摘要：伺服沖壓設(shè)備中的滑塊安全停止功能是整臺(tái)設(shè)備上最重要的安全功能，該功能的失效將直接造成人員傷害或設(shè)備損毀等重大事故。本文針對(duì)滑塊安全停止功能失效問題進(jìn)行研究，通過在原有電氣控制系統(tǒng)中增加冗余結(jié)構(gòu)及診斷覆蓋率的方法，減小執(zhí)行滑塊停止功能時(shí)安全控制系統(tǒng)失效的概率。通過可靠性參數(shù)計(jì)算及實(shí)際使用結(jié)果表明，該方法能有效提高伺服沖壓設(shè)備中滑塊安全停止功能的可靠性。

1引言

作為沖壓設(shè)備發(fā)展的一種新趨勢(shì)，國內(nèi)外眾多企業(yè)已著手研發(fā)伺服機(jī)械壓力機(jī)。相比曲柄連桿壓力機(jī)而言，伺服壓力機(jī)可降低維護(hù)時(shí)間及成本、減小能耗、實(shí)現(xiàn)復(fù)雜工藝并可在任意位置實(shí)現(xiàn)最大公秤力。在伺服壓機(jī)工作的過程中，最常見的危險(xiǎn)是由伺服電機(jī)帶動(dòng)的滑塊上下運(yùn)動(dòng)而產(chǎn)生的擠壓危險(xiǎn)。尤其對(duì)于一些經(jīng)常需要手工上下料的沖壓工藝來說，在人員介入滑塊危險(xiǎn)區(qū)時(shí)確?；瑝K處在靜止?fàn)顟B(tài)是至關(guān)重要的。

傳統(tǒng)的滑塊停止方式采用停止信號(hào)直接切斷伺服使能的方式實(shí)現(xiàn)。這種單通道切斷執(zhí)行機(jī)構(gòu)的方式可靠性低，出現(xiàn)單個(gè)故障后便會(huì)導(dǎo)致安全功能失效。本文將對(duì)這個(gè)問題給出提高可靠性的方法。

2 滑塊安全停止失效問題

以緊急停止功能為例，當(dāng)危險(xiǎn)情況發(fā)生時(shí)，操作人員按下壓機(jī)上的急停按鈕，伺服系統(tǒng)應(yīng)立刻響應(yīng)并停止滑塊（即伺服電機(jī)）運(yùn)行。實(shí)際應(yīng)用中，使用單通道急停按鈕直接連接至伺服使能位，當(dāng)急停按鈕常閉觸點(diǎn)斷開時(shí)，伺服使能信號(hào)斷開，經(jīng)由內(nèi)部單通道電路切斷伺服電機(jī)動(dòng)力源并使控制伺服電機(jī)抱閘，其電路如圖1所示：

圖1 急?？刂扑欧C(jī)回路圖

該結(jié)構(gòu)中存在幾個(gè)顯著問題：

（1）急停按鈕經(jīng)過長時(shí)間操動(dòng)后，金屬觸點(diǎn)會(huì)出現(xiàn)粘連故障，導(dǎo)致急停按鈕按下后其內(nèi)部常閉觸點(diǎn)無法斷開。

（2）接線不良可能導(dǎo)致伺服使能端和外部24V信號(hào)短路，致使按下急停時(shí)，急停信號(hào)雖然斷開但伺服使能依然存在。

（3）伺服驅(qū)動(dòng)器內(nèi)部單通道電路發(fā)生單一故障，導(dǎo)致使能信號(hào)雖然斷開但伺服電機(jī)動(dòng)力電源無法切斷。

上述失效都將導(dǎo)致按下急停按鈕后伺服電機(jī)無法正常停止，最終致使滑塊對(duì)人員造成傷害的情況。這些失效均屬于危險(xiǎn)性失效，且控制系統(tǒng)無法診斷出這些失效情況。除了急停功能以外，單通道安全門、光柵觸發(fā)實(shí)現(xiàn)滑塊停止的安全功能都存在類似危險(xiǎn)失效問題。因此，這樣的控制系統(tǒng)不具有高可靠性以保障人員安全。

