4、安全相关概念入门：功能安全的基本术语及其在驱动系统中的应用
在工业自动化领域，IEC 61800-5 系列标准专门针对可调速电力驱动系统（PDS）的功能安全要求进行了规范。要深入理解该标准，首先必须建立一套清晰、准确的安全术语体系。功能安全并非指设备不会损坏，而是指当设备发生故障时，系统能够通过特定的安全机制将风险降低到可接受的水平。本章将围绕安全完整性等级（SIL）、安全功能（Safety Function）和安全状态（Safe State）三个核心概念展开，并结合驱动系统的实际应用场景进行深度剖析。
上图清晰地展示了功能安全三大核心术语之间的逻辑关系：安全功能是执行风险降低的具体手段，而安全完整性等级（SIL）则是对该安全功能在概率层面上的性能要求，安全状态则是安全功能被触发后系统所进入的特定状态。三者相互依存，共同构成了驱动系统安全设计的基石。
4.1 核心原理：从风险到安全功能的映射
功能安全的出发点不是“防止设备故障”，而是“防止由设备故障引发的不可接受的风险”。在驱动系统中，电机意外启动、转矩丢失、超速运行等都可能对人员或设备造成伤害。因此，我们需要通过一系列安全措施来降低这些风险。
安全功能（Safety Function）是由安全相关系统（包括传感器、逻辑运算器和执行器）执行的具体动作，旨在将系统维持在或使其进入安全状态。在 IEC 61800-5-2 中，定义了一系列标准的驱动安全功能，例如：
- 安全转矩中断（STO）：防止电机产生转矩。这是最基础、应用最广泛的安全功能，通常作为其他安全功能（如 SS1）的最终执行手段。
- 安全停止 1（SS1）：触发后，先对电机进行受控减速，当速度低于某个阈值后，再激活 STO 功能。
- 安全限速（SLS）：监控电机转速，确保其不超过设定的安全速度上限。
- 安全抱闸控制（SBC）：控制外部机械抱闸，用于在静止状态下保持轴的位置。
安全完整性等级（SIL）是衡量安全功能性能的量化指标。它定义了在特定条件下，安全功能在规定时间内完成规定动作的概率。SIL 等级越高，要求的安全功能失效概率越低。IEC 61508 标准将 SIL 划分为 1 到 4 级，其中 SIL 4 要求最高。对于驱动系统，通常涉及 SIL 1 到 SIL 3。
关键理解：SIL 不是安全功能的固有属性，而是针对特定安全功能在特定应用场景下的性能要求。例如，同一个 STO 功能，在低风险应用中可能只需满足 SIL 1，而在高风险应用中则必须满足 SIL 3。SIL 的确定来源于风险评估，而非工程师的个人偏好。
4.2 判断方法：如何确定所需的 SIL 等级与安全状态
确定 SIL 等级是一个系统性的工程过程，通常遵循以下步骤：
- 危险识别与风险评估：分析驱动系统及其应用场景，识别所有可能的危险事件（如意外启动、超速、飞车等），并评估其严重程度（S）、暴露频率（F）和避免可能性（P）。
- 确定所需风险降低量：根据风险评估结果，确定将风险降低到可接受水平所需的风险降低量。
- 分配 SIL 要求：将所需的风险降低量转化为对特定安全功能的 SIL 要求。这通常需要参考标准中的风险图或使用 LOPA（保护层分析）等方法。
- 定义安全状态：针对每个安全功能，必须明确定义其触发后系统应进入的安全状态。对于驱动系统，安全状态通常是“无转矩”或“安全停止”。
下表对比了不同 SIL 等级对安全功能在“高要求模式”下的关键量化指标要求（PFHd：每小时危险失效概率）：
| SIL 等级 | PFHd 范围（高要求模式） | 硬件故障裕度（HFT） | 典型驱动应用场景 |
|---|---|---|---|
| SIL 1 | ≥ 10⁻⁶ 至 < 10⁻⁵ | 0（允许单通道） | 低风险设备，如小型风机 |
| SIL 2 | ≥ 10⁻⁷ 至 < 10⁻⁶ | 1（通常需要冗余） | 一般工业机械，如包装机 |
| SIL 3 | ≥ 10⁻⁸ 至 < 10⁻⁷ | 1（必须冗余且诊断覆盖率高） | 高风险设备，如大型起重机械 |
需要注意的是，SIL 等级的确定并非仅看 PFHd 数值，还需要考虑系统结构约束（如 HFT）、诊断覆盖率（DC）和共因失效（CCF）等因素。
