适用于工业驱动器且经过 TUEV 评估的安全转矩关闭 (STO) 参考设计 (IEC 61800-5-2)
- ZHCU410B December 2017 – November 2022

Full reading width

DESIGN GUIDE

适用于工业驱动器且经过 TUEV 评估的安全转矩关闭 (STO) 参考设计 (IEC 61800-5-2)

本资源的原文使用英文撰写。为方便起见，TI 提供了译文；由于翻译过程中可能使用了自动化工具，TI 不保证译文的准确性。为确认准确性，请务必访问 ti.com 参考最新的英文版本（控制文档）。

说明

此参考设计概述了具有 CMOS 输入隔离式 IGBT 栅极驱动器的三相逆变器中使用的安全转矩关闭 (STO) 子系统。该 STO 子系统采用双通道架构 (1oo2)，硬件容错能力为 1 (HFT=1)。它是按照失电跳闸概念实现的。当双路 STO 输入（STO_1 和 STO_2）变为低电平有效时，将通过负载开关切断六个隔离式 IGBT 栅极驱动器初级侧和次级侧的相应电源，从而停止控制电机并为其供电。此 STO 参考设计 (1oo2) 经过 TUEV SUED 评估，通常符合 SIL 3 和 PL e/Cat 3标准。

资源

TIDA-01599、TIDA-00199	设计文件夹
ISO1211、ISO5852S	产品文件夹
TPS27S100、TPS22919	产品文件夹
ISO5452、ISO7710	产品文件夹
UCC21750、UCC5350	产品文件夹
TIOS1013	产品文件夹

咨询我们的 TI E2E™ 支持专家

特性

经过 TUEV SUED 评估、符合 SIL 3 (IEC 61508) 和 PL e | Cat. 3 (ISO 13849) 标准的双通道 STO 架构 (1oo2)
可提供 TUEV 报告、安全概念说明和定性系统 FMEA，进一步帮助设计人员实现 STO 子系统
安全转矩关闭 (STO) 子系统适用于具有 CMOS 输入隔离式 IGBT 栅极驱动器（如 ISO5852S、UCC21750 或 UCC53x0）的三相逆变器
ISO1211 符合 IEC 61131-2 标准且具有 ±60V 输入容差和反极性保护功能的 24V 隔离式输入接收器
连接 MCU (SIL 1)，为 STO 子系统中的负载开关提供诊断
可通过 RDY 引脚监控 ISO5852S 栅极驱动器的输入和输出电源 UVLO
- 可通过 UCC21750 集成式模拟至 PWM 隔离式传感器提供额外的监控功能
24V 隔离式 STO_FB 输出指示驱动状态：安全状态 (STO) 或正常运行

应用

1 系统说明

电机驱动器广泛用于各种应用，例如计算机数控 (CNC)、机器人、磨床、过程控制等等。这些应用通常需要基于驱动的安全功能来降低意外和危险移动所带来的风险。驱动器内部的集成式安全功能可取代那些安装起来既费时又成本高昂的外部安全组件，如主接触器或电机接触器。此外，电子开关速度明显快于接触器或继电器等机电设备。集成式安全功能可降低危险区域中的人身伤害风险以及安装要求。

“安全转矩关闭”(STO) 功能就是这样一项实用的安全功能。可以在发生系统故障时请求或触发 STO。IEC 61800-5-2 将 STO 定义为防止扭矩生成电力向电机供电的功能。按照 IEC 60204-1 的停止类别 0，此安全子功能对应于不受控制的停止。在需要断电的情况下，STO 安全功能也非常有用，可防止意外启动。

此 STO 参考设计根据 IEC|EN 61800-5-2 实现了具有 1 (HFT = 1) 故障容错功能的双通道架构 (1oo2)。只要两个 STO 输入端都出现逻辑 1（+24V 直流），电机就可以运行。如果一个或两个 STO 输入端为逻辑 0（0V 直流）时，将通过负载开关切断六个隔离式 IGBT 栅极驱动器的初级侧和次级侧相应电源，断开栅极驱动器 IC 的电源电压会禁用隔离式栅极双极晶体管 (IGBT)，从而禁用扭矩生成的电量。

