安全PLC 系統在物料搬運行業的應用

張一然 郝鵬飛 袁 楷 張柯林 王 毅

北京起重運輸機械設計研究院有限公司 北京 100007

0 引言

近些年，由于工業事故致使人員傷亡、財產損失和環境污染的情況頻發，使人們更深刻認識到建立安全工業流程的必要性。隨著工業安全的普及，新的安全國際標準IEC 61508—2000《電氣/電子/可編程電子安全系統的功能安全》和國家標準GB/T 20438—2017《電氣/電子/可編程電子安全相關系統的功能安全》應運而生。國內外各行各業對于控制系統中電氣控制功能的安全要求也日益提高，許多歐美國家已經將此類要求作為項目投標的必要條件。目前，我國在這方面尚還處于發展初期，大部分設備都具有潛在的危險性且沒有完善的防護措施，這也是安全事故頻發的重要原因之一。

近些年，國家對這類問題重視度日漸提高，設備的安全性和穩定性已然成為大家重點關注的焦點。在不斷拓展海外市場的過程中，對設備的控制系統及安全性要求越來越高，必須要達到國際標準。因此，安全控制系統在起重運輸設備中起到至關重要的作用，也是用戶判定供應商提供的設備是否可靠的重要指標之一。

1 電氣系統安全控制的方式及選型基本原則

電氣系統需要設計一種穩定的安全保護機制，盡可能地消除機械設備的安全隱患，為設備安全和人身安全提供有力保障，杜絕重大安全事故發生，避免造成經濟上的損失。安全系統在設備啟動、停止、出現不穩定狀態以及檢修模式工作期間都應對設備起到保護作用。如設備現場發生危急情況，安全保護系統應立即啟動響應機制并及時做出反饋，保障設備安全停機。

電氣系統安全控制的方式從安全等級由低到高大體上可以分為3 種：由安全繼電器搭建的回路、安全PLC和安全總線系統、可編程的模塊化安全控制系統。

由安全繼電器搭建的安全回路可用于控制單一或數量較少的安全功能，主要適用于單機或簡單自動化生產線等小型安全控制系統；安全可編程邏輯控制器（F-PLC）和安全總線系統適用于大型、離散式的安全控制系統。20 世紀末，安全PLC 問世，其可編程序性能強大，使用安全總線能實現較高要求的安全控制，但成本較高；可編程的模塊化安全控制系統是近年推出的安全控制模塊類產品，介于安全繼電器和安全PLC 之間，具有一定的可編程能力和擴展性，價格相對不高。

根據EN954-1《機械安全-控制系統有關安全的部件》安全等級的基本要求，首先依據機器的工作模式、功能對機器工作可能存在的所有危險進行分析、評估，確定設備各個部分的危險等級，從而選擇相應的安全等級，一般選3 級即可滿足大多數的應用。然后對所有需要安全保護的部分進行統計，包括輸入、輸出、保護的安全等級，系統的工作模式，系統的復位方式等。最后設計、選擇合適的安全保護方式和產品。

2 設備系統結構及安全PLC 應用實例

物料搬運設備的系統主要應包括檢測元件、執行機構、控制系統3 部分。物料搬運設備通常具有運行空間較為開闊、可能出現運行人員和檢修人員的點位較多、設備與設備之間的交互控制較為復雜等特點。因此，物料搬運設備系統應由以下組件構成：輸入設備（包括主令控制器、各種安全限制器、急停開關等）、邏輯控制器（系統PLC 和安全PLC 等）、執行機構（運行設備、夾具設備等）。

安全PLC 系統是一個具有特殊結構形式和特殊處理方式的PLC 安全認證系統。安全PLC 系統包括安全輸入設備（如急?？刂瓢粹o、安全門限位開關或連鎖開關、安全光柵或光幕等），安全控制電氣元件（如安全繼電器、安全PLC 和安全總線等）以及安全輸出控制（如主回路中的接觸器、繼電器等）。

各廠家的產品不同，所采用的技術和措施也不盡相同，但安全PLC 都具有以下2 個共同特點：一是利用冗余多樣性技術，能專業應對條件苛刻的任務或安全相關應用。二是可在任何時間、每一步進行診斷和檢測以保證無差錯或顯著地減少錯誤。因此，當安全PLC 發生故障或者失效時，不會對相關人員的安全或者過程的安全帶來危險。除此之外，大部分安全PLC 還具有以下特點：1）根據相應安全標準研制開發的用于安全防護系統控制設備的可編程電子系統；2）均為模塊化結構，各類模塊都設計成故障-安全型；3）具有完善的測試手段或采取有效措施保證其安全性；4）當檢測到系統故障尤其是危險故障時能使系統回到安全狀態；5）取得相應等級的安全標準證書，系統軟件也達到相應安全等級；6）能進行系統故障報警并指示故障原因和故障位置；7）能在線進行系統維護，冗余卡可在線更換并恢復；8）有準確無誤的順序事故記錄功能。

