3. 功能安全基础与UR安全平面的关联
在讨论UR（Universal Robots）安全平面之前，必须先建立功能安全的基本概念框架。安全平面并不是一个孤立的“软件开关”，它是功能安全理念在协作机器人上的具体承载形式。理解安全完整性等级（SIL）、性能等级（PL）、安全功能与安全状态之间的关系，才能正确配置和验证安全平面，而不是把它当作普通I/O信号来使用。
功能安全的基本概念
功能安全的核心定义是：通过安全相关系统（SRECS）执行安全功能，将风险降低到可接受水平。这里的关键词是“功能”——安全不是靠增加防护罩或隔离栏实现的，而是靠系统主动执行某种功能来达成。对于UR协作机器人，典型的安全功能包括：安全停止（SS1/SS2）、安全限速（SLS）、安全限位（SLP）、安全扭矩限制（STO）等。
每个安全功能都由三部分组成：输入检测、逻辑处理、输出执行。以安全限速为例，输入是关节编码器与安全编码器的位置/速度信号，逻辑处理是安全控制器比较当前速度与设定阈值，输出执行是当速度超限时触发停止或减速。这三部分中任何一环失效，安全功能都可能丧失，因此功能安全要求对整个链路进行完整性评估。
另一个重要概念是安全状态。对于UR机器人，安全状态通常定义为“机器人停止运动且电机处于扭矩关闭或安全保持状态”。安全功能的设计目标就是：当检测到危险条件时，系统能在规定时间内进入安全状态。这个“规定时间”由安全功能的安全响应时间（SRT）决定，是后续验证安全距离的关键参数。
安全完整性等级与性能等级
安全完整性等级（SIL）来自IEC 61508，分为SIL 1～SIL 4，等级越高，要求每小时危险失效概率（PFH）越低。协作机器人领域更常用ISO 13849-1定义的性能等级（PL），分为PL a～PL e。两者之间存在对应关系，但并非简单等价。UR安全平面通常需要达到PL d（对应SIL 2）级别，这是协作机器人安全功能的常见目标。
PL等级由五个参数共同决定：类别（Category）、MTTFd（平均危险失效时间）、DC（诊断覆盖率）、CCF（共因失效）、结构。以UR安全平面为例，其安全输入通常采用双通道架构（Category 3），两个通道独立采集信号并交叉比较，DC设为中高，CCF通过物理分离和多样性设计来满足。这些参数最终决定安全平面的PL等级是否达标。
需要特别注意的是：PL等级是针对完整安全功能链的，不是针对单个组件。即使安全平面本身达到PL d，如果外部安全传感器（如安全激光扫描仪）只有PL c，整条安全功能链的PL等级仍受限于最弱环节。因此在实际工程中，必须对“传感器→安全平面→机器人执行”整条链路进行PL评估。
UR安全平面如何承载安全功能
UR安全平面是UR控制器内部的一个安全逻辑层，它位于外部安全信号与机器人运动控制之间。从功能安全角度看，安全平面承担了三个关键角色：信号映射、逻辑处理、状态管理。
信号映射是指将外部安全设备（如安全激光扫描仪、安全门锁、急停按钮）的信号接入安全平面，并映射为特定的安全功能触发条件。例如，将安全激光扫描仪的OSSD输出接入安全输入端口，配置为“当扫描仪检测到人员进入警告区时，触发SLS将速度限制在250 mm/s”。这里的250 mm/s是示例参数，实际值需根据ISO/TS 15066的力与压力限值计算确定。
逻辑处理是安全平面的核心。它需要判断多个安全功能的优先级、互锁关系和复位条件。例如，当急停被按下时，STO应优先于SLS执行；当安全门打开时，SS1应触发，且必须等待机器人完全停止后才能复位。这些逻辑关系必须在安全平面中明确配置，不能依赖外部PLC的普通逻辑，否则会破坏安全功能的完整性。
状态管理涉及安全状态机的设计。UR安全平面内部维护一个安全状态机，状态包括：正常运行、安全限速、安全停止、安全扭矩关闭、故障锁定等。状态之间的转换条件必须满足功能安全要求，例如从“安全停止”恢复到“正常运行”必须经过手动复位，且复位前必须确认危险已消除。状态机的设计直接影响安全功能的可靠性和可诊断性。
安全平面配置中的PL等级验证要点
在实际工程中，配置UR安全平面后必须验证整条安全功能链的PL等级。验证不是简单看安全平面是否支持PL d，而是需要逐环节确认。以下是一个可参考的验证检查表，用于记录和判断：
| 环节 | 关键参数 | 示例值 | 判断依据 |
|---|---|---|---|
| 安全传感器 | PL等级 / PFHd | PL d / 1.0×10⁻⁷ | 传感器手册声明值 |
| 安全输入接口 | Category / DC | Cat 3 / DC 90% | UR安全平面规格 |
| 安全逻辑处理 | PL等级 / MTTFd | PL d / 高 | UR安全控制器认证 |
| 安全输出执行 | 响应时间 / 诊断 | ≤ 100 ms / 双通道 | UR安全手册 |
| 整链PL | min(各环节PL) | PL d | 最弱环节决定 |
需要强调的是，表中的示例值仅用于说明验证方法，实际项目中必须依据具体设备的安全手册和认证报告填写。如果整链中任一环节的PL低于目标等级，必须更换设备或增加诊断措施，而不是通过软件配置“补偿”。
安全功能与安全平面的对应关系
UR安全平面支持的安全功能与功能安全概念之间存在明确的对应关系。以SLS（安全限速）为例，其功能安全含义是：当机器人速度超过设定阈值时，系统必须在规定响应时间内将速度降低到安全值以下。在安全平面中，这对应三个配置项：速度阈值、响应时间、减速策略。速度阈值由风险评估确定，响应时间由安全平面规格给出，减速策略则决定是立即停止还是受控减速。
再以SS1（安全停止1）为例，其功能安全含义是：触发后先执行受控减速，确认速度为零后再切断电机扭矩。在安全平面中，这对应减速斜坡时间、零速检测阈值、扭矩切断延时三个参数。这些参数必须与机器人的实际动力学特性匹配，否则可能出现“减速未完成就切断扭矩”导致机器人失控的情况。
理解这些对应关系后，配置安全平面就不再是“填参数”，而是将功能安全要求翻译为可执行的安全逻辑。每个参数背后都有明确的安全含义和验证要求，这是功能安全工程与普通自动化配置的本质区别。