Design of safety integrated servo motor drive module

安全集成伺服电机驱动模块设计 Design of safety integrated servo motor drive module first-author 陈凌宇（1990-），男，湖南常德人，博士研究生，2012年、2015年于长沙理工大学分别获得学士、硕士学位，主要研究方向为机电伺服系统与数控。E-mail： chenly2587@163.com http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=39554407&type= http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=39554416&type= http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=39554411&type= 22.01333237 32.00400162 陈凌宇 （1990-），男，湖南常德人，博士研究生，2012年、2015年于长沙理工大学分别获得学士、硕士学位，主要研究方向为机电伺服系统与数控。E-mail： chenly2587@163.com chenly2587@163.com corresp E-mail： fdp@nudt.edu.cn E-mail： fdp@nudt.edu.cn 范大鹏（1964-），男，河南周口人，教授，博士生导师，1991年于华中科技大学获得博士学位，主要从事数控技术，嵌入式系统以及精密光电跟踪平台的测控技术研究。E-mail： fdp@nudt.edu.cn http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=39554423&type= http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=39554434&type= http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=39554427&type= 22.01332855 32.00399780 范大鹏 （1964-），男，河南周口人，教授，博士生导师，1991年于华中科技大学获得博士学位，主要从事数控技术，嵌入式系统以及精密光电跟踪平台的测控技术研究。E-mail： fdp@nudt.edu.cn fdp@nudt.edu.cn 国防科技大学 智能科学学院，湖南 长沙 410073 国防科技大学 智能科学学院，湖南 长沙 410073 College of Intelligence Science and Technology， National University of Defense Technology， Changsha 410073， China College of Intelligence Science and Technology， National University of Defense Technology， Changsha 410073， China 为了避免装备制造过程中机械部件发生不期望的运动而导致的安全事故，根据IEC61800-5-2标准对伺服驱动模块功能安全集成设计方法进行研究。通过分析伺服驱动数学模型、硬件构成、功能架构，明确了伺服驱动模块原理。根据其原理讨论了伺服驱动模块的失效机理、失效方式以及失效对系统的影响，并建立了基于参数约束的安全运行区间，可对伺服驱动模块危险失效进行主动监测。然后，通过对IEC61800-5-2建议的17项安全功能的特性分析，设计了安全相关系统架构，提出了基于对象字典的安全功能集成方法，可根据具体的安全要求实现安全功能的配置。最后，搭建实验平台并设计典型安全逻辑，对安全集成方法进行验证。实验结果表明，所提出的功能安全集成方法能够通过配置有效地实现IEC61800-5-2建议的安全功能，满足伺服驱动模块对安全功能的通用化需求。 To avoid safety accidents caused by the unexpected movement of mechanical parts during equipment manufacturing， this paper investigates the safety integrated design method of the servo drive module according to the IEC61800-5-2 standard. First， the principle of servo drive module is clarified by analyzing the mathematical model， hardware structure， and functional architecture of the servo drive. According to the principle， the failure mechanism， failure mode， and effect of failure on the system are discussed. The safe operation interval based on parameter constraint is established， which can actively monitor the dangerous failure of the servo drive module. Then， by analyzing the characteristics of 17 safety functions suggested by IEC61800-5-2， the architecture of safety related system is designed， and a method for safety function integration based on object dictionary is proposed， which can realize the configuration of safety functions according to the specific security requirements. Finally， the experimental platform is built， and the typical safe logic is designed to verify the safety integration method. The experimental results show that the proposed functional safety integration method can effectively implement the IEC61800-5-2 recommended safety functions through configuration， and it meets the requirements of the servo drive module to generalize the safety functions. 伺服驱动 功能安全 IEC61800-5-2 安全集成 servo drive functional safety IEC61800-5-2 safety integration 1 引 言 1 伺服电机驱动器作为可编程控制系统的“肌肉”，是实现制造装备精确、快速、高效运动的核心基础部件，广泛应用于航空航天、武器装备、能源、交通等先进装备制造业中 ［ 1 1 - 3 3 1-3 ］ 。由于直接驱动和控制机械部件，伺服驱动器的安全性成为保证操作人员人生安全和设备资产安全的关键。设计和开发安全功能集成的伺服驱动器，保证生产过程安全、可靠、稳定，成为制造装备发展的迫切需求 ［ 4 4 ］ 。 传统的安全设计方法主要采用故障诊断和冗余容错方式提升系统可靠性。通过对伺服系统中电机 ［ 5 5 ］ 、逆变器 ［ 6 6 ］ 、传感器 ［ 7 7 ］ 等关键部件的故障诊断，提高系统危险监测能力。再采用多核CPU冗余架构 ［ 8 8 ］ 、多项脚冗余逆变器 ［ 9 9 ］ 、多相容错伺服电机 ［ 10 10 ］ 等冗余设计方法增加硬件裕度，在故障发生时进行容错控制，提高伺服驱动器的可靠性。硬件冗余的方式可提高伺服驱动器的可靠性，但也对安装空间与成本提出了更高的要求。分析冗余不依赖硬件，通过系统内部参数之间的关联对故障部件参数进行估计，实现容错控制 ［ 11 11 ］ ，主要方法包括基于模型残差的诊断与容错 ［ 12 12 ］ 、基于观测器的参数估计 ［ 13 13 ］ 等。上述方法能够准确定位故障并通过冗余实现容错控制，但适合于系统参数已知或固定的专用系统，无法在多场景中快速实现安全功能重构。此外，国际电工委颁布了调速电气传动系统功能安全规范IEC61800-5-2，为伺服驱动器安全功能集成提供了标准化的通用解决方案 ［ 14 14 ］ 。大量研究针对IEC61800-5-2安全功能集成问题进行探讨。陈小全等针对安全转矩截止（STO）不能安全输出的问题，提出了一种1oo3D的STO硬件结构，安全完整性等级可达SIL3级 ［ 15 15 ］ 。AISHWARYA B等提出了一种STO与安全制动控制（SBC）相结合的硬件架构，有效解决了电机悬挂负载时STO无法安全停止的问题 ［ 16 16 ］ 。LIU等将安全停车1（SS1）功能与EtherCAT总线通信结合，可通过总线数据配置实现SS1功能 ［ 17 17 ］ 。上述研究主要针对IEC61800-5-2中STO，SBC，SS1等少数几个安全功能，没有系统性地全面分析，不能满足伺服驱动器对通用化、可配置的安全功能集成需求。 为了实现伺服驱动系统安全集成设计，本文首先对伺服驱动器实现原理进行分析，为后文安全集成设计提供理论依据。在伺服驱动器的基本架构上，分析了部件失效的类型及原因，建立了由内部参数约束的安全运行区间。再针对功能安全集成问题，深入分析IEC61800-5-2建议的17项安全功能，在典型的伺服驱动器结构基础上设计了冗余的安全相关硬件系统，提出了一种基于对象字典的可配置的安全逻辑集成设计方法。最后，搭建实验平台并构造典型的安全逻辑，验证了安全集成保护功能的有效性。 2 伺服驱动器原理 1 伺服驱动器是一类通过控制伺服电机电磁场将电能转化为机械能，达到对伺服电机及负载进行精确的转矩、速度、位置闭环控制的设备。永磁同步电机（Permanent Magnetic Synchronous Motor， PMSM）是一种性能优越且应用广泛的伺服电机类型。 