简介ISO 3691-4-2020 表1安全回路PL要求翻译文档面向叉车与工业车辆安全控制系统设计、评估及认证人员围绕安全功能描述、主要风险备注和最低PL要求展开涵盖刹车系统、速度控制、ESPE人员检测、自动充电、负载搬运、转向稳定性、急停功能及自动/手动/维修模式等关键环节。文档为docx格式压缩包内共1个文件大小约27KB内容按标准表1结构逐项翻译并保留条款编号方便工程人员对照原文快速定位。已有344人学习下载适合需要理清安全功能与PL等级对应关系、落实安全回路设计要求的研发与测试工程师。翻译还补充了部分关键注释可帮助理解风险场景与措施取舍提升标准落地效率。1. 安全回路PL分配不是玄学先把ISO 3691-4的表1读透做AGV或无人叉车功能安全最容易被问住的一句话是“你这个安全回路PL到底定多少” 翻标准的人都知道ISO 3691-4-2020里有张表但真到手里才发现它是一份混合了条款号、功能描述、风险备注和PL字母的密集清单读起来费劲用起来更费劲。这份表1其实就是把“安全控制相关条款”逐条拆解给每个安全功能标出了最低PL要求从刹车系统到人员检测从急停到自动充电哪些必须做到PLd哪些PLc就能接受哪些压根不用进安全回路全都写在里面。适合做工业车辆功能安全设计的工程师、负责AGV验收的测试人员以及刚入行想搞懂PL分配逻辑的新手。读完之后你会发现PL分配不是拍脑袋也不是越安全越好而是一张按风险倒推出来的工程清单。2. 表1的结构与读法条款编号、风险备注、PL等级三列怎么对应表1看着像一张多列清单实际读法有固定的套路。把它的列拆开看每一行都包含三块核心信息安全功能从哪个条款来、这个功能防的是什么风险、最低PL是多少。搞清楚这一层后面的落地才有抓手。2.1 三列信息的定位从“4.2刹车系统”到“d”是怎么关联的表1每一行最左侧是条款号中间是安全功能描述和主要风险备注最右侧是PL等级。典型的一行是这样的“4.2 刹车系统控制冲撞人员功能控制减速功能PLd”。这里PLd的意义是如果刹车系统失效导致车辆停不下来、撞上人员后果是“人员受重伤甚至死亡”按照ISO 13849-1里对严重伤害的定义这种后果对应的高性能等级就是d。要注意表1里的PL是“最低要求”不是推荐值你可以在某个功能上做到PLe但不能低于d低了验收就是不通过。读这张表时最忌讳只看PL字母不看“主要风险备注”。例如4.4自动充电那一行PLb备注是“触电风险车辆启动前优先断开充电点”并且明确写了“不需要进安全回路”。如果你只看PL等级会觉得“b比d低很多说明充电不关键”但备注里写得更清楚这个b级是给“充电连接失活”这个具体动作的不是给整个充电系统的。这条很容易被误读成“充电系统与安全无关”实际是充电连接失活这个功能只需要b级且不需要进安全PLC但物理上仍然要有断电顺序和互锁。2.2 条款编号的隐规则4.x是功能大类14.x是具体手段表1里条款号有两种形态一种是“4.2”“4.3”“4.8.2.1”另一种是“14.2”“14.3”“14.7.1”。我刚开始对照原版标准时也有点迷惑后来发现规律并不复杂4.x是第4章“安全要求和安全措施”里定义的功能大类14.x是第14章里对该功能的具体设计或实现手段的详细描述。比如表1第一行写“4.2刹车系统”对应到标准正文里可能是14.2刹车系统的结构要求写“4.8.2.6”的地方正文里对应的是ESPE电敏保护设备的检测区域设定要求。这一点在翻译和核对时尤其重要。因为表1本身是一张汇总表它不会把第14章的每一条都重复一遍只会写“4.8.2.6适用ESPE安全检测场的大小”。如果你只看表1去做安全回路设计会漏掉正文第14章里的具体数值要求。常见的做法是先用表1确定PL目标再回到正文对应条款看实现细节两边的条款编号互相映射着读。翻译时若发现某一行出现14.x不要把它当成和4.x并列的功能它是4.x的实现细节来源。2.3 全表贯穿的速度阈值0.3m/s、0.7m/s和180mm的工程含义表1里最容易被忽略但贯穿始终的是三个数值0.3m/s、0.7m/s、180mm。这三个值直接决定了安全功能的边界条件建议先记住再逐条去套。0.3m/s出现在人员检测抑制条件里。表1第19行写得很明确在自动模式下不允许在速度大于0.3m/s时抑制人员检测装置也就是说只有在车速不高于0.3m/s的前提下你才有资格讨论“暂时屏蔽人员检测”这件事而且这个抑制回路本身还要进安全回路。0.7m/s则和转弯、旋转场景绑定第22行说“有条件选择人员检测意味着保护区的额外侧场在转弯和旋转时卡车速度限制在0.7m/s的相关方向x和/或y”配合PLc。这条的逻辑是转弯时侧向速度可能造成扫掠碰撞所以要么把速度限制在0.7m/s以内要么加侧场检测二选一或同时做。