簡介ISO 3691-4-2020 表1安全回路PL要求翻譯文檔面向叉車與工業(yè)車輛安全控制系統(tǒng)設計、評估及認證人員圍繞安全功能描述、主要風險備注和最低PL要求展開涵蓋剎車系統(tǒng)、速度控制、ESPE人員檢測、自動充電、負載搬運、轉向穩(wěn)定性、急停功能及自動/手動/維修模式等關鍵環(huán)節(jié)。文檔為docx格式壓縮包內共1個文件大小約27KB內容按標準表1結構逐項翻譯并保留條款編號方便工程人員對照原文快速定位。已有344人學習下載適合需要理清安全功能與PL等級對應關系、落實安全回路設計要求的研發(fā)與測試工程師。翻譯還補充了部分關鍵注釋可幫助理解風險場景與措施取舍提升標準落地效率。1. 安全回路PL分配不是玄學先把ISO 3691-4的表1讀透做AGV或無人叉車功能安全最容易被問住的一句話是“你這個安全回路PL到底定多少” 翻標準的人都知道ISO 3691-4-2020里有張表但真到手里才發(fā)現(xiàn)它是一份混合了條款號、功能描述、風險備注和PL字母的密集清單讀起來費勁用起來更費勁。這份表1其實就是把“安全控制相關條款”逐條拆解給每個安全功能標出了最低PL要求從剎車系統(tǒng)到人員檢測從急停到自動充電哪些必須做到PLd哪些PLc就能接受哪些壓根不用進安全回路全都寫在里面。適合做工業(yè)車輛功能安全設計的工程師、負責AGV驗收的測試人員以及剛入行想搞懂PL分配邏輯的新手。讀完之后你會發(fā)現(xiàn)PL分配不是拍腦袋也不是越安全越好而是一張按風險倒推出來的工程清單。2. 表1的結構與讀法條款編號、風險備注、PL等級三列怎么對應表1看著像一張多列清單實際讀法有固定的套路。把它的列拆開看每一行都包含三塊核心信息安全功能從哪個條款來、這個功能防的是什么風險、最低PL是多少。搞清楚這一層后面的落地才有抓手。2.1 三列信息的定位從“4.2剎車系統(tǒng)”到“d”是怎么關聯(lián)的表1每一行最左側是條款號中間是安全功能描述和主要風險備注最右側是PL等級。典型的一行是這樣的“4.2 剎車系統(tǒng)控制沖撞人員功能控制減速功能PLd”。這里PLd的意義是如果剎車系統(tǒng)失效導致車輛停不下來、撞上人員后果是“人員受重傷甚至死亡”按照ISO 13849-1里對嚴重傷害的定義這種后果對應的高性能等級就是d。要注意表1里的PL是“最低要求”不是推薦值你可以在某個功能上做到PLe但不能低于d低了驗收就是不通過。讀這張表時最忌諱只看PL字母不看“主要風險備注”。例如4.4自動充電那一行PLb備注是“觸電風險車輛啟動前優(yōu)先斷開充電點”并且明確寫了“不需要進安全回路”。如果你只看PL等級會覺得“b比d低很多說明充電不關鍵”但備注里寫得更清楚這個b級是給“充電連接失活”這個具體動作的不是給整個充電系統(tǒng)的。這條很容易被誤讀成“充電系統(tǒng)與安全無關”實際是充電連接失活這個功能只需要b級且不需要進安全PLC但物理上仍然要有斷電順序和互鎖。2.2 條款編號的隱規(guī)則4.x是功能大類14.x是具體手段表1里條款號有兩種形態(tài)一種是“4.2”“4.3”“4.8.2.1”另一種是“14.2”“14.3”“14.7.1”。我剛開始對照原版標準時也有點迷惑后來發(fā)現(xiàn)規(guī)律并不復雜4.x是第4章“安全要求和安全措施”里定義的功能大類14.x是第14章里對該功能的具體設計或實現(xiàn)手段的詳細描述。