安全集成伺服驅動技術*

劉艷強 宋永立 王健

(①北京航空航天大學機械工程及自動化學院，北京 100191;②北京易能立方科技有限公司，北京 100101)

由于新時期機械自動化需求的持續增長，生產安全也正處于活躍增長時期，因此機器安全成為人們普遍關注的熱點。國內外制造商也因此將產品安全性作為一種新的戰略性策略，并開始改變傳統的安全設計方式，一種基于功能安全的智能化安全策略——功能安全集成(Integrated Functional Safety)成為制造商們新的競爭契機。本文在對功能安全深入分析的基礎上，提出了新時期安全技術的發展趨勢，討論了功能安全集成技術的特點和優勢，最后結合安全集成驅動技術的應用實例，提出了安全集成伺服驅動的設計方案。對未來機床控制和驅動系統的發展完善具有指導意義。

1 功能安全

功能安全技術已被應用于許多不同領域，涉及機械制造業、流程工業、運輸行業、醫藥行業等相關領域。功能安全是受控設備(Equipment Under Control)通過對其輸入的正常響應而獲得的整體安全的一部分，它取決于受控設備及其控制系統功能的正確執行，因此功能安全防止的就是安全相關系統或設備的功能失效所導致的危險發生。

1.1 功能安全的理論特點

IEC 61508是有關功能安全的基礎標準，該標準提出了功能安全的基本原理、術語、數學方法和管理模式等，為以電子作基礎的控制系統的設計提出了標準型的指導，為控制系統的設計提供了技術框架，在此框架內還可同時考慮其他技術安全［2］。另外，功能安全已經被應用于不同的領域，并衍生出許多不同領域的安全標準:如流程工業的IEC 61511，機械領域的IEC 62061、EN 954 －2、IEC 60204 －1，核領域的 IEC 61513等。

作為功能安全的基礎標準，IEC 61508提出了一種保障產品系統安全的新思路，涉及安全技術和安全管理兩個方面。它將安全的理念貫穿于系統的設計、實現、安裝、運行、維護和管理全過程，采用定性分析和定量計算相結合的方法對系統安全性進行分析，并不斷對系統進行改進，最終實現系統的最優化設計，達到功能安全的目的。IEC 61508的特點體現在:全新的功能安全保障理念、基于風險定量分析的評估機制、基于安全完整性等級的評價指標、全生命周期的安全管理理念。

1.2 功能安全的方法原理

功能安全出發點就是，首先要對受控設備或系統進行全局分析，承認所存在的風險，通過將風險進行量化，與允許風險(Tolerable Risk)進行比較，然后針對比較結果采取必要的風險降低措施，最后對整個系統進行可靠性分析，使整個系統的安全完整性等級(SIL)或性能等級(PL)達到選定的安全水平。

2 從“獨立安全預防”到“功能安全集成”

2.1 傳統的安全控制方案

控制系統可大致分為兩種，即用于機器運行控制的系統和用于安全控制的系統。而傳統的安全控制系統多采用“獨立的安全預防”控制方案，即安全系統與運行控制系統相分離，通過用于運行控制的控制器和用于安全控制的控制器共同實現安全功能。這樣，使得傳統的安全控制系統需要很多獨立的外部安全部件，如緊急制動繼電器、速度檢測元件、限位/限速開關等，并且需要設置大量的I/O來檢測輸入/輸出信號，使得控制系統設計繁瑣、邏輯復雜、布線紊亂、系統龐雜，不僅延長了系統做出安全響應的時間，而且增大了由于硬件隨機故障造成的整個系統的安全故障率。

2.2 新時期的功能安全集成

由于新時期機械自動化需求的持續增長，人們開始改變傳統的安全設計方式，一種基于功能安全的智能化安全性策略成為制造商們新的競爭契機。這種新的安全性策略就是通過將用于安全的控制系統和機器運行控制系統進行無縫集成，從而使整個控制系統在執行目標任務的同時兼顧安全的功能。

在新的控制方案實施過程中，采用智能化、網絡化的安全相關產品(部件)，并利用安全總線技術將安全通信和標準通信進行合成，這樣不僅大大簡化了系統，而且使得安全相關信息的采集、處理、分析和評估的響應時間大大縮短，安全控制器和安全設備間數據傳輸的失效率和錯誤率也大大降低，明顯提高了系統的可用性、實時性和可靠性。采用安全集成自動化后，只需要一個工程環境、一個控制器、一套驅動、一套分布式I/O和一個總線就可以實現安全功能，集成系統簡單緊湊。

