什么是故障安全系統(tǒng)？

故障安全系統(tǒng)是工業(yè)自動化控制系統(tǒng)的一種較為特殊的形式，其主要的功能是對自動化生產線或設備中的潛在危險工況進行評估，一旦有風險發(fā)生，將觸發(fā)相應的安全功能，將設備維持在一個相對安全的狀態(tài)，從而避免發(fā)生進一步的傷害。故障安全系統(tǒng)在保證人員、設備安全甚至保護環(huán)境方面起到了非常重要的作用。

故障安全系統(tǒng)的基本原理是什么？

故障安全系統(tǒng)的基本原理，是通過一定的技術手段，對系統(tǒng)中存在的可能導致系統(tǒng)失效的風險進行評估、監(jiān)測，并保證系統(tǒng)自身不能失效的情況下，避免發(fā)生更加嚴重的事故。因此，在故障安全系統(tǒng)中，常用的技術手段主要是冗余以及故障檢測技術。

在安全系統(tǒng)中，更多情況下故障指的是系統(tǒng)失效。?

在針對系統(tǒng)進行安全性和可靠性的評估時，除了了解系統(tǒng)在正常工況下的工作狀態(tài)，其實更加重要的是對于系統(tǒng)失效工況的了解：如果傳感器發(fā)生故障將會怎樣？如果閥門卡澀沒有打開系統(tǒng)將會怎樣？而系統(tǒng)的解決此類問題的方法，其實是一套完整的解決方案，最常用的基礎工具是失效模式和影響分析（FMEA）。

FMEA是在產品設計階段和過程設計階段，對構成產品的子系統(tǒng)、零件以及構成過程的各個工序逐一進行分析，找出所有潛在的失效模式，并分析其可能的后果，從而預先采取必要的措施，以提高產品的質量和可靠性的一種系統(tǒng)化的活動。

為什么會出現故障安全系統(tǒng)？

大家都是自動化領域的工程師，相信對自動化控制系統(tǒng)都不陌生。而隨著控制要求的不斷提高，大家對自動控制系統(tǒng)也逐漸有了一定的要求，例如：系統(tǒng)的穩(wěn)定性、系統(tǒng)的可靠性以及系統(tǒng)的安全性。一般情況下，廣大的用戶對于控制系統(tǒng)的穩(wěn)定性的要求是比較關注的，因為一個穩(wěn)定的控制系統(tǒng)是保證生產活動的基礎，這個也是比較基本的要求。

但其實，在工業(yè)自動化不斷發(fā)展的過程中，隨著風險意識的提高，人們對于自動化控制系統(tǒng)的可靠性和安全性越來越關注起來。經過幾十年的努力，工程師們在這個領域內不斷地研究和總結，逐漸形成了可靠性和安全性工程這樣一個研究領域。在這個領域里，大家提出了一系列新的概念和術語，例如：可靠性、安全性、平均無故障時間（MTBF）等等，并建立了相應的評估體系。

這里，我們將傳統(tǒng)的自動化控制系統(tǒng)定義為基本控制系統(tǒng)，與之相對應的就是安全控制系統(tǒng)。這兩個系統(tǒng)在完成主要功能的時候，可以是相互獨立的。

安全控制系統(tǒng)與基本控制系統(tǒng)有什么區(qū)別？

其實，安全控制系統(tǒng)與基本控制系統(tǒng)的基本構成和工作原理都是一樣的，但兩種控制系統(tǒng)之間還是有一定區(qū)別的，主要區(qū)別在于：

（1）功能上的區(qū)別?

對于基本控制系統(tǒng)來講，主要是讀取標準傳感器的信號，之后CPU進行邏輯運算、數據運算，然后向執(zhí)行機構（例如：閥門或電機）發(fā)出控制指令，從而完成控制功能。這個是大家都非常熟悉的過程。

而對于安全控制系統(tǒng)來講，其主要的功能，也是首先讀取傳感器的信號，但這個傳感器是指示“故障”的傳感器（例如：急停按鈕—一般認為，現場有了故障才需要按下急停按鈕），之后安全系統(tǒng)的評估單元（安全PLC）進行計算或實現判別潛在危險工況的邏輯，并將結果輸出給執(zhí)行機構完成安全功能（例如：電機的主回路接觸器斷開），以避免進一步的危險工況的發(fā)生。?

