安全集成伺服驱动技术*

2012-10-23刘艳强宋永立王健

制造技术与机床 2012年3期

刘艳强宋永立王健

(①北京航空航天大学机械工程及自动化学院，北京 100191;②北京易能立方科技有限公司，北京 100101)

由于新时期机械自动化需求的持续增长，生产安全也正处于活跃增长时期，因此机器安全成为人们普遍关注的热点。国内外制造商也因此将产品安全性作为一种新的战略性策略，并开始改变传统的安全设计方式，一种基于功能安全的智能化安全策略——功能安全集成(Integrated Functional Safety)成为制造商们新的竞争契机。本文在对功能安全深入分析的基础上，提出了新时期安全技术的发展趋势，讨论了功能安全集成技术的特点和优势，最后结合安全集成驱动技术的应用实例，提出了安全集成伺服驱动的设计方案。对未来机床控制和驱动系统的发展完善具有指导意义。

1 功能安全

功能安全技术已被应用于许多不同领域，涉及机械制造业、流程工业、运输行业、医药行业等相关领域。功能安全是受控设备(Equipment Under Control)通过对其输入的正常响应而获得的整体安全的一部分，它取决于受控设备及其控制系统功能的正确执行，因此功能安全防止的就是安全相关系统或设备的功能失效所导致的危险发生。

1.1 功能安全的理论特点

IEC 61508是有关功能安全的基础标准，该标准提出了功能安全的基本原理、术语、数学方法和管理模式等，为以电子作基础的控制系统的设计提出了标准型的指导，为控制系统的设计提供了技术框架，在此框架内还可同时考虑其他技术安全［2］。另外，功能安全已经被应用于不同的领域，并衍生出许多不同领域的安全标准:如流程工业的IEC 61511，机械领域的IEC 62061、EN 954 －2、IEC 60204 －1，核领域的 IEC 61513等。

作为功能安全的基础标准，IEC 61508提出了一种保障产品系统安全的新思路，涉及安全技术和安全管理两个方面。它将安全的理念贯穿于系统的设计、实现、安装、运行、维护和管理全过程，采用定性分析和定量计算相结合的方法对系统安全性进行分析，并不断对系统进行改进，最终实现系统的最优化设计，达到功能安全的目的。IEC 61508的特点体现在:全新的功能安全保障理念、基于风险定量分析的评估机制、基于安全完整性等级的评价指标、全生命周期的安全管理理念。

1.2 功能安全的方法原理

功能安全出发点就是，首先要对受控设备或系统进行全局分析，承认所存在的风险，通过将风险进行量化，与允许风险(Tolerable Risk)进行比较，然后针对比较结果采取必要的风险降低措施，最后对整个系统进行可靠性分析，使整个系统的安全完整性等级(SIL)或性能等级(PL)达到选定的安全水平。

2 从“独立安全预防”到“功能安全集成”

2.1 传统的安全控制方案

控制系统可大致分为两种，即用于机器运行控制的系统和用于安全控制的系统。而传统的安全控制系统多采用“独立的安全预防”控制方案，即安全系统与运行控制系统相分离，通过用于运行控制的控制器和用于安全控制的控制器共同实现安全功能。这样，使得传统的安全控制系统需要很多独立的外部安全部件，如紧急制动继电器、速度检测元件、限位/限速开关等，并且需要设置大量的I/O来检测输入/输出信号，使得控制系统设计繁琐、逻辑复杂、布线紊乱、系统庞杂，不仅延长了系统做出安全响应的时间，而且增大了由于硬件随机故障造成的整个系统的安全故障率。

2.2 新时期的功能安全集成

由于新时期机械自动化需求的持续增长，人们开始改变传统的安全设计方式，一种基于功能安全的智能化安全性策略成为制造商们新的竞争契机。这种新的安全性策略就是通过将用于安全的控制系统和机器运行控制系统进行无缝集成，从而使整个控制系统在执行目标任务的同时兼顾安全的功能。

在新的控制方案实施过程中，采用智能化、网络化的安全相关产品(部件)，并利用安全总线技术将安全通信和标准通信进行合成，这样不仅大大简化了系统，而且使得安全相关信息的采集、处理、分析和评估的响应时间大大缩短，安全控制器和安全设备间数据传输的失效率和错误率也大大降低，明显提高了系统的可用性、实时性和可靠性。采用安全集成自动化后，只需要一个工程环境、一个控制器、一套驱动、一套分布式I/O和一个总线就可以实现安全功能，集成系统简单紧凑。