此参考设计需对两个隔离式 STO 信号进行电路级实现，以通过 CMOS 输入关闭隔离式栅极驱动器的 VCC1 和 VCC2 电源。已经在各个点提供监控功能，以便进行诊断和故障检测。假定微控制器 (SIL 1 MCU) 会通过监控 STO 输入信号以及诊断反馈信号来运行 STO 硬件的诊断。MCU 和相关诊断软件不是此参考设计的一部分。随 STO_FB 信号提供了驱动状态反馈。

本设计指南通过从各种测试结果中提取的数据来验证各设计规格的功能。

此 STO 参考设计硬件架构 (1oo2) 经过 TUEV SUED 评估，通常符合 SIL 3 和 PL e/Cat 3标准。可提供 TUEV 报告 ⁽⁶⁾、定性系统 FMEA 和系统说明 ⁽⁷⁾，进一步帮助设计人员实现 STO 子系统。

1.1 关键系统规格

表 1-1 关键系统规格

参数	值	注释
安全功能	STO	安全转矩关闭功能符合 IEC 61800-5-2 标准
硬件故障容错 (HFT)	HFT = 1 (1oo2)
IEC 61508 SIL 级	SIL 3
ISO 13849	类别 3 PL e
按需触发模式	连续
SFF/DC	≥ 90% (HFT = 1)	Cat3 PL e，中等 DC ≥ 90%
PFH	< 10^-7	量化分析不是本概念研究的一部分
STO 响应时间	10 ms（标称值）、200 ms（最大值）	低电平有效 STO 和栅极驱动输出 (V_GS) 低电平（也即功率 IGBT 处于关闭状态）之间的时间。量化分析不是本概念研究的一部分。
DTI（诊断测试间隔）	100ms (10Hz)	量化分析不是本概念研究的一部分。诊断功能会至少以 10 Hz 运行（STO_1 的负载开关和 STO_2 的负载开关）。
FRT（故障响应时间）	< 200 ms
传输时间 (TM)	20 年
STO 输入电压范围	24V 直流 ±15%（标称值） ±60V 直流绝对最大值
STO 输入逻辑电平，有效 > 2ms	15V 至 30V 直流：未使用 STO 功能 < 10V 直流：已使用 STO 功能	STO 为低电平有效逻辑输入。输入经过低通滤波来消除 OSSD 脉冲。有效 STO 为 > 2 ms。
支持 OSSD 测试脉冲	测试脉冲持续时间 < 1 ms，最大重复频率 500 Hz	添加了低通滤波器来消除（滤除）测试脉冲，从而避免触发 STO。OSSD 脉冲诊断功能会以 250 Hz（4ms 速率）运行。
STO 反馈 (STO_FB)	24V 直流（隔离式）	指示驱动器的状态（安全状态或正常运行），并可在必要时用于将驱动器的状态反馈给安全 PLC 以进行额外的诊断。
直流电源电压	24V 直流 ±15%（标称值）
隔离式栅极驱动器电源电压	逻辑电源：3V3 至 5V（标称值）输出电源：+15V/–8V（标称值）	电源轨需要受到保护，以保持在所选隔离式栅极驱动器的最大建议工作电压以下
工作环境温度	–40°C 至 85°C
连接至 MCU	3.3 V I/O	请参阅表 3-1至表 3-4

2 系统概述

2.1 方框图

图 2-1 显示了整个系统。该系统包含 TIDA-01599 参考设计、诊断 MCU (SIL 1)（不是 TIDA-01599 设计的一部分）、一个隔离式直流/直流栅极驱动电源 TIDA-00199⁽¹⁾，以及一个具有 CMOS 输入隔离式栅极驱动器的三相 IGBT 功率级，与使用 TIDA-00195 ⁽²⁾ 等实现的系统相同。

