安全回路划分三原则：输入-逻辑-输出责任边界解析-平芜编程栈

安全回路——这三个字在工业自动化、电梯控制、起重设备、压力容器、医疗设备乃至新能源储能系统里，不是术语，而是“生死线”。我干了十多年现场调试和安全系统设计，经手过三百多个涉及SIL2/SIL3等级的安全项目，最常被问到的问题不是“怎么选PLC”，而是：“这个安全回路，到底该把按钮放哪边？继电器算不算逻辑？急停信号进DCS还是进安全PLC？为什么上次验收被安监专家当场叫停？”

答案从来不在手册第几页，而藏在“输入—逻辑—输出”这三段式结构的底层边界里。很多人以为这只是画个框、分三层、填几个元件，实则稍有错位，整条回路就从“功能安全”滑向“形式安全”——看起来有急停、有反馈、有切断，但故障时根本不可靠。比如某风电变桨柜曾因将安全门锁的反馈信号直接接入主控IO模块（而非独立安全输入模块），导致单点共模故障时无法触发停机，最终在维护人员开盖瞬间发生叶片意外变桨。事故报告里没写“逻辑错误”，只写了四个字：回路划分失当。

所谓“安全回路划分”，本质是把一个完整的安全功能（如“按下急停，驱动器断电，机械制动生效”）拆解为三个物理隔离、功能解耦、故障可诊断的环节：

输入侧：负责感知危险状态（急停按钮、光幕、安全门锁、双手按钮等），核心要求是高诊断覆盖率+单点故障不掩盖风险；
逻辑侧：负责判断是否触发安全动作（如满足“急停按下且无旁路使能”才输出切断指令），核心要求是确定性执行+失效导向安全（fail-safe）；
输出侧：负责执行最终安全动作（切断接触器线圈、触发刹车继电器、关闭气动阀等），核心要求是物理强制断开+状态可验证。

这三者不是按接线顺序随便切的，而是依据IEC 61508/IEC 62061/ISO 13849-1三大标准共同定义的“安全生命周期”中“安全功能分配”原则来划定的。它决定着整个回路的PFHd（每小时危险失效率）、DC（诊断覆盖率）、MTTFd（危险失效平均时间）能否达标，也直接关系到第三方认证能否通过、设备能否出厂、产线能否投产。

如果你正在做设备安全改造、编写SIS联锁逻辑、验收新产线安全系统，或者只是想搞懂为什么自己画的回路图总被安全工程师打回来——这篇文章就是为你写的。我不讲标准原文翻译，不堆砌公式，只说我在现场踩过的坑、调过的参数、验过的板子、签过的整改单。下面从设计底层逻辑开始，一层层剥开“输入—逻辑—输出”究竟该怎么划、为什么这么划、划错会怎样、以及如何用一张表快速自查你的回路是否真正“安全”。

1. 安全回路划分的本质：不是接线分区，而是功能责任切割

1.1 划分失当的典型后果：从“合规假象”到“失效盲区”

先说一个真实案例：某汽车焊装线新增机器人工作站，客户要求“符合ISO 13849-1 Cat.3 PL e”。我们按常规做法，把光电保护幕信号接入安全PLC的X1端子（输入），安全PLC内部程序判断后，从Y1端子输出信号至机器人主电源接触器线圈（输出）。初看完全符合“输入→逻辑→输出”三段式。但第三方审核时被一票否决——原因不是程序写错，而是输入侧混入了非安全元件。

具体问题出在：光电幕的供电电源，与机器人本体的24V控制电源共用同一开关电源模块，且未加冗余备份。当该电源模块发生开路故障时，光电幕失电→无信号输出→安全PLC误判为“无危险”→不触发停机。而此时实际存在人员闯入风险。这就是典型的“输入侧责任失守”：输入器件（光电幕）的供电可靠性，本应属于输入侧完整性范畴，却被默认交给“普通电源设计”处理，导致整个回路的DC（诊断覆盖率）从99%暴跌至65%，无法满足PL e要求。

