ST怎么写数据限幅：Value := MAX(MinVal, MIN(MaxVal, RawValue));

在结构化文本（ST）编程中，数据限幅是电气自动化系统中最基础、最频繁使用的信号处理逻辑之一。它确保变量始终处于安全、合理、工艺允许的数值区间内，避免因传感器异常、通信抖动、计算溢出或人为误设导致控制器输出失控、设备过载甚至停机事故。限幅本身逻辑简单，但其写法是否健壮、可读、可维护、可复用，直接反映工程师对ST语言本质的理解深度和工程实践水平。

一、为什么必须用 Value := MAX(MinVal, MIN(MaxVal, RawValue)); 这种写法？

很多初学者会写成：

IF RawValue < MinVal THEN
    Value := MinVal;
ELSIF RawValue > MaxVal THEN
    Value := MaxVal;
ELSE
    Value := RawValue;
END_IF;

这段代码功能正确，但存在四个硬伤：

1. 执行效率低：需要两次比较、三次分支跳转，在PLC扫描周期紧张（如运动控制周期≤1 ms）时，多出的几个微秒可能成为瓶颈；
2. 可读性差：逻辑被拆解为控制流，阅读者需 mentally 模拟执行路径才能确认“最终值一定在 [MinVal, MaxVal] 内”；
3. 易引入错误：若后续修改为“上限软限幅+下限硬限幅”，或增加“死区判断”，嵌套结构迅速膨胀，极易漏掉 ELSE 或写反条件；
4. 不可链式复用：无法直接嵌入其他表达式（如 Output := Kp * (Setpoint - MAX(MinVal, MIN(MaxVal, Feedback)));），而函数式写法天然支持。

而 Value := MAX(MinVal, MIN(MaxVal, RawValue)); 是数学意义上的复合限幅函数，本质是求三数中的中间值（median）。它将限幅抽象为一个纯函数运算，完全符合 ST 的表达式优先设计哲学。

✅ 正确理解：MIN(MaxVal, RawValue) 先压制上界 → 得到“不超 MaxVal 的值”；再用 MAX(MinVal, ...) 抬升下界 → 确保结果 ≥ MinVal。
❌ 常见误解：认为 MAX(MinVal, RawValue) 和 MIN(MaxVal, RawValue) 可以任意顺序调用——实际必须先 MIN 后 MAX，否则当 RawValue < MinVal 时，MAX(MinVal, RawValue) 返回 MinVal，但若 MinVal > MaxVal（参数配置错误），该结果仍会超出上限，失去保护意义。

二、ST 中 MAX / MIN 函数的底层行为与陷阱

IEC 61131-3 标准未强制规定 MAX/MIN 必须支持多参数，因此不同PLC厂商实现差异显著。必须按目标平台确认语法：

⚠️ 关键陷阱：

• 类型隐式转换失效：若 MinVal 为 INT，RawValue 为 REAL，MAX(INT, REAL) 在部分平台会报编译错误。必须统一类型：

  Value := MAX(REAL#MinVal, MIN(REAL#MaxVal, RawValue));

• NaN 传播风险：当 RawValue 是浮点数且来自未初始化变量、通信中断或除零结果时，其值可能是 NaN。而 MAX(NaN, x) 和 MIN(NaN, x) 均返回 NaN，导致 Value 污染。必须前置校验：

  IF NOT IS_NAN(RawValue) THEN
      Value := MAX(REAL#MinVal, MIN(REAL#MaxVal, RawValue));
  ELSE
      Value := MinVal; // 或取上次有效值、默认安全值
  END_IF;

• 整数溢出无保护：INT 类型 MAX(-32768, -32769) 在某些平台会触发溢出异常而非静默截断。工业场景强烈建议全程使用 REAL 处理过程量，仅在驱动硬件端做一次类型转换。

三、从单点限幅到工程级限幅模块（FB 封装）

生产环境中，绝不能在每个 POUs 中重复粘贴 MAX/MIN 表达式。应封装为可复用的功能块（FB），例如命名为 FB_Limit：

FUNCTION_BLOCK FB_Limit
VAR_INPUT
    RawValue : REAL;        // 原始输入值
    MinVal   : REAL;        // 下限设定值（含单位）
    MaxVal   : REAL;        // 上限设定值（含单位）
    Enable   : BOOL := TRUE; // 使能开关（用于调试旁路）
END_VAR
VAR_OUTPUT
    Value    : REAL;        // 限幅后输出值
    Clipped  : BOOL;        // 是否发生限幅（TRUE = 被截断）
    Status   : BYTE;        // 0=OK, 1=下限触发, 2=上限触发, 3=上下均触发（仅当 MinVal>MaxVal 时）
END_VAR
VAR
    _minValSafe : REAL;
    _maxValSafe : REAL;
END_VAR

