安全继电器（safety relay），指的是采用经过验证的元件与安全设计原则，通过冗余、自检、诊断等手段实现急停、联锁等安全功能的电气控制装置。

在安全仪表系统（SIS）中，它是连接控制器与执行机构、实现安全联锁功能的关键执行与隔离元件。

这里先厘清一个容易被混淆的概念：日常所说的“安全继电器”，实际包含两个层级——

• 继电器元件层级：带强制导向（机械联动）触点的继电器，依据 IEC 61810-3，是构成安全功能的基础元件；
• 装置（模块）层级：把冗余、自检、诊断集成在一起、可直接完成安全逻辑处理与输出的安全继电器模块/装置（如急停安全继电器模块）。

前者是“零件”，后者是“整机”。二者都归属“安全继电器”这一话题，但失效机理与选型依据不同，实际应用中不宜混为一谈。

值得注意的是，“安全继电器”并不是“没有故障的继电器”或“不会坏的继电器”，而是发生故障时能做出确定性（有规则）动作的继电器。它与普通继电器的本质区别，在于具有强制导向（机械联动）触点结构、冗余和自检机制，在故障发生时仍能给出确定、可预期的安全响应。

强制导向（机械联动）触点结构：即使触点发生熔接故障，也能保证常开（NO）与常闭（NC）触点不会同时闭合，从根本上避免普通继电器触点粘连导致的保护失效。该结构依据 IEC 61810-3（机电式基础继电器 第 3 部分：强制导向/机械联动触点继电器，已取代 EN 50205）。标准要求：当某一 NO 触点熔接时，与之联动的 NC 触点必须可靠断开，且开距不小于 0.5 mm；全部触点均满足强制导向的称为 Type A。此外还须通过“未断开（failure to open）”试验，以及机械耐久（不低于 1000 万次操作）、电气耐久等型式试验。

冗余与自检能力：采用冗余、多样性结构、通道一致性校验及防粘连强制断开机制，持续监视自身状态；故障发生时阻止重启、保持在安全状态。

故障导向安全（fail-safe）：普通控制模块失效后会丧失保护，而安全模块通过冗余与自检维持功能安全，即使发生故障也能给出确定性的安全响应。

回路检测与诊断反馈：具备输入回路检测、诊断反馈（如 EDM 外部设备监视）等功能，可实时监控安全信号与输出回路状态。

符合功能安全与机械安全标准：设计满足 ISO 13849-1 的 PL e（Cat.4）、IEC 61508 的 SIL3 等要求，并可按 IEC 62061 用于机械安全领域。

说明

· 功能安全认证（SIL）：依据 IEC 61508，国标 GB/T 20438 等效。

· 机械安全认证（PL）：依据 ISO 13849-1，国标 GB/T 16855.1 等效。

· 流程工业 SIS 的顶层标准为 IEC 61511，国标 GB/T 21109 等效；石油化工行业 SIS 设计另执行 GB/T 50770-2013《石油化工安全仪表系统设计规范》。SIS 的设计、SIL 定级与验证应以此体系为纲。

图 1　安全继电器典型系统功能框图

典型安全继电器多用于急停按钮、安全门开关等输入场合，提供 3 路 NO（常开）安全输出触点与 1 路 NC（常闭）辅助输出触点，可选择单/双通道操作、手动或自动复位，并具备通道间短路监控功能。工程应用中，冗余输出通常采用两路常开触点串联、两路常闭触点并联的接法：串联的两路 NO，任一路熔接时另一路仍能在失电时可靠断开，执行元件不会因单点熔接而无法失电；并联的两路 NC，任一路熔接在闭合位时反馈回路仍保持闭合，控制器据此判断为“未释放”并阻止重启，故障不会被掩盖。

图 2　安全继电器强制导向触点原理与状态对照图

表 1　安全继电器与普通继电器对比表

SIS 必须遵循故障安全原则：当内部或外部原因使 SIS 失效时，被保护对象应按预定顺序安全停车，自动转入安全状态。具体体现为：

• 正常工况：继电器线圈带电（励磁），输出触点闭合（NO 触点接通）；
• 异常/故障工况：继电器失电（非励磁），触点断开，触发联锁动作。

工程上通行的做法是：正常联锁未触发时，继电器保持带电、线路接常开（NO）点；一旦 SIS 或电源系统故障，继电器失电、接点断开，现场电磁阀随之动作。

这种设计即“失电跳闸（de-energize to trip）”，确保即使发生线路断线、电源故障、继电器故障等隐性故障，也能可靠执行安全停车，避免设备“该动而不动”的拒动风险。

按照 GB/T 50770-2013《石油化工安全仪表系统设计规范》 与 GB/T 21109（等同 IEC 61511） 的故障安全设计原则，安全联锁回路的执行元件在失效时应导向安全状态。对继电器而言，问题出在本质：普通继电器不是故障安全的——触点可能粘在一起，也可能出现弹簧不能使开关触点返回非励磁位置的情况。

普通继电器缺乏强制导向结构、自诊断能力和冗余设计，无法保证：

• 触点熔接时仍能安全动作；
• 故障能被及时发现并报警；
• 单一故障下安全功能不丧失。

注：“普通继电器不是故障安全的”这一判断，最早见于 SHB Z06-1999《石油化工紧急停车及安全联锁系统设计导则》（该导则目前仍为现行行业导则，尚未废止）。当前工程设计中，SIS 的设计、SIL 定级与验证主要执行 GB/T 50770-2013 与 GB/T 21109。

