178、运动控制中的行业标准：功能安全IEC 61508

运动控制中的行业标准：功能安全IEC 61508

从一次现场事故说起

2019年深秋，我在某汽车零部件产线调试一台六轴机器人。客户反馈说，设备偶尔会在高速运行时突然“跳闸”——不是断电，是伺服驱动器报E-Stop，然后机械臂像被抽了魂一样软塌塌地垂下来。我盯着示波器看了三天，发现是安全继电器在某个特定工况下误触发了。更诡异的是，这个误触发只在温度超过45℃、且电机电流纹波达到某个阈值时才出现。

后来翻IEC 61508的文档，才意识到问题出在“共因失效”的评估上——我把安全继电器和主控板放在同一个散热风道里，高温导致继电器线圈阻抗漂移，而电流纹波恰好耦合进了安全回路的检测线。这不是硬件故障，是系统级的安全完整性等级（SIL）设计缺陷。

从那以后，我养成了一个习惯：任何运动控制项目，先画安全架构图，再画功能逻辑图。顺序不能反。

功能安全不是“加个急停按钮”

很多工程师觉得功能安全就是多装几个传感器、加个安全PLC。这是典型的“功能安全=安全功能”的误解。IEC 61508定义的功能安全，核心是“系统在出现故障时，仍能维持安全状态的能力”。注意这个“仍能”——它要求的是容错，不是冗余。

举个例子：你给伺服驱动器装了两个编码器做位置冗余，但如果两个编码器共用同一根电源线，电源短路时两个同时失效，这就是典型的“共因失效”。IEC 61508要求你评估这种共因失效的概率，并且通过物理隔离、多样性设计（比如一个用光电编码器，一个用磁编码器）来降低它。

在运动控制里，最常见的功能安全场景是“安全转矩关断”（STO）和“安全限速”（SLS