因此，從工作方式上看，兩種控制系統(tǒng)都是一樣的，但從功能上來講，基本控制系統(tǒng)主要是讓設備“動作”，完成控制工藝，滿足生產的要求；而安全控制系統(tǒng)則主要是讓設備“停下來”，防止發(fā)生進一步的危險，起到保護人員和設備的作用。?

（2）評價指標不同

對于基本控制系統(tǒng)，我們更關注的是系統(tǒng)的可用性，即在任何時候系統(tǒng)都能正常工作的概率。例如在許多行業(yè)，任何非計劃的停機都有可能造成非常大的損失，因此對于基本控制系統(tǒng)，其可用性是最重要的評價指標。

而對于安全控制系統(tǒng)，其設計的原則是必須保證在設備出現故障的時候，安全系統(tǒng)能夠立即響應，完成相應的安全功能（例如：急停功能），從而保證設備仍然處于安全狀態(tài)。此時，設備的可用性可能暫時無法保證，設備的安全性才是最重要的評價指標。

1.簡單介紹“西門子的安全控制系統(tǒng)”

（1）西門子的安全系統(tǒng)的組成

西門子故障安全系統(tǒng)包括相關的硬件和軟件。

1）硬件構成：組成西門子故障安全系統(tǒng)的硬件主要分為三個部分：危險源的檢測、危險源的評估以及響應。?

其中各個部分都由不同的硬件組成，其功能也各不相同：

檢測部分：主要是指檢測安全信號的傳感器，例如：急停按鈕、安全門位置開關等，該信號經過處理或通過人員的指令來記錄一個危險事件的發(fā)生。

評估單元：對檢測到的危險信號進行讀入、評估、診斷、執(zhí)行安全功能、輸出診斷并向執(zhí)行機構輸出信號。其主要組成硬件包括安全型的PLC系統(tǒng)（包括F-DI，F-CPU和F-DQ系統(tǒng)）和安全繼電器。另外，有的光幕設備也自帶評估單元。?

響應部分：主要指的是安全型輸出控制的設備（例如：接觸器、繼電器等），用于關斷系統(tǒng)驅動設備的電源、關閉/打開電磁閥等。

2）軟件組件：一個完整的故障安全系統(tǒng)，除了硬件，軟件也是其非常重要的一個組成部分。特別是以安全型PLC作為評估單元的系統(tǒng)中，如果系統(tǒng)的軟件部分沒有達到安全等級的要求，那么該安全系統(tǒng)集成在系統(tǒng)中在評估時往往是不能達到安全等級要求的。

一般來講，安全軟件部分主要包括：操作軟件和相關的用戶程序以及相關聯的軟件等部分。?

對于西門子的故障安全系統(tǒng)，其安全相關的軟件部分主要是指基于TIA 博途平臺的軟件包SIMATIC STEP7 Safety (Advanced或Basic）。

SIMATIC STEP7 Safety (Advanced或Basic）軟件包既包括了安全系統(tǒng)應用的環(huán)境，又涵蓋了安全的用戶程序部分，用戶只需要將該軟件包集成在TIA Portal平臺中即可保證項目的軟件部分滿足安全系統(tǒng)的要求。

3）安全總線：除了以上的硬件和軟件，西門子的故障安全系統(tǒng)還包括總線系統(tǒng)。

隨著現場總線的廣泛應用，西門子最早于1999年便推出了基于現場總線的安全通信的協議PROFIsafe，將安全設備和標準設備的數據完全整合在以PROFIBUS/PROFINET為平臺的總線系統(tǒng)中，并達到SIL3或PLe的安全等級，保證數據被安全地傳輸。同時提供了比標準現場總線更加完善的診斷機制，保證數據在傳輸過程中一旦出現錯誤，將立即自動觸發(fā)安全系統(tǒng)響應，啟動相應的安全機制。目前PROFIsafe已經成為國際標準（IEC61784）和國家標準（GB/T 20830-2015），被廣大廠商所應用。

2.西門子故障安全系統(tǒng)的工作機制

就控制系統(tǒng)來講，早期傳統(tǒng)的安全控制系統(tǒng)的工作原理一般都是采用結構冗余的原則，即：采用兩個（或以上）的相同的控制器，所有的系統(tǒng)都運行相同的程序，之后對運算的結果進行比較。但這種結構存在一些問題，比如成本較高，因為所有的模板都是專用的，并且數據同步也容易出現問題。?

