隨著機器人系統在工業環境中的應用越來越廣泛，行業安全要求以及國家/地區和國際安全法規需要不斷更新，確保人類在靠近機器的位置工作時擁有安全的環境。功能安全評估可以證明器件滿足安全要求，確保產品能夠負責任地被推向市場。

安全評估可能是一個漫長的過程，會延遲產品上市時間并增加產品的總體設計成本。本文旨在介紹如何簡化評估流程，以面向自主移動機器人 (AMR)的電機驅動器為例，介紹了在選擇合適的器件、滿足安全要求并縮減總體物料清單 (BOM) 尺寸和成本時需要考慮的事項，并通過描述滿足安全要求所需遵循的步驟，闡述了如何加快安全評估和降低設計成本。

引言

工業依賴自動化來提高生產率和整體效率。為了提高生產率，公司正在工廠中部署機器人，工人繼續與這些機器一起工作。因此，員工會面臨新型危險，這就需要對這類危險進行監管以確保人身安全。

為了證明機器人符合安全要求，在投放市場之前，每件產品都必須經過安全評估。評估必須表明機器符合最低和規定的安全要求。確保產品符合安全標準通常是一個漫長而復雜的過程，這會增加總體設計成本、機器人尺寸和上市時間。

本文將簡要說明對電機驅動器進行安全評估所需遵循的流程。介紹了使用的主要標準、架構類型和器件選型，有助于加快系統設計過程。

本文將單通道電機驅動器設計的新安全概念用作基準。此安全概念提供了塊級概念，說明如何根據ISO 13849實現 2 類、性能級別 2 (2 類、PLd)，或根據IEC 61508標準實現安全完整性級別 2 和硬件容錯 = 0 (SIL 2、HFT = 0)，此類概念旨在幫助技術人員以具有成本效益的方式滿足安全要求。例如，本文參考了 ISO 3691-4 標準，該標準側重于工業卡車，例如自主移動機器人 (AMR)；但是，相同的程序可用于需要 2 類、PLd 的任何其他機器。

此概念使用了德州儀器 (TI) 的高性能電機控制 C2000 實時控制器和 PMIC，它們都包含片上安全功能。通過使用此產品系列、設計概念和其他TI 可用的安全資源，設計可以實現整個系統的較低 BOM 實現并縮短上市時間。

了解 2 類、PLd 安全要求

了解所需的產品安全標準是產品設計過程中至關重要的第一步。本文以移動機器人電機驅動器為例，因此必須滿足 ISO 3691-4 產品安全標準要求。

符合 ISO 3691-4 的安全要求

ISO 3691-4 標準定義了無人駕駛工業卡車的安全要求和驗證，包括自主移動機器人 (AMR) 等工業移動機器人。該標準描述了整個機器的安全要求；因此，設計人員負責確定安全功能在工業叉車模塊內的位置，如圖 2-1 所示。

圖 2-1： 簡化的移動機器人方框圖

安全標準ISO 3691-4描述了在存在危險情況時必須實施的安全注意事項，旨在滿足必要的風險降低要求。對于所述的每種風險情況，ISO 3691-4 標準根據 ISO 13849-1 分配所需的最低性能級別 (PL)。PL 是一個通常用于實現每個安全功能所需風險降低的值，并在機械標準 ISO 13849-1 中進行定義。

與 PL 類似，多個標準使用IEC 61508中定義的安全完整性等級 (SIL)參數來衡量系統安全性能。表 2-1 中顯示了 PL 和 SIL 級別之間的關系。

表 2-1： IEC 61508 和 ISO 13849 SIL 和 PL 關系

SIL 和 PL 都是用于確保安全性能的離散級別，這些級別通過使用不同的參數來量化診斷能力。SIL 使用安全失效分數 (SFF) 作為參數來量化系統的安全故障與總故障之間的比率。同樣，PL 將 DC 參數稱為系統中實施的診斷有效性的度量。但是，SIL 和 PL 通過兩個成反比的主要參數相關：MTTF（平均危險失效時間）和 PFH（每小時危險失效概率），前者在 ISO 標準中使用，后者在 IEC 標準中使用。通過使用此關系，可以在評估系統安全性時同時使用 PL 和 SIL 級別。

表 2-2： 通過 PFH 和 MTTF 參數建立的 PL 和 SIL 關系

盡管 PL 或 SIL 適用于完整的安全功能（通常由傳感器、數據處理和執行器組成），但這些功能子系統中的每一個都需要滿足最低 PL 或 SIL 要求。每個子系統都有不同的標準來描述如何滿足安全級別。例如，對于電機驅動器和執行器實施，子系統特定的標準 IEC 61800-5-2 用于指定安全要求。