在过程工业中，安全继电器常作为 SIS 控制器与执行机构之间的接口，实现逻辑输出、电气隔离与功率驱动，主要用于：

• 信号隔离：SIS 与 MCC（电机控制中心）之间的联锁信号通过安全继电器隔离，防止强电干扰损坏 SIS 卡件；
• DO 信号输出：SIS 至电磁阀、MCC 的 DO 回路加装 SIL3 安全继电器隔离；
• DI 信号输入：来自 MCC 的 DI 信号经 SIL3 安全继电器隔离后进入 SIS；
• 执行元件驱动：驱动电磁阀、接触器等最终执行元件，实现失电联锁。

以北京平和 PH6000 系列安全继电器控制模块为例，其正是针对安全开关输入与 SIS 系统 DI/DO 信号隔离转换设计，提供 1NO、1NC、2NO、1NO+1NC 等多种触点配置，并获得 SIL3 功能安全认证。

图 3　安全继电器典型应用（SIS 与执行元件之间的接口）

SIS 承担安全功能，其组成器件必须经过功能安全验证。

在 SIF 回路的 SIL 验证中，继电器属于参与 SIL 验算的附属设备。安全继电器应具备满足回路 SIL 目标的失效数据与认证能力（通常要求达到 SIL3 能力），以保证 SIF 回路的整体安全完整性等级满足设计要求——SIL 等级最终由整条回路的平均要求时失效概率（PFDavg）计算确定，而非仅凭单个器件定级。

对于电机类执行元件，实践中大量 SIL2/SIL3 联锁机泵无法通过验证，其原因多为单点输出或采用了普通继电器。此类场景宜直接选用 SIL3 认证的安全继电器，采用 1oo2（二取一） 冗余输出方式——双通道串联，任一通道动作即触发联锁。

安全继电器内部采用双重/三重冗余技术与触点熔接保护技术，基本都具备回路检测功能（可检测外部回路故障，如接触器触点粘连）和诊断反馈功能（将自身状态反馈给 SIS 或 PLC）。

但并非所有 SIS 回路中的中间继电器都具备自诊断能力。对于未内置自诊断的继电器，可通过 SIS 逻辑控制器外部组态监视（如接入辅助触点反馈）的方式，实现对继电器输出回路的诊断覆盖。

因此，在 SIS 设计选型时，若继电器所在 SIF 回路的安全完整性要求较高，建议选用经 SIL 认证且具备自诊断/故障反馈功能的安全继电器，或将继电器触点状态纳入 SIS 诊断监视范围。需注意：自诊断无法覆盖所有危险失效，安全继电器仍须进行周期性的离线检验测试（PTI）。北京平和 PH6000 系列即在模块上预留了 Proof Test 测试端子（选配），便于现场快速完成继电器触点的离线校验。

安全继电器具备回路检测与诊断反馈功能，可通过冗余结构消除单点故障，这与 SIS 的冗余结构设计原则相吻合。

SIS 设计强调减少中间环节以降低失效概率。安全继电器作为经过认证、集成安全逻辑的模块化器件，可直接可靠地执行安全关断与监控，减少普通继电器搭接带来的不确定性与失效风险。

在需要电气隔离与功率驱动的联锁回路中，宜优先选用经 SIL 认证的安全继电器，以确保在自身故障或外部异常时仍能可靠地将过程转入安全状态；若采用安全 PLC 的输出模块直接驱动，同样须满足 SIL 验证与诊断覆盖要求。

安全继电器选型时，还需关注吸合/释放缓冲时间、恢复时间、电源短时中断能力等时间特性，以及使用温度、功耗与温升、上电启动电流、检验测试间隔（PTI）等应用参数。

安全继电器有多种触点配置，常见的有 1NO、1NC、2NO、1NO+1NC，以及 2NO+2NC、3NO+1NC、5NO+1NC、4NO+2NC、3NO+3NC 等。一般而言，驱动单个执行回路用 1NO 即可；若要在安全输出之外再提供一路常闭触点用于状态反馈与诊断，可选 1NO+1NC（1NC 单独使用时，则适用于常闭联锁回路）；双路输出或多回路驱动宜用 2NO；触点数量更多的规格，主要用于信号倍增的场合。具体配置应结合回路数量、联锁方式与冗余/诊断要求合理选用。

安全继电器，正是北京平和的核心产品线之一。

面向安全开关输入与 SIS 系统 DI/DO 信号隔离转换，内部采用 Fail-safe 失效安全技术、三重冗余与触点熔接保护技术，并获得 SIL3 功能安全认证；模块预留 Proof Test 测试端子（型号中 R 表示），可快速完成继电器触点离线校验，另提供六年超长质保。

主要技术参数（以 PH6001-1A 为例）：

• 供电电压：16 ~ 35 V DC，电流损耗 ≤35 mA（24 V DC）
• 切换容量：5 A / 230 V AC、5 A / 24 V DC；触点熔丝保护 5 A
• 时间特性：吸合/释放缓冲时间 ≤30 ms，恢复时间 ≤30 ms，电源短时中断能力 20 ms
• 使用温度：−20 ℃ ~ +60 ℃
• 功能安全：安全完整性等级 SIL3

此外还提供安全继电器（机械系统）系列，配置双通道安全条件、对双通道输入信号进行实时监控，在单功能故障情况下仍能保障安全输出，并对安全输出进行反馈监控。

安全继电器解决的，是开关量联锁的可靠执行与电气隔离；而在 SIS 的模拟量回路（4–20 mA）与本安回路中，信号的隔离、防爆与浪涌防护，还需隔离式安全栅、信号隔离器、电涌保护器配合。北京平和可提供上述产品的整体配套。

图 4　北京平和 PH6002 安全继电器控制模块（PH6000 系列）