3. 安全避障概述
在移动机器人（AMR）的实际运行中，“避障”与“安全避障”是两个不同层次的概念。普通避障的目标是“不撞上”，而安全避障的目标是“在可接受的风险水平下不撞上，并且即使发生故障也不会造成不可接受的伤害”。本节从定义、安全等级、功能安全标准与风险评价方法四个角度，建立安全避障的整体认知框架。
一、安全避障的定义
安全避障是指 AMR 在运行过程中，通过传感器感知、控制决策与执行机构的协同，识别并规避人员、其他车辆、固定障碍及动态障碍，使碰撞风险被控制在可接受范围内的一整套功能与机制。它不仅是“检测到障碍就停车”，而是包含感知、判断、减速、停止、保持安全状态的完整安全功能链。
与普通避障相比，安全避障有三个关键特征：
- 可度量：风险与安全完整性有量化指标，如安全完整性等级（SIL）、性能等级（PL）。
- 可验证：通过标准规定的测试方法、距离公式与验证流程确认其有效性。
- 故障可控：在传感器失效、通信中断、控制器异常等情况下，系统能进入安全状态，而不是失控。
二、安全等级与安全完整性
功能安全中常用“安全完整性”描述安全功能可靠执行的程度。IEC 61508 定义了 SIL1～SIL4 四个安全完整性等级，等级越高，对随机硬件失效概率与系统性能力的要求越严格。在移动机器人领域，ISO 3691-4 更常与性能等级（PL，ISO 13849-1）配合使用，PL 分为 a～e 五级。
安全等级并非越高越好，而是由风险评价结果决定。风险越高，所需的安全等级越高；若风险较低，过高的等级会造成成本与复杂度浪费。下表给出常见安全功能与典型等级对应关系，便于工程选型参考。
| 安全功能 | 典型标准 | 常见等级 | 说明 |
|---|---|---|---|
| 紧急停止 | ISO 3691-4 / IEC 61508 | PL d / SIL 2 | 按下后必须可靠切断驱动 |
| 人员检测与减速 | ISO 3691-4 | PL c～d | 依车速与制动距离确定 |
| 安全激光扫描仪 | IEC 61496 | PL d / Type 3 | 需定期验证检测能力 |
| 速度监控 | IEC 61508 | SIL 2 | 防止超速导致制动距离不足 |
| 安全通信 | IEC 61784-3 | SIL 2 / PL d | 黑通道与安全协议校验 |
三、功能安全标准体系
安全避障涉及的标准可分为三个层次：基础标准、通用标准与产品/应用标准。
- 基础标准：IEC 61508《电气/电子/可编程电子安全相关系统的功能安全》，定义安全生命周期、SIL、硬件失效概率等基础概念。
- 通用标准：ISO 13849-1（机械安全控制系统相关部件）、IEC 62061（机械安全电气控制系统功能安全），提供 PL 与 SIL 的工程实现方法。
- 产品/应用标准：ISO 3691-4《无人驾驶工业车辆及其系统安全要求》，是 AMR 安全避障最直接的应用标准，规定制动距离、检测区域、速度限制、警告装置等要求。
ISO 3691-4 对安全避障提出了明确要求，例如：车辆必须能在规定的制动距离内停止；人员检测区域应覆盖车辆运动方向；当检测到人员进入危险区时，应触发减速或停止；安全相关控制系统应达到规定的性能等级。工程中常将 ISO 3691-4 与 IEC 61508 结合使用：前者给出应用要求，后者提供实现与验证方法。
四、风险评价方法
风险评价是确定安全等级与安全功能的起点。常用方法包括风险图法、风险矩阵法与 LEC 法。ISO 13849-1 推荐的风险图法从四个参数出发：伤害严重度 S、暴露频率 F、避免可能性 P，最终确定所需性能等级 PLr。
风险评价的基本流程如下：
- 识别危险：列出 AMR 运行中可能造成伤害的危险源，如碰撞、挤压、跌落、电池热失控。
- 评估风险：对每个危险源评估严重度、暴露频率与避免可能性。
- 确定安全等级：根据风险评价结果确定 SIL 或 PL 目标。
- 设计安全功能：选择传感器、控制器与执行机构，实现所需安全功能。
- 验证与确认：通过测试、计算与文档确认安全功能达到目标等级。
下面给出一个简化的风险评价参数示例，用于说明如何从参数推导安全等级：
风险评价参数示例（ISO 13849-1 风险图法）
S1 = 轻度伤害（可恢复）
S2 = 严重伤害（不可逆）
F1 = 暴露频率低
F2 = 暴露频率高
P1 = 避免可能性高
P2 = 避免可能性低
示例：S2 + F2 + P2 → PLr = d
含义：严重伤害、频繁暴露、难以避免，需达到 PL d
对应安全功能：人员检测 + 减速 + 停止，安全激光扫描仪 PL d
五、案例与场景
某仓储 AMR 在通道内以 1.2 m/s 运行，通道宽 2.5 m，常有人员穿行。初始方案仅使用普通超声波避障，未做风险评价。试运行中发生一次人员突然横穿，车辆虽减速但未及时停止，造成轻微碰撞。
复盘后按 ISO 3691-4 与 IEC 61508 重新设计：
- 增加安全激光扫描仪，检测区域覆盖前方 3 m 与两侧 1 m。
- 将安全功能划分为减速区与停止区，减速区触发降速至 0.3 m/s，停止区触发安全停止。
- 安全控制器达到 PL d，急停回路独立于普通控制回路。
- 按风险评价结果确认所需 PLr 为 d，并完成验证测试。
改造后，车辆在人员进入停止区时可在 0.4 m 内安全停止，满足标准要求，并通过项目验收。
六、本节知识结构图
下图将安全避障的定义、安全等级、标准体系与风险评价方法组织为一张关系图，帮助建立整体认知。
通过本节内容可以看出，安全避障是一项系统工程：定义明确其边界，安全等级提供量化目标，功能安全标准给出实现与验证依据，风险评价方法则决定目标等级。四者相互支撑，缺一不可。只有把标准要求、风险评价与工程实现结合起来，AMR 的安全避障才能真正可靠、可验证、可交付。