具备安全控制器、安全网络和安全I/O的机械安全在设计阶段较为复杂，并且在组件成本上也偏于昂贵。使用可靠的硬接线组件来实现机械安全虽然很昂贵，但是却简单有效。然而，这样建成的系统总成本更低，操作更简单，灵活性更强，并且集成了可编程控制器、数字网络和智能I/O的所有优点。

在过去的五年里，随着北美对安全系统中可编程控制器的使用规则的改变，机械制造商开始从硬接线安全转向了一定级别的数字安全系统。这种转变也是由于机械制造商的客户认识到新系统带来的好处（详见下表I），并开始要求他们适应新的规则。

安全控制器、安全网络和智能传感器带来的好处：

?●提供大量诊断信息帮助查清问题

?●当机械或生产线的某些部分处于修理或维护状态时允许其它部分继续运作

?●通过剧减线的数目和长度解决布线问题。通过e-mail和/或Internet自动提示相关人员

?●与机电安全系统相比，移动部件更少，移动部件所需要的维护也更少

?●能够方便地重新改编程序以适应产品变化和需求

?●通常比硬接线系统更便宜，比机电安全系统更稳固耐用

具有难度的是如何实现安全组件和标准自动化组件的结合的最优化，并以合理的成本提供这些好处。

分立的安全

设计一个物理上与自动化系统相分立的安全系统是昂贵的。典型的分立系统拥有自动控制器、自动化网络、自动化I/O、安全控制器、安全网络和安全I/O。某些类型的HMI通常与自动控制器和安全控制器相连接，所以它们至少综合了一定的自动化系统和安全系统的特性。在欧洲，这就是数字安全系统如何被引入进他们的最初的部署阶段的典型，并且仍然有许多人在考虑将它作为最值得的设计方案。

这种系统性能完善，不但设计起来相当简单，并且可以比硬接线安全系统提供更多的好处，但是这种系统要维护起来也是很昂贵的，因为它拥有两个控制器、两套I/O和两个数字网络。

位于美国麻省Gloucester市的巴顿菲尔工程有限公司生产出了用于薄膜/薄片挤压的塑料处理设备。“为了防止因为一个危险的咬入点或转动动作而导致错误的使用操作，我们在生产线上使用了大量的电子元件，”巴顿菲尔工程有限公司的软件/控制工程经理Paul Brancaleone说，“索线、光眼、光幕和按钮使用在了最合适的地方。这些通常连接到皮尔茨自动化安全公司生产的安全继电器上。我们使用了针对转动关闭或机械运动的图像和声音报警方法。我们的控制系统监测每台机器的关键参数如电动机负载、压力和温度。对于一些像挤压机的压力之类的参数，我们会提醒操作员在它们达到临界点之前停止任何的加速。”

简单的方法

最简单的方法是使用安全控制器、安全I/O和安全网络于所有的机械安全和自动化控制中。事实上，这种方法可能会比两个分立的系统更昂贵，它取决于安全I/O点的数量和I/O点的所有数量。例如，你的机器有30个I/O点，其中10个用于安全方面，那么最便宜的选择可能是使用所有安全组件。

问题出现在更典型的机械控制应用场合，在这些场合中，大多数I/O点与自动化相关联而只有一小部分I/O点与安全相关。再次说明，最好先考虑一下最简易的方法，这通常表明要使用硬接线安全系统。

硬接线系统一般包括紧急停止按钮、防护开关以及其他的连接到一个或更多安全继电器上的安全传感器。安全继电器的输出通过硬线路连接到自动控制器作为输入，表明安全继电器已经跳闸。

这个方法被FMC Technologies Citrus Systems公司所使用，这是一家位于美国休斯敦的生产柑橘类水果榨取和处理设备的原始设备生产商（OEM）。“我们使用硬接线紧急停止系统来控制安全继电器，”FMC的控制部门经理Keith Bunce说，“安全继电器为PLC的输出提供电源，任何的紧急停止都会切断PLC输出的电源。”

位于安大略湖米尔顿的Bretco Electric是一家控制系统集成商，擅长于运动系统和安全设备的结合。其最近的一个项目是将一个分立的安全控制器通过输出连接到PLC上。对于自动零部件制造者而言，此项目是将Sick公司的安全控制器用于安装有CNC铣床单元的安全装置中。根据机器类型，每个单元都需要合适的电子控制停止操作器和通道联动装置。安全控制器完成接口连接和监控，然后控制器与GE Fanuc的CNC相连接，帮助发现安全监控电路中出现的错误。

Jim O’Laughlin是Sick公司安全接口技术组的产品市场经理，他认为可以根据应用的复杂性来推荐不同级别的安全控制智能方案。“提供合理解决方案的一个关键是要理解安全继电器和安全控制器之间的区别，”O’Laughlin说，“安全继电器相当成熟，已使用于特定的硬接线应用场合。”

