概述
安全PLC（可编程安全控制器）是工业自动化系统中实现安全功能（如急停、安全门、光幕等）的核心部件。其维护工作不仅关乎设备正常运行，更直接关系到人员与设备的安全。与标准PLC维护相比，安全PLC的维护具有法规强制性、高可靠性要求、严格的变更管理等特殊要求。本章节将详细阐述安全回路诊断、安全模块测试及安全程序维护的关键要点与规范流程。
一、安全回路诊断
安全回路是安全功能的物理实现路径，其完整性必须得到持续监控和诊断。
1.1 诊断内容与方法
输入回路诊断
- 短路/断路检测：安全输入模块通过脉冲测试检测线路对电源/地的短路及断路。
- 信号一致性检查：双通道信号必须逻辑一致且在合理时序内。
- 传感器状态监控：监控安全开关、光幕、急停按钮的常开/常闭状态。
内部逻辑诊断
- 看门狗定时器：监控CPU循环时间，超时即触发安全状态。
- 存储器校验：定期对安全程序存储器进行CRC或双码校验。
- 过程数据比较：双CPU或冗余通道间的数据一致性验证。
输出回路诊断
- 负载电流监测：检测输出点是否正常驱动接触器/阀。
- 反馈回路检查：通过反馈触点验证安全输出继电器的实际状态。
- 交叉短路检测：防止不同安全输出之间发生短路。
1.2 诊断信息解读与处理
| 故障代码/指示灯 | 可能原因 | 标准处理流程 |
|---|---|---|
| SF (系统故障) 红灯常亮 | 硬件故障、内部诊断错误、程序校验失败 | 1. 记录故障信息。2. 断电重启。3. 如仍存在，更换模块或联系技术支持。 |
| DIAG 黄灯闪烁 | 通道不一致、线路断路、传感器故障 | 1. 检查对应通道接线与传感器。2. 使用制造商诊断工具定位具体通道。 |
| 输出点绿色灯不亮（应有输出时） | 输出回路断路、负载故障、安全条件未满足 | 1. 确认所有安全输入条件满足。2. 测量输出点电压。3. 检查负载及线路。 |
安全回路诊断信号流示意图
二、安全模块测试
定期测试是验证安全模块功能完好性的必要手段，通常分为在线测试和离线测试。
2.1 测试类型与周期
| 测试类型 | 测试对象 | 推荐周期 | 主要方法 |
|---|---|---|---|
| 功能测试 | 整个安全功能（如急停回路） | 每周至每月 | 模拟触发安全条件，观察系统是否进入安全状态。 |
| 部分测试 | 单个传感器或执行器 | 每班次或每日 | 手动触发单个安全输入，验证其信号能被系统正确识别。 |
| 完整测试 | 所有安全相关部件 | 每年（或大修时） | 结合安全标准（如ISO 13849）进行性能等级（PL）验证。 |
2.2 安全模块离线测试步骤
- 安全上锁挂牌（LOTO）：对相关设备进行能量隔离，并悬挂警示牌。
- 模块拆卸与检查：将安全模块从导轨拆下，检查外观、端子有无烧蚀、腐蚀。
- 静态测量：使用万用表测量电源端子阻抗，输入/输出端子对地、对电源阻抗，排除内部短路。
- 模拟测试（如可能）：使用专用测试仪或可调电源/电阻，模拟输入信号，测量输出响应。
- 固件与配置检查：使用制造商软件读取模块身份信息、固件版本及配置，确保与备份一致。
- 记录与归档：详细记录测试数据、结果及测试人员，归档至安全维护档案。
注意：对于具有“强制”功能的安全模块，测试时需极其谨慎。强制操作会覆盖实际物理信号，仅允许在绝对安全且经过授权的情况下，用于故障排查，测试后必须立即解除强制。
安全I/O模块硬件示意图
典型安全I/O模块示意图，包含双通道输入/输出及诊断反馈端子
三、安全程序维护注意事项
安全程序的任何修改都必须遵循严格的变更管理（MOC）流程，以确保系统的安全完整性等级（SIL或PL）不被降低。
3.1 变更管理核心流程
- 变更申请与风险评估：任何修改必须提出书面申请，并评估其对安全功能的影响。