图 2-1 采用 TIDA-01599 时的系统方框图

TIDA-01599 参考设计通过 ISO1211 集成了两个用于 STO_1 和 STO_2 信号的 24V 隔离式输入。OSSD 脉冲由低通滤波器提供支持，该滤波器应该能够抑制小于 1 ms 的 STO 脉冲。STO_1 和 STO_2 子系统提供了相应的电源电压 P24V 和 VCC。STO_1 和 STO_2 信号分别通过电源开关 TPS22919 和高侧开关 TPS27S100 控制六个隔离式 IGBT 栅极驱动器的初级侧 (VCC) 和次级侧 (P24V) 电源。P24V 是指隔离式直流/直流转换器 TIDA-00199 的 24V 输入电压。TIDA-00199 电路板接受容差为 ±20％的 24V 电压，并提供四个隔离式偏置电压组（15V、-8V）。在此设计中，TIDA-00199 用于向六个隔离式 IGBT 栅极驱动器的次级侧提供双极电源。VCC 是六个隔离式栅极驱动器初级逻辑侧的电源电压。

只要两个 STO 输入端都出现逻辑 1（+24V 直流），电机就可以运行。如果一个或两个 STO 输入端出现逻辑 0 (0V)，栅极驱动器的电源会断开，并且电机会滑行至零。使用 1oo2 架构有助于实现 HFT = 1，并且只有两个同时发生故障时才会导致安全功能故障。

STO_FB 信号用于指示驱动器的状态（安全状态或正常运行），并可在必要时用于将驱动器的状态反馈给安全 PLC 以进行额外的诊断。

诊断信号会路由至兼容 LaunchPad™ 的 3.3V 接口，以便连接到 C2000 MCU 等 MCU (SIL 1) 来运行相应的诊断和监控软件。MCU (SIL 1) 和软件不是此设计的一部分。

2.2 设计注意事项

2.2.1 使用条件：假设

请参阅图 2-1，以了解安全元件的系统结构方框图，其中安全元件为 STO_1 和 STO_2 安全子系统以及在 MCU (SIL 1) 上运行的诊断软件。以下列表概述了各种假设，这些不在此设计的讨论范围内。

2.2.1.1 一般假设

PCB 设计：PCB 设计的共因故障不在本设计指南的讨论范围内。
在实现此设计时必须评估过压和欠压保护电路。超出本活动的范围。
在实现此设计时必须评估诊断和任何固件。超出本活动的范围。
在实现此设计时必须评估常见诱致因素并确定 β 因子和 CCF。超出本活动的范围。
在实现此设计时必须评估定量分析（PFH、MTTFd 等等）。超出本活动的范围。

2.2.1.2 特定假设

输入信号 STO_1 和 STO_2。

输入电压介于 0V 和 24V 标称值之间，最坏情况下为 3.6V（用作逻辑低电平）和 20.4V（用作逻辑高电平）。预计没有中间电压。
假定 STO 信号上的逻辑低电平（诊断脉冲）小于 1 ms 或大于 2 ms。不允许采用中间值。

STO_1 和 STO_2 与 STO_FB 子系统的诊断覆盖

MCU 及相关诊断软件不在分析范围内，并假定为根据功能安全要求进行开发。假定 MCU 通过了 SIL 1 认证并相应地实现了软件以至少满足 SIL 1。

输出信号 STO_FB：

假定输出电压介于 0V 和 24V 标称值之间，最坏情况下为 3.6V（用作逻辑低电平）和 20.4V（用作逻辑高电平）。假定 24V STO_FB 的外部电源具有过压保护功能，并需要保持在 24V ±20% 容差范围内。

STO_1 和 STO_2 子系统的电源轨

P3V3 电源：假定具有故障保护功能并保持在 ±20% 容差（最大值 3.9V，最小值 2.7）范围内。如果超出范围，它将关断至 0V。当单个受保护的电源用于 STO_1 和 STO_2 子系统时，它应当采用两个独立的保护电路 (HFT = 1)。
24V 电源：假定 P24V 的 24V 输入电源具备故障保护功能并保持在 ±20% 容差范围内。如果超出范围，它将关断至 0V。

