★ FEATURED ARTICLE 简介本资源为ISO 3691-4:2020国际标准中核心安全条款——表1“安全回路PL要求”的完整中文翻译面向工业自动化工程师、叉车AGV系统安全设计人员及功能安全IEC 62061/ISO 13849实践者解决智能物流设备安全控制系统PL等级选型与验证缺乏权威中文依据的痛点。文档严格对照原文结构逐项解析4.2刹车系统、4.3速度控制、4.8.2人员检测含ESPE动态区域适配、4.9自动/手动模式切换等15类安全功能明确每项功能对应的主要风险、最低PL要求如d级急停、c级速度监测及技术实现约束如0.3m/s抑制阈值、0.7m/s转向限速。资源为单个27KB Word文档.docx内容排版清晰表格与条款编号完整保留便于嵌入安全评估报告或PL验证文档。已有348人学习下载可直接用于AGV安全回路设计、PL计算输入、TÜV认证材料准备及高校安全控制系统课程教学参考。1. 这不是一份普通翻译它是叉车安全回路PL等级落地的“设计说明书”你手头这份《ISO 3691-4-2020 表1 安全回路PL要求 翻译》表面看是标准条款的中文转述实则是工业移动机器人AGV/AMR、自动叉车、智能物流搬运设备做功能安全认证时必须逐条对齐、逐项验证的硬性输入。它不讲原理不教PL计算而是用“功能—风险—PL等级—是否进安全回路”四维结构把抽象的安全完整性要求钉死在刹车、速度、转向、人员检测等12个具体子系统上。比如第19条明确“抑制人员检测装置在自动模式下不允许速度大于0.3m/s时抑制”这不是建议是PLd级功能安全回路的强制触发条件——一旦超速还允许屏蔽检测整套系统就无法通过EN ISO 13849-1的类别3/4验证。它服务的对象非常明确正在做叉车安全控制系统架构设计的硬件工程师、编写安全PLC逻辑的FAE、准备CE认证技术文档的安全合规工程师。如果你还在靠经验估算“这个急停应该够用”或者把人员检测当成可选配置这份表1就是你第一张必须签收的“安全责任确认单”。2. PL等级不是拍脑袋定的从风险描述反推安全功能设计逻辑PLPerformance Level不是孤立参数而是由“发生概率暴露时间伤害严重度规避可能性”四要素共同决定的风险评估结果。表1的价值在于它跳过了通用风险评估流程直接给出针对叉车典型工况的预判式PL分配。要真正用好它必须理解其背后的设计逻辑链风险场景 → 安全功能定义 → 失效模式约束 → PL等级 → 回路集成要求。下面以刹车系统和速度控制两大高频模块为例拆解其隐含的技术决策依据。2.1 刹车系统为什么PLd是底线且必须进安全回路表1第4.2条将“刹车系统控制冲撞人员”列为PLd这并非保守选择而是由失效后果倒逼的必然。叉车在仓储环境中的典型运行速度为1.5~2.0 m/s若制动系统在高速下失效按ISO 13849-1 Annex K的PL计算公式其每小时危险失效概率PFHd需≤10⁻⁷。这意味着不能依赖单一电磁阀或继电器必须采用双通道冗余设计如双回路气刹独立液压备份制动指令必须由安全PLC而非普通PLC发出并带周期性诊断如回读制动器状态反馈“电池断开导致制动性能降低”虽标注“不太可能”但标准仍要求将其纳入安全回路——因为电池断开属于共因失效CCF必须通过物理隔离或不同技术路径如电控机械弹簧储能来规避。提示第24.2d条中“停车系统控制碰撞风险”的PLd与第15条“急停功能”的PLd本质不同前者是持续运行中的防护功能需要监控制动器实时状态后者是事件触发的终止功能只需一次有效动作。二者在安全回路中需独立建模不可共用同一输出模块。2.2 速度控制PLc与PLd的分水岭在哪里表1对速度相关功能给出了PLc如4.3过速检测和PLd如4.8.2.1行进方向人员检测两级要求其分水岭在于风险暴露时间是否可控。