- 授权审批：必须由指定的安全负责人（如机械安全工程师）审批。
- 离线修改与仿真测试：在开发环境中修改，并利用仿真功能进行逻辑测试。
- 差异比较与文档更新：使用工具比较新旧程序差异，同步更新所有相关文档（如FMEA、电路图、用户手册）。
- 下载与验证：在计划停机时间内下载程序，并进行全面的功能验证测试。
- 归档与培训：将最终程序、文档归档，并对相关操作和维护人员进行培训。
3.2 安全编程规范示例（ST语言）
(* 安全急停功能块示例 *)
FUNCTION_BLOCK FB_EmergencyStop
VAR_INPUT
ChannelA: BOOL; (* 急停按钮通道A，常闭触点 *)
ChannelB: BOOL; (* 急停按钮通道B，常闭触点 *)
AckButton: BOOL; (* 复位按钮 *)
MonitoringTime: TIME := T#500ms; (* 通道差异监控时间 *)
END_VAR
VAR_OUTPUT
SafeState: BOOL; (* TRUE = 安全状态，输出断电 *)
Fault: BOOL; (* TRUE = 检测到故障 *)
StatusWord: WORD; (* 状态字 *)
END_VAR
VAR
Timer_FF: TON; (* 故障检测定时器 *)
ChannelOK: BOOL;
LatchFault: BOOL;
END_VAR
// 1. 双通道一致性检查与诊断
ChannelOK := (ChannelA = ChannelB);
Timer_FF(IN := NOT ChannelOK, PT := MonitoringTime);
IF Timer_FF.Q THEN
LatchFault := TRUE; // 通道不一致超时，触发锁定故障
END_IF
// 2. 安全逻辑：任一通道断开或存在故障，则进入安全状态
SafeState := NOT (ChannelA AND ChannelB AND NOT LatchFault);
// 3. 故障复位逻辑（需手动确认）
IF AckButton AND NOT (ChannelA AND ChannelB) THEN
LatchFault := FALSE;
Timer_FF(IN := FALSE); // 复位定时器
END_IF
// 4. 故障状态输出
Fault := LatchFault;
StatusWord := BYTE_TO_WORD(TO_BYTE(ChannelOK) * 16#01 + TO_BYTE(LatchFault) * 16#02);
END_FUNCTION_BLOCK
警告：
- 严禁绕过安全逻辑或使用“非安全”指令（如普通跳转JMP）修改安全程序流程。
- 安全程序的密码权限必须分级管理，仅授权人员可修改。
- 下载新程序后，必须进行完整的回归测试，确保原有安全功能未受影响。
- 必须保留所有历史版本的程序和文档，以备审计和追溯。
3.3 软件架构与数据流
安全PLC软件架构示意图：安全程序与标准程序隔离，通过受保护的数据区进行通信
总结
安全PLC的维护是一项系统化、规范化、文档化的严谨工作。维护人员必须深刻理解安全标准（如IEC 61508, IEC 62061, ISO 13849）的要求，并严格遵守制造商的规定流程。核心要点可归纳为：
- 诊断是常态：充分利用安全PLC的自诊断功能，定期解读诊断信息，防患于未然。
- 测试是保障：制定并执行严格的测试计划，验证安全功能始终有效。
- 变更是禁区：对安全程序的任何修改都必须走严格的变更管理流程，绝不可随意操作。
- 记录是依据：所有维护、测试、变更活动都必须有详细、可追溯的记录。
唯有如此，才能确保安全PLC系统长期、稳定、可靠地执行其保护人员与设备的使命。