罗克韦尔自动化

图1   三类标准之间的关系

    图1中所示标准及其对应的中国国家标准:

    EN292(ISO 12100) GB/T 15706 机械安全 基本概念与设计通则—基本术语和方法

    EN1050(ISO 14121) GB/T 16856 机械设备的安全性 危险评估的原则

    EN414 GB/T 16755 机械安全 安全标准的起草与表述规则

    EN60204(IEC 60204) GB   5226 机械(电气)安全 机械的电气设备

    EN954(ISO 13849) GB/T 16855 机械安全 控制系统有关安全部件

    EN999(ISO 13855) GB/T 19876 机械安全 考虑到接近人体时速度的防护设备的定位

    EN1037(ISO 14118) GB/T 19670 机械安全 防止意外启动

    EN418(ISO 13850) GB  16754 机械安全 急停 设计原则

    EN1760 GB/T 17454 机械安全 压力敏感防护装置 压力敏感垫和敏感地板

    EN1088(ISO 14119) GB/T 18831 机械安全 带防护装置的联锁装置 设计和选择原则

    EN574(ISO 13851） GB/T 19671 机械安全 双手操纵装置 功能状况及设计原则

    其中，IEC 60204 (GB 5226)是用于机械的电气设备的安全，由于现代机械中电气设备的量大面广，这是一个比较重要的B2标准。由于机械中控制系统的重要性，及EN954-1标准对机械的控制系统的安全功能引入了风险评估和风险等级类别B，1，2，3，4 (Category B，1，2，3，4)对应的要求，在机械安全的实现中常用作重要的参考依据。这是一个比较重要的B1标准。EN954-1标准中的类别和相应的要求摘要，如下：

    Category B 单个故障导致安全功能的丢失要考虑特定应用的可靠性，除了安全相关的控制之外可能需要其他措施

    Category 1 Category B 的所有要求更高可靠性的器件用于安全功能降低了故障的可能

    Category 2 Category B 的所有要求更高可靠性的器件用于安全功能安全功能的检查 (自动或手动); 在测试间隔可能会丢失安全功能

    Category 3 Category B 的所有要求单个的故障 应该不会 导致安全功能的丢失(需要冗余)合理地实施时, 安全相关的关键故障会在下次需要安全功能时或之前被检测到累积的故障可能导致安全功能的丢失

    Category 4 Category B 的所有要求安全相关的关键故障会在下次需要安全功能时或之前被检测到累积的故障可能不会导致安全功能的丢失脉冲测试会用来实现该等级的检测

    安全产品要按照标准来设计和制造，并常要经过第三方认证机构的测试认定。TUV是比较权威的安全产品认证机构之一。如标有TUV/CAT3的产品表示它有己经过TUV认证的CAT3安全性能。近年来，也常有用TUV/SIL3（SIL -安全完整性等级，见下面）等来表示产品有经TUV认证的SIL3安全性能。

3 机械危险

    一般的机械危险主要来自以下四部分： 

    ——正常使用加工机械时，如加工件易反弹并伤及工作人员，则加工机械的设计与制造应能防止加工件的反弹，以免造成危害。 

    ——如加工机械停止运转后，与刀具的接触仍存在危险，加工机械则必须带有自动停止装置，以保证刀具在极短的时间内处于停止状态。

    ——如带刀具的加工机械不是全自动化设备，其设计与制造则应防止伤人事件的发生；或使用圆形截面的刀具并限制其切削厚度，将危害保持在最低限度内。 

    ——机械危险：主要来自运动组件，包括运动轴与传动机构所造成之挤压、剪切或绞入等危险。建议采用固定或移动式护罩来防止人员接近危险区域。

4 机械设备安全应该考虑的几点 

    （1）元器件要求

    与安全功能有关的控制电路在设计上应使用成熟的技术方案，器件选型上须使用技术成熟的元器件，即在相似的应用领域中有过广泛和成功的使用，或是根据可靠的安全标准制造的元器件。采用工作极其安全可靠的元器件,可以不考虑这种元器件本身发生故障的可能性。

    同时，为了避免短路，减少故障的发生率，确定故障的类别，准确地检测故障以及避免二次故障的发生，可以采用诸如：隔离电路，容余功能，线路保护，遇故障时及时断电，良好的接地等措施。 

