浅析机器人功能安全

总结，对于提高复杂控制系统与保护系统执行功能的可靠性，具有十分重要的指导意义。

对于机器人而言，涉及到的功能安全标准主要是ISO 13849、IEC 62061等，目前这些标准已经等同翻译为国家标准，如下表所示：

ISO 13849（GB/T 16855）和IEC 62061（GB 28526）规定了机械安全相关控制系统设计和实施的要求，其中ISO 13849使用性能等级Performance Level（PL），IEC 62061使用安全完整性等级Safety Integrity Level（SIL）。通常来说，如果涉及液压、气动等机械装置，建议使用ISO 13849进行评估，如果大多是电气电子部件，建议使用IEC 62061进行评估。ISO 13849和IEC 62061的适用范围见表2。在标准范围内，可以使用其中任何一个。

无论是ISO 13849规定的性能等级PL，还是IEC 62061规定的安全完整性等级SIL，不仅表明了安全相关控制系统危险失效率的目标量值，还表明了必须采取的技术与措施。

在机器人产品标准中，通常会规定安全相关控制系统的安全功能需达到的安全等级。对安全相关控制系统安全功能的等级进行规定。以工业机器人为例，我国已颁布两项专门针对工业机器人安全的强制性国家标准，作为工业机器人的制造商和集成商，在生产制造过程中必须严格遵守国家标准的要求。

GB 11291.2-2011 5.2.2规定，控制系统有关安全部件的设计，应遵照GB/T 16855.1-2008所描述的PL=d、结构类别3，或遵照GB 28526-2012所描述的SIL2、硬件1级容错，验证测试间隔不少于20年。

以个人助理机器人为例，国际标准化组织ISO在2014年推出了个人助理机器人的安全标准ISO 13482：2014，涉及电动平衡车、外骨骼机器人、移动机器人等机器人产品。目前，我国颁布的GB/T 36530-2018《机器人与机器人装备 个人助理机器人的安全要求》等同采用了该标准，并于2019年2月1日正式实施。其中，第6章对功能安全提出了具體的要求。标准规定个人助理机器人的控制系统功能（电子、液压、气动和软件）要求的性能等级（PL）和安全完整性等级（SIL）应由风险评估确定，应符合ISO 13849-1或IEC 62061。表5给出了个人助理机器人的功能安全要求。

机器人功能安全的评估程序

安全相关控制系统的设计程序，一般包括以下步骤：

1.风险评估，对机器人设计、生产、试运行、维修维护等生命周期相关阶段内的危险进行识别、估计和评价;

2.安全功能确认，识别并确认所需的安全功能，如紧急停止、保护性停止、安全相关的速度限制、安全相关的力控制等;

3.确认性能等级要求PLr，根据产品标准的要求，或根据风险评估的结果进行确定;

4.确认各安全功能的设计要求，包括硬件架构（输入、逻辑控制单元、输出、监控等）、诊断覆盖率（DC）、平均危险失效时间（MTTFd）、共因失效（CCF）等方面。表6和图2给出了性能等级PL与每个通道的类别、诊断覆盖率、平均危险失效时间的关系;

5.评估性能等级PL，一旦确定了类别（Category）、诊断覆盖率（DC）、平均危险失效时间（MTTFd）、共因失效（CCF）四个参数，即可确定安全功能达到的性能等级PL。如果证实性能等级PL≥性能等级要求PLr，即可说明符合功能安全的设计要求。

机器人功能安全评估案例

紧急停止功能是机器人功能安全中最重要的安全功能之一，任何安全功能的失效，都会导致非常严重的后果。下面以工业机器人紧急停止功能为例，阐述机器人功能安全评估的实例。

根据工业机器人标准ISO 10218-1：2011，紧急停止功能应满足类别Cat.3，PL d的要求。

首先，紧急停止功能的安全回路应满足Cat.3的要求：

-使用经验证的元件（well-tried component）;

-单故障时不可以使安全功能丧失，应于下一安全功能作动时或作动前被侦测到;

-不代表所有的故障都将会被侦测到，可以察觉部分故障，但无法察觉全部故障;

-若发生单故障时，安全功能可以照常作动，还是可以切断危险动作;

-未被察觉之故障的累积，可能会导致安全功能的丧失;

-每一通道的MTTFd应为“低、中、高”;平均诊断覆盖率DCavg应为“低、中”;CCF应为“符合”。

其次，紧急停止功能应符合ISO 13850的0类断电的要求，即通过切断所有危险运动部件制动器的电源来实现紧急停止。

图4为紧急停止安全回路示例[2]，其中S1、S2、S3是三个急停按钮，K1是安全继电器，K2、K3是接触器。急停按钮为输入装置，安全继电器为安全逻辑控制器，两个冗余的接触器为输出装置。每个急停按钮有两个触点，急停信号被冗余地读入安全继电器K1以进行故障检测（如断线检测）。安全继电器具有强制导向结构，在发生触点熔结现象时也能确保安全。安全继电器可以保障在紧急停止命令解除时，机器不能再启动，必须进行故障复位才可以重新得电。接触器K2和K3也通过机械连接的触点，在安全继电器K1中进行监控。K2或K3中任何一个出现故障，电机的动力电源都会被立刻切断。K2和K3构成了冗余，保证了电机的危险电源可以被可靠切断。

确定了电路结构后，还要选择元器件，确定平均危险失效时间MTTFd、平均诊断覆盖率DCavg、共因失效等參数，进而评估紧急停止功能所达到的性能等级PL。

元件选择：

-急停按钮S1、S2和S3符合IEC 60947-5-1附录K要求，急停装置符合EN ISO 13850标准;

-安全继电器K1可以满足Cat.4和PL e的要求;

-K2和K3具有符合IEC 60947-5-1附录L要求的机械连杆触点。

平均危险失效时间MTTFd：

-急停按钮S1、S2和S3，故障排除适用于强制断开触点和机械设备;

-安全继电器K1符合PL e，MTTFd值250年;

-接触器K2和K3：根据制造商提供的数据，其B10为1000000。假定其中50%为危险失效，其B10d应为2000000。假定1年工作240天，每天工作12小时，每周期28秒，经计算，其MTTFd应为54年;

-系统MTTFd应为“中”。

平均诊断覆盖率DCavg：

-急停按钮S1、S2和S3使用了强制断开触点，其诊断覆盖率可达99%;

-安全继电器的诊断覆盖率可达99%;

-基于安全继电器K1的测试，接触器K2和K3的诊断覆盖率可以达到90%;

-整个系统的诊断覆盖率为“中”。

共因失效：对系统共因失效的措施打分（共70分）：分离（15分），经过验证的元件（5分），过压保护等（15分）和环境条件（35分），对系统共因失效采取的措施符合要求（大于65分）。

依据图2，该急停安全回路可以达到的性能等级为PL=d，满足PLr=d的要求。

结语

近年来，我国工业机器人市场迅速增长，销量增速屡创历史新高，自2013年起年销量连续5年位居世界首位，我国服务机器人厂家如雨后春笋般涌现。在机器人市场迅猛发展的形势下，功能安全问题显得尤为重要，需加速开展机器人及系统的功能安全检测认证工作，规范国内机器人市场，提高机器人产品质量与安全，切实保障人身和财产安全。

参考资料

[1]史学玲.微信公众号文章《从埃塞航坠机看智能化系统功能安全的重要性》

[2] Michael Hauke and et.al. BGIA Report 2/2008e Functional safety of machine controls - Application of EN ISO 13849. German Social Accident Insurance （DGUV）.2008：p248.

推荐访问:浅析 机器人 功能