变频器的 STO 安全转矩关断怎么接线、怎么验证？

第一节：STO 到底切断了什么？——与急停、自由停车、快速停车的本质区别

用示波器探头夹在变频器输出端子 U、V、W 与电机中性点之间，触发 STO 信号，你会看到这样一幅画面：相间电压波形在 1 ms 以内从正弦脉冲串跌落至接近零电平，残压不超过 10 V；对地电压同样被钳位在 10 V 以下。但与此同时，直流母线电压仍然稳稳地维持在 530~560 V 的典型值（对应三相 380 V 输入、不控整流加电解电容滤波的通用拓扑），控制板 24 V 供电指示灯常亮，操作面板上的频率显示还在实时刷新——只是输出频率变成了 0.00 Hz。

这就是 STO 的物理本质：它切断的不是变频器的输入电源，也不是直流母线，而是 IGBT 门极驱动脉冲的通路。驱动光耦的初级侧被硬件逻辑强制拉低，六个 IGBT 全部关断，输出端失去能量供给。电机侧因失去电磁转矩而处于无制动力的自由滑行状态，但变频器内部的控制电路、通信、显示、风扇供电全部维持正常。

把这一物理过程与急停对比，差异立刻显现。按 IEC 60204-1 定义的急停类别 0（直接切断主电源），接触器断开后直流母线电容需要 3~8 分钟（视电容容量与放电电阻阻值而定）放电至 60 V 以下才能安全触碰。重新启动时，预充电回路要先给母线电容充电，典型耗时 15~30 秒。而 STO 恢复供电只需重新使能驱动脉冲，响应时间小于 100 ms。代价是：STO 动作后电机并不停止旋转，只是失去转矩；若工艺要求零速保持，必须额外配置机械制动器，并让制动器控制信号与 STO 状态联锁。

自由停车（惯性滑行）与 STO 的电机侧表现几乎一致——都没有制动力矩。但有一个关键差异藏在变频器的软件逻辑里：自由停车模式下，若变频器检测到过流、过压等故障并尝试自动重试，驱动脉冲有可能在电机仍高速旋转时重新输出，造成二次冲击。STO 则通过双通道硬件冗余结构强制阻断脉冲通路，即使 CPU 死机、软件跑飞、通信中断，驱动光耦初级侧也无法被重新激活。现场可以用故障注入实验验证：人为将控制板置于死机状态（例如拔掉程序存储芯片），再触发 STO，用示波器观察输出端——此时应无任何脉冲出现。

快速停车（斜坡减速）与 STO 的时序冲突是现场最常见的调试陷阱。安全门联锁触发 STO 的同时，PLC 程序里往往还写了一段快速停车逻辑，试图以最短斜坡时间将频率降为零。问题是：如果快速停车指令和 STO 信号同时在控制字中生效，谁优先？设计原则只有一条——STO 硬件信号必须绕过所有软件处理，直接作用于驱动光耦的初级侧，响应时间不大于 5 ms。也就是说，STO 不是“请求停车”，而是“物理上禁止输出”。快速停车逻辑在 STO 生效期间应当被自动旁路，否则可能出现软件反复尝试输出、硬件反复封锁的振荡状态。

现场快速判断 STO 功能是否真正起效，不需要复杂的测试台。用万用表二极管档测量 U、V、W 三个输出端对直流母线正端和负端的体二极管压降，共六组数据。正常时，六组压降均在 0.35~0.55 V 之间且相互对称。若某一相出现短路（压降接近 0 V）或开路（压降超过 0.7 V 或显示 OL），说明该相 IGBT 或续流二极管已损坏，这与 STO 功能本身无关——STO 只是切断门极脉冲，无法修复功率器件故障。压降偏差超过 0.1 V 就应当引起警惕，进一步用示波器检查该相在 STO 解除后的输出波形是否畸变。

对比维度	急停（类别 0）	STO	自由停车	快速停车
切断对象	主电源（输入接触器）	IGBT 门极脉冲	仅撤销转矩给定	按斜坡降频
母线电压	缓慢放电至 60 V 以下	维持 530~560 V	维持	维持
重新启动耗时	15~30 秒（含预充电）	小于 100 ms	毫秒级	毫秒级
电机状态	自由滑行	自由滑行	自由滑行	受控减速
抗 CPU 失效能力	依赖接触器回路	硬件冗余，独立于软件	无	无

