4. 协作机器人本体安全功能解析
协作机器人之所以能与人在同一工作空间内协同作业，核心并不在于“碰撞后不疼”，而在于本体内部集成了一整套安全-rated（安全等级）的监控功能。这些功能由安全编码器、安全控制器和安全接口共同支撑，使机器人能够在检测到异常时，以可预期、可验证的方式进入安全状态。理解这三者的分工与信号流向，是后续工作站安全集成的基础。
一、三类核心安全-rated 监控功能
协作机器人本体通常至少集成三类安全监控功能，它们各自独立监控不同的物理量，并共享同一套安全停止执行机构。
安全停止（Safe Stop）是基础功能，常见分为三类：
- SS1（安全停止1）：先按受控减速曲线停车，确认速度降至阈值以下后，再切断驱动动力。这是协作机器人最常用的停止方式，因为它保留了轨迹可控性。
- SS2（安全停止2）：按受控减速停车，但保持动力供给，使机器人维持在位置保持状态。适用于需要快速恢复、且位置保持本身安全的场合。
- STO（安全转矩取消）：直接切断电机转矩输出，机器人靠机械制动或重力自然停止。响应最快，但停止过程不可控，通常作为最后一道保护。
安全限速（Safe Limited Speed, SLS）监控关节速度或笛卡尔速度不超过设定阈值。当机器人处于“协作模式”或人员进入共享区域时，控制器将速度上限从生产速度（例如 1500 mm/s）降至协作速度（例如 250 mm/s）。SLS 的关键在于：限速值由安全控制器独立计算，不依赖主控计算机，且一旦超限立即触发 SS1。
安全限位（Safe Limited Position / Safe Range）监控关节角度或工具中心点（TCP）是否超出允许的空间范围。它通常以“安全区域”形式定义，例如限定 TCP 只能在 800 mm × 600 mm × 500 mm 的立方体内运动。一旦接近边界，先减速；越过边界，触发安全停止。安全限位与安全限速常配合使用，构成“空间+速度”双重约束。
二、编码器与安全控制器架构
安全-rated 功能能够成立，前提是位置和速度信号本身是“安全可信”的。普通编码器可能因断线、干扰或单点故障输出错误值，因此协作机器人普遍采用双通道安全编码器架构：每个关节至少有两个独立编码器（或一个编码器的两路独立传感元件），分别接入两套独立的安全控制器通道。
安全控制器通常采用1oo2（二取一）或 2oo2（二取二）表决结构。以 1oo2 为例，两路信号只要有一路检测到超限，就触发安全停止；正常运行时则要求两路信号一致，不一致即判定为故障。这种结构使单点故障不会导致安全功能失效，满足 PLd（ISO 13849）或 SIL2（IEC 62061）等级要求。
安全控制器与主控计算机之间通过安全总线或安全 I/O 交换数据。主控负责运动规划，安全控制器负责独立校验；两者职责分离，主控无法“绕过”安全控制器直接驱动电机。这是协作机器人安全架构与普通工业机器人最大的区别之一。
三、本体安全接口与信号定义
协作机器人本体通常提供一组安全接口，用于连接外部安全设备（安全门锁、光幕、急停按钮、使能开关等）。典型接口包括：
- 安全输入：双通道急停输入、安全门输入、使能装置输入，通常为 24 V DC，要求双通道且带交叉检测。
- 安全输出：安全状态输出（如“机器人已停止”“安全限速激活”），用于驱动外部继电器或 PLC。
- 安全总线：如 PROFIsafe、CIP Safety 或 FSoE，用于与安全 PLC 交换安全数据。
信号定义上，安全输入必须满足“常闭+双通道”原则：正常时两路均为高电平，任一路变低即触发安全功能。接线时需注意共因故障防护，例如两路电源独立、走线分离。安全输出则用于向外部系统反馈当前安全状态，便于上层逻辑判断是否可以开门或恢复运行。
四、实际配置中的关键判断
在集成实践中，安全-rated 功能的配置需要关注几个具体问题。第一，停止距离计算：安全停止的触发点必须留出足够的减速距离。例如，机器人以 250 mm/s 运行，SS1 减速度设为 1500 mm/s²，则理论停止距离约为 v²/(2a) = 250²/(2×1500) ≈ 20.8 mm，再叠加系统响应时间（通常 50～100 ms）对应的位移，实际安全距离应取 40～60 mm 以上。这个数值必须结合具体负载和姿态验证。
第二，安全限速的触发逻辑：SLS 通常与区域切换绑定。当安全光幕检测到人员进入协作区，安全控制器将速度上限从生产速度切换为协作速度。切换过程本身需要监控，避免切换瞬间出现速度超调。实践中建议在切换点前后设置缓冲带，并记录切换响应时间。
第三，编码器一致性检查：双通道编码器如果长期运行后出现微小偏差，安全控制器会判定为故障并触发停止。维护时应定期检查两路编码器的偏差是否在允许范围内（例如 ±0.1°），偏差过大需重新校准或更换编码器。
五、接口信号的实际接线要点
以双通道急停输入为例，典型接线为：急停按钮的两组常闭触点分别接入安全控制器的通道1和通道2，两路电源独立取自安全控制器的双路 24 V 输出。正常时两路均为高电平；按下急停，两路同时变低，安全控制器在 10～20 ms 内触发 SS1。若只有一路变低，安全控制器判定为线路故障，同样触发停止并输出故障代码。
安全输出用于驱动外部安全继电器时，需注意输出电流能力。多数协作机器人安全输出为 0.5 A 左右，不足以直接驱动大功率接触器，应通过中间继电器或安全继电器模块转接。输出信号应定义为“高电平=安全状态有效”，便于外部逻辑统一处理。
安全总线配置时，需在安全 PLC 中为每个安全输入/输出分配唯一的 F-Address，并设置看门狗时间。看门狗时间应大于总线周期但小于安全响应时间要求，通常取 50～150 ms。配置完成后，必须通过安全 PLC 的强制功能逐点验证每个安全信号的正确性，不能仅依赖机器人示教器上的状态显示。
综合来看，协作机器人本体安全功能的有效性，取决于“安全编码器—安全控制器—安全接口”这条信号链的完整性和独立性。任何一环被绕过或降级，都会使安全-rated 功能名存实亡。集成工程师需要理解每个环节的信号定义、响应时间和故障处理逻辑，才能在后续工作站设计中正确选型、接线和验证。