电机驱动器功能安全：STO双通道架构与SIL 3实现
引言
功能安全是电机驱动器不可或缺的概念。电机驱动器直接控制机械能，一旦发生故障，可能导致人员重伤、设备损坏或流程中断。在制造、机器人、物料搬运等工业应用中，电机驱动器是必需组件。发生紧急停止、维护检修、控制系统故障等事件时，必须确保驱动器可靠进入安全状态。
电机驱动器需针对危险状态进行设计：定义的安全功能必须可靠且按预期动作。对电机驱动器而言，功能安全主要意味着能够保证其行为。符合 IEC 61800-5-2 的电机驱动器应能以高可靠性将电机带入安全状态。例如，在要求确保安全的情形下，可切断产生转矩的电力、以受控方式停机，或限制用于确保安全的动作。
在设计/开发用于电机驱动应用的 safety-related system（SRS，安全相关系统）时，主要需考虑三点：系统性完整性（systematic integrity）、架构约束，以及检测到故障时的系统行为。
系统性完整性衡量的是安全相关系统设计/开发过程中风险的处理能力。为确保系统性完整性，需要采用方法和措施，降低因设计方法或质量管理缺陷而引入系统性故障的可能性。
对于安全相关可变速驱动系统 PDS(SR)（Safety-related Power Drive System），架构约束的关键在于：电机驱动器的硬件架构必须具备规定级别的故障容错和诊断功能，并与所声称的安全完整性等级（SIL）或性能等级（PL）相匹配。
对于检测到故障时的系统行为，需考虑：PDS(SR) 在检测到危险侧故障时，必须留有足够时间让安全功能将电机驱动器带入安全状态。故障检测通过连续或周期性监视/诊断安全相关硬件、信号路径和输出来实现，诊断内容包括不一致、功能丧失、内部故障等是否发生。
本文介绍面向电机驱动器功能安全、满足相关标准的实践方法，并说明所需的系统架构及组件级安全论证。具体而言，将围绕符合 IEC 61800-5-2、IEC 62061、ISO 13849-1、目标为 SIL 3/PLe 的电机驱动器安全实现思路展开，重点讨论以安全转矩关断（STO，Safe Torque Off）作为安全功能时，架构中的约束事项和故障检测方法，并说明面向 SIL 合规的开发流程。依此可将电路设计选择与主要安全指标关联，降低认证相关风险并缩短 TTM。
什么是 STO？
STO 是 IEC 61800-5-2 定义的安全子功能名称。当按下急停按钮等安全相关事件发生时，该功能启动。IEC 61800-5-2 将 STO 定义为“阻断向电机提供产生力的电力的功能”。通常，STO 在电机驱动器电路的栅极驱动级以阻断脉冲或电力的方式实现。STO 动作时，逆变级的 MOSFET（或 IGBT 等）关断，电机各相不再有电流流过。因此，电机不进行受控减速，而是自由停车（惰行停止）。IEC 60204-1 将这一动作定义为停止类别 0。
STO 需设计为即使存在单一故障也能工作。为此，安全电路需实现硬件故障容错（HFT）为 1，从而确保具备适当诊断功能的硬件冗余。该冗余使单一故障不会损害安全功能，系统诊断机制可检测该故障并采取应对。
STO 电路构成
电机驱动器的 STO 实现示例采用带反馈机制的双通道架构，设置 STO A 与 STO B 两条独立安全路径，以防止单一故障损害安全功能。STO A 通过阻断驱动隔离栅极驱动器的脉宽调制（PWM）信号来防止转矩产生，即直接停止逆变器功率器件的开关。与之并行，另一路径 STO B 也发挥作用：其职责是在故障发生时停止变压器用驱动器功能，从而切断栅极驱动器与数字隔离器的二次侧电源（VDD2）。结果，数字隔离器被强制进入已知安全状态（默认状态），可防止栅极驱动命令被无意断言。该实现可采用 MAX22256、ADuM4122、ADuM320N 与 MAX7301 构成。
该电路还集成诊断用反馈功能，对安全论证和故障检测不可或缺。当 STO B 激活时，系统可通过监视数字隔离器的默认逻辑，评估电机各相（U、V、W）对应安全路径的状态。该反馈功能可检测 STO 电路自身故障，从而获得功能安全中主张更高 SIL 所需的诊断覆盖率。
包括 STO 在内的电机驱动器安全功能以高要求动作模式或连续模式运行。因此，系统主要安全指标采用每小时危险失效平均概率（PFH）、安全失效分数（SFF）和 HFT。
PFH 表示驱动器安全功能被要求动作时，未能转入安全状态的每小时概率。各安全功能需使 PFH 满足目标值。例如，SIL 3 安全功能的 PFH 必须低于 10⁻⁷。
带冗余的架构通过组合 HFT 与诊断覆盖率，可满足 IEC 61508 和 IEC 61800-5-2 规定的架构约束。冗余安全路径实现对单一硬件故障的耐受；集成诊断功能可检测危险侧故障并启动向安全状态转移，从而提高 SFF。对于类型 B 子系统，最高 SIL 受 HFT 与 SFF 限制。例如，HFT 为 1 且 SFF 为 90% 以上时，SIL 最高限制为 SIL 3。