180mm出现在第17行间隙区域内人员检测装置要保证“车辆和固定结构之间小于等于180mm的区域”也有覆盖这个值比很多人习惯设的200~300mm更严格属于硬性要求。这三个数其实是同一条逻辑链的产物车速越低人员检测的响应时间余量越大安全等级可以适度放宽车速越高检测区域必须越大、抑制条件必须越严。表1里的PL分配本质上就是按“碰撞后果严重程度”和“人员检测有效程度”两个维度给每个功能定级。理解了这个逻辑后面读刹车、速度控制、人员检测这些具体条款时会顺畅很多。3. 刹车与速度控制的PL取舍为什么刹车锁死PLd过速可以降级刹车系统和速度控制是表1里最基础也最不能出错的两个功能。这一部分要解决两个问题为什么刹车相关功能几乎全部锁定PLd而速度控制却留下了降级空间降级条件是什么降级后怎么补偿3.1 刹车系统的减速与控制两条功能链PLd怎么理解表1里和刹车有关的有两行4.2刹车系统和14.2刹车系统控制。第一行的功能描述是“控制冲撞人员功能控制减速功能”PLd第二行的描述是“停车系统控制碰撞风险功能控制制动器断开以避免连续制动时行驶”PL同样为d。拆开看这其实是两条功能链一条管减速一条管停车。减速功能链的核心是“检测到碰撞风险后刹车系统能把车从当前速度安全减下来”停车功能链的核心是“车停下来以后制动器能一直保持制动力不会因为连续制动发热或其他原因自动松开”。表1备注里特别提到“如果电池断开制动性能降低不太可能”这句话的工程含义是AGV的制动器通常是失电制动型也就是得电松开、失电抱住目的是在整机掉电时自动进入制动状态。但如果制动器本身依赖电池供电的释放回路一旦电池断开释放回路失电反而可能导致制动器意外抱死或性能衰减所以设计时要验证“电池断开后制动性能”这条路径。这两条功能链都锁死PLd的原因很直接刹车失效的直接后果是车辆以不可控速度撞向人员这是表1里后果严重程度最高的风险类别没有任何补偿措施能兜底。我在实际项目里的做法是减速功能由安全PLC读取速度反馈后输出制动指令停车功能由独立的制动控制回路配合失电制动器执行两条链各自进安全回路且采用不同的失效模式避免共因失效。3.2 过速检测的降级路径PLd达不到时把速度压到0.3m/s速度控制相关的行里有一个很关键的细节4.3过速检测系统PL要求是c但表1的备注里写了一句“如果PLd不能达到速度则应将到最大0.3m/s”。这句话初读会有些绕它的完整逻辑是过速检测系统的理想PL目标是d因为超速状态下人员检测效率会明显下降如果检测系统本身可靠性不够超速状态不能被及时发现碰撞风险就失控了。但如果你在工程实现上确实做不到PLd比如受限于传感器类型、控制器架构或成本标准允许你把速度硬限制在0.3m/s以下用降低速度来补偿检测系统的性能不足。这是一个非常重要的设计策略PL不够速度来凑。0.3m/s本身也是一个安全临界值——在这个速度下即使人员检测系统响应偏慢车辆在检测到人员后也能在极短距离内停住碰撞后果被限制在可接受范围内。换句话说过速检测降到PLc代价是车辆的最高运行速度被砍到0.3m/s这个限制会让AGV的搬运效率大打折扣所以大多数项目里还是会优先做PLd的过速检测而不是降级到0.3m/s。从安全回路结构上看速度监测功能我一般建议走独立编码器加安全PLC的架构编码器信号双通道输入安全PLC里做速度计算和阈值比较输出到制动控制回路。这里有一个容易踩的点有些方案为了省成本用普通PLC加单通道编码器做速度监测然后声称“有速度监测功能”。这在ISO 13849-1的架构类别里连Category 1都算不上PLd基本无望。3.3 从PL到安全回路按功能分层的推荐架构把表1里刹车、速度、停车相关的PL要求落到具体安全回路上我一般按三层来搭每一层的PL目标和硬件选型不同功能层表1要求推荐实现架构类别参考制动执行减速PLd / 停车PLd失电制动器双通道 制动接触器Category 3 / 4速度监测过速PLc~d双通道编码器 安全PLC速度比较Category 3速度抑制0.3m/s / 0.7m/s限速安全PLC输出限速屏蔽信号Category 3第一层制动执行直接对应表1的d级要求。失电制动器是标配关键点在于制动接触器要采用双通道并且两个通道要能被安全PLC独立控制任何一个通道失效时另一个仍能完成制动。第二层速度监测编码器建议用双通道增量式两个通道的脉冲信号分别接入安全PLC的两个安全输入点PLC内部做脉冲计数和速度计算。第三层速度抑制用于实现0.3m/s和0.7m/s这两个限速逻辑当车速超过阈值时安全PLC会屏蔽人员检测装置的抑制信号或直接触发保护性停车。三层之间还有一个稳定性联动要考虑。表1里4.7稳定性一行写着“避免由于速度、转向以及负载产生的不稳定性PLc”并且备注是“仅潜在的安全风险”。这说明稳定性控制不是直接保护人员而是防止车辆侧翻或货物跌落带来的二次伤害。