📚 课程目录第2章安全控制器基础

2. 安全控制器基础

在进入故障注入与验证之前，必须先建立对安全控制器“为什么这样设计、凭什么算安全”的基本认知。安全控制器并不是普通 PLC 加几个冗余模块，而是围绕功能安全理念构建的一套可度量、可验证、可维护的安全相关系统。本节从功能安全概念出发，串联安全完整性等级（SIL）、典型架构与失效模式，为后续验证与故障注入建立分析框架。

一、功能安全的核心概念

功能安全（Functional Safety）关注的是：当系统或设备出现随机硬件失效、系统性失效或共因失效时，系统能否将风险降低到可接受水平。其核心逻辑是“风险 = 危害事件发生的概率 × 后果严重度”，安全控制器的任务就是通过安全功能把风险从不可接受区域拉回到可接受区域。

几个必须掌握的基础术语：

安全功能（Safety Function）：为达到或维持安全状态而由安全相关系统执行的功能，例如“超速时切断动力”“温度超限时关闭加热”。
安全状态（Safe State）：设备或系统在发生危险时进入的、使风险降到可接受程度的状态，通常为停机、断电、限速或保持安全位置。
安全相关系统（SRECS/EUC 控制系统）：执行安全功能的电气/电子/可编程电子系统，安全控制器是其核心部件。
安全生命周期（Safety Lifecycle）：从概念、设计、实现、验证、运行到退役的全过程管理，强调每个阶段都有输入、输出与验证证据。
硬件故障裕度（HFT）：系统在出现一个或多个故障后仍能执行安全功能的能力，是架构设计的关键参数。
诊断覆盖率（DC）：系统能自动检测到的危险失效比例，直接影响 SIL 可达等级。

功能安全的本质不是“不出故障”，而是“故障发生时仍能安全”。因此安全控制器设计始终围绕三个问题：故障能否被检测？检测后能否进入安全状态？进入安全状态的过程本身是否安全？

二、安全完整性等级 SIL

安全完整性等级（Safety Integrity Level，SIL）是对安全功能可靠性的分级，通常分为 SIL 1～SIL 4，等级越高，要求每小时危险失效概率（PFH）越低。IEC 61508 给出了低要求模式与高要求模式下的量化指标，过程工业常用低要求模式，机械与自动化领域常用高要求模式。

SIL 等级	低要求模式 PFDavg	高要求模式 PFH（1/h）	典型应用
SIL 1	≥10⁻² ~ <10⁻¹	≥10⁻⁶ ~ <10⁻⁵	一般机械防护、简单联锁
SIL 2	≥10⁻³ ~ <10⁻²	≥10⁻⁷ ~ <10⁻⁶	过程控制、机器人安全
SIL 3	≥10⁻⁴ ~ <10⁻³	≥10⁻⁸ ~ <10⁻⁷	化工、轨道交通、核电辅助
SIL 4	≥10⁻⁵ ~ <10⁻⁴	≥10⁻⁹ ~ <10⁻⁸	极高风险场合，工程实现极难

SIL 等级不是由单一器件决定，而是由“架构约束 + 安全失效分数 + PFH/PFDavg 计算”共同决定。常用参数包括：

λ_DU：未检测到的危险失效速率；
λ_DD：检测到的危险失效速率；
λ_S：安全失效速率；
SFF：安全失效分数，SFF = (λ_S + λ_DD) / (λ_S + λ_DD + λ_DU)；
HFT：硬件故障裕度，与 SFF 共同决定架构能否满足目标 SIL。

示例：某安全模块 λS = 200 FIT，λDD = 300 FIT，λDU = 50 FIT
SFF = (200 + 300) / (200 + 300 + 50) = 500 / 550 ≈ 90.9%
若 HFT = 1，SFF ≥ 90% 可支持 SIL 3 架构约束
最终 SIL 还需结合 PFH 计算与验证确认

三、典型安全控制器架构

安全控制器常见架构可按冗余方式与诊断能力划分。理解架构是理解故障注入目标的前提，因为不同架构的薄弱点、可注入点和预期响应完全不同。

1oo1（单通道）：结构简单、成本低，但无故障裕度，HFT=0，通常只能达到 SIL 1～SIL 2，依赖高诊断覆盖率。
1oo2（双通道并联）：任一通道可执行安全功能，安全性高，但可用性较低，误停车概率大，适合高安全需求场合。
2oo2（双通道串联）：两通道一致才动作，可用性高，但安全性低于 1oo2，HFT=0。
2oo3（三取二）：三通道表决，兼顾安全性与可用性，广泛用于 SIL 3 场合，HFT=1。
1oo2D（双通道带诊断）：双通道加诊断与切换，兼顾安全与可用，是安全 PLC 常见架构。

典型安全控制器内部通常包含：输入采集与诊断、安全 CPU 与表决逻辑、输出驱动与回读、电源与时钟监控、通信安全层、看门狗与测试电路。故障注入往往针对这些子模块的失效模式展开。

四、失效模式与故障注入的对应关系

安全控制器验证不能只做“功能正常”测试，更要验证“故障时是否安全”。故障注入正是把上述失效模式人为、可控地引入系统，观察诊断是否触发、系统是否进入安全状态、响应时间是否满足要求。

常见注入点与预期响应：

输入通道：注入信号断线、短路、漂移，验证输入诊断与安全状态切换。
CPU/存储器：注入 RAM 位翻转、ROM 校验错误，验证看门狗与自检机制。
表决逻辑：强制某通道输出错误值，验证 2oo3 表决能否屏蔽单通道故障。
输出通道：注入继电器粘连、回读不一致，验证输出诊断与断电保护。
电源与时钟：注入电压跌落、时钟丢失，验证监控电路与安全停机。
通信：注入 CRC 错误、报文丢失、延迟，验证安全通信层与超时响应。

故障注入不是“随便制造错误”，而是基于失效模式与诊断覆盖率设计测试用例。每个注入点都应明确：注入什么、预期诊断是否触发、预期安全状态是什么、允许响应时间是多少。

五、常见误区与复盘要点

在安全控制器学习与验证中，以下误区非常常见：

把 SIL 等级当成器件选型标签：SIL 是安全功能的整体属性，不是某个模块的“合格证”。
只关注危险失效，忽略安全失效：安全失效过多会导致误停车，影响可用性，同样需要评估。
认为冗余就能解决一切：共因失效会让冗余同时失效，必须通过多样性、隔离与诊断来抑制。
诊断覆盖率越高越好：诊断本身也可能失效，且高 DC 需要证明其有效性与独立性。
故障注入只测硬件：系统性失效、软件逻辑错误、通信协议缺陷同样需要注入验证。

安全控制器的验证结论必须可追溯：每条安全功能对应哪些失效模式、哪些注入用例、哪些诊断证据、哪些安全状态。缺少追溯链，SIL 声明就只是纸面数字。

掌握功能安全概念、SIL 量化逻辑、典型架构与失效模式之后，后续的故障注入实验才能有的放矢：知道往哪里注入、为什么注入、注入后看什么。安全控制器的“安全”不是靠感觉，而是靠架构约束、诊断覆盖与可验证证据共同支撑。