人机协作安全设计：让机器人和人安全共处

可视化演示

协作模式分类

当你决定把院子里那只猛犬放进客厅，第一个问题不是“它乖不乖”，而是“我们打算怎么一起生活”。是拴着绳带它散步？给它套上嘴套让它自由活动？让它和宝宝保持三米距离？还是宝宝跑过时它立刻蹲下不动？人机协作也一样，ISO 10218 把“人和机器共处”归纳为四种标准姿势，这叫协作运行模式。选对了模式，后面所有的安全设计才有落点。

第一种是安全级监控停止（Safety-rated Monitored Stop）：人一走进机器人的地盘，机器人立刻老老实实停住；人撤出去，它才接着干。这正是“宝宝经过时猛犬蹲下”的姿势，简单可靠，适合上下料这种短暂交接的工序。第二种是手引导控制（Hand Guiding）：人握住机器人的末端，像牵绳一样引导它移动，机器人只出辅助力，绝不自己发力猛冲，适合需要人凭手感完成的对位和示教。

第三种是速度与距离监控（Speed and Separation Monitoring, SSM）：机器人用传感器“盯”着人腰间的距离，人还远它就快跑，人靠近它自动放慢，再近就停。这就是“保持三米距离散步”的自动化版本，效率最高，也是我们在可视化演示中看到的场景。第四种是功率与力限制（Power and Force Limiting, PFL）：从源头就设定它的“蛮力”上限，物理上撞不疼人，像给猛犬戴上特制嘴套，让碰撞本身成为可接受事件。

这四种模式不是互相排斥的，一套工作站完全可以组合使用：搬运重料时用 PFL 控制力量，人需要介入装配时切换成监控停止或手引导。选型时，你得像给不同场合选“遛狗姿势”一样，同时考虑工序节拍、人来往频率和碰撞后果。模式是安全设计的第一个选择题，选错后面全盘皆输。

安全标准体系

光知道“怎么遛狗”还不够，城市里养大型犬要有法可依。机器人安全领域同样有两层“法律”：一层是强制性的安全标准，另一层是补充技术细节的规范文件。把它们搞混，就像把地方条例和驯养手册混为一谈，验收时必然翻车。

底层是 ISO 10218-1 和 ISO 10218-2，分别针对机器人本体和机器人系统集成，规定了安全要求和设计原则，比如急停按钮、制动性能、接线规范，它是所有工业机器人的“强制底线”。第二层是 ISO/TS 15066，一份技术规范（TS 而非 IS，意思是“补充指南”），专门补充分布式协作场景的工程数据：身体各部位允许的力和压强限值、安全距离怎么算、碰撞测试怎么做。你可以把它理解为“驯养手册”——不含法律条文，但告诉你具体怎么实操。

与之配套的还有功能安全标准：ISO 13849 用性能等级（PL）衡量控制系统的安全可靠性，IEC 62061 用 SIL 等级表述。设计安全回路时，要用它们来确定“这套刹车系统的可靠性够不够”。比如机器人安全停止监控回路通常要求达到 PL d 或 PL e，这意味着系统不仅要动作，而且要确保“该停的时候一定停，单点故障也不会失效”。

ISO 13849 里用三个风险参数来定 PL 等级，公式可以写成：

理解这套体系，你才能看懂别人给的认证报告，也知道自己该提升哪块电路的设计等级。标准不是用来背的，是用来在方案评审时保护自己的。

危险与安全边界

猛犬再温顺，家里也总有“危险三角区”：桌角、楼梯、宝宝突然冲出的走廊。安全设计的第一步，就是画一张家里的“危险地图”。这在机器人领域叫空间与边界识别——把机器人的地盘分成三种区域：机器人独占的危险空间、人可以短暂进入的共享空间、人员频繁通行的安全通道。

要画地图，得先搞懂碰撞会以什么形式发生。TS 15066 定义了两种碰撞类型：准静态接触（quasi-static contact），指人被夹住或压住，力缓慢持续地上升，像手指被门缝夹住；瞬态接触（transient contact），指人被快速撞击的瞬间冲击，像被飞来的球砸中。两种接触的伤害机理截然不同，因此安全设计的关注点也不同：准静态要限制“夹紧力”，瞬态要限制“冲击压强”。

