作者：叶近茂

摘要：文章对中天门和桃花源索道在用的安全PLC冗余、相异、自检测等特殊功能的原理和应用做了粗浅介绍。并通过桃花源索道的一个具体案例，说明器件安全级别的不匹配不但会降低整个系统的安全性，甚至会造成系统工作不稳定。

PLC(Programmable Logic Controller)即可编程逻辑控制器，是一种基于继电器逻辑顺序控制需要发展起来的一种工业控制器件。随着控制需求的多样，现在的PLC控制功能已远不仅限于逻辑（Logic）控制，但是为了和个人电脑PC（Personal Computer）相区分，其英文仍简写为PLC。

安全PLC（S-PLC）是在普通PLC基础上发展起来的一种安全可编程器件，指的是在自身或外围元器件或执行机构出现故障时，依然能正确响应并及时切断输出的可编程系统。一般认为，安全PLC应符合EN ISO 13849-1以及IEC 61508等控制系统相关安全标准的要求。它不但能完成普通PLC控制、计算、通讯等工作外，还应具备冗余、相异、自检测等功能。这种冗余多样结构及故障自诊断功能极大提高了控制系统安全性。目前市场主流产品主要有皮尔磁(Pilz)PSS3000及PSS4000系列以及西门子（Siemens）S7-300F及S7-400F系列等。本文主要以中天门索道和桃花源索道在用的皮尔磁产品为例对安全PLC相关功能进行讨论。

1冗余与相异

安全PLC的冗余指的是其硬件具有多个处理器及数据通道，在数据处理及传输过程中相互检测，结果一致时才进行下一步操作。相异指的是处理器等元器件采用不同品牌产品，比如西门子、摩托罗拉或因特尔等。

2自检测

自检测指的是系统启动前、运行中，能对自身或外围器件的不正常状态做出自我诊断，并做出报故障、停机等自主反应。安全PLC的自检测功能是对硬件设备的一种自我保护，包括处理器自检测、电源自检测以及外部输入输出点的自检测等。

2.1处理器自检

处理器自检可以对软硬件方面的故障进行检测。一旦上电，系统就开始自检，对皮尔磁PSS系统而言，此过程大概需要约30秒。在正常运行时将由固件在一小时内执行一次完整的测试，防止程序因意外原因进入死循环，该过程一般通过一个定时计数器来完成。在程序正常执行完一遍后会将定时计数器清零，如果外部干扰等原因造成程序进入死循环，定时器不能清零，则在其达到最大计数值后强制清零并将处理器复位，同时通知处理器报故障。

2.2电源输出自检

电源自检测通过输出电路上两个串联的开关来完成，这两个开关由两个处理器分别控制。第一个处理器使用数字量输出还原器（DOD）驱动它的开关，而第二个处理器则在还原器之后驱动它的开关。在每个周期里，两个处理器系统的中点电压要与一个参考阈值进行比较，评估中点的电压，然后还要交换它们的结果，诊断开关的状态。如果检测到中点电压和参考阈值不一致，则系统自动停机并通知处理器报故障。

2.3输入双通道自检

除处理器、电源等内部检测外，安全PLC还可以对外部诸如断路和短路、24V信号窜入以及接地故障等输入输出点危险接线故障进行检测。这近一步提升了安全PLC系统的安全性能。安全PLC外部输入输出点的自检测主要是通过其输入输出模块的双通道结构及测试脉冲和双极信号输出功能来实现的。

安全输入模块的每个输入通道使用一个公共输入电路和2个独立获取链路，每个微处理器驱动一个数字输入串行器（DIS）来实现对输入信息的采样。另外，微处理器还驱动一个数字输入还原器（DID），再驱动诊断功能块进行诊断，实现还原数据与输入数据的同步比较。

在输入为干接点情况，也就是说在没有极性可以互换的两个接点之间并联一个10K欧的上拉电阻，利用外部接线来进行漏电流检测，最小漏电流为1mA，如果没有漏电流，就代表外部电路出现开路情况。每个输入电路都配置了开关，周期地强制为1或0，用于检测电路是否健康。每个输入电路独立进行检测，如果发现问题通知处理器停机并报故障。

2.4测试脉冲输出与应用

 

图1 测试脉冲

安全PLC的测试脉冲输入输出模块（DIOT）有16个测试脉冲输出端口和对应的16个输入端口。可以通过编程将测试脉冲分别定义为T0、T1、T2、T3等不同形式。如图1所示，它与普通24V信号的不同在于每隔一段时间，输出就会有一个0~2ms或1~3ms的电压缺口，并且T0~T3电压缺口的序列是各异的。利用这个特点可以对外部接线故障做出自我检测。在如图2a所示的急停电路中，在急停按钮接线后如果窜入24V信号，当需要停车按下急停按钮后，则因为有该故障信号的窜入，就会造成系统不能停机而造成危险。

