摘要：伺服沖壓設(shè)備中的滑塊安全停止功能是整臺設(shè)備上最重要的安全功能，該功能的失效將直接造成人員傷害或設(shè)備損毀等重大事故。本文針對滑塊安全停止功能失效問題進(jìn)行研究，通過在原有電氣控制系統(tǒng)中增加冗余結(jié)構(gòu)及診斷覆蓋率的方法，減小執(zhí)行滑塊停止功能時安全控制系統(tǒng)失效的概率。通過可靠性參數(shù)計算及實際使用結(jié)果表明，該方法能有效提高伺服沖壓設(shè)備中滑塊安全停止功能的可靠性。

1引言

作為沖壓設(shè)備發(fā)展的一種新趨勢，國內(nèi)外眾多企業(yè)已著手研發(fā)伺服機械壓力機。相比曲柄連桿壓力機而言，伺服壓力機可降低維護(hù)時間及成本、減小能耗、實現(xiàn)復(fù)雜工藝并可在任意位置實現(xiàn)最大公秤力。在伺服壓機工作的過程中，最常見的危險是由伺服電機帶動的滑塊上下運動而產(chǎn)生的擠壓危險。尤其對于一些經(jīng)常需要手工上下料的沖壓工藝來說，在人員介入滑塊危險區(qū)時確?；瑝K處在靜止?fàn)顟B(tài)是至關(guān)重要的。

傳統(tǒng)的滑塊停止方式采用停止信號直接切斷伺服使能的方式實現(xiàn)。這種單通道切斷執(zhí)行機構(gòu)的方式可靠性低，出現(xiàn)單個故障后便會導(dǎo)致安全功能失效。本文將對這個問題給出提高可靠性的方法。

2 滑塊安全停止失效問題

以緊急停止功能為例，當(dāng)危險情況發(fā)生時，操作人員按下壓機上的急停按鈕，伺服系統(tǒng)應(yīng)立刻響應(yīng)并停止滑塊（即伺服電機）運行。實際應(yīng)用中，使用單通道急停按鈕直接連接至伺服使能位，當(dāng)急停按鈕常閉觸點斷開時，伺服使能信號斷開，經(jīng)由內(nèi)部單通道電路切斷伺服電機動力源并使控制伺服電機抱閘，其電路如圖1所示：

圖1 急停控制伺服停機回路圖

該結(jié)構(gòu)中存在幾個顯著問題：

（1）急停按鈕經(jīng)過長時間操動后，金屬觸點會出現(xiàn)粘連故障，導(dǎo)致急停按鈕按下后其內(nèi)部常閉觸點無法斷開。

（2）接線不良可能導(dǎo)致伺服使能端和外部24V信號短路，致使按下急停時，急停信號雖然斷開但伺服使能依然存在。

（3）伺服驅(qū)動器內(nèi)部單通道電路發(fā)生單一故障，導(dǎo)致使能信號雖然斷開但伺服電機動力電源無法切斷。

上述失效都將導(dǎo)致按下急停按鈕后伺服電機無法正常停止，最終致使滑塊對人員造成傷害的情況。這些失效均屬于危險性失效，且控制系統(tǒng)無法診斷出這些失效情況。除了急停功能以外，單通道安全門、光柵觸發(fā)實現(xiàn)滑塊停止的安全功能都存在類似危險失效問題。因此，這樣的控制系統(tǒng)不具有高可靠性以保障人員安全。

3 安全控制回路設(shè)計

由于壓力機的高危險性，國際上專門針對機械壓力機制定了EN692安全標(biāo)準(zhǔn)。在對一臺伺服壓力機實施風(fēng)險評估后可知，對于人工上下料的壓力機，若采用控制系統(tǒng)實現(xiàn)滑塊停止功能，那么控制回路可靠性需要達(dá)到ISO 13849-1 PLe的要求，即每小時產(chǎn)生危險失效的可能性為10-8/h≤PFHd≤10-7/h。為了實現(xiàn)該性能指標(biāo)，需分別考慮系統(tǒng)結(jié)構(gòu)類別（Category）、危險失效平均時間、平均診斷覆蓋率、共因失效及系統(tǒng)性失效等多個因素。在回路設(shè)計之前，需首先確定伺服驅(qū)動的停止方式。