3 安全集成伺服驅動系統

3.1 安全集成驅動原理

安全集成驅動是通過將安全功能(對應于傳統繼電器控制系統中的安全邏輯)集成到驅動控制系統中，也就是將安全邏輯集成到NC中，同時利用安全總線技術完成控制通信和安全通信的集成。當驅動達到一些設定的安全極限(如極限速度、極限位置、極限力矩等)時，相關安全功能信號通過相應的通道可以直接作用于驅動控制器中的功率半導體器件，使驅動進入安全模式。這樣驅動系統在執行工作任務的同時兼顧安全功能，從而使驅動更安全、更快捷、更有效。安全集成驅動技術實現原理如圖1所示。

3.2 安全集成功能介紹

根據IEC61800－5－2規定，安全集成功能包括:安全轉矩截止(STO)、安全停車1(SS1)、安全抱閘控制(SBC)、安全停車2(SS2)、安全速度限制(SLS)、安全位置限制(SLP)、安全轉矩限制(SLT)、安全運行停車(SOS)、安全方向(SDI)、安全增量限制(SLI)、安全軟件凸輪(SCA)、安全速度監控(SSM)和安全加速度限制(SLA)等。

這些安全功能或者直接嵌入到驅動終端由驅動器直接完成，或者集成到NC中，通過將驅動終端的信號反饋到NC中，進而間接由安全集成驅動器實現安全功能。下面對上述的安全功能［3］進行介紹:

(1)安全轉矩截止(STO)

通過對電動機輸出轉矩進行監控，并將其功能作為標準集成到電動機的驅動器內部;同時對電動機的運行狀態時刻進行監控，當配合執行電動機的某一功能故障或一旦出現危險狀況時，便激活安全功能切斷功率部分電源，使電動機平穩過渡到停止狀態，確保人身安全;同時STO還防止驅動器意外重啟而造成的人身傷亡或機器損壞。

另外，實現這一功能的基礎是，STO激活后，能夠通過脈沖信號經過指定的關斷路徑切斷功率部分的電源，并將這一功能集成到電動機的驅動模塊中。

(2)安全停車1(SS1)

用于激活電動機減速停車功能，并且一定的延時后引發安全轉矩截止功能，從而使驅動安全停車。另外，出現任何安全故障時，安全轉矩截止功能都會通過此功能得以啟動。

需要注意的是:安全停車1功能只能結合安全轉矩截止功能一起實現，并且在一定的時延后自動啟動STO功能或SBC功能;如果在指定時延之內SS1被取消，延時到達后，STO或SS1功能依然自動啟動，并且隨機自行關斷。

(3)安全抱閘控制(SBC)

當安全轉矩截止功能啟動后，或當任一安全監視功能響應后，驅動器就會進入安全抱閘控制功能。并且此功能的執行通過雙通道執行，在功能執行的過程中還要對抱閘的狀態進行監視。

當電動機處于靜止狀態時，系統以閉環的位置控制或速度控制方式監視電動機的位置狀態，保證電動機處于安全的停車狀態，并維持外負載所需的動力。例如塔吊下的重物被吊在空中的某一位置，就需要電動機提供恒定的力矩以保證安全。

(5)安全速度限制(SLS)

設定某一速度值，并且當電動機的速度超過此設定值時，就會引發相應的安全停止功能響應，進而激活安全集成驅動功能響應。

(6)安全停車2(SS2)

當電動機達到某一設定的速度限定值時，啟動電動機減速功能，并在減速過程中對電動機進行監控，同時啟動計時器，當電動機靜止時或指定的延時后引發SOS功能。

(7)安全加速度限制(SLA)

同時要科學處理政府和社會的關系，充分發揮社會力量的主體作用，形成建設現代養老服務體系的強大合力。從2000年開始，養老服務社會化方向日漸明晰，在以政府為主要責任主體的前提下,鼓勵社會力量通過各種方式和手段參與為老服務,政府“獨當一面”的格局逐漸改變，包括投資主體、運行機制都體現了市場化、產業化發展格局，企業、社會團體、個人等社會力量紛紛投入養老服務業，在投資運營、運行機制、服務方式和內容等方面，逐漸引入競爭機制，在有效提供高質量的養老服務的同時，實現參與者的價值追求和經營目標[18]。

安全加速度設置就是對電動機加速和減速過程進行監控，防止加速度超過給定的安全值，從而減小機械的振動，避免機械碰撞，杜絕事故的發生。

(8)安全位置限制(SLP)

在機器運行過程中，對機器運動的絕對位置進行監控，防止運動超越給定的位置極限，從而較少碰刀、機械碰撞等事故的發生。

(9)安全方向(SDI)

保證電動機只能以某一指定的方向運行，而不能由于人為的誤操作而出現反向運轉的情況，從而有效地保障機械安全，避免事故的發生。

(10)安全軟件凸輪(SCA)

