李樂(lè)榮

（庫(kù)卡機(jī)器人（廣東）有限公司，廣東佛山，528311）

0 引言

隨著工業(yè)自動(dòng)化的推進(jìn)，工業(yè)機(jī)器人的應(yīng)用越來(lái)越多，在提高生產(chǎn)效率的同時(shí)，工業(yè)機(jī)器人的功能安全技術(shù)也成為研發(fā)設(shè)計(jì)的重中之重。

在工業(yè)機(jī)器人安全標(biāo)準(zhǔn)ISO 10218-1:2011 和機(jī)械安全標(biāo)準(zhǔn)ISO 13849-1:2015 中要求工業(yè)機(jī)器人安全功能需滿(mǎn)足類(lèi)別(Category) 3 和性能等級(jí)(Performance Level) d。

本文以平面關(guān)節(jié)型機(jī)器人(SCARA）作為研究對(duì)象，進(jìn)行功能安全系統(tǒng)的設(shè)計(jì)與實(shí)現(xiàn)，主要從機(jī)器人制造商的角度探討機(jī)器人安全相關(guān)控制系統(tǒng)與非安全相關(guān)控制系統(tǒng)開(kāi)發(fā)相比所增加的內(nèi)容，包括安全目標(biāo)的定義、安全系統(tǒng)設(shè)計(jì)、安全參數(shù)計(jì)算、測(cè)試驗(yàn)證等。

1 功能安全標(biāo)準(zhǔn)

由國(guó)際電工委員會(huì)（IEC）頒布的功能安全的基礎(chǔ)標(biāo)準(zhǔn)IEC 61508-4 中對(duì)功能安全有如下定義：與受控裝置和受控裝置控制系統(tǒng)有關(guān)的整體安全的組成部分，它取決于電氣/電子/可編輯電子系統(tǒng)、其他技術(shù)安全相關(guān)系統(tǒng)和外部風(fēng)險(xiǎn)降低設(shè)施功能的正確行使。

針對(duì)工業(yè)機(jī)器人，國(guó)際標(biāo)準(zhǔn)ISO 10218-1:2011 提出，對(duì)于安全相關(guān)控制系統(tǒng)的性能要求既可以使用ISO 13849-1:2015 定義的性能等級(jí)（Performance Level）和類(lèi)別（Categories），也可以使用IEC 62061:2015 定義的安全完整性等級(jí)（Safety Integrity Level）和硬件容錯(cuò)率（hardware fault tolerance）。ISO 13849 和IEC 62061均表明了安全相關(guān)控制系統(tǒng)危險(xiǎn)失效率的目標(biāo)量值，也表明了必須采取的技術(shù)與措施。本文采用ISO 13849 的Performance Level 和Categories 作為安全相關(guān)控制系統(tǒng)的要求，并以SCARA 機(jī)器人作為研究對(duì)象進(jìn)行功能安全系統(tǒng)的設(shè)計(jì)與實(shí)現(xiàn)。

2 SCARA 機(jī)器人

SCARA 機(jī)器人屬于工業(yè)機(jī)器人，具有4 個(gè)軸和4 個(gè)運(yùn)動(dòng)自由度，包括沿X、Y、Z 方向的平移和繞Z 軸的旋轉(zhuǎn)自由度，它具有高精度、高速度的特點(diǎn)，適用于平面定位，垂直方向進(jìn)行裝配的作業(yè)，可廣泛應(yīng)用于3C 電子、白色家電、塑料五金、新能源、汽車(chē)電子、食品醫(yī)藥等行業(yè)。

本文的設(shè)計(jì)對(duì)象是某正裝式SCARA 機(jī)器人，其臂展為500mm，最大負(fù)載為6kg，運(yùn)動(dòng)性能參數(shù)如表1 所示。

表1 運(yùn)動(dòng)性能參數(shù)

3 安全目標(biāo)定義

開(kāi)發(fā)機(jī)器人安全系統(tǒng)，首先需要對(duì)機(jī)器人的安全目標(biāo)進(jìn)行定義，具體有以下3 個(gè)步驟。