    安全控制电路要能够承受预期的运行强度，能够承受运行过程中工作介质的影响和相关外部环境的影响。

    （2）机器安全停止要求

    机器设备的安全保护，其核心就是使机器设备的危险动作停止下来。根据所使用的安全保护装置的不同，可以有不同的安全停止功能。

    在正常运行中使用的停止功能，必须要能够避免机器设备、产品和加工过程被破坏，同时要能够防止机器设备的重新启动，这就是对安全停止功能的要求。 

    在IEC 60204标准中，规定了三种停止类别： 

    - 停止类别0：通过立即切断供给机器设备的电源来实现停止，也就是停止不受控制。 

    - 停止类别1：受控制的停止，供给机器设备执行机构的电源一直保持，以使机器设备逐渐停止下来。

    只有当机器设备完全停止后电源才被切断。 

    - 停止类别2：受控制的停止，供给机器设备驱动装置的电源一直保持。 

    正确的停止类别的选择，必须建立在对机器设备所进行的危险性分析的基础之上，这在ISO 13849标准中有所规定。 

    所有的机器设备都必须具有停止类别0的停止功能。

    停止类别1和/或2的停止功能只有在机器设备的安全和功能要求有必要时才可使用。 

    （3）安全距离解决方法

    a. 可用安全门开关锁、电敏式安全保护装置、安全地毯和双手控制器等实现。

    b. 在机器设备的安全保护中，除了要使用安全可靠的保护元件外，对于非常危险的机器设备，还要对其安全保护控制电路做出一定的要求，以提高安全保护的等级，如：安全监控器模块。 

    （4）安全地毯的使用　

    在机器设备的安全保护中，有些场合是无法用安全围栏和安全防护门对危险区域进行安全保护的，如在一些大型注塑机械、冶金机械中，经常需要到机器内部进行维护和调整，此时需要保证在外部无法启动机器，这种情况下显然无法使用安全防护门。

    另外，在有些需要且可以使用安全防护门的场合，出于方便和美观的考虑， 也有可能不愿意采用安全防护门。

    在以上两种情况中，为了实现对危险区域的安全保护，可以使用接触式的安全保护装置。在这一类安全保护装置中，安全地毯是很有特色，也是应用非常广泛的一种。

    （5）安全光栅的应用 

    安全光栅工作原理是：通过发射红外线，产生保护光栅，当光栅被遮挡时，装置发出遮光信号，控制具有潜在危险的机械设备停止工作，以降低作业人员在工作环境中受到伤害的可能性，有效保护作业人员的人身安全。它是人员需要频繁而方便地进出操作区域的理想选择。主要应用有机器人焊接、机器定位、贴标，冲锻压机床，包装设备等场合。按保护对象（手指、手腕、身体）不同有不同的分辨率、保护高度选择。

    （6）安全联锁开关的应用

    安全联锁开关对很少进出操作区域的应用提供一种经济的解决方案，它分接触式和非接触式，用于当防护门或受保护的通道被移动时停止危险区域的机器。

    （7）传感器的使用

    包括光电开关，电容式/电感式接近开关，限位开关等。传感器产品是成功的自动化安全解决方案的基础。通过对生产过程中的各个安全相关参数的采集并分析，可以精准地控制设备的工作状态。

    （8）监测型安全继电器的使用

    监测型安全继电器的基本任务是要实现:

    a. 检测出安全相关的电气控制线路上的故障，如传感器/接触器/线路连接等上发生的故障。

    b. 提供可靠的开关动作，如作为中间继电器来放大信号或传输到多个装置上去。

    c. 提供手工复位功能。

    这些任务的实现有赖于其内部的冗余及监测功能。至于监测型安全继电器具体在系统中实现如延时，动作传感，双手控制监测等哪些功能由设计使用情况决定。

    （9）双手控制装置的运用

    在许多危险性很高的机器设备中，如锻压设备、冲剪设备等，都会使用双手控制装置。双手控制装置属于电敏式安全保护装置，其作用是当有人在操作机器设备，给机器设备一个产生危险动作的信号时，迫使其同时使用双手，从而必须待在一个地方，这样可以确保安全。 

    （10）安全PLC（可编程逻辑控制器）的应用

    安全继电器在小型的系统中是较好运用的器件。但安全继电器的灵活性不够好，当机械的控制系统的安全逻辑较复杂时，用安全继电器就不易实现或使得安全系统变得过于庞大，设计和调试的周期及难度都会增加很多。这时就常采用安全可编程控制器，它是采用双处理器的冗余结构，并在内部对数据，逻辑控制有定时的比较、诊断扦查。