比如表1第一行寫“4.2剎車系統(tǒng)”對應到標準正文里可能是14.2剎車系統(tǒng)的結構要求寫“4.8.2.6”的地方正文里對應的是ESPE電敏保護設備的檢測區(qū)域設定要求。這一點在翻譯和核對時尤其重要。因為表1本身是一張匯總表它不會把第14章的每一條都重復一遍只會寫“4.8.2.6適用ESPE安全檢測場的大小”。如果你只看表1去做安全回路設計會漏掉正文第14章里的具體數(shù)值要求。常見的做法是先用表1確定PL目標再回到正文對應條款看實現(xiàn)細節(jié)兩邊的條款編號互相映射著讀。翻譯時若發(fā)現(xiàn)某一行出現(xiàn)14.x不要把它當成和4.x并列的功能它是4.x的實現(xiàn)細節(jié)來源。2.3 全表貫穿的速度閾值0.3m/s、0.7m/s和180mm的工程含義表1里最容易被忽略但貫穿始終的是三個數(shù)值0.3m/s、0.7m/s、180mm。這三個值直接決定了安全功能的邊界條件建議先記住再逐條去套。0.3m/s出現(xiàn)在人員檢測抑制條件里。表1第19行寫得很明確在自動模式下不允許在速度大于0.3m/s時抑制人員檢測裝置也就是說只有在車速不高于0.3m/s的前提下你才有資格討論“暫時屏蔽人員檢測”這件事而且這個抑制回路本身還要進安全回路。0.7m/s則和轉彎、旋轉場景綁定第22行說“有條件選擇人員檢測意味著保護區(qū)的額外側場在轉彎和旋轉時卡車速度限制在0.7m/s的相關方向x和/或y”配合PLc。這條的邏輯是轉彎時側向速度可能造成掃掠碰撞所以要么把速度限制在0.7m/s以內要么加側場檢測二選一或同時做。180mm出現(xiàn)在第17行間隙區(qū)域內人員檢測裝置要保證“車輛和固定結構之間小于等于180mm的區(qū)域”也有覆蓋這個值比很多人習慣設的200~300mm更嚴格屬于硬性要求。這三個數(shù)其實是同一條邏輯鏈的產(chǎn)物車速越低人員檢測的響應時間余量越大安全等級可以適度放寬車速越高檢測區(qū)域必須越大、抑制條件必須越嚴。表1里的PL分配本質上就是按“碰撞后果嚴重程度”和“人員檢測有效程度”兩個維度給每個功能定級。理解了這個邏輯后面讀剎車、速度控制、人員檢測這些具體條款時會順暢很多。3. 剎車與速度控制的PL取舍為什么剎車鎖死PLd過速可以降級剎車系統(tǒng)和速度控制是表1里最基礎也最不能出錯的兩個功能。這一部分要解決兩個問題為什么剎車相關功能幾乎全部鎖定PLd而速度控制卻留下了降級空間降級條件是什么降級后怎么補償3.1 剎車系統(tǒng)的減速與控制兩條功能鏈PLd怎么理解表1里和剎車有關的有兩行4.2剎車系統(tǒng)和14.2剎車系統(tǒng)控制。第一行的功能描述是“控制沖撞人員功能控制減速功能”PLd第二行的描述是“停車系統(tǒng)控制碰撞風險功能控制制動器斷開以避免連續(xù)制動時行駛”PL同樣為d。拆開看這其實是兩條功能鏈一條管減速一條管停車。減速功能鏈的核心是“檢測到碰撞風險后剎車系統(tǒng)能把車從當前速度安全減下來”停車功能鏈的核心是“車停下來以后制動器能一直保持制動力不會因為連續(xù)制動發(fā)熱或其他原因自動松開”。表1備注里特別提到“如果電池斷開制動性能降低不太可能”這句話的工程含義是AGV的制動器通常是失電制動型也就是得電松開、失電抱住目的是在整機掉電時自動進入制動狀態(tài)。但如果制動器本身依賴電池供電的釋放回路一旦電池斷開釋放回路失電反而可能導致制動器意外抱死或性能衰減所以設計時要驗證“電池斷開后制動性能”這條路徑。