2. 安全基础概念
在 IEC 61800-5-2 的语境下，驱动安全工程并不是简单地“让设备不出问题”，而是围绕一套严格定义的概念体系，把“风险”转化为可设计、可验证、可维护的安全要求。理解这些术语之间的边界与联系，是后续学习安全功能、安全完整性等级（SIL）以及驱动安全子功能（如 STO、SS1、SLS）的前提。
一、核心术语的定义与关系
功能安全（Functional Safety）指的是：通过电气/电子/可编程电子（E/E/PE）安全相关系统、其他技术安全相关系统或外部风险降低设施，使设备或系统达到并保持安全状态，从而避免不可接受风险。它强调的是“功能”层面的安全保障，而不是依赖单一部件的可靠性。
安全功能（Safety Function）是功能安全的具体实现单元。例如，在驱动系统中，“当检测到人员进入危险区域时，使电机在指定时间内进入安全转矩关断状态”就是一个安全功能。安全功能必须明确触发条件、响应动作、响应时间以及目标安全状态。
安全状态（Safe State）是安全功能被触发后系统所进入的状态。对于驱动系统，常见安全状态包括：安全转矩关断（STO）、安全停止 1（SS1）、安全停止 2（SS2）、安全限速（SLS）等。安全状态不是“断电”这么简单，而是经过风险评估后确定的、可接受的运行状态。
危险（Hazard）是可能导致伤害的潜在来源。例如，电机意外启动、运动部件超速、机械臂失控摆动等。危险是客观存在的，不能完全消除，只能通过风险降低措施加以控制。
风险（Risk）是危险发生的概率与伤害严重程度的组合。风险 = 伤害严重程度 × 暴露频率 × 发生概率 × 可避免性。风险评估的目的，就是判断风险是否可接受，并决定需要采取何种安全功能与安全完整性等级。
故障（Fault）是系统或部件不能按预期工作的状态。故障可能是随机硬件故障，也可能是系统性故障。失效（Failure）则是故障导致的功能终止或功能异常。故障是原因，失效是结果。例如，编码器信号线断线是故障，导致速度反馈丢失、驱动器无法正确控制速度是失效。
安全完整性等级（Safety Integrity Level，SIL）是对安全功能可靠性的分级，通常分为 SIL 1 至 SIL 4。SIL 越高，要求安全功能在要求时失效的概率越低。在驱动安全中，常见的是 SIL 2 和 SIL 3。SIL 等级由风险分析确定，并通过硬件架构约束、诊断覆盖率、共因失效分析等手段实现。
二、风险与安全完整性等级的确定流程
在驱动安全工程中，风险与 SIL 的确定通常遵循以下步骤：
- 危险识别：列出所有可能的危险源，如电机意外启动、超速、过力矩、制动失效等。
- 风险估计：对每个危险，评估伤害严重程度（S）、暴露频率（F）、发生概率（P）和可避免性（A）。
- 风险评价：判断风险是否可接受。若不可接受，则需确定安全功能及其目标 SIL。
- 安全功能定义：明确触发条件、响应动作、安全状态和响应时间。
- SIL 分配：根据风险图或矩阵，确定每个安全功能所需的 SIL 等级。
- 验证与确认：通过计算、测试和评审，证明安全功能达到目标 SIL。
关键点：SIL 不是越高越好，而是与风险匹配。过高的 SIL 会带来不必要的成本和复杂度，过低的 SIL 则无法将风险降到可接受水平。
三、故障、失效与安全状态的关系辨析
故障和失效是安全分析中最容易混淆的一对概念。故障是“原因”，失效是“结果”。一个故障可能不会立即导致失效，例如冗余通道中的一个通道故障，系统仍能正常工作；但如果故障未被诊断和修复，当另一个通道也发生故障时，系统就会失效。
在驱动系统中，常见的故障包括：编码器断线、IGBT 短路、电源电压异常、通信超时、看门狗复位等。这些故障若未被安全功能及时处理，就可能导致电机失控、超速或意外启动，进而使系统无法进入安全状态。
安全状态是安全功能的目标。以 STO 为例，当安全功能触发后，驱动器会切断电机转矩，使电机自由停车。此时系统进入安全状态，人员可以安全进入危险区域。但需要注意的是，STO 并不等同于“断电”，它只是确保转矩关断，电机仍可能因外部力而运动。
常见误区：认为“安全状态就是断电”。实际上，安全状态是经过风险评估后确定的、可接受的运行状态。对于某些应用，断电可能导致制动失效或负载坠落，反而更危险。因此，安全状态必须根据具体应用定义。
四、核心术语对比清单
| 术语 | 定义 | 驱动安全中的示例 | 关键辨析 |
|---|---|---|---|
| 危险 | 可能导致伤害的潜在来源 | 电机意外启动、机械臂失控 | 客观存在，不能完全消除 |
| 风险 | 危险发生的概率与伤害严重程度的组合 | 人员进入危险区域时电机启动 | 可评估、可降低 |
| 故障 | 系统或部件不能按预期工作的状态 | 编码器断线、IGBT 短路 | 是原因，不一定立即导致失效 |
| 失效 | 功能终止或功能异常 | 速度反馈丢失、驱动器无法控制电机 | 是结果，可能导致风险升级 |
| 安全状态 | 安全功能触发后系统进入的可接受状态 | STO、SS1、SLS | 不等于断电，需根据应用定义 |
| 安全功能 | 实现功能安全的具体功能单元 | 检测人员进入后触发 STO | 需明确触发条件、响应时间和安全状态 |
| SIL | 安全功能可靠性的分级 | SIL 2、SIL 3 | 由风险分析确定，不是越高越好 |
五、案例场景：某包装线驱动安全改造
某包装线使用一台 7.5 kW 异步电机驱动传送带。原系统仅通过接触器切断主电源实现停机，但存在以下问题：接触器触点粘连时无法停机；停机后传送带因惯性继续运动；人员进入危险区域时无检测手段。
改造方案：
- 增加安全编码器，实时监测电机转速和位置。
- 增加安全继电器和双通道急停按钮，实现 STO 功能。
- 增加安全光幕，检测人员进入危险区域，触发 SS1 安全停止。
- 根据风险分析，确定安全功能目标 SIL 为 SIL 2。
改造后，系统在急停触发时可在 200 ms 内进入 STO 状态；在人员进入危险区域时，先执行 SS1 减速停车，再进入 STO。通过故障注入测试，验证了编码器断线、接触器粘连等故障均能被诊断并触发安全功能。
复盘要点：安全功能的设计必须覆盖“故障”和“失效”两种情形。故障需要被诊断，失效需要被安全功能响应。安全状态的定义必须结合机械负载特性，不能简单照搬标准模板。
六、总结
功能安全、安全完整性等级、风险、危险、故障、失效、安全状态和安全功能，构成了 IEC 61800-5-2 驱动安全工程的概念基石。理解它们之间的因果关系和边界，是正确设计、验证和维护驱动安全系统的前提。在实际工程中，应始终以风险评估为起点，以安全功能为手段，以安全状态为目标，以 SIL 为可靠性度量，形成闭环的安全生命周期管理。