2.1　PMSM驱动的数学模型 2 PMSM的驱动过程主要描述在磁场定向控制（Field-oriented Control， FOC）下，PMSM内部电流、电压、转矩和转子角度的变化过程。驱动控制数学模型由PMSM定子电压方程、转矩输出方程、运动学方程以及闭环控制器模型构成。 在三相静止坐标系下，PMSM各参数存在较强的耦合关系，需要通过坐标变换方式将三相静止坐标系变换为 d - q 轴旋转坐标系，变换方法如下： <math display="block" id="M1"><mfenced open="[" close="]" separators="|"><mrow><mtable><mtr><mtd><msub><mrow><mi>U</mi></mrow><mrow><mi>d</mi></mrow></msub></mtd></mtr><mtr><mtd><msub><mrow><mi>U</mi></mrow><mrow><mi>q</mi></mrow></msub></mtd></mtr></mtable></mrow></mfenced><mo>=</mo><mfrac><mrow><mn mathvariant="normal">2</mn></mrow><mrow><mn mathvariant="normal">3</mn></mrow></mfrac><mfenced open="[" close="]" separators="|"><mrow><mtable><mtr><mtd><mtable><mtr><mtd><mi mathvariant="normal">c</mi><mi mathvariant="normal">o</mi><mi mathvariant="normal">s</mi><mi>θ</mi></mtd><mtd><mi mathvariant="normal">c</mi><mi mathvariant="normal">o</mi><mi mathvariant="normal">s</mi><mfenced separators="|"><mrow><mi>θ</mi><mo>-</mo><mfrac><mrow><mn mathvariant="normal">2</mn><mi mathvariant="normal">π</mi></mrow><mrow><mn mathvariant="normal">3</mn></mrow></mfrac></mrow></mfenced></mtd><mtd><mi mathvariant="normal">c</mi><mi mathvariant="normal">o</mi><mi mathvariant="normal">s</mi><mfenced separators="|"><mrow><mi>θ</mi><mo>+</mo><mfrac><mrow><mn mathvariant="normal">2</mn><mi mathvariant="normal">π</mi></mrow><mrow><mn mathvariant="normal">3</mn></mrow></mfrac></mrow></mfenced></mtd></mtr></mtable></mtd></mtr><mtr><mtd><mtable><mtr><mtd><mo>-</mo><mi mathvariant="normal">s</mi><mi mathvariant="normal">i</mi><mi mathvariant="normal">n</mi><mi>θ</mi></mtd><mtd><mo>-</mo><mi mathvariant="normal">s</mi><mi mathvariant="normal">i</mi><mi mathvariant="normal">n</mi><mfenced separators="|"><mrow><mi>θ</mi><mo>-</mo><mfrac><mrow><mn mathvariant="normal">2</mn><mi mathvariant="normal">π</mi></mrow><mrow><mn mathvariant="normal">3</mn></mrow></mfrac></mrow></mfenced></mtd><mtd><mo>-</mo><mi mathvariant="normal">s</mi><mi mathvariant="normal">i</mi><mi mathvariant="normal">n</mi><mfenced separators="|"><mrow><mi>θ</mi><mo>+</mo><mfrac><mrow><mn mathvariant="normal">2</mn><mi mathvariant="normal">π</mi></mrow><mrow><mn mathvariant="normal">3</mn></mrow></mfrac></mrow></mfenced></mtd></mtr></mtable></mtd></mtr></mtable></mrow></mfenced><mfenced open="[" close="]" separators="|"><mrow><mtable><mtr><mtd><msub><mrow><mi>U</mi></mrow><mrow><mi>a</mi></mrow></msub></mtd></mtr><mtr><mtd><msub><mrow><mi>U</mi></mrow><mrow><mi>b</mi></mrow></msub></mtd></mtr><mtr><mtd><msub><mrow><mi>U</mi></mrow><mrow><mi>c</mi></mrow></msub></mtd></mtr></mtable></mrow></mfenced></math> http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=39554447&type= http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=39554441&type= 89.23867035 21.08200073 ， 其中： U d ， U q 分别为 d - q 轴电压， U a ， U b ， U c 分别为PMSM三相电压。 由此得到PMSM在同步旋转坐标系下数学模型如下： <math display="block" id="M2"><mfenced open="{" close="" separators="|"><mrow><mtable columnalign="left"><mtr><mtd><msub><mrow><mi>U</mi></mrow><mrow><mi>d</mi></mrow></msub><mo>=</mo><mi>R</mi><msub><mrow><mi>I</mi></mrow><mrow><mi>d</mi></mrow></msub><mo>+</mo><msub><mrow><mi>L</mi></mrow><mrow><mi>d</mi></mrow></msub><mi mathvariant="normal">d</mi><msub><mrow><mi>I</mi></mrow><mrow><mi>d</mi></mrow></msub><mo>/</mo><mi mathvariant="normal">d</mi><mi>t</mi><mo>-</mo><msub><mrow><mi>ω</mi></mrow><mrow><mi mathvariant="normal">e</mi></mrow></msub><msub><mrow><mi>L</mi></mrow><mrow><mi>q</mi></mrow></msub><msub><mrow><mi>I</mi></mrow><mrow><mi>q</mi></mrow></msub></mtd></mtr><mtr><mtd><msub><mrow><mi>U</mi></mrow><mrow><mi>q</mi></mrow></msub><mo>=</mo><mi>R</mi><msub><mrow><mi>I</mi></mrow><mrow><mi>q</mi></mrow></msub><mo>+</mo><msub><mrow><mi>L</mi></mrow><mrow><mi>q</mi></mrow></msub><mi mathvariant="normal">d</mi><msub><mrow><mi>I</mi></mrow><mrow><mi>q</mi></mrow></msub><mo>/</mo><mi mathvariant="normal">d</mi><mi>t</mi><mo>+</mo><msub><mrow><mi>ω</mi></mrow><mrow><mi mathvariant="normal">e</mi></mrow></msub><mo stretchy="false">(</mo><msub><mrow><mi>L</mi></mrow><mrow><mi>d</mi></mrow></msub><msub><mrow><mi>I</mi></mrow><mrow><mi>d</mi></mrow></msub><mo>+</mo><msub><mrow><mi>ψ</mi></mrow><mrow><mi mathvariant="normal">f</mi></mrow></msub><mo stretchy="false">)</mo></mtd></mtr><mtr><mtd><msub><mrow><mi>T</mi></mrow><mrow><mi mathvariant="normal">m</mi></mrow></msub><mo>=</mo><mn mathvariant="normal">1.5</mn><msub><mrow><mi>P</mi></mrow><mrow><mi mathvariant="normal">n</mi></mrow></msub><msub><mrow><mi>I</mi></mrow><mrow><mi>q</mi></mrow></msub><mo stretchy="false">[</mo><msub><mrow><mi>I</mi></mrow><mrow><mi>d</mi></mrow></msub><mo