摘要：伺服沖壓設(shè)備中的滑塊安全停止功能是整臺設(shè)備上最重要的安全功能，該功能的失效將直接造成人員傷害或設(shè)備損毀等重大事故。本文針對滑塊安全停止功能失效問題進(jìn)行研究，通過在原有電氣控制系統(tǒng)中增加冗余結(jié)構(gòu)及診斷覆蓋率的方法，減小執(zhí)行滑塊停止功能時(shí)安全控制系統(tǒng)失效的概率。通過可靠性參數(shù)計(jì)算及實(shí)際使用結(jié)果表明，該方法能有效提高伺服沖壓設(shè)備中滑塊安全停止功能的可靠性。

    1引言

    作為沖壓設(shè)備發(fā)展的一種新趨勢，國內(nèi)外眾多企業(yè)已著手研發(fā)伺服機(jī)械壓力機(jī)。相比曲柄連桿壓力機(jī)而言，伺服壓力機(jī)可降低維護(hù)時(shí)間及成本、減小能耗、實(shí)現(xiàn)復(fù)雜工藝并可在任意位置實(shí)現(xiàn)最大公秤力。在伺服壓機(jī)工作的過程中，最常見的危險(xiǎn)是由伺服電機(jī)帶動的滑塊上下運(yùn)動而產(chǎn)生的擠壓危險(xiǎn)。尤其對于一些經(jīng)常需要手工上下料的沖壓工藝來說，在人員介入滑塊危險(xiǎn)區(qū)時(shí)確?；瑝K處在靜止?fàn)顟B(tài)是至關(guān)重要的。

    傳統(tǒng)的滑塊停止方式采用停止信號直接切斷伺服使能的方式實(shí)現(xiàn)。這種單通道切斷執(zhí)行機(jī)構(gòu)的方式可靠性低，出現(xiàn)單個(gè)故障后便會導(dǎo)致安全功能失效。本文將對這個(gè)問題給出提高可靠性的方法。

    2 滑塊安全停止失效問題

    以緊急停止功能為例，當(dāng)危險(xiǎn)情況發(fā)生時(shí)，操作人員按下壓機(jī)上的急停按鈕，伺服系統(tǒng)應(yīng)立刻響應(yīng)并停止滑塊（即伺服電機(jī)）運(yùn)行。實(shí)際應(yīng)用中，使用單通道急停按鈕直接連接至伺服使能位，當(dāng)急停按鈕常閉觸點(diǎn)斷開時(shí)，伺服使能信號斷開，經(jīng)由內(nèi)部單通道電路切斷伺服電機(jī)動力源并使控制伺服電機(jī)抱閘，其電路如圖1所示：

圖1 急停控制伺服停機(jī)回路圖

    該結(jié)構(gòu)中存在幾個(gè)顯著問題：

    （1）急停按鈕經(jīng)過長時(shí)間操動后，金屬觸點(diǎn)會出現(xiàn)粘連故障，導(dǎo)致急停按鈕按下后其內(nèi)部常閉觸點(diǎn)無法斷開。

    （2）接線不良可能導(dǎo)致伺服使能端和外部24V信號短路，致使按下急停時(shí)，急停信號雖然斷開但伺服使能依然存在。

    （3）伺服驅(qū)動器內(nèi)部單通道電路發(fā)生單一故障，導(dǎo)致使能信號雖然斷開但伺服電機(jī)動力電源無法切斷。

    上述失效都將導(dǎo)致按下急停按鈕后伺服電機(jī)無法正常停止，最終致使滑塊對人員造成傷害的情況。這些失效均屬于危險(xiǎn)性失效，且控制系統(tǒng)無法診斷出這些失效情況。除了急停功能以外，單通道安全門、光柵觸發(fā)實(shí)現(xiàn)滑塊停止的安全功能都存在類似危險(xiǎn)失效問題。因此，這樣的控制系統(tǒng)不具有高可靠性以保障人員安全。

    3 安全控制回路設(shè)計(jì)

    由于壓力機(jī)的高危險(xiǎn)性，國際上專門針對機(jī)械壓力機(jī)制定了EN692安全標(biāo)準(zhǔn)。在對一臺伺服壓力機(jī)實(shí)施風(fēng)險(xiǎn)評估后可知，對于人工上下料的壓力機(jī)，若采用控制系統(tǒng)實(shí)現(xiàn)滑塊停止功能，那么控制回路可靠性需要達(dá)到ISO 13849-1 PLe的要求，即每小時(shí)產(chǎn)生危險(xiǎn)失效的可能性為10-8/h≤PFHd≤10-7/h。為了實(shí)現(xiàn)該性能指標(biāo)，需分別考慮系統(tǒng)結(jié)構(gòu)類別（Category）、危險(xiǎn)失效平均時(shí)間、平均診斷覆蓋率、共因失效及系統(tǒng)性失效等多個(gè)因素。在回路設(shè)計(jì)之前，需首先確定伺服驅(qū)動的停止方式。