STO 的“切断”是精准的、局部的、可快速恢复的。理解这一点，后续接线和验证才有正确的出发点。

第二节：双通道接线的意义——从断线检测到诊断覆盖率 99% 的硬件逻辑

STO 功能之所以要求双通道，核心目的不是“两路开关并联更可靠”，而是让单点故障能被检测出来，而不是静默潜伏到下一次危险来临。如果只有一路 STO 输入，这根线断了、光耦坏了、继电器触点粘连了，系统浑然不知——直到需要它动作的那一刻才失效，这叫“危险失效”。双通道的硬件逻辑，就是把这个概率压到可接受范围。

先看物理实现。变频器内部有两路独立的光耦输入，分别命名为 STO1 和 STO2。每路需要外部提供 18~30V DC 供电，典型工作电流 6~15mA。两路信号必须同时为高电平（逻辑“1”），变频器才允许输出脉冲；任一通道失电，立即封锁 IGBT 驱动。这意味着两路通道互为冗余，单通道故障不会导致安全功能丧失，硬件容错度 HFT = 1。注意，这里说的是“不会导致安全功能丧失”，不等于“系统继续运行”——STO 触发后电机依然停机，只是停机这个动作是由健康的那一路完成的。

双通道最关键的工程参数是时序容差。两路信号的上升沿和下降沿时间差，依据具体变频器手册，通常要求不超过 3~5ms。超出这个窗口，变频器会报“STO 通道不一致”故障码。现场验证方法很直接：用双通道示波器同时捕获两路 24V 信号，测量跳变沿时间差。如果实测超过 10ms，必须排查继电器触点抖动、线路分布电容过大、或中间继电器动作不同步。常见误区是把两路 STO 串在一个继电器的一组触点上，以为省事，实际上这等于单通道——触点粘连时两路同时失效。

断线检测的原理是电流窗口。每个 STO 输入端内部并联一个恒流源，典型值 2~4mA。正常工作时，外部 24V 电源通过限流电阻驱动光耦，回路电流落在 6~15mA 窗口内。当输入回路电流低于 1mA，判定为断线；高于 20mA，判定为对电源短路。现场排查时，用可调直流电源串联电流表模拟输入，逐步降低输出电压，观察变频器何时报“STO 断线”故障，这个临界电流值就是该台设备的精确阈值，记录下来作为后续维护依据。

安全 PLC 或安全继电器输出端口普遍带有测试脉冲（Test Pulse）功能——周期性输出 0.5~2ms 的短时低电平，用于在线检测输出通道是否短路或断路。变频器 STO 输入端必须设置 1~3ms 的滤波时间，才能区分“测试脉冲”和“真实 STO 请求”。如果滤波时间设得小于 0.5ms，测试脉冲会被误判为 STO 触发，造成频繁意外停机。反过来，滤波时间设太长（超过 5ms），真实 STO 请求的响应会延迟，可能不满足安全响应时间要求。调试时要先确认安全 PLC 的测试脉冲宽度，再设定变频器滤波时间，两者必须匹配。

现场接线规范如下：

项目	要求
线缆类型	屏蔽双绞线
屏蔽层接地	单端接地，通常在控制柜侧
线径	0.5~1.0mm²
最大长度	不超过 30m
布线原则	两路 STO 信号不得共用同一根多芯电缆中的相邻芯线

最后一条尤其重要：两路信号如果贴着走同一根电缆，一旦线缆被机械损伤或进水短路，两路同时失效，冗余设计就白做了。这种由单一原因导致多通道同时失效的情况，叫共因失效，是安全评估中必须打分的项目。

诊断覆盖率 99% 这个数字，不是凭空来的。它建立在上述所有硬件机制共同作用的基础上：双通道冗余（HFT=1）、断线/短路电流窗口检测、测试脉冲在线诊断、时序不一致监控。每一项都在把“危险失效”转变成“安全失效”或“可检测的故障”。少任何一项，覆盖率都会掉档。这也是为什么选变频器时不能只看 SIL 等级证书——整机安全回路的诊断机制是否完整、参数是否可调、时序是否可测，才是决定最终安全等级的关键。

