3. 协作机器人工作站风险评估与风险降低
在完成协作机器人工作站的危险源识别之后，下一步不是立刻加装安全围栏或急停按钮，而是对每一个危险场景做风险估计，再依据估计结果选择风险降低措施，并验证措施是否达到目标性能。本节围绕三个核心问题展开：风险由哪些参数决定、如何用风险图法把参数转化为风险等级、以及如何把风险等级落到安全相关部件的 PL 或 SIL 指标上。
一、风险估计的三个参数
依据 ISO 12100 与 ISO/TR 14121-2 的思路，协作机器人工作站的风险估计通常用三个参数描述：
- 严重度 S（Severity）：伤害的后果程度。协作场景中常见分级为 S1（轻微、可恢复，如夹伤、擦伤）与 S2（严重、不可恢复，如骨折、截肢、致命）。判断时按最坏可信后果取值，而不是按“通常不会那么严重”取值。
- 暴露频率 F（Frequency/Exposure）：人员处于危险区的频次与时长。F1 表示暴露较少（如每班仅调试时进入），F2 表示暴露频繁或持续时间长（如上下料节拍内反复进入）。
- 避免可能性 P（Possibility of avoidance）：危险发生时人员能否及时避让。P1 表示在特定条件下可能避开（如机器人速度低、有预警、空间充足），P2 表示几乎不可能避开（如突发运动、无预警、被夹具限制）。
这三个参数不是主观印象，而应结合实测数据确定。例如协作机器人末端速度、力/功率限制、安全距离、人员进入路径、响应时间等，都是支撑 S、F、P 取值的客观依据。参数定义一旦确定，全文与图示必须保持一致，避免同一场景在不同文档中取值矛盾。
二、风险图法：从参数到风险等级
风险图法（Risk Graph）把 S、F、P 三个参数按固定路径组合，输出风险等级。以常见的三参数风险图为例，路径从 S 开始，依次经 F、P，最终落到 1～4 级风险（或对应所需性能等级）。其逻辑是：严重度越高、暴露越频繁、越难避开，风险等级越高。
图中路径的含义是：从 S 出发，先判断严重度；再判断暴露频率 F；最后判断避免可能性 P。例如某工位人员每班需进入危险区 20 次、机器人末端速度 250 mm/s、有安全预警，则取 S1、F2、P1，沿路径落到风险 2 级，对应所需性能等级 PLr = b 或 c。若同一工位机器人突发运动且无预警，则 P 取 P2，风险升到 3 级，PLr 提高到 c 或 d。可见风险图法的价值在于把定性判断转化为可比较、可追溯的等级。
三、从风险等级到 PL 与 SIL
风险等级确定后，需要把它转换为安全相关控制系统的性能要求。ISO 13849-1 使用性能等级 PL（a～e），IEC 62061 使用安全完整性等级 SIL（1～3）。两者目标一致，但计算路径不同。
| 风险等级 | 所需性能等级 PLr | 参考 SIL | 典型结构要求 |
|---|---|---|---|
| 1 级 | a / b | — | 单通道，基本可靠性 |
| 2 级 | b / c | SIL 1 | 单通道 + 诊断 |
| 3 级 | c / d | SIL 2 | 双通道，自监控 |
| 4 级 | d / e | SIL 3 | 双通道，高诊断覆盖率 |
PL 由四个因素决定：类别 Cat.（B、1、2、3、4）、平均危险失效时间 MTTFd、诊断覆盖率 DC、共因失效 CCF。以某协作机器人安全急停回路为例，采用双通道急停按钮 + 安全继电器 + 机器人安全输入，类别为 Cat.3，MTTFd 取 30 年（高），DC 取 90%（中），CCF 得分 65 分，查表可得 PL = d。若风险图输出 PLr = c，则 PL = d 满足要求；若 PLr = d，则需进一步核对 MTTFd 与 DC 是否足够。
SIL 则按 PFHd（每小时危险失效概率）划分：SIL 1 为 ≥10⁻⁶ 且 <10⁻⁵，SIL 2 为 ≥10⁻⁷ 且 <10⁻⁶，SIL 3 为 ≥10⁻⁸ 且 <10⁻⁷。子系统 PFHd 由元件失效率、诊断覆盖率、共因失效等计算，再按串联结构求和。协作机器人工作站中，安全控制器、安全 I/O、伺服安全转矩关断（STO）等通常作为子系统分别计算后汇总。
四、实操示例：一个协作装配工位的风险降低闭环
假设某协作机器人装配工位，人员每班进入危险区约 15 次，机器人额定末端速度 300 mm/s，具备安全预警与力限制。按风险图取 S1、F2、P1，得风险 2 级，PLr = c。安全功能为“人员进入时触发安全限速与力限制”。
设计安全回路：安全激光扫描仪（Cat.3，MTTFd 高，DC 中）+ 安全控制器（Cat.3，MTTFd 高，DC 高）+ 机器人安全输入。计算得 PL = d，PFHd 约 2.5×10⁻⁷，对应 SIL 2。由于 PL = d ≥ PLr = c，且 SIL 2 ≥ SIL 1，判定风险降低措施有效。
验证时需记录：风险图路径、S/F/P 取值依据、PL 计算参数（Cat.、MTTFd、DC、CCF）、PFHd 计算过程、验证结论。若实测发现人员进入频次高于假设，应重新取 F 值并复核风险等级，必要时提高 PLr 或增加物理隔离。
综上，协作机器人工作站的风险降低是一条从“危险源识别 → S/F/P 估计 → 风险图定级 → PL/SIL 确定 → 回路设计与验证”的完整链条。风险图法负责把定性参数转为等级，PL 与 SIL 负责把等级转为可计算、可验证的硬件与软件指标。只有两者衔接一致，风险降低措施才具备可追溯的工程依据。