2. 安全基础概念
安全PLC与通用PLC的本质区别，不在于CPU主频多高、I/O点数多少，而在于其设计哲学：通用PLC追求“功能正确”，安全PLC追求“失效可知、危险可控”。在工业功能安全领域，我们使用SIL（安全完整性等级）和PL（性能等级）来量化安全系统的可靠性要求，用“危险失效”与“安全失效”来区分失效后果，用FMEA（失效模式与影响分析）来系统性地识别和评估潜在缺陷。本章将围绕这四个核心概念展开，帮助您建立安全PLC硬件架构设计的底层判断逻辑。
2.1 安全完整性等级（SIL）——从风险到量化指标
2.1.1 核心原理：SIL的本质是“失效概率的区间”
SIL（Safety Integrity Level）由IEC 61508（功能安全基础标准）和IEC 61511（过程工业安全仪表系统）定义，分为SIL1~SIL4四个等级。它描述的是安全功能在要求时执行规定动作的概率。SIL等级越高，要求的安全失效概率越低，对硬件架构的约束也越严格。SIL不是“性能指标”，而是“可靠性指标”——它关注的是系统在需要时能否可靠地完成安全动作。
| SIL等级 | 低要求模式（PFDavg） | 高要求模式（PFH） | 典型应用场景 |
|---|---|---|---|
| SIL 1 | 10⁻² ~ 10⁻¹ | 10⁻⁶ ~ 10⁻⁵ /h | 一般设备保护 |
| SIL 2 | 10⁻³ ~ 10⁻² | 10⁻⁷ ~ 10⁻⁶ /h | 人员安全保护 |
| SIL 3 | 10⁻⁴ ~ 10⁻³ | 10⁻⁸ ~ 10⁻⁷ /h | 重大人员伤亡风险 |
| SIL 4 | 10⁻⁵ ~ 10⁻⁴ | 10⁻⁹ ~ 10⁻⁸ /h | 灾难性事故（极少用） |
2.1.2 判断方法：如何确定目标SIL等级
确定SIL等级通常采用风险图法（Risk Graph）或保护层分析法（LOPA）。在硬件架构设计阶段，我们更关注的是：一旦确定了目标SIL，硬件架构必须满足相应的约束条件。例如，SIL 3要求硬件故障裕度（HFT）至少为1（即冗余结构），且安全失效分数（SFF）需达到99%以上。这意味着单通道PLC无论质量多好，都无法满足SIL 3的架构约束。
2.1.3 案例拆解：SIL等级对硬件架构的约束
某化工企业需要为反应釜安装紧急停车系统（ESD），经风险评估确定目标为SIL 2。在方案评审时，工程师提出使用单台安全PLC（1oo1架构）。我们分析：SIL 2要求PFDavg在10⁻³~10⁻²之间，单通道架构虽然理论上可能达到，但需要极高的诊断覆盖率（DC>90%）和极低的危险失效概率。实际中，单通道安全PLC的SFF通常只能达到90%~95%，且无法满足SIL 2对系统性的抗共因失效要求。最终方案改为1oo2冗余架构，虽然成本增加约40%，但PFDavg降低了一个数量级，且满足了HFT=1的架构约束。
2.1.4 常见误区与总结
- 误区一：认为SIL等级越高越好。实际上，SIL 4系统成本极高且维护复杂，过度设计反而增加故障点。
- 误区二：混淆“SIL认证”与“SIL能力”。认证是针对特定配置的，能力是指硬件平台可达的最高等级。
- 误区三：忽略系统性能力（SC）。SIL不仅要求硬件随机失效概率低，还要求全生命周期管理（如避免系统性设计缺陷）。
2.2 性能等级（PL）——机械安全领域的SIL
2.2.1 核心原理：PL与SIL的对应关系
PL（Performance Level）由ISO 13849-1定义，用于机械安全控制系统，分为a~e五个等级。PL的评估参数包括：类别（Category，B/1/2/3/4）、平均每小时危险失效概率（PFHd）、诊断覆盖率（DC）、共因失效（CCF）等。PL与SIL存在对应关系：PL a≈无SIL，PL b≈SIL 1，PL c≈SIL 1，PL d≈SIL 2，PL e≈SIL 3。但两者评估方法论不同——SIL更强调概率量化，PL更强调架构类别与措施。