根据组件级故障概率，安全功能的正常动作可能受到妨碍。因此，为抑制组件级故障，可能采用若干风险降低方法，例如选用高可靠性组件、故障排除（fault exclusion）等。ISO 13849-2:2012 与 IEC 61800-5-2 列出了可考虑的故障排除清单。故障排除要求明确的安全论证与文档化。一例是驱动器内用于信号隔离的组件跨越绝缘屏障的短路（IEC 61800-5-2 附录 D）。
STO 的系统性完整性通过在硬件设计/开发时应用既定生命周期和设计策略来确保，以防止系统性故障被引入。该生命周期包括针对电机驱动器安全子功能的计划、安全要求规格制定、设计、实现、集成和确认所需的系统性活动。IEC 61800-5-2 沿袭 IEC 61508 框架，为 PDS(SR) 定义了功能安全产品特有的生命周期。
该方法带来重要效果：可实现符合最新安全标准的应用，在确保功能安全合规的同时，将经过安全预验证的解决方案集成到电机驱动器中。由此可大幅降低认证风险、设计/开发工数以及上市时间（TTM）。
STO 架构所需的隔离解决方案
电机驱动器需要确保安全的架构，其基础技术是 galvanic isolation（电气隔离/伽伐尼隔离）。在 STO 实现中，必须将安全相关控制信号与危险电源域可靠隔离，因此电气隔离尤为重要。在基于逆变器的电机驱动器中，隔离用于将使用低压的控制/诊断电路与使用高压的功率级开关电路电气分离。该分离可保护安全相关电子电路，并使向定义安全状态转移时的行为具有确定性。
在 STO 架构内，隔离并不被定位为安全功能，也不具备单独取得功能安全认证的性质。隔离是更广泛系统级安全设计的一部分，与冗余、诊断功能、安全相关逻辑组合，用于实现目标安全性能。因此，SIL 3 或 PLe 等安全等级是针对整个架构而非单个组件规定的。
STO 应用中的隔离有重要要求：在电源丧失或发生故障时，其行为必须可预测。该双通道架构通过强制切断二次侧电源，使隔离接口及下游栅极驱动电路进入已知非导通状态。这种确定性行为可确保即使控制域发生故障，也不会无意断言产生转矩的信号，从而定义可验证的安全状态。
此外，应用隔离可实现有效的系统级诊断。例如，当 STO 路径被断言时，安全相关逻辑可监视隔离信号的默认状态，从而检测固定故障、驱动能力丧失、电源域故障等状态。隔离器本身并不具备诊断功能，但由于规定了电源丧失时的行为，可在架构级确保诊断覆盖率。
进一步而言，施加隔离可提高对常见干扰的鲁棒性。电机驱动器可能暴露于高 dv/dt 开关、较大共模瞬变、电磁干扰等干扰。在此类条件下，具有高瞬态耐受性和受控传播特性的隔离屏障有助于维持确定性信号行为，降低噪声导致误动作的风险。电机驱动器适用的主要隔离规格包括共模瞬变抗扰度（CMTI）等。
在功能安全框架中，隔离特性并不能自动成为证明安全性的依据，而是作为支撑证据处理。电气额定值和隔离行为需在整体安全设计中评估。跨越隔离屏障的故障排除必须系统性论证其有效性。
总结
实现面向电机驱动器的高安全度 STO，架构设计至关重要。
在需要确保安全的情形发生时，安全功能必须动作。对于电机驱动器，必须可靠防止产生转矩的电力供给电机，从而实现不带受控减速的停止类别 0 自由停车。
本文介绍了实现 STO 的双通道架构。该电路实现独立阻断路径和利用反馈的诊断功能，从而满足 HFT=1，使单一故障不会损害安全功能；同时提高 SFF，并将 PFH 降低至 SIL 3/PLe 要求的水平。该架构的基础是电气隔离。电气隔离可将危险电源域与安全相关控制/诊断电路分离，并在电源丧失时维持确定性行为。但隔离本身并不等同于安全功能，而是作为功能安全的支撑证据。
参考资料
- IEC 61800-5-2 Adjustable Speed Electrical Power Drive Systems - Part 5-2: Safety Requirements - Functional（可变速驱动系统—第5-2部分：安全要求—功能安全），2016年4月
- IEC 60204-1 Safety of Machinery - Electrical Equipment of Machines. Part 1: General Requirements（机械安全—机械电气设备—第1部分：通用要求），2016年10月
- IEC 61508 Functional Safety of Electrical/Electronic/Programmable Electronic Safety-Related Systems（电气/电子/可编程电子安全相关系统的功能安全），2010年4月
- ISO 13849-2:2012 Safety of Machinery. Safety-Related Part of Control Systems Validation（机械安全—控制系统安全相关部分—确认），2012年10月
