3. 安全控制体系与标准约束
多轴运动平台的安全不是单一器件或单一功能能够保证的，它由机械安全、电气安全和功能安全三条主线共同构成。机械安全解决“人碰不到、碰了也不致伤”的问题，例如防护罩、安全围栏、机械硬限位挡块；电气安全解决“电不伤人、故障不引燃”的问题，例如保护接地、绝缘配合、短路与过载保护、安全电压；功能安全解决“控制系统在故障时仍能可靠地把机器带入安全状态”的问题，例如急停回路、安全门监控、安全限速与安全转矩关断。三者缺一不可：只有机械防护而没有可靠的安全控制，门被打开时轴仍可能继续运动；只有安全控制而没有机械硬限位，一旦接触器粘连或编码器失效，滑台仍可能冲出导轨。
从标准约束看，功能安全的核心是 IEC 61508 及其在机械领域的派生标准 IEC 62061 与 ISO 13849-1。ISO 13849-1 用性能等级 PL（a 至 e）描述安全相关控制系统的可靠性，其输入包括结构类别 Cat.B、1、2、3、4，平均危险失效时间 MTTFd，诊断覆盖率 DC，以及共因失效 CCF。工程上常把急停、安全门、STO 这类回路做到 PL d、Cat.3，即采用双通道冗余、交叉监控，并在单点故障时仍能保持安全功能。IEC 62061 则用 SIL 1 至 SIL 3 描述，两者可通过对照表近似映射。机械安全侧主要依据 ISO 12100 风险评估与风险减小、ISO 13857 安全距离、ISO 13850 急停设计原则；电气安全侧依据 IEC 60204-1，规定停止类别 0、1、2，以及保护接地、残余电压、绝缘电阻等要求。理解这些标准的落点，比记住编号更重要。
在多轴平台中，安全功能最终要落到具体器件与信号上。安全继电器是传统方案：急停按钮、安全门开关、光幕的常闭触点串入双通道输入，继电器内部用强制导向触点做自检，一旦任一通道断开或两通道状态不一致，就切断接触器线圈，实现停止类别 0。它的优点是响应快、逻辑简单、无需编程；缺点是逻辑固定，难以实现分级减速、限速或分区屏蔽。安全 PLC 则把安全逻辑做成可编程的，输入仍是双通道安全信号，输出通过安全继电器或安全输出模块驱动伺服，可实现“门开先减速再断使能”“维护模式下低速点动”“某区光幕被遮挡只停该区”等复杂逻辑，并支持安全程序与标准程序分离、在线诊断与日志记录。
伺服驱动层面的安全功能是本节最需要落到参数上的部分。STO（Safe Torque Off，安全转矩关断）直接切断驱动内部功率级的触发脉冲，电机不再产生转矩，属于停止类别 0，常用于急停最终执行；SS1（Safe Stop 1，安全停止 1）先按设定减速度做受控减速，到达零速或超时后再触发 STO，适合大惯量、高速轴，避免直接断使能造成机械冲击或垂直轴坠落；SLS（Safely Limited Speed，安全限速）在维护、示教或开门状态下把轴速限制在安全值以内，超速即触发安全停止。三者常组合使用：正常生产用 SLS 做区域限速，开门触发 SS1 减速，急停直接 STO。下图给出这些安全功能在多轴平台中的信号链与落点关系。
把标准要求落到工程实现，关键是确定每个安全功能的停止类别、性能等级和响应时间。以一台三轴直角坐标平台为例，X、Y 为水平轴，Z 为垂直轴，额定速度 500 mm/s，Z 轴带抱闸。风险评估结论为：开门进入需 PL d、Cat.3，急停需 PL d、Cat.3，Z 轴还需防止断电坠落。据此可做如下配置：急停按钮双常闭触点接入安全继电器双通道，安全继电器输出同时切断三轴 STO 与抱闸电源，停止类别 0；安全门锁双通道接入安全 PLC，门开触发 SS1，X、Y 轴按 2000 mm/s² 减速，Z 轴先由抱闸保持再断 STO，减速时间约 0.25 s，超时 0.5 s 未到零速则直接 STO；维护模式下启用 SLS，三轴限速 50 mm/s，超速 10% 即触发 SS1。这些参数需写入安全程序并做验证。
验证时不能只看“按了急停轴会停”。应分别测量：急停按下到 STO 生效的时间，应小于安全回路响应时间设计值；SS1 减速过程中实际减速度与设定值偏差；SLS 触发后轴速是否稳定在限值内；单通道断开时系统是否报警并禁止启动。对 PL d 回路，还需确认双通道交叉监控有效、共因失效措施到位（如两通道使用不同品牌或不同布线路径）、诊断覆盖率满足要求。若使用安全 PLC，应保留安全程序版本、参数修改记录和验证报告，作为功能安全证据链的一部分。
机械、电气、功能安全三层的接口也要明确。机械防护确定安全距离后，才能确定光幕或门锁的安装位置与触发条件；电气安全确定接触器、断路器与接地方式后，才能确定安全输出的负载能力与冗余结构；功能安全确定 PL 与停止类别后，才能反推对器件 MTTFd、DC 和响应时间的要求。三者之间任何一层缺失，都会让另外两层失效。例如围栏安全距离不足，即使安全回路做到 PL e，人仍可能在轴停止前触及运动部件；又如接地不良，安全继电器可能因干扰误动作或拒动。因此，安全控制体系应按“风险评估—安全功能定义—标准选型—器件配置—验证记录”的顺序闭环推进，而不是先买器件再补逻辑。