3.1確定伺服驅(qū)動停止類型

根據(jù)可調(diào)速電氣傳動系統(tǒng)安全標(biāo)準(zhǔn)IEC 61800-5-2及電氣安全標(biāo)準(zhǔn)IEC60204的要求，伺服驅(qū)動設(shè)備的停止類型可分為三種：

（1）安全力矩關(guān)斷（STO）：該停止方式直接切斷伺服驅(qū)動系統(tǒng)與電機之間的電源。STO功能觸發(fā)后電機處在非受控狀態(tài)，將只依靠自然慣性達(dá)到最終停止。

（2）安全停止1（SS1）：該停止方式先通過制動系統(tǒng)對電機進(jìn)行抱閘，直至達(dá)到定義的延時時間或電機停止后再切斷電機供電，即觸發(fā)STO。與STO相比，SS1在電機達(dá)到靜止?fàn)顟B(tài)之前將對其進(jìn)行控制制動。 

（3）安全停止2（SS2）：該停止方式對電機的靜止?fàn)顟B(tài)進(jìn)行監(jiān)控。相比STO及SS1的停止方式，SS2不會切斷電機供電，這樣電機的力矩將始終保持。

對于伺服壓力機而言，如果安全功能觸發(fā)時直接切斷驅(qū)動器動力電源，那么滑塊將由于慣性力矩而繼續(xù)運行一段距離，這種情況依然可能導(dǎo)致滑塊擠壓的傷害，因此不能使用STO的停止方式。另一方面，由于伺服壓力機外部負(fù)載通常比較大，因此通常會在外部添加抱閘機構(gòu)，保證在斷電情況下依然可以保持滑塊位置。在這種情況下，SS1是最理想的安全停止方式。而對于正常操作過程（如上下料、碎片清理等）中的滑塊停止功能，為了避免重復(fù)通斷電源對設(shè)備及生產(chǎn)過程造成的影響，采用SS2的安全停止方式是比較理想的。

3.2 確定系統(tǒng)結(jié)構(gòu)

從圖1中不難看出，由于輸入、控制及輸出部分均采用單通道結(jié)構(gòu)的設(shè)計方法，系統(tǒng)不具有容錯性，發(fā)生單個故障時便會導(dǎo)致系統(tǒng)失效，而通過改變系統(tǒng)結(jié)構(gòu)可使可靠性提升。為了達(dá)到PLe的可靠性要求，本文設(shè)計的安全系統(tǒng)采用等級4的結(jié)構(gòu)類別，該結(jié)構(gòu)類別具有以下特征：

（1）在安全相關(guān)部件上發(fā)生的任意故障都不會導(dǎo)致安全功能失效。

（2）在執(zhí)行安全功能之時或之前安全系統(tǒng)應(yīng)檢測出單個故障，如果該措施不可行，則未檢測到的故障累積后仍不會導(dǎo)致安全功能失效。

安全功能系統(tǒng)結(jié)構(gòu)如圖2所示。

圖2 安全功能系統(tǒng)結(jié)構(gòu)圖

實際設(shè)計時，輸入、邏輯和輸出部件均采用冗余，且邏輯部件主要負(fù)責(zé)整個安全回路中所有故障的檢測。本設(shè)計在保留原有伺服驅(qū)動器的前提下增加安全繼電器，并將原有單通道回路改為雙通道冗余回路。該方法的安全改造成本相對較小。

對于急停切斷伺服的安全回路，急停按鈕的觸點將采用冗余常閉觸點來實現(xiàn)。安全繼電器內(nèi)部采用冗余的繼電器結(jié)構(gòu)并增加了檢測回路用于檢測輸入、邏輯、輸出所有部件中的故障。此外其內(nèi)部還采用了電子熔斷器檢測通道間的短路故障。在圖3所示回路圖中，S11-S12為第一通道，S21-S22為第二通道，S12-S34為復(fù)位/啟動通道，Y1-Y2為反饋回路通道。設(shè)備啟動或復(fù)位時，K3線圈吸合，若此時雙通道安全信號正常，則繼電器K1及K2吸合，K3線圈斷電，安全輸出點輸出信號。

