1. 功能安全的本质不止是“换个安全型的PLC”聊到安全PLC很多人第一反应是“哦就是可靠性更高的PLC”。这话不能说错但放在功能安全的大框架下格局就小了不少。安全PLC只是安全相关系统里的一个“执行大脑”它本身并不是安全功能。你换了一台带SIL3认证的CPU但外围传感器接法不对、程序里逻辑写错、输出触点没用安全继电器冗余、急停按下后电机还能靠惯性或者故障状态重新启动……那这台安全PLC跟普通PLC没有任何区别甚至因为“看起来更安全”反而制造了更大的隐患。我见过不少项目现场甲方指定要用安全PLC结果调试的时候发现安全程序写得跟普通逻辑一模一样急停信号直接进普通输入模块安全输出不带反馈监控光栅复位逻辑用了个普通的置位指令甚至有人在安全程序里塞了通讯指令。你说这是安全PLC的问题吗不是。这是从“安全PLC”到“整条安全功能”之间缺了一大截东西。这个“中间”到底缺了什么我用一句话概括安全功能是一条从危险源到执行机构的闭环链路安全PLC只是这条链路上的一个节点。你缺的是危险识别、安全要求规格、安全回路设计、安全程序架构、验证与确认、以及全生命周期的功能安全管理。这些东西任何一个环节掉链子安全PLC买得再贵也白搭。这篇文章我想结合自己做过的项目和功能安全标准主要是IEC 61508、ISO 13849和汽车行业的ISO 26262的落地经验把这条链路上缺的“中间件”拆开揉碎讲清楚。适合正在做安全控制系统选型、安全程序开发、或者刚接触功能安全想建立整体认知的朋友。2. 先把“安全功能”这件事定义清楚2.1 安全功能到底是什么安全功能Safety Function的定义非常直白为了把风险降低到可接受水平由安全相关系统执行的一个特定功能。它包含三层意思一是针对某个具体的危险事件二是有一个明确的安全状态三是必须满足特定的性能等级或安全完整性等级。举一个最常见的例子安全光栅保护冲压机。危险事件是操作员的手进入模区安全状态是“滑块停止且不能被重新启动”安全功能是“光栅被遮挡后在足够短的时间内让滑块停止并保持停止状态”。这里面安全PLC负责的是“逻辑处理”这一环接收光栅信号执行停止逻辑输出停止指令。但整个安全功能还包括光栅本体、光栅的安装高度和距离、输出接触器/伺服驱动器、急停按钮、复位按钮、以及这些元件之间的接线方式。很多设计人员最容易犯的错是只盯着PLC的程序而忽略传感器和执行机构。实际上对于安全功能来说传感器和执行机构往往比逻辑处理器的故障率更高。安全PLC的SIL3认证只覆盖CPU部分它可管不了你那个接触器触点粘连不粘连。2.2 从危险源到安全状态整条链路的完整路径完整的的安全功能链路可以拆成这样几段危险源机器上能够造成伤害的能量源比如运动的滑块、旋转的刀具、高温表面、带电导体。触发条件操作人员或环境以什么方式进入危险区域比如手伸进去、身体探入、门被打开。检测元件光栅、安全门开关、急停按钮、安全限位开关、激光扫描仪。逻辑处理器安全PLC或安全继电器模块把输入信号处理成输出指令。执行机构切断危险能量的元件比如安全接触器、伺服驱动器的STO端子、气动阀。反馈回路执行机构是否真的执行了指令比如接触器的常闭反馈触点是否断开。复位机制危险解除后如何从安全状态恢复到正常运行状态防止意外重启。这一路走下来安全PLC只是“逻辑处理”这一段。而整条链路里任何一个环节失效了安全功能都会失效。所以安全设计必须考虑整条链路的可靠性和诊断覆盖率而不是只看处理器。这就是“从安全PLC到整条安全功能中间还差什么”的核心答案。3. 差的第一环安全要求规格SRF怎么落到设计里3.1 不做风险评估的安全设计都是空中楼阁拿到一个项目最忌讳的就是上来就画图、写程序。功能安全设计的起点一定是风险评估Risk Assessment这一步没做后面的所有东西都是无源之水。ISO 12100提供了风险评估的基本框架先确定机器的边界和生命周期各阶段再识别危险源然后进行风险估计伤害严重度、暴露频率、避免伤害的可能性最后通过风险评价决定需不需要采取措施。