用來執行安全電子凸輪、安全范圍檢測或指定工作區域/受保護區域的功能，并且當電動機進入指定的安全范圍時，輸出相應的安全信號。另外，響應SCA功能的安全信號是唯一被認為安全的。

3.3 安全集成伺服驅動技術的實現

圍繞伺服驅動的安全性要求，安全集成伺服驅動最基本的安全功能就是要求在各種異常狀態下，能夠及時地進行反饋，并進一步控制電動機的停止、電動機的轉速和電動機的位置，實現安全驅動要求。因此STO、SS1和SBC作為驅動的基本功能被直接集成嵌入到驅動控制器內部，并且由驅動控制器直接控制電動機實現安全功能。

而 SS2、SLS、SLA、SLP、SOS、SDI等安全功能可被抽象成安全邏輯，將其集成到安全集成NC中，并通過在電動機運行過程中，對機器運行狀態進行檢測監視，同時將各個安全功能對應的安全信號和相關數據周期性地反饋給安全集成系統，從而最終通過驅動器內置的安全集成功能(STO、SS1和SBC)進行控制，實現功能安全。

對于安全集成伺服驅動技術的應用，國際上已有相關的安全集成驅動產品，如西門子對安全集成技術的典型應用就是SINUMERIK 840D sl/SINAMICS S120。它是通過將安全功能集成到NC和驅動系統當中，從而實現功能安全的目的。此產品的安全等級滿足IEC61508標準的安全完整性等級(SIL)2級和ISO13849－1標準的性能等級(PL)d級。

再如科爾摩根公司的安全驅動產品是S700伺服驅動，該產品滿足的安全等級是IEC62061 SIL2，其主要應用于高動態性和高精度的加工任務。

對于安全集成技術的實現，我們可以借鑒西門子安全集成產品的實現機制［3］:

(1)雙通道監視結構

所有與安全集成功能相關的主要硬件和軟件，以相互獨立的雙通道模式執行。并且兩個驅動監視通道通過控制單元NC和驅動系統的電動機模塊或電源模塊執行。

每個監視通道的工作原理:在每個操作執行之前，首先預定義所要求的狀態，并且在動作執行之后要有相關的反饋信號。如果通過比較監視通道的反饋信號發現所期望的響應并未滿足，驅動就會進入停止響應模式，并輸出相關的警示信息。

(2)關斷信號路徑

在安全集成系統中有兩個獨立的關斷路徑，并且所有的關斷信號都是低電平有效。這樣，可以保證在器件失效或線路故障時能夠使系統立即進入安全模式。

(3)循環監視機制

驅動執行過程中，相關安全功能會以監視周期的方式對電動機的運行狀態進行循環監視，以保證時刻將反饋信息通過雙通道返回，以保證功能安全。

(4)安全相關的輸入信號

安全相關的輸入信號就是通過相關的安全檢測，將以上介紹的安全功能進行信號化，作為過程的輸入。另外，這些數據信號能夠被傳遞到雙通道，并用來選擇或取消安全功能。

(5)交叉數據比較

在雙監視通道中，安全相關的數據信號被循環地交叉比較。如果任何數據不一致的話，就會通過任意的安全功能激活安全停止功能，進入安全模式。

通過建立這樣的安全機制后，就可以應用安全集成驅動技術，將STO、SS1和SBC基本安全功能直接集成嵌入到驅動控制器內部，并在安全集成NC的協同控制下，實現安全集成伺服驅動控制。

安全集成驅動設計原理方案［3］如圖2所示。其中，其他的安全相關功能集成到安全集成NC中，并將其用一定的極限值進行量化，通過檢測部件將安全相關的數據信號周期性地反饋給安全集成NC和安全伺服驅動控制系統，然后通過雙通道監視機制將反饋回來的數據信號進行交叉比較，一旦發現雙通道的數據比較不一致，就會引發相應的安全功能響應，并最終通過驅動器內置的安全功能響應實現安全控制。

4 結語

本文在進一步分析了功能安全的概念和理論特點后，闡述了安全集成技術的原理和特點，對安全集成伺服驅動技術進行了描述，最后結合安全集成伺服驅動技術的應用實例，給出了安全集成伺服驅動的設計方案。

安全集成伺服驅動技術的研究可以說是方興未艾，但盡管如此，它的前途是光明的，正如功能安全一樣，安全集成驅動技術代表了一次機器安全的革命，相信不久的明天，功能安全將滲透到各行各業。

［1］靳江紅，吳宗之，胡玢.對功能安全基礎標準IEC 61508的研究［J］.中國安全生產科學技術，2009，5(2):71－75.

［2］史學玲.功能安全標準的理論特點和管理模式［J］.儀器儀表標準化與計量，2006(4):2－4.

［3］Siemens.Function manual SINUMERIK safety integrated［Z］.Siemens，2010.