再看另一个更隐蔽的错误：某AGV充电站安全门锁回路，设计为“门锁触点→安全继电器→接触器线圈”。表面看，门锁是输入，安全继电器是逻辑，接触器是输出。但问题在于，该安全继电器的复位按钮（手动确认复位）被并联在门锁触点两端，导致门未关严时也能强制复位。此时逻辑侧丧失了对输入状态的持续监控能力，变成“只要人按复位，不管门开不开都放行”。这已不是简单的接线错误，而是逻辑侧放弃了对输入有效性的闭环验证责任。

这两个案例说明：安全回路划分，划的不是电线走向，而是功能责任归属。输入侧必须对“感知是否可靠”负全责；逻辑侧必须对“判断是否可信”负全责；输出侧必须对“执行是否到位”负全责。任何一方越界或缺位，都会在特定故障组合下形成“失效盲区”——即标准里说的“危险失效未被检测到”。

1.2 三大标准对划分的底层约束：为什么不能按PLC IO口硬切？

有人会问：“我用安全PLC，所有信号都走它，不就天然分开了？” 错。安全PLC只是逻辑载体，不是划分依据。IEC 62061明确指出：“安全相关系统的架构设计，应基于其安全功能的分解，而非控制器的物理边界。” 换句话说，哪怕你用的是西门子F-PLC或Rockwell GuardLogix，如果把急停按钮信号和普通启动按钮信号接到同一个输入模块，再用软件屏蔽普通按钮——这仍是输入侧混杂，因为输入模块本身不具备对非安全信号的隔离诊断能力。

我们来对比三大主流标准对划分的核心要求：

标准	输入侧核心约束	逻辑侧核心约束	输出侧核心约束	划分失当的典型否决项
ISO 13849-1（机械安全）	输入器件必须满足指定PL等级（如PL e要求双通道+交叉监测）；输入线路需防短路/断线（如使用双线制+监控回路）	逻辑结构必须满足架构类别（Cat.3/Cat.4）；需实现“单点故障不导致危险失效”	输出执行器必须具备强制导向结构（如安全继电器的触点熔焊检测）；需支持状态反馈验证	输入未做通道分离；逻辑未实现冗余表决；输出无触点状态反馈
IEC 62061（电气/电子/可编程电子安全系统）	输入传感器需满足SIL等级对应DC要求（如SIL3要求DC≥90%）；需提供失效模式数据	逻辑单元需通过SIL认证；软件需符合IEC 61508 Part 3开发流程	输出执行器需满足SIL等级对应的PFHd限值；需支持在线测试（如周期性自检）	输入传感器未提供FMEDA报告；逻辑程序未做MCC（模块化代码检查）；输出未配置周期性自检
IEC 61511（过程工业SIS）	输入仪表需满足SIL等级的硬件故障裕度（HFT）要求（如SIL2要求HFT=1）；需独立于BPCS	逻辑解算器需为认证SIS控制器；需实现100%逻辑覆盖测试	最终执行元件（如电磁阀）需满足SIL等级的PFDavg；需支持部分行程测试（PST）	输入仪表与DCS共享同一HART多路复用器；逻辑解算器未启用看门狗；电磁阀未配置PST功能

你会发现，所有标准都在强调同一件事：划分必须服务于故障检测与诊断能力的落地。输入侧要能“看见”自身故障（如断线、短路、电源丢失），逻辑侧要能“证明”自己没算错（如双核比对、周期自检），输出侧要能“确认”动作已执行（如触点反馈、阀位检测）。这三者的能力边界，才是划分的真正标尺，而不是“哪个模块插在哪”。

1.3 划分的黄金法则：三权分立 + 双重校验

基于十年现场经验，我把安全回路划分总结为两条铁律：

第一，三权分立原则：

输入侧拥有“感知主权”——只负责采集原始安全信号，并自带诊断（如安全门锁的LED状态指示、光电幕的同步脉冲检测）；
逻辑侧拥有“判断主权”——只接收经输入侧预处理后的可信信号（如安全PLC只读取输入模块的“安全有效”位，而非原始触点电平）；
输出侧拥有“执行主权”——只响应逻辑侧发出的、带校验码的安全指令（如安全PLC输出的PWM信号，普通PLC无法伪造）。

第二，双重校验原则：

输入到逻辑之间，必须存在物理层校验（如双线制输入模块自动比对两路信号）+协议层校验（如CIP Safety的CRC校验帧）；
逻辑到输出之间，必须存在指令校验（如安全输出模块要求连续3个周期收到相同指令才动作）+状态反馈校验（如接触器辅助触点信号必须回传至安全PLC输入端，形成闭环）。