工程上常见做法是增加安全限位开关和拉伸编码器来监控转向角度和负载位置当转向角度或负载位置超过阈值时限制速度或禁止举升。这条虽然PL只是c但它和速度控制是联动的不能孤立地看。4. 人员检测与ESPE区域0.3m/s、0.7m/s、180mm三个边界值的用法人员检测是表1里行数最多的部分也是安全回路里最复杂的部分。它牵扯到行驶方向检测、间隙区域检测、转弯时的侧向检测、手动模式下的抑制和恢复每一个场景对应不同的PL要求。这一章把人员检测拆成三条主线讲直线行驶时怎么检测、转弯和原地转向时怎么检测、人员检测被抑制时怎么恢复。4.1 行进方向检测PLd何时允许抑制、抑制后怎么恢复表1第16行行进方向的人员检测“人员碰撞路径上人员识别后停止”PLd。这是人员检测系统的主功能必须覆盖车辆行进方向的碰撞路径。第18行进一步补充手动模式或维修模式下跨越人员检测装置可能要求PLd手动松开后功能恢复。这两条合起来的意思是——自动模式下人员检测必须全程有效任何条件下不允许在速度大于0.3m/s时抑制它手动或维修模式下如果你确实需要跨越检测装置那么系统必须处于PLd的保护状态并且跨越结束后需要手动复位检测功能才能恢复不允许自动恢复。这个“手动松开后功能回复”很容易被实现成“检测到人离开区域后自动恢复”这在标准里是不允许的。手动模式的进入和退出都应该是一个有意识的操作动作进入时通过钥匙开关或模式选择开关退出时通过复位按钮或确认信号不能因为人离开了检测区域就自动回到自动模式。在设计上主行进方向的检测通常用安全激光扫描仪或安全光幕。扫描仪的安全区域要覆盖车辆的行驶宽度并且在最高车速下从检测到人员到车辆完全停住的停车距离要小于扫描区域的前沿距离。这个距离计算要按最恶劣条件来满载、最高速度、制动器磨损后的最大制动距离——按ISO 13849-1的说法这是“性能等级验证”的一部分。4.2 ESPE区域与实际速度联动直线、横向、螃蟹方向的区域设置表1第5行“适用于直线运动的ESPE安全检测场的大小”列举了前进方向、后退方向、横向和控制螃蟹方向四个运动方向PLc或d原文标注存在c和d两种情形。这一行实际上是在说ESPE的安全检测区域不是固定的它必须和AGV当前的实际速度、实际运动方向联动。举个例子AGV在直线前进时检测区域只需要覆盖前进方向的路径宽度和前方停车距离但如果是螃蟹方向移动也就是AGV横向平移那么检测区域必须覆盖横向的扫掠范围因为车体横移时的碰撞路径和前进时完全不同。如果检测区域沿用的还是前进方向的设置横向移动时两侧就会露出盲区这是典型的“区域选型错误”。工程实现上ESPE区域切换一般由安全PLC根据导航系统给出的运动方向信号来触发PLC内部预置多组区域配置根据当前运动模式选择对应的区域组合。这里要注意的是区域切换本身也是一个安全功能切换信号必须来自安全回路或经过安全PLC确认不能直接由普通导航控制器输出到扫描仪否则切换信号一旦失效检测区域就会停在错误配置上。4.3 转弯和旋转时的侧场0.7m/s限速下的人员检测策略表1第6行和第7行专门讨论ESPE在转向或原地转向时的检测区域。“在行进方面上没有速度不做速度限制”这句话针对的是原地旋转工况——车体原地转动时行进方向速度为零但车体本身的扫掠会威胁到周边人员所以不能因为它“没有行进速度”就撤销检测区域而是要根据旋转方向配置对应的侧向检测区域。第7行“调整安全检测区域速度限制在0.7m/s”针对的是转弯和旋转工况下选择错误安全措施时的碰撞风险PLc。这一行的完整含义是AGV在转弯时如果你不打算把速度压到极低那么就必须加侧场检测加了侧场检测的前提下最大转弯速度是0.7m/s。反过来如果你不想加侧场那把转弯速度降到0.3m/s以下也是可以接受的。两种方案对应不同的PL等级和不同的检测区域配置具体怎么选主要看你这个项目对节拍的要求有多高。侧场检测的典型配置是在车体两侧额外安装两个安全扫描仪扫描区域覆盖侧向的扫掠宽度。检测区域和转弯速度是联动的转弯速度越高侧场检测区域要越大。如果侧场区域不够大安全PLC会把允许的转弯速度往下调形成一个闭环的速度-区域联动。这一个功能在调试时最容易出现“区域设了但速度没降”的问题原因往往是侧场扫描仪的检测数据没有参与速度限制计算只参与了停车触发这会导致转弯时车辆不会主动减速直到撞到人才停车违背了“调整安全检测区域速度限制”的本意。5. 避坑表1落地时最容易翻车的五个解读错误PL分配这件事表面看是查表实际工程落地时坑非常多。下面五条是我在项目评审和相关方核对中反复见过的真实问题每条按遇到的现象、根本原因、解决方式展开。5.1 现象一把4.4自动充电的PLb当成“不需要安全设计”现场经常出现的情况是——充电桩和AGV之间的充电连接失活功能只做了一个简单的接触器断开没有任何互锁逻辑理由是“表1说PLb不用进安全回路”。实际上PLb只是说这个功能的性能等级需求低不代表它不需要可靠性设计。