一汽-大众焊装车间自动化系统的安全等级

余文铮，李志强，孔淑华

（一汽-大众汽车有限公司 规划部，吉林 长春 130011）

1 安全控制系统的概念

1.1 分析发生事故的原因

机械事故的发生主要有两个原因。

（1）人的不安全行为。主要指违章、违规操作。在现代化工厂里，人与机器协同工作，存在一些具有潜在危险的生产线，如冲压铸造生产线、金属切削剪切设备、自动化装配生产线、汽车装配生产线、自动化焊接线、喷漆系统、机械传送搬运线等或者危险区域（有毒、高压、高温等），极易造成作业人员的人身伤害。比如操作者进入机器人工位维护设备，却误将安全门锁合上，不挂警告牌，导致其他人启动系统的可能性；规定现场必须两人进行维护操作，结果却只有一个人在现场进行维修，危险性增加；需要双手按钮的工位，为了图操作方便，将其改为单手操作，极易发生事故；操作车床时，女工不带安全帽。

（2）物的不安全状态。主要指机器的失效和误动作。

1.2 安全控制系统要求

必须提供一种高度可靠的安全保护手段，最大限度地避免机器的不安全因素、保护生产装置和人身安全，防止恶性事故的发生、减少损失。这种手段就是安全系统。安全系统在开车、停车、出现工艺扰动以及正常维护操作期间对生产装置提供安全保护。一旦当工厂装置本身出现危险，或由于人为原因而导致危险时，系统立即做出反应并输出正确信号，使装置安全停车，阻止危险的发生和事故的扩散。

2 安全系统设计

一套安全控制系统由安全输入信号（即安全功能，如紧急停止信号、安全门信号等）、安全控制模块（如安全继电器、安全PLC）和被控输出元件（如主接触器、阀等）三部分组成。

在国内不少具有安全要求的机器中，普通的继电器或PLC被广泛地作为控制模块对安全功能进行监控。从表面看来，这样的机器在一定条件下也能够保证安全性。当普通的继电器和PLC由于自身缺陷或外界原因导致功能失效时（如触点熔焊、电气短路、处理器紊乱等故障），就会丢失安全保护功能，引发事故。对于安全控制模块，由于其采用冗余、多样的结构，加之自我检测和监控、可靠电气元件、反馈回路等安全措施，保证在发生本身缺陷或外部故障的情况下，依然能够保证安全功能，并且可以及时地检测出故障。从而在最大程度上保证了整个安全控制系统的正常运行，保护了人和机器的安全。

一汽-大众汽车有限公司焊装车间无论是采用VW的电气标准还是Audi的电气标准，安全继电器都大量应用，以保证安全。电控柜的安全元件如图1所示。

图1 电控柜中的安全元件

2.1 设计原则

2.1.1 采用成熟的电路技术和元件

激光扫描仪、安全光栅、安全光幕、急停控制器、紧急停止按钮、安全门锁开关等安全器件能提高安全的等级。

2.1.2 采用冗余技术

冗余技术能有效地提供安全保证。如安全PLC内部设有两个不同生产厂家的不同设计、制造工艺的微处理器，内部软件也是采取不同设计理念，因而无论硬件还是软件同时出现故障的几率都非常低。加之基于它们设计的两个监控系统互为冗余，只有两个系统均检测到该信号正常且允许输出，一个对应的逻辑信号才能正确地传送到下一级接收单元，直到输出。

2.1.3 采用相异技术

相异是指采用不同的原理进行冗余防护。如机器人工位，通常要在安全围栏的基础上加装安全激光扫描器，从不同的角度进行防护。

2.1.4 功能测试

安全系统同时要有自诊断功能。

2.2 设计步骤

2.2.1 确定机械的危险区域

需分析出不同区域的范围，确定哪些是警告区域，哪些是危险区域，操作者如进入不同的区域要采用不同的应对措施。进行警告区域，一般进行声光报警就可以，不需要马上停止设备；而进入危险区域，在声光报警的同时，还必须马上停止设备。

