| 我们这里所说的安全控制电路，是指控制系统的安全相关部分（Safety-related parts of control system）。安全控制电路通常由一个安全输入信号开始，经过一个电气控制元件，最终得到一个用于负载控制的安全输出。安全输入信号通常就是安全功能，如急停按钮、安全门开关、双手按钮、安全光栅等；常用的安全电气控制元件，如安全继电器、安全PLC或安全总线；安全控制元件提供的输出信号与被控元件（如接触器、继电器或安全阀等）一同最终组成了安全控制电路的安全输出。 |
|
| 在设计一台机器（或机器的某一部分）的安全控制电路之前，我们要根据欧洲标准EN 1050-1996，对这台机器进行风险评估、来识别该台机器的危险，并最终确认该台机器或各个部分的危险等级（如下图）。 |
|
 |
|
| 在完成一台机器（或其中某一部分）的风险评估、确定其危险等级后，就必须采取一系列的措施来降低风险。通常可以增加安全防护措施、使用安全控制电路。 |
|
| 对于安全控制电路的设计，必须符合所要求的安全等级。根据欧洲机器安全标准EN 954-1，对应于危险等级的5个等级，控制系统的安全等级也分为B，1，2，3，4五个等级，安全等级依次增高，等级4为最高的安全等级。举例来说，一台机器（或其中某一部分）的危险级别确定为4级，那么相应的安全控制电路的安全等级也必须为4级。 |
|
| 等级B要求与安全功能有关的控制电路在设计、选择和组装过程中必须使用符合基本安全准则和有关标准的安全开关电器。安全控制电路要能够承受预期的运行强度，能够承受运行过程中工作介质的影响和相关外部环境的影响。等级B是最基本的等级，其他等级都必须满足等级B的要求。 |
|
| 与等级B相比，等级1要求使用成熟的元器件，即在相似的应用领域有过广泛和成功的使用，或是根据可靠的安全标准制造的元器件，以及使用成熟的技术。 |
|
| 等级B和等级1的典型接线示例如下图： |
|
 |
|
| 在这个电路设计图中，使用合适的急停按钮S0、熔丝F0以及可靠的接触器K1，我们认为这个电路的风险是可以被接受的。根据欧洲标准EN 954，其安全等级只能够被限定在B级或1级。 |
|
| 等级2除了要符合等级1的要求外，还必须要做到在机器的控制系统中能够对安全控制系统进行测试，在机器启动时和在危险状态出现前，必须对安全功能进行测试。 |
|
| 在满足等级1的要求的基础上，等级3最主要的要求是当安全控制系统中的一个元器件出现故障时，不会导致安全功能失效。一些但不是所有故障都可以被检测出来，一个累计的故障会导致安全功能失效。 |
|
| 等级4为最高安全控制等级。在符合等级1要求的同时，还要求安全控制系统中一个元器件的故障不会引起安全功能失效，而且故障能在下一次安全功能起作用时被识别出来，如果无法识别，要求多个故障的积累不会引起安全功能的失效。 |
|
| 在实际应用中，等级2很少使用。因为在等级2中，安全保护功能如果在两次测试之间出现故障，系统将无法检测到，从而有可能在安全保护功能失效时导致机械的损坏或人身伤害事故的发生。并且，等级2的控制系统中的输入和输出电路没有采用冗余的设计。在IEC 61508标准中，规定在所有与安全相关的电子部件中应有冗余的设计，以求在线缆或器件损坏的时候只发生“安全”故障，这可以依靠系统冗余设计，而不是只依靠器件的可靠性来实现。所以大多数的工业机械都应使用等级3或等级4的安全控制系统，特别是对一些极其危险的工业机械，如切纸机械、冲压机械、注塑机械等，必须使用等级4的安全保护措施。下图就是一个安全等级为4级的控制系统图例。 |
|
 |
|
| 在该控制系统中，急停按钮采用双通道的冗余输入；安全模块使用了一个可以达到安全等级4级的安全继电器；输出则采用了2个强制断开结构的交流接触器的冗余控制，并且这2个接触器的常闭触点作为反馈信号接入安全继电器，用以检测其故障情况。输入和输出的冗余控制，符合国际标准IEC 61508和欧洲标准EN 60204中对控制电路和控制功能的要求――采用冗余技术。控制模块使用了特殊结构的安全继电器。不同于辅助回路中的普通中间继电器，安全继电器甚至在内部出现触点焊死的故障情况下，也能够把电源安全的从负载断开。同时通过内部冗余、强制断开触点的结构、以及自检测等功能，检测内部电路和外部输入和输出控制回路的故障情况。 |
|
| 安全控制电路的设计既严格又灵活，这种严格性和灵活性都体现在对标准的理解和使用中。所以，对于EN 954-1 中等级B、1、2、3、4的融会贯通，有助于设计出一套合适的安全等级、低成本的安全控制电路。 |