违反任一原则，回路就失去“失效可检测”这一安全基石。比如某包装机曾因省掉输出侧的状态反馈（认为“接触器吸合=断电成功”），导致一次线圈粘连故障未被发现，后续急停时电机仍带电旋转，造成严重工伤。事后分析发现：缺失的不是接触器本身，而是输出侧放弃执行主权后的状态失察。

2. 输入侧深度解析：不只是接个按钮，而是构建可信感知层

2.1 输入器件选型：为什么安全按钮不能用普通按钮替代？

很多工程师觉得：“不就是个常闭触点吗？普通按钮便宜一半，接上一样能断电。” 这是输入侧最大的认知陷阱。普通按钮与安全按钮的根本差异，不在触点材质，而在失效模式设计。

普通按钮的失效模式是“随机开路或短路”，而安全按钮（如施耐德XS系列、皮尔磁PNOZ）必须满足ISO 13849-1规定的“强制断开结构（positive-opening action）”：当触点弹簧疲劳、触点熔焊、外壳变形时，仍能确保常闭触点物理断开。其内部结构采用双杠杆联动+刚性限位，即使一个触点因电弧熔焊粘连，另一个触点仍会被机械强制拉开。

实测数据：某品牌普通按钮在10万次操作后，触点熔焊概率达3.7%；同规格安全按钮为0.02%。这意味着，在PL d（每百万小时危险失效≤100次）要求下，普通按钮会使整条回路PFHd超标12倍。

更关键的是诊断能力。安全输入模块（如Pilz PNOZmulti、Rockwell 1734-IB8S）对每个输入通道都进行实时监测：

断线检测：注入微电流，判断回路阻抗是否超限；
短路检测：比较两线间电压差，识别意外并联；
电源监测：独立检测输入端子供电电压，防止上游电源故障导致“假安全”；
时序检测：对双手按钮等时序敏感信号，验证两路触发时间差是否在500ms内。

而普通DI模块（如西门子SM321）仅做电平采样，无法区分“按钮未按下”和“按钮线路断开”，更无法识别“两路双手按钮被同一根导线短接”的恶意绕过。

提示：输入侧选型必须查三份文件——器件本身的EC型式认证报告（如TÜV证书）、输入模块的SIL/PL等级声明、以及整条回路的FMEDA（故障模式影响及诊断分析）报告。缺一不可。

2.2 输入线路设计：双线制不是多拉一根线，而是构建故障镜像

“双线制”常被误解为“两根线并联接按钮”。正确做法是：两根独立导线分别接入安全输入模块的两个不同通道（如X1.0和X1.1），且模块内部对这两路信号进行交叉比对。

以安全门锁为例：

正常状态：两路均为“1”（常闭闭合）；
断线故障：一路为“0”，另一路为“1” → 模块报“通道1断线”；
短路故障：两路同时为“0” → 模块报“共模短路”；
单点粘连：一路始终为“1”，另一路正常切换 → 模块通过时序分析识别异常。

这种设计实现了DC（诊断覆盖率）≥90%，远高于单线制的30%。而普通接法（两线并接同一通道）完全丧失诊断能力——断线时模块只看到“0”，无法判断是按钮真按下，还是线路断了。

实操中常见错误：为节省电缆，将多个安全门锁串联后接入单通道。这看似省事，实则灾难——任一锁具断线，整串信号丢失，且无法定位故障点。正确做法是每个门锁独立双线接入，或使用带地址编码的总线式安全门锁（如AS-i Safety），由主站统一诊断。