stretchy="false">(</mo><msub><mrow><mi>L</mi></mrow><mrow><mi>d</mi></mrow></msub><mo>-</mo><msub><mrow><mi>L</mi></mrow><mrow><mi>q</mi></mrow></msub><mo stretchy="false">)</mo><mo>+</mo><msub><mrow><mi>ψ</mi></mrow><mrow><mi mathvariant="normal">f</mi></mrow></msub><mo stretchy="false">]</mo></mtd></mtr><mtr><mtd><mi>J</mi><mi>d</mi><msub><mrow><mi>ω</mi></mrow><mrow><mi mathvariant="normal">m</mi></mrow></msub><mo>/</mo><mi mathvariant="normal">d</mi><mi>t</mi><mo>+</mo><mi>B</mi><msub><mrow><mi>ω</mi></mrow><mrow><mi mathvariant="normal">m</mi></mrow></msub><mo>=</mo><msub><mrow><mi>T</mi></mrow><mrow><mi mathvariant="normal">m</mi></mrow></msub><mo>-</mo><msub><mrow><mi>T</mi></mrow><mrow><mi mathvariant="normal">L</mi></mrow></msub></mtd></mtr><mtr><mtd><msub><mrow><mi>ω</mi></mrow><mrow><mi mathvariant="normal">m</mi></mrow></msub><mo>=</mo><msub><mrow><mi>P</mi></mrow><mrow><mi mathvariant="normal">n</mi></mrow></msub><msub><mrow><mi>ω</mi></mrow><mrow><mi mathvariant="normal">e</mi></mrow></msub></mtd></mtr></mtable></mrow></mfenced></math> http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=39554458&type= http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=39554452&type= 60.53666687 26.50066566 ， 其中： I a ， I b ， I c 为PMSM三相电流， R 为定子电阻， I d ， I q 分别为 d - q 轴电流， L d ， L q 分别为等效的 d - q 轴定子电感， w e 为电角速度， ψ f 为永磁体磁链， T m 为电机输出转矩， P n 为永磁体极对数， J 为转动惯量， B 为阻尼系数， T L 为负载转矩， ω e 为机械角速度。 闭环控制模型主要描述了FOC控制下的电流、速度、位置闭环结构。以 I d =0的控制策略为例，闭环控制模型结构原理如 图1 图1 所示。图中， G p （ s ）， G v （ s ）， G Iq （ s ）， G Id （ s ）分别为位置环、速度环、 d 轴及 q 轴电流环控制器，工程中常用PI结构实现。 2.2　PMSM驱动器硬件构成 2 典型的PMSM伺服驱动系统硬件架构如 图2 图2 所示，主要由电源转换模块、外部信号输入接口、总线接口、控制器模块、逆变器模块和传感器接口电路构成。各模块功能如下： （1）电源模块将外部输入的功率电进行稳压和补偿后提供逆变器稳定的母线电源。 （2）外部信号输入接口接收作为伺服指令的数字量PWM信号以及模拟电压信号，也包括外部限位开关、使能、安全输入等信号。 （3）总线接口模块用于建立与外部控制器总线通信的物理层硬件模块。 （4）控制器模块主要用于外设接口信号进行采集与数据处理；闭环控制算法运行，及逆变器模块开关控制。 （5）逆变器模块将控制器模块输出开关信号转化为电机控制所需功率信号。 （6）传感器接口提供驱动和控制过程中所需的各相电流及电压传感器、电机编码器、负载编码器、母线电压及电流传感器电气接口。 2.3　PMSM驱动器软件功能 2 根据驱动器硬件架构与数学模型，在控制器模块中集成PMSM驱动控制算法软件，是实现伺服控制功能的重点。软件的主要功能围绕三环控制器的实现展开，包括指令输入外部信号输入采集、通信处理、反馈传感器信号处理、三环控制算法和安全保护。 典型的伺服驱动模块控制软件结构如 图3 图3 所示，主要包括指令处理功能模块、反馈处理功能模块和三环控制功能模块。指令处理功能模块用于对外部输入的脉冲指令、模拟量指令和通信指令信号进行信号调理，并转化为具有实际物理单位的控制指令。特别是在模拟量信号处理时，需进行漂移补偿、滤波等处理来避免干扰。反馈处理功能模块将对电流传感器和编码器信号进行采集和处理，转换为闭环控制所需要的电流、速度和位置信号。三环控制功能模块根据驱动器工作模式的不同以及指令与反馈信号来实现闭环控制功能。 基本的三环控制器一般采用“PI+前馈+指令滤波”的控制结构。通过PI达到无静差控制效果，前馈环节提高系统动态响应速度，指令滤波用于减小外部噪声干扰。然而，由于驱动控制过程中电机反电动势冲击、摩擦不均或质心偏离导致的转矩扰动、负载机械结构共振等条件的影响，基本的三环控制器无法提供多参数干扰作用下伺服电机的高性能控制。因此，三环控制器还需要集成加减速规划、摩擦补偿、振动抑制等功能模块，提高伺服驱动器在复杂场景中的适用性。 3 伺服驱动模块失效检测功能 1 由于工业现场复杂和恶劣的环境条件，驱动器中各元件随机硬件失效、电气连接失效、负载故障等因素都会导致驱动器闭环控制功能异常，引发安全事故。 3.1　失效模式 2 伺服驱动器的主要功能是根据外部指令以及传感器反馈信息，对伺服电机及负载进行闭环控制。参与闭环的指令、反馈、运算、负载等任何一个环节失效，都会破坏闭环回路正常运行，可能引发电机及负载失控。 根据 图2 图2 所示的伺服驱动系统硬件架构及模块分类，从伺服驱动闭环控制功能实现的角度出发，分析各模块失效原因及其对系统影响方式，可明确驱动器的失效模式。对于系统各模块，外部信号输入模块和总线接口模块提供了闭环控制所需的指令信息。传感器模块提供了闭环控制所需的电流、速度、位置反馈信息。控制器模块根据指令和反馈信息进行控制算法运算，输出闭环控制器运算结果。逆变器模块将控制器模块输出的闭环控制结果转化为伺服电机控制所需的功率信号。伺服电机及负载是闭环控制的最终对象，根据指令实现相应运动。电源模块则提供了闭环控制运行的基本电源条件。 根据以上分析，系统各模块的失效模式及后果影响如 表1 表1 所示。 失效模式 失效因素 产生原因 后果影响 3 指令输入信号异常 脉冲信号错误 噪声干扰；电气连接 3 驱动器指令失效，负载运动失控 脉冲频率过高 噪声干扰；控制器失效 模拟幅值过大 控制器硬件不匹配 4 4 传感器反馈 信号异常 电流数据误差 环境变化；噪声干扰 4 影响闭环控制，严重时将导致飞车 电流传感器失效 传感器失效；连接失效 编码器数据错误 编码器异常；电气干扰 编码器不反馈 传感器失效；连接失效 4 2 通信异常 通信不连续 通信链路被干扰 2 负载不响应或间歇性响应指令 通信中断 通信链路被破坏 4 4 电源异常 母线电源欠压 电源电压低或功率低 2 控制器输出矢量与理论不符 母线电源过压 电源故障；泄放电阻断路或不匹配 母线过流 母线短路；电机相线接地或短路；逆变器桥臂上下导通等 引起电机、功率器件、电源烧坏 控制电源不稳定 电源故障；电压转换电路故障 IC无法正常工作 4 3 功率器件及 负载异常 功率器件或电机过热 环境温度过高；散热不良；长时间重载运行 电机或功率器件烧毁 功率器件损坏 功率器件短路或断路 2 短路导致电机烧坏，断路导致电机失控 电机损坏 电机绕组短路或断路 4 5 闭环控制异常 过载 控制失效；电机重载；负载卡死 电机功率器件温升快 过速 指令异常；反馈异常；控制失效 电机温升过快 超过限位 限位开关失效 损坏机械结构 速度偏差过大 转矩饱和；转矩波动；控制参数不合理 2 导致电机及负载无法达到指令运动状态 位置偏差过大 转矩饱和；超调；控制参数不合理 3.2　安全运行区间设计 2 理论上，冗余的硬件电路能够有效失效导致的危险，但这导致成本增加、安装空间受限等问题。设计高诊断覆盖率的安全诊断方法成为解决驱动器危险失效的有效方法。 有效的指令输入、正确的传感器反馈、合适的控制器参数、符合工况的负载状态是闭环系统正常运行的前提条件。根据FOC控制原理，对系统关键的内部参数进行监控，建立参数的安全运行区间，一旦状态参数偏离安全区间则进行紧急保护。安全监测功能原理如 图4 图4 所示。 图4 图4 中，安全监测软件主要由接口信号合理性监测、传感器信号合理性监测、通信周期监测、电源状态参数监测、逆变器与电机状态参数监测、闭环状态监测等模块构成。 3 . 2 . 1 外部接口信号合理性监测 3 该模块从信号逻辑和信号物理意义上对外部脉冲和模拟电压输入的合理性进行诊断。外部脉冲信号作为驱动器位置模式指令输入，通常为两路相位差为90°的差分正交脉冲信号。其脉冲个数表示位置增量，脉冲频率表示速度，两路脉冲超前滞后关系表示位置增量的方向。外部模拟量电压，通常作为驱动器转矩、速度模式指令，采用单位电压对应转矩或速度作为增益。因此，这两类信号应满足如下信号特征约束： （1）脉冲的差动输入信号呈现逻辑上的相反关系； （2）脉冲频率小于驱动器硬件可及的最大采样频率； （3）正交两路脉冲相位差应为90°； （4）模拟信号输入电压幅值应在驱动器硬件的检测范围内（通常为±10 V）。 此外，脉冲频率 f 、模拟电压幅值 A 所代表的指令速度和指令转矩应小于电机的峰值转速和峰值转矩。