满足功能安全标准的元器件设计

作者：Lisa Eitel

为了保护员工和设备免受伤害和损坏，安全一直是工业应用的重中之重。焊接、切割和冲压作业、高速轴操作以及危险工件或物质的搬运过程，都构成极大的安全威胁。在美国，工厂经营者必须满足职业安全与健康管理局 (OSHA) 有关安全设备、操作规程和培训方案的规定。除了这些系统外，还应该对工厂进行具体分析，以确定改善工人健康和延长设备寿命的实用方法。此外，自动化机械还必须能够执行自动机器动作或纠正潜在或确定不安全的条件或故障，以满足功能安全要求。

图 1：如今的灯塔使用 LED 提高能效和能见度。有些灯塔内置蜂鸣器，在出现安全违规时会发出 100 dB 警报声，以增强安全性。（图片来源：Menics）

功能性安全系统包括传感器、I/O、控制装置、开关、机电元器件、流体动力元器件等形式的电子元件，还包括软件，用于检测危险状况并改变机器状态以防止危险状况的发生。功能安全设计和法规最早起源于欧盟，如今应用于世界各地的供应商、机器制造商和最终用户。其中统一的欧洲规范 (EN) 和国际电工委员会 (IEC) EN/IEC 62061 标准（载于欧盟机械指令 2006/42/EC 中）以及国际标准化组织 (ISO) EN/ISO 13849-1 标准应用最为广泛。

ISO 13849-1 和 IEC 62061 可以交叉参考，OEM 和最终用户可任选其一。唯一需要注意的是，功能安全与机器和控制装置有关，与器件或元器件无关，尽管后者可提供满足特定安全等级的功能支持。

EN/IEC 62061详细说明了永久安装（非便携式）机器或工厂安装的SRECS的设计、集成和验证的要求和建议，包括与安全有关的 电气、电子和可编程控制。EN/IEC 62061 安全完整性等级 (SIL) 将系统的功能安全分为 1 级（最基本）到 4 级（最综合复杂），其中机器的最高等级为 SIL3。需要达到的 SIL 取决于所面临的风险，包括风险暴露的经常性、潜在伤害的严重性、发生概率以及机器操作员的规避动作可以帮助避免伤害的可能性。

SIL        需求失效概率        风险降低因数
1        0.1 至 0.01           10 至 100
2        0.01 至 0.001         100 至 1000
3        0.001 至 0.0001       1000 至 10,000
4        0.0001 至 0.00001     10,000 至 100,000
表 1：需要达到的 SIL 取决于发生特定不安全状况时的伤害严重程度，以及发生该状况的可能性。（表格来源：IEC）

相比之下，EN/ISO 13849-1:2005详细规定了基于SRP/CSs的要求和建议--控制系统的安全相关 部分。通过 SRP/CS 性能水平可以对机器的安全能力进行量化，无论是什么子部件。该标准采用了众所周知的功能安全性能水平 (PL) 评级 — 从“a”（最基本）到“e”（最综合复杂）。需要达到的 PL 取决于所面临的风险，包括适用于 SIL 的风险，以及重复暴露于机器危险的频率和持续时间。此外，完整的 PL 评级包括类别编号（表示整体系统架构）和平均危险失效时间（即 MTTFd）。

图 2：对于特定的装置，适当的功能安全等级取决于定性变量、定量值和基于软件的分析结果。（图片来源：Design World）

要满足 IEC 61508 和 IEC 62061 标准，需要测试安全控制装置（以及验证机器模式、状态标准和校正），以确认机器的功能安全等级。EN ISO 13849-1 和 2 还要求进行记录在案的测试（静态和动态），以确认无缝的安全控制集成。

操作员触发的安全元器件

许多安全相关的元器件设计为可接受来自工厂人员的输入，而不经过机器或防护装置的一些中间部分或枢轴。这包括触摸式安全垫、光幕、控制台以及人机界面 (HMI)、可触摸机械锁以及亮红色蘑菇头停止按钮（供紧急情况使用）。面向人员的安全元器件还包括外壳（根据 NEMA 等级保护内部元器件）以及机器防护罩和电线管道 — 简单而可靠的机器安全元件，可保护必须在机器及其电源和控制面板附近（有时在里面）工作的人员。

在危险的机器部分周围布置拉绳开关，操作员可通过快速拉动触发紧急停止 (e-stop)。这在开放式机器（无法防护）以及无防护的传送带周围尤其常见，这些安全元件与隔离开关不同，后者可以断开电路并防止人员进入危险的工作单元。其他安全元件包括安装在机床开口周围的安全边缘（长条）（特别是执行切割或压制任务的机床）和地板安全垫，对于后者，当检测到操作员踩踏或站立在其表面时，便会（通过专用安全继电器）触发安全响应。

上面提到的光幕更为复杂。光幕包括一个光束发射器，如果光束前往接收器的途中在探测平面上被中断，便会迅速停止危险过程。光幕的成本高于其他选项，但在机器操作员经常与机器部分互动的应用场合，使用光幕较为合理。另一个复杂的安全元器件是双手安全控制台。该控制台通常需要同时激活独立的开关以启动或维持机器的运行。

所有操作员触发的安全元器件（以及它们所整合的安全逻辑或控制）在被确信能够保护工厂人员和设备之前，必须经过验证。例如，IEC 61508 和 IEC 62061 测试标准要求，如果操作员将逻辑和现场设备之间的第一通道跳闸，使用冗余继电器的紧急停止开关应该起作用，并且也应该在它们之间的第二通道上起作用。这种冗余紧急停止功能将在机器调试期间单独验证。