1）風(fēng)險(xiǎn)評(píng)估。其主要流程包括機(jī)械限制的確定、危險(xiǎn)識(shí)別、風(fēng)險(xiǎn)估計(jì)、風(fēng)險(xiǎn)評(píng)價(jià)。機(jī)械限制確定包含使用限制、空間限制、時(shí)間限制、其他限制等。

其中，使用限制包括預(yù)期使用以及可預(yù)見(jiàn)合理的誤用。從機(jī)器人制造商的角度來(lái)看，主要的使用限制為機(jī)器人的運(yùn)行模式。本文SCARA 機(jī)器人主要運(yùn)行模式情況如表2 所示。各運(yùn)行模式的切換必須通過(guò)示教器進(jìn)行，且機(jī)械臂處于安全停止?fàn)顟B(tài)。

表2 SCARA 機(jī)器人運(yùn)行模式

從機(jī)器人制造商的角度看，空間限制主要是指機(jī)器人的運(yùn)動(dòng)范圍。圖1 為本文研究的某SCARA 機(jī)器人的運(yùn)動(dòng)范圍，其臂展為500mm，1 軸運(yùn)動(dòng)范圍±132°，2 軸運(yùn)動(dòng)范圍±145°，2 軸半徑225mm。

圖1 某SCARA 機(jī)器人運(yùn)動(dòng)范圍

時(shí)間限制主要是考慮到機(jī)械的預(yù)期用途以及可預(yù)見(jiàn)的合理誤用下的壽命以及推薦的保養(yǎng)間隔。

其他限制包括機(jī)械使用的一些限制，如清潔度，使用環(huán)境中的溫度、濕度等。

危險(xiǎn)識(shí)別可以參考ISO 12100 Annex B 或者ISO 10218 Annex A 列出的主要的危險(xiǎn)進(jìn)行識(shí)別，包括機(jī)械危險(xiǎn)、電氣危險(xiǎn)、熱危險(xiǎn)、噪音危險(xiǎn)、振動(dòng)危險(xiǎn)、輻射危險(xiǎn)、材料物質(zhì)危險(xiǎn)、人體工程學(xué)危險(xiǎn)、與使用機(jī)器的環(huán)境相關(guān)的危險(xiǎn)、組合危險(xiǎn)等。

危險(xiǎn)識(shí)別后應(yīng)根據(jù)傷害的嚴(yán)重度和傷害發(fā)生的概率兩個(gè)風(fēng)險(xiǎn)要素對(duì)每種危險(xiǎn)進(jìn)行風(fēng)險(xiǎn)估計(jì)。其中，傷害的發(fā)生概率包含危險(xiǎn)暴露頻率，危險(xiǎn)事件發(fā)生概率，傷害避免或限制的概率。通常采用風(fēng)險(xiǎn)矩陣對(duì)風(fēng)險(xiǎn)進(jìn)行估計(jì)得到風(fēng)險(xiǎn)等級(jí)，對(duì)于中等及以上的風(fēng)險(xiǎn)需要進(jìn)行風(fēng)險(xiǎn)降低措施。風(fēng)險(xiǎn)降低措施通常包括指引措施、設(shè)計(jì)措施、功能措施、檢查表和測(cè)試驗(yàn)證措施。風(fēng)險(xiǎn)降低措施應(yīng)用后需要重新進(jìn)行風(fēng)險(xiǎn)評(píng)估，直到風(fēng)險(xiǎn)等級(jí)為低，并且對(duì)殘余風(fēng)險(xiǎn)提供信息提示或者警告標(biāo)簽。

2）確定安全功能。在風(fēng)險(xiǎn)降低過(guò)程中，需要安全相關(guān)控制系統(tǒng)實(shí)現(xiàn)的功能措施，即為系統(tǒng)所需要實(shí)現(xiàn)的安全功能。

