1. 课程导入
伺服系统是高端装备的“肌肉与神经”，它把控制器的位置、速度、转矩指令转化为精确的机械运动。当伺服驱动应用于协作机器人、数控机床、锂电卷绕、电梯门机、AGV 等场景时，一旦发生失控、超速、飞车、意外启动或安全功能失效，就可能造成人员伤害与设备损毁。因此，伺服功能安全验证与测试不是可选项，而是产品进入市场的“准生证”。本课程围绕 IEC 61508、IEC 61800-5-2、ISO 13849、IEC 62061 等标准，系统讲解如何验证伺服驱动器的安全功能是否真正可靠。
一、学习目标：从“知道标准”到“能测能判”
本课程的学习目标分为四个层次。第一层是概念层：理解功能安全、安全完整性等级（SIL）、性能等级（PL）、安全状态、安全功能等术语的准确含义。第二层是标准层：掌握 IEC 61800-5-2 定义的 STO、SS1、SS2、SOS、SLS、SDI、SSM、SBC 等安全子功能及其适用边界。第三层是方法层：能够设计验证方案，包括故障注入、边界测试、时序测量、诊断覆盖率评估。第四层是实操层：能够使用示波器、安全分析仪、故障注入板卡完成 STO 响应时间、SS1 减速监控、SLS 限速精度等测试，并输出符合审核要求的验证报告。
二、核心概念：安全功能、安全状态与完整性等级
功能安全的核心是“把风险降低到可接受水平”。在伺服系统中，安全功能是指由电气、电子、可编程电子系统执行，用于保持或进入安全状态的主动保护机制。安全状态是设备停止危险运动或限制危险参数的状态，例如 STO 使电机转矩关断，SLS 使速度不超过安全限值。安全完整性等级则衡量安全功能在要求时成功执行的概率，SIL 3 要求每小时危险失效概率在 10⁻⁸ 到 10⁻⁷ 之间，PL d 要求每小时危险失效概率在 10⁻⁷ 到 10⁻⁶ 之间。
需要特别区分“安全功能”与“普通控制功能”。普通控制功能追求效率与精度，安全功能追求故障情况下的确定性。例如，普通速度环在编码器故障时可能继续输出错误速度，而安全速度监控必须独立检测并触发安全停止。验证与测试的任务，就是证明安全功能在故障注入、边界条件和时序压力下仍然有效。
三、整体框架：从需求到证据的验证闭环
伺服功能安全验证遵循 V 模型：左侧是需求分解，右侧是验证确认。整体框架可概括为“需求—设计—实现—测试—证据—认证”六个环节。需求阶段明确安全功能清单与 SIL/PL 目标；设计阶段完成安全架构、诊断覆盖与硬件裕度计算；实现阶段固化安全逻辑与参数；测试阶段执行功能测试、故障注入与边界测试；证据阶段整理测试记录、失效分析、覆盖率报告；认证阶段由第三方审核并颁发证书。
四、行业应用场景：安全功能如何落地
不同行业对伺服安全功能的需求差异明显。协作机器人最关注 SLS 与 SSM，因为人机共融要求速度始终受控；数控机床与冲压设备更依赖 STO 与 SS1，确保维护时主轴与进给轴可靠停止；锂电卷绕与印刷设备需要 SDI 防止材料反向拉扯；电梯门机与立体车库则强调 SBC 与 SOS，保证制动器失效时仍能安全保持。下表给出典型场景与安全功能的对应关系。
| 行业场景 | 典型风险 | 核心安全功能 | 目标等级 |
|---|---|---|---|
| 协作机器人 | 人机碰撞、超速夹伤 | SLS、SSM、STO | PL d / SIL 2 |
| 数控机床 | 主轴飞车、维护意外启动 | STO、SS1、SBC | PL e / SIL 3 |
| 锂电卷绕 | 材料反向、张力失控 | SDI、SLS、SS1 | PL d / SIL 2 |
| 电梯门机 | 夹人、制动失效 | SBC、SOS、STO | PL d / SIL 2 |
| AGV 物流 | 意外启动、超速碰撞 | STO、SLS、SSM | PL d / SIL 2 |
五、方法流程：一次完整的验证测试怎么做
以 STO 功能验证为例，典型流程如下：首先确认安全需求与 SIL 目标，明确 STO 响应时间上限（例如 10 ms）；然后搭建测试台架，连接安全 PLC、伺服驱动器、电机与示波器；接着注入 STO 触发信号，同时测量转矩关断时间与电机自由停车曲线；再注入单通道故障，验证双通道架构能否检测并进入安全状态；最后整理波形、时间戳与判定结论，形成可追溯证据。整个过程强调“可重复、可测量、可追溯”。
# STO 响应时间测试记录示例
测试项目：STO 响应时间
安全目标：≤ 10 ms
触发方式：安全 PLC 输出低电平
测量设备：示波器 CH1=STO 信号，CH2=电机转矩
实测结果：
通道 A 响应时间 = 6.8 ms
通道 B 响应时间 = 7.1 ms
双通道偏差 = 0.3 ms
判定：合格
备注：故障注入单通道断开时，驱动器在 8.2 ms 内进入安全状态六、常见误区与复盘
初学者最容易陷入四个误区。误区一：把普通急停当作功能安全，忽略安全功能的诊断覆盖与冗余要求。误区二：只测正常触发，不测故障注入，导致单点失效未被发现。误区三：只关注响应时间，忽略减速监控、速度限值精度与恢复逻辑。误区四：测试记录不完整，缺少原始波形与设备校准信息，导致认证审核不通过。复盘时应回到“需求—设计—测试—证据”闭环，逐项核对安全功能是否被完整覆盖。