VERSION 8.0 · 2026-06
机器人抛光工作站
机器人抛光工作站
安全系统设计文档
统一硬件安全链 · 双通道冗余 · PNOZ X3 集中决策 · 消除反馈闭环死锁
关键修正（V8）
彻底消除安全闭环依赖关系。机器人急停作为「独立安全输入元件」串联进入 PNOZ 安全回路，不再参与输出反馈链路，从根源避免复位死锁。
1. 设计目标
实现统一硬件安全链控制，使外部急停、安全门、机器人示教器急停任一触发时，系统立即进入安全停机状态（Robot Stop + STO）。
安全等级
PL d
ISO 13849-1 / Cat.3
停机类型
Cat. 0
立即断转矩 STO
PLC 角色
监控
不参与安全判定
2. 核心安全原则
- 所有安全输入必须采用「串联硬件链」结构
- 禁止任何输出信号反馈进入安全输入回路
- Robot E-Stop 作为独立安全输入元件（不是监控信号）
- PNOZ X3 为唯一安全决策核心
3. 系统总体安全架构
双通道冗余结构：CH1 与 CH2 完全独立，每通道由 3 个 NC 触点串联进入 PNOZ X3 对应输入端。PNOZ 集中决策后驱动 STO1/STO2 双通道切断驱动器转矩，并经 EDM 回路自检。
图 3-1 PNOZ X3 双通道安全架构示意图（CH1=绿 / CH2=蓝）
4. 安全回路说明
4.1 CH1 回路
24V → 外部急停 NC1 → 安全门 NC1 → Robot E-Stop NC1 → PNOZ S11 / S124.2 CH2 回路
24V → 外部急停 NC2 → 安全门 NC2 → Robot E-Stop NC2 → PNOZ S21 / S22
设计说明
Robot E-Stop 在本方案中作为「串联安全输入点」，不与 PNOZ 输出形成反馈闭环，因此不存在复位死锁。
5. Robot CS9 / X11 处理原则
- Robot 急停触点必须为硬件双通道 NC 输出
- 仅作为安全输入串入 PNOZ
- Robot Safety Chain Output 仅供 PLC 诊断使用（非安全链）
6. PNOZ X3 输出结构
13-14 → STO1（汇川全部驱动）
23-24 → STO2（汇川全部驱动）
33-34 → Robot Enable / UES7. STO 执行层
| 输出 | 功能 |
|---|---|
STO1 | 所有驱动器安全断转矩 |
STO2 | 冗余安全转矩关断 |
8. PLC 协同逻辑
- 检测 PNOZ 状态（非安全信号）
- 执行 MC_Stop / MC_Power OFF
- 记录安全事件
- 管理 EtherCAT 从站恢复
强制约束
PLC 不参与任何安全链逻辑。所有安全判定必须在 PNOZ X3 硬件内完成。
9. EDM 与 Reset
- EDM 通过 KM1 / KM2 辅助触点反馈至 PNOZ Y1-Y2
- Reset 必须人工触发
- 仅当所有输入恢复才允许复位
10. FMEA（简化）
| 故障 | 结果 |
|---|---|
| CH1 断线 | 系统停机 |
| CH2 断线 | 系统停机 |
| Robot E-Stop 断线 | 系统停机 |
| KM 粘连 | 禁止复位 |
| STO 断路 | 安全停机 |
11. FAT 测试项
- 外部急停测试
- 安全门测试
- 机器人急停测试
- CH1 / CH2 断线测试
- STO 测试
- EDM 测试
- Reset 测试
V8 核心改进
Robot E-Stop 采用「串联输入方式」进入 PNOZ，彻底消除闭环依赖与复位死锁风险。