3. UR安全控制架构解析

要真正理解UR协作机器人的安全行为，不能只停留在“按了急停它会停”这一层，而必须看清它内部的安全控制架构：哪些信号进入安全控制板、哪些回路是硬接线的、哪些停止由软件配置触发、哪些限位是安全级而非普通运动限制。UR的安全体系可以概括为“一块安全控制板 + 一组安全输入输出 + 若干安全功能”的组合，其中安全控制板是核心仲裁者，安全输入输出是它与外部世界的接口，紧急停止、保护性停止和安全限位则是它执行的三类典型安全功能。

安全控制板：安全逻辑的硬件核心

UR机器人控制柜内部除主控计算机外，还有一块独立的安全控制板（Safety Control Board）。它不参与常规运动规划，而是专门负责安全信号的采集、安全逻辑的判断以及安全输出的驱动。其关键特征是：安全输入与安全输出均采用双通道结构，两个通道独立采集、交叉比对，只有两路信号一致时才认为该信号有效；一旦出现不一致、超时或自检失败，安全控制板会立即进入安全状态并触发停止。

安全控制板还负责监控机器人本体上的编码器、关节位置与速度信息，用于判断是否超出安全限位或安全速度范围。它通过安全总线与主控计算机交换状态，但安全判断本身不依赖主控计算机，即使主控软件异常，安全控制板仍能独立执行停止。这一点是理解UR安全架构的关键：安全功能是“硬件级兜底 + 软件级配置”的双层结构。

安全输入输出：与外部设备的接口

UR控制柜提供一组安全输入（Safety Inputs）和安全输出（Safety Outputs），通常为双通道接线端子。安全输入用于接收外部安全设备的状态，例如安全门开关、安全光幕、安全继电器触点、外部急停按钮等；安全输出用于向外部设备反馈机器人当前的安全状态，例如“机器人处于安全停止”“机器人处于运行使能”“机器人处于保护性停止”等。

安全输入输出不是普通I/O，它们参与安全逻辑运算。以安全门为例：当安全门打开时，安全输入通道断开，安全控制板根据配置触发保护性停止；当安全门关闭且复位后，机器人不会自动恢复运动，而需要操作者确认并重新使能。安全输出则常用于把机器人状态接入整条产线的安全链，使机器人停止与产线其他设备停止保持同步。

紧急停止回路：最高优先级的安全链

UR的紧急停止回路是独立于软件配置的硬接线安全链。控制柜上的急停按钮、示教器上的急停按钮以及外部急停输入，均接入安全控制板的双通道急停输入。按下任意一个急停按钮，两个通道同时断开，安全控制板立即切断伺服使能并触发停止。急停的停止类别通常为类别0或类别1：类别0是立即切断动力，机器人可能因惯性继续滑行；类别1是先按设定斜率减速，再切断动力。UR允许在安全配置中选择急停的停止类别，但无论选哪种，急停的触发都不依赖主控软件。

急停复位必须手动完成：先释放急停按钮，再在示教器或控制柜上执行复位操作，机器人不会自动恢复运动。这一设计避免了“松手即动”的风险。在实际产线中，常把外部急停按钮串入整线安全链，使机器人急停与产线其他设备急停保持一致。

保护性停止：由安全输入触发的可配置停止

保护性停止（Protective Stop）与急停不同，它通常由安全输入信号触发，例如安全门打开、安全光幕被遮挡、外部安全继电器动作等。保护性停止的停止类别可以在安全配置中设定，常见为类别1或类别2。类别1是受控减速后切断动力；类别2是受控减速但保持伺服使能，以便快速恢复。保护性停止触发后，机器人进入停止状态，安全输出会给出相应状态信号；恢复时同样需要复位确认，不能自动重启。

保护性停止的配置需要明确三件事：触发源接在哪个安全输入通道、采用哪种停止类别、减速时间或减速距离是多少。减速时间过短可能导致机械冲击，过长则可能使安全距离不足。因此，保护性停止的配置必须与风险评估中计算的安全距离相匹配。

安全限位功能：安全级的位置与速度边界

UR的安全限位功能包括安全级关节限位、安全级笛卡尔空间限位以及安全级速度限制。它们与普通软限位有本质区别：普通软限位由主控软件执行，用于常规运动规划；安全限位由安全控制板独立监控，即使主控软件失效，安全控制板仍能根据编码器反馈判断是否超限并触发保护性停止。

安全限位的典型配置包括：限制每个关节的角度范围、限制工具中心点（TCP）在笛卡尔空间中的工作区域、限制TCP速度或关节速度。例如，在一个人机协作工位中，可以把机器人TCP限制在一个长方体安全空间内，当TCP接近边界时先减速，越过边界则触发保护性停止。安全限位的参数需要根据协作空间、人体接近速度和风险评估结果确定，不能随意放宽。

四类功能的协同关系

把上述内容串起来看：外部安全设备通过安全输入进入安全控制板；安全控制板根据配置决定触发急停、保护性停止还是安全限位停止；安全输出把机器人状态反馈给外部安全链；机器人本体的编码器数据持续被安全控制板监控，用于安全限位判断。急停优先级最高，保护性停止次之，安全限位则在运动过程中持续监控。理解这一协同关系，才能在配置和排障时快速定位问题出在哪一层。

在实际配置中，建议先完成风险评估，确定每个安全输入对应的停止类别和安全距离，再进入UR的安全配置界面逐项设置。配置完成后，应逐项验证：按下急停是否立即停止、打开安全门是否触发保护性停止、TCP越过安全限位是否触发停止、安全输出状态是否与机器人实际状态一致。只有验证通过，安全控制架构才算真正落地。