IEC 61800-5-2通過描述安全轉矩關閉 (STO)、安全限速 (SLS)、安全制動控制 (SBC)等指定的安全子功能，定義了電機驅動器的設計和開發要求。

在該標準中，IEC 61800-5-2指的是ISO 13849-1，其中描述了每個子功能實現最低 PL 所需的要求。此外，上文提到的兩個標準都討論了系統之間的獨立性、冗余和處理時間等方面，在實施系統時必須加以考慮。

因此，在開始系統實施之前，務必了解每個應用的安全要求、需要實施的安全子功能和每個子功能所需的風險降低級別（SIL 或 PL）之間的主要關系。

如 ISO 3691-4 的表 1 所示，對于這種特定情況，需要最低 PLd 級別。著眼于電機驅動子系統，使用IEC 61800-5-2中定義的安全子功能，以滿足 PLd 要求。表 2-3 總結了這三個標準之間的主要關系。

表 2-3：符合 ISO 3691-4 的安全要求

(1) NR：實現與機器人電機驅動器無關

系統架構選擇

ISO 13849-1標準定義了所需診斷覆蓋率和與系統的冗余量相關的架構類別之間的關系。如前所述，ISO 3691-4 標準要求最低 PLd 安全級別，這可通過使用 IEC 13849-1 標準中定義的 2 類、HFT = 0 或 3 類、HFT=1 架構來實現。此選項會影響系統中所需的冗余量和診斷覆蓋率，如圖 2-2 所示。

I= 輸入，L= 邏輯，O= 輸出，TE= 測試設備，OTE= 輸出測試設備，m= 監控，c= 比較

圖 2-2：符合 IEC 13849-1 標準的 2 類和 3 類的指定架構

如表 2.1 的 2 類、HFT = 0 所示，系統實現需要較少的冗余，以換取更高的 90% 診斷覆蓋率 (DCavg = 90%)。為滿足所需的 DCavg 要求，需要在定義的時間間隔內執行診斷功能，以確保按時達到安全狀態。相反，3 類架構需要雙通道設計，以換取較低的診斷覆蓋率和更寬松的時序約束。

對于AMR，關鍵的限制因素之一是系統的整體尺寸和重量。因此，更緊湊的 2 類架構適用于這些類型的應用程序。但是，在優先選擇 3 類實施的情況下，TI 還提供了C2000 實時微控制器的工業功能安全產品概述和有關如何實施此類系統的指導。

基于過程安全時間的器件選擇

了解了初始安全要求以及要實施的架構后，就需要進行器件選擇。作為一個常見的起點，MCU或處理器的選擇優先于其他器件，而安全特性或處理能力等方面是選擇過程中的關鍵結果。

在安全標準中，ISO 13849-1描述不同的時序要求，以確保系統能夠檢測到故障并在規定的過程安全時間內達到安全狀態。圖 2-3 顯示了用于定義時間間隔的典型命名規則。

圖 2-3：與功能安全相關的時序注意事項

診斷時間間隔包括可用于執行診斷功能和處理從這些功能接收到的輸入的時間量。在給定定義的診斷時間間隔時，診斷覆蓋率越高，則意味著需要功能越強大的處理器。

由于危害的不可預測性，在AMR中，診斷需要持續運行。通過持續運行，可瞬時檢測到故障，并可在所需的過程安全時間內使器件進入安全狀態。

此外，ISO 3691-4還通過根據與物體的距離定義AMR的最大速度，進一步限制了此測試時間間隔。通過考慮最壞的情況，設計人員必須計算規避風險所需的過程安全時間，并確保在物體碰撞之前達到安全狀態。

根據ISO 3691-4 表 A.1中規定的最大速度以及與物體的距離，估計安全過程時間需要小于 415ms。在此時序內，必須完成MCU的診斷功能，如果檢測到故障，則必須達到安全狀態。為了留出足夠的反應時間，診斷時間間隔必須小于整個過程安全時間的 10%。這意味著，在系統功能運行期間，允許進行完整診斷掃描的最長時間為 41.5ms。

由于這些時序限制和 2 類架構選擇，務必擁有功能強大的實時MCU以及集成的安全機制，此類機制可以同時滿足電機控制和安全要求。TIC2000 實時控制器和PMIC 器件是確保同時滿足過程安全時間和診斷覆蓋率的理想之選，可實現 PLd。

實施移動機器人電機驅動器安全要求

了解系統的安全要求和架構類別后，設計人員必須選擇其余器件并實施完整的電機驅動器，以確保滿足安全要求。

圖 3-1：電機驅動系統方框圖

如圖 3-1 所示，電機驅動系統通常由MCU組成，MCU 是一個可集成模擬前端、編碼器和電源的功率級。

在IEC 61508中，所需的安全失效分數 (SFF) 取決于器件的類型（可以是 A 類或 B 類）。根據 IEC 61508，A 類子系統具有明確定義的故障模式，其中確定了故障條件下的行為并且有足夠的故障數據來聲明故障率得以滿足。相反，B 類子系統是更復雜的子系統，其中故障模式沒有完全定義，故障條件無法完全確定，并且沒有足夠的數據來支持故障率得以滿足。IEC61508 標準的第 7.4.4 節提供了這兩種類型的子系統的完整定義。