按ISO 13849-1的架构要求PLb大致对应Category 2或部分Category 3的架构至少要满足基本的诊断覆盖率和可控的失效行为。而且表1备注里“不需要进安全回路”特指的是“不需要把充电连接失活信号接入安全PLC的安全输入”但断电时序、触点粘接检测这些基本保护仍然要有。正确的做法是充电连接失活用普通PLC控制但加一个触点状态反馈来检测接触器是否正常断开发现异常就禁止车辆启动。5.2 现象二末端停止被当成普通停车没进安全回路第15行“终止危险发生人员触发急停PLd末端停止需要按照急停处理进安全回路”。这里说的是AGV在路径末端、充电位、输送线对接点的停止不能只靠导航系统的定位停车必须有一套独立于导航的安全停止逻辑。实际项目里有些终端停止是通过导航控制器输出“到位停止”信号来实现的这个信号一旦丢失车辆就会继续往前冲。解决方式是把末端停止做成一个安全停车功能由安全PLC检测限位开关或末端传感器的信号直接触发安全制动回路不走导航链路。PL等级要按急停对待也就是d。5.3 现象三0.3m/s和0.7m/s混用直线工况用了转弯限速0.3m/s是自动模式下抑制人员检测的速度上限0.7m/s是转弯时带侧场检测的速度上限。有些人把这两个值记混了出现两种错误一种是在直线行驶时允许0.7m/s且抑制人员检测理由是“标准里说0.7m/s以下可以防”另一种是在转弯时只把速度降到0.3m/s但没加侧场导致侧向扫掠区域完全没有保护。正确理解是0.7m/s这个值只属于转弯/旋转场景而且前置条件是侧场检测存在0.3m/s是“可以抑制人员检测”的上限和转弯限速是两套独立的逻辑。做安全PLC程序时建议把这两个限速条件分别做成独立的判断模块并在HMI上显示当前正处于哪个限速模式下调试时一目了然。5.4 现象四点动功能只做了普通继电器控制没有安全停车第24行“点动功能意外运动或者碰撞导致的负载下落和下压危险”PLc。点动功能是维修或调试时用的一种低速步进操作要求是“不点不动”也就是操作人员松开点动按钮运动必须立即停止。实际项目里常见做法是点动按钮接入普通控制柜通过普通继电器控制电机这在点动按钮粘连或继电器触点卡死时电机会一直运行形成下压危险。正确做法是点动使能信号接入安全PLC点动按钮采用双通道输入松开按钮时安全PLC触发保护性停车并禁止驱动输出。PLc不算高但也要有基本的双通道和诊断。5.5 现象五手动模式抑制人员检测后系统自动恢复第18行提到“手动或者维修模式下跨越人员检测装置可能要求PLd手动松开后功能恢复”。常见实现错误是人员检测装置被旁路后操作员离开检测区域系统检测到区域内无人就自动恢复自动模式。标准要求的是手动复位也就是必须有人明确操作一个复位按钮系统才恢复到正常检测状态。这个设计是为了防止操作员还在危险区域附近时系统因为“看起来没人”就自动恢复运行。解决方式是在安全PLC程序里增加一个复位条件只有模式选择开关回到自动档、且复位按钮被按下检测功能才重新激活。这个复位信号同样要进安全回路不能只做一个HMI软按钮。6. 从表1到安全回路验收用一张矩阵核对你的PL分配表1的最终用途是指导验收。我的习惯是把它转成一张项目专用的PL核对矩阵逐行确认每个安全功能实际做到了哪个PL验证手段是什么以及是否满足表1的最低要求。矩阵的列建议这样设计安全功能、表1要求PL、实际架构类别、诊断覆盖率、MTTFd估算、验证方式、结论。以某个具体的AGV项目为例刹车系统和停车系统用失电制动器加双通道接触器架构类别按Category 3设计诊断覆盖率按90%估算MTTFd按手册取高值对照ISO 13849-1的计算结果落到了PLd结论是满足表1要求。人员检测主功能用双通道安全激光扫描仪通过安全PLC输出停车指令同样按Category 3计算PLd满足。而稳定性监控只做到了限位开关加编码器监测按Category 2估算只有PLc恰好满足4.7稳定性这行的c级要求但如果现场要求更高就得升级架构。做完PL计算表之后还必须做一步验证故障注入。我在某次项目测试中吃过亏当时PL计算表所有项都满足但现场做断线测试时发现速度监测编码器的其中一路信号断掉后安全PLC没有进入安全状态因为程序里只做了“两路速度不一致”的诊断没做“单路信号丢失”的诊断导致断线后系统按单路信号继续运行。这个问题用计算表是发现不了的必须通过实际断开每一路安全输入信号来验证系统是否按预期停车。从那以后我每次做安全回路验收都强制要求走一遍“逐路断线、逐路短路、屏蔽信号”三步测试并且把测试结果记录在PL核对矩阵里确保每个功能不只是理论上达标而是在实际线路上能安全失效。PL分配这件事标准给了你起点但真正的安全性是靠逐条验证堆出来的。希望这些梳理对你手头的项目有实际帮助。本文还有配套的精品资源点击获取 ISO 3691-4表1精读：AGV安全回路PL分配与工程落地