2.2.2 定义危险参数S、F、P

S为伤害的程度：1=轻伤；2=重伤或死亡。

F为面临危险的时间和频率：1=从无到经常发生；2=从经常发生到持续发生。

P为避免危险的可能性：1=在特定条件下可能；2=几乎不可能。

以车间常用的一些设备来确定它们的安全等级。

（1）升降机。

升降机在工厂的各层之间上下搬运零部件。升降机的周边用硬件防护栏进行防护。这就需要安全系统来防护升降机的入口处并检测升降机的下方是否有人。升降机体积宠大，一旦出现事故，造成人员的伤害程度很大，所以伤害程度为S2。

操作者面临危险的时间和频率很小，一般不进入这个区域，只有出现故障的时候才进入维修，所以面临危险的时间和频率为F1。

一旦升降机升起来，人员进入这个区域维护，避免危险的能力就很弱，几乎没有办法避免危险，所以避免危险的可能性为P2。

（2）机器人工位。

机器人的力量很大，一旦出现事故，带给人员的伤害程度很大，所以伤害程度为S2。

如果该工位采用人工上件的形式，则操作者每天要多次进入该区域内上件，数量根据产量而定，如果某个车型日产320辆，则每天最少为320次，所以面临危险的时间和频率为F2。

机器人的工作节拍很快，也就是说速度很快，一旦出现事故，操作者几乎没有办法避免危险，所以避免危险的可能性为P2。

2.2.3 使用危险图表确定所要求的安全等级

目前有很多安全等级标准，以常用的、容易理解的EN954安全等级（见图2）为例。

图2 EN954安全等级

根据对升降机的分析，S2、F1、P2，则安全等级为2级或3级。根据对手工上件的机器人工位的分析，S2、F2、P2，则安全等级为4级。

安全等级的具体介绍如下。

2.2.3.1 B级

控制器的安全相关部分的选择必须根据最新的技术，并且可以承受预期的运行强度，能够承受运行过程中工作介质的影响和相关外部环境的影响，但一个故障可以导致安全功能的丢失,一些故障依然不会被监测出来。20世纪80年代至90年代的自动化系统基本上都是B级。

如图3所示，这是一个最常用的系统，当安全门被打开时，引发：

--＞机械上的位置开关常闭触点断开

--＞中间继电器线圈失电

--＞中间继电器上的常闭触点断开

--＞接触器绕圈失电

--＞交流接触器常闭触点断开

--＞电机断电，起到保护作用。

由图3可知，该系统初看并没有什么问题，但仔细分析却漏洞百出。最简单的一个安全隐患如图4所示，中间继电器的触点发生熔焊，线圈断电，但常闭触点不断开，电机不断电还继续进行，这样的系统是很危险的。

2.2.3.2 1级系统

在等级B的基础上，必须使用具有安全功能保证的元器件。原理如同等级B但在安全功能上更加

图3 有缺陷的系统

图4 继电器失效

可靠。两种限位开关模式如图5、图6所示。

图5 强制断开模式（正确应用）

图6 非强制断开模式（错误应用）

强制断开模式（见图5）的触点断开是依靠外力的作用，而限位开关采用强制断开模式（见图6）引发故障的机率更少，相应的提高了安全等级。

1级系统的触发一定要依靠外力，不能依靠系统自身的力量，因为系统本身也会有出故障的时候。

2.2.3.3 2级系统

符合等级B的要求，并使用适当的、可靠的安全设计法则。在机器启动时，执行一个安全检测功能，若有必要可以周期性的执行。该检测功能的作用是只有设备是安全的，系统才能够启动。通过一个频繁的检测，故障可以被检测出来，也就是说具有高等级的安全特性，属于单通道的输入使用并启动检测功能。2级安全标准如图7所示。

图7 2级安全标准

该系统使用的安全继电器代替了传统的中间继电器，增加了如下功能。

（1）启动前，有效判断K1M的状态，如果K1M的触点有问题，则K1M失电后不能正常断开，常闭触点在复位时不能闭合，导致不能启动，在启动前就能检测出K1M存在问题。

（2）由于采用了安全继电器，对于K1M线圈的得电，在安全继电器的内部相当于采用串联触点的形式，这就能保证在按下急停按钮时，常开触点断开的能力要大大加强。

2.2.3.4 3级安全系统

符合等级B的要求，并且要求使用适当的、可靠的安全设计法则。3级安全标准如图8所示。

必须按照以下设计：

（1）在任何部分的单一故障不会导致安全功能的丢失。

（2）任何时候使用适当的方法，单一故障能够被检测出来。

（3）属于双通道触点(或两个分离的)安全输入设备，连接至两个独立的电路单元。

（4）一个单一故障的出现不会导致安全功能的丢失，并在下一次安全功能实施前，能够检测出该单一故障，但并不是所有的故障都会被检测出来，一个累计的故障才会导致安全功能的丢失。