自动安全开关、传感器和防护装置

图 3：激光扫描器是一种非接触式安全反馈元器件，以其在 AGV 导航设施中的应用而广为人知。但它的应用范围其实非常广泛，而且有时可以作为光幕的替代方案。（图片来源：IDEC）

除了人员触发的安全相关元器件外，也有用于自动机器功能的安全元器件。

带闩锁和开关的内置锁定装置

开关和联锁是机器工作单元外围的重要元件。安全限位开关带有可自动验证机器元件的位置或运动的触头。相反，具有更高等级功能的安全开关（即联锁安全开关）则使用舌形或铰链联锁机构作为防篡改的机器防护装置，具有精准驱动（双重验证的 NO 和 NC）开关触头。配有机械钥匙和锁的安全钥匙联锁开关可以让进入机器工作区的门保持关闭状态，直至可以安全进入。不过，非接触式 RFID 和磁性安全开关变得越来越常见，用于监控工作区门的位置（打开或关闭），并在危险过程期间禁止操作员进入。

配有断路器和隔离器的内置安全装置

由机器状态触发的安全元器件还包括那些用于确保电气安全的元器件。断路器（与保险丝非常相似）可以防止主电路、电力支线和信号电路上的过载电流产生有害和危险的影响。有些装置配备隔离器，用于现场设备和控制装置之间的电隔离，以确保本质安全操作。除了所有电气安全设计外，电涌保护元器件可防止电压尖峰损坏主电源和驱动电源和/或反馈和控制信号分配所用的电气和电子自动化元器件。

配有制动器的内置机械安全装置

安全制动器也被称为故障安全制动器。这些制动器默认处于停止状态（通常是锁定或抱紧一个运动轴），即使电力或流体动力失效或停止时亦如此。所有制动器都依靠弹簧或其他机械动作来实现这种故障安全操作。

例如：在伺服电机驱动的自动化应用中，通常将气动释放的弹簧组摩擦制动器作为故障安全制动器。所有制动器都必须具有证明符合 ISO 13849-1 标准的评级（一般由国际产品测试组织 Intertek Group 给出）。由于具有机械锁定，这些制动器在抱紧时不消耗电力，这为安全级性能提供了最大的可靠性，并避免了其他电气停止模式常见的过热现象。寿命是指系列中所有元器件的一定比例因同一原因（可预测）而失效之前所经历的循环次数（单位：百万次循环）。如果 IIoT 功能有用，故障安全制动器也可以包括车载诊断和传感器反馈，以跟踪运行状态。

具有最高功能安全等级的制动器包含多个弹簧，通过与制动器壳体内的固定元件相互作用的摩擦面，机械地锁定机器轴。安全标准还要求包含传感器，以确认制动状态。

安全继电器和其他安全控制装置

图 4：只需要少量安全 I/O 的简单设备可以采用类似图中所示的经济实惠的机电式安全继电器。（图片来源：Omron Automation and Safety）

为安全开关、传感器和防护装置提供功能支持的是安全继电器和其他控制装置。所有功能都有一个共同的能力，即（在需要时）通过停止电力或流体动力将机器带入安全状态 — 或将仍有动力的机器减速或锁定为安全状态。

用于硬接线安全的继电器

一种故障安全控制装置选择是安全继电器模块。这种模块采用具有短路和过压保护功能的电子装置以及互补的继电器。硬接线的机电继电器已经使用数十年；只需连接到自动控制装置，并（与紧急停止机制或光幕配合）根据需要断开机器子部分的电力。缺点包括需要在现场进行大量的布线，以及缺乏可重新配置性。更先进的安全继电器采用 I/O 和模块化设计，便于与传感器、机器控制装置和自动化网络灵活集成。

用于可编程安全的安全控制器

另一个符合故障安全标准的安全选择是集成专用安全控制器。这种控制器比继电器更适合复杂的自动化系统，因为它们可以服务于更大的 I/O 阵列以及 PLC 功能。有一点需要注意的是，这些独立的安全控制器需要额外的编程和人员培训。但其数字电子器件允许通过软件实现完全可配置的自动化功能。

图 5：安全控制器可以统合多种安全功能，实现灵活且可重新配置的安全装置。在图示的工作单元中，第一个安全电路包括一个光幕，可（在报告中断状态时）打开一个电路开关以停止转盘。第二个安全电路集成了静音控制，如果有工件在转盘停止时进入工作单元，可以让机器人正常运行。如若不然，该电路将打开一个开关以禁用机器人。第三个安全电路包括一个紧急停止装置，可以打开所有开关并停止转盘和机器人。（图片来源：Panasonic Industrial Automation Sales）

工程师可以定义需要安全覆盖的区域，并修改其设置，而不需要对整个工作单元重新布线。（这反过来又减少了布线五金件和人工成本）。通常，基于安全控制器的装置还支持网络扩展和 IIoT 连接，满足业务发展需求。

安全级工业控制装置上的集成安全

第三种故障安全控制装置选择在复杂的机械中越来越常见，即集成式安全 PLC、可编程自动化控制器 (PAC) 和其他基于 PC 的控制装置。此类电子硬件中，有些除了日常机器功能外，还具备安全功能，因此可以对自动化机器设备及其操作所需的安全功能实现可编程故而灵活的控制。

总结

要确保足够的机器安全，需要反馈和控制元器件能够提供与特定应用的危险相称的保护级别。机器安全还需要适当的元器件集成、文件记录和验证。后者确保安全电路在所有机器操作模式下都能正常工作，甚至在故障发生期间。

IEC 61508 和 62061 安全生命周期标准规定了如何正确执行安全集成 — 从最初的风险评估和设计到 OEM 对已安装系统性能的实际验证，以及在机器安装后再次由最终用户或为最终用户进行的验证。后者通过测试正常的操作顺序、减速、停止和复位规程，确保机器“通过考验”。