安全plc体系结构

当你构建一个安全系统时，可以有很多方式来安排安全系统部件。 有些安排考虑的是对成功操作有效性的最大化。(可靠性或可用性)。有些安排考虑的是防止特殊失效的发生(失效安全，失效危险)。

控制系统部件的不同安排可以从它们的体系结构中看出来。这节内容将介绍市场上几款常见的可编程电子系统(PES)的体系结构，了解它们的安全特性，以及在安全和关键控制的应用。它们是已经在实践中存在的多种结构的代表， 真正现场使用的系统就是这些结构的不同组合。

下面的内容将用N选X (比如 2选 1) 的方式:XooN 来介绍系统。在每个类型中， X 代表需要执行安全功能的通道数，而 N 代表整个可用的通道数。.

单控制器带有单个逻辑解算器和单个I/O 代表了一个最小化的系统，见下图 (图1)。这个系统没有提供冗余，也没有失效模式保护。电子电路可以失效安全(输出断电，回路开路) 或者失效危险(输出粘连或给电，短路)。这种安排方式是典型的非安全-常规PLC系统结构。

安全PLC的输入和常规PLC的输入接法也有区别，常规PLC的输入通常接传感器的常开接点，而安全PLC的输入通常接传感器的常闭接点，用于提高输入信号的快速性和可靠性。有些安全PLC输入还具有"三态"功能，即"常开"、"常闭"和"断线"三个状态，而且通过"断线"来诊断输入传感器的回路是否断路，提高了输入信号的可靠性。

另外，有些安全PLC的输出和常规的PLC的输出也有区别。常规PLC输出信号之后，就和PLC本身失去了关联，也就是说输出后，比如说"接通"外部继电器，继电器本身最后到底通没通，PLC并不知道，这是因为没有外部设备的反馈所致。安全PLC具有所谓"线路检测"功能，即周期性的对输出回路发送短脉冲信号(毫秒级，并不让用电器导通)来检测回路是否断线，从而提高了输出信号的可靠性。

两个控制器并行处理和连线可以把单个PLC危险失效的影响降到最低。

为了可靠断开系统，两个输出电路采用串行连接，以防止任何一个控制器在危险的方式下失效，造成系统失效危险。

1oo2 结构(图2)常用于两个独立逻辑解算器、并各自带有自己独立 I/O的场合。系统提供了较低的失效可能性，但它增加了失效安全断路的可能性。失效安全断开率的增加，有助于提高流程系统的停车和机器系统的停机能力。

这种结构的输入方式有两种:一种为一个传感器接到两个输入点上(可以使用同一个模块的两个点，也可以使用两个模块的两个点，厂商推荐用户最好采用不同机架上的两个不同模块的两个点);一种为两个传感器或者一个传感器的两个接点接到两个输入点，这样可以进一步提高输入信号的可靠性(传感器冗余)。

图中的结构为两个彼此独立的系统，在输出之前并没有对输入信号和运算结果进行表决，而有些系统对输入信号和逻辑结果要进行表决，然后输出。1oo2系统的表决机制也非常特别。当两个输入都为"0"或"1"信号时，自然没有问题。但如果出现一个为"0"、而一个为"1"，系统如何表决呢?答案是:取安全的值做为表决的结果!那么何谓安全值?答案是:要根据具体的应用进行设置。如果"0"为安全值，那么出现一个"0"和一个"1"时，就选择"0"，相当进行了一次3选2的表决。

下面再谈谈输出的接线方式问题。一般来说也有两种接法，被称为:安全接法和冗余接法。所谓安全接法指得是:输出的两个通道进行串联后再接执行器，逻辑关系为"与"，也就是说:一个通道为"0"，负载就不得电，这样可以确保系统的安全性。所谓冗余接法指得是:输出的两个通道进行并联后再接执行器，逻辑关系为"或"，也就是说:一个通道为"1"，负载就可以获电，这样可以提高系统的容错能力。至于采用哪种接线要根据应用的要求来决定。如果是安全性系统，建议采用安全接法。如果是高可用性系统，建议采用冗余接法。

这种结构使用一个带有诊断能力的单一控制器通道，和第二个诊断通道利用串行连接构成输出回路。典型的 1oo1D 结构见图3。1oo1D的"D"意思是诊断的含义，所以被称为一选一诊断系统，功能相当于一种二选一系统。因为这种系统的造价相对低廉，所以这种系统在安全应用中扮演了重要的角色。这种 1oo1D 结构由一个单一逻辑解算器和一个外部的监视时钟而构成，定时器的输出与逻辑解算器的输出进行串联接线。

在更先进的系统中，内置诊断控制一个独立串联输出，当系统检测出失效时，它会强制系统处于断开状态。诊断功能把检测到的一个危险失效转变成一个安全失效。

1oo2D 结构包含两个独立的电路通道。输出电路可以使用不同类型的双重开关。比如固态开关提供了常规的控制器输出，而另一个继电器由内部诊断控制，提供了第二个常开接点开关。如果在输出通道检测到一个潜在的危险失效，继电器触点就会断开，使输出回路断电，确保执行器处于安全状态。