内部逻辑（严格遵循防御式编程）：

// 步骤1：防呆——确保 MinVal ≤ MaxVal，否则交换并标记异常
IF MinVal <= MaxVal THEN
    _minValSafe := MinVal;
    _maxValSafe := MaxVal;
    Status := 0;
ELSE
    _minValSafe := MaxVal;
    _maxValSafe := MinVal;
    Status := 3;
END_IF;

// 步骤2：使能控制
IF NOT Enable THEN
    Value := RawValue;
    Clipped := FALSE;
    EXIT;
END_IF;

// 步骤3：NaN 安全限幅
IF IS_NAN(RawValue) THEN
    Value := _minValSafe;
    Clipped := TRUE;
    Status := 1;
ELSIF RawValue <= _minValSafe THEN
    Value := _minValSafe;
    Clipped := TRUE;
    Status := 1;
ELSIF RawValue >= _maxValSafe THEN
    Value := _maxValSafe;
    Clipped := TRUE;
    Status := 2;
ELSE
    Value := RawValue;
    Clipped := FALSE;
    Status := 0;
END_IF;

✅ 封装价值：

• Clipped 输出可直接连至 HMI 报警位，实现“限幅即报警”；
• Status 为诊断提供精确原因，无需查日志；
• Enable 引脚支持在线强制/旁路，方便调试；
• 所有边界条件（NaN、Min>Max、禁用状态）全覆盖，消除隐性故障。

四、高级场景：动态限幅、速率限幅、带死区限幅

1. 动态限幅（基于工况切换上下限）

例如：电机启动时允许短时过流（MaxVal := 1.5 * Rated），运行稳定后切回额定值（MaxVal := 1.0 * Rated）。

// 在主程序中
IF StartUpPhase THEN
    LimitFB.MaxVal := REAL#1.5 * MotorRatedCurrent;
ELSIF NormalRun THEN
    LimitFB.MaxVal := REAL#1.0 * MotorRatedCurrent;
END_IF;
LimitFB(RawValue := CurrentFeedback);

✅ 关键：MaxVal 输入引脚必须声明为 VAR_INPUT（非 VAR_IN_OUT），确保每次调用都取当前值，避免旧值滞留。

2. 速率限幅（Slew Rate Limiting）

防止设定值突变引起系统振荡。本质是对 Value 做一阶惯性滤波，等效于限幅其变化率：

// 增量式实现（推荐，避免积分饱和）
VAR
    _lastOutput : REAL := 0.0;
    _maxStep    : REAL := 10.0; // 每扫描周期最大变化量
END_VAR

// 计算本次允许的最大增量
IF RawValue - _lastOutput > _maxStep THEN
    Value := _lastOutput + _maxStep;
ELSIF RawValue - _lastOutput < -_maxStep THEN
    Value := _lastOutput - _maxStep;
ELSE
    Value := RawValue;
END_IF;
_lastOutput := Value;

⚠️ 注意：_lastOutput 必须声明为 VAR（静态变量），否则每次调用重置为0。

3. 带死区限幅（Debounced Limiting）

用于消除传感器噪声引起的频繁上下限触发，例如温度 PID 的输出限幅：

// 死区逻辑：仅当 RawValue 突破限幅边界并持续 N 个周期才真正限幅
VAR
    _clippingState : BYTE := 0; // 0=未限幅, 1=正向待确认, 2=负向待确认, 3=已限幅
    _debounceCnt   : UINT := 0;
    _debounceTime  : UINT := 5; // 5 个扫描周期
END_VAR

CASE _clippingState OF
    0: // 当前未限幅
        IF RawValue > MaxVal THEN
            _clippingState := 1;
            _debounceCnt := 1;
        ELSIF RawValue < MinVal THEN
            _clippingState := 2;
            _debounceCnt := 1;
        ELSE
            Value := RawValue;
        END_IF;
    1: // 正向待确认
        IF RawValue > MaxVal THEN
            _debounceCnt := _debounceCnt + 1;
            IF _debounceCnt >= _debounceTime THEN
                _clippingState := 3;
                Value := MaxVal;
            END_IF;
        ELSE
            _clippingState := 0;
        END_IF;
    2: // 负向待确认（同理）
    3: // 已限幅——需反向退出死区（滞后退出）
        IF RawValue < MaxVal - 0.5 THEN // 退出阈值略低于上限
            _clippingState := 0;
            Value := RawValue;
        ELSE
            Value := MaxVal;
        END_IF;
END_CASE;

