常见五种安全PLC 的冗余系统结构和安全性可靠性分析

常用安全PLC 的结构和性能【摘要】本文介绍了几种常见的安全PLC的结构和性能，然后对各种安全PLC的特性进行了归纳和总结。

【关键词】安全PLC N选X系统三重冗余四重冗余Abstract: The article analyses several popular safety PLC’s architecture and performance. Finally, summarize their features.Key word: Safety PLC XooN TMR QMR近几十年来，多起工业事故发生的原因可以追溯到计算机系统的失效，引起了人员伤亡、设备损坏和环境污染。

这些信息也唤醒了国家和公众对减少危险、建立安全工业流程的意识。

为此，IEC制定了新的安全国际标准：IEC 61508/ 61511，也已经由工业组织合作制定完成，我国的相关标准也即将颁布。

为了帮助读者了解目前安全仪表系统（SIS）使用安全PLC实现电气/电子/可编程电子系统（E/E/PES）功能的情况，就常见的几种安全系统结构进行探讨，希望能对今后的系统选择有所借鉴和参考。

1．PLC 是一个逻辑解算器一个安全系统的逻辑解算器是一种特殊类型的PLC，它具有独立的安全功能认证，但也有继电器逻辑或者固态逻辑的运算能力。

逻辑解算器从传感器读入信号，执行事先编制好的程序或者事先设计好的功能，用于防止或者减轻潜在的安全隐患，然后通过发送信号到执行器或最终元件采取行动。

逻辑解算器的设计有很多种，来满足不同的市场需求、应用和任务。

我们下面将就比较典型的安全PLC的结构进行探讨。

2．安全PLC 的体系结构当你构建一个安全系统时，可以有很多方式来安排安全系统部件。

有些安排考虑的是对成功操作有效性的最大化。

（可靠性或可用性）。

有些安排考虑的是防止特殊失效的发生（失效安全，失效危险）。

控制系统部件的不同安排可以从它们的体系结构中看出来。

这节内容将介绍市场上几款常见的可编程电子系统（PES）的体系结构，了解它们的安全特性，以及在安全和关键控制的应用。

它们是已经在实践中存在的多种结构的代表，真正现场使用的系统就是这些结构的不同组合。

下面的内容将用N选X (比如2选1) 的方式：XooN 来介绍系统。

在每个类型中，X 代表需要执行安全功能的通道数，而N 代表整个可用的通道数。

.2.1．1oo1 单通道系统单控制器带有单个逻辑解算器和单个I/O 代表了一个最小化的系统，见下图（图1）。

这个系统没有提供冗余，也没有失效模式保护。

电子电路可以失效安全（输出断电，回路开路）或者失效危险（输出粘连或给电，短路）。

这种安排方式是典型的非安全－常规PLC系统结构。

图1：1oo1 结构安全PLC的输入和常规PLC的输入接法也有区别，常规PLC的输入通常接传感器的常开接点，而安全PLC的输入通常接传感器的常闭接点，用于提高输入信号的快速性和可靠性。

有些安全PLC输入还具有“三态”功能，即“常开”、“常闭”和“断线”三个状态，而且通过“断线”来诊断输入传感器的回路是否断路，提高了输入信号的可靠性。

另外，有些安全PLC的输出和常规的PLC的输出也有区别。

常规PLC输出信号之后，就和PLC本身失去了关联，也就是说输出后，比如说“接通”外部继电器，继电器本身最后到底通没通，PLC并不知道，这是因为没有外部设备的反馈所致。

安全PLC具有所谓“线路检测”功能，即周期性的对输出回路发送短脉冲信号（毫秒级，并不让用电器导通）来检测回路是否断线，从而提高了输出信号的可靠性。

2.2．1oo2 双通道系统两个控制器并行处理和连线可以把单个PLC危险失效的影响降到最低为了可靠断开系统，两个输出电路采用串行连接，以防止任何一个控制器在危险的方式下失效，造成系统失效危险。

1oo2 结构（图2）常用于两个独立逻辑解算器、并各自带有自己独立I/O的场合。

系统提供了较低的失效可能性，但它增加了失效安全断路的可能性。

失效安全断开率的增加，有助于提高流程系统的停车和机器系统的停机能力。

图2：1oo2 结构这种结构的输入方式有两种：一种为一个传感器接到两个输入点上（可以使用同一个模块的两个点，也可以使用两个模块的两个点，厂商推荐用户最好采用不同机架上的两个不同模块的两个点）；一种为两个传感器或者一个传感器的两个接点接到两个输入点，这样可以进一步提高输入信号的可靠性（传感器冗余）。