简介ISO 3691-4-2020 表1安全回路PL要求翻译文档面向叉车与工业车辆安全控制系统设计、评估及认证人员围绕安全功能描述、主要风险备注和最低PL要求展开涵盖刹车系统、速度控制、ESPE人员检测、自动充电、负载搬运、转向稳定性、急停功能及自动/手动/维修模式等关键环节。文档为docx格式压缩包内共1个文件大小约27KB内容按标准表1结构逐项翻译并保留条款编号方便工程人员对照原文快速定位。已有344人学习下载适合需要理清安全功能与PL等级对应关系、落实安全回路设计要求的研发与测试工程师。翻译还补充了部分关键注释可帮助理解风险场景与措施取舍提升标准落地效率。1. 安全回路PL分配不是玄学先把ISO 3691-4的表1读透做AGV或无人叉车功能安全最容易被问住的一句话是“你这个安全回路PL到底定多少” 翻标准的人都知道ISO 3691-4-2020里有张表但真到手里才发现它是一份混合了条款号、功能描述、风险备注和PL字母的密集清单读起来费劲用起来更费劲。这份表1其实就是把“安全控制相关条款”逐条拆解给每个安全功能标出了最低PL要求从刹车系统到人员检测从急停到自动充电哪些必须做到PLd哪些PLc就能接受哪些压根不用进安全回路全都写在里面。适合做工业车辆功能安全设计的工程师、负责AGV验收的测试人员以及刚入行想搞懂PL分配逻辑的新手。读完之后你会发现PL分配不是拍脑袋也不是越安全越好而是一张按风险倒推出来的工程清单。2. 表1的结构与读法条款编号、风险备注、PL等级三列怎么对应表1看着像一张多列清单实际读法有固定的套路。把它的列拆开看每一行都包含三块核心信息安全功能从哪个条款来、这个功能防的是什么风险、最低PL是多少。搞清楚这一层后面的落地才有抓手。2.1 三列信息的定位从“4.2刹车系统”到“d”是怎么关联的表1每一行最左侧是条款号中间是安全功能描述和主要风险备注最右侧是PL等级。典型的一行是这样的“4.2 刹车系统控制冲撞人员功能控制减速功能PLd”。这里PLd的意义是如果刹车系统失效导致车辆停不下来、撞上人员后果是“人员受重伤甚至死亡”按照ISO 13849-1里对严重伤害的定义这种后果对应的高性能等级就是d。要注意表1里的PL是“最低要求”不是推荐值你可以在某个功能上做到PLe但不能低于d低了验收就是不通过。读这张表时最忌讳只看PL字母不看“主要风险备注”。例如4.4自动充电那一行PLb备注是“触电风险车辆启动前优先断开充电点”并且明确写了“不需要进安全回路”。如果你只看PL等级会觉得“b比d低很多说明充电不关键”但备注里写得更清楚这个b级是给“充电连接失活”这个具体动作的不是给整个充电系统的。这条很容易被误读成“充电系统与安全无关”实际是充电连接失活这个功能只需要b级且不需要进安全PLC但物理上仍然要有断电顺序和互锁。2.2 条款编号的隐规则4.x是功能大类14.x是具体手段表1里条款号有两种形态一种是“4.2”“4.3”“4.8.2.1”另一种是“14.2”“14.3”“14.7.1”。我刚开始对照原版标准时也有点迷惑后来发现规律并不复杂4.x是第4章“安全要求和安全措施”里定义的功能大类14.x是第14章里对该功能的具体设计或实现手段的详细描述。比如表1第一行写“4.2刹车系统”对应到标准正文里可能是14.2刹车系统的结构要求写“4.8.2.6”的地方正文里对应的是ESPE电敏保护设备的检测区域设定要求。这一点在翻译和核对时尤其重要。因为表1本身是一张汇总表它不会把第14章的每一条都重复一遍只会写“4.8.2.6适用ESPE安全检测场的大小”。如果你只看表1去做安全回路设计会漏掉正文第14章里的具体数值要求。常见的做法是先用表1确定PL目标再回到正文对应条款看实现细节两边的条款编号互相映射着读。翻译时若发现某一行出现14.x不要把它当成和4.x并列的功能它是4.x的实现细节来源。2.3 全表贯穿的速度阈值0.3m/s、0.7m/s和180mm的工程含义表1里最容易被忽略但贯穿始终的是三个数值0.3m/s、0.7m/s、180mm。这三个值直接决定了安全功能的边界条件建议先记住再逐条去套。0.3m/s出现在人员检测抑制条件里。表1第19行写得很明确在自动模式下不允许在速度大于0.3m/s时抑制人员检测装置也就是说只有在车速不高于0.3m/s的前提下你才有资格讨论“暂时屏蔽人员检测”这件事而且这个抑制回路本身还要进安全回路。0.7m/s则和转弯、旋转场景绑定第22行说“有条件选择人员检测意味着保护区的额外侧场在转弯和旋转时卡车速度限制在0.7m/s的相关方向x和/或y”配合PLc。这条的逻辑是转弯时侧向速度可能造成扫掠碰撞所以要么把速度限制在0.7m/s以内要么加侧场检测二选一或同时做。