1.安全控制模块的定义

在标准IEC 60204-1《机械安全机械电气设备第1部分：通用技术条件》的第9章中，对于故障情况下的控制功能有了明确的定义，即“一般要求电气设备中的故障或干扰会引起危险情况或损坏机械和加工件时，应采取适当措施以减少这些危险的可能性。所需的措施及其实现，无论单独或结合使用，均依赖于有关应用的风险评价等级”，并且规定了在故障情况下降低风险的措施，包括：

1）采用成熟的电路技术和元件；

2）采用冗余技术；

3）采用相异技术；

4）功能测试。

因此，各个生产厂商提供的安全继电器产品尽管各具特色，但其符合的安全标准的要求是一致的。

通常，安全控制模块根据不同的设计特点，适用的场合也是不同的。如图3-17例中可以让我们对于安全控制模块的应用有一些基本的了解。通常产品的选型依据是与实际应用的安全功能的数量有关的。

图3-17 安全控制模块的比较

注：在实际应用中，采用何种安全控制模块，取决于应用场合的安全技术要求的复杂程度，也就是说与“安全功能”数量的多少、逻辑复杂还是不复杂，以及“安全功能”在现场的分布情况有关，而与达到的安全等级无关。换句话说，安全继电器、可编程序的模块化安全控制系统，以及安全PLC，最高可以达到的安全等级是一样的。

2.安全继电器

（1）继电器的作用

继电器是一种电子控制器件，它包括控制系统（又称输入回路）和被控制系统（又称输出回路），通常应用于自动控制电路中，它实际上是用较小的电流去控制较大电流的一种“自动开关”。故在电路中起着自动调节、安全保护、转换电路等作用。继电器通常分为电磁继电器、干簧管继电器、固态继电器（半导体继电器）等。

1）电磁继电器的工作原理和特性

电磁式继电器一般由铁心、线圈、动铁心（衔铁）、触点簧片等组成的。只要在线圈两端施加一定的电压，线圈中就会流过一定的电流，从而产生电磁效应，动铁心就会在电磁力吸引的作用下克服弹簧的拉力靠近铁心，从而带动动铁心的动触头与静触头（常开触头，也称动合触头）吸合。当线圈断电后，电磁的磁性也随之消失，动铁心就会在弹簧的反作用力返回原来的位置，使动触头与原来的静触头（常闭触头，也称动断触头）吸合。这样的吸合、释放的动作，从而达到了电路的导通、切断的目的。对于继电器的“常开、常闭”触头，可以这样来区分：继电器线圈未通电时处于断开状态的静触头，称为“常开触头”；处于接通状态的静触头称为“常闭触头”。

2）固态继电器（SSR）的工作原理和特性

固态继电器是一种两个接线端为输入端，另两个接线端为输出端的四端器件，中间采用隔离器件实现输入输出的电隔离。

（2）安全继电器的作用

在有安全要求的机器设备中，普通的继电器或者可编程序逻辑控制器（PLC）被广泛地用作控制模块，对机器设备进行监控，使机器设备按照预先的设计执行工艺动作，例如实现物料的加工、处理、包装、搬运等。从表面看来，这样的设备在一定条件下也能够保证安全性。但是，当普通的继电器或者可编程序逻辑控制器（PLC）由于自身缺陷或外界原因导致功能失效时（如触头熔焊、电气短路、处理器紊乱等故障），就会丧失安全保护功能，从而引发事故。

而对于安全控制模块，由于其采用冗余、多样的结构，加之以自我检测和监控、可靠电气元件、反馈回路等安全措施，保证在本身缺陷或外部故障的情况下，依然能够保证安全功能，并且可以及时地将故障检测出来。从而在最大程度上保证了整个安全控制系统的正常运行，保护了人员和设备的安全。最典型的安全控制模块就是安全继电器。在图3-18中显示了安全继电器最基本的一些技术特点。

图3-18 安全继电器的内部结构示意图

安全继电器通常是由数个继电器与电路组合而成，为的是要能互补彼此的异常缺陷，确保正确地动作，且尽可能降低误动作的概率。其失误和失效值愈低，安全性愈高，因此需要设计出多种安全继电器，来预防不同类型的机械设备可能出现的危险动作，以及保护暴露于不同危险之中的操作人员。

（3）安全继电器的工作原理

下面就以常见的“3-继电器”结构来说明安全继电器的工作原理。如图3-19所示。我们来简单分析一下安全继电器是如何工作的？通常，紧急停止按钮S0采用常闭触头结构，即未被触发时，通常处于抬起（导通）状态。如果此时按下复位按钮S1，具有延时断开功能的线圈K1得电，K1的主触头闭合，由此导致线圈K2、K3得电。松开复位按钮S1后，线圈K1延时失电并导致其主触头K1断开后，电路的自锁功能设计使得线圈K2、K3仍然保持得电状态，因此K2、K3主触头保持闭合状态。此时由于线圈K1已经失电，辅助触头K1处于闭合状态，由此安全继电器始终保持输出状态。随后操作人员可以对于机器设备进行正常的起动和停止的操作。

