SIL3功能安全架构：双制动冗余与安全PLC全链路防护
在现代工业天车（桥式起重机）系统中，功能安全已从可选配置上升为强制要求。克鲁德重工基于IEC 61508《电气/电子/可编程电子安全相关系统的功能安全》、IEC 62061《机械安全——安全相关电气、电子和可编程电子控制系统的功能安全》及GB/T 3811-2008《起重机设计规范》等标准，构建了SIL3级功能安全体系。该体系覆盖危险源HARA分析、三层安全架构设计、双制动冗余保护、安全PLC编程与PROFIsafe通信以及TÜV认证验收等全流程，为客户提供从安全目标定义到系统验收的全生命周期功能安全解决方案。本文详细阐述克鲁德重工在SIL3功能安全领域的技术实践，旨在为天车系统安全设计提供系统化的技术参考。
一、天车危险源HARA分析
危险源分析与风险评估（Hazard Analysis and Risk Assessment, HARA）是功能安全设计的起点。克鲁德重工依据ISO 12100《机械安全——设计通则 风险评估与风险降低》和IEC 62061的要求，对天车系统进行全工况、全生命周期的危险源识别。天车系统的主要危险事件包括：起升机构超速下降导致吊物坠落、大小车运行机构碰撞导致人员挤压、制动器失效导致溜车、限位开关失效导致行程超限、钢丝绳断丝/断股导致吊物坠地等。针对每一危险事件，HARA分析团队基于危险事件的严重度（Se）、暴露频率（Fr）和避免可能性（Av）三个维度进行风险量化评估，确定所需的SIL等级。下表展示了克鲁德重工典型天车系统的HARA分析结果。
| 危险事件 | 严重度Se | 暴露频率Fr | 避免可能性Av | 风险等级 | 所需SIL等级 | 安全功能 |
|---|---|---|---|---|---|---|
| 起升机构超速下降 | 4（灾难性） | 3（频繁） | 1（几乎不可能） | IIIa | SIL3 | 超速保护+双制动冗余 |
| 大小车运行碰撞 | 3（严重） | 4（持续） | 2（可能） | IIIb | SIL2 | 安全限位+防碰撞装置 |
| 制动器失效溜车 | 4（灾难性） | 3（频繁） | 1（几乎不可能） | IIIa | SIL3 | 制动器状态监测+冗余制动 |
| 限位开关失效超行程 | 3（严重） | 2（偶尔） | 2（可能） | II | SIL1 | 双限位开关+软件限位 |
| 钢丝绳断裂 | 4（灾难性） | 2（偶尔） | 1（几乎不可能） | IIIb | SIL2 | 钢丝绳断丝检测+过载保护 |
克鲁德重工HARA分析团队由具有TÜV功能安全工程师资质的专家领衔，确保分析结果的权威性与合规性。HARA分析报告作为整机安全档案的核心组成部分，随设备交付客户存档备查。
二、SIL等级定义与安全目标
安全完整性等级（Safety Integrity Level, SIL）是对安全相关系统所要求的安全性能的离散化分级。依据IEC 61508的定义，SIL等级根据系统在要求时的平均失效概率（PFDavg）或每小时危险失效频率（PFH）进行划分：SIL1要求PFDavg在10⁻²~10⁻¹之间或PFH在10⁻⁶~10⁻⁵之间；SIL2要求PFDavg在10⁻³~10⁻²之间或PFH在10⁻⁷~10⁻⁶之间；SIL3要求PFDavg在10⁻⁴~10⁻³之间或PFH在10⁻⁸~10⁻⁷之间；SIL4要求PFDavg在10⁻⁵~10⁻⁴之间或PFH在10⁻⁹~10⁻⁸之间。克鲁德重工天车系统的SIL3安全目标为：PFH < 10⁻⁷，安全可用度 > 99.99%。这意味着系统在一年内的危险失效时间不超过52.6分钟。为实现这一目标，克鲁德重工在硬件层面采用冗余架构（1oo2D、2oo3等），在软件层面采用经过认证的安全PLC与安全通信协议，在管理层面通过TÜV SÜD或TÜV Rheinland的第三方审核认证，确保功能安全管理体系符合IEC 61508的要求。
