机器人关节在停车时可能需要三种不同功能：受控减速、消除产生转矩的能量以及机械上抵抗重力或外部载荷。将它们视为一个功能会导致危险的时序和诊断假设。
安全转矩关闭防止驱动产生电机转矩，但不会机械锁定轴。安全停止1在切换至STO（停止）前启动受控停止。弹簧施加的保持制动器可以保持位置，但仅限于其额定和验证的条件下。
使用本指南配合 物理人工智能安全层 和 关节执行器测试。功能安全设计需要适用的标准、认证组件、经过验证的风险降低以及合格专业人员。
停止、保持和转矩消除是不同的功能
受控制动利用电机转矩沿特定轨迹降低动能。机械保持在运动停止后抵抗载荷。 STO则消除电机产生转矩的能力。所需的序列取决于重力、惯性、危险和制动设计。
为正常停止、保护停止、紧急停止、断电、通信中断和检测到的制动故障绘制状态图。为每个状态定义安全状态、最大移动、时机、诊断和重启。
弹簧加压式制动器在断电时自动抱闸
常见的电机保持制动器利用弹簧力在线圈断电时夹紧摩擦面。施加线圈电源时，摩擦力会释放。如果机械、热量和磨损极限仍然有效，这种结构可以在断电时保持稳定。
它并非自动的动态紧急制动。反复的高能量停止可能导致摩擦表面过热或磨损。使用产品等级，涵盖静态保持、允许紧急停止、啮合时间、气隙和寿命。
| 功能 | 它的作用 | 它并未证明什么 | 所需证据 |
|---|---|---|---|
| 受控停车 | 通过驱动转矩降低速度 | 安全转矩消除 | 监控的停止行为 |
| STO | 阻止驱动器产生转矩 | 机械持有 | 驾驶安全验证 |
| SS1 | 受控停止后切换到 STO | 仅靠重力保持 | 定时或斜坡监测 |
| 保持制动 | 抵抗轴载荷 | 全安全性能 | 转矩与磨损测试 |
| 制动反馈 | 报告切换或命令状态 | 实际控制力 | 定期功能测试 |
STO不保持重力载荷轴
西门子 2025年安全集成手册 包含了STO和SS1功能，而其应用指南则警告悬挂或重力轴可能需要服务或保持制动。
STO后，无约束轴可能滑行或在受重下坠落。评估重力、平衡、摩擦、外力和单一故障。不要将齿轮箱摩擦作为安全级保持功能。
SS1控制减速，转矩被移除前
安全停止1启动制动，并在确定的延迟或监控制动条件下触发STO系统，具体取决于实施方式。减速阶段电机转矩保持可用。
该间隔必须允许轴达到预期状态，并使任何保持制动器在转矩解除前接合。验证最坏情况下的速度、负载、温度、母线行为和制动关闭时间。标称的斜坡是不够的。
制动正时必须考虑负载转移
在轴仍在运动时启动制动会产生摩擦能量和冲击。在制动产生固定力之前移除电机转矩可能导致下降。控制器必须协调减速、静止、制动指令、接合和STO。
测量序列中的实际运动和转矩。包括指令延迟、线圈释放或接合时间、机械气隙变化和电压容差。根据风险降低需求，使用独立监测。
保持转矩需要为温度和磨损留有余裕
制动保持能力会随摩擦材料、温度、污染、磨损、气隙和方向变化。静态目录转矩不应等同于经过验证的接头寿命保持力。
计算输出侧重力和外部转矩，包括传动比和不利方向的效率。应用必要的安全系数，并在边界温度和磨损状态下进行测试。检查油脂迁移情况。
| 测试场景 | 初始状况 | 传递证据 | 隐藏风险 |
|---|---|---|---|
| 功率损失 | 最差重力姿势 | 有界移动与保持 | 线圈与驱动正时 |
| SS1停靠 | 最高允许速度 | 在STO边界前停车 | 斜坡或监测故障 |
| 制动器磨损 | 规定的寿命阶段 | 保持转矩时保持裕度 | 空气间隙增长 |
| 传感器故障 | 反馈卡住或不一致 | 检测到安全反应 | 命令-状态混淆 |
| 重启 | 未知或恢复的负载状态 | 验证释放与控制 | 意外跳跃 |
制动反馈并不测量保持力
微动开关或内部状态可能指示指令或机械位置。它不能证明摩擦转矩、表面状况或负载下的完全啮合。准确解读传感器测量的内容。
在需要时，将状态监测与定期制动测试结合起来。安全的制动测试可以施加受控转矩，并验证运动是否在一定范围内。定义检测阈值及故障后的处理措施。