如果决定用安全相关控制系统来降低风险那么就要定义安全功能并确定每个安全功能需要达到什么等级。我见过一个典型翻车案例一台自动包装线设计人员觉得反正装了光栅就安全了结果光栅装好之后操作工为了省事把光栅屏蔽了——因为光栅老误触发。为什么误触发因为风险评估没做透没有识别出“物料正常输送时会周期性遮挡光栅”这个误触发的来源。最后解决办法不是改光栅而是重新设计了一个带有屏蔽功能的安全程序在特定条件下允许短暂屏蔽光栅但屏蔽期间必须有其他安全措施兜底。这个“屏蔽逻辑”就是安全功能的一部分需要做验证。3.2 安全要求规格书要写清楚什么安全要求规格书Safety Requirement Specification是把RISK ASSESSMENT的结论转化为可设计、可验证的技术要求的关键文档。哪怕项目很小个人开发者或者小团队做安全改造我也建议至少写一份简单的SRS不用搞得很重但要点得有安全功能描述功能名称、触发条件、执行动作、安全状态的定义。性能等级/安全完整性等级要求例如“PL d每小时危险失效概率PFHd≤ 1e-6”或者“SIL 2”。响应时间要求比如从光栅被遮挡到输出切断主回路的时间≤50ms。复位行为是手动复位还是自动复位手动复位按钮装在哪故障反应行为检测到故障时是进入安全状态还是保持当前状态怎么让操作员知道故障了测试要求需要做在线自检吗需要做周期性功能测试吗环境约束温度、湿度、震动、EMC等级对安全系统的影响。这份SRS是整个安全系统设计的“宪法”。程序写得好不好、回路设计得对不对最后都要拿SRS来评判。没有SRS你没法做验证Validation因为你连“验证什么”都不知道。4. 差的第二环架构设计——单通道还是冗余怎么选4.1 架构决定可靠性的天花板安全PLC内部的架构已经是冗余的了双通道、自诊断、比较器这些但外部回路怎么搭完全是设计人员的活儿。常见的安全相关控制系统架构有这么几类单通道加诊断Category 2 / SIL2一个输入元件、一个逻辑处理器、一个执行机构但带周期性的功能测试和在线监控。单通道加反馈监控Category 3 / PL d结构上仍是单通道但执行机构的反馈触点接入监控回路能检测到执行机构的某些失效如触点粘连。双通道冗余Category 4 / PL e / SIL3传感器、逻辑、执行机构全冗余任一通道失效另一通道仍能完成安全功能。很多工程师选架构的时候只看等级数字觉得“越高越好”。但实际上架构等级越高成本越高、维护越复杂、误停机概率也越高。如果一个安全功能用PL d就够了你非要上PL e的双通道光幕加双安全继电器加双接触器结果就是现场三天两头误报警维修工天天给你打电话。我个人的经验是架构选择要以风险评估的结果为唯一依据。风险评估说要PL d你就用PL d的架构不要自己加戏。同时要注意一个坑光靠安全PLC的冗余CPU并不能让整体架构自动达到Category 4。外部接线是否满足双通道的要求急停按钮是否用了两个常闭触点接触器是否有强制导向触点mechanically linked contacts这些才是实际的架构水平。4.2 安全PLC选型时真正要看的参数选安全PLC不是看谁家名气大而是看这几个东西认证等级SIL 3 per IEC 61508 / PL e per ISO 13849这是底线。安全输入输出类型是否支持OSSD信号光栅输出信号切换装置、是否支持双通道差分输入、输出是否有脉冲测试功能。安全通信协议如果要用PROFIsafe或者CIP Safety注意版本兼容性。响应时间CPU扫描周期 输入滤波 输出延迟要满足SRS里规定的安全功能响应时间。这里有个常见误区安全PLC标称响应时间5ms但那是CPU逻辑处理时间不包括输入滤波和输出继电器动作时间。算总响应时间的时候要加上外围元件的时间。我做过一个案例安全光栅到安全PLC的距离有100米用了普通电缆结果光栅信号上升沿被电缆电容整得拖泥带水输入滤波必须设到10ms才能稳定识别安全功能总响应时间从设计的20ms变成了35ms。