1. 功能安全与STO基础
在变频器驱动系统中，安全并不是“设备不出故障”这么简单。功能安全（Functional Safety）关注的是：当机器或系统出现故障时，是否能够依靠主动的安全功能把风险降低到可接受水平。它研究的对象不是电机本身，而是“检测—判断—执行”这条安全功能链。对于Danfoss VLT系列变频器而言，最典型、最常用的安全功能就是STO（Safe Torque Off，安全转矩关断）。理解功能安全与STO，是后续所有接线、参数、验证与维护工作的基础。
一、功能安全的定义与核心逻辑
功能安全可定义为：通过电气、电子、可编程电子安全相关系统，使被控设备在故障条件下仍能进入或保持安全状态的能力。它有三个关键要素：
- 安全功能：系统必须完成的动作，例如“收到急停信号后，在指定时间内切断电机转矩”。
- 安全完整性：该功能在需要时成功执行的概率，用SIL或PL等级衡量。
- 安全状态：风险被消除或降低后的状态，对驱动系统而言通常是“无转矩、无危险运动”。
功能安全不是追求“零故障”，而是承认故障必然存在，并通过冗余、诊断、监控和结构约束，把故障导致危险的概率控制在可接受范围内。它强调“可验证”：安全功能必须能被测试、被证明、被记录。
二、SIL与PL：两种常见的完整性等级
安全完整性等级主要有两套体系：IEC 61508/ IEC 62061 的 SIL（Safety Integrity Level）和 ISO 13849-1 的 PL（Performance Level）。两者目标一致，但表达方式和适用场景不同。
| 等级体系 | 等级划分 | 关键指标 | 典型适用 |
|---|---|---|---|
| SIL（IEC 61508/62061） | SIL 1～SIL 4 | PFH（每小时危险失效概率） | 过程工业、机械安全功能 |
| PL（ISO 13849-1） | PL a～PL e | PFHd、结构类别、DC、MTTFd | 机械安全控制系统 |
粗略对应关系为：PL c 约等于 SIL 1，PL d 约等于 SIL 2，PL e 约等于 SIL 3。但两者不能简单互换，因为PL还引入了结构类别（Category B、1、2、3、4）、诊断覆盖率（DC）和平均危险失效时间（MTTFd）。在Danfoss VLT的工程实践中，STO通常被声明为SIL 2 / PL d，部分型号可达SIL 3 / PL e，具体取决于接线方式、外部安全继电器和验证结果。
三、STO安全转矩关断原理
STO的核心思想非常直接：不通过软件停机，而是从硬件上切断变频器输出到电机的转矩能量。当STO被触发时，变频器功率单元的门极驱动信号被禁止，IGBT不再开关，电机端不再获得旋转磁场，因此无法产生转矩。电机可能因惯性继续旋转，但不会由变频器主动驱动。
STO与普通“停止命令”有本质区别：普通停止是控制功能，依赖CPU、软件和通信；STO是安全功能，通常由独立的安全输入端子（如VLT上的Safe Torque Off端子）直接控制，即使主控芯片失效，也能通过硬件通道切断输出。Danfoss VLT的STO输入通常为双通道结构，两个安全输入必须同时有效才能允许运行，任一通道断开即触发STO。
四、STO与普通停机的区别
很多现场人员会把“按停止键”和“触发STO”混为一谈。普通停止通过控制软件降低频率、封锁输出，但CPU、通信或软件一旦异常，仍可能输出转矩。STO则绕过软件，直接作用于功率级，属于安全相关停机。它不负责机械制动，也不替代急停按钮、安全门锁或安全继电器，而是作为整条安全链中的执行环节。
在Danfoss VLT中，STO通常与外部安全继电器配合使用。安全继电器负责检测急停、门锁、光幕等信号，并输出双通道触点至变频器STO端子。变频器内部对两路信号进行一致性判断，若两路状态不一致超过允许时间，则触发安全故障并锁定，必须断电复位或按手册规定方式复位。
五、Danfoss VLT在功能安全中的定位
Danfoss VLT系列变频器在功能安全体系中扮演“安全执行器”的角色。它接收外部安全信号，执行STO，并向系统反馈状态。其安全手册中会明确给出：STO输入端子编号、逻辑定义、响应时间、安全等级声明、验证测试要求以及允许的接线方式。工程人员必须依据具体型号的安全手册，而不是通用经验，来确定端子、参数和验证方法。
以典型VLT FC系列为例，STO功能通常涉及参数组中的安全配置项，例如使能STO、选择安全输入类型、设置复位方式等。实际项目中，还需要确认安全继电器输出与STO输入的电平匹配、公共参考点、屏蔽与接地方式。若使用双通道，两路信号应来自同一安全继电器或安全PLC的冗余输出，避免共因失效。
六、工程实践中的关键判断
在项目初期，应先明确三个问题：第一，风险评估要求达到SIL几或PL几；第二，变频器STO声明等级是否满足该目标；第三，外部安全回路能否提供匹配的双通道信号。若目标为PL d，通常需要Category 3结构、双通道、诊断覆盖率中等以上，并选用声明PL d的STO输入。若目标为PL e，则需更严格的结构和验证。
此外，STO只切断转矩，不提供机械保持。对于垂直轴、卷绕、起重等存在重力或惯性危险的场合，必须额外配置机械制动或安全制动控制，并纳入安全功能设计。STO的响应时间、制动器动作时间与风险评价中的安全距离、停止时间密切相关，不能只看变频器参数。