一条输送线正在运行，操作人员按下急停。普通 PLC 程序也能读到按钮变化、撤销电机命令，那么换成 F-CPU 和黄色 I/O 后，究竟多解决了什么问题？理解 SIMATIC Safety，不能只看“按钮按下以后能不能停”，还要看出现故障时怎样进入安全状态，以及恢复后怎样避免意外启动。 [1] [8]

这是「SIMATIC Safety 工程笔记」的入门篇，写给会使用 TIA Portal 和普通 PLC 程序、刚开始接触功能安全的读者。下面以 S7-1500F 与分布式 ET 200SP 数字 I/O 为说明情境，从一项安全功能要求理解各部件的职责。输送线是概念例子，不是已完成的项目设计或测试记录。

资料基线为 Siemens《SIMATIC Safety – Configuring and Programming》V21（11/2025）。文档版本不代表现场 CPU、固件和模块也都采用同一版本。本篇解释原理，不提供可直接投运的接线与参数；实际改线、下载、恢复输出或测试前，仍需具备相应能力的人员完成风险评估和维护授权。 [2] [10]

一、先说清楚要实现什么安全功能

“急停时让输出变成 0”描述了程序的一步动作，却没有说明设备最终要处于什么状态。对输送线，需要先明确哪些危险运动应停止、停止后怎样保持，以及满足什么条件才允许重新启动。安全状态是对过程的要求，输出值只是实现这一要求的手段。 [1] [8]

为了阅读后面的组态和程序，可以先把需求拆成四个问题。下表是本文的理解框架，不是正式安全需求规格书，也没有为示例设备指定任何安全等级或时间数值。

要回答的问题	放到输送线情境中
什么条件触发？	哪个急停装置作用于哪些危险运动？相关故障又应触发什么反应？
最终到什么状态？	哪些动作必须停止，哪些状态需要保持，关断是否会产生新的危险？
多快达到该状态？	从触发到执行机构完成要求的动作，允许的最不利时间是多少？
怎样恢复？	释放装置、恢复数据、确认和重新启动，各自需要什么条件？

Siemens 手册的适用条件是：受控过程能通过关断立即进入安全状态，且关断本身不会危及人员或环境。由此不能推出“任何设备把电都断掉就安全”。选择执行方式时，要把停机后的实际状态一并考虑，而不只检查 PLC 里的逻辑结果。 [1]

这也解释了为什么安全功能设计应当先于功能块选用：必须先知道要达到什么结果，才有依据决定采用什么输入结构、程序逻辑、输出回路和验证方法。具体停止类别和等级论证留给专项设计；这里先建立“要求 → 实现 → 证据”的阅读顺序。

二、把安全要求沿着现场信号走一遍

F 来自 fail-safe（故障安全）。在本文选择的分布式结构中，F-I/O 是故障安全输入/输出，F-CPU 是执行安全程序的控制器，STEP 7 Safety 则是工程软件。下面用一条概念路径表示分工，不表示接线端子或唯一的系统结构。 [2]

急停装置 → F-DI → PROFIsafe → F-CPU 中的安全程序 → PROFIsafe → F-DQ → 执行机构。

原文系统组成图用于区分“工程工具”和“运行部件”。阅读时先找 F-CPU 与现场 I/O，再找用于组态、编程的 STEP 7 Safety；不要把工程电脑当成这条信号路径中持续作出安全判断的控制器。手册还支持集中式 I/O 等结构，分布式只是本篇选取的情境。 [2]

输入与输出：连接真实的装置和执行机构

F-DI 是故障安全数字输入，负责采集和处理相应现场信号；F-DQ 是故障安全数字输出，将安全程序的结果作用到输出侧。F-I/O 的意义不仅在于传递 0 或 1，还包括按规定条件执行诊断和故障反应。具体能检测什么、故障影响一个通道还是整块模块，需要查对应型号和组态。 [1] [5]

在输送线情境中，按钮、线路、输入模块、输出回路和执行机构都在讨论范围内。即使程序已经撤销命令，执行机构是否按要求动作仍是另一个观察对象。例如，FDBACK 把输出命令与返回的反馈信号作时间关系检查，正是在处理“命令发出了，反馈有没有跟上”的问题；反馈回路本身也必须符合项目设计。 [9]

PROFIsafe：传输的是安全通信关系中的数据

在这条分布式路径上，PROFINET 提供通信基础，F-CPU 与 F-I/O 使用符合 PROFIsafe 的安全协议交换数据。安全通信还有自身的监控条件，不能把普通网络在线等同于 F-I/O 已经能够提供有效过程值；手册规定的安全通信故障会使相关 F-I/O 钝化。 [5] [6]