這兩條功能鏈都鎖死PLd的原因很直接剎車失效的直接后果是車輛以不可控速度撞向人員這是表1里后果嚴重程度最高的風險類別沒有任何補償措施能兜底。我在實際項目里的做法是減速功能由安全PLC讀取速度反饋后輸出制動指令停車功能由獨立的制動控制回路配合失電制動器執(zhí)行兩條鏈各自進安全回路且采用不同的失效模式避免共因失效。3.2 過速檢測的降級路徑PLd達不到時把速度壓到0.3m/s速度控制相關的行里有一個很關鍵的細節(jié)4.3過速檢測系統(tǒng)PL要求是c但表1的備注里寫了一句“如果PLd不能達到速度則應將到最大0.3m/s”。這句話初讀會有些繞它的完整邏輯是過速檢測系統(tǒng)的理想PL目標是d因為超速狀態(tài)下人員檢測效率會明顯下降如果檢測系統(tǒng)本身可靠性不夠超速狀態(tài)不能被及時發(fā)現(xiàn)碰撞風險就失控了。但如果你在工程實現(xiàn)上確實做不到PLd比如受限于傳感器類型、控制器架構或成本標準允許你把速度硬限制在0.3m/s以下用降低速度來補償檢測系統(tǒng)的性能不足。這是一個非常重要的設計策略PL不夠速度來湊。0.3m/s本身也是一個安全臨界值——在這個速度下即使人員檢測系統(tǒng)響應偏慢車輛在檢測到人員后也能在極短距離內停住碰撞后果被限制在可接受范圍內。換句話說過速檢測降到PLc代價是車輛的最高運行速度被砍到0.3m/s這個限制會讓AGV的搬運效率大打折扣所以大多數(shù)項目里還是會優(yōu)先做PLd的過速檢測而不是降級到0.3m/s。從安全回路結構上看速度監(jiān)測功能我一般建議走獨立編碼器加安全PLC的架構編碼器信號雙通道輸入安全PLC里做速度計算和閾值比較輸出到制動控制回路。這里有一個容易踩的點有些方案為了省成本用普通PLC加單通道編碼器做速度監(jiān)測然后聲稱“有速度監(jiān)測功能”。這在ISO 13849-1的架構類別里連Category 1都算不上PLd基本無望。3.3 從PL到安全回路按功能分層的推薦架構把表1里剎車、速度、停車相關的PL要求落到具體安全回路上我一般按三層來搭每一層的PL目標和硬件選型不同功能層表1要求推薦實現(xiàn)架構類別參考制動執(zhí)行減速PLd / 停車PLd失電制動器雙通道 制動接觸器Category 3 / 4速度監(jiān)測過速PLc~d雙通道編碼器 安全PLC速度比較Category 3速度抑制0.3m/s / 0.7m/s限速安全PLC輸出限速屏蔽信號Category 3第一層制動執(zhí)行直接對應表1的d級要求。失電制動器是標配關鍵點在于制動接觸器要采用雙通道并且兩個通道要能被安全PLC獨立控制任何一個通道失效時另一個仍能完成制動。第二層速度監(jiān)測編碼器建議用雙通道增量式兩個通道的脈沖信號分別接入安全PLC的兩個安全輸入點PLC內部做脈沖計數(shù)和速度計算。第三層速度抑制用于實現(xiàn)0.3m/s和0.7m/s這兩個限速邏輯當車速超過閾值時安全PLC會屏蔽人員檢測裝置的抑制信號或直接觸發(fā)保護性停車。三層之間還有一個穩(wěn)定性聯(lián)動要考慮。表1里4.7穩(wěn)定性一行寫著“避免由于速度、轉向以及負載產(chǎn)生的不穩(wěn)定性PLc”并且備注是“僅潛在的安全風險”。這說明穩(wěn)定性控制不是直接保護人員而是防止車輛側翻或貨物跌落帶來的二次傷害。