2、功能安全基础：安全生命周期、安全完整性等级（SIL）、性能等级（PL）与风险降低原则
机器人控制系统作为与人协作的物理信息系统，其失效可能导致人身伤害或财产损失。功能安全的本质不是“不出故障”，而是“即使发生故障，也能将风险控制在可接受范围内”。本章围绕功能安全的三大核心支柱——安全生命周期（Safety Lifecycle）、安全完整性等级（SIL）与性能等级（PL）、风险降低原则——展开系统化讲解，帮助学员建立从风险识别到安全功能实现、再到验证确认的完整工程思维框架。
2.1 安全生命周期：从概念到退役的系统化管控
核心原理
安全生命周期（Safety Lifecycle）是功能安全标准（IEC 61508、ISO 13849、ISO 10218-2）所规定的系统性工程流程，覆盖从系统概念设计、危险识别、安全要求分配、设计实现、验证确认，到运行维护和退役的全过程。其核心思想是：安全不能事后附加，必须从设计源头嵌入。对于机器人控制系统，安全生命周期通常采用V模型表示——左侧是需求分解与设计，右侧是集成验证与确认，底部是系统实现。
在机器人领域，安全生命周期与产品开发流程（如ISO 26262的ASPICE）高度耦合。例如，协作机器人的安全功能（如安全限速、力矩限制、安全区域监控）必须在概念阶段就明确其安全目标，并逐层分配到硬件、软件和机械子系统。任何后期追加的安全措施，往往导致成本剧增且效果打折。
判断方法或操作流程
实施安全生命周期应遵循以下关键步骤：
- 概念阶段：定义机器人应用场景、边界条件、操作模式（自动/手动/维护），识别所有合理可预见的危险（机械、电气、热、辐射、噪声等）。
- 风险分析与评估：采用风险矩阵或风险图（如ISO 13849-1附录A）对每个危险事件进行风险量化，确定风险降低需求。
- 安全要求规范（SRS）：将风险降低需求转化为可验证的安全功能要求，包括功能描述、性能指标（响应时间、精度）、SIL/PL目标、操作模式等。
- 设计与实现：进行系统架构设计（硬件/软件/机械），选择安全相关部件（传感器、逻辑、执行器），实施冗余、诊断、多样性等故障处理机制。
- 验证与确认（V&V）：验证设计是否满足SRS（如FMEA、FTA、故障注入测试），确认系统在实际运行环境中是否达到安全目标。
- 运行与维护：制定维护计划、定期检验、故障报告和变更管理流程，确保安全功能在生命周期内持续有效。
| 生命周期阶段 | 关键活动 | 输出物 | 常见责任人 |
|---|---|---|---|
| 概念 | 场景定义、危险识别 | 危险清单、风险矩阵 | 系统工程师、安全工程师 |
| 需求 | SRS编写、SIL/PL分配 | 安全要求规范文档 | 安全经理、架构师 |
| 设计 | 架构设计、冗余策略 | 安全架构图、FMEDA | 硬件/软件工程师 |
| 验证 | 测试、故障注入、评审 | 验证报告、测试用例 | 测试工程师、独立评审员 |
| 运行 | 维护、监控、变更 | 维护记录、变更申请 | 运维团队、安全委员会 |
案例拆解
某汽车零部件厂引入6台六轴工业机器人组成焊接工作站。初始设计仅配置了物理围栏和急停按钮，未进行系统化安全生命周期管理。在一次维护作业中，操作员进入围栏内调试焊枪，另一名操作员在外部误触启动按钮，导致机器人运动撞伤维护人员。事后调查发现：风险分析遗漏了“维护模式与自动模式切换”的危险场景，且安全门联锁未接入安全PLC，仅靠物理围栏无法防止人员进入。
