第2章安全回路相关标准与法规

2、安全回路相关标准与法规：解读GB 7588、EN 81-20等国内外标准对安全回路的要求

做电梯安全回路设计，绕不开的就是标准。说实话，我刚入行那会儿，看到GB 7588和EN 81-20这些标准号就头疼，几百页的文档，全是术语和条款。但干久了你会发现，这些标准其实是保护我们的——保护乘客，也保护我们这些做设计的。

今天我就结合自己的项目经验，聊聊这些标准到底对安全回路提了哪些硬性要求。

2.1 GB 7588：国内电梯安全的“基本法”

GB 7588-2003（以及它的后续修订版）是国内电梯设计的核心标准。它等效采用了EN 81-1，但针对国内情况做了调整。我个人习惯把GB 7588看作一个“底线清单”——你设计的回路如果达不到它的要求，那根本别想过审。

它对安全回路的核心要求，我归纳为三点：

冗余性：安全回路必须采用双通道或冗余设计。说白了，一个触点坏了，另一个还能顶上。我在一个老旧电梯改造项目中见过单触点设计，结果触点粘连，电梯门开着就往上冲……嗯，那场景挺吓人的。
独立性：安全回路不能与控制系统共用同一套逻辑。你想想看，如果CPU死机了，安全回路也跟着失效，那还谈什么安全？
直接动作：安全回路必须能直接切断主接触器或驱动器的电源，不能通过软件中转。我曾经见过一个设计，安全信号先送到PLC，再由PLC判断后断电——这完全违背了GB 7588的精神。

GB 7588 对安全回路触点的具体要求：

触点间隙：不小于3mm（强制断开）
触点材料：必须采用银合金或同等材料
动作行程：必须保证在触点熔焊时也能强制断开

2.2 EN 81-20：欧洲标准的“升级版”

EN 81-20是2014年发布的，它替代了老版的EN 81-1。相比GB 7588，EN 81-20在安全回路方面提出了更细致的要求。我个人觉得，EN 81-20更像是一本“设计手册”，它告诉你“为什么”要这么做，而不仅仅是“做什么”。

EN 81-20 的几个关键点：

安全完整性等级（SIL）：EN 81-20明确要求安全回路的设计必须满足SIL 3等级。这意味着你的电路失效率必须低于10⁻⁷/小时。说实话，这个指标挺苛刻的，我在做一款新梯型时，为了达到SIL 3，光继电器选型就折腾了两个月。
诊断覆盖率：标准要求安全回路必须具有自诊断功能。比如，安全继电器必须能检测自身触点是否粘连。我记得有一次，一个供应商提供的继电器诊断覆盖率只有60%，直接被我们否掉了。
防止共因失效：EN 81-20特别强调，冗余通道之间不能有共同的失效模式。举个例子，两个安全触点不能共用同一个接线端子，否则一个端子松动，两个通道同时失效。

对比项	GB 7588	EN 81-20
安全等级要求	未明确SIL等级	明确要求SIL 3
诊断功能	未强制要求	要求自诊断
共因失效	有提及，但较笼统	有详细设计指南
触点间隙	≥3mm	≥3mm（与GB一致）

2.3 其他相关标准：ISO 13849 与 IEC 62061

除了电梯专用标准，我们做嵌入式设计时还会参考两个通用功能安全标准：ISO 13849（机械安全）和IEC 62061（电气安全）。

ISO 13849-1 提出了“性能等级（PL）”的概念。电梯安全回路通常要求PL e（最高等级）。这个标准对软件的要求特别细，比如它要求软件必须采用“多样性”设计——说白了，你不能用同一个算法做冗余判断。

IEC 62061 则更偏向硬件。它定义了“安全完整性等级（SIL）”的量化计算方法。我在做安全回路失效率计算时，用的就是IEC 62061的公式。嗯，这里要提醒一句：别自己手算，用工具软件，不然算到你怀疑人生。

我的个人经验：

做安全回路设计时，别只看电梯标准。ISO 13849和IEC 62061里有很多关于“如何避免系统性失效”的指导，比如“软件必须经过静态分析”、“硬件必须进行FMEA（失效模式与影响分析）”。这些内容在GB 7588里讲得不多，但实际项目审核时，专家会拿这些通用标准来问你。

2.4 标准之间的“冲突”与“兼容”

你可能会问：这么多标准，它们之间有没有矛盾？

有，但不多。我遇到过最典型的一个问题是：GB 7588要求安全回路必须“直接动作”，而EN 81-20允许通过“安全总线”传输信号。那到底听谁的？

我的做法是：以当地法规为准。国内项目，严格按GB 7588执行；出口欧洲的项目，按EN 81-20执行。如果项目同时要求满足两个标准，那就取“最严格”的那个——比如触点间隙按3mm设计，同时增加总线诊断功能。

避坑指南：

我曾经在一个项目中，为了节省成本，把安全回路的触点间隙从3mm改成了2mm，理由是“EN 81-20没明确说必须3mm”。结果审核时被专家当场指出：EN 81-20的附录A.2明确引用了IEC 60947-5-1，而那个标准要求强制断开触点间隙必须≥3mm。嗯，那次被批得不轻。所以，别钻标准的空子，该是多少就是多少。

2.5 标准对嵌入式设计的具体影响

说了这么多标准条文，它们到底怎么影响我们的嵌入式设计？我总结了几点：

MCU选型：必须选用支持SIL 3的MCU（比如带双核锁步的型号）。普通工业级MCU，对不起，过不了审。
软件架构：必须采用“安全层+应用层”的分层架构。安全层负责监控安全回路状态，应用层负责逻辑控制。两层之间通过“看门狗”或“心跳信号”通信。
诊断周期：标准要求安全回路的诊断周期不能超过100ms。也就是说，你的MCU每100ms必须检查一次所有安全触点的状态。我在代码里用了一个定时器中断，专门干这个活。
故障响应时间：从安全回路触发到切断主电源，时间不能超过200ms。这个时间包括MCU检测、判断、输出、继电器动作的全过程。

一个典型的诊断代码片段（伪代码）：

// 每100ms执行一次的安全回路诊断
void SafetyLoop_Diagnostic(void)
{
    // 读取两个冗余通道的状态
    uint8_t ch1 = ReadSafetyChannel1();
    uint8_t ch2 = ReadSafetyChannel2();
    
    // 检查一致性
    if (ch1 != ch2)
    {
        // 通道不一致，进入安全状态
        EnterSafeState();
        LogError(ERROR_CHANNEL_MISMATCH);
    }
    
    // 检查触点是否粘连（通过测试脉冲）
    if (CheckContactStuck() == TRUE)
    {
        EnterSafeState();
        LogError(ERROR_CONTACT_STUCK);
    }
    
    // 喂狗，告诉应用层“我还活着”
    SafetyWatchdog_Feed();
}

嗯，代码看着简单，但实际调试时坑不少。比如测试脉冲的宽度不能太短，否则继电器来不及动作；也不能太长，否则影响正常逻辑。我调这个参数调了整整一周。

2.6 小结：标准是底线，不是天花板

最后说一句：标准只是最低要求。我在实际项目中，往往会在标准基础上再加20%~30%的安全裕量。比如标准要求触点间隙3mm，我设计成3.5mm；标准要求诊断周期100ms，我做到50ms。

为什么？因为电梯是载人的设备，出一次事故，可能就是一条人命。咱们做设计的，心里得有这根弦。

下一章，我会详细讲讲安全回路的硬件架构设计，包括继电器选型、触点配置、布线规则这些实战内容。到时候见。