圖3 安全繼電器電路結(jié)構(gòu)

急停安全功能輸入回路如圖4所示。急停按鈕S1采用雙通道結(jié)構(gòu)接入安全繼電器A1的輸入回路，任意一個通道的故障（如觸點熔焊）都將導(dǎo)致繼電器A1的輸出觸點斷開。

圖4 急停安全功能輸入回路

在輸出回路設(shè)計方面，需要在原有伺服動力回路中增加冗余接觸器并采用具有斷電延時功能的安全繼電器。通過瞬時觸點切斷控制使能，延時觸點切斷冗余接觸器的方式實現(xiàn)SS1。采用安全繼電器作為邏輯控制器實現(xiàn)SS1的實際設(shè)計如圖5所示：

圖5 急停安全功能輸出回路

圖5中，在經(jīng)過一段延時時間達(dá)到靜止?fàn)顟B(tài)后，安全繼電器A1的延時觸點37-38及47-48將斷開，通過兩個冗余接觸器K1及K2切斷伺服動力電源，以確保在任意一個接觸器出現(xiàn)故障時伺服動力回路依然能夠斷開。另外K1及K2的常閉觸點串聯(lián)在安全繼電器的復(fù)位回路中，使安全繼電器能夠在每次工作前檢測兩個接觸器是否故障。需要注意的是，延時時間的設(shè)置需根據(jù)滑塊停止的風(fēng)險評估結(jié)果來確定。

3.3 提高診斷覆蓋率的措施

在雙通道輸入回路中，雖然可以通過檢測兩個通道的同步性檢測某一個通道觸點熔焊的故障，但雙通道的使用也導(dǎo)致觸點間短路故障的產(chǎn)生。如果雙通道信號共用一個公共端，那么觸點間短路故障便無法檢測，如圖6所示。

圖6 不檢測觸點間短路故障回路圖

從圖6中可以看出，在S12和S22之間任意位置發(fā)生短路時，安全控制器無法檢測出這種故障。雖然該單一故障不影響安全功能，不過一旦急停觸點發(fā)生再熔焊后便會導(dǎo)致故障疊加，此時安全功能便會失效。因此，這種輸入回路的平均診斷覆蓋率只能達(dá)到90%。

為了解決這一問題，本設(shè)計的輸入回路采用了安全繼電器上兩個獨立的通道，如圖7所示。其中，S11-S12通道檢測24V信號，S21-S22通道檢測0V信號，觸點間出現(xiàn)短路后將導(dǎo)致S11與A1之間的電子熔斷器動作，停止控制器運行。通過這種方法提高輸入端的診斷覆蓋率，可使輸入端達(dá)到99%。

圖7 檢測觸點間短路故障回路圖

輸出回路方面的診斷覆蓋率主要取決于對執(zhí)行機構(gòu)是否采取反饋監(jiān)控。如圖4所示，控制伺服動力回路的接觸器K1和K2的狀態(tài)通過常閉觸點接入安全控制器，后者在啟動輸出之前首先檢測兩個常閉觸點是否閉合，如果處在斷開狀態(tài)，則說明K1和K2主觸點粘連，安全控制器將停止輸出并報警。采用這種直接反饋監(jiān)控的方法，DC能夠達(dá)到99%。而如果僅監(jiān)控K1和K2中任意一個執(zhí)行機構(gòu)的狀態(tài)，則DC將大幅降低。根據(jù)的計算公式：

（1）

可知，若不監(jiān)控K2反饋，則。如果K1和K2采用相同元件，則，導(dǎo)致最終DCavg降低為49.5%。

需要注意的是，由于安全控制器通過監(jiān)控外部接觸器常閉觸點的狀態(tài)以診斷接觸器主觸點是否故障，因此接觸器常閉觸點需要正確反映其常開觸點的狀態(tài)。在線圈不通電的情況下，普通接觸器常開觸點如果發(fā)生熔焊，其常閉觸點依然為初始（即閉合）狀態(tài)。這種情況下即便使用反饋監(jiān)控依然無法診斷出外部故障，即DC=0。對于這種問題，需要采用經(jīng)驗證的安全原則或元器件來解決。本設(shè)計采用機械連桿結(jié)構(gòu)的接觸器，其內(nèi)部結(jié)構(gòu)如圖8所示。