五、HMI 与 PLC 协同：限幅参数的工程化管理

限幅值（MinVal, MaxVal）绝不能硬编码在 ST 中。必须通过以下方式实现参数解耦：

• 符号寻址绑定：在 PLC 中定义 gConfig.MotorCurrent.MaxLimit : REAL := 120.0;，HMI 画面直接绑定该符号地址；
• 配方管理（Recipe）：不同产品型号对应不同限幅组，由 HMI 加载配方自动写入 PLC 全局结构体；
• 安全限幅双校验：关键限幅（如安全扭矩关断 STO 电流上限）在 PLC 中设置硬限幅（FB_Limit），同时在安全控制器（如 Siemens F-CPU）中配置独立安全限幅，形成冗余防护。

六、调试与验证的黄金 checklist

每次部署限幅逻辑前，必须通过以下 7 项测试：

1. 边界测试：RawValue = MinVal - 1, MinVal, MaxVal, MaxVal + 1 → 输出是否精确等于 MinVal, MinVal, MaxVal, MaxVal；
2. NaN 测试：将 RawValue 显式赋值为 0.0 / 0.0 → 输出是否为 MinVal 且 Clipped = TRUE；
3. 反序测试：设 MinVal := 100.0; MaxVal := 10.0; → 输出是否自动修正为 [10, 100] 区间且 Status = 3；
4. 使能测试：Enable := FALSE → 输出是否直通 RawValue，且 Clipped = FALSE；
5. 速率测试：RawValue 以 100.0/s 斜坡上升，_maxStep := 1.0 → 输出是否呈阶梯状上升，每周期+1.0；
6. 死区测试：RawValue 在 MaxVal ± 0.1 间高频抖动 → Clipped 是否保持 FALSE 不翻转；
7. 扫描周期压力测试：在 100 μs 周期任务中调用该 FB，监控 PLC CPU 负载是否突增 >5%。

七、终极写法：一行式、零缺陷、可审计的限幅表达式

综合全部最佳实践，以下是可用于关键路径的“一行式”健壮限幅（适用于支持 IS_NAN 和类型转换的平台，如 TwinCAT、Codesys）：

Value := (
    IF IS_NAN(RawValue) THEN 
        REAL#MinVal 
    ELSE 
        MAX(REAL#MinVal, MIN(REAL#MaxVal, RawValue)) 
    END_IF
);

该写法：

• 无变量副作用（纯表达式）；
• 显式处理 NaN；
• 强制类型转换，杜绝隐式转换失败；
• 符合 IEC 61131-3 语法，全平台兼容；
• 可直接放入 GVL 全局变量赋值、FC 返回值、FOR 循环体等任何表达式上下文。

八、常见错误代码对照表（左侧为错，右侧为对）

九、为什么这个简单公式值得你反复推敲？

因为限幅不是“加个保险丝”那么简单。它是：

• 安全链的第一环：所有后续控制算法（PID、前馈、模型预测）都依赖它输入干净数据；
• 诊断信息源：Clipped 信号是发现机械卡阻、传感器漂移、阀门堵塞的最早线索；
• 人机协同界面：HMI 上“限幅中”指示灯比任何文字报警都直观；
• 标准符合性证据：IEC 62061 / ISO 13849 要求安全相关限幅必须可验证、可追溯、不可绕过。

当你写下 Value := MAX(MinVal, MIN(MaxVal, RawValue)); 时，你签署的不仅是一行代码，更是一份对设备、人员、生产的责任契约。

十、附：完整可运行 FB_Limit 示例（Codesys 兼容）

FUNCTION_BLOCK FB_Limit
{ SCL }
(*
    工业级限幅功能块 · 支持 NaN 防护、上下限互锁、状态反馈
    版本：1.2 · 作者：Automation Engineer · 日期：2024-06
*)
VAR_INPUT
    RawValue : REAL;
    MinVal   : REAL := 0.0;
    MaxVal   : REAL := 100.0;
    Enable   : BOOL := TRUE;
END_VAR
VAR_OUTPUT
    Value    : REAL;
    Clipped  : BOOL;
    Status   : BYTE; // 0=OK, 1=Low, 2=High, 3=Swap
END_VAR
VAR
    _minSafe : REAL;
    _maxSafe : REAL;
END_VAR

// 自动修正上下限
IF MinVal <= MaxVal THEN
    _minSafe := MinVal;
    _maxSafe := MaxVal;
    Status := 0;
ELSE
    _minSafe := MaxVal;
    _maxSafe := MinVal;
    Status := 3;
END_IF;

IF NOT Enable THEN
    Value := RawValue;
    Clipped := FALSE;
    EXIT;
END_IF;

IF IS_NAN(RawValue) THEN
    Value := _minSafe;
    Clipped := TRUE;
    Status := 1;
ELSIF RawValue < _minSafe THEN
    Value := _minSafe;
    Clipped := TRUE;
    Status := 1;
ELSIF RawValue > _maxSafe THEN
    Value := _maxSafe;
    Clipped := TRUE;
    Status := 2;
ELSE
    Value := RawValue;
    Clipped := FALSE;
    Status := 0;
END_IF;