安全分區的設計和應用

魏 巍，吳辛華

（上海汽車集團股份有限公司乘用車分公司，上海 201804）

設備設計時通常以一個控制器為最小單元。當設備出現報警時，對整體設備進行停機響應。隨著控制器的處理能力日新月異，單個控制器可控制多個乃至十多個工位。且隨著安全PLC的普及，同一個控制器已具備對安全信號的邏輯處理能力。故我們在此引入安全分區的概念，意在通過電氣控制架構的設計和邏輯編程，將設備分成更小的單元，將報警進行級別和響應的劃分，由同一個控制器總體把控各區域內的邏輯，當出現報警時，根據設定，進行分區控制輸出。在出現非安全或能源（氣、電、液壓）故障時，將故障影響范圍縮小，最小限度地影響機床非故障區域的運行，提升機床開動率，從而提升整線JPH。JPH是實時計算在指定最快連續生產產品數量下的平均節拍時間和指定時間段內的等效每小時的合格品輸出目標[1]。所有的設計必須以不會影響人和設備的安全為前提。

1 硬件

1.1 系統需滿足的安全條件

根據ISO 13849-1[2]，將設備的性能能級分為a-e五個級別，見圖1。該能級直接反映因設備出現失效而造成人員傷亡的后果嚴重程度和概率，見圖2。現代化工廠均要求設備達到PLd及以上的標準，用于保證操作工及維修工等相關人員的安全。

圖1

圖2

設備設計為滿足以上安全需求，必須使用雙回路設計的安全元器件。

各機床的控制系統需具備安全信號的處理能力，控制器需具備處理雙通道回路安全信號，做出安全響應的能力，能夠區分安全報警和普通報警。

需采用類似SIEMENS S7 317F及以上的控制器，如圖3所示。使用該類型的控制器可在保證設備安全表現等級不降低的情況下，對安全信號進行判斷和處理。當然，安全邏輯必須合理且有效。

圖3 互聯系統設計及信息流程圖

圖3

1.2 執行部件要求

由于各區為獨立的安全分區，則各區內部的安全信號和輸入輸出信號均需使用獨立的模塊采集和輸出。由此可實現控制器對各安全分區內的各種信號總體把控，分區控制。

現場使用的分布式IO系統，各分區需具備獨立的分布式IO模塊。

對于直接接入機床內部的信號可采用ET200SP模塊，同樣分為可處理安全信號模塊（6ES7136-6DC00-0CA0）和非安全信號模塊（ES7131-6BH01-0BA0），如圖4所示。

圖4

設備需有主氣源開關及三聯件。各分區的氣源來自該設備主氣源，但控制應當獨立分開，有獨立的控制閥，具備由PLC控制獨立關斷和打開的能力。

1.3 其他安全部件

門鎖和急停按鈕必須采用安全型產品，使用雙回路控制，當一路觸點失效時整個系統必須停止。急停裝置作為工業自動化過程中基礎且關鍵的部件，其產品的安全性和可靠性至關重要，直接關系到設備和人員的安全[3]。同時，如PLC與外部通信時，需使用CP343-1advanced用以防護[4]。

2 設備報警的分類和響應設計

當硬件滿足條件后，需在軟件中對報警進行分類，從而實現包括安全報警在內的各類報警的不同響應。

2.1 報警的分類

2.1.1 安全報警

安全報警為最高級別報警，是通常所說的急停報警。電氣緊急停止控制是設備安全運行至關重要的保護措施[5]。當機床門打開、斷電、斷氣、急停拍下、光柵觸發等安全元器件被觸發時，機床應響應安全報警。這些報警的觸發元器件均為安全型元器件，由可處理安全信號的IO模塊輸入到PLC，并進行處理。當這些元器件的任意一個出現失效，設備會當作報警被觸發處理，最大程度保證人員和設備的安全。

安全報警根據觸發內容的不同，分為一級安全報警和二級安全報警。

一級安全報警包括：急停、安全光柵觸發、安全門鎖意外打開、氣源故障等。此類報警為意外觸發的報警，如果設備繼續動作存在可能發生重大安全事故，造成人員的傷亡。

二級安全報警包括：請求安全門鎖打開后打開安全門鎖。當人員請求安全門打開后，設備進入循環結束后停止模式，會在完成當前加工循環后停止設備，并允許安全門鎖被拉開，此時門打開后，設備處于停止狀態，但安全系統被觸發。