180mm出现在第17行间隙区域内人员检测装置要保证“车辆和固定结构之间小于等于180mm的区域”也有覆盖这个值比很多人习惯设的200~300mm更严格属于硬性要求。这三个数其实是同一条逻辑链的产物车速越低人员检测的响应时间余量越大安全等级可以适度放宽车速越高检测区域必须越大、抑制条件必须越严。表1里的PL分配本质上就是按“碰撞后果严重程度”和“人员检测有效程度”两个维度给每个功能定级。理解了这个逻辑后面读刹车、速度控制、人员检测这些具体条款时会顺畅很多。3. 刹车与速度控制的PL取舍为什么刹车锁死PLd过速可以降级刹车系统和速度控制是表1里最基础也最不能出错的两个功能。这一部分要解决两个问题为什么刹车相关功能几乎全部锁定PLd而速度控制却留下了降级空间降级条件是什么降级后怎么补偿3.1 刹车系统的减速与控制两条功能链PLd怎么理解表1里和刹车有关的有两行4.2刹车系统和14.2刹车系统控制。第一行的功能描述是“控制冲撞人员功能控制减速功能”PLd第二行的描述是“停车系统控制碰撞风险功能控制制动器断开以避免连续制动时行驶”PL同样为d。拆开看这其实是两条功能链一条管减速一条管停车。减速功能链的核心是“检测到碰撞风险后刹车系统能把车从当前速度安全减下来”停车功能链的核心是“车停下来以后制动器能一直保持制动力不会因为连续制动发热或其他原因自动松开”。表1备注里特别提到“如果电池断开制动性能降低不太可能”这句话的工程含义是AGV的制动器通常是失电制动型也就是得电松开、失电抱住目的是在整机掉电时自动进入制动状态。但如果制动器本身依赖电池供电的释放回路一旦电池断开释放回路失电反而可能导致制动器意外抱死或性能衰减所以设计时要验证“电池断开后制动性能”这条路径。这两条功能链都锁死PLd的原因很直接刹车失效的直接后果是车辆以不可控速度撞向人员这是表1里后果严重程度最高的风险类别没有任何补偿措施能兜底。我在实际项目里的做法是减速功能由安全PLC读取速度反馈后输出制动指令停车功能由独立的制动控制回路配合失电制动器执行两条链各自进安全回路且采用不同的失效模式避免共因失效。3.2 过速检测的降级路径PLd达不到时把速度压到0.3m/s速度控制相关的行里有一个很关键的细节4.3过速检测系统PL要求是c但表1的备注里写了一句“如果PLd不能达到速度则应将到最大0.3m/s”。这句话初读会有些绕它的完整逻辑是过速检测系统的理想PL目标是d因为超速状态下人员检测效率会明显下降如果检测系统本身可靠性不够超速状态不能被及时发现碰撞风险就失控了。但如果你在工程实现上确实做不到PLd比如受限于传感器类型、控制器架构或成本标准允许你把速度硬限制在0.3m/s以下用降低速度来补偿检测系统的性能不足。这是一个非常重要的设计策略PL不够速度来凑。0.3m/s本身也是一个安全临界值——在这个速度下即使人员检测系统响应偏慢车辆在检测到人员后也能在极短距离内停住碰撞后果被限制在可接受范围内。换句话说过速检测降到PLc代价是车辆的最高运行速度被砍到0.3m/s这个限制会让AGV的搬运效率大打折扣所以大多数项目里还是会优先做PLd的过速检测而不是降级到0.3m/s。从安全回路结构上看速度监测功能我一般建议走独立编码器加安全PLC的架构编码器信号双通道输入安全PLC里做速度计算和阈值比较输出到制动控制回路。这里有一个容易踩的点有些方案为了省成本用普通PLC加单通道编码器做速度监测然后声称“有速度监测功能”。这在ISO 13849-1的架构类别里连Category 1都算不上PLd基本无望。3.3 从PL到安全回路按功能分层的推荐架构把表1里刹车、速度、停车相关的PL要求落到具体安全回路上我一般按三层来搭每一层的PL目标和硬件选型不同功能层表1要求推荐实现架构类别参考制动执行减速PLd / 停车PLd失电制动器双通道 制动接触器Category 3 / 4速度监测过速PLc~d双通道编码器 安全PLC速度比较Category 3速度抑制0.3m/s / 0.7m/s限速安全PLC输出限速屏蔽信号Category 3第一层制动执行直接对应表1的d级要求。失电制动器是标配关键点在于制动接触器要采用双通道并且两个通道要能被安全PLC独立控制任何一个通道失效时另一个仍能完成制动。第二层速度监测编码器建议用双通道增量式两个通道的脉冲信号分别接入安全PLC的两个安全输入点PLC内部做脉冲计数和速度计算。第三层速度抑制用于实现0.3m/s和0.7m/s这两个限速逻辑当车速超过阈值时安全PLC会屏蔽人员检测装置的抑制信号或直接触发保护性停车。三层之间还有一个稳定性联动要考虑。表1里4.7稳定性一行写着“避免由于速度、转向以及负载产生的不稳定性PLc”并且备注是“仅潜在的安全风险”。这说明稳定性控制不是直接保护人员而是防止车辆侧翻或货物跌落带来的二次伤害。