安全PLC 系统在物料搬运行业的应用

张一然 郝鹏飞 袁 楷 张柯林 王 毅

北京起重运输机械设计研究院有限公司 北京 100007

0 引言

近些年，由于工业事故致使人员伤亡、财产损失和环境污染的情况频发，使人们更深刻认识到建立安全工业流程的必要性。随着工业安全的普及，新的安全国际标准IEC 61508—2000《电气/电子/可编程电子安全系统的功能安全》和国家标准GB/T 20438—2017《电气/电子/可编程电子安全相关系统的功能安全》应运而生。国内外各行各业对于控制系统中电气控制功能的安全要求也日益提高，许多欧美国家已经将此类要求作为项目投标的必要条件。目前，我国在这方面尚还处于发展初期，大部分设备都具有潜在的危险性且没有完善的防护措施，这也是安全事故频发的重要原因之一。

近些年，国家对这类问题重视度日渐提高，设备的安全性和稳定性已然成为大家重点关注的焦点。在不断拓展海外市场的过程中，对设备的控制系统及安全性要求越来越高，必须要达到国际标准。因此，安全控制系统在起重运输设备中起到至关重要的作用，也是用户判定供应商提供的设备是否可靠的重要指标之一。

1 电气系统安全控制的方式及选型基本原则

电气系统需要设计一种稳定的安全保护机制，尽可能地消除机械设备的安全隐患，为设备安全和人身安全提供有力保障，杜绝重大安全事故发生，避免造成经济上的损失。安全系统在设备启动、停止、出现不稳定状态以及检修模式工作期间都应对设备起到保护作用。如设备现场发生危急情况，安全保护系统应立即启动响应机制并及时做出反馈，保障设备安全停机。

电气系统安全控制的方式从安全等级由低到高大体上可以分为3 种：由安全继电器搭建的回路、安全PLC和安全总线系统、可编程的模块化安全控制系统。

由安全继电器搭建的安全回路可用于控制单一或数量较少的安全功能，主要适用于单机或简单自动化生产线等小型安全控制系统；安全可编程逻辑控制器（F-PLC）和安全总线系统适用于大型、离散式的安全控制系统。20 世纪末，安全PLC 问世，其可编程序性能强大，使用安全总线能实现较高要求的安全控制，但成本较高；可编程的模块化安全控制系统是近年推出的安全控制模块类产品，介于安全继电器和安全PLC 之间，具有一定的可编程能力和扩展性，价格相对不高。

根据EN954-1《机械安全-控制系统有关安全的部件》安全等级的基本要求，首先依据机器的工作模式、功能对机器工作可能存在的所有危险进行分析、评估，确定设备各个部分的危险等级，从而选择相应的安全等级，一般选3 级即可满足大多数的应用。然后对所有需要安全保护的部分进行统计，包括输入、输出、保护的安全等级，系统的工作模式，系统的复位方式等。最后设计、选择合适的安全保护方式和产品。

2 设备系统结构及安全PLC 应用实例

物料搬运设备的系统主要应包括检测元件、执行机构、控制系统3 部分。物料搬运设备通常具有运行空间较为开阔、可能出现运行人员和检修人员的点位较多、设备与设备之间的交互控制较为复杂等特点。因此，物料搬运设备系统应由以下组件构成：输入设备（包括主令控制器、各种安全限制器、急停开关等）、逻辑控制器（系统PLC 和安全PLC 等）、执行机构（运行设备、夹具设备等）。

安全PLC 系统是一个具有特殊结构形式和特殊处理方式的PLC 安全认证系统。安全PLC 系统包括安全输入设备（如急停控制按钮、安全门限位开关或连锁开关、安全光栅或光幕等），安全控制电气元件（如安全继电器、安全PLC 和安全总线等）以及安全输出控制（如主回路中的接触器、继电器等）。

各厂家的产品不同，所采用的技术和措施也不尽相同，但安全PLC 都具有以下2 个共同特点：一是利用冗余多样性技术，能专业应对条件苛刻的任务或安全相关应用。二是可在任何时间、每一步进行诊断和检测以保证无差错或显著地减少错误。因此，当安全PLC 发生故障或者失效时，不会对相关人员的安全或者过程的安全带来危险。除此之外，大部分安全PLC 还具有以下特点：1）根据相应安全标准研制开发的用于安全防护系统控制设备的可编程电子系统；2）均为模块化结构，各类模块都设计成故障-安全型；3）具有完善的测试手段或采取有效措施保证其安全性；4）当检测到系统故障尤其是危险故障时能使系统回到安全状态；5）取得相应等级的安全标准证书，系统软件也达到相应安全等级；6）能进行系统故障报警并指示故障原因和故障位置；7）能在线进行系统维护，冗余卡可在线更换并恢复；8）有准确无误的顺序事故记录功能。