图3-19 “3-继电器”结构示意图一

同理，如果是双通道的输入形式，则需要对电路结构做些调整。如图3-20所示，此时的急停按钮的触头模块设计为两个常闭触头。如果此时按下复位按钮S1，具有延时断开功能的线圈K1得电，K1的主触头闭合，由此导致线圈K2、K3得电。松开复位按钮S1后，线圈K1延时失电并导致其主触头K1断开后，电路的自锁功能设计使得线圈K2、K3仍然保持得电状态，因此K2、K3主触头保持闭合状态。此时由于线圈K1已经失电，辅助触头K1处于闭合状态，由此安全继电器始终保持输出状态。随后操作人员可以对于机器设备进行正常的起动和停止的操作。

图3-20 “3-继电器”结构示意图二

（4）西门子的SIRIUS 3SK1安全继电器

现在越来越的新技术应用在安全继电器产品中，比如微处理器技术等。西门子公司在2013年发布的，并且赢得了汉诺威国际设计论坛IF产品设计大奖的SIRIUS 3SK1新型安全继电器就属于这类产品，如图3-21所示。 这款产品以更小的空间实现了更多功能体现了集成性，简洁的产品系列设计给客户的选型、系统设计带来了方便，同时继承了西门子继电器传统的模块化的特点，即降低了成本，又支撑了系统架构自由拼接的灵活性，可以说集中体现了西门子安全产品的优势。(www.daowen.com)

3SK1标准型系统的典型配置如图3-22所示。

3SK1增强型系统的典型配置如图3-23所示。

图3-21 SIRIUS 3SK1安全继电器

更多产品和技术的信息，详见：www.siemens.com/safety-relays。

图3-22 3SK1标准型系统的典型配置

1—3SK1标准型基本装置 2—输出扩展模块3SK1211 3—输出扩展模块3SK1213

图3-23 3SK1增强型系统的典型配置

1—电源模块3SK1230 2—输入扩展模块3SK1220 3—3SK1增强型基本装置 4—输出扩展模块3SK1211 5—输出扩展模块3SK1213

3.可编程序的模块化安全控制系统

（1）模块化安全控制系统的硬件架构

通常用户在设计和搭建安全控制回路的同时，需要考虑经济因素，即成本问题。那么提供一种成本相对低廉的、性价比较好的、简单的安全解决方案，在满足比较复杂的安全技术要求的同时，也能够符合IEC 62061的SIL，以及ISO 13849-1的PL的要求，这样的问题摆在了安全产品生产厂商的面前。

模块化安全控制系统应运而生。采用灵活的、模块化的方案，利用专用的工程组态软件，以及采用经过安全认证的专用功能块的要求将可以满足上述用户的安全要求。

模块化安全控制系统除了必须配置用于安全组态的基本单元之外，通常还根据实际应用的需要，对于输入/输出点进行扩展，这包括了安全的输入/输出扩展，也包括了标准的输入/输出扩展。此外，如果需要与上位机等设备进行通信，则需要配置接口模块；如果需要操作人员在现场进行诊断，还需要考虑配置用于现场诊断的文本诊断器这样的装置（见图3-24）。

不同功能的模块之间，通常需要加装用于信号及电源供给的总线装置，如扁平电缆等。

（2）模块化安全控制系统的软件架构

模块化安全控制系统通常需要与专用的工程组态软件配合使用。这类软件通过操作人员对于参数进行简单、快速地赋值，从而取代了繁琐的布线（见图3-25）。

工程组态软件一般是以图形化的编程语言为主。组态后的应用软件在下载到硬件系统的同时，完成编译工作。

宏文件的使用，使得用户的组态工作更加的灵活和高效。它允许用户编译库文件中的自定义的功能块，并可以将其重复应用于其他项目中。

图3-24 模块化安全控制系统结构示意图

1—文本诊断器 2—接口模块 3—基本单元 4～12—扩展模块（包括安全的输入/输出扩展模块和标准的输入/输出扩展模块） 13—存储模块

图3-25 模块化安全控制系统软件组态

工程组态软件通常具备在线监控的功能。通过在线监控每个功能块的状态，为用户提供了一个可靠的诊断方法。

（3）模块化安全控制系统的功能块

专用的工程组态软件通常会提供大量的已经过认证的专用功能块，如用于急停功能监控的“急停功能块”，用于安全光栅状态监控的“ESPE监控功能块”，用于操作模式转换监控的“操作模式选择功能块”等。除了提供大量的专用于安全应用的功能块，通常这类组态软件还会提供很多用于标准信号传递的功能块，如“标准输出”功能块等（见图3-26）。

同时，工程组态软件还提供了大量的，诸如“与”、“或”、“非”、“异或”、“计时”、“计数”、“置位复位”、“时钟”等大量的专用功能块，使得用户可以更加灵活地开发应用程序。

图3-26 功能块示例