摘要：自動化設備的控制系統中除了能滿足應用的智能控制以外安全控制至關重要，安全相關系統可以最大限度地防止這些高度集成和智能設備的不安全狀態(tài)，防止惡性事故的發(fā)生或在事故發(fā)生后盡可能地減少損失，保護裝置及最重要的人身安全。本文闡述了安全相關系統的背景，根據經驗總結了一些關于自動化控制中安全相關系統的設計原則，以及安全特殊器件、安全回路、安全聯鎖機制、安全轉矩關斷功能等幾種具體的設計方法。
關鍵詞：安全相關系統 安全繼電器模塊 安全回路 安全聯鎖機制 安全轉矩關斷功能
Abstract：Automation equipment control system except can satisfy the application of intelligent control in the safety control is crucial, safety related system can maximize prevent unsafe state of these highly integrated and intelligent equipment, prevent vicious accidents or reducing losses as much as possible after the accident, personal safety protection device and the most important. This paper describes the background of safety related system, and summarizes some design principles of safety related system in automatic control, as well as several specific design methods such as safety special device, safety loop, safety interlock mechanism and safety torque turn-off function.
Keyword：Safety related system Safety relay module Safety circuit Safety interlocking mechanism Safety torque shutoff function
【中圖分類號】TE687.1 【文獻標識碼】B 文章編號1606-5123（2019）11-0046-05
1 引言
近半個世紀以來，我國工業(yè)的飛速發(fā)展給人們帶來巨大經濟效益的同時，也伴隨著越來越多的工控設備引起的火災、爆炸、人身傷亡等安全事故。特別是高溫、高壓、易燃、易爆、有毒的行業(yè)。同時機械、工業(yè)裝置等設備越來越集成化和自動化，在這些自動化設備的自動控制系統工作不正常情況下（電氣、電子及可編程電子設備的失效）有可能產生諸如火災、爆炸、輻射超劑量、機械卷入等危險事件，對人員和環(huán)境產生一定風險，輕者設備損壞，重者機毀人亡。
自動控制系統中這種電氣、電子及可編程電子設備的失效既可能因為器件的物理故障（隨機硬件失效），也可能因為系統性故障（在系統的設計和規(guī)范中人為錯誤在一些特別輸入組合的情況下導致的系統性失效）或者因為某個環(huán)境條件而產生。為了確保裝置和設備安全的自動運行，防止和/或控制電氣、電子或者可編程電子設備的失效，能提供一個基于風險方法的整體框架的安全相關系統就顯得非常有必要了。
2 功能安全IEC與GB標準
2.1 IEC-61508