3）確定性能等級(jí)。安全功能確定后需要同步確定其要求的性能等級(jí)PLr。參考ISO 13849-1 的附錄A 的信息，從傷害嚴(yán)重度（S）,暴露于危險(xiǎn)的頻率(F)和避免危險(xiǎn)的可能性(P)3 個(gè)方面的風(fēng)險(xiǎn)參數(shù)進(jìn)行確定，如圖2 所示。該圖中1 表示估計(jì)安全功能對(duì)風(fēng)險(xiǎn)減小的作用的起始點(diǎn)；L表示對(duì)風(fēng)險(xiǎn)減小的作用小，H表示對(duì)風(fēng)險(xiǎn)減小的作用大；PLr 表示安全功能要求的性能等級(jí)；圖中間對(duì)應(yīng)的是風(fēng)險(xiǎn)參數(shù)的定性；S1 對(duì)應(yīng)傷害的嚴(yán)重度是輕微的；而S2 對(duì)應(yīng)的是嚴(yán)重；F1 對(duì)應(yīng)的是暴露于危險(xiǎn)的頻率低或者持續(xù)時(shí)間短；S2 對(duì)應(yīng)的是頻率高或者是時(shí)間長(zhǎng)；P1 對(duì)應(yīng)的是在特定條件下有可能避免危險(xiǎn)或者限制傷害；而P2 對(duì)應(yīng)的是幾乎不可能。經(jīng)過(guò)危險(xiǎn)識(shí)別和風(fēng)險(xiǎn)評(píng)估后，確定的安全相關(guān)控制系統(tǒng)的安全功能如表3 所示。

圖2 用于確定安全功能要求的PLr 的風(fēng)險(xiǎn)圖

表3 SCARA 機(jī)器人安全功能列表

此外，工業(yè)機(jī)器人安全目標(biāo)定義還可以參考國(guó)際標(biāo)準(zhǔn)ISO 10218-1:2011 的要求，標(biāo)準(zhǔn)規(guī)定安全相關(guān)控制系統(tǒng)的設(shè)計(jì)，應(yīng)遵照ISO 13849 所描述的性能等級(jí)d、類(lèi)別3，或遵照IEC 62061 所描述的安全完整性等級(jí)2，硬件容錯(cuò)率1（系統(tǒng)可容忍單一故障，表示一個(gè)故障不會(huì)導(dǎo)致系統(tǒng)失效），驗(yàn)證測(cè)試間隔不少于20 年。同時(shí)標(biāo)準(zhǔn) ISO 10218-1:2011也給出了工業(yè)機(jī)器人需要提供的安全功能，這些安全功能既可以作為安全目標(biāo)定義的最低要求，也可以作為上述危險(xiǎn)分析和風(fēng)險(xiǎn)評(píng)估的補(bǔ)充。

4 安全系統(tǒng)設(shè)計(jì)

安全系統(tǒng)設(shè)計(jì)的主要目標(biāo)是所設(shè)計(jì)的系統(tǒng)具備安全目標(biāo)定義的安全功能以及每個(gè)安全功能符合對(duì)應(yīng)的性能等級(jí)和類(lèi)別要求。安全系統(tǒng)設(shè)計(jì)通常包括安全架構(gòu)設(shè)計(jì)、系統(tǒng)可靠性分析、安全軟硬件設(shè)計(jì)等。

圖3 所示為SCARA 機(jī)器人系統(tǒng)安全架構(gòu)，其主要由安全輸入設(shè)備、安全邏輯板和STO 電路組成，它們分別對(duì)應(yīng)了類(lèi)別 3 架構(gòu)的輸入、邏輯和輸出三部分，每一部分都是雙通道的架構(gòu)。其中，輸入設(shè)備采用機(jī)械接觸式開(kāi)關(guān)，它們?yōu)殡p通道結(jié)構(gòu)，并且通過(guò)了功能安全認(rèn)證；安全邏輯板通過(guò)對(duì)安全輸入設(shè)備進(jìn)行診斷及采集，同時(shí)結(jié)合從運(yùn)動(dòng)控制器獲取的模式信號(hào)，可實(shí)現(xiàn)如表3 所示的3 個(gè)安全功能。圖4 和圖5 分別為SCARA 機(jī)器人系統(tǒng)在自動(dòng)模式和手動(dòng)模式下實(shí)現(xiàn)安全功能的流程圖。不過(guò)，緊急停止和安全圍欄兩個(gè)安全功能需要手動(dòng)復(fù)位，手動(dòng)復(fù)位控制流程如圖6 所示。