2.2.2 判断方法：PL等级与架构类别的选择
在安全PLC硬件设计中，PL评估通常用于配合安全光幕、安全门锁等机械防护装置。选择PL等级时，需根据风险评估确定所需PL，然后选择满足该PL的架构类别。例如：
- Category 2：单通道+测试脉冲，适用于PL c，DC=60%~90%
- Category 3：双通道冗余，适用于PL d，DC=60%~90%
- Category 4：双通道冗余+高诊断覆盖率，适用于PL e，DC≥99%
2.2.3 案例拆解：包装机械的PL评估
某包装机械的码垛工位需要安装安全围栏与门锁联锁。风险评估确定所需PL为d。我们选用安全PLC的1oo2双通道输入模块，每个通道独立采集门锁信号，PLC内部进行冗余比较。该方案满足Category 3架构要求，DCavg约85%，PFHd计算为2.5×10⁻⁸/h，达到PL d要求。关键点在于：双通道必须物理隔离（不同PCB区域、不同连接器），否则共因失效会破坏冗余效果。
2.2.4 常见误区与总结
- 误区一：认为PL e一定优于PL d。实际上，PL e需要更复杂的诊断机制，可能增加误停机率。
- 误区二：忽略CCF（共因失效）评估。ISO 13849-1要求CCF得分≥65分，否则即使架构满足，PL等级也会降级。
- 误区三：将PL与SIL直接画等号。两者评估范围不同，PL更关注机械控制系统的整体性能。
2.3 危险失效与安全失效——失效后果的二元分类
2.3.1 核心原理：失效分类是安全架构设计的基石
在功能安全中，所有失效被分为两大类：危险失效（Dangerous Failure）和安全失效（Safe Failure）。危险失效指导致安全功能丧失或无法执行预定安全动作的失效；安全失效指导致系统误动作（如误停机）但不会造成危险后果的失效。进一步细分，危险失效又分为可检测的（DD）和不可检测的（DU），这是计算诊断覆盖率（DC）的基础。
| 失效类型 | 缩写 | 定义 | 示例 | 对系统影响 |
|---|---|---|---|---|
| 安全失效 | S | 导致系统进入安全状态 | 继电器触点粘连导致误跳闸 | 可用性降低，但安全性提高 |
| 危险可检测失效 | DD | 危险失效但被诊断功能发现 | 输出晶体管短路，被回读检测 | 系统可进入安全状态 |
| 危险不可检测失效 | DU | 危险失效且未被诊断发现 | CPU内部寄存器位翻转且无校验 | 最危险，安全功能可能失效 |
2.3.2 判断方法：如何区分危险失效与安全失效
判断标准是：该失效是否会导致系统在需要安全动作时无法执行？如果失效导致系统“该停不停”，则为危险失效；如果失效导致系统“不该停却停了”，则为安全失效。在硬件设计中，我们通过增加诊断覆盖率（DC）来将DU转化为DD，从而降低危险失效概率。
2.3.3 案例拆解：安全输出模块的失效分析
某安全PLC的输出模块采用双通道晶体管串联输出（1oo2结构）。我们分析以下失效场景：
- 场景A：Q1短路（C-E击穿），Q2正常。系统输出仍受Q2控制，但失去冗余。若诊断电路能检测Q1短路（通过回读），则属于DD；若不能检测，则属于DU。
- 场景B：Q1开路，Q2正常。系统无法输出，属于安全失效（S）。
- 场景C：Q1和Q2同时短路。系统无法切断输出，属于危险失效，且通常为DU（除非有独立的切断继电器）。
通过这个案例可以看出，硬件架构设计的目标是：将DU失效转化为DD失效，并通过诊断机制使系统进入安全状态。
2.3.4 常见误区与总结
