FESTO功能安全技术详解——气动与电驱动系统的机器风险评估、ISO 13849性能等级与STO/SS1/SOS安全子功能

在工厂自动化领域，机器安全不仅仅是一道合规门槛，更是保护操作人员生命安全和确保生产连续性的核心防线。无论气动系统还是电驱动系统，都需要通过系统性的风险评估和安全功能设计来降低危害发生的概率。FESTO在其官方博客中推出了一系列功能安全专题文章，从风险分析方法论到具体的安全子功能实现，为工程师提供了一条从评估到实施的完整技术路径。

功能安全的法规框架

现代机器的功能安全建立在多层级的国际标准体系之上。该体系的顶层是ISO 12100——机器安全设计通则，它定义了风险评估的基本原则、危害识别方法和保护措施优先顺序。在此基础上，ISO 13849（安全相关控制系统部件）专门针对控制系统的安全功能提出了具体的性能等级（PL）要求和验证方法。

对于电驱动系统，还需参考IEC 61800-5-2中定义的安全子功能（如STO、SS1、SBC等），而过程工业则可能适用IEC 61508和IEC 62061的安全完整性等级（SIL）框架。理解这些标准之间的层次关系是开展风险分析的基础。

风险评估的基本方法

功能安全的第一步是系统的风险评估。FESTO在其指导文档中推荐了以下结构化流程：

信息收集——整理机器的功能描述、操作模式、维护步骤和运行环境数据
危害识别——逐一识别每个操作区域可能存在的机械、电气、热力、噪声等危害源
风险等级估算——基于危害严重性（S）、暴露频率（F）和避免可能性（P）三个维度评估每个危害的风险等级
保护措施决策——根据风险等级判断是否需要增加安全功能，并确定所需的性能等级（PL a至PL e）

这一方法论的核心原则是：风险降低措施应优先考虑本质安全设计（从源头消除危害），其次是技术保护装置（如安全光幕和联锁门），最后才是操作程序和个人防护装备。

安全功能的三层架构

一个完整的安全功能由三个核心环节组成：

输入端——安全传感器，如安全门开关、急停按钮、安全光幕或安全位置编码器。这些设备负责检测危害条件是否出现。
逻辑端——安全继电器或安全PLC，接收输入信号并基于预设的安全逻辑做出判断。
输出端——执行安全动作的元件，在气动系统中通常为安全阀组（如冗余串联的先导阀和排气阀组合），在电驱动系统中则为具有STO等安全功能的安全驱动器。

三层架构的核心要求是冗余和多样性——任何单一元件的故障都不应导致安全功能的丧失。这通过双通道设计和交叉监控来实现。

气动系统的安全子功能

在气动驱动系统中，安全子功能的实现主要依赖对压缩空气流向和压力的精确控制：

STO（安全力矩切断）——切断气源供应并将气缸两腔同时排气，确保驱动力完全消失。实现方式是使用冗余的先导-排气阀组合，同时切断供气和释放残余压力。
SS1（安全停止1）——先将气缸减速至停止（通过比例阀或节流元件控制排气速率），待确认静止后再执行STO动作。这一过程避免了急停可能对运动机构或工件造成的冲击损伤。
SOS（安全工作停止）——在停止位置保持压缩空气供给以抵抗外部作用力，使气缸维持在静止状态。与STO不同的是SOS不排气，适用于需要在断电状态下保持负载位置的重力承载场景。

电驱动系统的安全子功能

在电驱动系统中，相同的安全概念由伺服驱动器和电机的电子安全功能实现：

STO——通过硬件电路断开电机绕组的驱动力供应，使电机无法产生扭矩。这是电驱动系统中最基本和最常见的硬件安全功能。
SS1——驱动控制器先执行受控减速（通过电流调节制动），在电机速度降至阈值以下后再触发STO。这种方式在保证安全的同时避免了对机械传动部件的过度冲击。
SBC（安全抱闸控制）——在STO或SS1执行后，激活或维持制动器的制动力，防止垂直轴等受重力影响的运动轴发生坠落。

从评估到验证：完整的工程闭环

功能安全的实施并非在安全功能配置完成后就结束。FESTO强调，整个安全生命周期还包括验证和确认两个关键阶段：验证确保安全功能的设计参数满足PL或SIL等级要求（通过安全可靠性计算如MTTFd、DCavg和CCF评分），确认则通过实际测试验证安全功能在真实机器上的行为符合预期。

在工业安全监管日趋严格、对操作人员保护要求不断提高的环境下，对气动和电驱动系统实施系统化的风险评估和安全功能设计，不仅是合规义务，更是机器制造商和系统集成商核心竞争力的重要组成部分。

技术文章