圖3 SCARA 機(jī)器人系統(tǒng)安全架構(gòu)

圖4 自動(dòng)模式下安全功能實(shí)現(xiàn)流程圖

圖5 手動(dòng)模式下安全功能實(shí)現(xiàn)流程圖

圖6 手動(dòng)復(fù)位控制流程圖

當(dāng)安全功能觸發(fā)后，安全邏輯板經(jīng)過(guò)延時(shí)后，通過(guò)硬線觸發(fā)伺服驅(qū)動(dòng)器執(zhí)行安全扭矩切斷STO，從而實(shí)現(xiàn)了安全停機(jī)類(lèi)別1，保證系統(tǒng)進(jìn)入安全狀態(tài)。安全停機(jī)類(lèi)別1 采用時(shí)間控制的方式來(lái)實(shí)現(xiàn)，需要非安全相關(guān)的運(yùn)動(dòng)控制器和伺服驅(qū)動(dòng)器參與，流程圖如圖7 所示。

圖7 安全停機(jī)類(lèi)別1 控制流程圖

當(dāng)安全邏輯板診斷到安全輸入設(shè)備故障同樣會(huì)觸發(fā)安全停機(jī)類(lèi)別1 以保證系統(tǒng)進(jìn)入安全狀態(tài)。此外，如果安全邏輯板診斷到自身內(nèi)部電路故障或者STO 電路反饋錯(cuò)誤會(huì)直接觸發(fā)安全停機(jī)類(lèi)別0，也就是安全扭矩切斷STO，使系統(tǒng)進(jìn)入安全狀態(tài)。

系統(tǒng)可靠性分析主要包括系統(tǒng)安全鏈路定義、系統(tǒng)安全機(jī)制及診斷機(jī)制以及對(duì)應(yīng)的診斷覆蓋率分析。圖8列出了系統(tǒng)的安全鏈路，安全輸入設(shè)備對(duì)應(yīng)安全鏈路的輸入部分，安全邏輯板對(duì)應(yīng)安全鏈路的邏輯部分，伺服驅(qū)動(dòng)器的STO 電路對(duì)應(yīng)安全鏈路的輸出部分。

圖8 系統(tǒng)安全鏈路圖

安全系統(tǒng)采用的診斷措施及其對(duì)應(yīng)的診斷覆蓋率如表4 所示。安全邏輯板對(duì)安全輸入設(shè)備的診斷主要采用測(cè)試脈沖的診斷手段。安全邏輯板給每個(gè)安全輸入設(shè)備輸出兩通道的測(cè)試脈沖，測(cè)試脈沖周期相同相位不同，同時(shí)采集經(jīng)過(guò)安全輸入設(shè)備后的信號(hào)，通過(guò)測(cè)試脈沖可以診斷出安全輸入設(shè)備的輸入狀態(tài)以及是否存在故障。測(cè)試脈沖如圖9 所示。

圖9 安全輸入設(shè)備測(cè)試脈沖圖

表4 診斷措施及診斷覆蓋率

安全邏輯的診斷主要采用了冗余監(jiān)控和比較器兩個(gè)措施。圖10 為安全系統(tǒng)模塊框圖，從圖中可以看出，設(shè)計(jì)有兩通道的冗余電路對(duì)輸入信號(hào)、處理過(guò)程信號(hào)以及輸出信號(hào)都做了監(jiān)控，同時(shí)，還分別對(duì)雙通道脈沖處理后的信號(hào)，初級(jí)邏輯處理后的信號(hào)，次級(jí)邏輯處理后的信號(hào)，以及STO 反饋信號(hào)進(jìn)行了比較，若比較結(jié)果不一致，則觸發(fā)雙通道的STO 命令使系統(tǒng)進(jìn)入安全狀態(tài)。安全邏輯板對(duì)輸入的電源設(shè)計(jì)了監(jiān)控模塊，過(guò)壓、欠壓和過(guò)流都會(huì)被診斷覆蓋從而激活STO 輸出，觸發(fā)系統(tǒng)進(jìn)入安全狀態(tài)。安全邏輯板對(duì)安全輸出的安全機(jī)制主要是雙通道的關(guān)斷路徑，一方面切斷伺服驅(qū)動(dòng)脈寬調(diào)制（PWM），另一方面切斷功率模塊預(yù)驅(qū)動(dòng)的電源。