3 安全集成伺服驱动系统

3.1 安全集成驱动原理

安全集成驱动是通过将安全功能(对应于传统继电器控制系统中的安全逻辑)集成到驱动控制系统中，也就是将安全逻辑集成到NC中，同时利用安全总线技术完成控制通信和安全通信的集成。当驱动达到一些设定的安全极限(如极限速度、极限位置、极限力矩等)时，相关安全功能信号通过相应的通道可以直接作用于驱动控制器中的功率半导体器件，使驱动进入安全模式。这样驱动系统在执行工作任务的同时兼顾安全功能，从而使驱动更安全、更快捷、更有效。安全集成驱动技术实现原理如图1所示。

3.2 安全集成功能介绍

根据IEC61800－5－2规定，安全集成功能包括:安全转矩截止(STO)、安全停车1(SS1)、安全抱闸控制(SBC)、安全停车2(SS2)、安全速度限制(SLS)、安全位置限制(SLP)、安全转矩限制(SLT)、安全运行停车(SOS)、安全方向(SDI)、安全增量限制(SLI)、安全软件凸轮(SCA)、安全速度监控(SSM)和安全加速度限制(SLA)等。

这些安全功能或者直接嵌入到驱动终端由驱动器直接完成，或者集成到NC中，通过将驱动终端的信号反馈到NC中，进而间接由安全集成驱动器实现安全功能。下面对上述的安全功能［3］进行介绍:

(1)安全转矩截止(STO)

通过对电动机输出转矩进行监控，并将其功能作为标准集成到电动机的驱动器内部;同时对电动机的运行状态时刻进行监控，当配合执行电动机的某一功能故障或一旦出现危险状况时，便激活安全功能切断功率部分电源，使电动机平稳过渡到停止状态，确保人身安全;同时STO还防止驱动器意外重启而造成的人身伤亡或机器损坏。

另外，实现这一功能的基础是，STO激活后，能够通过脉冲信号经过指定的关断路径切断功率部分的电源，并将这一功能集成到电动机的驱动模块中。

(2)安全停车1(SS1)

用于激活电动机减速停车功能，并且一定的延时后引发安全转矩截止功能，从而使驱动安全停车。另外，出现任何安全故障时，安全转矩截止功能都会通过此功能得以启动。

需要注意的是:安全停车1功能只能结合安全转矩截止功能一起实现，并且在一定的时延后自动启动STO功能或SBC功能;如果在指定时延之内SS1被取消，延时到达后，STO或SS1功能依然自动启动，并且随机自行关断。

(3)安全抱闸控制(SBC)

当安全转矩截止功能启动后，或当任一安全监视功能响应后，驱动器就会进入安全抱闸控制功能。并且此功能的执行通过双通道执行，在功能执行的过程中还要对抱闸的状态进行监视。

当电动机处于静止状态时，系统以闭环的位置控制或速度控制方式监视电动机的位置状态，保证电动机处于安全的停车状态，并维持外负载所需的动力。例如塔吊下的重物被吊在空中的某一位置，就需要电动机提供恒定的力矩以保证安全。

(5)安全速度限制(SLS)

设定某一速度值，并且当电动机的速度超过此设定值时，就会引发相应的安全停止功能响应，进而激活安全集成驱动功能响应。

(6)安全停车2(SS2)

当电动机达到某一设定的速度限定值时，启动电动机减速功能，并在减速过程中对电动机进行监控，同时启动计时器，当电动机静止时或指定的延时后引发SOS功能。

(7)安全加速度限制(SLA)

同时要科学处理政府和社会的关系，充分发挥社会力量的主体作用，形成建设现代养老服务体系的强大合力。从2000年开始，养老服务社会化方向日渐明晰，在以政府为主要责任主体的前提下,鼓励社会力量通过各种方式和手段参与为老服务,政府“独当一面”的格局逐渐改变，包括投资主体、运行机制都体现了市场化、产业化发展格局，企业、社会团体、个人等社会力量纷纷投入养老服务业，在投资运营、运行机制、服务方式和内容等方面，逐渐引入竞争机制，在有效提供高质量的养老服务的同时，实现参与者的价值追求和经营目标[18]。