2000 年5 月，國際電工委員會 (IEC)正式發(fā)布了IEC-61508標準，名為“電氣/電子/可編程電子安全系統的功能安全”。該標準共計七個部分，涉及到1000多個規(guī)范。該標準針對起安全作用的電氣/電子/可編程電子系統(E/E/PE)提出了一個基礎、合理的技術方案，并建立一個相應的評價方法，綜合考慮如傳感器、通信系統、控制裝置、執(zhí)行器等元器件與安全系統組合的問題。
2.2 IEC-61511
2003年1月，在IEC-61508的基礎上，IEC又發(fā)布了IEC-61511“過程工業(yè)部門儀表型安全系統的功能安全”。對過程工業(yè)領域中安全相關系統的設計、安裝、調試、運行和維護等一系列的要求進行標準化，并對應用和安全整體級別的確定方面提供指導。
2.3 GB/T 20438
我國標準GB/T 20438就是與IEC-61508標準相對應的關于針對所有以電為基礎的安全相關系統提出的通用方法。在自動化設備控制系統中安全相關系統的設計、安裝、調試、運行和維護有著重要的指導意義。
3 安全相關系統的設計原則
由于自動化設備控制系統高度集成和自動，其安全相關系統的設計就顯得至關重要。根據我關于電梯控制、自動化碼頭、智慧物流等系統的設計經驗，總結了以下關于安全相關系統設計時應能滿足相關標準以外還應充分考慮的設計原則。
3.1 獨立設置原則
安全相關系統應獨立于自動化控制的過程控制系統，以降低控制功能和安全功能同時失效的概率，使安全相關系統不依附于過程控制系統就能獨立完成自動保護和聯鎖的安全功能。
設計時必須考慮配置相應的通訊接口，使得過程控制系統也能夠監(jiān)視安全相關系統的運行狀態(tài)。
需要獨立設置的部件包括檢測元件、執(zhí)行元件、邏輯運算器、安全控制器件，以及與過程控制系統之間或其他設備的通訊組件。
對于較為復雜裝置的安全相關系統適合分解為若干子系統，各子系統相對獨立且分別設置后備手動功能。
3.2 結構選用的原則
安全相關系統應采用容錯系統。在一個或多個元件發(fā)生故障時，系統仍然具有繼續(xù)運行的能力。對于以邏輯運算器為基礎的容錯系統來說，一般都會采用冗余結構，并可參考采用以下方法：
● 對于有相互關系的參數之間可以使用不同的測量方法(如壓力和溫度)；
● 對于同一變量采用不同的測量技術(如渦街流量計和電磁流量計)；
● 對于冗余結構的每一個通道采用不同類型的可編程電子系統；
● 對于冗余的通訊結構來說可以使用不同的地址。
3.3 技術選用的原則
安全相關系統可以采用電氣、電子或可編程技術，也可以采用電氣、電子和可編程技術混合的方案。
在高負荷周期性的頻繁改變狀態(tài)時，作為定時器或鎖定功能使用和復雜的邏輯應用場合時均不可以使用繼電器。這時候可以考慮選用固態(tài)繼電器，但也需恰當處理好故障安全模式。
另外要注意的是對于安全相關系統一般不推薦使用固態(tài)邏輯，即將內部邏輯元件（與、或、非等）用直接連線的方式來獲得邏輯功能，而一般這些功能在故障安全方面是受限制的。
3.4 故障安全原則
安全相關系統必須是故障安全型的。所謂故障安全是指檢測元件和最終執(zhí)行元件在系統正常時應該是勵磁的，即得電狀態(tài)；在系統故障時應是非勵磁的。這也稱之為非勵磁停車設計。
3.5 中間環(huán)節(jié)最少原則
自動化控制系統作為一個高效的系統，安全相關設計的中間環(huán)節(jié)越少越好，盡可能地采用最直接的測量和最可靠的執(zhí)行方式，避免繁瑣復雜和不必要的設計以及過多的電-氣、氣-電轉換環(huán)節(jié)，另外在運行時也要考慮對人員干預和選擇環(huán)節(jié)的需求是最少的或者沒有。