第三节：STO 功能验证——从单机测试到带载联调的六步法

接线完成不等于功能可用。STO 的验证必须分层推进：先证明变频器自身能可靠切断转矩输出，再证明在真实负载条件下切断是及时的，最后证明故障注入后系统不会产生危险误动作。下面按单机到带载的顺序给出六步验证法，每一步都附带可量化的判据。

第一步：静态验证（不接电机）

变频器上电，但不接电机。闭合 STO 双通道输入，面板应显示“STO 激活”或对应故障代码。用示波器探头接在 U/V/W 输出端子上，确认无 PWM 脉冲波形。这里注意：示波器应使用差分探头或隔离探头，避免共地干扰导致误判。残余纹波电压幅值应小于 5 Vpp。这个残余纹波来自驱动电路漏电流和母线寄生耦合，正常情况远低于该值。

随后断开任一通道（比如只断开 STO1），变频器状态应保持不变，仍处于 STO 激活状态。双通道均断开后重新闭合，测量从通道闭合到变频器允许再次运行的时间，应小于 100 ms。这一步验证的是内部安全逻辑的响应速度，不是电机实际停止时间。

第二步：空载验证（接电机、脱开负载）

接入电机，但机械上脱开负载。给定 25 Hz 运行，待电机稳定后触发 STO。用转速表（手持式或编码器反馈均可）记录从触发到电机电流降为零的时间，应小于 10 ms。这个时间反映的是 STO 硬件切断门极脉冲的速度，与负载无关。

同时记录电机从触发到完全停止的惯性滑行时间。这个时间取决于电机转动惯量和摩擦转矩，是后续计算安全距离（比如防止机械手坠落、输送带倒滑）的基础数据。建议在多个频率点（比如 10 Hz、25 Hz、50 Hz）各测一次，取最长的滑行时间作为设计依据。

第三步：带载验证（额定负载 80%~100%）

在额定负载的 80%~100% 条件下运行，触发 STO。用示波器测量电机端子残余电压衰减曲线。判据：残压应在 50 ms 内降至 30 V 以下。如果衰减过慢，优先检查输出端是否存在外部电容——长电缆的分布电容、输出电抗器的杂散电容都会延长残压衰减时间。

注意区分：残压衰减慢不等于 STO 没有切断。STO 切断的是门极脉冲，但电机端子的储能（电缆电容、电机绕组间电容）会自行放电。如果 50 ms 后残压仍高于 30 V，说明外部储能过大，需要在输出端增加放电电阻或缩短电缆长度。这一步直接关系到维护人员的安全，不能跳过。

第四步：故障注入测试（单通道断线与双通道时序差）

人为拆除 STO1 端子线，模拟单通道断线。变频器应立即进入 STO 状态，且不可复位——即恢复 STO1 接线后，变频器不会自动解除 STO，必须手动复位或重新上电。这一步验证的是“单通道失效即安全停机”的冗余逻辑。

恢复 STO1 接线后，在 STO2 回路中串联一个延时继电器，设置 15 ms 延时。闭合双通道后，变频器应报“通道不一致”故障且不输出脉冲。15 ms 是典型的安全阈值——通道间时序差超过该值即判定为内部逻辑异常。这个测试模拟的是两个安全通道继电器触点不同步的物理情形，验证的是诊断功能确实能捕获时序偏差。

第五步：复位与再启动逻辑验证

STO 双通道恢复闭合后，变频器不得自动重启。必须满足三重条件：STO 信号恢复、启动命令下降沿复位（即启动端子从 ON 变 OFF 再变 ON）、重新给出启动命令。用逻辑分析仪捕获 STO 恢复时刻、启动端子状态和输出脉冲的时序关系，确认之间无自动重启漏洞。

常见误区：认为 STO 恢复后变频器处于“待机”状态，直接给启动命令就能运行。正确逻辑是启动命令必须经过下降沿复位才能生效。如果逻辑分析仪显示 STO 恢复后输出脉冲直接出现，说明内部安全逻辑有缺陷，需要联系变频器厂商或检查参数设置。

第六步：整机安全回路联调

将 STO 作为整机安全回路的一部分（比如接入安全继电器输出、急停回路），从现场急停按钮触发，确认整条回路的响应时间满足风险评估要求。这一步需要结合 GB/T 12668.502-2013 中的安全功能要求，评估整条回路的性能等级，而不是只看变频器单机的 SIL 等级。整机安全等级由最薄弱环节决定，变频器 STO 只是其中一个环节——安全继电器、急停按钮、接线端子、中间继电器触点，任何一个环节失效都会拉低整体等级。

