变频驱动器保障机器安全：关键功能与最佳实践

电子设备安全功能通用原则

本文介绍变频驱动器在机械安全功能中的应用。旨在帮助熟悉交流变频器但对安全相关控制系统较陌生的人。帮助读者理解原则，进而获取大量关于安全相关系统的详细资料。

“功能安全”用于电气、电子或可编程设备执行影响人身安全的功能。这是个巨大话题，涵盖铁路信号、大型过程装置监控等多种应用，事故发生时许多人可能面临风险。但在驱动器应用中最常指某种机械，控制系统可防止人因机械运行面临受伤风险。简单例子是安全护栏，需频繁打开进入机械部位，但打开时机械绝不能运行。传感器和执行器系统可设计为检测护栏状态并控制机器。

随着PLC和数字VSD等智能可编程设备可用，安全系统可比此例更灵活智能，在保持安全前提下允许灵活操作。例如，护栏打开时允许降速继续运行，可能以合格人员操作特殊安全钥匙为条件，或识别人脸，或其他预防措施。

失效模式

安全功能关键因素是功能可靠性必须远优于直接电气、电子或可编程设备所能达到水平。无论常规电气电子电路质量多好，某些元件故障会导致其无法执行所需安全功能，且故障不显现。安全功能硬件因此须设计内置自检或“故障安全”特性。产品开发期间必须用失效模式与影响分析（FMEA）分析硬件故障影响，通过设计将潜在危险失效模式降至极低水平。完整性等级SIL3的典型PFH_D（危险方向失效概率）目标为10^-8/小时，即失效率低于每10,000年一次。如此低失效率总要求电子控制系统特殊结构。注：指设备预期工作寿命内随机故障，非寿命预期。预期寿命内有已知磨损机制的部件可通过计划维护管理。

控制结构

大多数涉及驱动器的应用针对固定机器安全，最常用选项是安全功能用两独立通道，交叉检查使任一通道差异即停机，即驱动转矩停止。大多数机器这导致安全状态。对可能在无驱动转矩下因重力移动的起重机等机器，须采取措施确保驱动转矩消失时不构成危险。

图1说明基本双通道安全系统，也称“二选一”或1oo2系统，意为两通道任一请求停机则机器停。这是机械安全控制系统最常用布置。任一通道传感器或信号调理处理器故障不导致安全功能丧失。注意图1为功能图，输出端“与门”非简单逻辑芯片，因那会引入单点故障机制。可为驱动器双通道STO输入或其他消除单一设备共因故障的方法。

灰色显示的诊断功能通常为持续安全所必需，因无它虽单通道故障不导致安全功能失效，但机器可能无限期在一通道不安全状态下运行。第二次故障则导致危险状态。

图1：二选一控制结构

软件/固件

运行固件和软件的嵌入式处理器给功能安全引入新维度。软件无随机故障，但其复杂性意味着难确保其在所有条件和事件序列下按预期运行。不能用“黑箱”整体测试证明。软件须用定义良好的语言编写，采取措施避免编码错误，仔细模块化结构以便每步指定测试。还须证明模块不受处理器系统中其他活动不利影响，若同一处理器运行非安全代码则难办。

创建清晰无歧义规范、测试计划、彻底记录过程的必要纪律，适用于编码和完整系统设计。

软件质量重要控制是区分“受限变异语言”（LVL）和“完全变异语言”（FVL）。LVL限于以受限方式配置预批准的、定义良好功能的模块，使结果可用简单顺序测试程序测试。LVL本应用FVL（如C++等）经完整严格设计过程创建，然后锁定禁止LVL程序员访问。

软件易修改特性也意味着必须建立安全版本控制体系，包括防止未授权更改。

驱动器应用

许多由简单输入序列组合控制输出的安全功能，可在具有防硬件故障和软件错误特殊功能的PLC中实现，即“安全PLC”。但有应用驱动器特别适合成本效益地实现此类功能：

• 防止驱动——逆变器驱动器有独特特性适合安全链最终环节，即在需要时以极高完整性防止电机产生转矩。这定义为安全转矩关断（STO）。
• 限制运动范围，包括转矩、加速度、速度、方向或位置，绝对值或相对值如位置增量。驱动器控制这些变量并常有精准快速响应测量，如通过轴或位置编码器，或观察电机电压电流行为。若这些驱动器相关功能与机器传感器（如闸门开关、钥匙开关）输入的简单组合逻辑和顺序逻辑结合，可实现大类安全应用。