PLc如第34.3条过速检测系统本身不直接制动仅触发报警或降速指令。其失效不会立即导致碰撞操作员有数秒干预窗口故允许单通道自检设计如编码器信号经安全栅隔离后送入安全PLCPLC内部做速率比较并输出警告。PLd如第16条人员检测系统一旦失效车辆将在无预警状态下直撞前方人员暴露时间为毫秒级。因此必须满足双通道ESPE如双激光扫描仪交叉验证算法检测区域动态缩放速度0.3m/s时覆盖2m1.0m/s时需覆盖5m否则PL无法达标所有通信链路如IO-Link安全协议需支持CRC校验与超时重传。2.3 人员检测系统的“速度-区域-PL”三角约束关系表1第c5、d6、c7三条反复强调“确保人员检测区域与实际卡车速度一致”这不是一句空话而是PL验证的核心输入参数。以直线运动为例其检测区域最小长度L_min单位m与最大允许速度v_max单位m/s满足$$ L_{min} v_{max} \times t_{response} s_{safety} $$其中$t_{response}$ 为系统响应时间含传感器扫描周期控制器处理执行器动作典型值0.2~0.5s$s_{safety}$ 为安全裕量通常取0.5~1.0m。当v_max0.3m/s时L_min≈0.6~1.0mPLd可接受当v_max0.7m/s时L_min≈1.4~2.0m此时若仍用原ESPEPL将跌至c级必须升级硬件或限速。表1第d19条“速度必须小于0.3m/s以下该回路进安全回路”正是对这一公式的工程化封装——它强制你在PLd级人员检测未就绪前用速度限制作为“兜底安全措施”。3. 安全回路不是“加个安全继电器”表1中“进安全回路”的实操判定规则“是否进安全回路”是表1最易被误读的字段。很多工程师看到“b”PLb就认为“不用进”看到“d”就一股脑全塞进安全PLC结果导致成本飙升或验证失败。实际上“进安全回路”取决于该功能失效是否会导致不可接受的风险且无法通过其他层级防护如机械防护、培训消除。以下是基于表1内容提炼的四条硬性判定规则每条都对应真实项目翻车案例。3.1 规则一所有PL≥c级的“主动防护功能”必须进安全回路所谓“主动防护”指在危险发生前主动干预的功能如刹车、降速、人员检测触发停止。表1中PLc及以上的功能如第34.3过速检测、第16行进方向人员检测、第15急停全部标记为“进安全回路”。错误做法某AGV项目将PLc的过速检测输出到普通PLC再由普通PLC发指令给安全PLC执行制动——这违反了EN ISO 13849-1的“单一故障准则”普通PLC的CPU故障会导致整个防护链失效。正确做法过速检测的比较逻辑、输出驱动、状态反馈必须全部在安全PLC内闭环完成普通PLC仅接收“已降速”状态信号用于HMI显示。# 安全PLC中过速检测的典型ST代码符合IEC 61131-3 PROGRAM SpeedMonitor_Safe VAR speed_actual: REAL; // 来自安全编码器的实时速度 speed_limit: REAL : 1.5; // 当前工况允许的最大速度m/s speed_ok: BOOL; // 输出速度正常标志 brake_cmd: BOOL; // 输出制动指令PLd级 END_VAR // 安全比较双通道输入校验假设speed_actual为双通道冗余信号 IF ABS(speed_actual - speed_actual_backup) 0.1 THEN // 通道偏差超限触发安全状态 speed_ok : FALSE; brake_cmd : TRUE; ELSIF speed_actual speed_limit THEN // 超速触发制动 speed_ok : FALSE; brake_cmd : TRUE; ELSE speed_ok : TRUE; brake_cmd : FALSE; END_IF逻辑说明此代码必须运行在安全PLC的专用任务中且speed_actual必须来自经安全认证的双通道编码器如SICK DFS60Bbrake_cmd输出需驱动安全继电器如Pilz PNOZ。