4. ABB机器人控制系统安全架构

ABB机器人控制系统的安全架构，是理解整机安全功能如何落地的基础。IRC5与OmniCore两代控制器在安全设计上思路一致，但硬件形态和集成方式差异明显。本节围绕安全板、安全I/O、安全PLC和安全通信接口四个层面，说明它们各自承担什么职责、彼此如何连接，以及在实际工程中如何配置与验证。

一、安全架构的整体分层

ABB机器人安全系统采用“双通道 + 交叉监控”的基本思想。控制器的安全板（Safety Board）是安全逻辑的核心载体，它独立于普通运动控制CPU运行，负责采集安全输入、执行安全逻辑、驱动安全输出，并通过安全通信接口与外部安全设备交换数据。普通控制层负责轨迹规划、伺服驱动和工艺逻辑，安全层只处理与人身和设备安全相关的信号，两者在物理和逻辑上保持隔离。

IRC5的安全板通常以独立板卡形式插在控制柜内，型号如DSQC 1010等，具备双通道输入输出和自检功能。OmniCore则将安全功能集成到主控单元中，通过专用的安全I/O模块和Safety Configuration工具进行配置，整体更紧凑，但安全逻辑的独立性要求不变。无论哪一代，安全板都必须满足ISO 13849-1的PL d或PL e等级要求，具体取决于应用风险评估结果。

二、安全板与安全I/O的配置要点

安全板本身不直接接线到现场设备，而是通过安全I/O端子或安全I/O模块完成信号接入。IRC5控制柜内通常配有安全I/O板，提供若干双通道输入和双通道输出点。每个安全输入点实际上占用两个物理通道，例如急停按钮的两组常闭触点分别接入通道A和通道B，安全板对两路信号进行一致性比较：两路同时为高（或同时为低，取决于逻辑定义）才认为有效，任一路不一致即触发安全停止。

在OmniCore中，安全I/O通过FlexPendant或RobotStudio的Safety Configuration进行分配。配置时需要为每个安全信号指定：信号名称、通道地址、输入滤波时间、触发后的停止类型（如类别0停止或类别1停止）。停止类型的选择直接关系到机械制动和伺服切断的时序，必须与风险评估结论一致。例如，急停通常配置为类别0停止，立即切断伺服使能并施加机械抱闸；而安全门打开可配置为类别1停止，先按受控减速再切断动力。

三、安全PLC与安全通信接口的协同

当工作站包含多台机器人、多个安全门或与外部设备联锁时，单靠控制器内部安全板难以完成全部逻辑。此时需要引入外部安全PLC，例如西门子S7-1500F、罗克韦尔GuardLogix或Pilz PSS 4000等。安全PLC负责汇总各工位的急停、门锁、光幕信号，执行集中安全逻辑，再通过安全通信协议将结果发送给各台机器人的安全板。

ABB机器人支持的主流安全通信协议包括PROFIsafe、CIP Safety、EtherNet/IP Safety和FSoE。以PROFIsafe为例，IRC5或OmniCore通过安全通信接口与安全PLC建立安全连接，通信内容不是普通的过程数据，而是带有CRC校验、序列号和超时监控的安全报文。安全PLC将“允许机器人运行”“请求安全停止”等信号写入安全报文，机器人安全板接收后执行相应动作。通信中断时，安全板按预设的故障响应策略进入安全状态，通常是触发安全停止。

配置安全通信时，需要在RobotStudio中导入安全PLC的通信描述文件（如GSDML文件），然后建立安全输入输出映射。映射关系必须与安全PLC侧的配置完全一致，包括数据长度、信号顺序和地址偏移。一个常见的错误是两侧地址偏移不一致，导致安全信号错位，机器人可能收到错误的使能信号。因此，首次调试时必须逐点验证每个安全信号的传递方向和状态。

四、实际配置与验证示例

以下以一个典型工作站为例，说明安全信号的配置与验证过程。该工作站包含一台IRC5机器人、一扇安全门和一个外部安全PLC，安全门信号通过PROFIsafe传输。

安全信号映射示例（RobotStudio Safety Configuration）：
安全输入：
  SI_01  PROFIsafe 地址 0.0  安全门关闭确认（双通道）
  SI_02  PROFIsafe 地址 0.1  外部安全PLC就绪
安全输出：
  SO_01  PROFIsafe 地址 0.0  机器人安全停止请求
  SO_02  PROFIsafe 地址 0.1  机器人安全状态反馈

停止类型配置：
  安全门打开 → 类别1停止，减速时间 0.5 s
  急停触发   → 类别0停止，立即切断
  通信中断   → 类别0停止，故障响应

验证时，先手动触发安全门开关，观察机器人是否按类别1停止平稳减速，同时检查安全PLC侧是否收到SO_01置位。然后模拟PROFIsafe通信中断，例如拔掉网线，确认机器人进入类别0停止且安全板故障指示灯点亮。最后用安全PLC强制SI_02为低电平，确认机器人无法进入自动运行模式。每一步都应记录实际响应时间，并与风险评估中允许的响应时间上限比较。

五、两代控制器的差异与选型建议

IRC5的安全板以独立硬件板卡为主，安全I/O和通信接口通过选配模块实现，扩展灵活但占用控制柜空间较大。OmniCore将安全功能深度集成，安全I/O和通信接口的配置通过软件完成，布线更简洁，适合紧凑型工作站。在安全等级上，两者均可达到PL e / SIL 3，选型时主要考虑现有设备兼容性、控制柜空间和通信协议匹配。若工作站已有PROFIsafe网络，IRC5和OmniCore均可接入；若使用CIP Safety，则需确认对应通信选项已授权。

无论选择哪一代控制器，安全架构的核心原则不变：安全信号必须双通道采集、安全逻辑必须独立于普通控制、安全输出必须可靠切断动力、安全通信必须带故障检测。理解安全板、安全I/O、安全PLC和安全通信接口之间的数据流向和依赖关系，是后续进行安全功能设计和验证的前提。