    罗克韦尔自动化在各种安全产品方面有20多年的工作经验，包括在1999-2002年间并购了英国的EJA-Guardmaster公司，德国的TESCH GmbH公司等著名的安全产品公司。目前有包括急停开关，安全光栅，安全地毯，安全互锁开关，安全继电器，安全可编程控制器等全系列的安全产品，并都经过TUV的安全认证。如罗克韦尔自动化的模块化的安全继电器MSR300系列产品满足EN954-1 Category 4和IEC61508 SIL3的TUV认证，并支持RS232和CIP（通用工业协议）的通讯。罗克韦尔自动化的GuardLogix是采用双处理器结构（1002结构）的安全可编程控制器，达到EN954-1 Category 4和IEC61508 SIL3的TUV认证，还符合美国标准NFPA 79和ANSI B11.19的认证。

5 关于IEC61508及相关的机械安全标准的发展

    IEC61508标准引入了安全完整性(Safety integrity)，其定义为：在规定的条件下，在规定的时间内，安全相关系统成功实现所要求的安全功能的概率(probability of a safety-related system satisfactorily performing the required safety function under all the stated conditions within a stated period of time)。并引入了4个安全完整性等级(safety integrity level－ SIL)。安全完整性等级4 (SIL4) 是最高的，安全完整性等级1 (SIL1) 是最低的。IEC61508中定义的安全完整性等级划分与功能安全危险失效概率范围的对照如表1所示。

    表1   EN/IEC61508标准中SIL等级与PFHd：

    IEC61508标准要求从全生命周期的各个阶段的风险评估出发，从系统的角度采取各种措施（包括对硬件、软件的功能安全要求，安全完整性要求，失效模式分析，诊断覆盖，测试和证实等等）降低各个阶段的风险至可以允许的范围内。机械工业仪器仪表综合技术经济研究所的冯晓升教授在“仪器仪表标准化与计量”杂志的2007年第1期至第6期的“功能安全技术系列讲座”中对IEC61508作了仔细、深入的讲述。本文由于篇幅所限不准备详述此标准。

    IEC61508讨论的是“电气/电子/可编程电子安全相关系统的功能安全”。由于近年来电气/电子/可编程电子安全相关系统的广泛使用及控制系统中功能安全的重要性，这个标准原则上适用于包括过程工业，化学，石油化工，机械工业等几乎所有工业，是十分重要的基础安全标准。以IEC61508为基础，关于过程工业，己制订出了一个重要的基础安全标准：IEC61511——功能安全-用于过程工业的安全仪表系统。以IEC61508为基础，关于机械工业，己发展、制订出了一个重要的机械工业基础安全标准：IEC62061——机械安全-安全相关的电气，电子，可编程电子控制系统的功能安全。

     图2   EN954-1，IEC62061，ISO13849-1，IEC/EN61508几个
标准之间的关系示意图

    1999年版的ISO13849-1(机械安全 控制系统有关安全部件，由EN954-1发展而来)根据安全系统有故障存在时的性能把安全系统归成五个类别B，1，2，3，4之一。2006年发表的新版的ISO13849-1结合采用了IEC62061和IEC61508的处理方法，依据：危险失效的平均时间（mean time to dangerous failure - MTTFd）；诊断覆盖(diagnostic coverage)；共因失效（common-cause failures）；系统失效（systematic failures）；软件分析（software analysis）等引入了一个新的安全功能分类级别，称为性能等级（Performance Level - PL）：a，b，c，d 或 e，PL与IEC62061的安全完整性等级(safety integrity level— SIL)是可比较的。2006年版的ISO13849-1可用于采用各种技术（包括电，机械，风力，水力）的安全相关系统的机械，但对于采用高度复杂的、可编程电子技术的安全相关系统的应用有些限制。（IEC62061和IEC61508把重点放在采用高度复杂的、可编程电子技术的安全相关系统）。有些人认为，2006年版的ISO13849-1基本上是一个IEC61508的简化版本。可以用图2表示这几个标准之间的相对关系。

作者信息：

    陈开泰，朱春标，黄松杰（罗克韦尔自动化研究（上海）有限公司，上海  200233）