紧急停止和保护性停止都可以停止机器人运动，但它们的作用不同。紧急停止是针对紧急情况发起的补充保护措施，而保护性停止则响应应用定义的安全或安全相关条件。
“安全停止”可能指一组安全功能，也可能是制造商对特定功能的名称，并不代表统一的最终物理状态。工程师必须阅读项目文档和驱动器文档，针对每个危险规定受控减速、转矩或制动状态、残余能量、复位和有意重启。
本指南具有教育性质，不能取代标准、法律要求或合格的验证。请与 机器人制动和安全停止指南 以及 SSM指南一起使用。
在命名停止功能之前，先明确其目的
写下危险、发起事件、受影响的运动以及预期的风险降低。防护装置或安全扫描仪触发的停止，并不等同于人员为应对紧急情况而触发的紧急停止。
记录所有模式的可用性，包括设置和恢复。为了方便而使用的生产停止可能缺乏安全相关的架构和故障响应以实现保护。
具体说明整个停止状态转换
描述请求检测、通信、受控减速（如使用）、转矩状态、制动接合、过程能量行为、最终监测和重启条件。“停止”一词涵盖了许多物理上不同的状态。
包括断电和通信中断后发生的情况。核对停止过程中是否可能发生负载下坠、失去平衡或轴运动失控。
| 停止功能 | 典型用途 | 触发方 | 工程问题 |
|---|---|---|---|
| 紧急停止 | 应对紧急情况 | 人员通过急停操作器触发 | 是否降低了风险 |
| 保护停止 | 响应安全防护条件 | 安全装置或安全逻辑 | 哪个条件解除后可以退出停止 |
| 运行停止 | 过程控制 | 自动化系统 | 是否属于安全相关功能 |
| STO | 防止驱动产生转矩 | 安全驱动功能 | 由什么机制使运动停止 |
| 安全停止术语 | 项目特定的停止序列 | 已定义的接口 | 具体对应哪项功能 |
不要从按钮推断行为
红色蘑菇头急停操作器仅为一个输入。保护取决于触点或电子设备、线路、安全逻辑、通信、驱动、制动、执行器以及机器的物理状态。
验证计划应覆盖操作器的可达性、识别、锁存、复位及完整系统响应。指示灯正常工作并不代表安全链已验证。
选择减速和最终能量状态，避免风险
即时转矩消除可以延长滑行或释放重力轴，而受控制动则依赖主动控制，直到进入安全转矩状态。正确的顺序取决于动力学、危险和经过验证的驱动功能。
明确由什么机构承载有效载荷，以及如果受控减速失败会发生什么。不要假设某一类别或驱动器缩写能适用于所有轴和过程。
把STO当作转矩预防，而不是瞬间停止
安全转矩关闭（STO）按其规定功能防止驱动产生转矩，但现有运动可能滑行，重力或外部力可能推动机构。仍然可能需要制动或其他措施。
测量应用中实现的停止和残余运动。阅读准确的驱动手册和验证后的架构，而不是将缩写扩展成假设的物理结果。
控制保护停止复位与重启
清除扫描仪或关闭防护装置并不证明该保护区域是空的或任务状态是安全的。复位位置、视野、人员存在检测和防止意外重新启动的措施，应由风险评估及设备规定确定。
不能假定防护条件一解除就允许恢复运动。保护停止的复位和恢复行为取决于具体安全功能、配置及风险评估；有人员暴露于危险的可能时，必须核对相应的防意外启动措施。
控制紧急停止释放和重启
释放紧急停止执行器仅使重启成为可能；不应命令动作。调查并清除紧急状态，恢复安全状态并使用定义的重启程序。
防止远程或自动重启让机器旁人员感到意外。保留事件历史和受影响的安全通道以供诊断。
测量不利的停止时间和距离
测试最不利的相关速度、方向、姿态、载荷、工具延伸、温度和制动状况。测量从启动状态到定义的最终安全状态，而不仅仅是控制器确认。
利用反复试验和高分辨率轨迹捕捉变异性。将结果输入保护和分离计算，并监测漂移。
停止后控制残余和工艺能量
停止的机器人关节仍可能留下悬挂载荷、气压、弹簧、旋转工具、热量、真空、焊接或切割能量。定义每种部件如何固定或隔离。
紧急停止不能替代维护作业所需的能量隔离。末端工具及其能源还应另行核对，可参阅末端执行器安全指南。
在范围内使用现行标准
ISO目录将 ISO 13850:2015 列为当前发布的紧急停止设计版本，同时其审查生命周期仍在继续。目录中列出了工业机器人应用和单元的 ISO 10218-2:2025。
这里核对的是公开目录中的标准范围，并非标准全文、符合性结论或设计批准。具体安全相关控制要求、适用版本和验证方法，应由具备资格的专业人员结合设备与项目确定。
由合格人员按制造商程序验证安全链
安全链应由合格人员依据适用标准、风险评估，以及机器人、驱动器和安全装置制造商的程序进行验证。验证应确认触发条件是否被检测、诊断响应是否符合设计，以及机器人最终是否达到规定的物理状态。
验证不能只看错误代码；还应按制造商规定的方法核对运动、有效载荷、工艺能量和重启抑制。不同设备的验证步骤与复位行为可能不同，不能把一个型号的做法套用于所有系统。
| 验证环节 | 依据 | 应记录的证据 | 需要停止交付的结果 |
|---|---|---|---|
| 停止请求 | 制造商规定的验证方法 | 已定义的响应 | 请求未被检测 |
| 减速 | 风险评估规定的不利载荷条件 | 测得的停止状态 | 超出规定边界 |
| 能量状态 | 已定义的动力与压力条件 | 稳定的最终状态 | 残余运动超出评估边界 |
| 复位 | 规定的防护区域条件 | 重启保持禁止 | 出现意外运动 |
| 诊断与恢复 | 制造商规定的诊断状态 | 进入规定的安全响应 | 出现未记录的旁路 |
交付停止功能规范
对每种停止功能，记录目的、触发装置、适用模式、相关危险、动作顺序、驱动与制动状态、残余能量、测得的停止时间和距离，以及故障、复位、重启和后续检查要求。
交付前，逐项核对以下清单。
- 区分紧急停止、保护停止和运行停止的目的。
- 指定减速和最终物理状态。
- 按批准方案验证不利工况下的停止与残余危险。
- 由合格人员按制造商规定验证完整安全链，不旁路安全装置。
- 区分复位、有意重新启动与能量隔离。
常见问题
紧急停止会切断所有电力吗？
不一定；设计会为机器选择降低风险所需的停止状态和能量行为。
保护停止和过程停止是一回事吗？
不。保护性停止是安全响应的一部分；过程停止可能与安全无关。
当紧急停止执行器释放时，运动会重新启动吗？
不。释放后可实现紧急状态解除后单独的受控重启。
STO会瞬间阻止机器人吗？
不会。它阻止了转矩的产生；运动可以滑行或在重力作用下移动，除非有其他措施。
紧急停止能取代能量隔离吗？
不。维护可能需要分别隔离、储存能量耗散和重启预防。
停止目的与重启边界
机器人停止功能是一个经过验证的危险响应序列，而非标签或按钮。为每个应用定义请求、物理停止、能量状态、故障、重置和有意重启。