3 安全控制回路設(shè)計(jì)

由于壓力機(jī)的高危險(xiǎn)性，國際上專門針對(duì)機(jī)械壓力機(jī)制定了EN692安全標(biāo)準(zhǔn)。在對(duì)一臺(tái)伺服壓力機(jī)實(shí)施風(fēng)險(xiǎn)評(píng)估后可知，對(duì)于人工上下料的壓力機(jī)，若采用控制系統(tǒng)實(shí)現(xiàn)滑塊停止功能，那么控制回路可靠性需要達(dá)到ISO 13849-1 PLe的要求，即每小時(shí)產(chǎn)生危險(xiǎn)失效的可能性為10-8/h≤PFHd≤10-7/h。為了實(shí)現(xiàn)該性能指標(biāo)，需分別考慮系統(tǒng)結(jié)構(gòu)類別（Category）、危險(xiǎn)失效平均時(shí)間、平均診斷覆蓋率、共因失效及系統(tǒng)性失效等多個(gè)因素。在回路設(shè)計(jì)之前，需首先確定伺服驅(qū)動(dòng)的停止方式。

3.1確定伺服驅(qū)動(dòng)停止類型

根據(jù)可調(diào)速電氣傳動(dòng)系統(tǒng)安全標(biāo)準(zhǔn)IEC 61800-5-2及電氣安全標(biāo)準(zhǔn)IEC60204的要求，伺服驅(qū)動(dòng)設(shè)備的停止類型可分為三種：

（1）安全力矩關(guān)斷（STO）：該停止方式直接切斷伺服驅(qū)動(dòng)系統(tǒng)與電機(jī)之間的電源。STO功能觸發(fā)后電機(jī)處在非受控狀態(tài)，將只依靠自然慣性達(dá)到最終停止。

（2）安全停止1（SS1）：該停止方式先通過制動(dòng)系統(tǒng)對(duì)電機(jī)進(jìn)行抱閘，直至達(dá)到定義的延時(shí)時(shí)間或電機(jī)停止后再切斷電機(jī)供電，即觸發(fā)STO。與STO相比，SS1在電機(jī)達(dá)到靜止?fàn)顟B(tài)之前將對(duì)其進(jìn)行控制制動(dòng)。 

（3）安全停止2（SS2）：該停止方式對(duì)電機(jī)的靜止?fàn)顟B(tài)進(jìn)行監(jiān)控。相比STO及SS1的停止方式，SS2不會(huì)切斷電機(jī)供電，這樣電機(jī)的力矩將始終保持。

對(duì)于伺服壓力機(jī)而言，如果安全功能觸發(fā)時(shí)直接切斷驅(qū)動(dòng)器動(dòng)力電源，那么滑塊將由于慣性力矩而繼續(xù)運(yùn)行一段距離，這種情況依然可能導(dǎo)致滑塊擠壓的傷害，因此不能使用STO的停止方式。另一方面，由于伺服壓力機(jī)外部負(fù)載通常比較大，因此通常會(huì)在外部添加抱閘機(jī)構(gòu)，保證在斷電情況下依然可以保持滑塊位置。在這種情況下，SS1是最理想的安全停止方式。而對(duì)于正常操作過程（如上下料、碎片清理等）中的滑塊停止功能，為了避免重復(fù)通斷電源對(duì)設(shè)備及生產(chǎn)過程造成的影響，采用SS2的安全停止方式是比較理想的。

3.2 確定系統(tǒng)結(jié)構(gòu)