测试记录建议包含：触发方式、响应时间、残压衰减曲线、滑行时间、复位操作步骤。这些数据既是验收依据，也是日后故障排查的基线。

验证步骤	核心判据	常见失败原因
静态	残压 < 5 Vpp，恢复 < 100 ms	通道接线错误、内部安全继电器损坏
空载	电流降零 < 10 ms，记录滑行时间	门极驱动电路未完全切断
带载	残压 50 ms 内降至 30 V 以下	长电缆分布电容、输出电抗器储能
故障注入	单通道断线不可复位，时序差 > 15 ms 报故障	诊断功能未启用、延时继电器设置不当
复位逻辑	无自动重启，需三重条件	安全逻辑参数配置错误
整机联调	整条回路响应时间满足风险评估要求	安全继电器选型不当、接线松动

第四节：安全等级为什么必须看整机回路？——SIL/PL 评估的边界与误区

变频器手册上印着“SIL3/PLe”，现场工程师很容易把它等同于“我这个回路达到 SIL3”。这是最常见也最危险的误解。手册上的等级，只描述变频器内部 STO 子系统在特定条件下的能力，前提是输入信号源为理想安全控制器、供电与 EMC 环境符合预设。实际接线、外接电源、电缆敷设、急停按钮的机械磨损，统统不在该数据覆盖范围内。

把一条传送带急停回路拆开看：急停按钮（机械触点，B10d 值决定其 MTTFd）→ 安全继电器或安全 PLC（PFHd 值）→ 端子与电缆（短路/断路失效率）→ 变频器 STO 输入端（PFHd 值）→ 驱动级与电机。安全等级是这条链上所有环节失效率之和的函数，任一环节拉胯，整机等级就下来。这就是木桶效应。

用一个量化示例说明。假设安全继电器 PFHd = 1×10⁻⁹ 1/h，变频器 STO 子系统 PFHd = 5×10⁻⁹ 1/h，接线端子与电缆合计失效率 λ = 1×10⁻⁸ 1/h。整机 PFHd 近似为各环节之和：1×10⁻⁹ + 5×10⁻⁹ + 1×10⁻⁸ = 1.6×10⁻⁸ 1/h。对照 SIL 等级区间，这个值落在 SIL2 上限（10⁻⁷ 至 10⁻⁶ 之间），离 SIL3（10⁻⁸ 至 10⁻⁷）差了一个数量级。变频器单机标称 SIL3，整机回路只有 SIL2——这不是设备不合格，而是评估边界没搞清。

共因失效（CCF）是另一个被忽视的扣分项。双通道 STO 线缆同槽敷设、共用同一电源模块、两个通道使用同一批次的端子排——这些做法在功能安全标准（与 IEC 61508 内容对应的 GB/T 20438 系列）的 CCF 检查表里逐项扣分。检查表分分离、多样性、抗过应力等大类，总分低于 65 分时，安全等级必须降级使用。现场常见做法恰恰是图省事把两根 STO 线绑在一起走线槽，这等于主动放弃 CCF 得分。

现场评估的底线原则：即使变频器 STO 标称 SIL3，若整机回路没有完整的安全生命周期文档——需求规格、FMEA、验证报告——只能按 SIL1 或 PL c 使用，且必须在风险评估报告中明确写明降级理由。这不是保守，而是可追溯性的要求。没有文档支撑的“SIL3”，只是设备的一个属性，不是系统的结论。

给一线工程师三条可落地的判断准则：

• 查整机 PFHd 预算，别只看变频器单机数据。把按钮、继电器、接线、STO 输入逐项列出失效率，求和后对照目标 SIL/PL 区间。缺数据时按保守值估算。
• 做 CCF 评分。双通道线缆分槽敷设、使用独立电源、端子排分区分色，每一项都能拿分。评分表留档，作为安全生命周期文档的一部分。
• 验证报告必须覆盖整机，不是只测 STO 功能本身。要包含断线测试、短路测试、EMC 干扰下的误动作测试，以及带载条件下的重复性验证。