指令约束条件如下： <math display="block" id="M3"><mfenced open="{" close="" separators="|"><mrow><mtable><mtr><mtd><mi>f</mi><mo><</mo><msup><mrow><mn mathvariant="normal">2</mn></mrow><mrow><mi>N</mi></mrow></msup><mo>/</mo><mo stretchy="false">(</mo><mn mathvariant="normal">60</mn><mo>×</mo><msub><mrow><mi>V</mi></mrow><mrow><mi mathvariant="normal">m</mi><mi mathvariant="normal">a</mi><mi mathvariant="normal">x</mi></mrow></msub><mo stretchy="false">)</mo></mtd></mtr><mtr><mtd><mi>A</mi><mo><</mo><msub><mrow><mi>V</mi></mrow><mrow><mi mathvariant="normal">m</mi><mi mathvariant="normal">a</mi><mi mathvariant="normal">x</mi></mrow></msub><mo>/</mo><msub><mrow><mi>G</mi></mrow><mrow><mi mathvariant="normal">v</mi><mi mathvariant="normal">e</mi><mi mathvariant="normal">l</mi></mrow></msub></mtd></mtr><mtr><mtd><mi>A</mi><mo><</mo><msub><mrow><mi>T</mi></mrow><mrow><mi mathvariant="normal">m</mi><mi mathvariant="normal">a</mi><mi mathvariant="normal">x</mi></mrow></msub><mo>/</mo><msub><mrow><mi>G</mi></mrow><mrow><mi mathvariant="normal">t</mi><mi mathvariant="normal">o</mi><mi mathvariant="normal">r</mi></mrow></msub></mtd></mtr></mtable></mrow></mfenced></math> http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=39554551&type= http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=39554546&type= 31.75000000 15.57866764 ， 其中： N 为编码器位数， V max 为电机的峰值转速， G vel 为单位电压对应的转速增益， T max 为电机的峰值转矩， G tor 为单位电压对应的转矩增益。 3 . 2 . 2 传感器信号合理性监测 3 该模块主要对电流传感器、编码器信号的合理性进行诊断。以线型霍尔电流传感器和增量式编码器为例，传感器原始信号应满足如下信号特征约束： （1）线型霍尔传感器电压信号应满足驱动器硬件检测范围且连续变化； （2）编码器差动信号呈现逻辑上的相反关系； （3）编码器A相与B相的相位差为90°； （4）编码器A相与B相计数达一圈时Z相应产生一次脉冲。 传感器信号真实反映电机状态，不应进行过多约束。但是，编码器反馈的速度 V f 应小于电机峰值转速，加速度 a f 应小于系统的最大加速度 a max ，且反馈位置 P f 应处于软件限位中。约束条件如下： <math display="block" id="M4"><mfenced open="{" close="" separators="|"><mrow><mtable><mtr><mtd><msub><mrow><mi>V</mi></mrow><mrow><mi mathvariant="normal">f</mi></mrow></msub><mo><</mo><msub><mrow><mi>V</mi></mrow><mrow><mi mathvariant="normal">m</mi><mi mathvariant="normal">a</mi><mi mathvariant="normal">x</mi></mrow></msub></mtd></mtr><mtr><mtd><msub><mrow><mi>a</mi></mrow><mrow><mi mathvariant="normal">f</mi></mrow></msub><mo><</mo><msub><mrow><mi>a</mi></mrow><mrow><mi mathvariant="normal">m</mi><mi mathvariant="normal">a</mi><mi mathvariant="normal">x</mi></mrow></msub></mtd></mtr><mtr><mtd><msub><mrow><mi>N</mi></mrow><mrow><mi mathvariant="normal">l</mi><mi mathvariant="normal">i</mi><mi mathvariant="normal">m</mi><mi mathvariant="normal">i</mi><mi mathvariant="normal">t</mi></mrow></msub><mo><</mo><msub><mrow><mi>P</mi></mrow><mrow><mi mathvariant="normal">f</mi></mrow></msub><mo><</mo><msub><mrow><mi>P</mi></mrow><mrow><mi mathvariant="normal">l</mi><mi mathvariant="normal">i</mi><mi mathvariant="normal">m</mi><mi mathvariant="normal">i</mi><mi mathvariant="normal">t</mi></mrow></msub></mtd></mtr></mtable></mrow></mfenced></math> http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=39554561&type= http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=39554556&type= 27.77066803 13.71599960 ， 其中 P limit 和 N limit 分别为正负软件限位位置。 3 . 2 . 3 通信周期监测 3 该模块用于监控和诊断通信周期是否超时。现场总线具有完善的数据校验机制，误码率能够得到一定的保障。通信周期监测主要对通信行为的异常进行诊断。因此，驱动器接收相邻两次通信帧的实际间隔时间 t ca 与设定的通信周期 t cs 应满足如下关系： <math display="block" id="M5"><msub><mrow><mi>t</mi></mrow><mrow><mi mathvariant="normal">c</mi><mi mathvariant="normal">a</mi></mrow></msub><mo><</mo><msub><mrow><mi>t</mi></mrow><mrow><mi mathvariant="normal">c</mi><mi mathvariant="normal">s</mi></mrow></msub></math> http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=39554576&type= http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=39554565&type= 10.75266743 3.72533321 . 3 . 2 . 4 电源状态参数监测 3 该模块用于检测和诊断母线电压、控制电压和母线电流的工作状态。母线电压 V dc 应大于电机要求的转速下产生的反电动势，以保证电机具有正常的速度输出。母线电压不应高于电机或功率器件所能承受的最大电压，否则可能导致电机或功率器件损坏。控制电压 V ctr 是提供板载IC的工作电压，应该根据IC对电源波动范围进行约束，波动范围一般不超过5%。母线电流 I bus 根据功率器件的开关状态反映各相电流值，由于电机的感性负载特性，母线电流不会超过各相的峰值电流。则电源状态参数的安全区间如下： <math display="block" id="M6"><mfenced open="{" close="" separators="|"><mrow><mtable><mtr><mtd><mi mathvariant="normal">m</mi><mi mathvariant="normal">i</mi><mi mathvariant="normal">n</mi><mo stretchy="false">(</mo><msub><mrow><mi>V</mi></mrow><mrow><mi mathvariant="normal">D</mi><mi mathvariant="normal">S</mi><mi mathvariant="normal">S</mi></mrow></msub><mo>,</mo><msub><mrow><mi>V</mi></mrow><mrow><mi mathvariant="normal">m</mi><mi mathvariant="normal">m</mi><mi mathvariant="normal">a</mi><mi mathvariant="normal">x</mi></mrow></msub><mo stretchy="false">)</mo><mo>></mo><msub><mrow><mi>V</mi></mrow><mrow><mi mathvariant="normal">d</mi><mi mathvariant="normal">c</mi></mrow></msub><mo>></mo><msub><mrow><mi>K</mi></mrow><mrow><mi mathvariant="normal">e</mi></mrow></msub><msub><mrow><mi>V</mi></mrow><mrow><mi mathvariant="normal">r</mi></mrow></msub></mtd></mtr><mtr><mtd><mn mathvariant="normal">105</mn><mi