從圖1中不難看出，由于輸入、控制及輸出部分均采用單通道結(jié)構(gòu)的設(shè)計(jì)方法，系統(tǒng)不具有容錯(cuò)性，發(fā)生單個(gè)故障時(shí)便會(huì)導(dǎo)致系統(tǒng)失效，而通過改變系統(tǒng)結(jié)構(gòu)可使可靠性提升。為了達(dá)到PLe的可靠性要求，本文設(shè)計(jì)的安全系統(tǒng)采用等級(jí)4的結(jié)構(gòu)類別，該結(jié)構(gòu)類別具有以下特征：

（1）在安全相關(guān)部件上發(fā)生的任意故障都不會(huì)導(dǎo)致安全功能失效。

（2）在執(zhí)行安全功能之時(shí)或之前安全系統(tǒng)應(yīng)檢測(cè)出單個(gè)故障，如果該措施不可行，則未檢測(cè)到的故障累積后仍不會(huì)導(dǎo)致安全功能失效。

安全功能系統(tǒng)結(jié)構(gòu)如圖2所示。

圖2 安全功能系統(tǒng)結(jié)構(gòu)圖

實(shí)際設(shè)計(jì)時(shí)，輸入、邏輯和輸出部件均采用冗余，且邏輯部件主要負(fù)責(zé)整個(gè)安全回路中所有故障的檢測(cè)。本設(shè)計(jì)在保留原有伺服驅(qū)動(dòng)器的前提下增加安全繼電器，并將原有單通道回路改為雙通道冗余回路。該方法的安全改造成本相對(duì)較小。

對(duì)于急停切斷伺服的安全回路，急停按鈕的觸點(diǎn)將采用冗余常閉觸點(diǎn)來實(shí)現(xiàn)。安全繼電器內(nèi)部采用冗余的繼電器結(jié)構(gòu)并增加了檢測(cè)回路用于檢測(cè)輸入、邏輯、輸出所有部件中的故障。此外其內(nèi)部還采用了電子熔斷器檢測(cè)通道間的短路故障。在圖3所示回路圖中，S11-S12為第一通道，S21-S22為第二通道，S12-S34為復(fù)位/啟動(dòng)通道，Y1-Y2為反饋回路通道。設(shè)備啟動(dòng)或復(fù)位時(shí)，K3線圈吸合，若此時(shí)雙通道安全信號(hào)正常，則繼電器K1及K2吸合，K3線圈斷電，安全輸出點(diǎn)輸出信號(hào)。

圖3 安全繼電器電路結(jié)構(gòu)

急停安全功能輸入回路如圖4所示。急停按鈕S1采用雙通道結(jié)構(gòu)接入安全繼電器A1的輸入回路，任意一個(gè)通道的故障（如觸點(diǎn)熔焊）都將導(dǎo)致繼電器A1的輸出觸點(diǎn)斷開。

圖4 急停安全功能輸入回路

在輸出回路設(shè)計(jì)方面，需要在原有伺服動(dòng)力回路中增加冗余接觸器并采用具有斷電延時(shí)功能的安全繼電器。通過瞬時(shí)觸點(diǎn)切斷控制使能，延時(shí)觸點(diǎn)切斷冗余接觸器的方式實(shí)現(xiàn)SS1。采用安全繼電器作為邏輯控制器實(shí)現(xiàn)SS1的實(shí)際設(shè)計(jì)如圖5所示：

圖5 急停安全功能輸出回路

圖5中，在經(jīng)過一段延時(shí)時(shí)間達(dá)到靜止?fàn)顟B(tài)后，安全繼電器A1的延時(shí)觸點(diǎn)37-38及47-48將斷開，通過兩個(gè)冗余接觸器K1及K2切斷伺服動(dòng)力電源，以確保在任意一個(gè)接觸器出現(xiàn)故障時(shí)伺服動(dòng)力回路依然能夠斷開。另外K1及K2的常閉觸點(diǎn)串聯(lián)在安全繼電器的復(fù)位回路中，使安全繼電器能夠在每次工作前檢測(cè)兩個(gè)接觸器是否故障。需要注意的是，延時(shí)時(shí)間的設(shè)置需根據(jù)滑塊停止的風(fēng)險(xiǎn)評(píng)估結(jié)果來確定。