安全加速度设置就是对电动机加速和减速过程进行监控，防止加速度超过给定的安全值，从而减小机械的振动，避免机械碰撞，杜绝事故的发生。

(8)安全位置限制(SLP)

在机器运行过程中，对机器运动的绝对位置进行监控，防止运动超越给定的位置极限，从而较少碰刀、机械碰撞等事故的发生。

(9)安全方向(SDI)

保证电动机只能以某一指定的方向运行，而不能由于人为的误操作而出现反向运转的情况，从而有效地保障机械安全，避免事故的发生。

(10)安全软件凸轮(SCA)

用来执行安全电子凸轮、安全范围检测或指定工作区域/受保护区域的功能，并且当电动机进入指定的安全范围时，输出相应的安全信号。另外，响应SCA功能的安全信号是唯一被认为安全的。

3.3 安全集成伺服驱动技术的实现

围绕伺服驱动的安全性要求，安全集成伺服驱动最基本的安全功能就是要求在各种异常状态下，能够及时地进行反馈，并进一步控制电动机的停止、电动机的转速和电动机的位置，实现安全驱动要求。因此STO、SS1和SBC作为驱动的基本功能被直接集成嵌入到驱动控制器内部，并且由驱动控制器直接控制电动机实现安全功能。

而 SS2、SLS、SLA、SLP、SOS、SDI等安全功能可被抽象成安全逻辑，将其集成到安全集成NC中，并通过在电动机运行过程中，对机器运行状态进行检测监视，同时将各个安全功能对应的安全信号和相关数据周期性地反馈给安全集成系统，从而最终通过驱动器内置的安全集成功能(STO、SS1和SBC)进行控制，实现功能安全。

对于安全集成伺服驱动技术的应用，国际上已有相关的安全集成驱动产品，如西门子对安全集成技术的典型应用就是SINUMERIK 840D sl/SINAMICS S120。它是通过将安全功能集成到NC和驱动系统当中，从而实现功能安全的目的。此产品的安全等级满足IEC61508标准的安全完整性等级(SIL)2级和ISO13849－1标准的性能等级(PL)d级。

再如科尔摩根公司的安全驱动产品是S700伺服驱动，该产品满足的安全等级是IEC62061 SIL2，其主要应用于高动态性和高精度的加工任务。

对于安全集成技术的实现，我们可以借鉴西门子安全集成产品的实现机制［3］:

(1)双通道监视结构

所有与安全集成功能相关的主要硬件和软件，以相互独立的双通道模式执行。并且两个驱动监视通道通过控制单元NC和驱动系统的电动机模块或电源模块执行。

每个监视通道的工作原理:在每个操作执行之前，首先预定义所要求的状态，并且在动作执行之后要有相关的反馈信号。如果通过比较监视通道的反馈信号发现所期望的响应并未满足，驱动就会进入停止响应模式，并输出相关的警示信息。

(2)关断信号路径

在安全集成系统中有两个独立的关断路径，并且所有的关断信号都是低电平有效。这样，可以保证在器件失效或线路故障时能够使系统立即进入安全模式。

(3)循环监视机制

驱动执行过程中，相关安全功能会以监视周期的方式对电动机的运行状态进行循环监视，以保证时刻将反馈信息通过双通道返回，以保证功能安全。

(4)安全相关的输入信号

安全相关的输入信号就是通过相关的安全检测，将以上介绍的安全功能进行信号化，作为过程的输入。另外，这些数据信号能够被传递到双通道，并用来选择或取消安全功能。

(5)交叉数据比较

在双监视通道中，安全相关的数据信号被循环地交叉比较。如果任何数据不一致的话，就会通过任意的安全功能激活安全停止功能，进入安全模式。

通过建立这样的安全机制后，就可以应用安全集成驱动技术，将STO、SS1和SBC基本安全功能直接集成嵌入到驱动控制器内部，并在安全集成NC的协同控制下，实现安全集成伺服驱动控制。

安全集成驱动设计原理方案［3］如图2所示。其中，其他的安全相关功能集成到安全集成NC中，并将其用一定的极限值进行量化，通过检测部件将安全相关的数据信号周期性地反馈给安全集成NC和安全伺服驱动控制系统，然后通过双通道监视机制将反馈回来的数据信号进行交叉比较，一旦发现双通道的数据比较不一致，就会引发相应的安全功能响应，并最终通过驱动器内置的安全功能响应实现安全控制。