2. 功能安全基础
在伺服驱动系统中讨论 STO（Safe Torque Off，安全转矩关断），不能只停留在“把使能信号拉低”这一层。STO 是功能安全体系中的一个安全功能，它的可信度、失效响应方式、诊断覆盖率以及验证方法，都由一整套功能安全概念和标准体系来约束。理解这些基础概念，是后续设计、选型、接线、验证和排障的前提。
一、功能安全的基本概念
功能安全（Functional Safety）指的是：通过安全相关系统或设备，使被控对象在出现故障时仍能进入并保持在安全状态，从而避免或降低不可接受的风险。它关注的是“系统失效后是否安全”，而不是“系统是否永不失效”。
几个核心术语需要先厘清：
- 危险（Hazard）：可能导致人员伤害、设备损坏或环境破坏的潜在来源。例如伺服电机意外转动、抱闸失效、轴坠落。
- 风险（Risk）：危险发生的概率与后果严重程度的组合。风险 = 伤害严重度 × 暴露频率 × 可控性。
- 安全功能（Safety Function）：为消除或降低风险而由安全相关系统执行的功能。STO 就是伺服驱动中最典型的安全功能之一。
- 安全状态（Safe State）：设备或系统在发生故障后进入的、不会造成不可接受风险的状态。对伺服驱动而言，STO 的安全状态是“电机不再产生转矩”。
- 安全完整性（Safety Integrity）：安全相关系统在规定时间内、规定条件下完成所需安全功能的概率。它用 SIL 或 PL 来量化。
二、安全完整性等级 SIL 与性能等级 PL
安全完整性等级（Safety Integrity Level，SIL）来自 IEC 61508 及 IEC 62061，分为 SIL 1～SIL 4，SIL 4 最高。它主要用两个指标衡量：
- PFDavg：低要求模式下的平均失效概率，适用于“偶尔被触发”的安全功能。
- PFH：高要求模式或连续模式下的每小时失效概率，适用于“频繁或连续运行”的安全功能。
性能等级（Performance Level，PL）来自 ISO 13849-1，分为 PLa～PLe，PLe 最高。它用平均危险失效时间 MTTFd、诊断覆盖率 DC、共因失效 CCF 等参数，计算出 PFHd，再对应到 PL 等级。
| 对比项 | SIL（IEC 61508/62061） | PL（ISO 13849-1） |
|---|---|---|
| 等级划分 | SIL 1～SIL 4 | PLa～PLe |
| 核心指标 | PFDavg / PFH | PFHd（由 MTTFd、DC、CCF 推导） |
| 适用对象 | 复杂电子、可编程系统、过程工业 | 机械安全、控制系统、驱动设备 |
| 典型对应 | SIL 2 ≈ PL d，SIL 3 ≈ PL e | PL d / PL e 常用于伺服 STO |
| 验证方式 | 功能安全评估、FMEDA、认证 | 参数计算、结构类别、验证测试 |
在伺服驱动 STO 应用中，常见的目标等级是 SIL 2 / PL d 或 SIL 3 / PL e。例如一台用于协作机器人关节的伺服驱动器，其 STO 功能通常要求达到 PL d 甚至 PL e，以保证在急停或安全门打开时，电机能可靠地切断转矩。
三、安全生命周期与标准体系
功能安全不是一次性设计，而是一个贯穿概念、设计、实现、验证、运行、维护和退役的全生命周期过程。IEC 61508 将其划分为多个阶段：
- 概念阶段：定义安全相关系统边界，进行危险与风险分析。
- 总体安全要求：确定安全功能及其 SIL/PL 目标。
- 安全要求分配：把安全功能分配到具体子系统，如 STO 通道、电源切断路径、反馈诊断。
- 设计与实现：硬件架构、软件诊断、冗余与自检设计。
- 集成与验证：功能测试、故障注入、响应时间测量。
- 运行与维护：定期验证、故障记录、变更管理。
- 退役：安全功能退出前的风险评估与替代措施。
与伺服 STO 相关的标准体系主要包括：
- IEC 61508：功能安全基础标准，定义 SIL 和生命周期。
- IEC 62061：机械安全领域的功能安全标准，基于 SIL。
- ISO 13849-1/-2：机械安全控制系统相关部分，定义 PL 和验证方法。
- IEC 61800-5-2：可调速电力驱动系统安全要求，定义 STO、SS1、SLS 等安全功能。
- IEC 60204-1：机械电气设备安全要求，涉及急停和断电。
四、案例与常见误区
假设某包装线使用一台伺服驱动器，安全门打开时要求电机立即断转矩。风险评估结果为：伤害严重度中等、暴露频率高、可控性低，目标等级定为 PL d。驱动器 STO 输入为双通道，接安全继电器，安全继电器再连接安全门开关。
此时需要确认：STO 双通道是否满足 PL d 的架构要求；安全继电器和门开关的 PL 是否匹配；STO 响应时间是否满足安全门打开到电机断转矩的时间要求；是否需要在调试时测量 STO 实际响应时间并记录。
示例：STO 安全功能验证记录
安全功能：STO
目标等级：PL d / SIL 2
输入设备：安全门开关（双通道）
逻辑设备：安全继电器
执行设备：伺服驱动器 STO 输入
测试方法：触发安全门，测量电机转矩消失时间
实测响应时间：18 ms
判定：满足 ≤ 50 ms 要求
总结来看，功能安全基础为 STO 提供了三样东西：一是判断“什么算安全”的概念框架，二是量化“安全有多可靠”的 SIL/PL 指标，三是约束“如何做才合规”的生命周期和标准体系。只有把这三者与具体伺服驱动应用结合，STO 才不是一个孤立的端子，而是一项可验证、可维护、可追责的安全功能。