1. 课程导入
当机器人从围栏内的固定工位走向人机协作、移动服务、医疗康复与物流搬运等开放场景时，“它会不会伤人”不再只是机械防护问题，而是一个贯穿设计、制造、集成、运行与维护全生命周期的系统性工程命题。本课程围绕功能安全（Functional Safety）与风险分析（Risk Analysis）两条主线，帮助学习者建立从危害识别到安全功能落地、再到验证确认的完整能力链。
一、学习目标：从“知道标准”到“做出安全设计”
本课程不满足于让学习者背诵标准条款，而是希望形成三类可迁移能力：
- 概念能力：准确区分安全、功能安全、本质安全、信息安全与可靠性，理解安全完整性等级（SIL/PL）背后的风险降低逻辑。
- 方法能力：能够独立完成危害识别、风险评估、安全功能定义、安全需求分配与验证确认的闭环流程。
- 工程能力：能够针对协作机器人、AGV/AMR、手术机器人等典型对象，选择合适的安全架构、传感器与控制器，并输出可审查的安全文档。
二、核心概念：风险、安全功能与安全完整性
风险的本质是“伤害发生的可能性”与“伤害严重程度”的组合。工程上通常用风险图或风险矩阵进行分级，再据此确定所需的安全完整性等级。安全功能则是为实现风险降低而设计的特定控制行为，例如“当检测到人员进入协作空间时，将关节速度限制在 250 mm/s 以内”。
安全完整性描述的是安全功能在需要时成功执行的概率。它由硬件架构约束、诊断覆盖率、共因失效、系统安全生命周期等多因素共同决定。理解下面这组参数关系，是后续所有章节的基础：
风险 = 伤害严重度 S × 暴露频率 F × 避免可能性 P
所需风险降低 = 初始风险 / 可接受风险
安全完整性等级 SIL / PL ← 由所需风险降低反推
验证指标：PFHd、DC、MTTFd、CCF、SC需要特别强调的是，安全完整性越高并不等于系统越安全。如果危害识别不完整，再高的 SIL 也只是在错误的方向上投入成本。因此风险分析必须先行，且要覆盖正常、异常、可预见的误用三种情形。
三、整体知识框架：一条主线、四个层次
本课程的知识体系可以概括为“一条安全生命周期主线，四个工程层次”。主线遵循 ISO 12100 与 ISO 13849 / IEC 62061 的基本逻辑：危害识别 → 风险评估 → 风险降低 → 安全功能设计 → 验证确认 → 运行维护。四个层次则分别对应：
| 层次 | 关注对象 | 典型输出 |
|---|---|---|
| 系统层 | 整机安全目标、使用限制、场景边界 | 安全概念、风险评估报告 |
| 功能层 | 安全功能清单、SIL/PL 分配、响应时间 | 安全需求规格书 |
| 架构层 | 传感器、逻辑单元、执行器的冗余与诊断 | 安全架构图、PFHd 计算 |
| 实现层 | 安全 PLC、安全继电器、编码器、激光雷达 | 接线图、参数配置、测试记录 |
下图给出本课程的整体知识框架与工程数据流关系，后续各章将沿着这条链路逐层展开。
四、工程实践价值：为什么这门课值得投入
在真实项目中，功能安全的价值往往体现在三个“避免”上：避免人身伤害与法律责任、避免因安全缺陷导致的停机与返工、避免认证阶段因文档与验证不足而反复整改。以协作机器人为例，若在概念阶段就完成风险评估并明确 PLd 要求，后续选型与集成会顺畅得多；反之，若等到样机完成才发现安全功能缺失，改造成本可能上升数倍。
五、常见误区与复盘视角
初学者最容易陷入以下误区：
- 把标准当答案：标准只给出框架和最低要求，具体风险等级必须结合场景判断。
- 只关注硬件：安全逻辑、参数配置、软件诊断同样决定安全完整性。
- 忽略可预见误用：操作者绕过光栅、拆除限位、超速运行，都应纳入风险分析。
- 验证流于形式：没有故障注入和响应时间实测，安全功能无法被证明有效。
从本章开始，我们将沿着“风险分析—安全功能—安全架构—器件实现—验证确认”的路径逐步深入。掌握这条主线，你就能在面对任何一类机器人系统时，快速判断安全工作的切入点、所需证据与潜在风险，把功能安全从纸面标准转化为可落地的工程能力。