工程上常見做法是增加安全限位開關和拉伸編碼器來監(jiān)控轉向角度和負載位置當轉向角度或負載位置超過閾值時限制速度或禁止舉升。這條雖然PL只是c但它和速度控制是聯(lián)動的不能孤立地看。4. 人員檢測與ESPE區(qū)域0.3m/s、0.7m/s、180mm三個邊界值的用法人員檢測是表1里行數(shù)最多的部分也是安全回路里最復雜的部分。它牽扯到行駛方向檢測、間隙區(qū)域檢測、轉彎時的側向檢測、手動模式下的抑制和恢復每一個場景對應不同的PL要求。這一章把人員檢測拆成三條主線講直線行駛時怎么檢測、轉彎和原地轉向時怎么檢測、人員檢測被抑制時怎么恢復。4.1 行進方向檢測PLd何時允許抑制、抑制后怎么恢復表1第16行行進方向的人員檢測“人員碰撞路徑上人員識別后停止”PLd。這是人員檢測系統(tǒng)的主功能必須覆蓋車輛行進方向的碰撞路徑。第18行進一步補充手動模式或維修模式下跨越人員檢測裝置可能要求PLd手動松開后功能恢復。這兩條合起來的意思是——自動模式下人員檢測必須全程有效任何條件下不允許在速度大于0.3m/s時抑制它手動或維修模式下如果你確實需要跨越檢測裝置那么系統(tǒng)必須處于PLd的保護狀態(tài)并且跨越結束后需要手動復位檢測功能才能恢復不允許自動恢復。這個“手動松開后功能回復”很容易被實現(xiàn)成“檢測到人離開區(qū)域后自動恢復”這在標準里是不允許的。手動模式的進入和退出都應該是一個有意識的操作動作進入時通過鑰匙開關或模式選擇開關退出時通過復位按鈕或確認信號不能因為人離開了檢測區(qū)域就自動回到自動模式。在設計上主行進方向的檢測通常用安全激光掃描儀或安全光幕。掃描儀的安全區(qū)域要覆蓋車輛的行駛寬度并且在最高車速下從檢測到人員到車輛完全停住的停車距離要小于掃描區(qū)域的前沿距離。這個距離計算要按最惡劣條件來滿載、最高速度、制動器磨損后的最大制動距離——按ISO 13849-1的說法這是“性能等級驗證”的一部分。4.2 ESPE區(qū)域與實際速度聯(lián)動直線、橫向、螃蟹方向的區(qū)域設置表1第5行“適用于直線運動的ESPE安全檢測場的大小”列舉了前進方向、后退方向、橫向和控制螃蟹方向四個運動方向PLc或d原文標注存在c和d兩種情形。這一行實際上是在說ESPE的安全檢測區(qū)域不是固定的它必須和AGV當前的實際速度、實際運動方向聯(lián)動。舉個例子AGV在直線前進時檢測區(qū)域只需要覆蓋前進方向的路徑寬度和前方停車距離但如果是螃蟹方向移動也就是AGV橫向平移那么檢測區(qū)域必須覆蓋橫向的掃掠范圍因為車體橫移時的碰撞路徑和前進時完全不同。如果檢測區(qū)域沿用的還是前進方向的設置橫向移動時兩側就會露出盲區(qū)這是典型的“區(qū)域選型錯誤”。工程實現(xiàn)上ESPE區(qū)域切換一般由安全PLC根據(jù)導航系統(tǒng)給出的運動方向信號來觸發(fā)PLC內部預置多組區(qū)域配置根據(jù)當前運動模式選擇對應的區(qū)域組合。這里要注意的是區(qū)域切換本身也是一個安全功能切換信號必須來自安全回路或經(jīng)過安全PLC確認不能直接由普通導航控制器輸出到掃描儀否則切換信號一旦失效檢測區(qū)域就會停在錯誤配置上。4.3 轉彎和旋轉時的側場0.7m/s限速下的人員檢測策略表1第6行和第7行專門討論ESPE在轉向或原地轉向時的檢測區(qū)域?！霸谛羞M方面上沒有速度不做速度限制”這句話針對的是原地旋轉工況——車體原地轉動時行進方向速度為零但車體本身的掃掠會威脅到周邊人員所以不能因為它“沒有行進速度”就撤銷檢測區(qū)域而是要根據(jù)旋轉方向配置對應的側向檢測區(qū)域。