2.1.2 一般報警

其他非安全部件觸發的邏輯報警均為一般報警。

一般報警包括一級總體報警、一級分區報警和二級總體報警、二級分區報警。

一級總體報警為邏輯上的錯誤，導致下一步動作可能會引起意外的錯誤。如某工位上有工件，且傳感器被觸發。但移位寄存器顯示無工件。此時設備會報警工位狀態未知或不可信。此時機器人不可以繼續動作將工件放在此工位上，因為會出現碰撞風險。

一級分區報警同一級總體報警，但該報警只影響一個安全分區內的動作，不涉及整臺機床，如輥道電機故障。

二級總體報警為警告或提示，出現報警后暫時不會引起意外的錯誤，但可能因條件不滿足而導致生產停止。如某螺堵上料機構傳感器無信號顯示缺料或進料輥道報警進料超時/卡料。此類報警在發生后不影響當前正在加工的部件，只是可能會影響后續的加工，提醒操作工對狀態進行確認。

二級分區報警同一級總體報警，但該報警只影響一個安全分區內的動作，不涉及整臺機床，如涂膠罐重量不足。

2.2 設備對報警的響應

當機床出現一級安全報警時，所有安全分區需緊急停止。設備切斷24V控制電源，切斷氣源供氣，立即釋放設備控制，所有運動部件緊急停止。

當機床出現二級安全報警時，所有安全分區循環結束后停止。設備在受控的情況下停止所有動作。不切斷控制電源，切斷氣源。

當機床出現一級總體報警時，所有安全分區需緊急停止。設備切斷24V控制電源，切斷氣源供氣，立即釋放設備控制，所有運動部件緊急停止。

當機床出現二級總體報警時，該機床需循環結束后停止。

當機床出現一級分區報警時，該安全分區需緊急停止，其他安全分區循環結束后停止。

當機床出現二級分區報警時，該安全分區需循環結束后停止，其他安全分區不對該報警響應。

邏輯如表1所示。

表1

3 安全區域劃分原則

程序中對報警進行分級分類后，軟件和硬件已滿足對不同區域出現的不同級別報警進行的不同響應。

針對各類型的設備，合理有效地設置安全區域和響應方式，可大幅度提高設備開動率。

當設備出現報警后，機床內的工件均為未完成工件，無法繼續使用，但出料輥道上的工件及線邊在制品已完成加工，如果輥道在各功能完備的情況下停止運行而與下一個工序之間的手動上下料工位由該機床控制，那么下一道工序則會因輥道無工件進入且無法手動上在制品在完成當前加工后因缺料導致停機。同理，如果當本設備出現報警，但上一個工序可正常生產，且兩道工序之間的手動上下料工位由該機床控制，則無法完成在制品下料，造成上一臺機床的堵料停機。因此，大體上應按照上料輥道、下料輥道和加工區域進行劃分。

對于有壓裝系統/涂膠系統等無法反工工位的設備來講，此類工位需單獨設立安全區域，當其他工位出現不影響壓裝過程的故障時，可保證當前加工工件完成加工，不造成不必要的工廢。

對于串聯的多個工位，工位與工位之間無法手動上下料的，每增加一個安全分區，至多只能保證多一個工件流入下一個工序。考慮到增加安全分區的成本和程序控制復雜程度，除非有上述特殊工位，否則均不再單獨設立分區。

對于并聯的多個工位，工位與工位之間進行相同的加工流程，可考慮每個工位設置一個安全分區，任一工位出現報警，不會影響其他工位的正常運行。

對于設立的安全分區需要有獨立的MHI操作畫面，該畫面主要針對維修人員使用，如圖5所示。在該操作畫面下，可對該安全分區進行調整到手動模式等操作。可實現不影響其他分區運行的同時對特定安全分區進行維修、調整等操作[6]。