三、三层安全架构设计
克鲁德重工天车功能安全系统采用经典的三层安全架构设计。第一层为基本控制系统（Basic Control System），负责天车的正常作业控制，包括起升、大小车运行的启停与调速控制，以及常规的过载保护、行程限位等功能。该层采用通用PLC实现，不承担安全功能。第二层为安全控制系统（Safety Control System），独立于基本控制系统运行，负责SIL相关安全功能的实现。该层采用经过TÜV认证的安全PLC（如Siemens S7-1200F或S7-1500F系列），通过PROFIsafe安全通信协议与分布式安全I/O模块、安全驱动器进行数据交换。安全控制系统实时监测起升超速、制动器状态、门限位、急停按钮等安全相关信号，一旦检测到危险状态，立即触发安全停机序列。第三层为安全监控与诊断系统（Safety Monitoring & Diagnosis System），负责对安全控制系统的运行状态进行在线监控与故障诊断，提供人机界面（HMI）上的安全状态显示与报警记录功能。三层安全架构的核心理念是”独立性”——安全控制系统的硬件和软件必须与基本控制系统在物理和逻辑上完全隔离，避免共因失效（Common Cause Failure）。克鲁德重工的三层安全架构设计已通过TÜV SÜD的SIL3系统认证，累计应用于超过500台天车系统。
四、双制动冗余与超速保护
起升机构是天车系统中安全风险最高的子系统，其安全保护措施是SIL3功能安全设计的核心。克鲁德重工在起升机构中采用双制动冗余设计：在减速器高速轴端和卷筒轴端各设置一台安全制动器，两台制动器在电气和机械上完全独立。正常工况下，两台制动器同时参与制动；当其中一台制动器失效时，另一台制动器仍能独立承担全部制动扭矩，确保吊物安全悬停。制动器状态由安全PLC通过限位开关和制动器磨损监测传感器进行实时监测，一旦检测到制动器响应时间异常、摩擦力矩下降或闸瓦磨损超标，系统自动触发报警并在下一个作业循环前要求维护。超速保护功能与双制动冗余协同工作：在起升机构高速轴上安装超速开关，当起升下降速度超过额定值1.25倍时，安全PLC在50ms内触发紧急制动序列，两台安全制动器同时抱闸。克鲁德重工还开发了”软制动”控制策略——在正常停机时，两台制动器分时抱闸（时差约200ms），避免同时制动引起的冲击载荷，延长制动器使用寿命。双制动冗余系统的安全功能经认证满足SIL3要求，PFH值低于5×10⁻⁸，安全可用度超过99.995%。
五、安全PLC与PROFIsafe通信
安全PLC是实现SIL3功能安全系统的核心控制元件。克鲁德重工选用Siemens S7-1500F系列安全PLC作为天车安全控制系统的标准配置。该系列PLC通过了TÜV SÜD的SIL3认证，支持密码保护的工程组态、安全的用户程序下载以及集成的故障安全通信。安全PLC与分布式安全I/O模块（如ET 200SP F系列）之间通过PROFIsafe通信协议进行数据交换。PROFIsafe是PROFINET总线系统上的安全通信层，通过在标准PROFINET报文上附加安全CRC校验码（CRC2）和序列号（Watchdog），确保安全数据在传输过程中的完整性、时效性和真实性。PROFIsafe的故障安全通信满足IEC 61784-3-3标准的要求，安全响应时间低于30ms，满足SIL3通信要求。克鲁德重工还开发了标准化的安全PLC功能块库，涵盖安全停机（SS1、STO）、安全限速（SLS）、安全门监控、急停处理、制动器控制等标准化安全功能，显著缩短了安全控制系统的编程与调试周期。安全PLC程序须经过严格的代码审查与功能测试，测试覆盖率要求达到100%（语句覆盖率）和95%以上（分支覆盖率），所有测试记录归档保存，作为TÜV认证审核的技术证据。
六、安全系统验收与SIL验证