4.3 案例拆解：变频器 STO 功能的安全完整性实现
为了更直观地理解上述概念，我们以一台用于汽车冲压生产线的 90kW 变频器为例，分析其 STO 安全功能的设计与应用。
背景与约束：该冲压机滑块下行速度极快，操作人员在更换模具时需要进入危险区域。根据风险评估，该应用场景的严重程度为“死亡或永久性伤害”（S=4），暴露频率为“频繁”（F=2），避免可能性为“几乎不可能”（P=2）。查标准风险图，所需的风险降低量对应 SIL 3。
初始现象与目标：初始设计中，仅通过接触器切断电机主电源来实现停机。但接触器存在触点粘连的风险，且无法监控其状态，不满足 SIL 3 的结构要求。目标是将 STO 功能设计为满足 SIL 3 要求。
关键输入数据与参数：
- 目标 SIL：3
- 要求 PFHd：< 10⁻⁷ / 小时
- 硬件故障裕度（HFT）：1（即需要冗余通道）
- 诊断覆盖率（DC）：> 99%
分析判断过程：采用单一通道的 STO 无法满足 HFT=1 的要求。因此，设计采用双通道 STO 架构。两个独立的控制路径（例如，两个不同的微控制器或同一微控制器的两个独立内核）分别控制两个独立的关断路径（如两个串联的电源开关器件）。同时，每个通道都具备自诊断功能，能够检测内部短路或断路故障，并在发现故障时安全地切断转矩。
实际操作步骤：
- 在变频器的安全控制板上，设计两路独立的 STO 输入信号（STO-A 和 STO-B）。
- 两路信号分别通过光耦隔离后，控制两个独立的门极驱动电路。
- 每个门极驱动电路控制 IGBT 模块中不同的关断路径，确保任一通道失效时，另一通道仍能可靠关断。
- 增加脉冲封锁检测电路，实时监控 STO 信号的状态，一旦发现两个通道状态不一致（例如，一个为高电平，一个为低电平），立即触发安全反应。
结果对比：改造后，STO 功能的 PFHd 计算值约为 5×10⁻⁹ / 小时，远低于 SIL 3 的要求。同时，由于采用了双通道架构，即使一个通道发生故障，系统仍能安全停机，不会导致危险发生。
风险与代价：双通道设计增加了硬件成本和软件复杂度。同时，对诊断功能的要求极高，需要定期进行功能测试以验证诊断覆盖率。
复盘经验：安全功能的设计必须从系统层面出发，不能仅依赖单一器件。SIL 等级是设计目标，而 HFT 和 DC 是实现目标的具体技术手段。在项目初期就应引入功能安全专家，避免后期因架构不合理而推倒重来。
常见误区警示：许多工程师误以为只要选用了带有 SIL 认证的变频器，整个系统就自动满足了 SIL 要求。实际上，变频器的 SIL 认证仅针对其内部的安全功能。系统集成商仍需负责整个安全回路（包括传感器、逻辑、执行器）的 SIL 验证，并确保外部接线、电源和安装符合安全要求。
4.4 常见误区与总结复盘
在功能安全概念的理解和应用中，以下几个误区尤为常见：
- 误区一：将“安全状态”等同于“断电停机”。对于某些应用，如悬挂负载，断电后负载可能自由坠落，此时安全状态应是“安全抱闸”而非“断电”。安全状态的定义必须基于具体的风险评估。
- 误区二：混淆“安全功能”与“保护功能”。过流保护、过压保护等属于设备保护功能，其失效不会直接导致人员伤害。而安全功能（如 STO）是用于保护人员的，其失效可能导致不可接受的风险。两者的设计要求和验证方法完全不同。
- 误区三：忽视安全功能的响应时间。SIL 等级不仅要求失效概率低，还要求响应时间满足应用需求。例如，对于高速旋转的离心机，STO 的响应时间必须足够短，以防止在停机过程中发生危险。
- 误区四：认为 SIL 4 是“最高级”所以最好。SIL 等级越高，实现成本越高，可用性可能降低（因为频繁的误停机）。应根据实际风险选择最合适的 SIL 等级，而非盲目追求高等级。
总结复盘：本章节作为功能安全概念的入门，重点厘清了 SIL、安全功能和安全状态三个核心术语。理解它们之间的关系是掌握 IEC 61800-5 系列标准的关键。在实际项目中，我们应首先进行风险评估，确定所需的安全功能及其 SIL 等级，然后设计出能够可靠进入安全状态的系统架构。记住，功能安全是一个系统工程，需要从需求分析、设计、验证到运维的全生命周期管理。