圖8 具有機械連桿結(jié)構(gòu)的接觸器或繼電器

從圖8中可以看出，接觸器或繼電器內(nèi)部所有觸點直接采用連桿連接，這樣可以保證在任意一個主觸點出現(xiàn)故障（如熔焊）時輔助觸點必然斷開。這樣便可保證反饋監(jiān)控的正確性。

4 系統(tǒng)可靠性驗證

在安全系統(tǒng)組建完成之后，最后需要計算安全回路的可靠性是否達(dá)到既定要求。本設(shè)計可靠性驗證所遵循的標(biāo)準(zhǔn)為ISO 13849-1。該標(biāo)準(zhǔn)不僅適用于電子電氣系統(tǒng)，也適用于機械、液壓及氣動系統(tǒng)。伺服壓力機由于采用多系統(tǒng)協(xié)同工作，因此采用該標(biāo)準(zhǔn)最為合適。在確定了系統(tǒng)結(jié)構(gòu)、及之后，可通過查表法估算出安全回路的。

在本次安全停止回路設(shè)計中，由于采用了外部接觸器的方式切斷伺服驅(qū)動，因此實際安全回路由急停、安全繼電器及接觸器三部分構(gòu)成，即：

（2）

由于安全控制器內(nèi)部結(jié)構(gòu)復(fù)雜，用戶無法自行計算其可靠性數(shù)值，因此該數(shù)值通常由元器件廠商給出。本文中使用Pilz PNOZ s5安全繼電器作為邏輯控制器，該元器件。

為了計算及需要確定這兩個元器件的。急停按鈕及接觸器內(nèi)部都采用觸點切換的方式工作，需要采用公式3及4進(jìn)行計算。

（3）

（4）

其中指10%的元器件產(chǎn)生危險失效時的動作次數(shù)，該數(shù)值需由元器件供應(yīng)商提供。為每年元器件動作次數(shù)，為設(shè)備年工作天數(shù)，為設(shè)備每天工作小時數(shù)，為安全元件兩次動作之間的間隔時間。

假設(shè)在壓機實際工作過程中，人員一般每天2次按下急停，壓機每年工作300天，每天運行兩班即16小時，則計算可得為400次，若急停按鈕的值為20萬次，則計算可得約為5000年。按照第三章的系統(tǒng)構(gòu)建方式組建系統(tǒng)，輸入部分系統(tǒng)結(jié)構(gòu)可達(dá)Category4，診斷覆蓋率為99%，在滿足共因失效要求的前提下，根據(jù)ISO13849-1附錄表可查知，。

在輸出方面，若接觸器的值為20萬次，其余參數(shù)不變，則可計算出輸出回路PFHDContactor亦為9.06x10-10/h。整個急停安全回路為，可以達(dá)到最高性能等級PLe，滿足既定要求。

5. 結(jié)論

本文從伺服壓機上常用的緊急停止功能出發(fā)，介紹了普通伺服驅(qū)動上容易出現(xiàn)的安全停止功能失效問題。通過增加安全控制器，改變系統(tǒng)結(jié)構(gòu)，增加診斷覆蓋率的方法增加了安全停止回路的可靠性。伺服壓機上其他基本安全功能如安全聯(lián)鎖、安全光幕等也可通過這種方式集成到控制回路中，可顯著提高伺服控制部分的安全性能。另一方面，不僅僅是伺服壓力機，其他伺服控制的設(shè)備大多也可采用這種方式提升設(shè)備可靠性。隨著安全理念的日益深入，相信在伺服驅(qū)動上添加安全系統(tǒng)或直接在伺服驅(qū)動內(nèi)集成安全功能的應(yīng)用會越來越廣泛。