以某起重機項目為例，就硬件和軟件2 方面分別介紹安全PLC 在物料搬運行業中的應用。

2.1 硬件設計

該項目共有4 臺灰渣搬運起重機，每臺設備均有各自的控制系統，另設有1 套上位控制系統。項目選用了某品牌的安全控制系列產品，包括可配置安全控制器PNOZ m B0、擴展模塊PNOZ m EF 4DIDOR、安全急停按鈕PIT es Set1s-5c、強制導向繼電器SRD-SIM4 SIM312 及配套端子等。其中上位控制部分設有1 個可配置安全控制器（以下簡稱主m B0）和1 個擴展模塊，安裝在上位控制電控柜內；4 臺設備的控制部分各設1個可配置安全控制器（以下簡稱設備m B0），安裝在各設備的配電保護柜內?？刂破鱌NOZ m B0 具有以下功能和特點：1）4 個最高可達EN IEC 62061 的SIL 3級別的半導體安全輸出；2）12 個常規輸入，可連接如急停按鈕、安全門限位、啟動按鈕、雙手控制按鈕、掃描儀、使能開關、操作模式選擇開關等輸入設備；3）8 個可配置輸入/輸出，可配置為上述常規輸入設備或輔助輸出；4）4 個可配置輸出，可配置為輔助輸出或測試脈沖輸出，測試脈沖輸出用于監控輸入短路；5）1塊LED 顯示屏，可顯示如錯誤消息、診斷、電源電壓、輸入輸出錯誤等信息；6）1 塊背光顯示屏用于顯示錯誤消息、電源電壓狀態、輸入輸出狀態、狀態信息和單元信息。

對于急停開關的布置，針對每臺設備分別在設備操作椅、起重機主梁安全門各設有1 個急停開關，信號通過硬接線進入各自設備m B0；針對上位控制系統分別在裝載區控制箱（6 個）、中控室操作臺、外部控制室操作臺各設有1 個急停開關，信號通過硬接線進入主m B0。主m B0 與4 臺設備m B0 之間通過硬接線進行信號交互。圖1 為安全PLC 硬件配置示意圖。

圖1 安全PLC 硬件配置示意圖

m B0 模塊需有2 組24 V DC 分別對控制系統的電源和半導體輸出分別進行供電。其中半導體輸出的電源電壓必須始終存在，即使工程中沒有使用半導體輸出。需要注意的是，使用2 個電源分別饋送電壓時，控制系統的電源電壓和半導體輸出的電源電壓要使用電位隔離。圖2 為m B0 模塊供電示意圖。

圖2 m B0 模塊供電示意圖

本項目中使用的急停開關配有2 副觸點，每個觸點進入m B0 的1 個輸入通道。2 副觸點中的任意一副動作，在控制器中都會被判斷為急停按鈕觸發，該冗余設計保證了即使其中任意一個觸點出現卡阻或粘連等故障，也不會導致整個急停的失效。

2.2 邏輯及軟件介紹

2.2.1 主m B0 運行邏輯

1）主m B0 接受與其直接關聯的各個急停開關和每個設備m B0 的反饋信號，當有其中一個或一個以上的安全輸入斷開時，所有的安全輸出全部斷開。

2）脈沖輸出供常規PLC（S7-1500）判斷具體哪路急?；虬踩珬l件不滿足。當各急停拍下時，安全控制器通過編程由可配置輸出端輸出不同赫茲數的脈沖至常規PLC，若2 個或2 個以上的急停同時拍下，常規PLC 通過脈沖數可判斷具體哪路急?；虬踩珬l件不滿足。

2.2.2 設備m B0 運行邏輯

1）接受急停和m B0 急停反饋信號，當急停和安全輸入或主m B0 有斷開時，所有的安全輸出按照以下第2 條邏輯執行。

2）斷開邏輯 ①首先斷開設備主接觸器回路，開始監測主接觸器狀態反饋的狀態。②當主接觸器回路在30 ms 內反饋斷開則主斷路器回路無需斷開；當主接觸器回路在30 ms 內未斷開則斷開主斷路器回路，作為強制斷開電源的輔助措施。③執行邏輯①的同時，發送斷開指令給主m B0，以便通知主m B0 斷開其他設備。④若主接觸器并非由m B0 發起的斷開指令（設備的其他安全條件觸發），但仍監控到主接觸器狀態反饋斷開，則不需要斷開主斷路器。

3）通過脈沖輸出頻率情況供常規PLC 判斷哪一路或安全條件不滿足。

本項目由于使用的安全控制器需使用相應的控制器編程軟件Multi Configurator。軟件需要授權才能上傳和下載程序，沒有授權的軟件只能做有限的編程功能。編程軟件界面主要包括硬件配置和用戶程序2 部分。

硬件配置時雙擊左邊模塊或者將其拖拽至右側硬件配置區域即可。將模塊拖拽至配置區，完成后模塊下方會顯示已配置硬件的基本參數，根據實物上的版本號選擇對應的版本，設備標識為自己定義的設備名稱；設備標識和位置描述可根據實際需要選擇填寫，其余參數可不進行編輯。本項目主m B0 硬件配置顯示如圖3 所示。

