3. 安全限位与制动相关标准与法规
在伺服系统的安全限位与制动设计中，标准不是“参考读物”，而是决定安全功能能否成立、性能等级能否达标、验收能否通过的技术依据。很多工程争议并非出在电路或代码，而是出在对术语、安全功能边界和性能等级要求的理解不一致。本节围绕 ISO 13849、IEC 61508、IEC 61800-5-2 三条主线，梳理与安全限位、安全制动直接相关的术语、功能定义和等级要求，并说明它们如何落到伺服驱动与制动回路的实际设计中。
一、三套标准的分工与关系
IEC 61508 是功能安全的“母标准”，提出安全生命周期、安全完整性等级（SIL 1～SIL 4）、硬件故障裕度、安全失效分数等通用框架，适用于电气/电子/可编程电子安全相关系统。ISO 13849 面向机械安全控制系统的部件与系统，使用性能等级 PL a～PL e，强调类别（Category B、1、2、3、4）、MTTFd、DCavg、CCF 等参数，工程上更贴近机械设备的实际回路。IEC 61800-5-2 是“可调速电力驱动系统—安全要求”的产品标准，把前两者的思想具体化为驱动可执行的安全功能，如 STO、SS1、SS2、SOS、SLS、SLP、SDI、SBC 等。
三者关系可以概括为：IEC 61508 提供方法论与 SIL 框架，ISO 13849 提供机械控制系统的 PL 评估路径，IEC 61800-5-2 提供伺服/变频驱动可落地的安全功能定义与验证要求。同一台伺服系统，机械安全回路常按 ISO 13849 评 PL，驱动内部安全功能按 IEC 61800-5-2 定义，涉及复杂电子或高 SIL 场合再引用 IEC 61508。
二、关键术语：安全功能、安全状态与故障响应
ISO 13849 把“安全功能”定义为由安全相关控制系统执行、用于维持机械安全状态的功能。对伺服限位与制动而言，典型安全功能包括：超程时停止运动、进入限制区域时降低速度、断电时使驱动进入安全扭矩关断状态、以及使机械抱闸可靠闭合。IEC 61800-5-2 进一步把“安全状态”具体化为驱动不再向电机输出可致害扭矩或运动的状态，例如 STO 下驱动输出级被禁止触发，电机自由停车（或由抱闸保持）。
“故障响应时间”是限位与制动设计中最容易被低估的参数。它由检测时间、逻辑处理时间、驱动执行时间和机械制动时间叠加而成。若安全限位要求在 200 ms 内使运动停止，而检测 20 ms、逻辑 30 ms、STO 执行 10 ms、抱闸闭合 120 ms，则总响应约 180 ms，尚有余量；若抱闸闭合需 200 ms，则必须改用 SS1 先减速再抱闸，或提高检测与执行速度。标准要求安全功能在故障响应时间内达到安全状态，因此这些时间必须在设计阶段逐项确认，而不是在调试时“试出来”。
三、安全限位相关功能：SLS、SLP、SDI
IEC 61800-5-2 定义的安全限位功能直接对应伺服的位置与速度约束。SLS（Safely Limited Speed）安全限制速度，用于在人员进入危险区时把电机转速限制在设定值以下，例如将最大转速从 3000 r/min 降至 300 r/min。SLP（Safely Limited Position）安全限制位置，用于防止轴越过安全位置边界，通常与绝对编码器或安全位置传感器配合。SDI（Safe Direction）安全方向，用于只允许轴朝安全方向运动，反向运动被禁止。
这些功能的性能等级要求取决于风险图结果。以一台包装机伺服轴为例，若人员可频繁接近且伤害不可逆，风险图可能给出 PL d 要求。此时 SLS 的实现不能只依赖单一速度传感器，而应采用类别 3 结构：双通道速度检测、交叉比较、诊断覆盖率 DCavg 达到中高，MTTFd 达到高，并满足 CCF 要求。若仅用单通道软件限速，即使功能名称叫 SLS，也不能声称达到 PL d。
四、安全制动相关功能：STO、SS1、SS2、SBC
STO（Safe Torque Off）是最基础的安全制动功能，它切断驱动输出级的触发脉冲，使电机不再产生扭矩。STO 不负责减速，电机靠惯性自由停车，因此适用于抱闸能可靠保持或运动惯量小的场合。SS1（Safe Stop 1）先按受控方式减速，确认速度低于阈值后再触发 STO，适合需要快速停止且机械抱闸不能承受高速制动的场合。SS2（Safe Stop 2）先减速到安全速度，然后保持安全运行状态而非切断扭矩，适合需要保持位置或继续监控的场合。SBC（Safe Brake Control）安全制动控制，专门用于控制机械抱闸的释放与闭合，确保抱闸在安全功能触发时可靠动作。
制动功能的性能等级同样需要评估。以垂直轴为例，若抱闸失效会导致负载坠落，SBC 通常要求 PL d 甚至 PL e。实现上需采用双通道抱闸控制、抱闸电流或电压反馈诊断、以及定期测试。若抱闸线圈由单一输出控制且无反馈，则只能达到较低等级，不能用于高风险垂直轴。
五、性能等级与安全完整性的落地要求
ISO 13849 的 PL 评估需要计算 PFHd（每小时危险失效概率）。PL d 对应 PFHd 在 10⁻⁷ 至 10⁻⁶ 之间，PL e 对应 10⁻⁸ 至 10⁻⁷。工程上常通过类别、MTTFd、DCavg 和 CCF 查表得到 PL。IEC 61508 的 SIL 则通过安全失效分数、硬件故障裕度和系统能力确定。IEC 61800-5-2 要求驱动制造商给出安全功能的 SIL 或 PL 声明、安全参数（如响应时间、诊断覆盖率）和使用限制。
实际设计中，应建立“安全功能—标准条款—性能等级—验证方法”的对应表。例如：SLS 对应 IEC 61800-5-2 的 SLS 定义，要求 PL d，验证方法为双通道速度比较与故障注入测试；SBC 对应 SBC 定义，要求 PL d，验证方法为抱闸动作测试与反馈诊断。这样，标准要求才能转化为可执行、可检查的设计输入。
六、标准要求如何转化为设计输入
建议在项目初期完成三项工作。第一，依据风险图确定每个安全功能所需的 PL 或 SIL，并记录风险参数（伤害严重度、暴露频率、可避免性）。第二，从驱动制造商获取安全功能声明，确认 STO、SS1、SBC 等功能的等级、响应时间和使用条件。第三，把安全功能分配到具体回路：急停回路、安全门回路、限位开关回路、抱闸控制回路，并逐项计算 PFHd 或查表确认 PL。只有完成这三步，安全限位与制动设计才具备可验证的标准依据，而不是停留在功能名称的堆砌上。