    3.1確定伺服驅(qū)動停止類型

    根據(jù)可調(diào)速電氣傳動系統(tǒng)安全標(biāo)準(zhǔn)IEC 61800-5-2及電氣安全標(biāo)準(zhǔn)IEC60204的要求，伺服驅(qū)動設(shè)備的停止類型可分為三種：

    （1）安全力矩關(guān)斷（STO）：該停止方式直接切斷伺服驅(qū)動系統(tǒng)與電機(jī)之間的電源。STO功能觸發(fā)后電機(jī)處在非受控狀態(tài)，將只依靠自然慣性達(dá)到最終停止。

    （2）安全停止1（SS1）：該停止方式先通過制動系統(tǒng)對電機(jī)進(jìn)行抱閘，直至達(dá)到定義的延時(shí)時(shí)間或電機(jī)停止后再切斷電機(jī)供電，即觸發(fā)STO。與STO相比，SS1在電機(jī)達(dá)到靜止?fàn)顟B(tài)之前將對其進(jìn)行控制制動。 

    （3）安全停止2（SS2）：該停止方式對電機(jī)的靜止?fàn)顟B(tài)進(jìn)行監(jiān)控。相比STO及SS1的停止方式，SS2不會切斷電機(jī)供電，這樣電機(jī)的力矩將始終保持。

    對于伺服壓力機(jī)而言，如果安全功能觸發(fā)時(shí)直接切斷驅(qū)動器動力電源，那么滑塊將由于慣性力矩而繼續(xù)運(yùn)行一段距離，這種情況依然可能導(dǎo)致滑塊擠壓的傷害，因此不能使用STO的停止方式。另一方面，由于伺服壓力機(jī)外部負(fù)載通常比較大，因此通常會在外部添加抱閘機(jī)構(gòu)，保證在斷電情況下依然可以保持滑塊位置。在這種情況下，SS1是最理想的安全停止方式。而對于正常操作過程（如上下料、碎片清理等）中的滑塊停止功能，為了避免重復(fù)通斷電源對設(shè)備及生產(chǎn)過程造成的影響，采用SS2的安全停止方式是比較理想的。

    3.2 確定系統(tǒng)結(jié)構(gòu)

    從圖1中不難看出，由于輸入、控制及輸出部分均采用單通道結(jié)構(gòu)的設(shè)計(jì)方法，系統(tǒng)不具有容錯(cuò)性，發(fā)生單個(gè)故障時(shí)便會導(dǎo)致系統(tǒng)失效，而通過改變系統(tǒng)結(jié)構(gòu)可使可靠性提升。為了達(dá)到PLe的可靠性要求，本文設(shè)計(jì)的安全系統(tǒng)采用等級4的結(jié)構(gòu)類別，該結(jié)構(gòu)類別具有以下特征：

    （1）在安全相關(guān)部件上發(fā)生的任意故障都不會導(dǎo)致安全功能失效。

    （2）在執(zhí)行安全功能之時(shí)或之前安全系統(tǒng)應(yīng)檢測出單個(gè)故障，如果該措施不可行，則未檢測到的故障累積后仍不會導(dǎo)致安全功能失效。

    安全功能系統(tǒng)結(jié)構(gòu)如圖2所示。

圖2 安全功能系統(tǒng)結(jié)構(gòu)圖

    實(shí)際設(shè)計(jì)時(shí)，輸入、邏輯和輸出部件均采用冗余，且邏輯部件主要負(fù)責(zé)整個(gè)安全回路中所有故障的檢測。本設(shè)計(jì)在保留原有伺服驅(qū)動器的前提下增加安全繼電器，并將原有單通道回路改為雙通道冗余回路。該方法的安全改造成本相對較小。

    對于急停切斷伺服的安全回路，急停按鈕的觸點(diǎn)將采用冗余常閉觸點(diǎn)來實(shí)現(xiàn)。安全繼電器內(nèi)部采用冗余的繼電器結(jié)構(gòu)并增加了檢測回路用于檢測輸入、邏輯、輸出所有部件中的故障。此外其內(nèi)部還采用了電子熔斷器檢測通道間的短路故障。在圖3所示回路圖中，S11-S12為第一通道，S21-S22為第二通道，S12-S34為復(fù)位/啟動通道，Y1-Y2為反饋回路通道。設(shè)備啟動或復(fù)位時(shí)，K3線圈吸合，若此時(shí)雙通道安全信號正常，則繼電器K1及K2吸合，K3線圈斷電，安全輸出點(diǎn)輸出信號。