此外，IEC61508 標準的 CNB-M-11.059 修訂版規定，診斷子系統只需達到這樣一個安全級別：低于達到最低安全級別所需的系統 SIL 級別。盡管該修訂版是 IEC61508 標準的一部分，但在分析診斷子系統時，將其與 ISO 13849-2 機械標準一起使用更符合目前的趨勢。

因此，對于這種特定情況，由于需要 SIL 2 系統，因此診斷相關模塊必須至少滿足 SIL 1 且最低 SFF = 0%，才能滿足 SIL 2 系統要求。但是，安全和非診斷功能仍必須滿足 SIL 2 要求，且最低 SFF 為 60%。

通過了解哪些子系統是 A 類和 B 類，可以根據可用的安全文檔或診斷功能等特性輕松選擇器件本身。

由于MCU是 B 類器件且用于實現安全功能，因此MCU要求最低 SFF = 60%。這意味著，必須使用診斷功能對器件使用的每個子系統進行監控，以達到所需的 60% 覆蓋率。

第一步，需要選擇需使用的器件功能以及每項功能所需的診斷覆蓋率。一旦定義，安全文檔就成為關鍵，旨在證明是否有足夠的診斷可用于每個預期功能或是否需要外部診斷器件。

TI C2000 實時控制器在設計時將功能安全考慮在內。通過利用所提供的安全特性和文檔，可以簡化和加速安全評估。C2000 實時微控制器的工業功能安全產品概述中介紹了一些主要的C2000安全特性和器件。

此外，對于不太復雜的器件，具有安全文檔也很重要。如前所述，考慮采用 A 類器件的條件之一是必須明確定義器件功能和故障模式。為此，TI 安全文檔結果有利于證明采用相應器件類型的合理性，以及因此滿足所需的最低 SFF 要求。

TI 多通道 IC (PMIC) 器件十分有助于縮減電機控制模塊的總體 BOM 和尺寸，同時確保滿足安全要求。憑借內置 LDO、監控器、BIST、看門狗和直流/直流穩壓器等集成功能，這些 IC 有助于簡化設計，同時提供監控MCU和需要的電源軌所需的診斷功能。

根據 ISO 13849 第 6.1 節，鑒于無法定期執行安全功能，診斷和安全功能無法在同一個 IC 中，因而無法實現這一 60% 的診斷覆蓋率。ISO 13849 認為，IC 中的單一故障會導致該 IC 的功能完全喪失，對于類別 2，應通過診斷功能來檢測這類功能喪失問題。因此，為確保這一功能喪失不會導致診斷功能喪失，不可能在同一 IC 內使用電壓監控和看門狗問答。在本例中，使用了外部電壓監控器和PMIC 器件的內部問答 (Q&A) 看門狗。監控器和復位 IC 電源管理文件夾詳細介紹了 TI 廣泛的支持功能安全的電壓監控器產品系列。

圖 3-2 顯示了可用于實現 SIL 2 的一些診斷功能的高度簡化示例。

圖 3-2：包含安全特性的簡化電機驅動系統

一旦在系統級定義了安全功能，就需要進行塊級分析，以證明每個子系統都滿足所需的安全要求。

在這種情況下，安全子系統劃分為安全功能和診斷功能。診斷功能用于確保安全功能符合依據子系統類型定義的最低 SFF。表 3-1 總結了詳細信息。

表 3-1：每個器件類型所需的診斷覆蓋率示例

通過正確定義和證明每個預期功能均可達到所需的最小診斷覆蓋率，這表明系統能夠達到所需的 PL 和 SIL 并可獲得安全認證。

結論

本文介紹了實現安全認證系統應遵循的過程。清晰的產品設計和開發策略可進一步縮短上市時間。此外，通過正確地了解確保滿足安全級別所需的要求，可以通過更大限度地利用器件的內部特性來減少總 BOM。因此，TI 在功能安全方面的專業知識可以在產品開發過程中發揮巨大優勢。

TI 提供了廣泛的以功能安全為中心的器件和資源產品系列。TI 功能安全頁面提供了有關配套資料和產品的信息，可供您選擇更佳器件并了解更多安全相關知識。

您可從 TI 銷售團隊獲取本文中示例的完整安全概念?？傮w概念極大地簡化了移動機器人的安全認證過程，也可用于任何需要 HFT = 0、PLD 的電機驅動器。