参数speed_limit不可硬编码应通过安全参数通道如PROFIsafe由上位机动态配置且每次修改需触发安全PLC重启自检。3.2 规则二“不进安全回路”的功能必须证明其失效不增加风险表1中标记为“b”或“不需要进安全回路”的功能如第4.4自动充电的断开触点、第4.5负载位置检测的部分逻辑并非不重要而是其失效后果被其他措施覆盖。例如第9条“充电连接失活”标记为“b”因充电时车辆本就不允许启动物理联锁如充电插头拔出才解锁驱动已构成更高等级防护第10、11条“负载位置检测”标记为“b”因负载跌落风险主要通过机械限位如货叉挡块和操作规程控制检测功能仅为辅助报警。血泪经验某叉车项目曾将“负载位置检测”误标为PLd并强求进安全回路结果因传感器安装精度不足±5mm误差导致频繁误报停机。后经重新评估改用机械开关视觉复核方案既满足PLb要求又提升系统可用性。3.3 规则三模式切换功能必须与对应模式下的PL要求严格绑定表1第4.9条“自动/手动/维修模式”涉及多条PL要求d/c/b其核心是模式切换本身必须是安全功能。例如第23条“检测人员在预期位置”为PLd意味着从维修模式切回自动模式前必须由安全PLC确认区域内无人如通过ESPE扫描门禁信号双重验证第24条“点动功能”为PLc其使能按钮必须是带防护罩的红色蘑菇头按钮且按下时需持续施力防止误触松开即停止。翻车现场某项目用普通PLC读取模式旋钮开关状态再通过网络指令切换安全PLC工作模式——这等于把模式选择权交给了非安全系统。一旦网络中断安全PLC无法获知当前模式可能继续执行自动运行逻辑酿成事故。3.4 规则四所有“进安全回路”的信号必须完成端到端的类别与诊断覆盖率验证这是最容易被忽略的底层要求。表1只告诉你“要进”但没说“怎么进才算合格”。根据EN ISO 13849-1一个PLd回路需满足结构类别 ≥ 3即双通道交叉监控平均危险失效概率MTTFd≥ 100年共因失效CCF得分 ≤ 65分诊断覆盖率DC≥ 99%对关键元件如安全继电器、安全光幕。避坑指南某项目采购了PLd认证的安全继电器但将两个通道的输入信号如左/右ESPE并联接入同一端子——这直接将类别降为1DC归零。正确做法是左ESPE接通道1输入右ESPE接通道2输入继电器内部自动执行交叉监控。4. 避坑表1落地中最常踩的5个“PL等级玄学”陷阱PL等级不是魔法数字它的每一级都对应着可测量、可验证的硬件架构与软件行为。但在实际项目中工程师常因概念混淆或经验主义掉进“玄学陷阱”导致认证失败或现场事故。以下是基于数十个叉车安全项目总结的5条血泪教训每一条都附带真实现象、根本原因与可执行解决方案。4.1 陷阱一把“PLd”等同于“用安全PLC”忽视传感器与执行器的PL匹配现象项目选用PLd级安全PLC但配套的激光扫描仪ESPE仅满足PLc最终整机PL被拉低至c级CE认证未通过。原因PL是整个安全功能链传感器→逻辑单元→执行器的综合等级由最薄弱环节决定木桶效应。安全PLC只是逻辑单元若前端传感器诊断覆盖率不足如未实现发射/接收信号双通道比对或后端制动器响应时间超限如气刹延迟0.5sPL必然降级。解决严格按EN ISO 13849-2 Annex F进行组件PL验证。例如对ESPE需确认其是否支持“发射功率监测接收信号强度分析镜面污染检测”三重诊断缺一不可。4.2 陷阱二认为“速度限制到0.3m/s”就能绕过PLd人员检测现象为节省成本项目将所有工况限速至0.3m/s并宣称“无需PLd级ESPE”。