3. UR机器人安全控制系统架构

UR机器人的安全控制系统并不是单一器件，而是一条从“人触发”到“机器人停止”的完整信号链。理解这条链的层级与接口，是后续做风险评估和验证的前提。整体上，UR的安全架构可分为三层：控制柜内部安全回路、外部安全接口（安全PLC/安全I/O），以及固件层面的安全功能与参数。三层之间通过硬线信号与配置参数耦合，任何一层被旁路或配置错误，都会让整条安全链失效。

控制柜安全回路：安全信号的中枢

UR控制柜内部包含安全控制板与安全I/O，负责采集急停、保护性停止、安全限位等信号，并驱动机器人进入相应停止类别。控制柜前面板与背部提供多组安全输入/输出端子，典型包括：安全输入（SI）用于接入外部急停、安全门、光幕等；安全输出（SO）用于向外部安全PLC反馈机器人当前安全状态（如“机器人已停止”“保护性停止激活”）。这些端子均为双通道冗余设计，两路信号必须同时有效，系统才判定为安全状态，否则触发安全停止。

控制柜内部安全回路的关键特征是双通道与自检：两路输入信号在时间与电平上需保持一致，若出现偏差（如一路断开、一路闭合），安全板会判定为故障并进入安全停止。因此，接线时必须保证两路信号来自同一安全源，且不能将两路短接或跨接，否则会破坏冗余结构。

安全PLC接口：与外部安全系统的握手

在自动化产线中，UR通常不孤立运行，而是与安全PLC、安全继电器、安全门锁等组成整线安全系统。UR通过安全输入/输出端子与安全PLC交换信号，典型连接方式为：安全PLC输出双通道信号至UR的SI端口，UR的SO端口回传状态至安全PLC。这样，安全PLC可以统一管理整线急停、门锁与区域扫描仪，而UR只作为其中一个受控节点。

接口设计时需注意信号方向与逻辑一致性：安全PLC发出的“允许运行”信号应同时接入UR的两路SI，且UR的SO反馈应接入安全PLC的输入模块。若安全PLC需要区分“急停”与“保护性停止”，则需使用不同的SI端口组合，并在UR固件中为每个端口分配对应的安全功能。常见做法是：SI0/SI1用于外部急停，SI2/SI3用于安全门，SI4/SI5用于光幕或区域扫描，具体分配需与安全PLC程序一致。

紧急停止与保护性停止回路

UR的停止功能分为紧急停止（Emergency Stop）与保护性停止（Protective Stop）两类。急停是最高优先级，触发后机器人立即切断电机动力，进入类别0或类别1停止（取决于配置），需手动复位才能恢复。保护性停止则用于非紧急但需暂停的场景，如安全门打开、光幕遮挡、协作区域有人进入等，触发后机器人停止但可自动恢复或按条件恢复。

急停回路通常由控制柜急停按钮、示教器急停按钮以及外部急停输入共同组成，所有急停信号串联或通过安全继电器汇总后接入安全板。保护性停止则通过安全输入端口触发，并在固件中配置为“保护性停止”功能。两者在停止类别、复位方式和恢复条件上均有差异，配置时需明确区分，避免将保护性停止误设为急停，导致频繁手动复位影响效率。

安全限位与安全范围监控

UR固件支持安全限位与安全范围监控功能，用于限制机器人关节角度、TCP位置、工具姿态及力/功率等参数。安全限位分为关节限位与笛卡尔限位：关节限位限制各关节的最大/最小角度，笛卡尔限位则限制TCP在空间中的活动范围（如安全平面、安全球体、安全圆柱）。安全范围监控可设置多个区域，当TCP进入或离开指定区域时触发保护性停止。

配置安全限位时，需先定义安全坐标系（通常基于机器人基座或工具坐标系），再设定边界参数。例如，设置安全平面Z=300mm，表示TCP不得低于该平面；设置安全球体半径R=500mm，表示TCP不得超出该球体范围。这些参数需与风险评估中确定的“安全距离”一致，并留出足够的停止距离余量。若机器人负载或速度变化，停止距离会改变，因此安全限位应定期复核。

安全配置参数与固件安全功能

UR的安全配置通过PolyScope界面或安全配置工具完成，关键参数包括：停止类别（类别0/类别1/类别2）、停止时间、停止距离、安全输入功能分配、安全输出逻辑、安全限位边界、安全范围监控区域等。这些参数存储在控制柜的安全配置文件中，受密码保护，修改后需重新验证。

固件层面的安全功能还包括安全速度限制、安全力限制、安全功率限制以及安全I/O监控。例如，在协作应用中，可设置TCP速度不超过250mm/s，或工具接触力不超过150N，当超过阈值时触发保护性停止。这些功能与ISO 10218-1、ISO/TS 15066等标准中的协作要求直接相关，配置时需结合应用场景与风险评估结果。

配置示例与验证要点

以下给出一个典型协作工位的安全配置片段，用于说明参数如何落地。假设机器人型号为UR5e，负载2kg，工具为夹爪，工作区域为桌面装配区，安全门位于操作者侧，光幕覆盖进入路径。

安全输入分配：
  SI0/SI1：外部急停（双通道，常闭）
  SI2/SI3：安全门（双通道，常闭）
  SI4/SI5：光幕（双通道，常闭）

安全输出分配：
  SO0：机器人已停止（高电平有效）
  SO1：保护性停止激活（高电平有效）

停止类别：
  急停：类别1（带减速停止）
  保护性停止：类别2（保持动力，位置保持）

安全限位：
  关节限位：J1 ±180°，J2 -90°~+90°，J3 -150°~+150°
  笛卡尔安全平面：Z ≥ 300mm（TCP不得低于该平面）
  安全球体：半径R = 500mm（以基座原点为中心）

安全范围监控：
  区域1：安全门内侧，进入触发保护性停止
  区域2：光幕前方，遮挡触发保护性停止

安全速度限制：TCP ≤ 250mm/s
安全力限制：接触力 ≤ 150N

配置完成后，需逐项验证：触发急停，确认机器人进入类别1停止且SO0输出正确；打开安全门，确认保护性停止激活且SO1输出正确；遮挡光幕，确认机器人停止且无法自动恢复；手动将TCP移出安全平面，确认触发保护性停止。验证时应记录停止时间与停止距离，并与风险评估中的安全距离对比，确保留有足够余量。

总结来看，UR安全控制系统的核心在于“分层冗余、接口明确、参数可验证”。控制柜安全回路负责信号采集与冗余判断，安全PLC接口负责整线协同，急停与保护性停止回路负责不同优先级的停止响应，安全限位与范围监控负责空间约束，固件安全功能负责速度、力、功率等动态限制。只有将这几层正确配置并逐项验证，才能构建出符合标准且可复现的安全应用。