后来换成了带屏蔽的双绞线并单独接地滤波才压回2ms。这个排查过程虽然不难但没有经验的人可能会在程序里纠结半天。5. 差的第三环安全程序编写——光栅、急停、复位一个都不能错5.1 光栅程序的安全写法安全光栅接入安全PLC时程序上至少要考虑这几件事第一信号类型与滤波设置。光栅的OSSD输出有两种状态导通24V和关断0V。安全PLC的输入模块要对这个信号做周期性脉冲测试以检测线路是否被短接到24V或对地短路。如果你用的输入模块不支持脉冲测试那最好做短路诊断的外部电路。第二光栅被遮挡后必须直接进入安全状态。程序上不要做任何延时、不要做任何滤波、不要做任何条件判断直接停输出。我在程序里见过有人给光栅信号加了“延时确认”的TP定时器理由是“怕瞬间抖动误触发”这种写法直接把安全等级打回到零。光栅的抖动应该在硬件滤波上解决或者用光栅本身的自带功能而不是在安全程序里加延时。第三复位逻辑必须受控。光栅被遮挡后复位不能是“光栅一恢复就自动重新启动”这是绝大多数安全标准都禁止的。必须有一个外部的复位按钮操作员确认危险区域清空后再按下复位。程序里复位逻辑的写法是光栅被遮挡后锁存一个“光栅中断”标志只有当光栅恢复、复位按钮被按下、且复位按钮从0到1的上升沿有效时才清除锁存标志。中间任何一个条件不满足都不能启动。5.2 急停程序的“停止”只是起点急停按钮本身是一个安全功能但它往往和后续的重启逻辑强相关。急停程序的常见错误有把急停信号写进了普通输入没有做冗余判断。急停按钮应该至少用两个常闭触点接入安全PLC的两个不同输入通道程序里做两通道一致性比较。急停后的重启只需要按钮复位没有等待操作员确认。有些场景下急停后如果故障原因还没排除复位按钮一按机器就启动是非常危险的。急停程序里用了锁存继电器但没考虑断电重启后的状态。安全PLC断电再上电输出必须保持安全状态直到操作员执行明确的复位操作。我个人的习惯是在程序里把“急停请求”和“急停确认”作为两个独立的标志来处理。急停请求标志由急停信号直接触发急停确认标志则由“急停按钮复位且操作员按下了确认按钮”来触发。两者都满足且没有任何其他安全条件被破坏才允许主回路重新得电。5.3 安全程序里的“禁区”写了这么多年安全程序我总结了一些“写了就要出事儿”的禁区列出来供大家参考绝对不要在安全程序里使用跳转指令JMP或无条件调用CALL。这会破坏结构化分析的可能性安全标准要求程序可读、可验证。绝对不要在安全程序里使用自锁回路以外的保持性变量去做“记忆功能”。如果要锁存状态必须用标准的锁存结构并且要考虑到每扫描周期的重启行为。绝对不要让普通程序访问安全程序的数据块。如果普通PLC程序能改安全程序的变量安全功能就不可信了。绝对不要把急停、光栅等多个安全功能串在一个输出触点/一个安全输出通道上除非专门设计过。一旦这个输出通道失效所有安全功能全没了这大大降低了可用性。绝对不要用看门狗定时器替代安全功能。看门狗只能防死机防不了逻辑错误和信号被短接。5.4 常见安全程序结构双通道比较与交叉监控一个比较标准的双通道安全程序结构是这样的安全PLC的两个输入通道分别读取不同的信号源比如一个急停按钮的两个常闭触点程序里做一个比较块持续检查两个通道是否一致。如果发现不一致立即输出安全状态并发出诊断信息。交叉监控Cross-monitoring还要处理的是输入输出信号的短路问题。比如两个通道的信号线在PLC端子处不小心碰在一起程序通过定期发送测试脉冲并检查返回信号来判断是否有短路。这一步通常是由安全PLC的硬件模块自动完成的但在程序里也可以做逻辑层的检查例如检查两个通道的实时值是否长期一致且无变化如果有嫌疑就报故障。6. 差的第四环安全回路设计与输出执行机构6.1 输出端的“最后一米”才是真正危险的地方很多项目把安全PLC放在配电柜里但安全输出到电机接触器或者伺服驱动器之间总有一段距离。