双重电路通道可以使用不同类型的触点实现1oo1D 结构，比如两个常开点，或者一个常开点加一个常闭点等。后缀"D"反映了系统在每个通道中，具有更广泛和更细致的自诊断能力。第二个停机路径，就是由这个自诊断系统，运用高级的"依据参考"的方法进行系统诊断。

安全PLC(安全可编程系统)指的是在自身或外围元器件或执行机构出现故障时，依然能正确响应并及时切断输出的可编程系统。与普通PLC不同，安全PLC不仅可提供普通PLC的功能，更可实现安全控制功能，符合EN ISO 13849-1以及IEC 61508等控制系统安全相关部件标准的要求。市场主流的安全PLC有皮尔磁(pilz)的PSS 3000，PSS 4000等，其中PSS 4000除了可以处理安全程序外还可以处理标准控制程序。安全PLC中所有元器件采用的是冗余多样性结构，两个处理器处理时进行交叉检测，每个处理器的处理结果储存在各自内存中，只有处理结果完全一致时才会进行输出，如果处理期间出现任何不一致，系统立即停机，

此外，在软件方面，安全PLC提供的相关安全功能块，如急停、安全门、安全光栅等均经过认证并加密，用户仅需调用功能块进行相关功能配置即可，保证了用户在设计时不会因为安全功能上的程序漏洞而导致安全功能丢失。

安全总线指的是通讯协议中采用安全措施的现场总线。相比于普通总线来说，安全总线可以达到EN ISO 13849-1 以及 IEC 61508 等控制系统安全相关部件标准的要求，主要用于如急停按钮，安全门，安全光幕，安全地毯等安全相关功能的分布式控制要求。

安全总线中采用的安全措施主要包括:CRC冗余校验，Echo模式，连接测试，地址检测，时间检测等。相比传统现场总线可靠性更高。

安全总线可拥有多种拓扑结构，例如线型、树型等。

常见的安全总线有皮尔磁(Pilz)的SafetyBUS p。其基于CAN现场总线系统而研发，带有事件驱动机制，具有较快的信号响应时间。

安全以太网是适用于工业应用的基于以太网的多主站总线系统，用于分布式系统控制要求。安全以太网的协议中包含一条安全数据通道，该通道中的数据传输符合IEC 61508 SIL 3的要求。通过同一根电缆或者光纤，可同时传输安全相关数据以及非安全相关数据。在拓扑结构上，安全以太网和标准以太网类似，支持如星型，树型，线型，环型等不同的以太网结构。安全以太网拥有较高的网络灵活性，较强的可用性，较大的网络覆盖范围等特点。

常见的安全总线有皮尔磁(Pilz)的SafetyNET p。其结合皮尔磁(Pilz)的PSS 4000系统，能够实现较大范围的应用覆盖。

ProfiNET

ProfiNET由PROFIBUS国际组织(PROFIBUS International，PI)推出，是新一代基于工业以太网技术的自动化总线标准。其功能包括8个主要的模块，依次为实时通信、分布式现场设备、运动控制、分布式自动化、网络安装、IT标准和信息安全、故障安全和过程自动化。

ProfiNET I/O站点是支持ProfiNET总线通讯的输入输出站点。

常见的ProfiNET I/O站点有皮尔磁(Pilz)的PSSuniversal系列分布式I/O系统等。皮尔磁(Pilz)的PSSuniversal系列分布式I/O系统可以支持电缆式ProfiNET网络以及光纤式ProfiNET

网络。而且PSSuniversal系列分布式I/O系统还可兼容ProfiSAFE协议，实现安全相关应用。

61131-3

IEC 61131是国际电工委员会 (IEC) 制定的可编程逻辑控制器标准。其中IEC 61131-3为第三部分:编程语言。规定可编程控制器编程语言的语法和语义，规定编程语言有文本语言和图形语言，并描述了可编程控制器与第一部分规定的程序登录、测试、监视和操作系统的功能。

IEC 61131-3编程语言标准是第一个为工业控制系统提供标准化编程语言的国际标准。该标准针对工业控制系统所阐述的软件设计概念、模型等，适应当今世界软件、工业系统的发展方向，是一种非常先进的设计技术。它极大地推动了工业控制系统软件设计的发展，对现场总线设备的软件设计也产生了很大的影响。符合IEC 61131-3标准的软件系统是一个结构完美、可重复使用、易于维护的工业控制系统软件，它不仅能应用于可编程控制器，而且能应用于过程控制和制造过程软件中，因此它是新型的，先进的工业控制编程系统。

符合IEC 61131-3编程语言标准的软件工具有皮尔磁(Pilz)的PAS4000，西门子(Siemens)的Simatic等。

PLC内部工作方式一般是采用循环扫描工作方式，在一些大、中型的PLC中增加了中断工作方式。当用户将用户程序调试完成后，通过编程器将其程序写入PLC存储器中，同时将现场的输入信号和被控制的执行元件相应的连接在输入模块的输入端和输出模块的输出端，接着将PLC工作方式选择为运行工作方式，后面的工作就由PLC根据用户程序去完成，右图是PLC执行过程框图。PLC在工作过程中，主要完成六个模块的处理。