圖3 硬件配置圖

2.3 用戶程序界面

用戶程序界面分為程序管理區、輸入點配置區、功能塊配置區、邏輯塊配置區、輸出快配置區、輸出點配置區、功能塊選擇區7 部分（見圖4）。

圖4 用戶程序界面

1）程序管理區 用于管理用戶程序，可添加/刪除或者重命名頁面。

2）輸入點配置區 雙擊激活輸入點配置框，配置輸入點；設備ID 為硬件配置時用戶所配置的設備標識；輸入/輸出可下拉菜單選擇IO，RLO：0 為常閉點，RLO：1 為常開點；監測輸入回路觸點間的短路勾選后則需要配置測試脈沖，未配置則默認識別24 V 為輸入電壓；否定勾選則表示將輸入信號取反，過濾時間指信號的安定時間，持續大于該時間信號則被認為有效，避免干擾信號造成誤觸發。

3）功能塊配置區 可將右邊的功能例如急停功能塊等拖拽到此處進行編輯，也可雙擊空白處激活選擇對話框所需功能塊；首先要將開關類型選擇對應的觸點類型，類型3-同步指的是2 個觸點的閉合與斷開都有時間同步性的要求，不能大于3 s，否則會報錯；開關類型選擇完成要根據實際接線配置IO，使用了測試脈沖則要勾選檢測輸入回路觸點間短路。

配置輸入后需要配置復位，復位有手動復位、自動復位、可監控手動復位3 種類型。①自動復位 被觸發后只要輸入信號恢復正常后輸出立即恢復；②手動復位輸入信號恢復正常后需要1 個上升沿的復位信號輸出才能恢復；③可監控后動復位 輸入信號恢復正常后需要一個下降沿的復位信號輸出才能恢復。

4）邏輯塊配置區 可將右側的邏輯塊拖拽到此處進行編輯，也可雙擊空白處激活選擇對話框選擇所需功能塊；功能塊之間的連線可直接用鼠標點擊拖拽連接。

5）輸出塊配置區 可在右側輸出部分選擇輸出塊，也可雙擊空白處激活選擇對話框選擇所需輸出塊，輸出塊有繼電器型、半導體型、安全閥型等，本項目使用了m B0 本體上的4 個半導體輸出和4 個可配置脈沖測試輸出，同時使用了擴展模塊4DIDOR 的2 個繼電器輸出。半導體輸出可以選擇安全輸出和標準輸出，安全輸出是O0-O3，標準輸出是IM0-IM3、IM16-IM19 這幾個可配置為標準輸出用，另外測試脈沖也可配置為標準輸出使用。輸出類型默認為單極輸出，也可根據需要配置輸出數量為單極輸出還是雙輸出。

反饋回路的作用是用來監控輸出所驅動的元件是否正常動作，如圖5 所示，將接觸器的常閉觸點接入I7，當輸出O0 正常輸出驅動接觸器，接觸器正常動作則反饋信號會有一個由ON 到OFF 的變化，如果在O0 輸出前該反饋信號不正常（如OFF）或動作后反饋信號沒有在監控時間內斷開（本項目設為3 s）則控制器認為接觸器出現異常，則中斷輸出并報故障，從而達到監控輸出驅動單元的功能。在配置輸出模塊時要選擇使用反饋回路，然后在回路中把反饋信號連接到輸出模塊的反饋信號連接處。

圖5 急停程序設計

具體程序如圖5 所示。這段程序中，節點16 為所有急停信號的并聯輸入點，即整個系統中任何一個急停開關被觸發都會使程序中節點16 動作。節點16 后接一個下降沿和一個RS 觸發器，一旦檢測到節點16 的信號從1 變為0 時，RS 觸發器被觸發，節點18 動作。節點18 使a1-o0、a1-o1、a1-o2、a1-o3 這4 個輸出點動作，進而將緊急停止信號傳輸到4 臺設備的分m B0 上，由分m B0 使各設備停止運行；同時觸發a2-o2、a2-o3 這2 個外部繼電器，繼電器信號輸出到主PLC，由主PLC進行邏輯分析和判斷。由于2 個繼電器輸出信號的排列組合可以形成4 種狀態，進而通過這4 種狀態分別代表4 臺設備中的某一臺觸發了急停信號。

3 結語

本文介紹的安全PLC 系統目前尚屬并未廣泛應用的控制系統，隨著以人為本理念的深入貫徹，未來將具有長遠和持續性的發展，在工業生產中得到更加廣泛的應用。根據不同項目控制系統的要求，統籌考慮冗余程度、故障原因、響應速度、復位方式、性價比等因素，選擇適用的硬件和合理的配置，結合工藝設計和邏輯編程，組建一套完善的安全系統，提升系統運行的穩定性，尤其是應用于物料搬運起重設備能大幅提升系統運行的安全性和可靠性，減少甚至避免由于系統故障導致的人員傷亡和財產損失。