图8 3级安全标准

如图8所示，对电机的断电，采用继电器K1M和继电器K2M，利用两个接触器进行控制，出现危险的机率减小了。

2.2.3.5 4级安全系统

任何部分的单一故障都不会导致安全功能的丢失，并且任何时候使用适当的方法，单一故障能够被检测出来，一个累计的故障不会导致安全功能的丢失，能够及时检测出单一故障以防止安全功能的丢失，先前的、累计的故障不会导致安全功能的丢失。4级安全标准如图9所示。

图9 4级安全标准

如图9所示，K1M和K2M构成了对电机M的双保险，只有K1M和K2M都出现故障时，电机M才不能有效制动，而K1M和K2M都出现故障的机率是非常低的。K1M和K2M通过安全继电器的双常开触点进行控制，保证能有效断开。复位输入同时判断K1M和K2M的常闭触点，能有效在启动时发现存在的缺陷问题。

2.2.4 根据所要求的等级，设计出相应的安全系统等级确定了就要根据上述原则进行系统设计。原则上不能选用普通继电器做为安全继电器使用，普通继电器使用线圈及金属触点的机械动作来切换负载。金属触点可能由于反复操作而熔焊。一旦发生此种情况，机器在操作员按下急停按钮后还会继续运行，此时使用户置于危险环境。许多欧洲安全标准、美国国家和国际标准禁止在具有危险的机器上使用简单的继电器和接触器。以光栅为例（见图10)。首先根据要防护的内容选择合适的分辨率（有防护手指、防护手、防护身体的区分），分辨率根据直径和中心距等几何特性确定，与光栅的外部和操作条件无关。

图10 分辨率分类

分辨率由R=I+d得出（见图11），计算出 感应区高度和保护区高度；感应区高度为第一束光束的上沿到最后一束光束的下沿的距离；保护区高度是指有效的保护区域，物体的尺寸大于等于光栅的分辨率，这样能安全地使光束变暗。

图11 分辨率

确定光栅的安装位置

式中 S为光栅到危险设备的距离；K为操作人员的移动速度；T为设备接到停止信号后的反应时间；C为最小危险距离。

最后根据确定的安全等级，选出合适的光栅型号（见图12）。

图12 安全光栅的应用

带muting（屏蔽）功能的光幕，车通过不报警（见图13）；人通过则要报警（见图14)；人与车的区别（见图15、图16）；也可以采用激光扫描仪实现相同的功能，通过不同对象的编程，实现不同的控制方式（见图17）；人的扫描形状与工件不相同，进入危险区域要报警（见图18）；激光扫描仪的典型应用如图19所示。

图13 车进入不报警

图14 操作者进入报警

3 结论

图15 滑橇挡住2束光

图16 操作者档住的光束多于2束

图17 工件形状符合安全区域形状

图18 扫描形状不同

图19 操作者已进入危险区域

如今的汽车制造等现场，由于操作者误入到危险区域、传感器故障而导致的工伤事故时有发生；如果使用安全控制系统，则可以自动识别危险并立即停止设备，从而确保操作者和设备的安全。特别是在使用机器人的冲压生产线、汽车焊接生产线等高危险的工作区域，对单台设备甚至对整个流水线的安全控制都是非常必要的。在危险的设备上应用安全控制系统，能够有效减少劳动灾害，确保制造现场的安全性和生产性。

随着中国汽车工业的快速发展，尤其是对轿车质量和产量的要求不断提高，汽车焊装车间电控系统的自动化水平和信息化水平也需要随之提高。一汽-大众长春工厂焊装车间的安全技术也进行了飞速发展。从Audi A4、Audi Q5等车型采用安全模块，到发展为Audi A6、Audi Q3等车型采用了Seimens 319F（配Profinet+Profisafe安全总线）安全PLC的最新技术以及大量安全光幕、安全扫描仪、安全围栏的应用，说明只有采用合理的系统配置和高安全性的自动化产品，才能保证安全、高效的生产。