安全系统的验收与验证是功能安全生命周期的关键节点。克鲁德重工依据IEC 61508第7部分和IEC 62061第8章的要求，制定完整的安全系统验收测试方案。验收测试分为三个阶段：第一阶段为工厂验收测试（FAT），在克鲁德重工制造车间内完成，测试内容涵盖安全功能正确性测试、安全响应时间测试、故障注入测试（模拟传感器失效、通信中断、电源故障等异常工况）以及冗余系统切换测试；第二阶段为现场验收测试（SAT），在天车安装现场完成，在真实工况下验证安全功能与操作系统的协同性；第三阶段为SIL验证计算，基于硬件架构约束（HFT——硬件故障容限）、诊断覆盖率（DC）和共因失效β因子等参数，使用IEC 61508-6附录中的公式和Markov模型计算PFDavg或PFH值，验证系统实际达到的SIL等级是否满足设计要求。克鲁德重工的安全系统验收完成后，出具完整的安全系统验收报告、SIL验证计算书以及功能安全档案手册，配合客户或第三方认证机构（TÜV SÜD、TÜV Rheinland等）进行最终审核。截至目前，克鲁德重工已累计完成超过50台SIL3天车系统的TÜV认证验收，成功率达到100%。
七、
延伸阅读：防爆起重机化工粉尘环境安全设计 | 传统车间数字化升级改造方案
常见问题
A: 并非所有天车应用都需要SIL3等级。所需的SIL等级由HARA分析结果确定，取决于危险事件的严重度、暴露频率和避免可能性。根据IEC 62061的规定，一般工业天车（非防爆、非核安全级）的起升机构通常要求SIL2~SIL3，大小车运行机构通常要求SIL1~SIL2。克鲁德重工可提供从SIL1到SIL3的模块化功能安全解决方案，根据客户的HARA分析结果灵活配置，避免过度设计造成的成本浪费。
A: 克鲁德重工的双制动冗余系统通过以下措施确保同步性与可靠性：两台制动器分别由独立的两个安全继电器触点控制，电气回路完全独立；安全PLC对每台制动器的动作状态进行独立监测，包括闸瓦打开/关闭位置信号、制动器线圈电流监测、制动响应时间监测（正常范围150~300ms）；当检测到一台制动器响应异常时，系统自动触发报警并禁止下一个作业循环。两台制动器在正常停机时分时动作（时差约200ms），在紧急制动时同时动作。制动器选用德国Sibre或意大利Gru品牌的安全制动器，静制动力矩为额定载荷的1.5倍以上，满足GB/T 3811-2008第6.3节的要求。
A: 安全PLC的编程与标准PLC有本质区别：安全PLC程序必须经过TÜV认证的工程工具（如Siemens TIA Portal V17及以上版本带F选项包）进行组态和编程；安全程序采用经过认证的安全功能块（F-FBs），不允许使用用户自定义的安全函数；程序下载需经过口令授权和CRC校验。编程人员须持有TÜV颁发的功能安全工程师资质证书（TÜV FS Engineer或TÜV FSEng），并经克鲁德重工内部安全PLC编程考核合格后方可独立承担安全PLC编程工作。克鲁德重工提供Siemens安全PLC编程培训服务，培训内容涵盖PROFIsafe通信组态、安全功能块应用、故障安全程序调试等方面。
Q4: SIL3认证的费用和周期是多少？认证过程中需要注意哪些问题？
A: SIL3认证的费用和周期取决于天车系统的复杂度和认证机构的选取。以一台标准双梁桥式起重机（起重量50t，跨度30m）为例，TÜV SÜD的SIL3认证费用约为人民币30~50万元，认证周期通常为6~12个月。认证过程中需要注意以下关键问题：一是功能安全管理体系须在项目启动前建立并运行，涵盖安全计划编制、HARA分析、安全需求规范、设计验证、生产与安装控制、运行与维护指导等全过程；二是安全系统硬件选型须选用通过TÜV认证的器件（安全PLC、安全继电器、安全编码器等），并提供完整的证书和技术参数证明；三是安全系统的FMEA分析须覆盖所有可能的失效模式，并针对每一项失效模式给出诊断措施。克鲁德重工提供从HARA分析到TÜV认证的全流程功能安全技术服务，可大幅缩短认证周期并降低认证风险。
