4. KUKA安全I/O与信号链
在KUKA机器人安全系统中，安全控制器（如KR C4/KR C5的ESC安全控制器或外部安全PLC）并不直接“相信”一个高电平信号就代表安全。它必须通过一套完整的信号链来确认：信号从哪来、经过什么通道、是否被篡改、是否发生短路、外部设备是否真的处于安全状态。本节围绕这条信号链，讲清安全输入/输出模块、双通道接线、测试脉冲、交叉短路检测以及与外部安全设备的接口设计。
一、安全I/O模块的角色与信号链结构
KUKA安全I/O通常由安全输入模块（如KEA/SIB板卡或PROFIsafe/FSoE从站模块）和安全输出模块组成。安全输入模块负责采集急停按钮、安全门开关、光幕、使能开关等外部安全信号；安全输出模块负责驱动安全继电器、接触器、抱闸或外部安全阀。两者之间通过安全总线或硬线连接至安全控制器，形成“采集—校验—逻辑处理—输出—反馈”的闭环。
与普通I/O不同，安全I/O的每个通道都带有诊断能力。输入模块内部通常包含测试脉冲发生器和交叉短路检测电路；输出模块则带有输出回读（readback）功能，用于确认输出状态是否与指令一致。整条信号链的可靠性，取决于这些诊断机制是否被正确启用和接线。
二、双通道接线与测试脉冲
安全信号必须采用双通道（冗余）接线。以急停按钮为例，其内部有两组常闭触点，分别接入安全输入模块的CH1和CH2。正常状态下两通道均为高电平（或根据模块定义的低电平有效）；按下急停时，两通道同时变为安全状态。安全控制器持续比较两通道状态，若不一致超过设定容差时间（通常为几十到几百毫秒），则判定为故障并触发安全停止。
测试脉冲是安全输入模块的核心诊断手段。模块会周期性地在输入通道上叠加一个短脉冲（典型脉宽0.5~2ms，周期几十毫秒），并检测该脉冲是否被正确“反射”回来。如果线路断开、对地短路或对电源短路，脉冲响应会异常，模块立即上报故障。测试脉冲的关键参数包括脉冲宽度、测试周期和允许的响应窗口，这些参数在安全配置工具（如KUKA.WorkVisual或Safety Configuration）中设定，必须与外部安全设备的响应特性匹配。
需要注意的是，测试脉冲会对某些外部设备（如光幕OSSD输出）产生干扰。因此，当接入光幕等自带诊断输出的设备时，通常需要关闭对应通道的测试脉冲，或选择支持脉冲抑制的输入模式。这一决策必须在安全配置中明确记录，并纳入验证范围。
三、交叉短路检测
交叉短路是指CH1与CH2之间、或信号线与电源/地之间发生意外短路。这种故障可能导致安全控制器误判为“两通道一致”，从而失去冗余保护。交叉短路检测通过以下方式实现：
- 通道间短路检测：CH1和CH2的测试脉冲采用反相或不同时序，若两通道间短路，脉冲会相互串扰，模块检测到异常时序后报错。
- 对地/对电源短路检测：测试脉冲的幅值和响应窗口被严格限定，若线路对地或对电源短路，脉冲无法正常返回，模块判定为故障。
- 输出回读：安全输出模块在驱动负载的同时，通过独立回路读取输出端实际状态，若指令为“断开”但回读为“导通”，则判定为输出触点粘连或短路。
在实际工程中，交叉短路检测的灵敏度与线路长度、线径、屏蔽方式有关。长距离布线时，建议使用屏蔽双绞线，并将屏蔽层单端接地，以减少电磁干扰导致的误报。
四、与外部安全设备的接口设计
KUKA安全系统与外部安全设备的接口设计，需要关注电气兼容性、逻辑一致性和诊断协同。以下是一份接口设计检查要点，可作为工程实施的参考：
| 接口对象 | 关键参数 | 设计要点 |
|---|---|---|
| 急停按钮 | 双触点、常闭 | 两触点分别接入CH1/CH2，测试脉冲保持开启 |
| 安全门开关 | 双通道、机械强制断开 | 确认开关动作时两通道同时断开，容差时间≤100ms |
| 安全光幕 | OSSD输出、PNP | 关闭测试脉冲或使用脉冲抑制模式，确认响应时间匹配 |
| 安全继电器 | 强制导向触点 | 输出回读接入安全输入，形成闭环监控 |
| 安全接触器 | 双通道驱动、反馈触点 | 反馈触点接入安全输入，检测接触器是否粘连 |
接口设计的核心原则是：任何外部设备的状态变化，都必须通过至少两个独立通道被安全控制器感知；任何输出动作，都必须有独立的回读确认。对于光幕、激光扫描仪等自带OSSD的设备，还需确认其输出类型（PNP/NPN）、最大负载电流和响应时间，确保与KUKA安全输入模块的电气规格匹配。
五、信号链验证的实操要点
信号链验证不是简单“按一下急停看机器人停不停”，而是要覆盖诊断机制本身。以下是一组可执行的验证步骤示例（参数为教学假设，实际以现场安全配置为准）：
- 在安全配置中确认CH1和CH2的测试脉冲已启用，记录脉冲宽度（示例：1ms）和测试周期（示例：50ms）。
- 断开CH1接线，保持CH2正常。安全控制器应在容差时间内（示例：200ms）报出“通道不一致”故障，机器人进入安全停止。
- 恢复CH1，断开CH2，重复上述观察，确认故障信息指向CH2。
- 在CH1与CH2之间临时短接，观察是否触发“交叉短路”诊断。注意：此操作必须在安全回路已断电或使用专用测试盒的条件下进行，严禁在运行中直接短接。
- 对安全输出模块，强制输出为“断开”，测量输出端是否真正断开；再强制为“导通”，确认回读信号一致。
- 记录每次故障的诊断代码、响应时间和恢复方式，形成信号链验证记录表。
通过上述验证，可以确认安全I/O模块、双通道接线、测试脉冲和交叉短路检测均处于有效工作状态。只有信号链的每一环都被独立验证，整条安全链的可靠性才有依据。