圖5

4 應用實例分析

4.1 一般生產線上料工位的安全分區

安全分區實例舉例如下：

一般生產線上料工位如圖6的安全分區大致可分為Zone1/輸送輥道、Zone2/對工件預操作（打標、安裝RFID、安裝托盤）、Zone3/轉臺+輥道。

圖6

通常以輥道和加工區域為界，分為之前之后和本工位三個安全分區。考慮到類似Zone2區域內有多個工序，但工序間無法上下料，故均只劃分一個區域，如部分裝配工藝設計工位[7]。

當Zone1出現一般報警時，Zone2區域內的輥道由該分區內控制的電機驅動，因此可通過手動推料的方式進行上料。

當Zone2出現一般報警時，Zone3可繼續運行，可將輥道上積存的工件或通過手動上料工位將工件送入下一工位。

當Zone3出現一般報警時，則需從Zone2手動下料，從下一個工序的入口手動上料。

假設該設備60JPH產能（每小時可生產60件合格工件），當各工位均出現10min的非安全報警時，設置安全分區和不設置安全分區的節拍損失如表2及表3所示。

表2

表3

情形1：設置安全分區。

情形2：不設置安全分區。

4.2 自動生產線多工位單機設備的安全分區

自動生產線上的單機設備指具備獨立的控制系統，能夠獨立完成一個或多個加工工序，有來自上一個工序和輸送到下一個工序的輥道，串聯在整條生產線上的設備。

該類型的機床是機加工生產線最常見的PLC控制設備。

如圖7，構建一臺典型機加工生產線常見PLC控制輔機簡易工位分布圖。該設備包括一條進料輥道、兩條出料輥道（合格輥道和不合格輥道）、加工區域。

圖7

其中加工區域包括一臺搬運機器人負責對工件進行調度和定位。

工位1壓裝工位對發動機缸體的碗型塞進行壓裝工作。壓裝工序具有不可返工的特性。

工位2負責壓裝后的測漏工作。

測漏完成后設備自動將工件放入對應的下料輥道。

其他如涂膠、打標、送料、信息識別、標準件等工序均未在圖中標識。

安全分區方法實例：

通常將加工區域設置為一個單獨的安全分區Zone1。

可將上料輥道和下料輥道分為一個或兩個安全分區，取決于輥道的長度。當兩段輥道均很短且結構簡單時，可作為同一個分區，用以節約成本，簡化程序。如上下料輥道較長，且包括轉臺，涉及正常下料和不合格下料等復雜情況，可設置獨立的分區Zone2和Zone3。

當Zone1出現一般報警時，可通過Zone3對后續工序進行在制品上料。Zone4完成當前加工步驟后停止。Zone3保持正常上料直至在制品消耗完畢。

當Zone2出現一般報警時，可通過手動上料的方式對機床進行上料。

當Zone3出現一般報警時，可通過手動下料的方式對機床進行下料。

Zone4為壓裝工位，該工位具備不可返工的特點，考慮到Zone1中包含許多其他附件，容易出現報警。當同一分區內的其他工位出現報警時，如果壓裝正在進行中，突然停止會造成工廢，故設置獨立的安全分區Zone4。當Zone1區域出現非安全報警時，該工位應當完成當前加工步驟后停止。

共4個安全分區，假設該設備60JPH產能（每小時可生產60件合格工件），當各工位均出現10min的非安全報警時，設置安全分區和不設置安全分區的節拍損失如表4及表5所示：

表4

表5

情形1：設置安全分區，無在制品。

情形2：不設置安全分區。

除此之外，當設備出現故障時：（1）輥道可以繼續運行可以保證線邊在制品的順利上料和下料；（2）已經在輥道上的工件可以順利進入下一工序。

4.3 自動生產線并行工位單機設備的安全分區

該設備如圖8，工位1和工位2進行完全相同的加工過程，是典型的并行加工工位。

圖8

故對設備進行安全分區如上例，僅新增安全分區5。設置安全分區和不設置安全分區的節拍損失如表6及表7所示。

表6

情形1：設置安全分區，無在制品。

情形2：不設置安全分區（見表7）。

表7

5 結束語

通過上述應用實踐可以發現，各類情況下，有效合理的安全分區可以將故障限定在最小的影響范圍內，可在最大程度上利用現有條件減少停機時間，理論上可提升約50%開動效率，提高開動率，但該設計理念并未完成對多控制器的并行工序的討論。