第7行“調整安全檢測區(qū)域速度限制在0.7m/s”針對的是轉彎和旋轉工況下選擇錯誤安全措施時的碰撞風險PLc。這一行的完整含義是AGV在轉彎時如果你不打算把速度壓到極低那么就必須加側場檢測加了側場檢測的前提下最大轉彎速度是0.7m/s。反過來如果你不想加側場那把轉彎速度降到0.3m/s以下也是可以接受的。兩種方案對應不同的PL等級和不同的檢測區(qū)域配置具體怎么選主要看你這個項目對節(jié)拍的要求有多高。側場檢測的典型配置是在車體兩側額外安裝兩個安全掃描儀掃描區(qū)域覆蓋側向的掃掠寬度。檢測區(qū)域和轉彎速度是聯(lián)動的轉彎速度越高側場檢測區(qū)域要越大。如果側場區(qū)域不夠大安全PLC會把允許的轉彎速度往下調形成一個閉環(huán)的速度-區(qū)域聯(lián)動。這一個功能在調試時最容易出現(xiàn)“區(qū)域設了但速度沒降”的問題原因往往是側場掃描儀的檢測數(shù)據(jù)沒有參與速度限制計算只參與了停車觸發(fā)這會導致轉彎時車輛不會主動減速直到撞到人才停車違背了“調整安全檢測區(qū)域速度限制”的本意。5. 避坑表1落地時最容易翻車的五個解讀錯誤PL分配這件事表面看是查表實際工程落地時坑非常多。下面五條是我在項目評審和相關方核對中反復見過的真實問題每條按遇到的現(xiàn)象、根本原因、解決方式展開。5.1 現(xiàn)象一把4.4自動充電的PLb當成“不需要安全設計”現(xiàn)場經(jīng)常出現(xiàn)的情況是——充電樁和AGV之間的充電連接失活功能只做了一個簡單的接觸器斷開沒有任何互鎖邏輯理由是“表1說PLb不用進安全回路”。實際上PLb只是說這個功能的性能等級需求低不代表它不需要可靠性設計。按ISO 13849-1的架構要求PLb大致對應Category 2或部分Category 3的架構至少要滿足基本的診斷覆蓋率和可控的失效行為。而且表1備注里“不需要進安全回路”特指的是“不需要把充電連接失活信號接入安全PLC的安全輸入”但斷電時序、觸點粘接檢測這些基本保護仍然要有。正確的做法是充電連接失活用普通PLC控制但加一個觸點狀態(tài)反饋來檢測接觸器是否正常斷開發(fā)現(xiàn)異常就禁止車輛啟動。5.2 現(xiàn)象二末端停止被當成普通停車沒進安全回路第15行“終止危險發(fā)生人員觸發(fā)急停PLd末端停止需要按照急停處理進安全回路”。這里說的是AGV在路徑末端、充電位、輸送線對接點的停止不能只靠導航系統(tǒng)的定位停車必須有一套獨立于導航的安全停止邏輯。實際項目里有些終端停止是通過導航控制器輸出“到位停止”信號來實現(xiàn)的這個信號一旦丟失車輛就會繼續(xù)往前沖。解決方式是把末端停止做成一個安全停車功能由安全PLC檢測限位開關或末端傳感器的信號直接觸發(fā)安全制動回路不走導航鏈路。PL等級要按急停對待也就是d。5.3 現(xiàn)象三0.3m/s和0.7m/s混用直線工況用了轉彎限速0.3m/s是自動模式下抑制人員檢測的速度上限0.7m/s是轉彎時帶側場檢測的速度上限。有些人把這兩個值記混了出現(xiàn)兩種錯誤一種是在直線行駛時允許0.7m/s且抑制人員檢測理由是“標準里說0.7m/s以下可以防”另一種是在轉彎時只把速度降到0.3m/s但沒加側場導致側向掃掠區(qū)域完全沒有保護。