mathvariant="normal">%</mi><msub><mrow><mi>V</mi></mrow><mrow><mi mathvariant="normal">I</mi><mi mathvariant="normal">C</mi></mrow></msub><mo>></mo><msub><mrow><mi>V</mi></mrow><mrow><mi mathvariant="normal">c</mi><mi mathvariant="normal">t</mi><mi mathvariant="normal">r</mi></mrow></msub><mo>></mo><mn mathvariant="normal">95</mn><mi mathvariant="normal">%</mi><msub><mrow><mi>V</mi></mrow><mrow><mi mathvariant="normal">I</mi><mi mathvariant="normal">C</mi></mrow></msub></mtd></mtr><mtr><mtd><msub><mrow><mi>I</mi></mrow><mrow><mi mathvariant="normal">b</mi><mi mathvariant="normal">u</mi><mi mathvariant="normal">s</mi></mrow></msub><mo><</mo><msub><mrow><mi>I</mi></mrow><mrow><mi mathvariant="normal">p</mi><mi mathvariant="normal">e</mi><mi mathvariant="normal">a</mi><mi mathvariant="normal">k</mi></mrow></msub></mtd></mtr></mtable></mrow></mfenced></math> http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=39554588&type= http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=39554583&type= 50.37666702 14.90133286 ， 其中： V DSS 为功率器件漏源击穿电压， V mmax 为电机绕组的最大电压， K e 为电机的反电动势系数， V r 为电机工况要求的转速， V IC 为电路板芯片所要求的工作电压， I peak 为电机的峰值电流。 3 . 2 . 5 逆变器及电机状态参数监测 3 该模块主要通过相电流、温度传感器状态以及功率管开关状态对逆变器和电机状态进行监测和诊断。逆变器功率器件参数受温度影响较大，高温会导致其最大漏源电流 I ds 变小，一旦实际通过电流超过 I ds 则会损坏功率器件。根据功率器件数据手册可以得到 I ds 随温度 T 的变化函数 F （ T ）。该函数可计算功率器件在电机峰值电流时的温度阈值。因此，功率器件的温度约束如下： <math display="block" id="M7"><msub><mrow><mi>T</mi></mrow><mrow><mi mathvariant="normal">f</mi></mrow></msub><mo><</mo><msub><mrow><mi>T</mi></mrow><mrow><mi mathvariant="normal">t</mi><mi mathvariant="normal">h</mi></mrow></msub><mo>=</mo><msup><mrow><mi>F</mi></mrow><mrow><mo>-</mo><mn mathvariant="normal">1</mn></mrow></msup><mo stretchy="false">(</mo><msub><mrow><mi>I</mi></mrow><mrow><mi mathvariant="normal">p</mi><mi mathvariant="normal">e</mi><mi mathvariant="normal">a</mi><mi mathvariant="normal">k</mi></mrow></msub><mo stretchy="false">)</mo></math> http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=39554601&type= http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=39554594&type= 31.91933441 4.65666676 ， 其中： T f 为温度传感器的反馈温度， T th 为提供电机峰值电流的温度阈值。 在三相全桥电路中，功率器件通过控制8个状态矢量状态时间合成电机控制所需的电压矢量。各矢量状态下相电压 V as ， V bs ， V cs 的关系如 表2 表2 所示。 矢量状态 S a S b S c V as V bs V cs Ⅰ 1 0 0 2 V dc /3 - V dc /3 - V dc /3 Ⅱ 1 0 1 V dc /3 -2 V dc /3 V dc /3 Ⅲ 0 0 1 - V dc /3 - V dc /3 2 V dc /3 Ⅳ 0 1 1 -2 V dc /3 V dc /3 V dc /3 Ⅴ 0 1 0 - V dc /3 2 V dc /3 - V dc /3 Ⅵ 1 1 0 V dc /3 V dc /3 -2 V dc /3 Ⅶ 0 0 0 0 0 0 Ⅷ 1 1 1 0 0 0 此外，各相电流应小于电机峰值电流，且在电机三相负载平衡条件下各相电流之和为0。各相电流的约束关系如下： <math display="block" id="M8"><mfenced open="{" close="" separators="|"><mrow><mtable><mtr><mtd><mi mathvariant="normal">m</mi><mi mathvariant="normal">a</mi><mi mathvariant="normal">x</mi><mo stretchy="false">(</mo><msub><mrow><mi>I</mi></mrow><mrow><mi mathvariant="normal">a</mi></mrow></msub><mo>,</mo><msub><mrow><mi>I</mi></mrow><mrow><mi mathvariant="normal">b</mi></mrow></msub><mo>,</mo><msub><mrow><mi>I</mi></mrow><mrow><mi mathvariant="normal">c</mi></mrow></msub><mo stretchy="false">)</mo><mo><</mo><msub><mrow><mi>I</mi></mrow><mrow><mi mathvariant="normal">p</mi><mi mathvariant="normal">e</mi><mi mathvariant="normal">a</mi><mi mathvariant="normal">k</mi></mrow></msub></mtd></mtr><mtr><mtd><msub><mrow><mi>I</mi></mrow><mrow><mi mathvariant="normal">a</mi></mrow></msub><mo>+</mo><msub><mrow><mi>I</mi></mrow><mrow><mi mathvariant="normal">b</mi></mrow></msub><mo>+</mo><msub><mrow><mi>I</mi></mrow><mrow><mi mathvariant="normal">c</mi></mrow></msub><mo>=</mo><mn mathvariant="normal">0</mn></mtd></mtr></mtable></mrow></mfenced></math> http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=39554624&type= http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=39554620&type= 33.02000046 9.39799976 . 3 . 2 . 6 闭环状态监测 3 该模块通过监测指令条件和反馈状态，来诊断闭环控制过程中电机电流、速度、位置与指令是否偏差过大。在各模式下指令反馈偏差过大的原因为控制器参数设定不合理、驱动器输出能力不够、负载结构卡死等。根据实际系统闭环控制需要设置合理的转矩闭环偏差 E tor 、速度闭环偏差 E vel 、位置闭环偏差 E pos 和当实际偏差大于设定值时，电机闭环质量已经不能满足系统需求。 <math display="block" id="M9"><mfenced open="{" close="" separators="|"><mrow><mtable><mtr><mtd><mo stretchy="false">|</mo><msub><mrow><mi>T</mi></mrow><mrow><mi mathvariant="normal">c</mi><mi mathvariant="normal">m</mi><mi mathvariant="normal">d</mi></mrow></msub><mo>+</mo><msub><mrow><mi>K</mi></mrow><mrow><mi mathvariant="normal">t</mi></mrow></msub><msub><mrow><mi>I</mi></mrow><mrow><mi mathvariant="normal">q</mi></mrow></msub><mo stretchy="false">|</mo><mo><</mo><msub><mrow><mi>E</mi></mrow><mrow><mi mathvariant="normal">t</mi><mi mathvariant="normal">o</mi><mi mathvariant="normal">r</mi></mrow></msub></mtd></mtr><mtr><mtd><mo stretchy="false">|</mo><msub><mrow><mi>V</mi></mrow><mrow><mi mathvariant="normal">c</mi><mi mathvariant="normal">m</mi><mi mathvariant="normal">d</mi></mrow></msub><mo>-</mo><msub><mrow><mi>V</mi></mrow><mrow><mi mathvariant="normal">f</mi></mrow></msub><mo stretchy="false">|</mo><mo><</mo><msub><mrow><mi>E</mi></mrow><mrow><mi mathvariant="normal">V</mi><mi mathvariant="normal">e</mi><mi mathvariant="normal">l</mi></mrow></msub></mtd></mtr><mtr><mtd><mo stretchy="false">|</mo><msub><mrow><mi>P</mi></mrow><mrow><mi mathvariant="normal">c</mi><mi mathvariant="normal">m</mi><mi mathvariant="normal">d</mi></mrow></msub><mo>-</mo><msub><mrow><mi>P</mi></mrow><mrow><mi mathvariant="normal">f</mi></mrow></msub><mo stretchy="false">|</mo><mo><</mo><msub><mrow><mi>E</mi></mrow><mrow><mi mathvariant="normal">p</mi><mi mathvariant="normal">o</mi><mi mathvariant="normal">s</mi></mrow></msub></mtd></mtr></mtable></mrow></mfenced></math> http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=39554633&type= http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=39554629&type= 30.56466866 15.57866764 . 以上分析提供了正常的驱动控制过程中各模块参数的约束范围及接口信号的约束条件。根据式（3）~ 式（9） 式（9） 以及 表2 表2 对相电压关系描述建立驱动参数安全运行区间并形成安全诊断机制，可保证驱动器安全运行。 4 功能安全集成设计 1 IEC61800-5-2标准作为“可调速电气传动系统”的功能安全规范，提出了安全功能集成要求。通过深入分析IEC61800-5-2规范要求，构建安全相关系统架构，重点对安全功能集成方法进行阐述。 4.1　IEC61800-5-2安全功能分析 2 通过分析IEC61800-5-2中建议的17项安全功能的作用方式，安全功能可分为安全停止、安全监视和安全输出3类，如 表3 表3 所示。 No. 安全功能 功能描述 功能类型 1 安全转矩截止（STO） 能够引起运动的电源不被作用到电机 安全停止 2 安全停止1（SS1） 电机减速后通过STO使电机停止 安全停止 3 安全操作停止（SOS） 防止电机偏离停止位置大于设定值 安全停止 4 安全停止2（SS2） 电机减速后通过SOS使电机停止 安全停止 5 安全极限加速度（SLA） 防止电机超过加/速度限制 安全停止 6 安全加速度范围（SAR） 保持电机加/减速度在限制范围内 安全监视 7 安全极限速度（SLS） 防止电机超过规定的速度限制 安全监视 8 安全速度范围（SSR） 保持电机在规定的速度限制范围内 安全监视 9 安全极限转矩（SLT） 防止电机超过转矩限制 安全监视 10 安全转矩范围（STR） 保持电机在规定的转矩限制范围内 安全监视 11 安全限位（SLP） 防止电机超过规定的位置限值 安全监视 12 安全极限增量（SLI） 防止电机超过指定的位置增量 安全监视 13 安全方向（SDI） 防止电机在非指定方向上移动超过限制 安全监视 14 安全电机温度（SMT） 防止电机温度超过指定上限 安全监视 15 安全制动控制（SBC） 提供安全输出信号控制外部制动设备 安全输出 16 安全位置监视（SCA） 输出安全信号指示电机位置是否在限制范围 安全输出 17 安全速度监视（SSM） 输出安全信号指示电机速度是否低于设定值 安全输出 3类安全功能的作用原理如下：通过监视功能对电机及驱动器运动过程中具有安全指示意义的参数进行监控，一旦这些参数超过设定的安全范围，则启动停止功能保证系统和设备的安全。此外，安全输出为外部控制器或执行器提供部分参数的监控信息，外部控制单元可根据安全输出信号，通过输入输出接口或是现场总线的方式启动驱动器的停止功能。 4.2　安全相关系统硬件结构 2 建立可靠的硬件电路是实现上述安全功能的基础。通过分析各项功能的实现方式，安全集成硬件的设计要求归纳如下： （1）具有可靠的外部输入接口作为停止功能触发源； （2）具有符合IEC61784-3规范的安全现场总线传输停止功能指令； （3）具有功能和通道独立的转矩切断电路实现STO指令； （4）具有高可靠的微处理器电路保证安全逻辑的正常实现； （5）具有可靠的输出接口保证信号安全输出； （6）具有满足安全完整性等级要求的传感器保证监视功能数据源。 限于文章主题和篇幅，本文不对现场总线功能安全以及传感器可靠性相关问题进行研究，假设其安全完整性等级满足设计需要。根据硬件设计要求，驱动器安全相关系统由传感器及输入接口子系统、逻辑子系统、最终原件子系统构成，其硬件架构原理如 图5 图5 所示。 传感器及输入接口子系统由输入接口和满足安全完整性要求的传感器输入接口和总线接口构成。输入接口包括6路相互独立的隔离输入电路，提供了停止功能STO，SS1，SS2的外部指令信号输入接口，并且每一个输入的停止信号都有A，B两路独立的电路通道，提高了硬件裕度。 逻辑子系统采用具有双MCU内核的SoC芯片及最小系统电路，形成1oo2D结构。SoC中两个MCU采用双核锁步与看门狗共同作用的安全手段，通过MCU程序内存的相互校验和外部看门狗定时器，保证其信号处理及算法运行功能的可靠性。此外，各MCU输出的SVPWM开关信号通过输出逻辑与的操作，可保证在任何一个MCU失效后可由另一MCU关断三相全桥逆变器功率器件，使STO功能正常实现。 最终，原件子系统是安全相关系统的最终执行单元，用于执行安全保护功能。设计6路相互独立的输出隔离电路，实现对SBC，SCA，SSM信号的双通道输出。此外，考虑到STO功能是所有安全功能中唯一不进行闭环控制而直接切断功率电源与电机关联的功能，独立且冗余地切断执行电路是功能安全重要保障。因此，在功率电源模块和三相全桥逆变电路之间设计功率开关器件，用STO-A隔离输入控制逆变电路电源通断。这种STO方式与MCU通过输出逻辑关断功率器件的STO方式，在电路作用原理和硬件执行通道上都具有独立性。 4.3　基于对象字典的安全功能集成方法 2 在基于总线的可编程控制系统中，设计基于总线的可配置安全功能底层模块是快速实现安全逻辑设计，满足不同应用场景对安全功能的个性化需求的关键。 根据 表3 表3 对IEC61800-5-2中建议的17项安全功能特点，在伺服驱动器中集成3类安全功能模块，并将功能参数映射到对象字典（OD）中，形成基于总线通信的安全功能和逻辑配置架构，如 图6 图6 所示。 图6 图6 中，安全停止、安全监视和安全输出3类功能模块的使能控制、参数配置、状态反馈等参数全部映射在OD中。主站可通过总线访问OD，实现对各功能模块的状态读取与使能调度。 传感器反馈信号处理模块将传感器采集得到的电机实际位置、速度、转矩、加速度和温度存放在OD中，作为安全监视功能的条件参数。在系统运行过程中，安全监视功能模块实时对比OD中电机的实际状态是否超过设定安全范围，并将状态存放在OD中。安全输出功能模块在电机的实际状态满足OD中参数配置时，输出安全状态。安全停止模块根据OD中对停止方式的要求或控制电机按规定的轨迹停止，或进行电源切断实现自由停车。 采用上述方式，主站安全逻辑可根据OD中安全监视功能的某项或多项状态来执行安全停止或安全输出功能，从而实现安全功能的总线配置与控制。此外，驱动器还设置外部停止信号输入模块，也可根据外部安全电路信号或安全输出信号实现驱动器自身的安全保护功能。 三类安全功能模块的具体实现可结合前文提出的三环控制器架构。将驱动器原有的控制软件结构简化为简单的闭环回路指令处理功能模块、反馈处理功能模块和三环控制功能模块。在此基础上集成安全停止、安全监视和安全输出功能模块，形成如 图7 图7 所示的驱动器安全集成软件架构。 图7 图7 中，安全停止功能模块（SS1，SS2，SOS）于指令处理功能模块后端，通过干预闭环控制器的指令状态，在不切断电源的情况下通过设定减速度使电机停止。整个过程中，闭环控制功能处于有效状态。在无安全停止功能触发时，该模块透传Cmd指令作为三环控制器的指令输入。在存在SS1，SS2停止状态时，根据设置的减速度、延迟时间等参数进行指令规划，产生安全停止指令。此外，设计安全停止功能模块（STO）位于三环控制器的输出端，用于控制三环控制器输出的SVPWM信号。同样，在无STO要求时透传SVPWM信号。当需要执行STO时，将SVPWM信号全部置0，关闭逆变器所有功率器件并采用关闭栅极使能和切断逆变器电源的方式使电源不能有效作用于电机。 安全监视功能模块通过对传感器反馈信号的处理得到电机的实时位置、速度、转矩、加速度及温度。用户根据实际系统的应用场景和负载特性通过总线对安全监视功能中的极限加速度、安全加速度范围、极限速度、速度范围、极限转矩、转矩范围、安全限位、极限增量、安全方向和安全温度范围进行配置。当所监视的某项参数或多项参数超过设定范围后，根据安全逻辑要求启动安全停止功能使电机停止。 安全输出功能模块主要对电机位置和速度是否超过限制状态进行实时判断，当参数超过限制时输出安全信号。另外，安全制动控制根据安全逻辑在停止功能完成后输出安全信号控制外部制动设备。 上述基于OD的安全功能模块化集成方式可根据各类应用场景对安全功能的不同要求灵活设计安全逻辑，符合伺服驱动器通用化的使用要求。 5 实 验 1 根据前文对安全集成伺服驱动器的分析及设计，以国产京微齐力M7系列SoC芯片为主控MCU，以ROHM公司SCT3060AL碳化硅MOSFET为核心功率器件，开发了高功率密度伺服驱动器，如 图8 图8 所示。 