机械控制系统安全相关部分标准

安全系统设计严格管理实施需求意味着相关国际标准复杂密集。此处仅看与机械安全最相关标准的几个关键特征。

国际标准前缀ISO或IEC。欧洲CENELEC标准前缀EN。此处看EN版本，国际形式用相同编号不同前缀。EN版本具有EC机械指令协调标准地位。

EN ISO 12100描述机械风险评估如何进行，必要时将安全功能分配给控制系统。这是正确设计安全相关控制的必要前提，是机器设计师责任。

EN 61800-5-2是电力驱动系统功能安全标准。定义一些特别适合驱动器的功能[1]，称为“指定安全子功能”，如安全转矩关断（STO）、安全限速（SLS）等。完整安全功能的安全完整性用SIL衡量，取值1（最低）到3。因驱动器是完整安全相关控制系统的子系统，这称为其“SIL能力”。

EN 62061是机械电气/电子/可编程控制系统标准，用与EN 61800-5-2相同SIL指标。

EN ISO 13849-1是机械控制系统标准，含非电气系统。用不同指标，性能等级（PL）和类别（B到4）。补充标准EN ISO 13849-2涵盖“验证”，包括指导考虑哪些故障、哪些可排除（“故障排除”）。

许多安全相关电气/电子/可编程系统标准化基础是EN 61508-#系列，第1至7部分。这些本身非协调标准，因涵盖所有系统非仅机械控制系统。

安全完整性等级

给定安全功能所需SIL或PL与功能必须缓解的风险程度相关——即可能伤害的概率和严重性。决定此过程始于EN ISO 12100描述的机器风险评估。推导所需SIL或PL规则在EN 62061和EN ISO 13849-1中给出。

逆变器驱动器中的安全转矩关断（STO）

驱动器可提供的最基本安全功能是STO。控制感应电机的逆变器驱动器特别适合此功能，因逆变器功率级必须持续激活复杂良控PWM开关模式，为大多数功率半导体产生电机转矩。图2说明逆变器基本功率结构。

图2：直流链逆变器基本功率结构

电机需旋转磁场产生转矩，仅能由六功率晶体管遵循复杂良定义开关模式在输出端子产生三相电压组生成。无此控制模式时，因逆变器供电为直流，逆变器功率电路无故障能倾向产生转矩。最坏故障是两晶体管在两逆变器腿对极意外导通，如图2红箭头所示。此时一相电机会流过高不可控电流，直到过流保护动作或逆变器损毁（输入熔断器或断路器切断）。这都不产生旋转磁场，故无转矩生成。

永磁或磁阻电机此最坏故障会致临时对齐转矩直到保护装置动作。极限下，永磁电机可转一个极距，磁阻电机半极距。

逆变器功率级与驱动器STO控制输入间接口须设计为维持极低不安全故障概率，即复杂PWM控制模式非意外传递给逆变器晶体管。典型布置用某种“故障安全”技术，正如逆变器本身，各类元件故障均导致“使能”命令丧失。可有两独立通道使STO功能易接双通道安全控制器。

更高级驱动器安全功能

大多数其他驱动器指定安全功能需分析电机电流和/或转速等数据。典型在微控制器实现，第二控制器持续交叉检查输入输出数据和处理器动作，如图3所示。检测到差异不变地导致驱动器通过STO功能禁用。

通过双通道交叉检查将危险方向硬件故障概率降至可容忍水平。输入装置如开关复制以允许检测简单“卡住”错误，可供应多样化电脉冲以检测通道间更隐蔽偷溜故障。基本增量轴编码器有有用固有特性允许检测大多数故障，因两脉冲轨迹有90°相移，意味着大多数错误导致不可能脉冲序列，可被检测。数字输出用定期测试脉冲检查，测试有意保持高（真）逻辑状态的输出仍能否变低——有时称OSSD输出。

系统性故障（即设计固有故障）概率通过最严格的过程降至可容忍水平：精确定义安全功能需求，跟踪实施、测试和文档。

完整机器与安全组件

指定和跟踪安全功能的严格过程必须对每个单独应用遵循，机器设计师最终负责。若带功能安全特性的驱动器用作设计一部分，它成为安全组件，其自身安全需求规范和认证成为完整系统文档一部分。

欧盟内此要求嵌入法律形式：机械指令2006/42/EC，含单独投放市场时安全组件定义和要求。实践中通常意味着带安全功能驱动器附带政府批准通报机构颁发的EC型式检验证书，允许用于机器安全相关控制系统。若STO作为标准内置，可能用也可能不用作安全组件，驱动器则须有两份单独EC制造商声明，依据机械指令和低电压指令。