隨著安全法律法規的完善和人們安全意識的提高，越來越多的安全相關系統在自動化領域中被采用。這里所說的“安全“不是網絡安全更不是交通安全，而是指guojibiaozhunIEC 61508（對應GB/T 20438）《電氣/電子/可編程電子安全相關系統的功能安全》！

1.1

什么是安全？

什么是安全，這是Zui先被問到的問題。一般的說法，安全是沒有危險，不受威脅，不出事故。如果按照這個說法，安全是一個juedui的概念，是不可控的。

傷害——對人體健康的損害或損傷以及對財產或環境的損害

風險——出現傷害的概率及該傷害嚴重性的組合

可以簡單的理解風險的表達式為：風險（R）＝傷害的嚴重性（S）× 傷害的頻度（P）。其中嚴重性表示發生一次傷害造成的損失數值；頻度表示在一定的時間內傷害發生的次數，這兩個因素都會影響風險。

IEC 61508 給出安全的定義是“不存在不可接受的風險”。如果對將要出現的傷害的概率以及嚴重程度是可以接受的那就是安全的，不能接受，那就是不安全的。

所以說不存在juedui的安全，只有相對的安全。而且這個定義，將安全問題轉化為了風險問題，通過控制風險使安全變得可控。因為，出現傷害的可能性是可以通過一些措施減小的，只要將風險減小到可接受的程度，就相當于達到了安全。

安全相關系統大多是圍繞著如何減小出現傷害的概率來工作的。比如，一臺機器，通過一些安全措施，操作人員操作十萬次才可能會出現一次割破手指的傷害，這樣來說是可以接受的，那么這臺機器是安全的。

1.2

什么是安全完整性等級 SIL，

SIL 越高越好嗎？

如何衡量一個安全相關系統執行這安全功能的能力呢？或者說為了安全，受控設備對安全相關系統的要求是什么呢？這就需要提到安全完整性和安全完整性等級（SIL）。

根據 IEC 61508 的定義，安全完整性是在規定的條件下和規定的時間內，安全系統成功實現所要求的安全功能的概率。安全完整性等級 SIL 是一種離散的等級，用于規定安全相關系統的安全功能的安全完整性要求。有 4 種安全完整性等級，SIL4 是Zui高的，SIL1 是Zui低的。IEC 61508 對不同操作模式下的安全完整性等級規定了相應的失效概率范圍，見下表1和表2。（低要求操作模式：要求的操作頻率每年不大于一次或不大于兩倍的檢測測試頻率，否則均應作為高要求操作模式或連續操作模式）。

從表中可以看出來，安全相關系統的安全完整性等級越高，安全相關系統不能實現所要求的安全功能的概率就越低。

舉例來說，一個鍋爐燃燒控制系統，安全功能是當鍋爐壓力達到危險值時關閉爐火防止發生爆炸危險。如果要想達到 SIL2 等級，那就要求系統在鍋爐壓力達到危險值關閉爐火這個功能出現不能執行的概率要低于10-6。

確定安全完整性等級要基于危險與風險分析，不恰當的風險分析會導致安全相關系統的安全完整性等級過高或過低。安全完整性等級過高會造成不必要的過高的安全成本，安全完整性等級過低又會導致安全相關系統不能滿足安全要求。

1.3

安全的 PLC 控制系統都需要哪些組件？

圖2  安全相關系統構成

通常情況下的基于 PLC 的安全控制系統由傳感器子系統、邏輯子系統和執行子系統三個子系統構成，其他形式的安全控制系統也是類似的。實現安全功能要貫穿從傳感器到執行器的整個安全系統，所以，整個系統的安全完整性等級 SIL 是由構成系統的三個子系統的 SIL 等級來確定的，即：

SIL 系統=SIL 傳感器+SIL 邏輯+SIL 執行

例 如 傳 感 器 子系統為 S I L 2  ，邏輯單元子系統為 SIL3，執行機構子系統為SIL1，則初步確定整個系統的安全完整性等級為 SIL1。也就是說整個系統由其構成的三個子系統中Zui低的 SIL 等級決定。盡管邏輯子系統為 SIL3，但整個系統 SIL 等級僅為 SIL1。

因此在對安全 PLC 控制系統進行硬件選型時要注意。首先是傳感器和執行元件，為了完成安全功能，使整個系統 SIL 等級達到設計要求，需要使用合格的器件。而對于作為邏輯子系統的 PLC 來說，需要使用 F-CPU，而且在連接安全功能所使用的傳感器/執行元件時要使用 F-IO 模塊，因為普通的 CPU 和 IO 模塊是沒有 SIL 等級的，不能完成安全功能。同樣，通常情況下，使用 F-CPU 搭配普通的 IO 模塊是不能實現安全功能的。

常用于 SIMATIC Safety 故障安全系統的硬件組件有：

? F-CPU：

– S7-1200 F-CPU,例如 CPU 1214FC DC/DC/DC

– S7-1500 F-CPU,例如 CPU 1516F-3 PN/DP

– ET200SP F-CPU,例如 CPU 1510SP F-1 PN

圖3  S7-1200/1500/ET200SP F-CPU

? 安全輸入和輸出 (F-I/O)

– S7-1500/ET 200MP 安全模塊

– S7-1200 安全模塊

– ET 200SP 安全模塊

– ET 200pro 安全模塊

– ET 200eco PN 安全 I/O 模塊

– ET 200AL 安全 I/O 模塊 

圖4  ET200MP/ET200SP F-IO

在安全的 PLC 控制系統中，除了使用 F-CPU 和 F-IO 模塊硬件組件外，還需要專門的軟件組件——STEP7 Safety，用于安全系統進行組態和編程。

使用 STEP7 Safety，可以：

? 支持在 TIA 博途的硬件和網絡編輯器中組態 F-I/O

? 支持使用 LAD 和 FBD 創建安全程序并該安全程序中集成有錯誤檢測功能

? 在 LAD 和 FBD 中編寫安全程序的指令

? 在 LAD 和 FBD 中編寫具有特定安全功能的安全程序指令

圖5  STEP7 Safety

1.4

西門子安全 PLC 與普通 PLC

有什么區別？

1）安全型的 PLC 是經過安全認證的，可以滿足系統對安全完整性要求的。同時，安全的 CPU 具有普通 CPU 所有的功能，也能被用于普通系統；但普通的 PLC 不能被用于安全系統。

2） 安全型的 PLC 在硬件模板的設計上與普通 PLC 是有區別的。

在 F-IO 模板上，內部電路都是采用雙通道的設計，可以對采集的信號進行比較和校驗；另外，在模板上也增加了更多的診斷功能，能夠對短路或者斷線等外部故障進行診斷。F-CPU 通過一定的校驗機制，可以保證安全程序在 F-CPU 內處理執行都是安全準確的，而普通的 CPU 則不能處理安全的信號也不能編寫安全程序。

3）安全型的 PLC 里 F-CPU 與 F-IO 模板之間的通訊是通過 PROFIsafe 協議來保證數據安全的。PROFIsafe 協議是加載在 PROFIBUS 或 PROFINET 協議層之上的，在數據中增加了更多的校驗機制，因此可靠性更高。另外，采用西門子安全 PLC 的安全系統中可以將安全模板與標準模板混用，也可以使用標準的 PROFIBUS 或 PROFINET 網絡進行安全數據的傳輸。

4）F-CPU 編寫安全程序時使用的標準安全功能塊也是經過安全認證的。

圖6  西門子安全 PLC 保證滿足安全要求