隔离式栅极驱动电源 TIDA-00199

假定在 P24V 直流输入电压断开后，四路输出轨（VCC2 = +15V，VEE2 = –8V）会在 10 ms 内衰减至 0V。
假定 TIDA-00199 的所有故障都是安全的，并且会为所有四路输出轨 VCC2 和 VEE2 生成 0V 输出电压。

温度

假定组件在推荐的工作结温范围内工作。需要添加温度传感器，如果环境温度不在建议的工作温度范围内，所有安全相关电源都将关断。此电路不是此设计的一部分。

2.2.2 诊断覆盖范围

2.2.2.1 双通道监控

STO 功能分别通过双通道 STO_1 和 STO_2 实现来切断栅极驱动器的电源（请参阅图 2-2）。在安全单元中，如果其中一个 STO 信号被移除，则状态变为“已触发 STO”（请参阅表 2-1）。然后，该单元需要等待一段固定的监控时间，以检查两个输入端是否关闭。如果会话之后两个输入端上未出现相同信号，则系统会发出错误信号。PLC 通过 1 ms OSSD 脉冲定期检查两条停止路径是否存在错误，以这种方式来执行监控（请参阅表 2-2）。

图 2-2 双通道隔离式 STO

表 2-1 双通道隔离式 STO

STO_1	STO_2	状态说明
0	0	STO 状态被触发，并且 STO 功能没有出错。
0	1	STO 状态被触发，并且开始监控是否存在错误。一段时间后，发出错误信号
1	0	STO 状态被触发，并且开始监控是否存在错误。一段时间后，发出错误信号
1	1	STO 状态未被触发

在 TIDA-01599 中，假定 MCU (SIL 1) 会执行诊断覆盖。MCU 不是分析功能的一部分。也可以使用基于硬件的诊断覆盖。表 2-2 显示了诊断逻辑和状态。请注意，STO 相关信号处于低电平有效状态。

表 2-2 MCU 诊断逻辑表

STO_1 \| STO_2	MCU_STO_1_in \| MCU_STO_2_in	MCU 诊断：检测到故障	MCU_Diag_Cntrl_Out1 \| MCU_Diag_Cntrl_Out2	IGBT 栅极驱动器输出	状态
1 \| 1	1 \| 1	否	正常运行	正常运行	正常运行
1 \| 1	1 \| 1	是（例如，负载开关卡在高电平）	0	0	安全状态
1 \| 1	1 \| 1	是（例如，无 OSSD 脉冲）	0	0	安全状态
0 \| 0	0 \| 1	是（例如，ISO1211 卡在高电平）	0	0	安全状态
0 \| 0	1 \| 0	是（例如，ISO1211 卡在高电平）	0	0	安全状态
0 \| 0	0 \| 0	否	0	0	STO

2.2.2.2 通过 MCU (SIL1) 检查 ISO1211 功能

如前所述，PLC 向 ISO1211 器件的输入端发送 1 ms OSSD 逻辑低电平测试脉冲。它会定期监控来自相应 ISO1211 输出的信号 MCU_STO1_In 和 MCU_STO2_In，确保数字隔离器工作正常。如果超过 4 ms 未检测到逻辑低电平，MCU 便会认为相应的 ISO1211 输出卡在高电平或短接至 VCC，并通过将诊断脉冲 MCU_Diag_Ctrl_Out1 和 MCU_Diag_Ctrl_Out2 持续驱动至低电平，将三相 IGBT 逆变器置于安全状态。这进而会禁用六个栅极驱动器，同时六个 IGBT 将会关断并且驱动器将会进入安全状态。