为了验证本文提出的安全集成方法，搭建了如 图9 图9 所示的实验系统。自研高功率密度伺服驱动模块对PMSM进行闭环控制。PMSM通过联轴器与转矩传感器和磁粉制动器相连，其末端编码器作为位置和速度传感器。转矩传感器用于测量电机实时转矩，磁粉制动器模拟电机负载。笔记本电脑通过仿真器与驱动器主控芯片相连，用于监测并记录驱动过程中重要的变量数据。 根据 图9 图9 搭建实验测试平台。采用额定电流为19.5 A的5对极永磁同步电机作为高功率密度驱动模块的控制对象。使用电机末端集成2500线增量式编码器作为速度和位置反馈传感器。选用输出转矩为0~6 N·m的磁粉制动器模拟加载情况。实验测试平台如 图10 图10 所示。 由于安全监视、安全停止和安全输出组合形成的安全逻辑数量过于庞大，无法逐一验证。本文在驱动器转矩、速度、位置模式下，分别构造典型的安全保护逻辑来验证安全集成功能的有效性。 5.1　转矩模式STO保护实验 2 伺服驱动器处于转矩闭环工作模式时，机械负载特性及摩擦力变化可能导致电机持续加速并超过系统的最大运行速度，产生系统失效。安全保护逻辑设置如下：当电机的实际转速超过SSR［ - 100，100］ rad/s后，启动STO停止功能，保护电机及负载设备安全。 将伺服驱动器配置为转矩闭环模式，初始转矩指令为0 N·m。一段时间后，将转矩指令设置为0.4 N·m，电机开始运动；稳定后，将转矩指令提高到0.8 N·m，电机开始加速运动。整个过程中，电机的实际运行状态及STO状态如 图11 图11 所示。可以看出， t =0.56 s时转矩指令为0.4 N·m，电机的实际转矩与指令转矩曲线重合，电机速度由0逐步上升至约22 rad/s时基本稳定。 t =2.289 s时，电机的实际转矩跟随指令转矩变为0.8 N·m，电机转速开始上升。在 t =2.948 s时，电机转速超过SSR的正向范围100 rad/s。此时，STO状态由0跳转到1，启动STO保护，电机实际转矩迅速降为0并在惯性作用下，速度逐渐下降为0。 5.2　速度模式SS1保护实验 2 伺服驱动器在速度闭环运行时，由于限位开关故障可能会导致电机及负载运动范围超过机械结构允许的行程，对设备或人员造成危险。安全保护逻辑设置如下：当电机实际位置超过SLP范围后，启动SS1停止功能，电机停止。 设置SLP为［ - 50，50］ rad，SS1停止时减速度为5 rad/s 2 ，减速至2 rad/s时启动STO停止。伺服驱动器工作在速度闭环模式，初始速度为0。一段时间后，指令速度设置为20 rad/s，当电机超过限位后由SS1停止功能保护。整个过程中电机运行参数曲线如 图12 图12 所示。电机从初始时刻进行零速闭环。在 t =1.532 s时，电机速度随指令增加至20 rad/s。此时，电机位置开始增加，启动瞬间转矩出现1.8 N·m的尖峰。 t =4.03 s时，电机的实际位置超过50 rad，SS1信号变高并以5 rad/s 2 的减速度进行减速。 t =7.63 s时，电机速度降为2 rad/s，STO信号变高并切断电源使电机停止。 5.3　位置模式SS2保护实验 2 伺服驱动器在位置闭环模式时，由于机械结构卡住或负载行程内人员误入可能导致驱动器因闭环需要增加转矩，对设备和人员产生危害。安全保护逻辑设置如下：当电机实际转矩超过STR范围时，启动SS2停止功能，电机停止。 设置STR为［ - 2，2］ N·m，SS2停止时减速度为10 rad/s 2 ，减速至2 rad/s时启动SOS，使电机保持零速闭环状态。伺服驱动器上电后，保持当前初始位置闭环。一段时间后，给定较大的位置指令。在电机向目标位置运行的过程中，利用磁粉制动器瞬间施加大转矩后马上关闭。电机在负载剧烈变化且超过STR范围时，执行SS2安全停止保护功能。整个过程中电机的运行状态参数曲线如 图13 图13 所示。在 t =1.063 s时，位置指令更新为20 rad，电机按最大20 rad/s速度运行到位。 t =4.184 s时，位置指令更新为80 rad，电机仍按最大20 rad/s速度运行。 t =5.146 s时，电机未运行到位，通过磁粉制动器瞬间施加3 N·m转矩后关闭。此时，电机实际转矩已经超过STR上限2 N·m，SS2信号变高并以10 rad/s 2 的减速度执行SS2安全停止。 t =6.946 s时，电机速度降低至2 rad/s，SOS信号变高并以0为指令速度，电机保持停止。 以上3组实验分别针对电机不同的控制模式下可能发生危险设置了安全保护逻辑。实验结果验证了驱动器安全功能的有效性和驱动器安全集成方法的可行性。 6 结 论 1 本文对自主可控可编程控制系统伺服驱动模块的安全设计问题进行了研究。通过建立PMSM的矢量控制数学模型，对典型驱动控制的硬件结构与软件功能进行了梳理，明确了伺服驱动器的实现原理，并据此对驱动器各功能模块失效模式、作用方式以及对系统的影响机理进行了分析。利用驱动器传感器信息，提出了各功能模块安全运行的参数区间，形成了系统驱动器自身模块失效的安全监测方法。此外，将IEC61800-5-2建议的17项安全功能进行了归纳和分类，并根据各功能实现要求，设计了冗余的安全相关硬件结构。采用基于对象字典的安全功能调度方式，设计了可通过总线配置和调度的安全逻辑软件架构，形成了安全集成设计方法。最后，搭建实验平台，构造典型的安全保护逻辑，验证了所设计的伺服驱动模块的安全功能。 参考文献 王健 ， 莫会成 ， 任雷 . 现代交流伺服系统技术动向与应用趋势 ［J］. 伺服控制 ， 2013 （ 6 ）： 16 - 18 . 现代交流伺服系统技术动向与应用趋势 WANG J ， MO H CH ， REN L . Technical trend and application trend of modern AC servo system ［J］. Servo Control ， 2013 （ 6 ）： 16 - 18 . （in Chinese） Technical trend and application trend of modern AC servo system 李洪文 ， 邓永停 ， 王建立 . 永磁同步电机速度控制器的全数字化集成 ［J］. 光学 精密工程 ， 2015 ， 23 （ 4 ）： 1105 - 1113 . doi: 10.3788/ope.20152304.1105 http://dx.doi.org/10.3788/ope.20152304.1105 永磁同步电机速度控制器的全数字化集成 LI H W ， DENG Y T ， WANG J L . Digital integration of PMSM speed controller based on FPGA ［J］. Opt. Precision Eng. ， 2015 ， 23 （ 4 ）： 1105 - 1113 . （in Chinese） . doi: 10.3788/ope.20152304.1105 http://dx.doi.org/10.3788/ope.20152304.1105 Digital integration of PMSM speed controller based on FPGA 周涛 . 永磁同步电机调速系统的自抗扰控制 ［J］. 光学 精密工程 ， 2016 ， 24 （ 3 ）： 582 - 589 . doi: 10.3788/ope.20162403.0582 http://dx.doi.org/10.3788/ope.20162403.0582 永磁同步电机调速系统的自抗扰控制 ZHOU T . Active disturbance rejection control of speed governing system for PMSM ［J］. Opt. Precision Eng. ， 2016 ， 24 （ 3 ）： 582 - 589 . （in Chinese） . doi: 10.3788/ope.20162403.0582 http://dx.doi.org/10.3788/ope.20162403.0582 Active disturbance rejection control of speed governing system for PMSM 刘艳强 ， 宋永立 ， 王健 . 安全集成伺服驱动技术 ［J］. 制造技术与机床 ， 2012 （ 3 ）： 49 - 52 . doi: 10.3969/j.issn.1005-2402.2012.03.013 http://dx.doi.org/10.3969/j.issn.1005-2402.2012.03.013 安全集成伺服驱动技术 LIU Y Q ， SONG Y L ， WANG J . Safety-integrated servo drive technology ［J］. Manufacturing Technology ＆ Machine Tool ， 2012 （ 3 ）： 49 - 52 . （in Chinese） . doi: 10.3969/j.issn.1005-2402.2012.03.013 http://dx.doi.org/10.3969/j.issn.1005-2402.2012.03.013 Safety-integrated servo drive technology WU H ， FENG J S . A review of fault diagnosis methods of robot joint servo system ［C］. 2020 IEEE International Conference on Mechatronics and Automation . Beijing， China . IEEE ， 2020 ： 61 - 66 . doi: 10.1109/icma49215.2020.9233583 http://dx.doi.org/10.1109/icma49215.2020.9233583 A review of fault diagnosis methods of robot joint servo system CORDOBA-ARENAS A ， ZHANG J Y ， RIZZONI G . Diagnostics and prognostics needs and requirements for electrified vehicles powertrains ［J］. IFAC Proceedings Volumes ， 2013 ， 46 （ 21 ）： 524 - 529 . doi: 10.3182/20130904-4-jp-2042.00139 http://dx.doi.org/10.3182/20130904-4-jp-2042.00139 Diagnostics and prognostics needs and requirements for electrified vehicles powertrains CHEN L Y ， FAN D P ， ZHENG J J ， et al . Functional safety analysis and design of sensors in robot joint drive system ［J］. Machines ， 2022 ， 10 （ 5 ）： 360 . doi: 10.3390/machines10050360 http://dx.doi.org/10.3390/machines10050360 Functional safety analysis and design of sensors in robot joint drive system 赵荣 ， 侯远龙 ， 侯润民 . 