- 误区一：认为“安全失效”越多越好。实际上，过多的安全失效会导致频繁停机，影响生产效率，甚至引发操作人员绕过安全装置。
- 误区二：忽略“诊断测试间隔”。即使诊断覆盖率很高，如果测试间隔过长（如24小时），在间隔期内DU失效仍然存在。
- 误区三：混淆“安全失效”与“故障安全”。故障安全是指系统失效后进入预定义的安全状态，而安全失效是失效的一种分类，两者概念不同。
2.4 失效模式与影响分析（FMEA）——系统化识别风险的工具
2.4.1 核心原理：FMEA是安全PLC设计的“体检表”
FMEA（Failure Mode and Effects Analysis）是一种自下而上的归纳分析方法，用于识别系统组件可能出现的失效模式、失效原因及其对系统的影响。在安全PLC硬件设计中，FMEA通常在概念设计和详细设计阶段进行，输出结果是后续FMEDA（失效模式、影响与诊断分析）的基础。FMEA的核心输出包括：失效模式、失效影响、严重度（S）、发生度（O）、检测度（D）以及风险优先数（RPN）。
2.4.2 操作流程：FMEA实施的五步法
- 定义分析范围：明确是分析整个PLC还是某个模块（如电源模块、CPU模块、I/O模块）。
- 分解系统层级：将系统分解为功能块、电路板、元器件、引脚等层级。
- 识别失效模式：对每个组件列出可能的失效模式（如开路、短路、漂移、卡滞）。
- 分析影响与后果：评估每个失效模式对系统安全功能的影响，判断是危险失效还是安全失效。
- 制定改进措施：针对高风险项（高RPN或高严重度）设计诊断机制、冗余结构或降额设计。
| 组件编号 | 组件名称 | 失效模式 | 失效原因 | 局部影响 | 系统影响 | 失效分类 | 检测方法 | 严重度 | 发生度 | 检测度 | RPN | 改进措施 |
|----------|----------|----------|----------|----------|----------|----------|----------|--------|--------|--------|-----|----------|
| U1 | 电源芯片 | 输出过压 | 内部基准漂移 | 3.3V变5V | CPU损坏 | 危险 | 电压监控 | 9 | 3 | 4 | 108 | 增加OVP电路 |2.4.3 案例拆解：安全PLC电源模块的FMEA实战
某安全PLC的24V电源模块，我们选取关键组件进行FMEA分析：
- 组件：DC-DC转换器（U1），输入24V，输出5V给CPU。
- 失效模式1：输出过压（5V→6V）。影响：CPU逻辑混乱，可能导致安全功能误动作。分类：危险失效。检测：通过电压监控电路（窗口比较器）检测，属于DD。改进：增加过压保护电路（OVP），将输出钳位到安全值。
- 失效模式2：输出欠压（5V→3V）。影响：CPU复位或死机。分类：安全失效（系统停机）。检测：通过欠压锁定（UVLO）检测。改进：增加看门狗电路，确保CPU在欠压时安全停机。
- 失效模式3：输出纹波过大。影响：数字电路误触发。分类：危险失效（可能被忽略）。检测：通过示波器测试，但无法在线检测。改进：增加输出滤波电容，并采用冗余电源设计。
通过FMEA，我们发现电源模块的过压失效是最高风险项（RPN=108），因此设计了双重保护：硬件OVP电路+软件电压监控。同时，将电源模块设计为可热插拔，便于维护时更换而不影响系统安全。
2.4.4 常见误区与总结
- 误区一：FMEA只做一次就结束。实际上，FMEA应贯穿设计迭代过程，每次设计变更后需重新评估。
- 误区二：只关注硬件失效，忽略软件失效。安全PLC的固件错误同样可能导致危险失效，应结合软件FMEA。
- 误区三：RPN阈值一刀切。不同行业对RPN的接受标准不同，应结合具体应用场景设定阈值。