这段“最后一米”如果没处理好安全功能照样失效。比如安全输出驱动一个普通中间继电器再驱动接触器结果中间继电器线圈烧了导致触点常闭电机反而上电了——这就叫“危及安全的失效方向”。解决思路有两个一是用安全输出模块直接驱动带强制导向触点的安全接触器二是用安全继电器做末级输出。无论用哪种都需要把接触器的反馈触点接入安全PLC的安全输入端用来确认主触点状态。只有安全PLC检测到主触点确实断开了才认为安全功能执行成功。6.2 伺服驱动的STO与安全速度监控现在越来越多的设备用伺服驱动安全功能不能再用“切掉主接触器”这种简单粗暴的方式因为伺服驱动器有能量回馈主接触器切了可能还会有一段自由滑停甚至可能因为编码器信号故障导致电机突然反向加速。伺服系统的安全功能一般是这样的STOSafe Torque Off驱动器内部切断扭矩输出这是基本的安全停止方式。SS1Safe Stop 1先按设定减速度停车达到零速后进入STO。SS2Safe Stop 2停车后保持位置监控。SLSSafely Limited Speed限制速度比如检修模式下的低速运行。SOSSafe Operating Stop保持当前位置停止但不切断扭矩。如果你的安全功能需要STO那么安全PLC的输出要能可靠地驱动驱动器的STO端子。关键是STO端子的接线必须与驱动的功率部分隔离且驱动器要提供STO状态的反馈信号接入安全PLC做监控。程序里同样要做复位管理STO触发后必须通过安全复位才能重新使能驱动器不能只是把STO端子信号恢复就完事。6.3 气动与液压回路的安全处置很多设备不是电气驱动而是气动或液压驱动。这类系统的安全功能是彻底卸掉气压/液压而不是只关电。安全阀件的选择很重要要选带弹簧复位Fail-safe的阀且阀的位置反馈要接入安全PLC。但这里有个细节气动系统的管路很长电磁阀断电后气缸的残余压力可能还能让气缸动作一段距离。这就需要在安全回路里计算“残余能量完全释放所需时间”并确保安全门或光栅联锁在这个时间之后才允许人员进入。我踩过这个坑。一台压机调试时急停后立刻拉开安全门结果气缸因为残余气压又下压了20mm。虽然不算严重但吓出一身冷汗。后来加了带排气功能的双联安全阀并在程序中设置了“等待压力释放确认信号后才允许打开安全门”的逻辑问题才解决。这让我深刻体会到安全功能是整条链路的气路、液压路也是链路的一部分。7. 差的第五环软件验证与确认不只是“能跑就行”7.1 为什么要做软件组件鉴定报告很多工程师是从汽车行业的ISO 26262知道“软件组件鉴定报告”这个词的。ISO 26262里提到如果你在安全相关系统里使用了一个软件组件比如某个库函数、某个操作系统、某个编译器而这个组件不是专门为这个项目开发的那么你需要提供该组件的鉴定报告Qualification Report证明这个组件在目标环境中满足所需的安全完整性等级。这个思路其实是从IEC 61508的“proven in use”和“pre-existing software”来的。简而言之安全程序里的每一个可执行组件都得能说清楚它的可靠性依据。如果你自己写了一个算法模块没有足够多的运行经验和测试数据那就不能说它达到了SIL2除非你做了充分的单元测试、集成测试和覆盖率分析。7.2 安全软件的验证怎么做安全软件的验证大致分三层静态验证检查程序结构和编码规范。比如安全PLC厂商会提供“安全程序指令集”和限制不能用的指令一概不能用。还要做变量交叉引用检查、路径分析、顿点分析确保没有隐藏的未定义行为。单元测试/集成测试把程序拆成功能块FB每个FB单独测试再把FB组合起来做集成测试。比如把光栅中断FB和复位FB放在一起测试看状态切换是否符合预期。这里要特别测试边界条件复位按钮按下的瞬间光栅又断了怎么办输出已经切断但反馈触点没反馈怎么办故障注入测试故意让信号出错比如把光栅信号短路到24V、断开传感器线、强制输出模块故障看安全系统是否可靠地进入安全状态。这一步最接近实际故障也最容易被忽略。