針對上面描述的安全相關系統的設計原則，以下就關于自動化控制系統中具體的安全相關系統設計的幾種方法做詳細分析。
4 安全特殊器件
隨著惡劣工作環(huán)境下的人工成本的增加，自動化程度較高設備在這類場合的應用最為廣泛，控制系統的安全也最為重要。在這種多粉塵、含有易燃易爆氣體環(huán)境下的控制系統設計時必須使用特殊器件。這些器件能直接在不安全環(huán)境下運行或者將不安全環(huán)境下的信號處理后進入自動化設備的控制系統。
4.1 防爆電氣設備
市場上的防爆儀器儀表、防爆開關、防爆啟動器等防爆電氣設備是不會引起周圍爆炸性混合物爆炸的電氣設備，算是比較特殊的安全設備了。防爆電氣設備是用隔離的方式來從控制易爆源、控制爆炸范圍、控制引爆源來實現安全控制的。這種防爆電氣設備能直接安裝在不安全環(huán)境下運行,我們在相關系統設計時可參照國家標準GB3836-2000體系環(huán)境來選擇這些防爆電氣設備。GB3836-2000標準體系把防爆電氣設備分為以下類型：
（1）隔爆型a：隔爆外殼既能承受內部爆炸混合物的爆炸壓力，也能阻止內部的爆炸向外殼周圍爆炸性混合物傳播。
（2）增安型b：在其結構上采取措施，提高安全程度，以避免在正常或規(guī)定的過載條件下出現電弧、火花或可能點燃爆炸性混合物的高溫。
（3）本質型c：在規(guī)定條件下，在正常工作或規(guī)定的故障狀態(tài)下，產生的電火花和熱效應均不能點燃爆炸性混合物的電路
（4）正壓型d：向外殼內通入保護性氣體，保持內部保護性氣體的壓力高于周圍爆炸性環(huán)境的壓力，以阻止外部爆炸性混合物進入殼內的外殼。
（5）充油型e：將全部部件、可能產生電火花或過熱的部分部件浸在油內，使其不能點燃油面以上或殼外的爆炸性混合物。
（6）充砂型f：外殼內部充填砂粒材料，使其在規(guī)定條件下外殼內產生的電弧、傳播的火焰、殼壁或砂粒材料表面的過熱溫度均不能引燃該型設備周圍的爆炸性混合物。
（7）無火花型g:使設備在正常運行時不產生具有點燃作用的電弧、火花或危險溫度，并且在一般情況下也不會發(fā)生具有點燃作用的電氣或機械故障。
（8）澆封型h：將整臺設備或其中部分即可能產生點燃爆炸性混合物的電弧、火花或高溫部分澆封在澆封劑中，在正常運行和認可的過載或認可的故障下不能點燃周圍的爆炸性混合物
（9）氣密型i：該外殼用熔化、擠壓或膠粘的方法進行密封，防止殼外的氣體進入殼內，使之與引燃源隔開。
（10）特殊型j：采取在結構上不屬于上述基本防爆類型或上述基本防爆型的組合的其他特殊措施，具有防止引燃爆炸性氣體混合物能力。
（11）粉塵防爆k：外殼能阻止可燃粉塵進入或進入量不會妨礙設備安全運行，內部堆積的粉塵也不易產生點燃危險，從而保證使用時不會引起周圍爆炸性混合物爆炸。
4.2 信號安全柵
信號安全柵就是接在安全區(qū)電路和非安全區(qū)電路之間的電器件，通過信號安全柵能將安全區(qū)電路和非安全區(qū)電路之間進行電信號傳輸。信號安全柵是將安全電路的電壓或電流限制在一定的安全范圍內從而實現安全控制目的。信號安全柵分齊納式安全柵和隔離式安全柵。
（1）齊納式安全柵：
圖1 齊納式安全柵拓撲圖
如圖1所示，齊納式安全柵電路中采用快速熔斷器F、限流電阻R和限壓二極管D以對輸入的電能量進行限制，從而保證輸出到危險區(qū)的能量。齊納安全柵它的原理簡單、電路實現容易、價格低廉，但因由于其自身原理的缺陷使其應用中的可靠性受到很大影響，并限制了其應用范圍，其原因如下：
● 安裝位置必須有非常可靠的接地系統，并且該齊納式安全柵的接地電阻必須小于1Ω。
● 齊納式安全柵對電源影響較大，同時也易因電源的波動而造成齊納式安全柵的損壞。