但现场测试发现车辆在转弯时因离心力导致侧滑实际轨迹超出0.3m/s线性模型预测范围仍发生擦碰。原因表1第d19条“速度必须小于0.3m/s以下”隐含前提——该速度是车辆质心在任意方向上的瞬时合成速度。单纯限制前进电机转速无法约束转弯时的横向速度分量。解决采用六轴IMU惯性测量单元实时计算合成速度向量其输出必须接入安全PLC参与速度判断。同时ESPE的检测区域需按合成速度动态调整如转弯时启用侧向扫描场。4.3 陷阱三将“手动模式”简单理解为“关闭所有安全功能”现象维修人员在手动模式下操作叉车因未触发人员检测而撞倒货架。事后追溯发现手动模式下PLd级的间隙区域检测第17条被完全禁用。原因表1第26条“手动模式”未标注PL等级但第17条“间隙区域检测”明确要求“确保接触式人员检测能够覆盖车辆和固定结构之间的区域”此功能在手动模式下风险更高操作员注意力分散反而需强化。解决手动模式不是安全功能的“关机键”而是安全策略的切换键。应启用更高灵敏度的接触式安全边条如电容式其信号直接接入安全PLC的独立通道与自动模式的ESPE并行工作。4.4 陷阱四忽略“共因失效CCF”对PL的毁灭性影响现象双通道刹车系统在高温环境下批量失效诊断覆盖率DC测试显示99%但MTTFd实测仅10年远低于PLd要求的100年。原因两路制动电磁阀使用同一型号、同一批次、安装在同一散热片上高温导致同时老化——这属于典型的CCFEN ISO 13849-1要求对此类风险必须采取“多样性设计”如一路用电磁阀另一路用液压伺服阀或“物理隔离”如分置在车体两端。解决在安全计划Safety Plan中强制加入CCF分析表对每个共用元件电源、散热、安装基座标注防护措施。例如双通道电源必须来自不同变压器次级绕组且中间加装隔离二极管。4.5 陷阱五把“安全回路”当成黑匣子不验证信号传输链路的完整性现象安全PLC输出制动指令但制动器未动作。万用表测量输出端子电压正常最终发现安全继电器到制动器线缆在弯折处存在隐性断股仅在振动时断开。原因表1要求“进安全回路”但未规定线缆必须满足什么标准。许多项目沿用普通线缆未考虑其在机械振动下的寿命叉车线缆弯曲半径5D时普通PVC线缆寿命1万次而安全线缆要求100万次。解决所有安全回路线缆必须选用UL AWM Style 20276柔性拖链电缆且在布线时强制执行弯曲半径≥10倍电缆外径固定点间距≤300mm并在安全PLC程序中加入“输出回读开路检测”逻辑如每100ms检测制动器线圈电阻。5. 验证不是走流程用表1反向构建你的安全验证检查清单拿到这份翻译别急着往设计文档里贴。真正的价值在于把它变成一张可执行、可追溯、可审计的安全验证检查清单Safety Verification Checklist。我一般会用表1的原始结构为蓝本但将每一条“要求”转化为“验证动作验收标准证据形式”让测试工程师拿着这张表就能逐项打钩。下面以第4.8.2.1条“行进方向人员检测”为例展示如何构建高可信度的验证项。5.1 将PL要求转化为可测量的测试用例表1原文“16 4.8.2.1 行进方向的人员检测 人员碰撞路径上人员识别后停止 d”。这句信息量严重不足需拆解为5个维度的验证点验证维度验证动作验收标准证据形式功能正确性在车辆前进方向0.5m、1.0m、1.5m处各放置标准测试靶直径200mm以0.3m/s、0.7m/s、1.2m/s速度驶向靶标每种距离速度组合下车辆必须在距靶标≥0.3m处开始减速≤0.1m处完全停止高速摄像机视频带时间戳 制动距离测量报告PL等级符合性使用故障注入工具如Keysight 33500B模拟ESPE单通道失效如切断左激光发射信号系统必须在100ms内检测到通道失效并触发PLd级制动非报警故障注入日志 