圖10 SCARA 機(jī)器人安全系統(tǒng)模塊框圖

5 安全參數(shù)計(jì)算

量化的評(píng)價(jià)安全相關(guān)控制系統(tǒng)的安全功能是否符合所要求的性能等級(jí)主要包括類(lèi)別(Category)、平均診斷覆蓋率(DCavg)、平均危險(xiǎn)失效時(shí)間(MTTFd)、共因失效(CCF)。這些計(jì)算通常是自下而上的過(guò)程，先把安全輸入、安全邏輯和安全輸出各子系統(tǒng)分別計(jì)算，后再把各子系統(tǒng)聯(lián)合起來(lái)作為系統(tǒng)層級(jí)進(jìn)行計(jì)算。這3 個(gè)部件均采用類(lèi)別3的架構(gòu)，所以系統(tǒng)符合類(lèi)別3 的架構(gòu)。對(duì)于MTTFd通常是分通道計(jì)算，每個(gè)通道采用部件計(jì)數(shù)法進(jìn)行，通道的MTTFdC的倒數(shù)等于通道各個(gè)部件MTTFdi的倒數(shù)和，如公式（1）所示。對(duì)于類(lèi)別3 的架構(gòu)，如果雙通道的MTTFd不一致，那么通常采用公式（2）進(jìn)行平衡。

其中，MTTFdC表示單通道的平均危險(xiǎn)失效時(shí)間，MTTFdi表示對(duì)安全功能有作用的每個(gè)元件的MTTFd。

其中：MTTFd表示雙通道系統(tǒng)的平均危險(xiǎn)失效時(shí)間，MTTFdC1和MTTFdC2分別表示兩個(gè)不同冗余通道的MTTFd。

本系統(tǒng)的輸入設(shè)備主要是急停開(kāi)關(guān)、三位使能開(kāi)關(guān)和安全圍欄開(kāi)關(guān)，這類(lèi)元件的制造商通常只給出危險(xiǎn)失效的數(shù)量達(dá)到10%時(shí)的平均周期數(shù)（B10d）,可以通過(guò)公式（3）和公式（4）計(jì)算出對(duì)應(yīng)的MTTFd，計(jì)算結(jié)果如表5 所示。

表5 輸出設(shè)備MTTFd 計(jì)算表格

其中，nop是年平均操作次數(shù)，hop是每天平均工作時(shí)間，單位為h，dop是每年平均工作天數(shù)，單位為天，tcycle是元件兩個(gè)相繼周期起的起始點(diǎn)之間的平均工作時(shí)間，單位為s。

安全邏輯和安全輸出部件采用電子元件以及集成電路等電氣元件來(lái)實(shí)現(xiàn)，通常這類(lèi)型復(fù)雜的部件采用失效模式影響和診斷分析（FMEDA）進(jìn)行MTTFd和DCavg的計(jì)算，具體流程如圖11 所示。元器件的失效數(shù)據(jù)和失效模式一般通過(guò)廠家提供，或者可以參考公認(rèn)的工業(yè)數(shù)據(jù)庫(kù)中的硬件元器件的失效率，如SN29500。元器件的失效模式是否導(dǎo)致系統(tǒng)喪失功能安全是需要在沒(méi)有診斷措施作用的情況下進(jìn)行判斷的。本系統(tǒng)的診斷措施主要有表3 所列的幾種措施。系統(tǒng)平均診斷覆蓋率采用公式（5）進(jìn)行計(jì)算。