2.3 输入侧常见陷阱与避坑指南

陷阱1：共用电源
注意：安全输入模块的24V供电，必须与普通IO、PLC CPU、HMI等物理隔离。曾有个项目因共用开关电源，当HMI死机引发电源波动时，安全输入模块误报“电源故障”，导致整线急停。解决方案：为安全输入模块配置独立冗余电源（如Phoenix Contact QUINT-PS/1AC/24DC/10），并启用“电源故障保持”功能。
陷阱2：接地混淆
注意：安全输入的PE（保护接地）与逻辑侧的参考地（Logic Ground）必须单点连接，严禁形成接地环路。某半导体厂曾因此出现高频干扰，导致光电幕频繁误触发。最终在安全PLC输入端加装信号隔离器（如Weidmüller FLM PEB）解决。
陷阱3：信号混合
注意：绝对禁止将安全信号（急停）与非安全信号（运行指示灯）共用同一根多芯电缆。EMI干扰可能使安全信号电平漂移。规范做法：安全信号单独穿管，与动力电缆间距≥300mm，交叉时垂直穿越。
避坑心得：我在验收时必查三件事——
1. 所有安全输入端子是否有黄色标签（IEC标准色标）；
2. 输入模块背面跳线是否设为“安全模式”（非标准模式下诊断功能被禁用）；
3. 在HMI上能否实时查看每个输入通道的诊断状态（如“OK/OPEN/SHORT/FAULT”），而非仅显示“ON/OFF”。

3. 逻辑侧实现要点：不是写段程序，而是构建可信决策核

3.1 逻辑载体选择：安全PLC、安全继电器、还是定制ASIC？

逻辑侧的核心矛盾是：确定性 vs 灵活性。安全继电器（如Pilz PNOZ、Schneider GSR）胜在确定性——硬件电路固化，响应时间<10ms，无需软件验证；安全PLC（如Siemens F-PLC、Rockwell GuardLogix）胜在灵活性——可实现复杂联锁、延时、计数等高级功能，但需严格遵循IEC 61508开发流程。

选择依据不是“哪个贵”，而是安全功能复杂度：

简单功能（如单急停→单接触器）：优先用安全继电器。成本低、交付快、免认证；
中等功能（如“双手按钮+光幕+门锁”三条件与逻辑）：用模块化安全控制器（如Pilz PNOZmulti2），图形化配置，无需编程；
复杂功能（如“AGV路径安全区动态裁剪+多车冲突预测”）：必须用安全PLC，但需采购厂商提供的SIL认证函数库（如Siemens Safety Integrated），禁用自编逻辑。

关键提醒：安全PLC的“安全程序”与“标准程序”必须物理隔离。西门子F-CPU有独立F运行内存，Rockwell GuardLogix有Dual-Port Memory。若将安全逻辑写在标准任务里，一旦标准程序崩溃，安全功能随之失效——这已不是设计缺陷，而是架构违规。

3.2 逻辑结构设计：Cat.3与Cat.4的本质区别是什么？

很多人以为Cat.4就是“多加一个继电器”。错。Cat.3与Cat.4的核心差异在于故障检测机制：

Cat.3（高诊断覆盖率）：要求单点故障不会导致安全功能丧失，且故障能被检测到（DC≥90%）。典型结构是“双通道输入+表决逻辑+单输出”，如两个安全输入模块信号经AND运算后驱动输出。当任一通道故障，系统报警但不停机；当两通道不一致，立即停机。
Cat.4（连续诊断）：要求单点故障不会导致安全功能丧失，且故障能被持续检测（DC≥99%）。典型结构是“双通道输入+双通道逻辑+双通道输出+交叉反馈”，如Pilz PNOZsigma的四通道架构：通道A/B负责输入采集，通道C/D负责逻辑解算，输出分两路驱动，且每路输出状态必须反馈至另一通道输入端，形成全闭环。

实测对比：某输送线原用Cat.3设计，一次接触器线圈老化导致吸合延迟，因无输出状态反馈，系统未报警，后续急停时电机惰走距离超标。升级Cat.4后，输出反馈信号与指令不匹配，系统在300ms内触发诊断报警并停机。

提示：Cat.4不是“更好”，而是“必要”。当安全功能失效可能导致严重人身伤害（如冲压机、大型吊装）时，Cat.4是强制要求。

3.3 逻辑侧实操细节：为什么“急停程序”不能只写一行ST代码？

以安全PLC中最常见的急停逻辑为例，新手常写：

IF E_Stop_Button THEN Motor_Output := FALSE; END_IF;

这行代码看似正确，实则埋下三大隐患：

隐患1：缺少指令校验
安全输出必须带校验。正确写法需启用安全PLC的“安全输出指令”（如Siemens的F_TRIG或Rockwell的GSV指令），该指令内部包含：

