2. 机器人安全基础
机器人功能安全不是从“写代码”开始的，而是从“认清对象”开始的。同一套安全策略，用在协作机械臂、AGV、手术机器人或人形机器人上，风险边界完全不同。本节建立机器人安全的基础认知框架：先分类，再看场景，然后识别危险源，用事故案例校准判断，最后引入安全生命周期这一贯穿全过程的工程主线。
一、机器人分类：决定安全策略的第一变量
机器人分类没有唯一标准，但从功能安全角度，最有用的是按运动方式、人机关系、自主程度三个维度交叉划分。运动方式决定能量形式和运动学约束；人机关系决定是否需要隔离防护或协作安全；自主程度决定安全逻辑的复杂度与失效模式。
- 工业机器人：固定基座、多关节、重复编程，典型如六轴机械臂、SCARA、Delta。风险集中在高速运动、大惯量、夹持与冲压区域。
- 移动机器人：AGV/AMR、巡检机器人、配送机器人。风险来自动态路径、盲区、人车混行、坡道与跌落。
- 协作机器人：功率与力受限、具备碰撞检测，强调人机共享工作空间，安全依赖力/功率限制与速度监控。
- 服务与医疗机器人：清洁、导览、康复、手术机器人。风险叠加了患者/用户生理脆弱性、消毒环境、临床操作约束。
- 特种与仿生机器人：排爆、消防、水下、人形。风险具有高能量、非结构化环境、远程操控延迟等特征。
二、应用场景：风险随场景迁移
同一台机器人换一个场景，危险源排序会变。焊接车间的主要风险是弧光、烟尘、高温与夹具；3C 装配线更关注精密夹持、静电和人员频繁进出；仓储 AMR 的核心风险是货架遮挡、人车混行和充电区；医疗康复机器人则要处理患者痉挛、误动作和紧急停止后的姿态保持。
场景分析要回答四个问题：谁在场、离多近、待多久、出事后能否撤离。这四个问题直接决定安全距离、响应时间和防护等级。例如，人员频繁穿越的协作工位，必须把“降低速度与力”作为常态策略，而不是依赖围栏。
三、典型危险源：从能量到失效
危险源可以按能量类型和失效机理两条线梳理。能量线包括机械能、电能、热能、化学能、辐射能；失效线包括随机硬件失效、系统性失效、软件缺陷、人为误操作和环境干扰。
| 危险源类别 | 典型表现 | 常见触发条件 |
|---|---|---|
| 机械危险 | 挤压、剪切、碰撞、缠绕、抛射 | 速度失控、限位失效、夹具误动作 |
| 电气危险 | 电击、短路、电弧、电池热失控 | 绝缘老化、接地不良、充电异常 |
| 控制危险 | 意外启动、无法停止、模式误切换 | 软件缺陷、信号干扰、安全逻辑被绕过 |
| 环境危险 | 滑倒、跌落、噪声、粉尘、温湿度 | 地面油污、坡道、照明不足 |
| 人因危险 | 误入危险区、解除防护、培训不足 | 赶工期、标识不清、操作习惯 |
四、事故案例：用真实代价校准判断
工业机器人发展史上，多起事故具有教学价值。1979 年福特工厂一名工人被机器人手臂挤压致死，暴露出当时对“机器人意外动作”和“人员进入工作区”的防护不足；此后 ISO 10218 逐步强化了围栏、联锁和急停要求。另一类常见事故发生在调试与维护阶段：工程师在示教模式下进入危险区，因模式切换错误或使能开关失效导致机器人高速动作。
移动机器人领域，仓储 AMR 与人员碰撞的事故多与盲区、制动距离估算不足、地图更新滞后有关。医疗机器人则出现过因术前摆位偏差、力反馈异常导致的组织损伤。这些案例的共同点是：事故很少由单一原因造成，而是防护层被逐层削弱后的结果。
事故链示例（简化）：
人员进入协作工位
→ 安全光幕被物料遮挡
→ 速度监控阈值被临时调高
→ 碰撞检测因传感器脏污延迟
→ 机器人未及时降速
→ 挤压伤害发生
五、安全生命周期：贯穿始终的工程主线
安全生命周期是功能安全的核心方法论，它把安全活动从“事后补救”变成“全过程受控”。典型阶段包括：危害识别与风险评估、安全需求分配、安全功能设计与实现、验证与确认、运行维护、变更管理与退役。
每个阶段都有明确输入输出。风险评估输出安全完整性等级或性能等级要求；设计阶段把要求分配到硬件、软件和防护措施；验证阶段用测试证明“做对了”，确认阶段用场景证明“做的是对的事”；运行阶段靠点检、日志和事故复盘维持安全状态。
把这张图放在心里，后续每一章的安全分析、指标计算和测试设计，都能找到它在生命周期中的位置。安全不是某个阶段的附加项，而是从分类和场景出发、贯穿设计到退役的闭环工程。