圖11 MTTFd 和DCavg 計(jì)算流程圖

圖12 故障注入及安全功能測(cè)試部分波形圖

表6 為SCARA 機(jī)器人安全功能MTTFd和DCavg的計(jì)算結(jié)果以及對(duì)應(yīng)的PL 等級(jí)。從表中可以看出，3 個(gè)安全功能都符合所需的性能等級(jí)要求。

表6 系統(tǒng)安全功能參數(shù)計(jì)算結(jié)果

共因失效(CCF)通常是從整個(gè)功能安全系統(tǒng)層面進(jìn)行評(píng)估的。參考ISO13849-1 附錄F，從6 方面進(jìn)行對(duì)本文的SCARA 機(jī)器人安全系統(tǒng)進(jìn)行評(píng)估，具體如表7 所示，共因失效總得分為75 分，大于65 分，滿(mǎn)足標(biāo)準(zhǔn)要求。

表7 共因失效評(píng)估結(jié)果

6 測(cè)試驗(yàn)證

在測(cè)試驗(yàn)證環(huán)節(jié)，安全相關(guān)控制系統(tǒng)與非安全相關(guān)控制系統(tǒng)的主要區(qū)別是故障插入測(cè)試以及安全功能測(cè)試。其中，故障注入測(cè)試的主要目的是驗(yàn)證安全診斷措施的有效性，包括響應(yīng)時(shí)間和診斷覆蓋率等內(nèi)容，測(cè)試通常是根據(jù)系統(tǒng)/部件級(jí)的FMEDA 中會(huì)導(dǎo)致安全功能喪失的失效模式進(jìn)行模擬，注入對(duì)應(yīng)的故障，驗(yàn)證系統(tǒng)是否按照預(yù)期執(zhí)行安全措施；安全功能測(cè)試主要是驗(yàn)證安全系統(tǒng)的功能有效性以及響應(yīng)時(shí)間。

本文結(jié)合對(duì)應(yīng)的SCARA 機(jī)器人對(duì)所設(shè)計(jì)的安全系統(tǒng)進(jìn)行了測(cè)試驗(yàn)證，圖11 展示了部分測(cè)試的波形圖。其中，圖11a）為輸入通道短路故障注入測(cè)試，從圖中可看出，當(dāng)故障注入后，兩個(gè)STO 輸出通道迅速的輸出低電平，會(huì)把系統(tǒng)切換至安全狀態(tài)；圖b)、圖c)、圖d)分別是緊急停止、三位使能和安全圍欄3 個(gè)安全功能的響應(yīng)時(shí)間測(cè)試波形，從圖中可看出，當(dāng)開(kāi)關(guān)觸發(fā)后，兩個(gè)STO 輸出通道在一定時(shí)間內(nèi)輸出低電平，會(huì)把系統(tǒng)切換至安全狀態(tài)。

利用多次測(cè)試求平均值的方法，對(duì)安全功能的響應(yīng)時(shí)間進(jìn)行測(cè)試，具體如表8 所示，三個(gè)安全功能的響應(yīng)時(shí)間小于需求值，結(jié)果符合要求。

表8 系統(tǒng)安全功能響應(yīng)時(shí)間測(cè)試結(jié)果

7 結(jié)論

綜上所述，從類(lèi)別、平均診斷覆蓋率、平均危險(xiǎn)失效時(shí)間和共因失效4 個(gè)安全參數(shù)計(jì)算結(jié)果以及實(shí)際的測(cè)試驗(yàn)證的結(jié)果來(lái)看，本文針對(duì)某SCARA 機(jī)器人設(shè)計(jì)的功能安全系統(tǒng)是符合要求的。筆者認(rèn)為同樣的分析設(shè)計(jì)、參數(shù)計(jì)算和測(cè)試驗(yàn)證的方法也可以拓展應(yīng)用到其他參數(shù)的SCARA 機(jī)器人，或者是其他構(gòu)型的機(jī)器人，如六軸機(jī)器人、協(xié)作機(jī)器人等。