隨著西門子S7-300/400系列PLC的發(fā)布，以及最新的S7-1500系列PLC的發(fā)布，西門子的故障安全系統(tǒng)主要采取的技術也由原來的結構冗余變成了編碼處理和時間冗余，從而更加經濟、更加便捷地實現故障安全的功能。

例如，在標準控制系統(tǒng)中，我們需要進行一個運算操作z=x+y。如果將變量x和y分別進行賦值，即可得到z的值，并可以直接輸出。

但在故障安全系統(tǒng)中，系統(tǒng)的評估體系需要對系統(tǒng)中所有采集到的值都進行校驗，也可以理解為“驗算”，即：除了標準系統(tǒng)進行正常的運算外，故障安全系統(tǒng)需要額外的對所有采集到的變量的值進行校驗，也需要對程序算法和得到的結果進行校驗。因此，當標準系統(tǒng)得到變量x和y的賦值后，系統(tǒng)會同時在內部分別對這兩個值進行一個取反的操作，并得到兩個換算后的值xc和yc，同時，也會將原來的算法進行一個取反，得到新的運算方法zc=xc+yc+1，這個過程我們稱之為“編碼處理”。

之后，標準程序開始運算，利用x,y并得到相應的結果z。標準運算結束后，故障安全系統(tǒng)會緊接著利用新的算法對換算后的變量xc和yc進行運算，得到編碼處理后的運算結果zc。但這兩個過程，是依次進行的，并不是同時進行的，因此，我們稱之為“時間冗余”。通過時間冗余技術，我們可以將該運算放在同一個CPU內進行，而不再需要兩個冗余的CPU硬件，從而節(jié)省一塊CPU硬件。

由于兩個“相反”的運算分別得到了兩個結果，此時，理論上我們將之前編碼取反的運算結果再次取反后就應該得到與標準運算一致的結果。通過這樣的方法，我們就可以對整個數據采集以及運算的過程、結果進行“驗算”，從而保證整個過程的數據都是準確的。這個過程，我們稱之為“差異比較”。當然，如果在整個過程中有任何一個環(huán)節(jié)出錯，那么比較后的結果應該是不同的。如果出現這種情況，則故障安全系統(tǒng)認為數據出現了錯誤，從而觸發(fā)安全機制，不再輸出運算結果，而輸出替代的“安全值”。一般情況下，此時會輸出安全值“0”，引導系統(tǒng)進入“停止”狀態(tài)，并保證設備不能隨意啟動。

以上就是西門子故障安全系統(tǒng)的工作原理。其中，由于使用了時間冗余的技術，使得西門子的故障安全系統(tǒng)的CPU可以不再采用冗余的硬件結構，僅采用單CPU來實現，并通過提高CPU的診斷覆蓋率，可以達到SIL3或者PLe的安全等級。另外，由于使用了PROFIsafe協議，使得數據借助標準的PROFIBUS/PROFINET總線也可以實現安全的傳輸，無需專用的安全總線，同樣也大大節(jié)省了成本。

更多細節(jié)盡在《西門子故障安全系統(tǒng)應用指南》

目前國內的許多行業(yè)和用戶已經開始接受故障安全的理念，并且開始主動地考慮如何實現安全生產。但一直有點遺憾的是，在這個領域，我們還沒有一套相對完整、實用的技術資料提供給廣大的用戶，我們的技術資料還基本上都是英文的并且是零散的。

《西門子故障安全系統(tǒng)應用指南》為廣大故障安全產品的用戶提供一套完整的參考資料。在本書的寫作過程中，我們組織了西門子技術支持團隊的技術專家和資深工程師們參與到內容的創(chuàng)作中來。

經過了近8個月的辛苦工作，我們將西門子故障安全產品的技術細節(jié)以及專家們的寶貴經驗都寫進了書中。其中很多內容都是大家平時經常遇到并來自現場的實際問題，將一一分享給廣大讀者。如果您能夠仔細地閱讀本書，相信在實際應用過程中，一定能夠避免非常多的問題，大大提高您應用安全系統(tǒng)的效率。

編輯：黃飛

?