整改措施：按照安全生命周期重新执行——① 概念阶段增加维护模式定义；② 风险分析补充“人员进入危险区”场景，风险等级评定为S2/F2/P2（高风险）；③ SRS要求增加安全门联锁（SIL 2/PL d）、安全PLC监控、模式选择开关（维护/自动）互锁；④ 设计采用双通道安全门开关+安全PLC+STO功能；⑤ 验证阶段进行故障注入测试（模拟门开关失效、PLC输出卡死），确认安全响应时间≤500ms。整改后，该工作站通过TÜV认证，未再发生类似事故。
2.2 安全完整性等级（SIL）与性能等级（PL）
核心原理
SIL（IEC 61508/61511）和PL（ISO 13849）是两种主流的安全功能量化指标，用于衡量安全相关系统在要求时执行规定功能的可靠性。SIL分为1~4级，PL分为a~e级，两者均以每小时危险失效概率（PFHd）为核心参数。SIL 3对应PFHd∈[10⁻⁸, 10⁻⁷)，PL e对应PFHd∈[10⁻⁷, 10⁻⁶)。对于机器人控制系统，ISO 10218-2和ISO/TS 15066通常要求安全功能达到SIL 2/PL d或更高。
SIL的确定不仅依赖PFHd，还涉及安全失效分数（SFF）、硬件故障裕度（HFT）和诊断覆盖率（DC）。例如，SIL 3要求SFF≥99%且HFT≥1（冗余结构），而SIL 2允许SFF≥90%且HFT=0。PL的确定则基于类别（B/1/2/3/4）、DC、CCF（共因失效）和MTTFd（平均危险失效时间）的综合评估。
判断方法或操作流程
选择SIL或PL并确定目标等级，需遵循以下流程：
- 确定安全功能：明确每个安全功能（如急停、安全门联锁、安全限速）的触发条件和响应行为。
- 风险图评估：使用ISO 13849-1的风险图参数（S：伤害严重度，F：暴露频率，P：避免可能性）或IEC 61508的风险矩阵，确定所需的风险降低量。
- 映射到SIL/PL：根据风险降低量查表得到目标SIL或PL。例如，S2/F2/P2组合通常对应PL d/SIL 2。
- 架构设计：选择满足目标等级的系统架构（如单通道、双通道、冗余），并计算PFHd、SFF、DC等参数。
- 验证计算：使用可靠性框图（RBD）或故障树分析（FTA）验证PFHd是否满足目标等级上限。
| 等级 | PFHd（1/小时） | 典型应用 | 对应SIL |
|---|---|---|---|
| PL a | ≥10⁻⁵ 且 <10⁻⁴ | 低风险辅助功能 | — |
| PL b | ≥3×10⁻⁶ 且 <10⁻⁵ | 简单防护装置 | SIL 1 |
| PL c | ≥10⁻⁶ 且 <3×10⁻⁶ | 一般安全联锁 | SIL 1 |
| PL d | ≥10⁻⁷ 且 <10⁻⁶ | 机器人安全监控 | SIL 2 |
| PL e | ≥10⁻⁸ 且 <10⁻⁷ | 高危险防护（如人员检测） | SIL 3 |
案例拆解
某AGV（自动导引车）制造商需要设计“障碍物检测”安全功能。初始方案采用单路激光雷达+安全PLC+电机断电，目标PL d。经计算，激光雷达PFHd=2×10⁻⁷，安全PLC PFHd=1×10⁻⁷，接触器PFHd=5×10⁻⁷，总PFHd≈8×10⁻⁷，刚好满足PL d上限（<10⁻⁶）。但进一步分析发现：激光雷达的DC仅为60%，且未考虑CCF（单路传感器无法检测自身失效）。实际运行时，雷达窗口污染导致探测距离缩短，但系统无诊断功能，最终发生碰撞事故。
改进方案：① 增加第二路超声波雷达，构成双通道异构冗余（HFT=1）；② 增加自检功能（每100ms发送测试脉冲，检测雷达响应）；③ 采用安全PLC的STO功能替代接触器（减少机械失效）；④ 计算CCF得分≥65分（满足PL d要求）。改进后PFHd降至1.2×10⁻⁷，达到PL d且留有裕量。
2.3 风险降低原则：从危险源到残余风险的系统化削减
