1月22日下午，上海地鐵15號線祁安路站一位65歲的女乘客在下車時被屏蔽門夾住，工作人員幫助其脫困，但依舊發生了人身傷亡事故。從現場的視頻和現階段的報道來看，操作人員在操作時可能誤操作，隔離了屏蔽門，而沒有按下緊急停止開關導致了事故的發生。事故的原因目前尚在調查中，但不論事故的責任方在哪里，這起事故都應該引起電氣系統設計者對功能安全的重視和對安全設備、安全網絡使用的重視。

我們都知道，隨著大量可編程設備、自動化系統和軟件產品的使用，在增加了設備自動化運轉效率的同時，由于設計中的缺失以及開發制造中風險管理意識的不足，使得可能造成人身安全、財產損失和環境危害等事故的風險也暴露出來。為此，在工業自動化領域，電子、電氣及可編程電子安全控制系統相關的技術逐漸發展為一套成熟的產品安全設計技術，即“功能安全”技術，并由IEC61508標準來定義，對應的國標是GB/T20438。IEC 61508將安全完整性等級（SIL）分成4級，第4級為最高完整性。

在類似于以上地鐵屏蔽門普遍使用的SIL3等級的安全回路中，可以由安全繼電器來搭建，也可以使用由安全PLC和其他安全從站構成的安全網絡來實現，比如CC-Link Safety、CC-Link IE Safety。無論使用哪種方法，都必須要滿足以下幾點：

1 采用冗余結構設計

2 必須要有傳感器監測來作為同步輸入監測

3 具備回路監測

安全相關系統在設計時，須要遵循IEC61508所遵循的“故障導向安全”，認為人員操作總是會失誤的，并且任何小概率發生的失誤最終都會發生，必須將其導向至可以接受的風險。同時，我們認為機器總是比人可靠，因此對于安全功能的分配，能讓機器完成的功能當然要讓機器完成，并不斷提升安全系統的裕度，比如通過并聯和表決的方式來實現安全系統的冗余。

以實際使用中最常用的緊急停止開關為例，（以上地鐵事故中的屏蔽門和列車停止互鎖系統也可以簡單類比），如果故障設備被修復或者被旁路，緊急停止控制裝置斷開且反饋回路已經閉合，此時可以按下“復位”按鈕，重新啟動設備，在設備重啟前必須先確認運行環境安全，再進行復位，即只有進行復位后，重啟功能才能執行。至于何種情況下應采用何種復位方式（自動復位、手動復位、可監控復位），視具體行業的具體工藝要求而定。需要注意的是：采用自動復位，必須對現場運行環境進行大量且全面的評估，確認自動復位后，整個系統并不會產生任何危險，在實際應用中需要慎之又慎。

在現場運行的自動化系統中，實際構建安全網絡的情況往往又會比較復雜，雖然各個子系統單獨運行均能達到SIL3甚至SIL4等級，但我們可能需要這些子系統整合后進行聯動，例如上述地鐵運行時的列車運行控制系統需要和屏蔽門控制系統進行聯動，整合后的安全系統由于沒有充分考慮到人為因素的影響，可能就無法到達相應的安全等級了，因此在設計時需要窮舉所有可能發生的故障和風險，編制詳盡的安全手冊，并依次將其導向為可接受風險。

由于現代化的的自動化系統高度復雜，可編程器件和軟件大量應用，很多場合可能的風險隱患也呈幾何級數增加，已不再適合使用安全繼電器等來構建可靠的安全回路，在現場，電氣工程師會普遍使用安全PLC，并通過安全網絡來實現，比如CC-Link Safety和CC-Link IE Safety。作為中國國家標準，CC-Link Safety和CC-Link IE Safety在設計時已經進行了相關規范的安全設計，包括冗余雙回路的設計、傳輸信號的表決機制、信號傳輸過程中的差錯交叉校驗等，保證了電氣工程師能夠以最大的便利性來設計和構建安全回路，同時，也能夠有效防止人為誤操作而造成的安全隱患，在使用時只要將兼容的安全設備接入網絡，即可實現SIL3等級的安全系統。

從本次地鐵事故來看，功能安全在目前的自動化系統中已經起到了舉足輕重的作用，未來也會成為自控領域的一個熱點，必定也必須要引起所有系統工程師的重視，使用安全網絡構建系統也將逐漸成為主流，從而保證現場設備運行更加安全。