不只是硬接线

硬接线安全系统的一个问题是：唯一可用的诊断信息是安全继电器已经跳闸。只有一些少得可怜的诊断信息，硬接线系统实在是很难进行故障的诊断和排除。“在使用安全网络之前，我们将许多硬接线电子控制停止操作器连接到大量的安全继电器上以控制大片区域，”作为一家设计、生产并销售批处理热拌沥青设备和污染土壤修复设备的OEM，总部位于美国田纳西州查塔努加市的Astec公司的控制部门副董事长Mark Harned说，“安全停止需要花费二十到三十分钟的时间进行故障诊断和排除。随着Profibus安全网络与西门子控制器连接的实现，故障诊断和排除变得快速简单，并且能够在同一个操作面板上完成，整个过程就像是在自动进行。”

另一个解决方案是将非安全数字网络简单地放置于硬接线安全系统上。“我们的电子连接系统通过DeviceNet设备提供了监测和通告，确定紧急停止发生的地点并提供输出结果用于本地通告，”Turck公司的网络和接口分组件的高级产品经理Eric Henefield说，“安全电路仍然是个真正的硬接线系统，它只是通过连接器结点传递信息。”

许多机器制造商说某种水平的诊断信息正在成为一种需要。“客户希望我们能提供关于安全操作参数的信息，”位于休斯敦的Hutchison Hayes公司的工程经理Lee Hilpert说，“过去，我们可能只提供一些离散的警示信息。现在，我们会通过PLC和数字网络给出与处理过程和设备机械状态相关的提示及警示信息以确保操作的安全。”Hutchison Hayes公司生产出了高速的垂直水平离心分离机。（见图1）

图1：没有危险，独立运行

用户希望从这个高速的能从油脂中分离出固态油和水的垂直离心分离机中得到安全诊断信息。如今，Hutchison Hayes公司通过PLC和数字网络实现了这点，而过去，它们只提供一些离散的警示信息。（照片由Hutchison Hayes公司友情提供）

另一家机械制造业的OEM说，安全控制器和安全网络对于大多数应用场合来说是必需的。“考虑到安全设备的数目，超过百分之九十的机器使用了安全I/O、安全总线和安全PLC组件，”位于美国密歇根州Auburn Hills市的Hirotec America Total Measurement Solutions公司的副董事长Gary Krus说，“我们使用这些安全组件来减少劳动力和原材料的总成本，从而实现Category3安全电路。”Hirotec公司生产了焊接装配工具和系统（见下图2）和测量元件。2000年公司使用了安全PLC和硬接线电路，大约一年后，公司转向了安全总线系统。Krus说，选择安全组件主要取决于对机器的控制器的选择和客户的偏爱——他使用的是皮尔兹自动化公司、Jokab 公司的安全设备和 Allen-Bradley设备。目前，他将A-B设备用于卷边挤压，将Jokab公司的设备用在测量系统中。

图2 百分之九十的解决方案

考虑到卷边机器和焊接装配系统的安全设备的数目，Hirotec公司超过百分之九十的机器使用了安全I/O、安全总线和安全PLC组件以减少实现Category3安全电路所需要的劳力和原料的总成本。（照片由Hirotec公司友情提供）

只有一点安全性

你说你的机器是个典型因为它只需要一些数目相当少的I/O点就可取得安全，但是你的客户需要一个比硬接线系统更容易实现故障诊断和排除的解决方案。什么是最好的方法？对于许多机器制造商来说，正确的方式是实现分立的安全组件与机器自动化系统的紧密结合。

一个好的例子是电机控制器和安全控制器、安全I/O的完美结合。“我们的具有板上安全性的Rexroth IndraDrive将安全功能直接集成到了电机驱动器上，” Bosch Rexroth’s electric drives and controls division的机械工具行业的部门经理Karl Rapp称，“这种方法的优点在于它不包含分立的安全控制器、安全I/O、主电源或电机供能线所需要的电流接触器和额外的速度检测器，并且其操作独立于主自动化系统。具有板上安全性的驱动器也能够节省成本，因为它不用用于额外I/O的硬件和线路。”

一开始汽车制造商通用汽车公司（GM）就采用了集成的SEW-Eurodrive公司的解决方案。控制分散到了集成的置于传送模式的驱动器和齿轮马达上。即插即用的连接器减少了配线，简单的DIP开关取代了驱动器上的软件配置。“集成了24伏安全停止电路的驱动器代替了传统的安全硬件组件，”GM公司控制、传送、机器人和焊接组的高级制造计划工程师Hans Rodgers说，“各种设计方案的结合帮助消除了本地工程和安装的变更，使全球性的平台成为可能。”