指令序列号比对（防止旧指令重放）；
周期性心跳检测（连续3个扫描周期无新指令则自动复位）；
输出使能位锁定（需先置位EN，再发指令）。

隐患2：缺少状态反馈闭环
必须读取接触器辅助触点信号，并与输出指令比对：

// 安全输出指令 F_OUT_MOTOR(EN:=TRUE, Q=>Motor_Out_OK); // 状态反馈验证 IF NOT Motor_Out_OK AND Motor_FB THEN // 输出指令为OFF，但反馈为ON → 触点粘连！ Safety_Alarm := TRUE; END_IF;

隐患3：缺少旁路管理
急停回路常需维护旁路（如“维修模式”）。但旁路必须满足：

需双钥匙操作（物理+软件）；
旁路期间所有安全功能降级，并在HMI强提示；
旁路解除后需手动复位，不可自动恢复。

我见过最危险的旁路设计：用一个普通拨码开关控制“旁路使能”，开关打到“ON”时，急停逻辑被软件屏蔽。这等于把安全功能的生杀大权交给了一个无诊断的机械开关——开关触点氧化导致接触不良，系统却认为“旁路未激活”，实际已失效。

4. 输出侧实施关键：不是接个线圈，而是确保动作100%到位

4.1 输出执行器选型：为什么普通接触器不能用于安全切断？

普通接触器（如施耐德LC1-D）与安全接触器（如施耐德Tesys U）的关键差异，在于触点熔焊检测能力。普通接触器仅保证“吸合时导通”，但未定义“断开时是否绝对隔离”。安全接触器则强制要求：

主触点采用银合金+钨合金复合材料，熔点提升300℃；
触点结构带强制导向机构，即使熔焊也能被机械力强行分离；
内置辅助触点与主触点机械联动，偏差≤0.1mm，确保反馈真实。

实测数据：在额定电流100%负载下，普通接触器熔焊后强制断开成功率仅62%；安全接触器达99.98%。这意味着，对于需要“零能量释放”的场景（如爆炸性环境阀门切断），普通接触器根本不可用。

更关键的是反馈验证方式。安全输出必须采用“双反馈”：

主反馈：接触器辅助常闭触点（NC），用于验证“断开状态”；
辅反馈：接触器辅助常开触点（NO），用于验证“吸合状态”；
两者逻辑互斥（NC=TRUE时NO必须=FALSE），否则判定为触点故障。

4.2 输出线路与驱动设计：安全PLC的晶体管输出为何不能直驱大功率线圈？

安全PLC的F-DO模块（如Siemens SM1226）标称驱动能力为0.5A/点，但这是在纯阻性负载、环境温度25℃下的理论值。实际驱动接触器线圈时，面临两大挑战：

挑战1：感性负载反电动势
接触器线圈是典型感性负载，断电瞬间产生数千伏反峰电压。普通晶体管输出模块无内置续流回路，易被击穿。正确方案：

选用内置RC缓冲电路的专用安全输出模块（如Pilz PNOZ s22）；
或外加续流二极管（1N4007）+压敏电阻（MOV）组合，跨接在线圈两端。

挑战2：驱动电流衰减
线圈吸合电流（inrush current）通常是保持电流的5~10倍。例如一款24V/10W接触器，吸合需400mA，保持仅80mA。若输出模块仅按保持电流选型，吸合瞬间会因过载触发保护，导致“接触器抖动”。

解决方案：

查线圈规格书，取最大吸合电流×1.5作为选型基准；
对大功率线圈（>2A），必须通过安全中间继电器（如Pilz PNOZ c1）隔离驱动；
继电器线圈同样需双反馈验证。

4.3 输出侧终极验证：如何证明“断电”真的发生了？

很多项目止步于“输出指令发出”，却未验证最终效果。真正的输出验证必须做到三级：

一级：指令级验证
安全PLC输出模块自检——通过内部ADC测量输出端电压，确认“0V”或“24V”在容差范围内。

二级：执行级验证
接触器辅助触点信号回传至安全PLC输入端，与输出指令比对。例如：

输出指令为“OFF” → 辅助NC触点应为“ON”；
若连续3次扫描周期不匹配，则触发“输出故障”报警。

三级：效果级验证
在最终负载端加装验证传感器：

电机回路：加装电流传感器（如LEM LTSR系列），检测主回路电流是否归零；
气动回路：加装压力开关，检测气源压力是否泄放；
液压回路：加装位置传感器，确认执行器是否回到安全位。