以某起重机项目为例，就硬件和软件2 方面分别介绍安全PLC 在物料搬运行业中的应用。

2.1 硬件设计

该项目共有4 台灰渣搬运起重机，每台设备均有各自的控制系统，另设有1 套上位控制系统。项目选用了某品牌的安全控制系列产品，包括可配置安全控制器PNOZ m B0、扩展模块PNOZ m EF 4DIDOR、安全急停按钮PIT es Set1s-5c、强制导向继电器SRD-SIM4 SIM312 及配套端子等。其中上位控制部分设有1 个可配置安全控制器（以下简称主m B0）和1 个扩展模块，安装在上位控制电控柜内；4 台设备的控制部分各设1个可配置安全控制器（以下简称设备m B0），安装在各设备的配电保护柜内。控制器PNOZ m B0 具有以下功能和特点：1）4 个最高可达EN IEC 62061 的SIL 3级别的半导体安全输出；2）12 个常规输入，可连接如急停按钮、安全门限位、启动按钮、双手控制按钮、扫描仪、使能开关、操作模式选择开关等输入设备；3）8 个可配置输入/输出，可配置为上述常规输入设备或辅助输出；4）4 个可配置输出，可配置为辅助输出或测试脉冲输出，测试脉冲输出用于监控输入短路；5）1块LED 显示屏，可显示如错误消息、诊断、电源电压、输入输出错误等信息；6）1 块背光显示屏用于显示错误消息、电源电压状态、输入输出状态、状态信息和单元信息。

对于急停开关的布置，针对每台设备分别在设备操作椅、起重机主梁安全门各设有1 个急停开关，信号通过硬接线进入各自设备m B0；针对上位控制系统分别在装载区控制箱（6 个）、中控室操作台、外部控制室操作台各设有1 个急停开关，信号通过硬接线进入主m B0。主m B0 与4 台设备m B0 之间通过硬接线进行信号交互。图1 为安全PLC 硬件配置示意图。

图1 安全PLC 硬件配置示意图

m B0 模块需有2 组24 V DC 分别对控制系统的电源和半导体输出分别进行供电。其中半导体输出的电源电压必须始终存在，即使工程中没有使用半导体输出。需要注意的是，使用2 个电源分别馈送电压时，控制系统的电源电压和半导体输出的电源电压要使用电位隔离。图2 为m B0 模块供电示意图。

图2 m B0 模块供电示意图

本项目中使用的急停开关配有2 副触点，每个触点进入m B0 的1 个输入通道。2 副触点中的任意一副动作，在控制器中都会被判断为急停按钮触发，该冗余设计保证了即使其中任意一个触点出现卡阻或粘连等故障，也不会导致整个急停的失效。

2.2 逻辑及软件介绍

2.2.1 主m B0 运行逻辑

1）主m B0 接受与其直接关联的各个急停开关和每个设备m B0 的反馈信号，当有其中一个或一个以上的安全输入断开时，所有的安全输出全部断开。

2）脉冲输出供常规PLC（S7-1500）判断具体哪路急停或安全条件不满足。当各急停拍下时，安全控制器通过编程由可配置输出端输出不同赫兹数的脉冲至常规PLC，若2 个或2 个以上的急停同时拍下，常规PLC 通过脉冲数可判断具体哪路急停或安全条件不满足。

2.2.2 设备m B0 运行逻辑

1）接受急停和m B0 急停反馈信号，当急停和安全输入或主m B0 有断开时，所有的安全输出按照以下第2 条逻辑执行。

2）断开逻辑 ①首先断开设备主接触器回路，开始监测主接触器状态反馈的状态。②当主接触器回路在30 ms 内反馈断开则主断路器回路无需断开；当主接触器回路在30 ms 内未断开则断开主断路器回路，作为强制断开电源的辅助措施。③执行逻辑①的同时，发送断开指令给主m B0，以便通知主m B0 断开其他设备。④若主接触器并非由m B0 发起的断开指令（设备的其他安全条件触发），但仍监控到主接触器状态反馈断开，则不需要断开主断路器。

3）通过脉冲输出频率情况供常规PLC 判断哪一路或安全条件不满足。

本项目由于使用的安全控制器需使用相应的控制器编程软件Multi Configurator。软件需要授权才能上传和下载程序，没有授权的软件只能做有限的编程功能。编程软件界面主要包括硬件配置和用户程序2 部分。

硬件配置时双击左边模块或者将其拖拽至右侧硬件配置区域即可。将模块拖拽至配置区，完成后模块下方会显示已配置硬件的基本参数，根据实物上的版本号选择对应的版本，设备标识为自己定义的设备名称；设备标识和位置描述可根据实际需要选择填写，其余参数可不进行编辑。本项目主m B0 硬件配置显示如图3 所示。

