系统能否在100ms内切断另一路开关。最后，整理FMEDA报告和测试记录，提交TÜV审核。
总结复盘：本章明确了安全PLC的定义边界——它不是普通PLC的升级版，而是遵循独立标准、具备故障安全特性的专用控制器。通过对比IEC 61508与ISO 13849的差异，理解了SIL与PL等级的计算逻辑。硬件架构上，安全PLC在CPU、内存、I/O、时钟、电源等模块均采用冗余+诊断设计，确保任何单一故障都不会导致危险失效。后续课程将逐一深入这些模块的具体实现方法。