安全等级不是买来的，是设计、接线、验证、文档共同撑起来的。变频器标称值只是起点，整机回路才是终点。

第五节：现场常见边界工况与误区——从长电缆、再生工况到“STO 旁路”的陷阱

STO 功能验证通过，不等于它在所有现场条件下都能按设计意图动作。实际工况往往比测试台架复杂，长电缆、再生负载、垂直轴这些边界条件，会把 STO 的“最后一公里”问题暴露出来。

长电缆：残压衰减慢，STO 之后电机可能还在“转”

当变频器到电机的电缆超过 100m 时，分布电容效应不容忽视。典型低压变频器输出电缆每相约 15~30nF/m，100m 电缆的分布电容可达 1.5~3μF。STO 关断后，IGBT 停止输出，但电缆和电机绕组存储的电荷并不会瞬间消失，电机端子残压按指数规律衰减，时间常数由电缆电容和电机绕组阻抗共同决定。行业常见情况下，残压衰减时间可能延长至 200ms 以上——这意味着 STO 已生效，但电机端仍有电压，如果此时有人打开电机接线盒，风险并未完全消除。

工程对策是在电机侧加装三相短路接触器，由 STO 信号同步触发其闭合，将电机端子直接短接，残压衰减时间可压缩至 50ms 以内。这个接触器的触点容量按电机额定电流选取，动作时间需与 STO 响应匹配，建议在安全回路中单独配置反馈触点，而不是依赖变频器内部逻辑间接判断。

再生工况：STO 触发后母线电压可能泵升

大惯量负载（如离心机、飞轮储能）在高速运行时触发 STO，电机进入发电状态，能量通过逆变桥续流二极管回灌直流母线。如果制动单元未投入或功率不足，母线电压可能在 0.5~2 秒内升至 800V 以上，触发过压保护甚至损坏母线电容。问题在于：STO 只切除转矩，不切除能量回灌路径，此时必须配置自动电压跟踪的制动斩波器，且制动 IGBT 的驱动电源不能由 STO 回路切断。有些现场把制动单元电源串入安全继电器触点，结果 STO 一动作制动也失效，母线电压失控——这是典型的回路设计冲突。

垂直轴与悬吊负载：STO 不制停，只“松手”

STO 的本质是切除转矩，不提供任何制动力矩。垂直轴负载在 STO 触发后，如果机械制动器没有同步闭合，负载会因重力加速下坠。正确的配合方式是：安全 PLC 在发出 STO 信号的同时（时间差小于 10ms）闭合机械制动器接触器，制动器本身需通过安全转矩保持功能或外部安全制动单元实现冗余控制。单纯依赖变频器内部的 STO 端子去控制制动器，时序上往往来不及，且制动器控制回路与 STO 回路共用电源时，一个故障点可能导致双重失效。

“STO 旁路”：现场最常见的致命操作

排查故障时，有人会短接 STO 端子强制运行。这个操作等于完全废除安全功能，即便事后恢复接线，原接线点的压接质量、端子氧化程度均已改变。恢复后必须重新测量接触电阻（应小于 50mΩ）并做双通道时序测试，否则视为未验证状态，禁止投入生产。

周期性测试：不是“做一次就完事”

依据相关安全标准及设备制造商的安全手册要求，STO 功能测试间隔通常不得超过 12 个月。每次测试需记录触发方式、响应时间、恢复逻辑、测试人员签字。对于 SIL3/PLe 应用，建议缩短至 6 个月，测试记录作为安全档案的一部分保存至设备退役。很多现场把 STO 测试和年度检修绑在一起，但检修人员更换后未做培训，测试流于形式——只确认“能停机”，不记录响应时间，也不做双通道独立性验证，这等于没测。

边界工况	风险表现	工程对策
电缆 >100m	残压衰减 >200ms	电机侧三相短路接触器，STO 同步触发
再生负载	母线电压泵升至 800V 以上	自动电压跟踪制动斩波器，STO 不切断制动电源
垂直轴	STO 后负载下坠	安全 PLC 同步闭合机械制动器，时间差 <10ms
STO 端子短接	安全功能完全失效	恢复后测接触电阻 <50mΩ，重做双通道时序测试

STO 不是变频器的一个“选配件”，而是整机安全回路的组成部分。选型时看变频器本身的 SIL 等级只是第一步，接线、配合、测试、维护，每一环都决定最终的安全水平。