有些安全PLC有专门的故障注入工具或模拟软件可以加速这个流程。7.3 一份可用的鉴定报告要包含什么如果你的项目涉及软件组件鉴定报告大致要包含这些内容组件基本信息名称、版本、供应商、用途。开发过程信息开发中遵循了什么标准比如IEC 61508的V模型、有没有经过独立评审。测试结果单元测试用例数量、通过率、集成测试覆盖率、边界条件和故障注入测试记录。现场使用证据如果有“proven in use”需要提供足够长且可量化的运行时间数据以及已知故障的记录。限制条件这个组件在什么条件下可用什么条件下不能用比如对编译器版本、目标平台、配套库的版本约束。这个报告不是敷衍了事的文档它是认证工程师和审核员判断安全软件可靠性的核心依据。在功能安全审核中这往往是整份文档最容易被挑毛病的地方因为很多人不重视它写得很潦草。8. 差的第六环人机接口与操作模式8.1 复位按钮、选择开关、HMI上的安全提示安全功能不是纯自动化的事情人是系统中非常重要的一环。任何安全功能最终都要和人交互交互逻辑没设计好安全功能就可能被人为绕过。先说复位按钮。复位按钮必须安装在危险区域之外操作员站在危险区域之外能看到危险区域全貌的位置。程序里要用上升沿检测避免按钮卡住导致系统自动复位。如果复位按钮自己坏了常闭状态变为常开系统应该能检测出故障并禁止复位而不是静默地允许启动。选择开关自动/手动/检修也是高风险点。手动模式和检修模式下安全PLC要开放一些额外的安全功能比如低速模式、间断运行模式但需要临时降低安全等级——这时风险评估需要重新验证并确保进入相应模式时有明显的警示比如闪灯、蜂鸣。检修模式下的安全程序可以简化但必须有“检修人员亲自按下使能按钮”等额外保护。8.2 屏蔽Muting和抑制Suppression的设计陷阱屏蔽Muting是自动屏蔽光栅等保护装置的功能但屏蔽不是简单地把光栅信号置1。屏蔽有几个严格的限制条件屏蔽触发只能由其他独立传感器比如两个光电开关的组合来触发不能由光栅自身信号触发。屏蔽时序必须有时间限制。例如物料输送过程中光栅被遮挡的时间是2秒那屏蔽时间最多设置成35秒超过就报警并停止。屏蔽期间必须有其他安全措施保证人员无法进入。比如屏蔽期间入口处有一个安全门连锁或急停回路仍然生效。屏蔽功能必须有一个专门的状态指示灯并且屏蔽状态的持续时间要记录在诊断系统里。很多搞了多年PLC的工程师看了安全手册仍然会把屏蔽逻辑写得很随意导致审核员一眼就找出问题。我建议对屏蔽逻辑的每个条件都写成独立的判断块并在代码注释里逐条标注安全手册的编号这样既方便审查也便于后续维护。9. 差的第七环文件、评审与全生命周期管理9.1 功能安全不是一锤子买卖机器从设计、制造、安装、调试、运行、维护直到报废安全相关系统在其全生命周期都要有效。这意味着设计阶段要写SRS和设计说明。调试阶段要做验证测试并记录。运行阶段要做周期性功能测试比如每三个月测试一次急停按钮每年度测试一次光栅。变更阶段要走变更管理流程。比如换了不同品牌的光栅必须重新做验证不能只看光栅外形一样就换。这个全生命周期管理是功能安全最容易被忽略的环节。很多工厂设备投产后安全PLC程序被人改过、安全继电器被人跳过、光栅被人拆了安全功能早已失效但没有人发现直到出了安全事故才回过头来查。做功能安全不能只交付一套硬件和程序要交付一套管理机制。9.2 安全验收测试怎么做项目完成后的验收测试Validation和调试时的验证Verification不是一回事。验证是“我们按规格做对了没有”验收是“这套系统真的能满足用户的需求和风险评估的要求”。一份安全验收测试方案至少要包括每个安全功能的功能测试模拟危险事件确认系统进入安全状态。比如把光栅遮挡住确认电机在预期时间内停止。故障测试故意制造常见故障确认系统能检测并进入安全状态。比如断开急停信号的某一路触发差故障报警。性能测试响应时间是否满足SRS要求。复位和再启动测试确认复位逻辑符合要求没有意外重启。