电源和通信故障需要单独测试
市电丢失、控制电源丢失、现场总线中断和安全网络故障可能产生不同的序列。储存的总线能量可能支持停止，或转矩可能立即消失。制动供放电路有其独特的行为。
以代表性的速度、负载和姿势测试每个故障。记录运动、停止时间、制动状态和重新启动。确认诊断丢失不会默默允许运动或过早重置。
保持制动并不能消除碰撞风险
制动器可以在停止后防止或限制重力运动，但不能让之前的轨迹变得安全。保护距离、限速、力控制、守卫和独立停止功能仍然能解决其他危险。
制动啮合本身也可能推动或冲击负载。考虑悬挂工具、夹点和轴线以下的人。即使存在固定制动器，维护时仍可能需要机械约束。
重启需要经过状态验证和受控释放
停止或失去动力后，确认轴位置、制动状态、负载支撑、控制器状态及停止原因。在转矩控制建立前松开制动可能导致转矩下降或跳动。
设计一个有文档的序列，确定电机转矩、松开制动、验证释放，并在授权后才恢复运动。测试传感器不匹配和释放失败。每次重启路径都应从已知的安全状态出发。
评估“机器人关节制动与安全制动： STO、 SS1、保持与验证”时，还应保存模型版本、机器人配置、标定文件、测试日期和全部试验记录。把成功、失败、恢复与人工介入放在同一份数据中，才能区分模型能力、系统接口和现场流程造成的差异。
成本评估除了设备与算力，还要记录数据采集、工程调试、安全措施、维护、停机和人员培训。只有把这些持续投入与单位成功任务的价值比较，才能判断方案是否适合扩大。
上线后仍要持续检查分布变化、传感器漂移、机械磨损和人工接管原因。监测结果应能触发降级、停止与重新验证流程，并为下一轮数据采集和模型更新留下可追溯记录。
最终结论应明确写出已知限制、尚未验证的场景和下一项可证伪的实验，使后续团队能够沿着证据继续推进。
实际项目还应指定数据、模型、控制器和安全流程的负责人，并预先定义回滚条件。责任边界、审批记录与变更日志越清楚，故障发生后越容易停止扩散、定位原因并安全恢复。
把任务拆成感知、决策、动作执行和结果确认，可以更准确地定位瓶颈。每一阶段都应有独立指标与失败示例，避免用端到端成功率掩盖偶发但严重的风险。
引用的产品规格、论文结果和监管要求需要记录发布日期与适用版本。资料更新后应重新核对关键结论；无法从一手来源确认的内容，应明确标注为待验证信息。
小规模试点的价值在于提前暴露接口、人员协作和异常处理问题。试点结束后应依据预设门槛决定扩大、修改或停止，而不是因为已经投入资源就默认继续。
所有结论都应能够追溯到原始记录，并可复核。
硬件与软件接口应分别记录单位、坐标系、时钟、延迟和允许范围，并通过自动测试检查不一致。接口定义变化时，旧数据和旧控制参数不能在未经验证的情况下直接复用。
异常测试应覆盖断电、通信丢失、传感器失真、对象滑移和人员进入工作区等情形。系统不仅要发现异常，还应以可预测的方式减速、停止或请求人工确认。
- 减速、 STO和机械保持分开。
- 测量尺寸并测试刹车在磨损和温度下的表现。
- 在最严重负载和速度下验证抱闸时序。
- 注入电源、通信和反馈故障。
- 要求在刹车释放和重启前确认状态。
常见问题
STO会立即锁定机器人关节吗？
不。 STO阻止电机产生转矩；轴可能会滑行或在重力作用下移动，除非有其他机构支撑。
保持制动器能执行所有紧急制动吗？
通常不会。许多电机制动器主要用于保持制动，动态制动能量和寿命有限。
制动转矩高于重力转矩够吗？
单独不行。包括安全裕度、温度、磨损、污染、传输行为以及经过验证的停车时机。
制动反馈开关能证明保持力吗？
不。它报告的是定义的状态或位置，而非实际摩擦力矩。可能需要定期功能测试。
机器人能在电力恢复后立即重启吗？
重启应等到位置、负载、刹车、控制和故障状态都被确认，并且制动释放安全协调后再进行。
功能安全边界说明
本文解释概念，不设计或认证安全功能。应用当前司法管辖区和产品的机械、驾驶和机器人安全标准，必要时使用认证组件，并验证已实现的风险降低。