● 由于齊納式安全柵的電路原理需要吸收輸入回路的能量，所以易造成輸出不穩(wěn)定。
● 要求來自危險區(qū)的現場儀表必須是隔離型，否則通過齊納式安全柵的接地端子與大地相接后信號無法正確傳送，并且由于信號接地，直接降低信號抗干擾能力，影響系統穩(wěn)定性。
（2）隔離式安全柵：
圖2 隔離式安全柵拓撲圖
如圖2所示拓撲圖中，隔離式安全柵采用了將輸入、輸出以及電源三方之間相互電氣隔離的電路結構，與齊納安全柵相比，隔離式安全柵除具有限壓與限流的作用之外，還帶有電流隔離的功能。隔離柵通常由回路限能單元、電流隔離單元和信號處理單元三部分組成。回路限能單元為安全柵的核心部分。此外，輔助有用于驅動現場儀表的回路供電電路和用于儀表信號采集的檢測電路。信號處理單元則根據安全柵的功能要求進行信號處理。對隔離式安全柵使用有以下特點：
● 由于采用了三方隔離方式，因此無需系統接地線路，給設計及現場施工帶來極大方便。
● 由于信號線路無需共地，使得檢測和控制回路信號的穩(wěn)定性和抗干擾能力大大增強，從而提高了整個系統的可靠性。
● 具備更強的輸入信號處理能力，能夠接受并處理熱電偶、熱電阻、頻率等信號。
● 可輸出兩路相互隔離的信號，以提供給使用同一信號源的兩臺設備使用，并保證兩設備信號不互相干擾，同時提高所連接設備相互之間的電氣安全絕緣性能。
● 對危險區(qū)的儀表要求大幅度降低，現場無需采用隔離式的儀表。
4.3 信號隔離器
信號隔離器是將傳感器或儀表信號通過半導體調制變換后通過光感或磁感器件進行隔離轉換，然后再進行解調變換回隔離前原信號，同時對隔離后信號的供電電源進行隔離處理。信號隔離器就是通過保證隔離后的信號、電源、地之間絕對獨立，非安全區(qū)和安全區(qū)不能互相影響和干擾，從而實現安全控制的目的。
信號隔離器實際上是將信號進行了電-光、光-電或者電-磁、磁-電的轉換處理。這種方式不僅能保護下級控制電路，還能削弱環(huán)境噪聲對檢測電路的影響，抑制公共接地、變頻器、電磁閥及不明脈沖對設備的干擾，同時還有對下級設備限壓、額流的功能。
在設計控制系統時要考慮信號隔離器安全區(qū)和非安全區(qū)接線完全隔離，信號隔離器不能直接在危險環(huán)境中安裝。在變送器、儀表、變頻器、電磁閥、PLC和DSC等輸入輸出通訊電路設計時可使用信號隔離器。
4.4 安全繼電器模塊
將安全繼電器和其他組件組合配套，把基本的緊急停止電路、安全電路組成電路模塊的產品稱為安全繼電器模塊。可以看出來安全繼電器模塊是由數個安全繼電器與電路組合而成，“安全繼電器”并不是“沒有故障的繼電器”，而是發(fā)生故障時做出有規(guī)則的動作，它具有強制導向接點結構，萬一發(fā)生接點熔結現象時也能確保安全。安全繼電器模塊能互補一般繼電器彼此的異常缺陷，達到正確且低誤動作的繼電器完整功能，使其失誤和失效值愈低，安全因素則愈高。
同時安全繼電器模塊是基于雙路冗余思想設計的一個功能器件，通過安全模塊搭建一個安全回路。簡單地說，安全繼電器模塊都是雙通道信號型，只有兩個通道信號都正常時，安全繼電器模塊才能正常工作；在工作過程中，只要其中任一通道信號斷開，安全繼電器模塊都會停止輸出，直到兩個通道信號都正常且復位后才能正常工作。
安全繼電器模塊是接受安全輸入，通過內部回路的判斷，確定性的輸出開關信號到設備的控制回路里。安全繼電器模塊使用環(huán)境如下：
● 在緊急停止解除時，設備不允許出現突然再啟動；
● 設備安全電路發(fā)生故障時，需要停止設備動力電源；
● 設備安全電路發(fā)生故障時，機器不允許再啟動。
由此，在安全相關系統設計時安全繼電器模塊具體應用場合包含以下部分：