圖3 安全繼電器電路結(jié)構(gòu)

    急停安全功能輸入回路如圖4所示。急停按鈕S1采用雙通道結(jié)構(gòu)接入安全繼電器A1的輸入回路，任意一個(gè)通道的故障（如觸點(diǎn)熔焊）都將導(dǎo)致繼電器A1的輸出觸點(diǎn)斷開。

圖4 急停安全功能輸入回路

    在輸出回路設(shè)計(jì)方面，需要在原有伺服動力回路中增加冗余接觸器并采用具有斷電延時(shí)功能的安全繼電器。通過瞬時(shí)觸點(diǎn)切斷控制使能，延時(shí)觸點(diǎn)切斷冗余接觸器的方式實(shí)現(xiàn)SS1。采用安全繼電器作為邏輯控制器實(shí)現(xiàn)SS1的實(shí)際設(shè)計(jì)如圖5所示：

圖5 急停安全功能輸出回路

    圖5中，在經(jīng)過一段延時(shí)時(shí)間達(dá)到靜止?fàn)顟B(tài)后，安全繼電器A1的延時(shí)觸點(diǎn)37-38及47-48將斷開，通過兩個(gè)冗余接觸器K1及K2切斷伺服動力電源，以確保在任意一個(gè)接觸器出現(xiàn)故障時(shí)伺服動力回路依然能夠斷開。另外K1及K2的常閉觸點(diǎn)串聯(lián)在安全繼電器的復(fù)位回路中，使安全繼電器能夠在每次工作前檢測兩個(gè)接觸器是否故障。需要注意的是，延時(shí)時(shí)間的設(shè)置需根據(jù)滑塊停止的風(fēng)險(xiǎn)評估結(jié)果來確定。

    3.3 提高診斷覆蓋率的措施

    在雙通道輸入回路中，雖然可以通過檢測兩個(gè)通道的同步性檢測某一個(gè)通道觸點(diǎn)熔焊的故障，但雙通道的使用也導(dǎo)致觸點(diǎn)間短路故障的產(chǎn)生。如果雙通道信號共用一個(gè)公共端，那么觸點(diǎn)間短路故障便無法檢測，如圖6所示。

圖6 不檢測觸點(diǎn)間短路故障回路圖

    從圖6中可以看出，在S12和S22之間任意位置發(fā)生短路時(shí)，安全控制器無法檢測出這種故障。雖然該單一故障不影響安全功能，不過一旦急停觸點(diǎn)發(fā)生再熔焊后便會導(dǎo)致故障疊加，此時(shí)安全功能便會失效。因此，這種輸入回路的平均診斷覆蓋率只能達(dá)到90%。

    為了解決這一問題，本設(shè)計(jì)的輸入回路采用了安全繼電器上兩個(gè)獨(dú)立的通道，如圖7所示。其中，S11-S12通道檢測24V信號，S21-S22通道檢測0V信號，觸點(diǎn)間出現(xiàn)短路后將導(dǎo)致S11與A1之間的電子熔斷器動作，停止控制器運(yùn)行。通過這種方法提高輸入端的診斷覆蓋率，可使輸入端達(dá)到99%。

圖7 檢測觸點(diǎn)間短路故障回路圖

    輸出回路方面的診斷覆蓋率主要取決于對執(zhí)行機(jī)構(gòu)是否采取反饋監(jiān)控。如圖4所示，控制伺服動力回路的接觸器K1和K2的狀態(tài)通過常閉觸點(diǎn)接入安全控制器，后者在啟動輸出之前首先檢測兩個(gè)常閉觸點(diǎn)是否閉合，如果處在斷開狀態(tài)，則說明K1和K2主觸點(diǎn)粘連，安全控制器將停止輸出并報(bào)警。采用這種直接反饋監(jiān)控的方法，DC能夠達(dá)到99%。而如果僅監(jiān)控K1和K2中任意一個(gè)執(zhí)行機(jī)構(gòu)的狀態(tài)，則DC將大幅降低。根據(jù)的計(jì)算公式：