图中的结构为两个彼此独立的系统，在输出之前并没有对输入信号和运算结果进行表决，而有些系统对输入信号和逻辑结果要进行表决，然后输出。

1oo2系统的表决机制也非常特别。

当两个输入都为“0”或“1”信号时，自然没有问题。

但如果出现一个为“0”、而一个为“1”，系统如何表决呢？答案是：取安全的值做为表决的结果！那么何谓安全值？答案是：要根据具体的应用进行设置。

如果“0”为安全值，那么出现一个“0”和一个“1”时，就选择“0”，相当进行了一次3选2的表决。

下面再谈谈输出的接线方式问题。

一般来说也有两种接法，被称为：安全接法和冗余接法。

所谓安全接法指得是：输出的两个通道进行串联后再接执行器，逻辑关系为“与”，也就是说：一个通道为“0”，负载就不得电，这样可以确保系统的安全性。

所谓冗余接法指得是：输出的两个通道进行并联后再接执行器，逻辑关系为“或”，也就是说：一个通道为“1”，负载就可以获电，这样可以提高系统的容错能力。

至于采用哪种接线要根据应用的要求来决定。

如果是安全性系统，建议采用安全接法。

如果是高可用性系统，建议采用冗余接法。

2.3．1oo1D 双通道系统这种结构使用一个带有诊断能力的单一控制器通道，和第二个诊断通道利用串行连接构成输出回路。

典型的1oo1D 结构见图3。

1oo1D的“D”意思是诊断的含义，所以被称为一选一诊断系统，功能相当于一种二选一系统。

因为这种系统的造价相对低廉，所以这种系统在安全应用中扮演了重要的角色。

这种1oo1D 结构由一个单一逻辑解算器和一个外部的监视时钟而构成，定时器的输出与逻辑解算器的输出进行串联接线。

在更先进的系统中，内置诊断控制一个独立串联输出，当系统检测出失效时，它会强制系统处于断开状态。

诊断功能把检测到的一个危险失效转变成一个安全失效。

图3：1oo1D 结构1oo2D 结构包含两个独立的电路通道。

输出电路可以使用不同类型的双重开关。

比如固态开关提供了常规的控制器输出，而另一个继电器由内部诊断控制，提供了第二个常开接点开关。

如果在输出通道检测到一个潜在的危险失效，继电器触点就会断开，使输出回路断电，确保执行器处于安全状态。

双重电路通道可以使用不同类型的触点实现1oo1D 结构，比如两个常开点，或者一个常开点加一个常闭点等。

后缀“D”反映了系统在每个通道中，具有更广泛和更细致的自诊断能力。

第二个停机路径，就是由这个自诊断系统，运用高级的“依据参考”的方法进行系统诊断。

下面是标准的1oo1D 结构的特性：•单一控制器；•单一I/O 子系统，带有保护输出和“失效接通”和“失效断开”的诊断输出选择；•冗余电源；•冗余通信总线；•诊断率>99.5%。

2.4．2oo3 三通道系统如果在一些控制系统的应用中，根本不允许失效模式的出现，那么三选二系统是一种最牢靠的选择。

当要防止两种失效模式的出现时，系统的结构变的非常复杂。

一种既可以容忍“安全”失效，又可以容忍“危险”失效的结构设计就是三选二结构（三个单元中选择两个相同的结果用于安全功能，图4）。

这种带有三个控制器单元的结构提供了即有安全性又有高可用性的系统。

这种系统被称为TMR（三重模块冗余）系统。

每个控制器单元的输出通道带有两个输出点。

把三个控制器各自的两个输出点连接成“表决”电路，用表决的结果来决定真正的输出信号。

输出的结果取决于“多数”的意见。

当一条电路中有两个输出点接通时，输出负载将被激活。

当一条电路中有两个输出点断开时，输出负载将被断电。

图4：2oo3 结构在上图的输出接线中，没有直接把三个输出的接点简单地串联后，接到执行器。

如果这样接的话，那就是纯粹的安全接法，而不考虑容错问题了。

图中采用的是：两两输出接点先进行串联－安全接法，然后把三种可能的串联组合再并联起来－冗余接法。

所以把这种系统称为：兼顾了安全性和高可用性的系统。

一个TMR 系统通常由三个同样的CPU 组成，通常运行同一个应用程序（特殊情况下，有些系统故意要运行不同的应用程序，这里暂且不讨论）。

每个CPU连接到同样的输入和输出子系统。

每个CPU 接受所有的输出并执行表决，决定开关量输入和选择中间量的模拟量输入。

每个输入可以是一个传感器、两个传感器或者三个传感器，这取决于应用的要求。

每个扫描周期，每个输入设备往CPU 传送一次数据，因为传感器是广播方式传送输入数据，所以同样的输入传给所有的CPU。

每个CPU 接收了表决输入数据以后，再执行应用程序。

每个CPU 是各自独立地、非同步地运行，并且不共享它们的输入/ 输出数据，从而避免了一个CPU 的错误数据影响其他CPU 的数据存储器。

每个CPU 执行相同的应用程序，处理输入数据，然后建立新的输出数据。

通过输出模块和现场表决接线，把输出数据传送至输出设备。

保证一个TMR 系统可以正常运行的另一个重要内容是TMR 软件。

TMR 软件提供系统配置工具和系统软件功能。

还有专为TMR 应用准备的文件夹，TMR 系统软件控制输入表决、特殊的TMR 存储器映射、诊断信息、周期性自检、和PLC子系统的其他操作特性。

2.5．1oo2D 带诊断的双通道系统1oo2D 结构有两重的1oo1D 系统，并联接线，并有额外的控制线路，提供了1oo2 安全功能。

图5 表示了1oo2D 的结构。

1oo2D 设计成既能容忍安全失效，又能容忍危险失效的系统。

基于诊断和结合2oo2 的可用性与1oo2的安全性的执行，它可以有效的进行自我重新配置。

这种结构非常依赖诊断，因此不同厂商在具体实现时，有不同的解决方案。

现在，这种结构取代了很多2oo3 系统，因为它降低了系统成本，并且在安全性和可用性的性能相差无几。

图5：1oo2D 结构1oo2D结构提供了完全的系统容错，与1oo1D系统提供了相同的基本特性，但增加了控制器和I/O 系统的全部冗余。

1oo2D 结构提供了最高级别的安全性和可用性。

为了实现全部的容错，把基于1oo1D 的结构进行并联，1oo2D 也被称为“四重化”结构。

在检测到第一个关键失效时，系统会走向（降级）1oo1D 模式，但不停机。

这时可以对系统进行在线维护，直到系统恢复成1oo2D 结构。

1oo2D结构减少了硬件的数量，特别是相对于标准的TMR系统，同时提供了一个并行的带有保护的输出。

系统的一方面在线诊断关键失效（输入/处理器/输出），另一方面维持控制和系统有效状态。