3.3 提高診斷覆蓋率的措施

在雙通道輸入回路中，雖然可以通過檢測(cè)兩個(gè)通道的同步性檢測(cè)某一個(gè)通道觸點(diǎn)熔焊的故障，但雙通道的使用也導(dǎo)致觸點(diǎn)間短路故障的產(chǎn)生。如果雙通道信號(hào)共用一個(gè)公共端，那么觸點(diǎn)間短路故障便無法檢測(cè)，如圖6所示。

圖6 不檢測(cè)觸點(diǎn)間短路故障回路圖

從圖6中可以看出，在S12和S22之間任意位置發(fā)生短路時(shí)，安全控制器無法檢測(cè)出這種故障。雖然該單一故障不影響安全功能，不過一旦急停觸點(diǎn)發(fā)生再熔焊后便會(huì)導(dǎo)致故障疊加，此時(shí)安全功能便會(huì)失效。因此，這種輸入回路的平均診斷覆蓋率只能達(dá)到90%。

為了解決這一問題，本設(shè)計(jì)的輸入回路采用了安全繼電器上兩個(gè)獨(dú)立的通道，如圖7所示。其中，S11-S12通道檢測(cè)24V信號(hào)，S21-S22通道檢測(cè)0V信號(hào)，觸點(diǎn)間出現(xiàn)短路后將導(dǎo)致S11與A1之間的電子熔斷器動(dòng)作，停止控制器運(yùn)行。通過這種方法提高輸入端的診斷覆蓋率，可使輸入端達(dá)到99%。

圖7 檢測(cè)觸點(diǎn)間短路故障回路圖

輸出回路方面的診斷覆蓋率主要取決于對(duì)執(zhí)行機(jī)構(gòu)是否采取反饋監(jiān)控。如圖4所示，控制伺服動(dòng)力回路的接觸器K1和K2的狀態(tài)通過常閉觸點(diǎn)接入安全控制器，后者在啟動(dòng)輸出之前首先檢測(cè)兩個(gè)常閉觸點(diǎn)是否閉合，如果處在斷開狀態(tài)，則說明K1和K2主觸點(diǎn)粘連，安全控制器將停止輸出并報(bào)警。采用這種直接反饋監(jiān)控的方法，DC能夠達(dá)到99%。而如果僅監(jiān)控K1和K2中任意一個(gè)執(zhí)行機(jī)構(gòu)的狀態(tài)，則DC將大幅降低。根據(jù)的計(jì)算公式：

（1）

可知，若不監(jiān)控K2反饋，則。如果K1和K2采用相同元件，則，導(dǎo)致最終DCavg降低為49.5%。

需要注意的是，由于安全控制器通過監(jiān)控外部接觸器常閉觸點(diǎn)的狀態(tài)以診斷接觸器主觸點(diǎn)是否故障，因此接觸器常閉觸點(diǎn)需要正確反映其常開觸點(diǎn)的狀態(tài)。在線圈不通電的情況下，普通接觸器常開觸點(diǎn)如果發(fā)生熔焊，其常閉觸點(diǎn)依然為初始（即閉合）狀態(tài)。這種情況下即便使用反饋監(jiān)控依然無法診斷出外部故障，即DC=0。對(duì)于這種問題，需要采用經(jīng)驗(yàn)證的安全原則或元器件來解決。本設(shè)計(jì)采用機(jī)械連桿結(jié)構(gòu)的接觸器，其內(nèi)部結(jié)構(gòu)如圖8所示。

圖8 具有機(jī)械連桿結(jié)構(gòu)的接觸器或繼電器

從圖8中可以看出，接觸器或繼電器內(nèi)部所有觸點(diǎn)直接采用連桿連接，這樣可以保證在任意一個(gè)主觸點(diǎn)出現(xiàn)故障（如熔焊）時(shí)輔助觸點(diǎn)必然斷開。這樣便可保證反饋監(jiān)控的正確性。