正確理解是0.7m/s這個值只屬于轉彎/旋轉場景而且前置條件是側場檢測存在0.3m/s是“可以抑制人員檢測”的上限和轉彎限速是兩套獨立的邏輯。做安全PLC程序時建議把這兩個限速條件分別做成獨立的判斷模塊并在HMI上顯示當前正處于哪個限速模式下調試時一目了然。5.4 現(xiàn)象四點動功能只做了普通繼電器控制沒有安全停車第24行“點動功能意外運動或者碰撞導致的負載下落和下壓危險”PLc。點動功能是維修或調試時用的一種低速步進操作要求是“不點不動”也就是操作人員松開點動按鈕運動必須立即停止。實際項目里常見做法是點動按鈕接入普通控制柜通過普通繼電器控制電機這在點動按鈕粘連或繼電器觸點卡死時電機會一直運行形成下壓危險。正確做法是點動使能信號接入安全PLC點動按鈕采用雙通道輸入松開按鈕時安全PLC觸發(fā)保護性停車并禁止驅動輸出。PLc不算高但也要有基本的雙通道和診斷。5.5 現(xiàn)象五手動模式抑制人員檢測后系統(tǒng)自動恢復第18行提到“手動或者維修模式下跨越人員檢測裝置可能要求PLd手動松開后功能恢復”。常見實現(xiàn)錯誤是人員檢測裝置被旁路后操作員離開檢測區(qū)域系統(tǒng)檢測到區(qū)域內無人就自動恢復自動模式。標準要求的是手動復位也就是必須有人明確操作一個復位按鈕系統(tǒng)才恢復到正常檢測狀態(tài)。這個設計是為了防止操作員還在危險區(qū)域附近時系統(tǒng)因為“看起來沒人”就自動恢復運行。解決方式是在安全PLC程序里增加一個復位條件只有模式選擇開關回到自動檔、且復位按鈕被按下檢測功能才重新激活。這個復位信號同樣要進安全回路不能只做一個HMI軟按鈕。6. 從表1到安全回路驗收用一張矩陣核對你的PL分配表1的最終用途是指導驗收。我的習慣是把它轉成一張項目專用的PL核對矩陣逐行確認每個安全功能實際做到了哪個PL驗證手段是什么以及是否滿足表1的最低要求。矩陣的列建議這樣設計安全功能、表1要求PL、實際架構類別、診斷覆蓋率、MTTFd估算、驗證方式、結論。以某個具體的AGV項目為例剎車系統(tǒng)和停車系統(tǒng)用失電制動器加雙通道接觸器架構類別按Category 3設計診斷覆蓋率按90%估算MTTFd按手冊取高值對照ISO 13849-1的計算結果落到了PLd結論是滿足表1要求。人員檢測主功能用雙通道安全激光掃描儀通過安全PLC輸出停車指令同樣按Category 3計算PLd滿足。而穩(wěn)定性監(jiān)控只做到了限位開關加編碼器監(jiān)測按Category 2估算只有PLc恰好滿足4.7穩(wěn)定性這行的c級要求但如果現(xiàn)場要求更高就得升級架構。做完PL計算表之后還必須做一步驗證故障注入。我在某次項目測試中吃過虧當時PL計算表所有項都滿足但現(xiàn)場做斷線測試時發(fā)現(xiàn)速度監(jiān)測編碼器的其中一路信號斷掉后安全PLC沒有進入安全狀態(tài)因為程序里只做了“兩路速度不一致”的診斷沒做“單路信號丟失”的診斷導致斷線后系統(tǒng)按單路信號繼續(xù)運行。這個問題用計算表是發(fā)現(xiàn)不了的必須通過實際斷開每一路安全輸入信號來驗證系統(tǒng)是否按預期停車。從那以后我每次做安全回路驗收都強制要求走一遍“逐路斷線、逐路短路、屏蔽信號”三步測試并且把測試結果記錄在PL核對矩陣里確保每個功能不只是理論上達標而是在實際線路上能安全失效。PL分配這件事標準給了你起點但真正的安全性是靠逐條驗證堆出來的。希望這些梳理對你手頭的項目有實際幫助。本文還有配套的精品資源點擊獲取