F-monitoring time（F 监控时间）监控的是相应安全通信，不是输送线完整的停机时间。地址分配和时间设置的具体操作留给组态篇；入门阶段先记住：连得上、数据有效、设备按时停下，是三个不同的判断。 [7]

这里的功能安全还要与网络信息安全分开。使用安全通信后，系统仍需防止未授权访问，并按需要实施网络分段等保护；不能用 PROFIsafe 替代设备和网络的安全防护。 [11]

三、F-CPU 与 STEP 7 Safety 各自完成什么

同一台 F-CPU 可以运行标准程序和安全程序。输送顺序、计数等普通任务与安全逻辑可以共存，但普通程序不会因为下载到 F-CPU 就自动获得故障安全属性。STEP 7 Safety 提供安全编程支持，并在编译时加入错误检测和故障反应所需的附加块。 [2]

可以把工程软件与运行控制器的关系理解为：软件用于建立、检查和比较工程，F-CPU 执行下载后的程序。使用 F-I/O 的安全模式或安全相关通信，还需要启用 CPU 的 F-capability（故障安全能力）；仅在设备树里插入 F-CPU，不等于这一条件和安全应用已经完成。 [3]

安全程序也有明确的调用入口。在手册所述的 S7-1200/1500 结构中，分配给 F-runtime group（F 运行组）的 F-OB 调用主安全块，主安全块再调用相关用户安全块。运行组内同时存在用户逻辑、实例数据和系统生成块。 [4]

保留下面的结构图，是为了辨认调用关系。先沿 F-OB 找到主安全块，再看用户 F 块与系统块各在什么位置；本篇不逐项解释每类 DB，也不要求现在就记住所有块名。 [4]

对输送线而言，程序这一层负责把已定义的输入条件转成相应的安全控制结果。它不能替代输入线路的诊断，也不能仅凭一个输出变量证明执行机构已经完成动作。需要继续核对的，是这段逻辑在完整信号路径中的输入来源和输出去向。

四、正常急停与系统故障，沿两条路径理解

Siemens 区分用户安全功能与故障反应功能。前者响应应用中的危险事件，后者响应系统识别到的故障。下面用输送线比较这两条路径，是对上述机制的说明，不是现场观察结果。 [1]

路径一：操作人员按下急停，相关部件工作正常。输入侧识别装置变化，安全程序执行已设计的停止逻辑，输出侧驱动相应执行回路。这里是在正常执行安全功能，并不因为按下急停就必然发生输入模块故障或钝化。 [1]

路径二：按钮没有动作，但 F-CPU 与 F-I/O 的安全通信发生错误。系统不能继续把这段通信当成正常过程数据来源。手册规定，检测到该通信错误后，相关 F-I/O 的所有通道钝化；输入侧向安全程序提供故障安全值，输出侧则执行相应的故障安全值输出。 [5] [6]

两条路径可能最终都让危险运动停止，但维护人员要找的原因不同：前者先看装置和安全逻辑的正常状态，后者先看通信和 F-I/O 诊断。不能看到“机器停了”就认为模块损坏，也不能看到按钮没有按下就否定故障安全反应的必要性。

对 BOOL 类型的数字安全输入，手册警告 S009 要求：无论值状态或 QBAD 如何，安全程序都必须处理系统提供的输入过程映像值。因此，诊断可以帮助解释为何得到安全值 0，却不能成为用旧值 1 顶替它、继续维持运行许可的理由。 [5]

五、恢复数据，不等于允许机器重新启动

钝化（passivation）表示相关过程数据被故障安全值替代；重新集成（reintegration）表示恢复使用过程数据。自动还是人工重新集成，与钝化原因、模块和配置有关。对本文数字 I/O 的讨论，理解这两个词，比先背一组确认变量更重要。 [5]

回到输送线，恢复过程至少要分清下面几种状态。它们是需要分别判断的事情，不表示每台机器都必须设置同样数量的按钮。

状态变化	它回答什么
急停装置释放	装置是否离开触发状态？这不说明危险已经排除。
故障消除与数据恢复	相关通信或 I/O 故障是否消除，是否已恢复过程数据？
确认条件满足	是否在允许恢复输出的条件下，完成设计要求的确认？
允许重新启动	启动保护及相应运行条件是否满足，新的启动请求是否允许执行？

例如，通信故障后的重新集成还需要手册规定的恢复条件和用户确认；仅接回网线、看到设备上线，不代表这一过程结束。另一方面，启动阶段存在自动重新集成的情况，所以不能只依赖某次故障的人工确认机制来防止设备意外启动。 [6] [8]

重新集成前必须考虑输出恢复的后果。如果过程不允许意外启动，Siemens 要求在安全程序中实现相应的启动保护，并在允许安全输出过程值后才接受所需确认。确认不是用来消除仍然存在的危险，也不应自动变成机器的启动命令。 [8]