4 系統(tǒng)可靠性驗(yàn)證

在安全系統(tǒng)組建完成之后，最后需要計(jì)算安全回路的可靠性是否達(dá)到既定要求。本設(shè)計(jì)可靠性驗(yàn)證所遵循的標(biāo)準(zhǔn)為ISO 13849-1。該標(biāo)準(zhǔn)不僅適用于電子電氣系統(tǒng)，也適用于機(jī)械、液壓及氣動(dòng)系統(tǒng)。伺服壓力機(jī)由于采用多系統(tǒng)協(xié)同工作，因此采用該標(biāo)準(zhǔn)最為合適。在確定了系統(tǒng)結(jié)構(gòu)、及之后，可通過查表法估算出安全回路的。

在本次安全停止回路設(shè)計(jì)中，由于采用了外部接觸器的方式切斷伺服驅(qū)動(dòng)，因此實(shí)際安全回路由急停、安全繼電器及接觸器三部分構(gòu)成，即：

（2）

由于安全控制器內(nèi)部結(jié)構(gòu)復(fù)雜，用戶無法自行計(jì)算其可靠性數(shù)值，因此該數(shù)值通常由元器件廠商給出。本文中使用Pilz PNOZ s5安全繼電器作為邏輯控制器，該元器件。

為了計(jì)算及需要確定這兩個(gè)元器件的。急停按鈕及接觸器內(nèi)部都采用觸點(diǎn)切換的方式工作，需要采用公式3及4進(jìn)行計(jì)算。

（3）

（4）

其中指10%的元器件產(chǎn)生危險(xiǎn)失效時(shí)的動(dòng)作次數(shù)，該數(shù)值需由元器件供應(yīng)商提供。為每年元器件動(dòng)作次數(shù)，為設(shè)備年工作天數(shù)，為設(shè)備每天工作小時(shí)數(shù)，為安全元件兩次動(dòng)作之間的間隔時(shí)間。

假設(shè)在壓機(jī)實(shí)際工作過程中，人員一般每天2次按下急停，壓機(jī)每年工作300天，每天運(yùn)行兩班即16小時(shí)，則計(jì)算可得為400次，若急停按鈕的值為20萬次，則計(jì)算可得約為5000年。按照第三章的系統(tǒng)構(gòu)建方式組建系統(tǒng)，輸入部分系統(tǒng)結(jié)構(gòu)可達(dá)Category4，診斷覆蓋率為99%，在滿足共因失效要求的前提下，根據(jù)ISO13849-1附錄表可查知，。

在輸出方面，若接觸器的值為20萬次，其余參數(shù)不變，則可計(jì)算出輸出回路PFHDContactor亦為9.06x10-10/h。整個(gè)急停安全回路為，可以達(dá)到最高性能等級(jí)PLe，滿足既定要求。

5. 結(jié)論

本文從伺服壓機(jī)上常用的緊急停止功能出發(fā)，介紹了普通伺服驅(qū)動(dòng)上容易出現(xiàn)的安全停止功能失效問題。通過增加安全控制器，改變系統(tǒng)結(jié)構(gòu)，增加診斷覆蓋率的方法增加了安全停止回路的可靠性。伺服壓機(jī)上其他基本安全功能如安全聯(lián)鎖、安全光幕等也可通過這種方式集成到控制回路中，可顯著提高伺服控制部分的安全性能。另一方面，不僅僅是伺服壓力機(jī)，其他伺服控制的設(shè)備大多也可采用這種方式提升設(shè)備可靠性。隨著安全理念的日益深入，相信在伺服驅(qū)動(dòng)上添加安全系統(tǒng)或直接在伺服驅(qū)動(dòng)內(nèi)集成安全功能的應(yīng)用會(huì)越來越廣泛。