图2a 24V信号窜入故障                       图2b 24V信号窜入故障解决方案

如果用如图1所示的测试脉冲代替这里的普通24V信号，同时用安全PLC的测试脉冲输入输出模块代替这里的继电器或普通PLC则可以避免该类故障。如图2b所示，急停回路中使用了安全PLC测试脉冲输入输出模块提供的测试脉冲T0，在对应的pss输入口会对这个信号检测，如果能正常检测到T0缺口的存在表明线路是正常的，一旦故障24V信号窜入，则会将T0的电压缺口填平，这会在系统自检过程中及时被发现，由处理器及时停机并报故障。

 

 图3a 24V短路故障                               图3b 24V短路故障解决方案

 

在由普通PLC或继电器控制的安全门控制回路中，如图3a所示，如果两路信号之间发生了短路故障，那么即使一个安全门被打开，也不会引发停机，从而可能酿成大的事故。图3b是安全PLC系统的解决方案。如图所示，两个安全门回路分别用了T0和T1两路不同的信号，由于其电压缺口序列是不一样的，正常情况下，在PSS的输入端分别检测到的两路信号也是不一样的。一旦发生故障，两路信号发生了短路，则在系统自检过程中，T0的输入端则会检测到T1的电压缺口，同样在T1的输入端也会检测到T0的缺口，安全PLC则会识别出这两路信号间发生了短路，这是系统所不允许的，处理器会及时停机并报故障。

2.5双极脉冲输出与应用

 

图4a 电机误启动故障                     图4b 电机误启动故障解决方案

 

安全PLC的双极输入输出模块（DIOZ）有8对双极输出端口和16个单极输入端口。双极输出信号有助于电机及电磁阀等需要双极控制信号的外部元件故障的自检测。如图4a所示的电机控制电路中，控制电机启动的24V信号由一般继电器或普通PLC提供，启动接触器另一端接地。当因为某种原因控制电路中窜入24V故障信号时，电机就会误启动。或者在电机运行中窜入24V故障信号后，当继电器或PLC断开输出需要停机的时候就会出现电机不能停止的情况。

如果控制电机启动的24V信号由安全PLC的双极输出模块来提供则可以避免上述情况。如图4b所示，双极输出模块的一个地址成对提供24V和0V信号，分别接入电机的控制电路。当电机不需启动，模块没有启动信号输出，即使电路中错误的窜入24V信号，由于没有0V信号接入，24V信号处于悬空状态，电机不会误启动。同样，当电机运行过程中错误的窜入24V信号时，由于它会填平由双极输出模块输出的脉冲信号的电压缺口，从而会被系统检测出来，处理器会及时做出反应，报故障并停机。

2.6测试脉冲的错误应用

安全PLC对外部输入输出点的自检测功能丰富而完善。如上所述，通过测试脉冲输出以及双极信号输出等功能可以实现对错误信号窜入、线间短路等大多数故障的自检并报出具体故障位置。但是由于设计的原因，对信号不恰当的使用也可能会带来一些问题，引发故障，使系统工作不稳定。

在如图5所示的一个索道抱索力检测电路中，“抱索力开始检测”的信号由安全PLC的测试脉冲信号A2.11提供，它输入抱索力测量模块137A1的端子8。当有吊厢接近时，A2.11输出一个信号给137A1模块，激活模块准备开始抱索力检测。但是由于A2.11是一个有电压缺口的脉冲信号，137A1检测到该脉冲信号电压缺口的上跳沿时就会引起二次触发，造成系统紊乱而使索道故障停机。

  

图5抱索力检测故障

由于吊厢触发“抱索力开始检测”和脉冲信号缺口的出现并不是每次都同步，以及抱索力测试模块137A1反应灵敏度等原因，二次触发的情况并不是每次都出现，有时运营一天不会出现一次，有时一天出现几次。这给原因分析及故障排查带来很大难度。通过反复观察和电路分析才找到了原因。最终通过加装光电隔离的方法，如图6所示，合理利用光电器件开关延迟这一特性解决了这一问题。

     

图6 抱索力检测故障解决方案

造成这个问题的关键是137A1抱索力检测模块安全级别太低，不能正确识别安全PLC的测试脉冲信号。为使系统能正常运行，最终只好放弃了安全PLC的这一自检测功能，但这也拉低了整个系统的安全级别。

3结论

安全PLC冗余、相异、自检测等理念的引入，特别是处理器自诊断、输入输出通道自检测和测试脉冲输出、双极信号输出功能的应用，极大的提高了系统安全性能。可以预见在安全控制领域将会得到更多的应用。

但是我们也要看到，安全控制是一个系统工程。安全PLC只有配合相同安全级别的外围器件才能发挥出它应有的性能。不合理器件的使用不但会拉低整体的安全性能，甚至会给系统正常运行带来意想不到的影响。