SEW设计方案使GM公司不用妥协工人的安全就能舍弃昂贵的安全电流接触器。SEW通过一个低压方法实现了EN954-1 category3的安全停止，此方法将安全功能从用于控制和驱动电机的线路电源中分离出来。因为是在独立电路上，所以安全停止器暂停传送运动时不会切断控制系统的电源。由于是内联安装，一个安全停止器都可能使整个驱动电路断开与主控制器的连接。此方案能使驱动器与控制器之间继续进行交流。

分布式安全

当安全功能变得更为广泛时，独立的拥有安全I/O的分布式安全控制器是个最佳的选择。位于美国伊里诺斯州Bolingbrook市的Goss International公司制造出了卷筒纸胶印印刷机和印后加工机。“供应商已经引入了新的产品，如ProfiSafe和failsafe CPU，这些CPU将传统的控制PLC、I/O组件、网络和曾经分离安全控制组件及网络的设备结合起来了，”Goss公司研发部电子工程经理Chris Cote说，“现在，通过一个装有传统安全I/O的网络来实现一个控制器上的过程处理和安全控制是可能的。”

贝加莱自动化公司(B&R)和其他供应商提供的Cote系统使用了安全控制器、安全网络、安全及非安全I/O的混合设备和安全及非安全电机控制器的混合装置。这使机械制造商只在需要时为安全买单。

贝加莱公司声称其Ethernet Powerlink安全技术方案的安全机制是开放的，并且可以通过数据传输的方式获得或执行。因此，与安全控制相关的数据可以通过标准的现场总线传输。在这个方案中，安全控制功能可以完全集成到控制系统中去，而不需要另外接线，所有与安全控制相关的数据传输标准完全符合工业自动化的行业标准，同时还达到了IEC61508 SIL Cat3国际电工组织的最高安全技术标准。

Beckhoff自动化公司提供了另一个分布式安全系统。此系统使用了非安全控制器、非安全网络、非安全I/O和分布式的安全控制器及安全I/O。这些作为TwinSafe总线端子而著称的分布式安全控制器可以使机械制造商在小型分布式I/O的增量中实现安全。

最终得到一个价格低廉的控制系统。“对于小型配置，故障安全PLC的任务能够在总线端子系统中完成，这比传统安全PLC更新型更高效，”Beckhoff公司的应用经理Rob Rawlyk说，“标准的和安全的总线端子都能够通过我们的TwinCat项目软件来配置。”[看下下面的补充事项了解机械制造商是如何使用Beckhoff公司的分布式安全系统的]

机械制造商，客户买入新系统

机械制造商明确地引入了集成了自动化和安全的系统。“我们开始将安全总线和控制器集成到硬件上，”位于华盛顿州Spokane市的Alliance Machine Systems公司的工程总监Mike Harrington说，“过去，我们拥有典型的机器控制系统，加入安全系统后，公司生产出了用于瓦楞纸箱生产的自动化原料处理设备。”

这些智能系统的另一优点是具有灵活性。“具有灵活性的安全系统功能包括执行一部分机器处理就能使机器免于冒与当前任务无关的风险，”罗克韦尔自动化公司安全系统的市场经理Kelly Schachenman说，“如果机器人需要培训，只要悬吊控制装置处于合适状态，维护人员就能开启机器人伺服系统电源，进入车间。当悬吊装置松开时，安全系统将切断伺服系统的电源。如果操作员想进入车间去移开喷射部件，安全系统能够切断伺服系统的电源使操作员可以在不使用悬吊装置的情况下进入车间。如果要换掉失效的电机或进行机械维护，那么可以使用传统的加锁装置/警告标记方法。”

Astec公司的Harned说，使用安全网络“是一种文化的改变，并且正在实践中。当用户不必使用伏特计去诊断调试所有设备时他们发现了一些有意义的事。用户可以从电脑上监测并了解到哪个地方引发了问题。他们所需要做的只是观察操作界面。你可以看到所有的功能，甚至是哪个节点出现了问题、哪处发生了紧急停止。这些无疑加速了我们的安装进程。”

Harned补充道，所有的安全功能使他的公司更具竞争力。在最近的一次展示上，Harned和Astec公司的首席执行官向两个新的客户展开了对Profisafe功能的讨论。“这是我们新机器展示的一大部分，”他说，“用户喜欢我们所生产的机器的简易性，并且希望能够监测机器的每个安全停止器和安全装置。他们预先看到更少的停工期带来的利益。”