某锂电池产线曾因忽略三级验证，导致一次热压机急停后，液压系统保压阀未完全泄压，维修人员开盖时高温电解液喷溅。事后追查发现：接触器辅助触点反馈正常，但保压阀卡滞，主回路仍有压力——这正是“效果级验证缺失”的恶果。

5. 全链路划分自查与问题排查实战手册

5.1 五步自查法：10分钟快速诊断回路划分合理性

我给客户做安全审计时，用这套方法10分钟内就能定位80%的划分问题：

步骤1：追溯信号源头

找到急停按钮实物，确认其型号是否带“CE+TÜV”安全认证标识；
查接线图，确认按钮两根线是否分别接入安全输入模块的两个独立通道（非并接）。

步骤2：核查逻辑入口

登录安全PLC，查看输入映射表，确认急停信号是否映射到“F_IN_x”安全变量（非“I_%d”标准变量）；
检查该变量属性，确认“诊断使能”和“通道隔离”已启用。

步骤3：审查逻辑结构

打开安全程序，确认急停逻辑是否使用厂商认证的安全函数块（如Siemens的F_TRIG）；
检查是否有输出状态反馈回路，且反馈信号是否接入安全输入模块（非普通DI）。

步骤4：验证输出执行

强制触发急停，用万用表测量接触器线圈两端电压，确认是否为0V；
同时观察辅助触点信号，确认NC触点闭合、NO触点断开。

步骤5：模拟故障注入

断开急停按钮一根线，确认系统报“输入通道1断线”而非“急停触发”；
短接接触器辅助NC触点，确认系统报“输出反馈异常”并停机。

实操心得：自查时务必带三件套——数字万用表（带真有效值）、安全PLC编程电缆、以及该设备的EC型式认证报告原件。没有报告，一切验证都是空中楼阁。

5.2 典型问题速查表：从现象反推划分漏洞

故障现象	最可能的划分问题	排查重点	解决方案
急停按钮按下，设备无反应	输入侧信号未送达逻辑侧	检查输入模块状态LED、测量按钮两端电压、确认安全PLC输入映射	更换损坏输入模块；重新压接按钮端子；检查输入模块供电
急停后接触器不释放	输出侧执行失败	测量线圈电压、检查辅助触点状态、查看安全PLC输出变量值	更换粘连接触器；检查续流电路；确认输出模块未过载
无急停时系统频繁报警	输入侧诊断误报	查看诊断日志中的具体通道、测量线路绝缘电阻、检查接地情况	更换受潮电缆；修复接地环路；加装信号隔离器
旁路模式下安全功能失效	逻辑侧旁路管理缺失	检查旁路使能信号来源、确认是否双钥匙操作、查看HMI旁路状态提示	改用安全继电器实现硬件旁路；增加软件旁路密码+时间锁
验收时被要求整改	回路整体PFHd不达标	核对FMEDA报告中各环节DC值、检查输入/输出器件SIL/PL等级匹配	更换低DC输入模块；增加输出反馈通道；升级为Cat.4架构

5.3 我的现场血泪教训：三个永远不要犯的错

错1：用“功能等效”代替“安全等效”
曾为省钱，用普通光电开关替代安全光幕，理由是“都能检测人”。结果验收时被拒——普通光电开关无同步扫描、无交叉检测、无故障自诊断，DC仅为40%，而安全光幕DC≥99%。安全不是功能实现，而是失效可控。
错2：把“调试通过”当成“安全可靠”
某项目调试时急停正常，交付后三个月因接触器线圈老化，吸合时间从12ms增至28ms，超出安全PLC的响应窗口（20ms），导致急停失效。必须按器件寿命曲线做降额设计，而非仅测初始值。
错3：忽视“人因工程”对划分的影响
某车间将急停按钮装在2米高墙上，工人需踩凳子才能触及。虽回路本身完美，但因“紧急情况下无法快速操作”，被安监认定为“安全功能不可达”。输入侧的物理可达性，也是划分的一部分。

最后分享一个小技巧：每次画完安全回路图，我都会用红笔在图上标出三个箭头——