4. 安全运动控制的风险评估方法

安全运动控制的风险评估不是一次纸面推演，而是围绕真实设备、真实运动轴和真实工况展开的工程判断。它的核心任务可以概括为三件事：先找出危险源与危险事件，再估计每种危险的严重程度与发生概率，最后把可接受的风险转化为具体的安全功能，并分配到驱动、控制器、传感器或机械制动等实际环节上。对 Bosch Rexroth 的驱动与安全运动方案而言，这一过程直接决定后续选用哪种安全功能（如 STO、SLS、SBC、SDI）以及需要达到的 PL/SIL 等级。

一、从设备结构出发识别危险

危险识别不能只停留在“运动部件会伤人”这种泛泛描述。正确做法是按设备的功能结构逐层拆解：能源输入、动力执行、传动链、负载、人员可达区域、操作模式。以一台采用 Rexroth IndraDrive 的伺服压装单元为例，其运动轴包括垂直压头、水平送料滑台和旋转分度盘。危险识别时应针对每个轴列出：运动形式（直线/旋转）、运动方向、速度与行程、可产生的最大力或力矩、是否存在重力负载、人员进入的时机与路径。

常见危险事件包括：压头在换模时意外下落；送料滑台在人工上料时突然伸出；分度盘在维护窗口内旋转；多轴联动时形成挤压点；制动失效导致垂直轴滑落。识别时建议使用“危险—触发条件—受影响人员—现有防护”四列记录，避免遗漏。例如“压头意外下落”的触发条件可能是 STO 未生效、抱闸磨损或重力负载未补偿，受影响人员是换模工，现有防护可能只有机械支撑杆。

二、风险估计：严重度、暴露频率与可控性

风险估计通常依据 ISO 12100 与 ISO 13849-1 的思路，从三个维度打分：伤害严重度 S、暴露频率与持续时间 F、避免危险的可能性 P。对于运动控制，还要额外考虑运动速度、惯性、重力势能和停止距离。以垂直压头为例，若最大下行速度 250 mm/s、负载 80 kg、停止距离约 12 mm，则挤压后果通常为 S2（严重、不可逆）；换模时人员每天进入危险区约 4 次，F2（频繁）；由于压头下落突然且无预警，P2（几乎不可能避免）。组合后通常要求 PL d 甚至 PL e。

风险估计不是追求绝对精确的数值，而是为安全功能分配提供可辩护的依据。实际工程中可用参数表把每个轴的 S/F/P 与所需性能等级对应起来，再检查现有安全功能是否足够。若现有仅有一个急停回路，而评估要求 PL d，则必须补充安全运动功能，而不是仅靠管理措施。

三、安全功能分配：从风险到可执行的安全功能

风险估计完成后，必须把“需要降低风险”转化为具体的安全功能，并明确每个功能由谁执行、何时触发、如何停止。安全功能分配的核心是建立“危险事件—安全功能—执行部件—性能等级”的对应关系。以垂直压头为例，针对“换模时意外下落”，可分配 STO 与 SBC 组合：STO 切断驱动转矩，SBC 控制抱闸冗余制动；触发条件为安全门打开或维护模式激活；响应时间需小于人员进入危险区的时间。

对于水平送料滑台，手动示教时若全速运行会带来撞击风险，可分配 SLS，将速度限制在 50 mm/s 以下，并配合安全方向监控。对于旋转分度盘，维护窗口内应分配 SDI 或 STO，禁止任何旋转。每个安全功能都应记录：功能标识、触发条件、响应时间、停止类别（0 类或 1 类）、复位方式、所需 PL/SIL。这些信息最终会映射到 Rexroth 驱动参数与安全 PLC 逻辑中。

四、实际执行中的关键判断

风险评估最容易出问题的地方，是把“已有防护”直接当成“风险已足够低”。例如设备已安装安全门锁，但门锁仅切断主回路，未触发驱动 STO，压头仍可能因惯性或重力短暂运动。正确做法是检查每个危险事件的防护链是否完整：传感器检测 → 安全逻辑处理 → 驱动执行 → 机械制动。任何一环缺失，都应重新估计风险并补充安全功能。

另一个关键是区分“安全功能”与“操作功能”。急停按钮属于安全功能，但普通停止按钮不是；安全限速属于安全功能，但工艺限速不是。分配时必须使用经过认证的安全信号链，并确认其 PL/SIL 满足估计要求。对于 Rexroth 系统，可通过 SafeMotion 选件实现 STO、SLS、SBC、SDI 等功能，但每个功能都需要在驱动中正确配置安全参数，并通过安全 PLC 或 FSoE 进行触发与监控。

五、可参考的风险评估记录示例

以下表格可作为实际评估时的记录骨架，字段按运动轴和危险事件展开，便于后续分配安全功能并验证。

完成分配后，必须进行验证：触发每个安全功能，观察驱动是否按预期进入安全状态，测量停止时间与停止距离，确认无意外重启。若验证结果不满足估计要求，应回到危险识别或风险估计阶段修正，而不是仅调整参数了事。只有形成“识别—估计—分配—验证—迭代”的闭环，安全运动控制的风险评估才真正落地。