2.2.2.3 通过 MCU (SIL1) 检查 TPS22919 功能

出于诊断目的，MCU 接口会定期发送 200 µs 逻辑低电平脉冲 MCU_Diag_Ctrl_Out1。开关的输出端连接至 MCU (Monitor_1) 的 GPIO 和 STO_FB 子系统作为 STO_1_FB 输入，如图 2-3 所示。

图 2-3 STO_1 信号流路径

在这些周期性脉冲期间，栅极驱动器不会关闭。使用 0.47 μF 电容器来保持 3.3V 初级电源电压。Monitor_1 表示 TPS22919 开关的状态，该状态会反馈至 MCU。如果发现短路或卡在高电平，MCU 便会将诊断脉冲 MCU_Diag_Ctrl_Out1 和 MCU_Diag_Ctrl_Out2 持续驱动至低电平，以将三相 IGBT 逆变器置于安全状态。这进而会禁用六个栅极驱动器，同时六个 IGBT 将被关断并且驱动器将会进入安全状态。

另外，STO_1_FB 是一个低电平有效信号，用于指示负载开关状态并与另一通道 STO_2_FB 一同指示驱动状态。例如，此状态可由外部安全 PLC 用来识别 STO_1 或 STO_2 系统中的单一故障并采取适当的措施。安全 PLC 及相关行为不在本参考设计的讨论范围内。

2.2.2.4 通过 MCU (SIL1) 检查 TPS27S100 功能

MCU 接口会定期发送 200 µs 逻辑低电平脉冲 MCU_Diag_Ctrl_Out2 以进行诊断。如图 2-4 所示，使用电阻分压器网络将开关的输出端连接到 MCU (Monitor_2) 的通用输入/输出 (GPIO) 端。另外还连接到 STO_FB 子系统作为 STO_2_FB 输入。

图 2-4 STO_2 信号流路径

在这些周期性脉冲期间，栅极驱动器不会关闭。此参考设计使用 20 μF 电容器来保持 24V 次级电源电压。TPS27S100 开关通过精确监控输出电流来提供全面的诊断功能。输出电流将转换成瞬时流量，然后馈送回 MCU，此功能可实现对负载的智能控制。如果发现短路或卡在高电平，MCU 便会通过将诊断脉冲 MCU_Diag_Ctrl_Out1 和 MCU_Diag_Ctrl_Out2 持续驱动至低电平，将三相 IGBT 逆变器置于安全状态。这进而会禁用六个栅极驱动器，同时六个 IGBT 将被关断并且驱动器将会进入安全状态。

另外，STO_2_FB 是一个低电平有效信号，用于指示负载开关状态并与另一通道 STO_1_FB 一同指示驱动状态。例如，此状态可由外部安全 PLC 用来识别 STO_1 或 STO_2 系统中的单一故障并采取适当的措施。安全 PLC 及相关行为不在本参考设计的讨论范围内。

2.2.2.5 利用 ISO5452、ISO5852S 或 UCC21750 集成式模拟至 PWM 隔离式传感器的 RDY 引脚实现可选的监控功能

ISO5452/ISO5852S 器件的 I/O 电路与 MCU 相连，该电路由栅极驱动控制 (IN+/IN–) 输入、复位 (RST) 输入、就绪 (RDY) 警报输出和故障 (FLT) 警报输出组成。如果 VCC1 电源降至 VIT– (UVLO1) 以下，无论 IN +、IN- 和 RST 输入如何，栅极驱动器的输出端都将关闭，直到 VCC1 上升至高于 VIT+ (UVLO1)。与此类似，如果 VCC2 电源降至 VIT– (UVLO2) 以下，无论 IN +、IN- 和 RST 输入如何，栅极驱动器的输出端都将关闭，直到 VCC2 上升至高于 VIT+ (UVLO2)。

就绪 (RDY) 引脚指示输入侧与输出侧 UVLO 内部保护功能的状态。如果器件任一侧的电力不足（VCC1 或 VCC2），RDY 引脚输出将会变低；如果电力充足，RDY 引脚输出将会变高。