以前把安全视为一种额外支出的公司已经意识到“安全的乌云终会散去，并且开始从商业角度看待安全，” Pilz Automation Safety公司的服务部经理Craig Torrance说，“安全（不再）只是这些公司的成本之一。从商业角度看待安全摒弃了以灵活性、停工期和潜在成本的形式最小化商业风险的想法。”

可编程安全控制的最新变化

问：ANSI NFPA 79做出了哪些变化以协调其和EN IEC 60204-1及其他欧洲规则的关系，这些变化是如何使北美机械制造商实现数字安全系统的？

答：2006年9月，NFPA79增加了一项规则用于紧急停止发生时断开致动器的连接的情形。如今，安全PLCs和其他可编程设备如驱动器只要根据相关安全标准来设计，就能够成为最终开关元件。这种改变已经在IEC 60204-1生效。正由于这种改变，制造商将会在设备、配线和机柜空间上大大地节省成本。

问：最近ANSI NFPA 79有没有做出一些变化以进一步阐明数字安全系统的规则？

答：9.4.3章节进行过一些重要的修订。

1.9.4.3.1节限定了权威人士修改应用项目的能力，并且需要特定的设备和方法来开展项目。可接受的方法包括钥匙操作式开关或存取码。

2.9.4.3.2节解决了存储内容保持和保护的问题。必须要有可以防止非权威人士改变存储内容的方法。存储内容的丢失必须不会导致危险的情况发生。如果存储内容的保持会引发潜在的危险，那么备用电池必须能够提供至少72个小时以防不测。

3.如果你的设备使用了可编程逻辑器，那么必须要提供一个检验软件的相关版本的方法。罗克韦尔自动化公司的产品满足了此要求，它让用户使用“安全数字签名”，这是一组唯一的分配给软件程序版本的数字。当把数字签名比作是文件时，用户能够确认程序是否被改动过。

4.修正了不恰当的描述以便更准确地反映安全功能。2002年的版本中，任何单个的失误都会关闭系统，以阻止后续操作或阻止突然的启动。这种情况基于一种错误的认为所有故障都可以被检测到的假设。2007年修订版中，相关的措辞更准确地反映了当前对故障检验的技术理解。故障难免会发生，但是单个的故障不会导致安全功能的丧失。另外，安全功能必须能够监控其自身并暂停应用程序的运行。

5.附录A也进行了修改以助阐明安全控制器的一些需求。2002年版本中，只有IEC61508被引用作为使用可编程安全设备设计安全系统的参考资料。2007年修订版中，增加了ISO13849-1, ISO13849-2 和IEC62061等标准。另外，还增加了SEMI S2标准用于半导体的功能安全需求。

罗克韦尔自动化公司机器安全防护部门的全球组件技术咨询师Steve Dukich参与了上述对话。

轮胎测试机使用分布式安全

一体化机器

Seichter公司的轮胎均衡(TU)机控制系统允许非安全组件(白色端子)和安全组件(黄色端子)在同一个数字网络中的混合匹配。(照片由Seichter公司友情提供)

位于德国汉诺威市的Seichter GmbH公司生产出了轮胎和车轮测试器用于检测轮胎的凹痕、膨胀和其他制造缺陷。 Teichter公司声称其轮胎均衡（TU）机比同级别的其他系统更紧凑，并提供了最少的周期时间和最高的精确度。Teichter公司的TU机通过工业PC、操作面板、标准总线控制器、安全总线控制器、伺服驱动器、标准I/O、安全I/O和EtherCat网络来控制。

分布式安全的概念容许机器能够由更低廉的非安全的自动化组件来控制，除非是需要安全控制器的特定领域。这些控制器通过Beckhoff自动化公司的标准非安全性数字网络连回到主控制器中。

具有安全闩的安全防护集成到TwinSafe系统中以保护机器操作员。TwinSafe是一个新型的安全控制及I/O系统，Beckhoff公司前不久刚得到此系统能在美国使用的正式批准。在这个应用场合中，TU机使用了TwinSafe分布式安全控制器和本地安全I/O，所有这些都通过EtherCat数字总线连接到主控制器中。

Seichter公司负责TU机的骨干工程师Johann Klassen认为安全系统为新型复杂的应用提供了潜能。“现在，主要的好处来自于重要的布线简化，”Klassen说，“随后的时间里，只要需要就可以安装上紧急停止器。因为紧急停止电路通常是预先设计好的，在随后的试运转中可以根据需要进行修改，这样就节省了时间和金钱。”

配置安全和一般的自动操作需要一个项目软件包。“我们不必使用两个不同的软件包。因为我们对TwinCat软件已经相当熟悉了，所以只需对TwinCat一个简单的导向就足够了，”Klassen说，“我们能够自己实现安全功能。在我们的案例中，这些并不是特别复杂，不过他们仍证明了实现安全功能是相当的容易。”