工程上常见做法是增加安全限位开关和拉伸编码器来监控转向角度和负载位置当转向角度或负载位置超过阈值时限制速度或禁止举升。这条虽然PL只是c但它和速度控制是联动的不能孤立地看。4. 人员检测与ESPE区域0.3m/s、0.7m/s、180mm三个边界值的用法人员检测是表1里行数最多的部分也是安全回路里最复杂的部分。它牵扯到行驶方向检测、间隙区域检测、转弯时的侧向检测、手动模式下的抑制和恢复每一个场景对应不同的PL要求。这一章把人员检测拆成三条主线讲直线行驶时怎么检测、转弯和原地转向时怎么检测、人员检测被抑制时怎么恢复。4.1 行进方向检测PLd何时允许抑制、抑制后怎么恢复表1第16行行进方向的人员检测“人员碰撞路径上人员识别后停止”PLd。这是人员检测系统的主功能必须覆盖车辆行进方向的碰撞路径。第18行进一步补充手动模式或维修模式下跨越人员检测装置可能要求PLd手动松开后功能恢复。这两条合起来的意思是——自动模式下人员检测必须全程有效任何条件下不允许在速度大于0.3m/s时抑制它手动或维修模式下如果你确实需要跨越检测装置那么系统必须处于PLd的保护状态并且跨越结束后需要手动复位检测功能才能恢复不允许自动恢复。这个“手动松开后功能回复”很容易被实现成“检测到人离开区域后自动恢复”这在标准里是不允许的。手动模式的进入和退出都应该是一个有意识的操作动作进入时通过钥匙开关或模式选择开关退出时通过复位按钮或确认信号不能因为人离开了检测区域就自动回到自动模式。在设计上主行进方向的检测通常用安全激光扫描仪或安全光幕。扫描仪的安全区域要覆盖车辆的行驶宽度并且在最高车速下从检测到人员到车辆完全停住的停车距离要小于扫描区域的前沿距离。这个距离计算要按最恶劣条件来满载、最高速度、制动器磨损后的最大制动距离——按ISO 13849-1的说法这是“性能等级验证”的一部分。4.2 ESPE区域与实际速度联动直线、横向、螃蟹方向的区域设置表1第5行“适用于直线运动的ESPE安全检测场的大小”列举了前进方向、后退方向、横向和控制螃蟹方向四个运动方向PLc或d原文标注存在c和d两种情形。这一行实际上是在说ESPE的安全检测区域不是固定的它必须和AGV当前的实际速度、实际运动方向联动。举个例子AGV在直线前进时检测区域只需要覆盖前进方向的路径宽度和前方停车距离但如果是螃蟹方向移动也就是AGV横向平移那么检测区域必须覆盖横向的扫掠范围因为车体横移时的碰撞路径和前进时完全不同。如果检测区域沿用的还是前进方向的设置横向移动时两侧就会露出盲区这是典型的“区域选型错误”。工程实现上ESPE区域切换一般由安全PLC根据导航系统给出的运动方向信号来触发PLC内部预置多组区域配置根据当前运动模式选择对应的区域组合。这里要注意的是区域切换本身也是一个安全功能切换信号必须来自安全回路或经过安全PLC确认不能直接由普通导航控制器输出到扫描仪否则切换信号一旦失效检测区域就会停在错误配置上。4.3 转弯和旋转时的侧场0.7m/s限速下的人员检测策略表1第6行和第7行专门讨论ESPE在转向或原地转向时的检测区域。“在行进方面上没有速度不做速度限制”这句话针对的是原地旋转工况——车体原地转动时行进方向速度为零但车体本身的扫掠会威胁到周边人员所以不能因为它“没有行进速度”就撤销检测区域而是要根据旋转方向配置对应的侧向检测区域。第7行“调整安全检测区域速度限制在0.7m/s”针对的是转弯和旋转工况下选择错误安全措施时的碰撞风险PLc。这一行的完整含义是AGV在转弯时如果你不打算把速度压到极低那么就必须加侧场检测加了侧场检测的前提下最大转弯速度是0.7m/s。反过来如果你不想加侧场那把转弯速度降到0.3m/s以下也是可以接受的。两种方案对应不同的PL等级和不同的检测区域配置具体怎么选主要看你这个项目对节拍的要求有多高。侧场检测的典型配置是在车体两侧额外安装两个安全扫描仪扫描区域覆盖侧向的扫掠宽度。检测区域和转弯速度是联动的转弯速度越高侧场检测区域要越大。如果侧场区域不够大安全PLC会把允许的转弯速度往下调形成一个闭环的速度-区域联动。这一个功能在调试时最容易出现“区域设了但速度没降”的问题原因往往是侧场扫描仪的检测数据没有参与速度限制计算只参与了停车触发这会导致转弯时车辆不会主动减速直到撞到人才停车违背了“调整安全检测区域速度限制”的本意。5. 避坑表1落地时最容易翻车的五个解读错误PL分配这件事表面看是查表实际工程落地时坑非常多。下面五条是我在项目评审和相关方核对中反复见过的真实问题每条按遇到的现象、根本原因、解决方式展开。5.1 现象一把4.4自动充电的PLb当成“不需要安全设计”现场经常出现的情况是——充电桩和AGV之间的充电连接失活功能只做了一个简单的接触器断开没有任何互锁逻辑理由是“表1说PLb不用进安全回路”。