● 電磁門鎖開關的應用，確保作業(yè)區(qū)的安全；
● 鑰匙配合安全門開關，作為檢測門開閉之用；
● 安全門限開關，檢測門的位置，開或者關的應用；
● 安全光幕，防止工作人員進入危險工作范圍；
● 安全墊開關，確認工作人員可以安全進入危險工作區(qū)域；
● 緊急停止按鈕，緊急情況下，停止機器運轉。
安全繼電器模塊需要和安全回路配合使用，安全繼電器模塊在不同應用行業(yè)以及不同的場景應用中接線模式不同，具體可參見相關行業(yè)標準以及制造商提供的產品技術規(guī)格書。
5 安全回路
將安裝在自動化設備各安全關鍵部件上的安全開關信號串聯起來，控制一只安全繼電器（模塊），這個回路就是安全回路。安全回路中只有在所有安全開關都在接通的情況下，安全繼電器（模塊）吸合，設備才能得電運行。
最早安全回路應用在電梯控制系統中，后來在自動化碼頭、智慧物流等高度自動化的控制系統中也有推廣應用。安全回路中一般有多個安全開關，常見的電梯控制系統中安全回路使用的安全開關有如下（按照安裝部位分類）：
機房：控制屏急停開關、相序繼電器、熱繼電器、限速器開關；
井道：上極限開關、下極限開關；
地坑：斷繩保護開關、地坑檢修箱急停開關、緩沖器開關；
轎內：操縱箱急停開關；
轎頂：安全窗開關、安全鉗開關、轎頂檢修箱急停開關。
6 安全聯鎖機制
在同一設備的控制系統中增加一套傳感器信號檢測裝置，兩套檢測裝置分別檢測和處理信號，最后將信號形成安全聯鎖控制運動機構，該聯鎖機制可有效降低傳感器失效造成不良后果，因此實現安全控制目的。
比如增加一套液位檢測傳感器信號和原來一套液位檢測傳感器信號進行聯鎖處理，可對長期處于有毒有害液體等惡劣環(huán)境下降低傳感器失效帶來的損失。
不僅如此，將“安全回路”中安全開關分一路信號進入可編程控制器，程序中將這些來自不同安全部件上的信號串聯起來構成“軟安全回路”，軟安全回路信號和硬件信號串聯的硬安全回路信號形成聯鎖處理，可降低安全開關一旦失效造成的不良后果。
6.1 轉矩關斷功能
電機在整個自動化設備中是直接驅動運動機構的動力設備，而變頻器（伺服控制器）就成為最佳的電機控制設備了，變頻器（伺服控制器）驅動電機運行中安全和可靠尤為重要，這種安全和可靠表現在兩個方面：在緊急情況下能迅速制動和當不滿足安全條件時不能啟動。
變頻器（伺服控制器）的這種“安全停止”功能(SAFE TORQUE OFF安全轉矩關斷，縮寫為STO)是組成安全系統的一部分。在重要的驅動機構中可使用變頻器（伺服控制器）的“安全轉矩關斷”，該功能被激活時變頻器（伺服控制器）可切斷對電機的電能供給，電機失去電能就無法向外輸出轉矩也就無法啟動。因此實現安全控制設備的目的。
7 結束語
由于工控設備控制系統自動化程度越來越高，眾多的電氣、電子等器件或設備構成的控制系統在各個領域中執(zhí)行著種種高度集成和智能功能，其中安全控制較為重要。我們在實際控制系統設計時需要全面了解該自動化設備應用行業(yè)標準、現場環(huán)境、工藝控制要求，不僅要熟悉現有的一些安全設計方法，還要不斷學習和探索新型自動化設備或行業(yè)的安全相關系統設計技巧。在讓自動化設備的控制系統更加智能的同時，更加安全可靠也應是系統集成設計工程師們的重要任務，需大家再接再厲。
參考文獻
[1] GB∕T 20438.2-2017 電氣∕電子∕可編程電子安全相關系統的功能安全 第2部分：電氣∕電子∕可編程電子安全相關系統的要求.
[2] GB3836《爆炸性環(huán)境用防爆電氣設備》.
[3] GB7588-2003《電梯制造與安裝安全規(guī)范》.
作者簡介
林志剛 男 工學學士 電氣工程師 研究方向為工業(yè)自動化系統集成工程