核心原理
风险降低原则遵循“本质安全优先、防护其次、安全功能补充、信息提示兜底”的层级逻辑。对于机器人系统，这意味着：首先通过设计消除或减小危险（如使用力矩限制的协作机器人），然后通过物理防护（围栏、光幕）降低暴露概率，再通过安全功能（STO、SS1、安全限速）在危险发生时快速响应，最后通过警示标识和操作手册告知残余风险。
风险降低的量化模型为：风险 = 伤害严重度 × 暴露频率 × 避免可能性。每个因素都可以通过技术措施降低。例如，安装安全光幕可以降低暴露频率（人员无法进入危险区），而急停按钮可以降低避免可能性（快速切断动力）。
判断方法或操作流程
实施风险降低的工程流程：
- 危险识别：列出所有危险源（机械运动、夹点、抛射物、电气、热表面等）。
- 风险初评：对每个危险事件进行S/F/P评分，确定初始风险等级。
- 选择降低措施：按优先级选择本质安全设计→安全防护→安全功能→使用信息。
- 风险复评：实施措施后重新评估风险，确认降低到可接受水平（通常为“可忽略”或“可接受”）。
- 残余风险告知：在操作手册、警示标签中明确残余风险，并规定必要的个人防护装备（PPE）。
案例拆解
某食品包装线采用Delta机器人进行高速拾取。初始设计：机器人最高速度4m/s，无防护措施，操作员需在机器人工作半径内手动上料。风险评估：S=2（严重伤害：手指骨折），F=2（频繁暴露），P=2（难以避免），风险等级为高风险，需大幅降低。
降低措施实施：① 本质安全：将机器人速度限制在2m/s，并增加软轴力矩限制（碰撞时立即停止）；② 安全防护：在机器人工作区域安装安全光幕（分辨率14mm），人员进入即触发停机；③ 安全功能：配置安全PLC实现STO（安全转矩关断），响应时间≤100ms；④ 使用信息：在操作面板标注“禁止在机器人运行时进入工作区”警示。复评后风险降至S=1/F=1/P=1（可接受）。
实际运行中，光幕误触发率较高（每班3~4次），导致生产效率下降。分析发现光幕安装位置过于靠近机器人运动范围，粉尘和振动引起误报。优化措施：调整光幕安装距离（距机器人运动边界300mm），增加抗振动支架，并设置500ms的延时滤波（不影响安全响应）。优化后误触发率降至每班0.2次，且安全功能未降级。
2.4 常见误区与总结复盘
误区一：SIL/PL等级等同于“安全等级”
SIL/PL仅衡量安全功能的可靠性，不衡量其功能正确性。一个SIL 3的安全功能如果逻辑设计错误（如急停信号被软件屏蔽），其实际风险可能远高于SIL 1的系统。因此，必须同时关注功能设计（做什么）和完整性（多可靠）。
误区二：安全生命周期只适用于新产品开发
对于现有机器人系统的改造、升级或变更（如增加新夹具、修改运动轨迹），同样需要执行安全生命周期中的风险分析和验证活动。许多事故发生在“小改动”之后，因为变更未经过安全评估。
误区三：风险降低措施越多越好
过度防护会导致操作不便、维护困难，甚至引发操作员绕过安全装置的行为（如拆除光幕）。合理的风险降低应平衡安全性与可用性，并确保安全措施本身不引入新危险（如急停按钮位置不当导致误触）。
总结复盘
本章核心知识可归纳为：一个生命周期（V模型）、两个量化指标（SIL/PL）、三个风险因素（S/F/P）、四个降低层级（本质/防护/功能/信息）。在实际项目中，建议按以下顺序推进：
- 建立跨职能安全团队（机械、电气、软件、安全工程师）；
- 使用风险图或风险矩阵进行系统化风险分析；
- 将安全要求写入SRS，并分配SIL/PL目标；
- 设计阶段采用冗余、诊断、多样性策略；
- 验证阶段进行故障注入、FMEA、FTA和实机测试；
- 运行阶段建立安全监控和变更管理机制。