3. 安全标准与合规基础
在 ABB 机器人 SafeMove 的工程实践中，安全功能能否被接受，并不取决于“是否用了 SafeMove”，而取决于该功能是否按照对应标准完成了安全完整性设计、验证与确认。理解 ISO 10218、ISO/TS 15066、IEC 61508、IEC 62061 与 ISO 13849 之间的关系，是判断 SafeMove 中某个功能应达到何种安全等级、用什么方法证明其合规的前提。
一、五类标准的分工与层级
这些标准并非互相替代，而是处于不同的层级，共同构成机器人安全合规的“标准链”。
- ISO 10218-1/-2：工业机器人安全要求，属于 C 类标准。它规定机器人本体（-1）与机器人系统/集成（-2）的安全要求，是 SafeMove 功能在工业机器人场景下最直接的依据。它引用 ISO 13849-1 和 IEC 62061 作为安全相关控制系统的实现标准。
- ISO/TS 15066：协作机器人技术规范，是对 ISO 10218 的补充，专门处理协作操作中的功率与力限制、准静态接触与瞬态接触的限值。它不直接规定安全完整性等级，而是给出协作场景下的生物力学限值，SafeMove 的“安全限速”“安全力限制”等功能需要据此设定阈值。
- IEC 61508：功能安全基础标准，属于 A 类标准。它提出安全生命周期、SIL（安全完整性等级）概念，是 IEC 62061 的母标准。它不针对机器人，而是为所有电气/电子/可编程电子安全相关系统提供通用框架。
- IEC 62061：机械安全领域的功能安全标准，属于 B 类标准。它把 IEC 61508 的 SIL 方法具体化到机械安全相关控制系统，使用 SIL 1～SIL 3，并通过子系统结构、PFHD、DC、CCF 等参数计算。
- ISO 13849-1：机械安全控制系统安全相关部件标准，属于 B 类标准。它使用 PL（性能等级）a～e，通过类别（Category B、1、2、3、4）、MTTFD、DCavg、CCF 等参数确定 PL。
因此，SafeMove 功能的安全完整性等级，通常不是直接由 ISO 10218 规定一个数字，而是由 ISO 10218 提出安全功能要求，再由设计者选择 ISO 13849-1 的 PL 或 IEC 62061 的 SIL 作为实现路径，并在协作场景下结合 ISO/TS 15066 确定限值。
二、PL 与 SIL 的对应关系
ISO 13849-1 与 IEC 62061 是两条并行的实现路径，二者可以相互映射，但并非完全等价。工程中常用的对应关系如下表所示。
| ISO 13849-1 PL | IEC 62061 SIL | PFHD 量级（1/h） | 典型适用场景 |
|---|---|---|---|
| PL a | — | 不适用 | 无安全要求或极低风险 |
| PL b | — | 10-5～10-6 | 低风险，单通道简单结构 |
| PL c | SIL 1 | 10-6～3×10-6 | 一般工业机器人安全停止 |
| PL d | SIL 2 | 10-7～10-6 | SafeMove 安全限速、安全区域 |
| PL e | SIL 3 | 10-8～10-7 | 高风险协作、安全力限制 |
需要强调：PL d 与 SIL 2 在 PFHD 量级上大体对应，但两者的验证方法、结构约束和文档要求不同。选择哪条路径，应在项目安全概念阶段确定，并在整条安全功能链上保持一致。
三、SafeMove 功能的安全完整性等级关系
SafeMove 是 ABB 机器人控制器中的安全功能软件包，其典型功能包括安全限速（SLS）、安全区域（Safe Zone）、安全工具姿态、安全信号逻辑等。这些功能的安全完整性等级，取决于整条安全链：从安全输入（如编码器、安全 I/O）、SafeMove 内部处理、到安全输出（如安全停止、安全输出信号）。
以 SafeMove 的“安全限速”为例，其安全链通常包括：机器人编码器 → 安全控制器 → SafeMove 限速算法 → 安全输出 → 驱动停止。若该功能要求达到 PL d / SIL 2，则整条链上的每个子系统都必须满足对应要求，包括：
- 编码器与安全输入通道需具备足够的诊断覆盖率（DC）和共因失效（CCF）防护；
- SafeMove 软件需按照安全软件开发生命周期进行开发与验证；
- 安全输出需采用双通道或等效结构，确保单点故障不会导致安全功能失效；
- 整个安全链的 PFHD 需满足 PL d 或 SIL 2 的量化要求。
在协作应用场景中，若涉及人与机器人共享工作空间，还需依据 ISO/TS 15066 确定接触力与压力限值。此时 SafeMove 的“安全力限制”或“安全限速”功能可能需要达到 PL d 甚至 PL e，具体取决于风险评估结果。例如，准静态接触下人体部位可承受的力限值较低，若 SafeMove 无法可靠地将力限制在该限值内，则需提高安全完整性等级或增加额外防护措施。
四、合规判断的实操要点
在实际项目中，判断 SafeMove 功能是否合规，可按以下思路展开：
- 依据 ISO 10218-1/-2 与 ISO/TS 15066 完成风险评估，确定每个安全功能所需的风险降低程度。
- 在 ISO 13849-1 与 IEC 62061 之间选择一条实现路径，并确定目标 PL 或 SIL。
- 对 SafeMove 安全链进行分解，计算每个子系统的 MTTFD、DC、CCF 或 PFHD。
- 验证整条链是否达到目标 PL 或 SIL，并检查结构约束（如类别、硬件故障裕度）。
- 形成安全功能验证报告，记录参数、计算过程与结论，作为合规证据。
综上，SafeMove 功能的安全完整性等级关系可以概括为：ISO 10218 与 ISO/TS 15066 确定“需要什么安全功能、限值是多少”，IEC 61508 提供功能安全框架，IEC 62061 与 ISO 13849-1 提供两条可选的量化实现路径，而 SafeMove 的安全链必须整体满足所选路径的目标等级。只有把标准要求、安全链参数与验证证据三者对齐，才能形成真正可接受的合规结论。