基于STM32的交流伺服系统冗余控制研究 ［J］. 微电机 ， 2017 ， 50 （ 2 ）： 50 - 54 . 基于STM32的交流伺服系统冗余控制研究 ZHAO R ， HOU Y L ， HOU R M . Research on redundancy control based on STM32 ［J］. Micromotors ， 2017 ， 50 （ 2 ）： 50 - 54 . （in Chinese） Research on redundancy control based on STM32 MEINGUET F ， SANDULESCU P ， KESTELYN X ， et al . A method for fault detection and isolation based on the processing of multiple diagnostic indices： application to inverter faults in AC drives ［J］. IEEE Transactions on Vehicular Technology ， 2013 ， 62 （ 3 ）： 995 - 1009 . doi: 10.1109/tvt.2012.2234157 http://dx.doi.org/10.1109/tvt.2012.2234157 A method for fault detection and isolation based on the processing of multiple diagnostic indices： application to inverter faults in AC drives 司宾强 ， 朱纪洪 ， 吉敬华 . 四相永磁容错电机短路故障容错策略 ［J］. 控制与决策 ， 2014 ， 29 （ 8 ）： 1489 - 1494 . 四相永磁容错电机短路故障容错策略 SI B Q ， ZHU J H ， JI J H . Two short-circuit fault tolerant strategies for four-phase permanentmagnet fault-tolerant machine ［J］. Control and Decision ， 2014 ， 29 （ 8 ）： 1489 - 1494 . （in Chinese） Two short-circuit fault tolerant strategies for four-phase permanentmagnet fault-tolerant machine HUANG C ， NAGHDY F ， DU H P ， et al . Fault tolerant steer-by-wire systems： an overview ［J］. Annual Reviews in Control ， 2019 ， 47 ： 98 - 111 . doi: 10.1016/j.arcontrol.2019.04.001 http://dx.doi.org/10.1016/j.arcontrol.2019.04.001 Fault tolerant steer-by-wire systems： an overview ZHANG J Y ， YAO H Y ， RIZZONI G . Fault diagnosis for electric drive systems of electrified vehicles based on structural analysis ［J］. IEEE Transactions on Vehicular Technology ， 2017 ， 66 （ 2 ）： 1027 - 1039 . doi: 10.1109/tvt.2016.2556691 http://dx.doi.org/10.1109/tvt.2016.2556691 Fault diagnosis for electric drive systems of electrified vehicles based on structural analysis FOO G H B ， ZHANG X N ， VILATHGAMUWA D M . A sensor fault detection and isolation method in interior permanent-magnet synchronous motor drives based on an extended Kalman filter ［J］. IEEE Transactions on Industrial Electronics ， 2013 ， 60 （ 8 ）： 3485 - 3495 . doi: 10.1109/tie.2013.2244537 http://dx.doi.org/10.1109/tie.2013.2244537 A sensor fault detection and isolation method in interior permanent-magnet synchronous motor drives based on an extended Kalman filter 肖家麒 ， 张瑞 . 第五十二讲： 基于IEC 61800-5-2的伺服系统功能安全应用 ［J］. 仪器仪表标准化与计量 ， 2016 （ 2 ）： 17 - 20， 24 . 第五十二讲： 基于IEC 61800-5-2的伺服系统功能安全应用 XIAO J Q ， ZHANG R . Chapter 52： functional safety servo drive system application based on IEC 61800-5-2 ［J］. Instrument Standardization ＆ Metrology ， 2016 （ 2 ）： 17 - 20， 24 . （in Chinese） Chapter 52： functional safety servo drive system application based on IEC 61800-5-2 陈小全 ， 周婷 . 基于MCU的安全扭矩关断模块设计 ［J］. 自动化仪表 ， 2020 ， 41 （ 6 ）： 29 - 33 . 基于MCU的安全扭矩关断模块设计 CHEN X Q ， ZHOU T . Design of safe torque off module based on MCU ［J］. Process Automation Instrumentation ， 2020 ， 41 （ 6 ）： 29 - 33 . （in Chinese） Design of safe torque off module based on MCU BHATNAGAR A ， SHANBHAG V ， NAVANEETH N . Integrating functional safety in motor drives with redundancy and diagnostic coverage ［J］. EAI Endorsed Transactions on Cloud Systems ， 2019 ， 5 （ 16 ）： 162593 . doi: 10.4108/eai.5-11-2019.162593 http://dx.doi.org/10.4108/eai.5-11-2019.162593 Integrating functional safety in motor drives with redundancy and diagnostic coverage LIU Y Q ， SONG Y L . EtherCAT-based functional safety-integrated communication ［C］. International Conference on Automatic Control and Artificial Intelligence （ACAI 2012）. Xiamen. London ： IET ， 2012 ： 1005 - 1008 . doi: 10.1049/cp.2012.1146 http://dx.doi.org/10.1049/cp.2012.1146 EtherCAT-based functional safety-integrated communication 10.37188/OPE.20233101.0042 TP273 A 1004-924X（2023）01-0042-15 陈凌宇,郑杰基,何爱华等.安全集成伺服电机驱动模块设计[J].光学精密工程,2023,31(01):42-56. 陈凌宇,郑杰基,何爱华等.安全集成伺服电机驱动模块设计[J].光学精密工程,2023,31(01):42-56. CHEN Lingyu,ZHENG Jieji,HE Aihua,et al.Design of safety integrated servo motor drive module[J].Optics and Precision Engineering,2023,31(01):42-56. CHEN Lingyu,ZHENG Jieji,HE Aihua,et al.Design of safety integrated servo motor drive module[J].Optics and Precision Engineering,2023,31(01):42-56. 国家自然科学基金区域创新发展联合基金资助项目（No.U19A2072） 2022-09-02 2022-10-12 2023-01-10 2023-02-07 光学精密工程 1 31