2. 安全标准与法规基础
在伺服驱动系统中实现安全停机，不能只凭经验接线或“看起来安全”的逻辑判断，而必须建立在功能安全标准体系之上。SS1（Safe Stop 1，安全停止 1）是伺服安全功能中最常用的一种停止方式，它的定义、实现结构和安全完整性要求，分别由 IEC 61508、IEC 62061、ISO 13849-1 和 IEC 61800-5-2 四类标准从不同层面进行约束。理解它们之间的分工，是正确设计 SS1 控制回路的前提。
一、四类标准的分工与层级关系
功能安全标准体系可以理解为“基础标准—机械领域标准—驱动产品标准”的三层结构。IEC 61508 是功能安全的基础标准，提出安全生命周期、安全完整性等级（SIL）以及硬件失效概率、系统能力等通用要求；IEC 62061 面向机械安全领域，将 IEC 61508 的 SIL 方法落地到机器控制系统；ISO 13849-1 则从机械安全控制系统的性能等级（PL）角度出发，给出类别（Category）、MTTFd、DC、CCF 等参数化评估方法；IEC 61800-5-2 是可调速电力驱动系统（PDS）的功能安全标准，专门定义了 STO、SS1、SS2、SOS、SLS 等驱动安全功能及其实现要求。
因此，SS1 的“定义”主要来自 IEC 61800-5-2，而“安全完整性等级要求”则需要同时参考 IEC 61508、IEC 62061 和 ISO 13849-1。四者不是互相替代，而是层层细化、互相引用。
二、SS1 的定义与停止过程
IEC 61800-5-2 对 SS1 的定义是：驱动系统接收到 SS1 请求后，首先按照受控的减速方式使电机减速，当达到零速或经过规定的延时时间后，再切断驱动输出能量，使电机进入 STO（Safe Torque Off，安全转矩关断）状态。SS1 与 STO 的关键区别在于：STO 是立即切断转矩，而 SS1 是先减速再切断，避免机械冲击和自由停车带来的风险。
SS1 的实现通常有两种方式：一种是“时间监控型”，即设定一个减速时间 t1，在 t1 到达后触发 STO；另一种是“速度监控型”，即通过安全编码器或安全速度监控模块检测实际转速，当转速低于设定阈值时触发 STO。速度监控型安全性更高，但成本也更高。
SS1 停止过程的关键参数：
- t1：减速监控时间，从 SS1 请求到触发 STO 的最大允许时间；
- nlimit：零速判定阈值，速度监控型 SS1 的触发条件；
- 停止类别：通常对应 ISO 13850 的类别 1 停止（受控停止后断能）；
- 安全状态：STO 生效后，电机无转矩输出，但可能存在机械惯性或重力下落风险。
三、安全完整性等级要求
SS1 的安全完整性等级要求，取决于机器风险评估的结果。IEC 62061 使用 SIL 表示，ISO 13849-1 使用 PL 表示，两者之间存在近似对应关系。IEC 61508 则提供 SIL 的底层计算方法和 PFH（每小时危险失效概率）指标。
| 标准 | 等级表示 | 典型指标 | 与 SS1 的关系 |
|---|---|---|---|
| IEC 61508 | SIL 1~4 | PFH：10⁻⁵~10⁻⁹ /h | 提供 SIL 计算基础，SS1 回路按 SIL 评估 |
| IEC 62061 | SIL 1~3 | PFHD 分级 | 机械领域 SS1 子系统 SIL 分配 |
| ISO 13849-1 | PL a~e | PFHD、类别、MTTFd | SS1 回路 PL 等级验证 |
| IEC 61800-5-2 | SIL 2/3 或 PL d/e | 驱动安全功能要求 | 定义 SS1 功能及实现约束 |
在实际工程中，SS1 通常要求达到 SIL 2 或 PL d 以上。对于高风险场景（如冲压、剪切、机器人协作），可能需要 SIL 3 或 PL e。需要注意的是，SIL 和 PL 不是“越高越好”，而是要与风险评估结果匹配，过高会造成成本浪费，过低则无法接受。
四、案例与场景：伺服压机 SS1 停机设计
以一台伺服压机为例，其安全功能要求为：按下急停后，伺服电机必须在 500 ms 内完成受控减速并进入 STO。设计步骤如下：
- 风险评估：识别压头下落、机械夹伤等危险，确定所需性能等级为 PL d。
- 选择安全功能：采用 SS1 + STO 组合，SS1 负责减速，STO 负责断能。
- 回路设计：安全 PLC 输出 SS1 请求，伺服驱动器执行减速，安全编码器监控速度，达到阈值后触发 STO。
- 参数配置：设置 t1 = 400 ms，nlimit = 30 rpm，确保在 500 ms 内完成停止。
- 验证：计算 PFHD，确认达到 PL d 要求，并进行实际停机测试。
SS1 配置示例（伺服驱动器参数）：
SS1_Mode = SpeedMonitored
SS1_DecelTime = 400 ms
SS1_SpeedLimit= 30 rpm
STO_Trigger = AfterSS1
SafeEncoder = Enabled
PL_Required = d
SIL_Required = 2
五、常见误区与复盘
误区 1：把 SS1 等同于 STO。SS1 包含减速过程，STO 只是最终断能状态。若直接使用 STO，可能导致机械冲击或自由停车。
误区 2：只关注 SIL 等级，忽略 PL 验证。在机械领域，ISO 13849-1 的 PL 评估同样重要，尤其是类别、MTTFd、DC 和 CCF 的计算。
误区 3：忽略 SS1 的监控时间设置。t1 设置过短会导致减速未完成就断能，设置过长则无法满足停止时间要求。
误区 4：认为 SS1 可以替代机械制动。SS1 只保证电气安全，对于重力负载或高惯性负载，仍需机械制动或附加安全措施。
复盘时，应重点检查：SS1 请求到 STO 触发的实际时间、速度监控阈值是否合理、安全编码器反馈是否可靠、以及整个安全回路的 PFHD 是否满足要求。只有将标准要求、参数配置和实际测试三者对齐，SS1 才能真正发挥安全停机的作用。