3. KUKA安全控制器与安全PLC架构
KUKA机器人安全系统并不是把普通I/O简单“加一层继电器”就能实现的。在KR C4与KR C5控制柜中，安全功能由独立的硬件通道、安全总线协议和内部安全逻辑共同完成。理解这套架构，是后续做安全配置、FSoE组态和验证测试的基础。
一、KR C4与KR C5的安全硬件结构
KR C4时代，安全控制主要由安全控制器（Safety Controller）与安全PLC（Safety PLC）协同完成。KR C4控制柜内部通常包含：主控PC（负责运动与逻辑）、安全控制器模块（如ESC安全控制器）、安全数字输入/输出模块、以及通过内部总线连接的安全信号通道。安全控制器负责采集急停、安全门、使能开关等信号，并直接控制安全继电器或安全输出，最终切断驱动使能。
KR C5则进一步集成化，安全功能被整合进KR C5安全控制器中，硬件上通常包含安全CPU、安全输入/输出板卡、FSoE主站接口以及安全电源监控。KR C5的安全架构更强调“安全控制器 + 安全PLC + FSoE从站设备”的分层结构：安全控制器负责本地安全逻辑与安全输出，安全PLC负责更复杂的联锁与区域安全，两者通过FSoE交换安全数据。
需要明确的是：安全控制器与普通控制器在硬件上是物理独立或逻辑隔离的。安全通道采用双通道（双CPU或双通道处理）结构，两个通道独立运算并交叉比较，只有结果一致时才允许安全输出导通。这种“双通道 + 交叉监控”是安全硬件的基本特征。
二、安全信号通道与双通道处理
安全信号通道的核心是“从输入到输出全程可诊断”。以急停回路为例：急停按钮通常采用双触点常闭结构，两个触点分别接入安全控制器的两个独立输入通道。安全控制器对每个通道单独采集，并检测通道间的状态一致性。如果两个通道状态不一致（例如一个断开、一个仍闭合），安全控制器会判定为故障，立即进入安全状态并输出诊断信息。
在KR C4中，安全输入通常通过安全I/O模块接入，模块内部对输入信号进行滤波、测试脉冲和短路检测。测试脉冲的作用是：在输入回路上周期性输出短脉冲，检测线路是否存在短路或交叉。如果脉冲被异常吸收或反馈，说明线路存在故障。KR C5则更多采用FSoE从站设备（如安全I/O模块、安全驱动）直接接入安全总线，安全信号以安全数据帧形式传输，物理层仍走标准以太网，但数据层由FSoE协议保证功能安全。
安全输出同样采用双通道结构。以驱动使能切断为例，安全控制器通过两个独立输出通道控制两个串联的安全继电器或安全接触器。只有两个通道同时动作，驱动电源才会被切断。如果其中一个继电器触点粘连，另一个通道仍能切断回路，同时系统会检测到“输出不一致”并报警。这种“串联双通道 + 反馈检测”是安全输出最常见的设计。
三、FSoE通信机制
FSoE（Fail-Safe over EtherCAT）是KUKA安全系统中用于安全控制器与安全PLC、安全从站之间交换安全数据的协议。它运行在标准EtherCAT物理层之上，但数据内容经过安全封装。FSoE的核心机制包括：
- 安全数据帧：每个FSoE帧包含安全数据、连接ID、看门狗计数器和CRC校验。接收方校验连接ID和CRC，只有校验通过才接受数据。
- 看门狗：发送方周期性发送安全帧，接收方在设定时间内未收到有效帧，即判定通信超时，进入安全状态。
- 连接ID：每个FSoE连接有唯一ID，防止不同安全设备之间的数据串扰。
- 数据一致性：安全数据在发送前和接收后都进行一致性检查，确保数据未被篡改或丢失。
在KR C5中，安全控制器通常作为FSoE主站，安全PLC和远程安全I/O作为从站。主站周期性发送安全输出数据，从站返回安全输入数据。整个通信周期通常在1～10 ms量级，具体取决于配置。如果通信中断，所有FSoE从站会在看门狗超时后进入安全状态，而不是保持最后接收到的数据。
四、内部安全逻辑处理机制
安全控制器内部的安全逻辑处理遵循“采集—运算—输出—反馈”的闭环。以安全门监控为例：
- 采集：安全门开关的双触点信号分别进入两个输入通道，安全控制器读取并诊断。
- 运算：安全逻辑程序判断“门是否关闭”“是否允许运行”“是否需要触发安全停止”。
- 输出：如果门打开，安全控制器通过双通道输出切断驱动使能，并触发安全停止。
- 反馈：安全继电器或接触器的辅助触点反馈回安全控制器，确认输出已实际动作。
安全逻辑程序通常采用安全功能块编写，例如急停功能块、安全门功能块、使能开关功能块、模式选择功能块等。每个功能块内部已经封装了双通道处理、交叉比较和故障诊断逻辑。工程师在配置时，只需将输入信号映射到功能块，再将功能块输出映射到安全输出即可。但需要注意：功能块的参数（如延时时间、停止类别、重启方式）必须根据实际风险评估结果设置，不能随意使用默认值。
五、KR C4与KR C5的架构差异
| 对比项 | KR C4 | KR C5 |
|---|---|---|
| 安全控制器形态 | 独立安全控制器模块（如ESC） | 集成式安全控制器 |
| 安全通信 | 内部总线 + 安全I/O | FSoE over EtherCAT |
| 安全PLC连接 | 硬线或现场总线 | FSoE主从通信 |
| 扩展方式 | 安全I/O模块扩展 | FSoE从站扩展 |
| 诊断能力 | 模块级诊断 | 通道级 + 通信级诊断 |
从工程验证角度看，KR C4的安全架构更依赖硬线回路和模块诊断，验证时需要使用万用表、安全继电器测试仪等工具逐点测量；KR C5则更多依赖FSoE通信诊断和软件工具，验证时可以通过安全PLC的在线监控查看FSoE连接状态、看门狗计数器和安全数据一致性。无论哪种架构，验证的核心都是：确认安全信号从输入到输出的全通道功能正确，且故障时能可靠进入安全状态。
理解KR C4/KR C5的安全控制器硬件结构、安全信号通道、FSoE通信和内部安全逻辑处理机制，是后续进行安全配置、FSoE组态和工程验证的前提。实际项目中，建议先画出安全信号流图，明确每个安全功能的输入、逻辑处理、输出和反馈路径，再对照硬件接线和软件配置逐项验证。