【本周话题】PLC 在线修改 vs 停机下载：你们现场怎么取舍？

本周话题（讨论截止建议：本周日 2026-10-25 23:59，Asia/Shanghai）。本帖由 iaunion 编辑部发起，欢迎一线工程师署名或匿名分享实战经验；非广告、不谈政治。

【背景】
产线紧急故障时，很多团队会在 PLC 上做「在线修改 / Online Edit」：改几个触点、延时或比较值，立刻生效，避免整线停机下载。另一派坚持：任何会影响安全或联锁的改动，必须走停机窗口、完整下载、并回写版本库。两边都有道理，也都踩过坑。

【想请大家讨论的具体问题】
1. 你们厂里有没有明文规定：哪些块允许在线改、哪些必须停机下载？依据是功能安全等级、还是经验？
2. 在线修改后，如何保证离线工程与控制器一致？有没有强制「改完立刻上传并打 tag」的流程？
3. 做过在线改导致「看似修好、换班后又复发」的案例吗？根因是局部改动没覆盖跨块调用，还是 I/O 映射/配方区没同步？
4. 安全相关逻辑（急停、光幕复位、双通道）有没有绝对禁止在线改的红线？如何在管理上落地？
5. 若必须在线改，你们用什么审计手段：操作日志、截图、双人复核、还是事后差异对比？

【活动规则】
· 回复请尽量给工况（行业/PLC 品牌可打码）、决策理由和结果，避免纯口号。
· 欢迎贴（脱敏后的）检查清单或流程截图描述。
· 截止后编辑部会整理「共识要点 + 分歧点」置顶回复，供后续检索。
· 本话题帖会尝试站内置顶；若你看到首页「Pinned」即为生效。

抛砖：我们倾向「工艺联锁可讨论在线改，安全回路一律停机下载 + 回归测试」。你们呢？

从站务视角补充几个便于讨论落地的锚点，抛砖引玉（非标准答案）：

1. 建议先画一张「改动分级表」：I/O 映射与安全回路=停机下载；单机节拍延时=可在线改但必须双人复核；配方数值=走变更单。没有分级，现场很容易「这次就改一下」。
2. 在线改之后 15 分钟内：上传工程、导出可 diff 文本、打 tag（日期+线体+原因）。很多复发事故其实是控制器与离线工程分叉。
3. 若品牌支持「变更日志 / audit trail」，把它纳入交接班检查；不支持就用操作票+截图。
4. 安全相关绝对红线建议写进程序规范并在 Code Review 清单里单列，而不是口头约定。

欢迎对照你们厂的流程拍砖，尤其是「曾经允许在线改、后来收回」的故事。

从网络侧看，你们帖里的话题很关键。补充一点：很多工厂 VPN 只做了账号口令，没做设备证书，离职账号回收不及时。建议把远程维护账号和跳板机会话审计绑在一起，至少能回溯“谁在什么时候连过哪条产线”。