因此，入门阶段不需要把所有恢复接口都塞进一个“总复位”逻辑。先把故障恢复、功能确认和启动条件分开，后续再根据具体模块、功能块和运行组落实接口；完整恢复分支由钝化专题展开。

六、把时间、执行结果和验证放回同一条链

安全程序最终得到正确结果，还要考虑它何时到达现场，以及现场随后发生什么。沿着本文路径检查，会遇到输入处理、通信、运行组执行、输出处理和执行机构动作等环节。这是核对时间范围的思路，不是一条可以把任意默认值直接相加的计算公式。具体上限需要对应系统和设备资料。 [7]

Siemens 对监控时间提出了两方面约束：正常无故障运行时，不应因为设置过小而反复超时；发生需要反应的情况时，又不能因设置过大而超过过程允许的安全时间。手册要求计算最大响应时间并核对该限制，而不是只寻找一个“不会报警”的数值。 [7]

例如，如果输送线的输出已经撤销，但执行机构没有按设计作出反应，继续修改程序中的允许位并不能证明问题解决。反馈监控能检查规定的命令与反馈关系；设备的实际停止表现、所需时间以及其他风险，还必须由相应的设计和测试证据回答。 [9] [10]

验收也因此不止是查看一个绿色连接图标。手册要求核对安全程序及硬件组态、安全相关通信、在线与离线程序一致性，并形成 Safety Summary（安全摘要）等记录。选用了 F-CPU、程序编译通过和完成安全功能验证，分别代表不同的工程结果。 [10]

把开头的问题重新说完整，应当是：急停要求由合适的现场输入识别，通过受监控的数据路径送到安全程序，再由符合要求的输出与执行回路达到安全状态；发生规定故障时仍有相应反应，恢复后也不会失去所需的启动保护。每个环节都能找到依据，才有一条可继续设计和验证的安全功能链。

七、接下来按任务选择阅读入口

本系列以 S7-1500F 与 ET 200SP 为主线，不按软件菜单逐页抄写，也不把所有对象塞进一篇长文。下面链接指向已存在的文章；它们仍在逐篇修订，并非都已完成本次重设计。

准备建立项目时，先读S7-1500F 与 ET 200SP 组态，把设备对应和参数依据确定下来；需要理解程序放在哪里，再读Safety 程序结构。遇到模块问题时回到相应硬件专题，而不是在程序里补一个绕过条件。

需要理解现场输入，可从ET 200SP F-DI 模块进入，再按需要阅读输入评估和差异监控；已经遇到“现场恢复、程序仍使用安全值”的情况，可以直接查F-I/O DB和钝化与重新集成。

学习具体安全功能时，再把ESTOP1 急停调用放回完整信号路径中阅读；准备交付和修改已有项目时，则转到Safety 程序验收与归档。本文到此完成系统入门，不提前代替这些专题的操作和接口说明。

资料来源

除第 9 项为《STEP 7 Safety V21 Instructions》外，以下均为 Siemens《SIMATIC Safety – Configuring and Programming》V21，版本日期 11/2025。正文编号对应实际核对的章节；两张图沿用原文媒体，出处见图注。

1. Overview：Functional safety in SIMATIC Safety；警告 S062。适用边界、用户安全功能与故障反应。

2. Hardware and Software Components：系统组成示意图；STEP 7 Safety；Safety program。

3. Configuring an F-CPU：Introduction；Configuring the F-parameters of the F-CPU。

4. Program structure of the safety program (S7-1200, S7-1500)：Representation of program structure；Main safety block。

5. Process Data or Fail-Safe Values：Fail-safe value output；警告 S009；Reintegration。

6. After communication errors：Behavior after communication errors；Reintegration of F-I/O。

7. Configuring the monitoring times：Monitoring times to be configured；Rules；General procedure。

8. Programming startup protection：Introduction；警告 S008。

9. FDBACK: Feedback monitoring：STEP 7 Safety V21 Instructions，11/2025；Description。

10. Overview of System Acceptance：Proof of the correct implementation of the safety-related project data；Safety summary。

11. Cybersecurity information：工业网络访问控制和网络分段要求。

图片说明：两张图沿用原文标注的 Siemens 系统组成图与程序结构图，仅辅助解释相应对象关系。第三方图像权利归原权利人，不随本站原创文字的 CC BY-NC-SA 许可重新授权。

本次修订：按「SIMATIC Safety 工程笔记」重新界定入门范围，补充安全功能需求、两类停止路径、时间与执行结果；地址分配、DB 接口和确认时序留给专题。资料基线核对于 2026-09-09（太平洋时间）。本文为官方文档解读与明确标识的概念举例，未进行仿真或实机验证。