3. 伺服系统安全架构

伺服驱动器的功能安全并不是单一开关，而是一组由安全功能、安全信号链、安全状态机和验证手段共同构成的架构。理解 STO、SS1、SS2、SLS 等功能的差异，关键要抓住三个维度：驱动器输出是否被切断、电机是否仍受控制、运动参数是否被安全监控。这三者决定了安全功能适用于停机保护、受控减速还是运行中的速度限制。

一、核心原理：安全功能如何介入功率与控制链

伺服系统的基本能量路径是：上位控制器给出速度/转矩指令，驱动器内部电流环调节 IGBT 或 IPM 输出，电机产生转矩。功能安全模块并不直接替代电流环，而是通过安全输入、安全逻辑和反馈通道，对“使能”“停止”“限速”等关键环节进行冗余监控。

STO（Safe Torque Off，安全转矩关断）是最基础的安全功能。它通过切断驱动器功率级的门极驱动信号或安全使能信号，使电机不再产生转矩。STO 不控制电机如何停止，只保证“不再主动出力”。对于垂直轴或大惯量负载，STO 触发后负载可能因重力或惯性继续运动，因此必须配合机械抱闸或外部安全制动。

SS1（Safe Stop 1，安全停止 1）是“先受控减速，再切断输出”。驱动器按设定减速度执行减速，当速度低于阈值或延时到达后，自动进入 STO。SS1 适合需要可控停车的场景，例如机器人关节、包装机主轴。

SS2（Safe Stop 2，安全停止 2）同样先受控减速，但停止后不切断输出，而是保持位置/速度闭环，使电机处于“安全运行停止”状态。此时若外力试图移动轴，驱动器会主动抵抗。SS2 常用于需要保持位置但又要安全监控的场合。

SLS（Safely Limited Speed，安全限速）不停止驱动，而是持续监控电机速度，一旦超过安全限值就触发安全反应，通常进入 STO 或 SS1。SLS 常用于示教模式、维护门打开后的低速运行、换刀等需要“带能量但慢速”的场景。

二、方法流程：从安全请求到安全状态

以 SS1 为例，典型实现流程如下：安全输入触发后，安全逻辑先向驱动器发出“安全减速请求”，驱动器按安全斜坡减速；同时安全模块监控编码器速度，确认速度低于设定阈值；若在设定时间内未降到阈值以下，则直接触发 STO 作为保护。整个过程需要满足安全响应时间要求。

安全请求 → 安全输入双通道校验
        → 安全逻辑判断功能类型
        → SS1：启动安全减速斜坡
        → 速度监控：v_actual ≤ v_limit ?
        → 是：延时到达 → 进入 STO
        → 否：超时 → 直接 STO + 故障记录
        → 安全状态反馈至上位/安全PLC

SLS 的实现则不同：它不改变“运行”这一状态，而是把速度上限写入安全监控通道。驱动器内部通过编码器信号计算实际速度，并与安全限值比较。若超过限值，安全逻辑立即触发安全反应。SLS 通常需要配置限速值、容差、响应时间和触发后的停止方式。

三、案例场景：机器人示教与维护门打开

在六轴机器人示教模式下，操作员需要手持示教器靠近机器人。此时若直接 STO，机器人会因重力坠落；若保持全速，则人员风险高。合理方案是启用 SLS，将各轴速度限制在 250 mm/s 以下，并配合安全门锁和使能开关。一旦示教器使能松开或安全门打开，系统从 SLS 切换到 SS1，机器人受控减速后进入 STO。

在包装机维护场景中，安全门打开后，主轴需要先以低速转动完成清料。此时使用 SLS 允许低速运行，同时安全光幕监控人员进入。若人员越过光幕，SLS 立即触发 SS1，主轴在 0.5 s 内减速到零并进入 STO。

四、常见误区与复盘