审查文档完整性SRS、设计文档、测试记录、风险评估报告是否齐全。这些测试最好由独立于开发团队的人员执行。如果条件不允许至少要开发团队之外的专业人员复核测试方案和测试结果记录。9.3 每一步都要落到纸面功能安全很“文档驱动”。这不是形式主义而是因为安全相关的决策必须有据可查。我接手过一些“靠记忆维护”的机器前任工程师离职了整个安全程序没有任何注释和文档出了问题只能从头看代码。安全程序不是说“机器能跑就行”你必须要能让一个没有参与开发的人看懂并验证它。所以我强烈建议在项目开始时就建立文档文件夹随着进度填充。哪怕是一个小改造SRS一页纸也好、风险评估三页纸也好、验证测试记录表一页纸也好都归类放好。以后审核、维护、变更评估都用得上。成本不高收益巨大。10. 落地一条完整安全链路的实操方法10.1 一张自检清单覆盖从设计到验收下面这张表是我自己做的安全功能设计自检清单分享出来供参考。每个项目我都会拿着这张表逐项过一遍减少遗漏。环节检查项是否达标风险评估是否识别了所有危险源和危险场景是否定义了每个安全功能需要的PL/SIL等级安全要求规格是否记录了响应时间、复位行为、故障反应要求架构设计架构选择是否与PL/SIL等级匹配是否考虑了传感器与执行机构的贡献选型安全PLC/安全继电器/Safety Drive等产品是否有相应认证安全程序是否避免使用禁止指令光栅/急停/复位逻辑是否符合SRS是否做了双通道一致性检查输出回路执行机构反馈是否接入安全输入是否考虑了残余能量和虚假启动人机接口复位按钮位置和逻辑是否正确屏蔽/抑制逻辑是否满足限制条件验证与确认是否做了故障注入测试是否有完整的测试记录和批准签字文档SRS、设计说明、测试报告、风险评估是否归档这张表不复杂但能逼着你把那些容易漏掉的环节补上。我每次做项目调试时都会先按这张表过一遍再上电发现能抓出不少隐藏问题。10.2 一个从零开始的实际项目节奏参考一个小型安全改造项目比如给一台老设备加装安全光栅和安全PLC的合理节奏大致如下第12天现场调研识别危险源明确安全功能做风险评估。确定需要的光栅型号、安全PLC型号、接触器/继电器型号。第34天绘制安全回路原理图编写SRS确定平面布置光栅安装位置、急停位置、复位按钮位置。第57天安装硬件元件接线。注意屏蔽线、防护套管、PLC输入输出的隔离。第810天编写安全程序完成单元测试和集成测试。测试时尤其要注意安全功能的所有分支路径。第1112天现场联调测试光栅遮挡反应、急停反应、复位逻辑做故障注入测试。第13天整理测试记录签署验证报告向操作人员培训安全操作和复位流程。这个节奏非常适合小团队或个人开发者。但要注意如果风险评估结果显示需要PL c以下等级并且设备比较简单有时候只要用安全继电器不用上安全PLC。不要一上来就“杀鸡用牛刀”那是过度设计。10.3 我的几个私人经验和教训最后说几句掏心窝子的经验。我做过不少安全项目也犯过不少错。印象最深的三点第一安全工程的本质是管理知识不是拼配置。你光栅买得再贵、安全PLC等级再高如果不懂风险评估和验证方法照样白搭。我见过一个项目买了一台很贵的安全PLC结果程序逻辑混乱比不用安全PLC还危险。所以学习功能安全方法论比选型更重要。第二一定要亲自做故障注入测试别只看程序仿真。仿真软件里逻辑正确不代表实际接线无误。我遇到过两个通道的急停按钮接线在端子排上交叉接错了仿真根本测不出来直到现场做故障注入测试才发现。这个测试花一天时间却能避免真正出事时的重大事故。第三安全功能维护比设计更困难。设备投入运行后一定要做周期性功能测试并建立安全程序的变更管理流程。很多工厂设备用了十年没做过一次安全功能测试安全回路早就失效了。我建议在PLC程序里加一个“安全功能测试到期提醒”的变量通过HMI显示提醒维护人员做测试。方向对了剩下的就是一步一步做。安全PLC只是起点整条安全功能链路才是终点。希望这篇文章能帮你把那“中间”的缺口补上。如果你在具体项目上遇到什么问题也欢迎在评论区交流。