4、相关标准与法规：ISO 10218、ISO/TS 15066、IEC 62061、ISO 13849、IEC 61508 的适用范围与核心要求
机器人控制系统功能安全的实现，并非仅靠工程师的自觉或企业内部的测试流程，而是建立在国际标准体系的刚性约束之上。在工业机器人领域，功能安全标准形成了一个“金字塔”结构：底层是通用的功能安全基础标准IEC 61508，中间层是面向机械与安全相关控制系统的ISO 13849和IEC 62061，顶层则是针对工业机器人本体及协作应用的ISO 10218系列与ISO/TS 15066技术规范。理解这五份文件的定位、适用范围与核心要求，是进行安全回路设计、安全PLC选型、风险评估与验证工作的前提。若混淆了标准的适用边界，轻则导致认证失败，重则埋下严重的安全隐患。
4.1 标准体系定位与核心原理
这五份标准并非孤立存在，而是构成了一个严密的逻辑链条。IEC 61508 是所有功能安全标准的“母标准”，它提出了安全生命周期（Safety Lifecycle）的概念，要求从危险识别、安全要求分配、设计实现到验证确认的全过程进行系统化管理。其核心量化指标是安全完整性等级（SIL），通过PFHd（每小时危险失效概率）来划分SIL 1~4。虽然IEC 61508不直接规定机器人本体设计，但机器人安全控制器的硬件架构、诊断覆盖率、系统化能力（SC）均需遵循其底层要求。
ISO 13849-1 与 IEC 62061 是面向机械安全的“平级替代”标准。ISO 13849 源自欧洲机械指令，采用性能等级（PL a~e）作为评价指标，适用于气动、液压、机械及电气等各类控制系统，其优势在于对非电子技术的包容性。IEC 62061 则专门针对电气/电子/可编程电子系统，采用SIL等级，更适合包含安全PLC、伺服驱动器、安全编码器的现代机器人控制系统。两者在风险评估后确定所需的安全性能，但计算路径不同：ISO 13849 基于类别（B~4）、MTTFd（平均危险失效时间）、DC（诊断覆盖率）和CCF（共因失效）四个参数；IEC 62061 则基于PFHd、硬件故障裕度（HFT）和安全功能的安全完整性要求。
ISO 10218 分为两部分：第1部分针对机器人本体制造商，规定了急停、制动、监控安全停止、轴限位等基本安全功能；第2部分针对系统集成商，要求对机器人单元进行风险评估并配置相应的防护装置。ISO/TS 15066 则是对协作机器人应用的补充技术规范，首次给出了人体各部位可承受的力/压力限值，定义了四种协作操作模式（手引导、速度与间距监控、功率与力限制、安全监控停止）。
| 标准编号 | 适用对象 | 核心指标 | 典型应用场景 |
|---|---|---|---|
| IEC 61508 | 所有行业安全相关系统 | SIL 1~4 / PFHd | 安全PLC底层芯片、安全通信协议 |
| ISO 13849-1 | 机械控制系统（含非电气） | PL a~e / 类别 / MTTFd | 安全继电器回路、气动安全阀 |
| IEC 62061 | 机械电气/电子控制系统 | SIL 1~3 / PFHd / HFT | 安全PLC、安全伺服驱动器 |
| ISO 10218-1 | 机器人本体制造商 | 安全功能清单 / 性能要求 | 六轴机器人、SCARA机器人出厂认证 |
| ISO/TS 15066 | 协作机器人应用集成 | 力/压力限值 / 速度 / 间距 | 协作工位、人机共融产线 |
4.2 判断方法：如何选择适用的标准路径
在实际项目启动阶段，工程师常犯的错误是“一刀切”地套用某一标准。正确的判断流程应遵循以下步骤：
- 第一步：界定机器人类型——若为传统工业机器人（带围栏），则依据ISO 10218-2进行集成安全设计；若为协作机器人或改造为协作模式，则需额外引用ISO/TS 15066。
- 第二步：识别安全功能——列出所有安全相关功能（如急停、安全门联锁、双手控制、速度监控）。每个功能都需要独立评估。
- 第三步：风险评估确定性能等级——采用ISO 12100进行风险矩阵评估，得出所需的PLr（要求性能等级）或SILr。例如，机器人急停功能通常要求PL d或SIL 2。
- 第四步：选择实现技术——若采用安全继电器（硬接线），按ISO 13849设计；若采用安全PLC或FSoE（FailSafe over EtherCAT）通信，则按IEC 62061设计。
- 第五步：验证与确认——通过计算PFHd、故障注入测试、EMC抗扰度测试来证明符合性。
