3. 驱动系统与安全
在功能安全工程中，驱动系统既是危险的来源，也是安全功能的执行者。理解驱动系统的电气组成、功率变换拓扑与控制架构，是正确应用 IEC 61800-5-2 的前提。本节从“能量如何流动、信息如何传递、安全如何介入”三个视角，梳理驱动系统的结构，并对比驱动安全与传统机械安全的本质差异。
一、电气驱动系统的基本组成
一套典型的电气驱动系统由能量通道和信息通道两部分构成。能量通道负责把电网电能转换为电机轴上的机械能，信息通道负责采集状态、执行控制并反馈结果。二者在功率变换环节交汇，也正是安全功能最常介入的位置。
- 供电与整流单元：将三相交流电整流为直流母线电压，常见为二极管整流或主动式整流（AFE）。
- 直流母线：包含母线电容与制动斩波器，是能量缓冲与回馈的枢纽，也是残余电压风险的来源。
- 逆变单元：由 IGBT/MOSFET 桥臂组成，通过 PWM 调制输出可变频变压的三相电。
- 电机：同步、异步或伺服电机，将电能转换为转矩与转速。
- 传感与反馈：编码器、旋变、霍尔、电流/电压采样，为闭环控制提供依据。
- 控制单元：电流环、速度环、位置环以及安全功能逻辑的载体。
- 机械传动与负载：减速机、丝杠、皮带、夹具等，是最终被保护的对象。
从安全角度看，能量通道中的每一个环节都可能成为危险能量的存储点：母线电容储存电能，旋转电机储存动能，垂直负载储存势能。安全功能必须能够切断或限制这些能量的释放。
二、功率变换拓扑
功率变换拓扑决定了驱动器的能量流向、制动能力与故障模式。常见拓扑包括：
| 拓扑类型 | 能量流向 | 典型特点 | 安全关注点 |
|---|---|---|---|
| 二极管整流 + 制动斩波 | 单向，制动能量耗散为热 | 成本低、结构简单 | 制动电阻过热、母线过压 |
| 主动前端（AFE） | 双向，可回馈电网 | 能量可回收、母线稳定 | 回馈控制失效、电网侧风险 |
| 共直流母线多轴 | 轴间能量互济 | 多轴协同、节能 | 单轴故障影响母线、STO 需按轴隔离 |
| 矩阵变换器 | 直接 AC-AC | 无母线电容、体积小 | 拓扑复杂、故障模式多样 |
拓扑选择直接影响安全功能的实现方式。例如，共直流母线系统中，单轴的 STO 只能切断该轴的逆变输出，而母线仍带电，因此必须明确“安全”的边界是轴级还是系统级。
三、控制架构与安全介入点
现代驱动控制通常采用分层架构：最内层是电流环（微秒级），中间是速度环（毫秒级），外层是位置/工艺环（十毫秒级）。安全功能可以作用于不同层级，形成不同的安全子功能。
安全功能并非独立于控制架构之外，而是嵌入其中。STO 作用于门极驱动级，直接切断功率器件导通；SS1 需要速度环配合完成受控减速；SLS 依赖速度反馈进行实时监控；SBC 则控制机械抱闸。理解安全功能作用于哪一层，才能正确评估其响应时间、诊断覆盖率与失效模式。
四、驱动安全与传统机械安全的差异
传统机械安全以“隔离能量、防止接触”为核心，典型手段是安全门锁、安全继电器、急停按钮，其逻辑是开关量、离散的。驱动安全则面对连续变化的电气量与运动量，差异显著：
| 对比维度 | 传统机械安全 | 驱动安全 |
|---|---|---|
| 保护对象 | 人员接触危险区域 | 人员接触运动部件、能量释放 |
| 信号类型 | 开关量、离散 | 连续量、速度/位置/转矩 |
| 响应方式 | 切断动力源 | 切断、限速、限位、受控减速 |
| 失效模式 | 触点粘连、断线 | 功率器件短路、反馈丢失、软件失效 |
| 标准体系 | ISO 13849、IEC 62061 | IEC 61800-5-2 安全子功能 |
| 验证方法 | 回路测试、诊断覆盖率 | 功能测试、故障注入、参数验证 |
五、典型场景与常见误区
以一台垂直提升轴为例：操作人员进入护栏区域，安全门打开，触发 SS1。驱动器先按设定斜率减速，速度降至阈值后触发 STO，同时 SBC 控制抱闸闭合。整个过程需要速度反馈确认减速完成，否则超时后直接 STO 并报警。这一场景中，机械抱闸、电气切断、速度监控三者协同，缺一不可。
- 认为“装了 STO 就等于安全”，忽略机械势能与母线残余电压。
- 把安全功能当作独立模块，未考虑其与电流环、速度环的耦合。
- 共直流母线系统中，误以为单轴 STO 能隔离整个系统能量。
- 忽略反馈信号失效，导致 SLS 监控形同虚设。
复盘时可用以下清单自查：安全功能作用于哪一层？切断后残余能量如何处置？反馈信号失效时系统进入何种状态？安全响应时间是否满足风险评价要求？只有把驱动系统的能量通道、信息通道与安全介入点统一建模，才能设计出既符合 IEC 61800-5-2 又真正有效的驱动安全方案。