气动与电气元件中的机器风险评估与降低——ISO 12100/13849标准框架与STO/SS1/SOS安全子功能全解析
在自动化设备中，确保操作人员安全是机器设计的首要任务。ISO 12100（机械安全——设计通则——风险评估与风险降低）为机器制造商提供了系统化的风险评估方法论。该标准要求在设计阶段识别所有基本危险源，评估风险等级，并决策是否需要防护措施。在此基础上，ISO 13849（控制系统安全相关部件）进一步规范了执行安全功能的控制回路设计，适用于气动和电气驱动系统。
整体安全功能的构成
一个完整的整体安全功能（Overall Safety Function）由三个环节组成：输入（传感器检测，如安全门开关）、逻辑（安全继电器单元评估信号）、输出（切断阀/功率开关设备执行动作）。以安全门为例：当操作员打开防护门时，安全门开关触发信号，安全继电器逻辑判断后，通过气动切断阀或电气功率开关使驱动系统进入安全状态。这一功能链上任何一个环节失效，都可能导致安全功能丧失。
安全子功能：STO、SS1、SOS
ISO 13849 定义了多种安全子功能（Safety Sub-Functions），其中与气动和电气驱动最密切相关的三种为：
STO（Safe Torque Off——安全转矩关断）
STO 是应用最广泛的安全子功能，其作用是切断驱动力源，防止意外启动。
气动系统：通过切断压缩空气供应的电源、使驱动腔排气，阻止产生危险的力。一旦压缩空气被切断，气缸将在弹簧力或重力作用下回到无压状态。具体手段包括使用冗余切断阀组合，确保即使单个阀芯卡滞也能可靠排气。
电气系统：通过切断伺服驱动器的功率级电源，防止驱动力矩的产生。STO 功能通常集成在伺服驱动器内部，对应 SIL 2 / PL d 安全等级。FESTO CMMT-ST 系列伺服驱动器即内置 STO 安全子功能。
SS1（Safe Stop 1——安全停止1）
SS1 要求驱动器在受控减速后进入安全状态，再切断能量供应。与 STO 直接切断不同，SS1 允许驱动在设定时间内完成减速停止，适用于需要可控减速以避免设备损坏或人员伤害的场景。
气动系统：通过减少或阻断体积流量使气缸减速并停止，达到静止状态后再降低压力（排气）。可通过比例阀或节流阀控制排气速度实现受控减速。
电气系统：伺服驱动器在定义的限定范围内执行受控减速停车，待驱动完全静止后再切断功率级电源（即 SS1 = 受控减速 + STO）。
SOS（Safe Operating Stop——安全操作停止）
SOS 确保驱动器保持在停止位置不变，同时保持能量供应以抵抗外力。与 STO 和 SS1 不同，SOS 并不切断驱动力源，而是通过控制系统持续监控位置偏差。
气动系统：防止气缸偏离停止位置，同时保持压缩空气供给以抵抗外部作用力。例如在垂直安装的气缸中，SOS 需要保持足够的背压来克服重力负载。
电气系统：伺服驱动器继续向电机供电以抵抗外部作用力，同时监控位置偏差。一旦检测到偏离超过容许范围，系统将触发 STO 进入安全关断状态。
ISO 12100 风险评估三步法
根据 ISO 12100 标准，风险评估遵循三个迭代步骤：
- 本质安全设计（Inherently Safe Design）——从源头消除危险，例如选择安全的低压气动系统替代高压液压系统、减小力和速度参数、消除夹压点和剪切点。
- 技术防护与补充防护措施——在本质安全设计不足以消除风险时，增加防护罩（ISO 14120）、安全门联锁装置（ISO 14119）、光幕、急停按钮（ISO 13850）等技术防护，以及 STO/SS1/SOS 等功能安全措施。
- 剩余风险告知——通过标识、警示标签、操作手册向用户传达残余风险，包括培训要求和安全操作规程。
FESTO 安全工程解决方案
作为气动和电气自动化领域的全球领先供应商，FESTO 提供完整的功能安全工程产品组合：从安全型阀岛（符合 VDMA 24584 标准）、冗余切断阀、软启动阀，到集成 STO/SS1 的 CMMT-ST 系列伺服驱动器。FESTO 还发布了《安全工程指南》（Safety Engineering Guidelines），系统性地阐述气动和电气安全回路的设计、验证与文档化流程。
总结
机器安全设计是一项系统性工程，需要在设计阶段就纳入 ISO 12100 风险评估流程，并基于风险评估结果选择合适的安全功能（STO/SS1/SOS）。对于同时使用气动和电气驱动的混合系统，设计者需要确保两类驱动技术都满足所要求的性能等级（PL）。FESTO 的功能安全白皮书《Achieving Functional Safety in Factory Automation》和 VDMA 24584 标准为该领域工程实践提供了翔实的参考框架。本系列后续文章将深入探讨如何确定机器所需性能等级（PL），敬请关注。