除了 RDY 引脚外，UCC21750 还在 AIN 至 APWM 引脚上具有隔离式模拟至 PWM 信号功能，因此能够实现隔离式温度感测、高压直流总线电压感测等额外的系统监控功能。

2.2.3 驱动状态

安全状态由以下事件触发：

低电平有效 STO_1 输入信号请求安全转矩关闭
低电平有效 STO_2 输入信号请求安全转矩关闭
STO_1 或 STO_B 子系统的诊断覆盖（ISO1211 和响应的负载开关）危险故障检测
安全电源电压 P24V、P3V3 或 STO_1 和 STO_2 子系统的相应逻辑电源电压被中断

驱动状态反馈 STO_FB 子系统

STO_FB 信号为逻辑低电平信号，用于指示驱动状态。高电平信号（逻辑电平 1）表示正常驱动运行，而低电平信号（逻辑状态 0）表示处于安全驱动状态。原理图如图 2-5 所示。相应 STO_1 和 STO_2 安全子系统的输出信号 STO_1_FB 和 STO_2_FB 会逻辑组合成单个低电平有效反馈信号 STO_FB 并发送至隔离式 24V 数字输出。表 2-3 中显示了相应的逻辑状态。

图 2-5 STO_FB 反馈监视子系统

表 2-3 STO 反馈诊断逻辑表

输入 1：STO_1	输入 2：STO_2	输出 1：STO_1_FB	输出 2：STO_2_FB	驱动状态	STO_FB	注释
1	1	1	1	正常运行	1
0	0	0	0	安全状态（关闭）	0
1	1	0	1（卡在高电平故障）	安全状态（关闭）	0	(1) MCU 已经检测到子系统 STO_2 中的单个危险故障（卡在高电平），并已经通过 STO_1 子系统触发安全状态。
1	1	1（卡在高电平故障）	0	安全状态（关闭）	0	(2) MCU 已经检测到子系统 STO_1 中的单个危险故障（卡在高电平），并已经通过 STO_2 子系统触发安全状态。
0	0	0	1	安全状态（关闭）	0	之前可能已检测到单个检测到的故障，请参阅上一行中的 (1)。
0	0	1（卡在高电平故障）	0	安全状态（关闭）	0	之前可能已检测到单个检测到的故障，请参阅上一行中的 (2)。
0	0	1（卡在高电平故障）	1（卡在高电平故障）	正常运行	1	危险状态，由两个危险故障造成，安全子系统 STO_1 和 STO_2 中各有一个。注意：该系统设计为支持单一容错 (HFT=1)，而不是允许发生两个故障，每个子系统各一个。

STO_FB 信号可以为低电平有效（逻辑状态 0），而 STO_1 和 STO_2 均为高电平无效（逻辑状态 1）。当诊断 MCU (SIL 1) 在 STO_1 或 STO_2 子系统其中一个上检测到单一危险故障时，便会出现此状态。如果发现短路或卡在高电平，MCU 便会将诊断脉冲 MCU_Diag_Ctrl_Out1 和 MCU_Diag_Ctrl_Out2 持续驱动至低电平，以将三相 IGBT 逆变器置于安全状态。例如，此状态可由外部安全 PLC 用来识别 STO_1 或 STO_2 系统中的单一故障并采取适当的措施。安全 PLC 及相关行为不在本设计的讨论范围内。

2.3 重点产品

2.3.1 ISO1211

图 2-6 显示了 ISO1211 的引脚图。ISO1211 器件是符合 IEC 61131-2 1、2 和 3 类特性标准的隔离式 24V 至 60V 数字输入接收器，适用于可编程逻辑控制器 (PLC) 和电机控制数字输入模块。不同于具有分立式、不精确电流限制电路的传统光耦合器解决方案，ISO121x 器件提供一个具有精确电流限制功能的简单低功耗解决方案，可实现紧凑型和高密度 I/O 模块设计。这些器件不需要现场侧电源。

图 2-6 ISO1211 引脚图