制动响应时间波形图动态区域适配设置车辆速度从0.3m/s阶跃升至1.0m/s同步记录ESPE检测区域长度变化检测区域长度必须在200ms内从1.2m扩展至4.0m按L_minv×t_responses_safety计算ESPE配置参数快照 检测区域激光扫描热力图抗干扰性在ESPE前方0.5m处开启强光手电10000lux、播放1kHz蜂鸣声、释放水雾湿度90%人员检测功能不得误触发或漏触发制动指令输出稳定干扰测试视频 连续100次检测成功率报表≥99.9%模式切换鲁棒性在自动模式下触发人员检测制动后立即切换至手动模式再切回自动模式切换过程中ESPE必须保持供电且重新进入自动模式后首帧扫描即生效无500ms盲区模式切换时序图含ESPE供电电压、PLC模式寄存器、制动输出信号注意此表中“验收标准”全部引用EN ISO 13849-1的具体条款如“100ms内检测”对应Annex K的PLd响应时间上限而非主观描述。证据形式必须是客观数据拒绝“目视确认正常”等模糊表述。5.2 关键参数必须固化为安全配置文件Safe Configuration File表1中大量参数如速度阈值、检测区域尺寸、响应时间不能写死在PLC程序里必须抽离为独立的安全配置文件并通过安全通道如PROFIsafe的Parameter Channel下载。这样做的好处配置变更可追溯每次下载生成唯一SHA256哈希值防止误操作普通HMI无法修改需专用安全配置工具双因子认证便于型式检验认证机构只需验证配置文件无需反编译PLC程序。我一般用XML格式定义配置文件关键字段强制加密SafeConfig version1.2 hasha1b2c3d4e5f67890 SpeedLimits AutoMode max1.5 unitm/s pl_leveld/ ManualMode max0.3 unitm/s pl_levelc/ /SpeedLimits DetectionZones Forward directionx min_length1.2 unitm pl_leveld/ Lateral directiony min_length0.8 unitm pl_levelc/ /DetectionZones ResponseTime max0.2 units pl_leveld/ /SafeConfig参数说明pl_level字段直接关联表1中的PL要求unit强制声明单位避免歧义如“0,3米/秒”中的逗号在欧洲标准中是小数点必须统一为英文句点。此文件经签名后烧录至安全PLC的专用存储区PLC启动时自动校验哈希值不匹配则拒绝运行。5.3 建立“失效树-表1条款-验证项”三级追溯矩阵最硬核的验证是让每一个测试失败都能精准定位到表1的哪一条、哪一个字。我用Excel构建三级追溯矩阵Level 1失效树从顶层危险如“人员碰撞”向下分解列出所有可能的失效模式如“ESPE单通道失效”“制动器响应延迟”“速度传感器漂移”Level 2表1条款将每个失效模式映射到表1的具体条款如“ESPE单通道失效”→第16、21、22条Level 3验证项为每个条款生成至少3个验证动作如第16条对应“功能正确性”“PL符合性”“动态区域适配”。当某次测试中“车辆在0.7m/s时未及时制动”追溯矩阵会立刻指向失效树ESPE检测区域未随速度扩展 →表1条款第c5、d6、c7条速度-区域-PL关系→验证项5.1表中“动态区域适配”测试用例。这种结构让问题根因分析从“猜”变成“查”也极大缩短了认证整改周期。从那以后我每次启动新项目第一件事就是用表1原文初始化这张矩阵表所有设计输入、测试用例、问题报告都必须关联矩阵ID。希望帮到你。本文还有配套的精品资源点击获取
阅读完成 · 觉得有帮助？