实战判断案例：某汽车焊装线引入6台六轴机器人，其中1台需改造为“速度与间距监控”协作模式。工程师最初仅按ISO 10218-2设计围栏，但协作区域要求操作员进入。正确做法是：该工位同时引用ISO 10218-2（围栏外安全）和ISO/TS 15066（协作区域限速）。安全功能“协作速度监控”需通过安全编码器与安全PLC实现，因此按IEC 62061计算SIL 2，同时安全PLC的硬件需满足IEC 61508的SIL 2认证。最终验证时，需同时提供PL d（针对急停回路）和SIL 2（针对速度监控）两份计算报告。
4.3 核心要求深度拆解与案例闭环
以“安全监控停止”功能为例，该功能在ISO 10218-1中定义为“机器人停止运动且保持位置，但伺服电机仍处于通电状态”。其核心要求包括：停止时间需小于0.5秒（根据风险评估），停止后位置漂移需小于15mm（针对典型六轴机器人）。实现该功能需满足IEC 62061的SIL 2要求，即PFHd需小于1×10⁻⁷/h。若采用安全PLC+安全伺服驱动器方案，需计算：安全PLC的PFHd（如1×10⁻⁸）+ 安全驱动器的PFHd（如5×10⁻⁸）+ 安全编码器的PFHd（如1×10⁻⁸），总和需小于1×10⁻⁷。
我们以一个具体的协作机器人装配单元为例进行完整拆解：
- 背景与约束：某3C电子工厂部署12台协作机器人进行精密装配，节拍要求30秒/件，操作员需频繁上下料，无法使用围栏。
- 初始目标：满足ISO/TS 15066的功率与力限制模式，同时保证生产效率。
- 关键输入参数：机器人末端最大动态力需小于150N（依据ISO/TS 15066表A.1，针对手部），速度限制为250mm/s，安全PLC扫描周期10ms。
- 分析判断过程：工程师发现，若仅依赖机器人本体碰撞检测（电流环），响应时间约100ms，无法满足150N限值。因此需增加外部安全触觉皮肤（力传感器），将碰撞检测响应时间缩短至20ms。
- 实际操作步骤：① 按ISO 12100进行风险评估，确定所需PL=d；② 按ISO 13849设计安全触觉皮肤回路（类别3，DC=99%，MTTFd=50年）；③ 按IEC 62061计算安全PLC的SIL 2；④ 通过故障注入测试验证碰撞检测响应时间。
- 结果对比：改造前碰撞力峰值达280N，改造后降至120N，满足150N限值；节拍仅增加2秒。
- 风险与代价：安全触觉皮肤成本增加约8000元/台，且需定期校准（每6个月）。
- 复盘经验：协作机器人的安全不能仅依赖机器人本体，必须结合外部传感器与安全PLC形成闭环；ISO/TS 15066的力限值是“动态”的，需考虑操作员接触部位和机器人运动方向。
4.4 常见误区与总结复盘
在标准应用过程中，以下误区需要特别警惕：
误区一：混淆PL与SIL的对应关系。虽然PL d大致对应SIL 2，但两者计算路径不同。PL基于类别和MTTFd，SIL基于PFHd和HFT。不能简单互换，必须按所选标准完整计算。
误区二：忽略ISO/TS 15066的“非强制性”属性。ISO/TS 15066是技术规范（TS），并非正式国际标准，但欧盟机械指令和多数认证机构将其视为协作机器人安全评估的“事实标准”。若产品宣称“协作”，必须满足其要求。
误区三：只关注硬件失效，忽略系统化能力（SC）。IEC 61508要求安全PLC的软件需满足SC 2或SC 3等级，包括需求管理、代码覆盖率测试、防篡改措施。许多企业硬件达标但软件文档缺失，导致认证失败。
总结而言，标准应用的核心逻辑是“风险决定等级，等级决定架构，架构决定验证方法”。工程师应建立以下思维框架：
| 项目阶段 | 引用标准 | 关键交付物 |
|---|---|---|
| 风险评估 | ISO 12100 / ISO 10218-2 | 风险矩阵、PLr/SILr确定 |
| 安全回路设计 | ISO 13849 / IEC 62061 | 安全功能架构图、PFHd计算书 |
| 硬件选型 | IEC 61508 | 安全PLC/驱动器的SIL证书 |
| 协作功能验证 | ISO/TS 15066 | 力/压力测量报告、速度监控测试记录 |
| 整机认证 | ISO 10218-1 / -2 | CE认证、功能安全评估报告 |
最后需要强调的是，标准是“最低要求”而非“最佳实践”。在高速重载机器人场景中，即使标准允许PL d，也应考虑升级至PL e以预留安全余量。同时，标准更新周期较长（如ISO 10218正在修订为ISO 10218-1:2025），工程师需关注DIN、ISO/TC 299等技术委员会的动态，避免基于过期版本设计。