图3 硬件配置图

2.3 用户程序界面

用户程序界面分为程序管理区、输入点配置区、功能块配置区、逻辑块配置区、输出快配置区、输出点配置区、功能块选择区7 部分（见图4）。

图4 用户程序界面

1）程序管理区 用于管理用户程序，可添加/删除或者重命名页面。

2）输入点配置区 双击激活输入点配置框，配置输入点；设备ID 为硬件配置时用户所配置的设备标识；输入/输出可下拉菜单选择IO，RLO：0 为常闭点，RLO：1 为常开点；监测输入回路触点间的短路勾选后则需要配置测试脉冲，未配置则默认识别24 V 为输入电压；否定勾选则表示将输入信号取反，过滤时间指信号的安定时间，持续大于该时间信号则被认为有效，避免干扰信号造成误触发。

3）功能块配置区 可将右边的功能例如急停功能块等拖拽到此处进行编辑，也可双击空白处激活选择对话框所需功能块；首先要将开关类型选择对应的触点类型，类型3-同步指的是2 个触点的闭合与断开都有时间同步性的要求，不能大于3 s，否则会报错；开关类型选择完成要根据实际接线配置IO，使用了测试脉冲则要勾选检测输入回路触点间短路。

配置输入后需要配置复位，复位有手动复位、自动复位、可监控手动复位3 种类型。①自动复位 被触发后只要输入信号恢复正常后输出立即恢复；②手动复位输入信号恢复正常后需要1 个上升沿的复位信号输出才能恢复；③可监控后动复位 输入信号恢复正常后需要一个下降沿的复位信号输出才能恢复。

4）逻辑块配置区 可将右侧的逻辑块拖拽到此处进行编辑，也可双击空白处激活选择对话框选择所需功能块；功能块之间的连线可直接用鼠标点击拖拽连接。

5）输出块配置区 可在右侧输出部分选择输出块，也可双击空白处激活选择对话框选择所需输出块，输出块有继电器型、半导体型、安全阀型等，本项目使用了m B0 本体上的4 个半导体输出和4 个可配置脉冲测试输出，同时使用了扩展模块4DIDOR 的2 个继电器输出。半导体输出可以选择安全输出和标准输出，安全输出是O0-O3，标准输出是IM0-IM3、IM16-IM19 这几个可配置为标准输出用，另外测试脉冲也可配置为标准输出使用。输出类型默认为单极输出，也可根据需要配置输出数量为单极输出还是双输出。

反馈回路的作用是用来监控输出所驱动的元件是否正常动作，如图5 所示，将接触器的常闭触点接入I7，当输出O0 正常输出驱动接触器，接触器正常动作则反馈信号会有一个由ON 到OFF 的变化，如果在O0 输出前该反馈信号不正常（如OFF）或动作后反馈信号没有在监控时间内断开（本项目设为3 s）则控制器认为接触器出现异常，则中断输出并报故障，从而达到监控输出驱动单元的功能。在配置输出模块时要选择使用反馈回路，然后在回路中把反馈信号连接到输出模块的反馈信号连接处。

图5 急停程序设计

具体程序如图5 所示。这段程序中，节点16 为所有急停信号的并联输入点，即整个系统中任何一个急停开关被触发都会使程序中节点16 动作。节点16 后接一个下降沿和一个RS 触发器，一旦检测到节点16 的信号从1 变为0 时，RS 触发器被触发，节点18 动作。节点18 使a1-o0、a1-o1、a1-o2、a1-o3 这4 个输出点动作，进而将紧急停止信号传输到4 台设备的分m B0 上，由分m B0 使各设备停止运行；同时触发a2-o2、a2-o3 这2 个外部继电器，继电器信号输出到主PLC，由主PLC进行逻辑分析和判断。由于2 个继电器输出信号的排列组合可以形成4 种状态，进而通过这4 种状态分别代表4 台设备中的某一台触发了急停信号。

3 结语

本文介绍的安全PLC 系统目前尚属并未广泛应用的控制系统，随着以人为本理念的深入贯彻，未来将具有长远和持续性的发展，在工业生产中得到更加广泛的应用。根据不同项目控制系统的要求，统筹考虑冗余程度、故障原因、响应速度、复位方式、性价比等因素，选择适用的硬件和合理的配置，结合工艺设计和逻辑编程，组建一套完善的安全系统，提升系统运行的稳定性，尤其是应用于物料搬运起重设备能大幅提升系统运行的安全性和可靠性，减少甚至避免由于系统故障导致的人员伤亡和财产损失。