（1）

    可知，若不監(jiān)控K2反饋，則。如果K1和K2采用相同元件，則，導(dǎo)致最終DCavg降低為49.5%。

    需要注意的是，由于安全控制器通過監(jiān)控外部接觸器常閉觸點(diǎn)的狀態(tài)以診斷接觸器主觸點(diǎn)是否故障，因此接觸器常閉觸點(diǎn)需要正確反映其常開觸點(diǎn)的狀態(tài)。在線圈不通電的情況下，普通接觸器常開觸點(diǎn)如果發(fā)生熔焊，其常閉觸點(diǎn)依然為初始（即閉合）狀態(tài)。這種情況下即便使用反饋監(jiān)控依然無法診斷出外部故障，即DC=0。對于這種問題，需要采用經(jīng)驗(yàn)證的安全原則或元器件來解決。本設(shè)計(jì)采用機(jī)械連桿結(jié)構(gòu)的接觸器，其內(nèi)部結(jié)構(gòu)如圖8所示。

圖8 具有機(jī)械連桿結(jié)構(gòu)的接觸器或繼電器

    從圖8中可以看出，接觸器或繼電器內(nèi)部所有觸點(diǎn)直接采用連桿連接，這樣可以保證在任意一個(gè)主觸點(diǎn)出現(xiàn)故障（如熔焊）時(shí)輔助觸點(diǎn)必然斷開。這樣便可保證反饋監(jiān)控的正確性。

    4 系統(tǒng)可靠性驗(yàn)證

    在安全系統(tǒng)組建完成之后，最后需要計(jì)算安全回路的可靠性是否達(dá)到既定要求。本設(shè)計(jì)可靠性驗(yàn)證所遵循的標(biāo)準(zhǔn)為ISO 13849-1。該標(biāo)準(zhǔn)不僅適用于電子電氣系統(tǒng)，也適用于機(jī)械、液壓及氣動系統(tǒng)。伺服壓力機(jī)由于采用多系統(tǒng)協(xié)同工作，因此采用該標(biāo)準(zhǔn)最為合適。在確定了系統(tǒng)結(jié)構(gòu)、及之后，可通過查表法估算出安全回路的。

    在本次安全停止回路設(shè)計(jì)中，由于采用了外部接觸器的方式切斷伺服驅(qū)動，因此實(shí)際安全回路由急停、安全繼電器及接觸器三部分構(gòu)成，即：

（2）

    由于安全控制器內(nèi)部結(jié)構(gòu)復(fù)雜，用戶無法自行計(jì)算其可靠性數(shù)值，因此該數(shù)值通常由元器件廠商給出。本文中使用Pilz PNOZ s5安全繼電器作為邏輯控制器，該元器件。

    為了計(jì)算及需要確定這兩個(gè)元器件的。急停按鈕及接觸器內(nèi)部都采用觸點(diǎn)切換的方式工作，需要采用公式3及4進(jìn)行計(jì)算。

（3）

（4）

    其中指10%的元器件產(chǎn)生危險(xiǎn)失效時(shí)的動作次數(shù)，該數(shù)值需由元器件供應(yīng)商提供。為每年元器件動作次數(shù)，為設(shè)備年工作天數(shù)，為設(shè)備每天工作小時(shí)數(shù)，為安全元件兩次動作之間的間隔時(shí)間。

    假設(shè)在壓機(jī)實(shí)際工作過程中，人員一般每天2次按下急停，壓機(jī)每年工作300天，每天運(yùn)行兩班即16小時(shí)，則計(jì)算可得為400次，若急停按鈕的值為20萬次，則計(jì)算可得約為5000年。按照第三章的系統(tǒng)構(gòu)建方式組建系統(tǒng)，輸入部分系統(tǒng)結(jié)構(gòu)可達(dá)Category4，診斷覆蓋率為99%，在滿足共因失效要求的前提下，根據(jù)ISO13849-1附錄表可查知，。

    在輸出方面，若接觸器的值為20萬次，其余參數(shù)不變，則可計(jì)算出輸出回路PFHDContactor亦為9.06x10-10/h。整個(gè)急停安全回路為，可以達(dá)到最高性能等級PLe，滿足既定要求。

    5. 結(jié)論

    本文從伺服壓機(jī)上常用的緊急停止功能出發(fā)，介紹了普通伺服驅(qū)動上容易出現(xiàn)的安全停止功能失效問題。通過增加安全控制器，改變系統(tǒng)結(jié)構(gòu)，增加診斷覆蓋率的方法增加了安全停止回路的可靠性。伺服壓機(jī)上其他基本安全功能如安全聯(lián)鎖、安全光幕等也可通過這種方式集成到控制回路中，可顯著提高伺服控制部分的安全性能。另一方面，不僅僅是伺服壓力機(jī)，其他伺服控制的設(shè)備大多也可采用這種方式提升設(shè)備可靠性。隨著安全理念的日益深入，相信在伺服驅(qū)動上添加安全系統(tǒng)或直接在伺服驅(qū)動內(nèi)集成安全功能的應(yīng)用會越來越廣泛。