实际上PLb只是说这个功能的性能等级需求低不代表它不需要可靠性设计。按ISO 13849-1的架构要求PLb大致对应Category 2或部分Category 3的架构至少要满足基本的诊断覆盖率和可控的失效行为。而且表1备注里“不需要进安全回路”特指的是“不需要把充电连接失活信号接入安全PLC的安全输入”但断电时序、触点粘接检测这些基本保护仍然要有。正确的做法是充电连接失活用普通PLC控制但加一个触点状态反馈来检测接触器是否正常断开发现异常就禁止车辆启动。5.2 现象二末端停止被当成普通停车没进安全回路第15行“终止危险发生人员触发急停PLd末端停止需要按照急停处理进安全回路”。这里说的是AGV在路径末端、充电位、输送线对接点的停止不能只靠导航系统的定位停车必须有一套独立于导航的安全停止逻辑。实际项目里有些终端停止是通过导航控制器输出“到位停止”信号来实现的这个信号一旦丢失车辆就会继续往前冲。解决方式是把末端停止做成一个安全停车功能由安全PLC检测限位开关或末端传感器的信号直接触发安全制动回路不走导航链路。PL等级要按急停对待也就是d。5.3 现象三0.3m/s和0.7m/s混用直线工况用了转弯限速0.3m/s是自动模式下抑制人员检测的速度上限0.7m/s是转弯时带侧场检测的速度上限。有些人把这两个值记混了出现两种错误一种是在直线行驶时允许0.7m/s且抑制人员检测理由是“标准里说0.7m/s以下可以防”另一种是在转弯时只把速度降到0.3m/s但没加侧场导致侧向扫掠区域完全没有保护。正确理解是0.7m/s这个值只属于转弯/旋转场景而且前置条件是侧场检测存在0.3m/s是“可以抑制人员检测”的上限和转弯限速是两套独立的逻辑。做安全PLC程序时建议把这两个限速条件分别做成独立的判断模块并在HMI上显示当前正处于哪个限速模式下调试时一目了然。5.4 现象四点动功能只做了普通继电器控制没有安全停车第24行“点动功能意外运动或者碰撞导致的负载下落和下压危险”PLc。点动功能是维修或调试时用的一种低速步进操作要求是“不点不动”也就是操作人员松开点动按钮运动必须立即停止。实际项目里常见做法是点动按钮接入普通控制柜通过普通继电器控制电机这在点动按钮粘连或继电器触点卡死时电机会一直运行形成下压危险。正确做法是点动使能信号接入安全PLC点动按钮采用双通道输入松开按钮时安全PLC触发保护性停车并禁止驱动输出。PLc不算高但也要有基本的双通道和诊断。5.5 现象五手动模式抑制人员检测后系统自动恢复第18行提到“手动或者维修模式下跨越人员检测装置可能要求PLd手动松开后功能恢复”。常见实现错误是人员检测装置被旁路后操作员离开检测区域系统检测到区域内无人就自动恢复自动模式。标准要求的是手动复位也就是必须有人明确操作一个复位按钮系统才恢复到正常检测状态。这个设计是为了防止操作员还在危险区域附近时系统因为“看起来没人”就自动恢复运行。解决方式是在安全PLC程序里增加一个复位条件只有模式选择开关回到自动档、且复位按钮被按下检测功能才重新激活。这个复位信号同样要进安全回路不能只做一个HMI软按钮。6. 从表1到安全回路验收用一张矩阵核对你的PL分配表1的最终用途是指导验收。我的习惯是把它转成一张项目专用的PL核对矩阵逐行确认每个安全功能实际做到了哪个PL验证手段是什么以及是否满足表1的最低要求。矩阵的列建议这样设计安全功能、表1要求PL、实际架构类别、诊断覆盖率、MTTFd估算、验证方式、结论。以某个具体的AGV项目为例刹车系统和停车系统用失电制动器加双通道接触器架构类别按Category 3设计诊断覆盖率按90%估算MTTFd按手册取高值对照ISO 13849-1的计算结果落到了PLd结论是满足表1要求。人员检测主功能用双通道安全激光扫描仪通过安全PLC输出停车指令同样按Category 3计算PLd满足。而稳定性监控只做到了限位开关加编码器监测按Category 2估算只有PLc恰好满足4.7稳定性这行的c级要求但如果现场要求更高就得升级架构。做完PL计算表之后还必须做一步验证故障注入。我在某次项目测试中吃过亏当时PL计算表所有项都满足但现场做断线测试时发现速度监测编码器的其中一路信号断掉后安全PLC没有进入安全状态因为程序里只做了“两路速度不一致”的诊断没做“单路信号丢失”的诊断导致断线后系统按单路信号继续运行。这个问题用计算表是发现不了的必须通过实际断开每一路安全输入信号来验证系统是否按预期停车。从那以后我每次做安全回路验收都强制要求走一遍“逐路断线、逐路短路、屏蔽信号”三步测试并且把测试结果记录在PL核对矩阵里确保每个功能不只是理论上达标而是在实际线路上能安全失效。PL分配这件事标准给了你起点但真正的安全性是靠逐条验证堆出来的。希望这些梳理对你手头的项目有实际帮助。本文还有配套的精品资源点击获取