3. 安全基本概念与标准
在机器人遥操作系统中，“安全”不是一句口号，而是一套可以被设计、验证、量化和审计的工程属性。要理解遥操作的安全边界，必须先掌握三个基础概念：功能安全、安全完整性等级（SIL），以及支撑机器人安全的三大标准体系——ISO 10218、ISO/TS 15066 与 IEC 61508。它们共同回答了三个问题：安全功能要做什么、要做到多可靠、以及如何证明它足够可靠。
一、功能安全：从“不出故障”到“故障也安全”
传统安全思路是提高元件可靠性，尽量让设备不出故障。但任何硬件都会老化、干扰、误操作，因此现代安全工程转向功能安全（Functional Safety）：通过主动的安全功能，使系统在发生故障或异常时进入安全状态，而不是继续危险运行。
功能安全的核心是“安全功能（Safety Function）”，例如：
- 当遥操作通信中断超过阈值时，机械臂在 200 ms 内停止并保持抱闸；
- 当操作员松开使能开关时，机器人立即进入受控停止；
- 当力反馈超过设定上限时，主端手柄自动卸力并告警。
每个安全功能都需要定义安全状态、触发条件、响应时间和诊断覆盖率。这些参数决定了它属于哪个安全完整性等级。
二、SIL：把“可靠性”变成可量化的等级
安全完整性等级（Safety Integrity Level，SIL）由 IEC 61508 提出，分为 SIL 1 至 SIL 4，等级越高，要求每小时危险失效概率（PFH）越低。机器人遥操作通常涉及 SIL 2 或 SIL 3 的安全功能。
| SIL 等级 | 低要求模式 PFDavg | 高要求/连续模式 PFH（1/h） | 典型遥操作场景 |
|---|---|---|---|
| SIL 1 | 10⁻² ~ 10⁻¹ | 10⁻⁶ ~ 10⁻⁵ | 非关键状态指示、辅助告警 |
| SIL 2 | 10⁻³ ~ 10⁻² | 10⁻⁷ ~ 10⁻⁶ | 急停链路、通信中断安全停止 |
| SIL 3 | 10⁻⁴ ~ 10⁻³ | 10⁻⁸ ~ 10⁻⁷ | 力限保护、人机协作速度限制 |
| SIL 4 | 10⁻⁵ ~ 10⁻⁴ | 10⁻⁹ ~ 10⁻⁸ | 核工业、医疗高危及生命场景 |
需要强调：SIL 不是对整台机器人的评级，而是对每条安全功能的评级。同一台遥操作机器人，其急停功能可能是 SIL 3，而状态显示可能只需 SIL 1。
三、机器人安全标准体系：ISO 10218、ISO/TS 15066 与 IEC 61508
三大标准各有分工，构成从通用到专用的层级关系：
- IEC 61508：功能安全的“母标准”，定义 SIL、安全生命周期、验证与确认方法，是其他行业标准的基础。
- ISO 10218-1/2：工业机器人安全要求，规定机器人本体与集成系统的安全设计、防护、急停、恢复和验证流程。
- ISO/TS 15066：协作机器人补充规范，给出功率与力限制、人体部位疼痛阈值和准静态/瞬态接触限值。
在遥操作场景中，ISO 10218 提供系统级安全框架，ISO/TS 15066 提供人机接触的量化边界，IEC 61508 则用于证明安全功能达到目标 SIL。三者关系可用下图表示：
四、遥操作特有的安全挑战与风险分类
与本地固定式机器人不同，遥操作系统引入了“人—网络—机器人—环境”的闭环，风险来源更分散。常见风险可分为五类：
- 通信风险：丢包、抖动、断连、带宽骤降，导致指令延迟或丢失，机器人可能执行过期指令。
- 时延风险：控制回路延迟过大，操作员基于过时画面操作，产生“过冲—修正”振荡。
- 操作员风险：疲劳、注意力下降、误操作、对力反馈适应不良，导致危险动作。
- 环境风险：非结构化现场、移动人员、遮挡、光照变化，使感知与安全区域判断失效。
- 主从映射风险：主从比例、坐标系、零位漂移不一致，造成操作意图与机器人动作偏差。
五、案例：通信中断下的安全状态设计
某远程巡检机器人采用 SIL 2 通信中断安全功能。当心跳包连续丢失 3 次（约 150 ms）时，机器人进入受控停止；若 500 ms 内未恢复，则抱闸并上报。其安全参数配置如下：
safety_function: comm_loss_stop
target_sil: SIL2
heartbeat_period_ms: 50
loss_threshold: 3
controlled_stop_ms: 200
brake_engage_ms: 500
safe_state: controlled_stop_then_brake
diagnostic_coverage: 90%
proof_test_interval_h: 8760该功能需通过 FMEA 与故障注入测试验证：模拟断网、延迟、乱序和重复包，确认机器人始终进入安全状态，且不会因误触发导致频繁停机。
六、复盘：标准落地时的常见偏差
- 只写“符合 ISO 10218”，却没有逐条对应安全功能与验证证据；
- 把 SIL 等级当作产品标签，而不是针对每条安全功能单独评估；
- 忽略 ISO/TS 15066 的接触力阈值，导致协作场景下力限设置过松；
- 未考虑遥操作链路失效，安全功能在断网时形同虚设；
- 缺少安全生命周期文档，无法追溯设计、测试与变更。