危险源识别同样关键：夹点、剪切点、旋转缠绕点、抛射物、移动中的臂杆，每一个都是地图上的“红旗”。识别出危险源后，才能划定安全区域——把机器人可达范围和人体工程需求取交集，得出真正需要防护的边界。

判定碰撞伤害时，最核心的物理量是接触压强，公式为：

这张“危险地图”的价值在于：它决定了后续力限值取多少、传感器装在哪个方向、警戒圈画多大。没有地图就动工，等于蒙着眼放猛犬进门。

力和速度限制

给猛犬戴上嘴套时，你要问“多大力才不会伤到孩子”；给机器人设定 PFL 参数时，你要问“多大的力和速度才算安全界限”。这是整个协作安全设计中最“定量”的一环，直接决定碰撞发生后的后果等级。

TS 15066 给出了一张珍贵的表：人体不同部位的最大允许力和压强。比如头部和面部（包括颅骨、面部）的限额最苛刻，手和手指次之，腿脚等较耐撞的区域限额略高。设计时，先确认机器人最可能碰到人哪个部位，再对照表格取限值。比如某协作臂在头部区域的准静态压强限值约 140 N 但压强限值约 4800 kPa 量级（具体按最新版表格取值），设计就必须压在这个数字之下。

速度是“蛮力”的另一半。碰撞力的大小直接与相对速度和有效质量相关，可以用一个简化的力学模型理解：

工业实践里，常见的做法是：把协作速度限制在 250 mm/s 以内做基准，再做碰撞试验实测，用实测数据反推可接受速度上限。同时削减有效质量，比如改用轻量化夹爪、把重物重心靠近机器人手腕，都是重要的减伤手段。这套“力与速度”的参数组合，是写给机器人本体的“驯化处方”——处方开得好，碰撞只是“轻轻碰一下”而不是“撞伤”。

安全监控系统

猛犬要真正融入家庭，光有嘴套不够——它还得有“眼睛”和“耳朵”：孩子跑进走廊时，它能察觉；孩子追球冲出来时，它能立刻停住。机器人的“感官系统”就是安全监控系统，它是 SSM 和监控停止模式的硬件基础。

传感器是它的感官：安全激光扫描仪在机器人周围扫出一圈扇形“警戒线”，安全光幕在入口处拉起一道光束幕，3D 视觉/相机能识别人的位置和姿态，还有集成在关节里的力矩传感器，碰撞瞬间就能感知异常力。选型时，要考虑检测范围、响应时间、抗环境干扰能力（焊渣、粉尘、光线），就像选狗绳要考虑长度和承重一样。

但更重要的是“刹车回路”的设计。安全监控绝不是“软件里写个判断就行”，而是一条符合功能安全等级的硬件回路，核心原则是双通道冗余——两个独立的传感器和两个独立的控制通道同时监测，任何一路检测到危险都能触发停止，单点故障不会导致“瞎子看门”。这条回路还必须达到 PL d 以上的性能等级，用安全继电器或安全 PLC 实现，普通 PLC 不能承担安全功能。

监控系统的行为策略叫分级响应：人还远时，机器人全速运行；人进入警戒区，降速到 30%；人进入停止区，立即停机；人离开后系统自动恢复（有别于需要人工复位的急停）。前面可视化演示的正是这套逻辑。而 SSM 的间距设定，用最小安全距离公式来算：

安全监控系统就是机器人的“警觉神经系统”，设计得越完善，人和机器的“共舞”就越从容。

风险评估方法

把猛犬接回家的那个周末，你拿着本子满屋走：客厅里孩子会跑吗？茶几尖角会不会磕到？狗碗的位置会不会绊倒人？每发现一处隐患，就记一笔，分析“后果多严重、发生多频繁”，然后决定“要不要围起来、还是贴个警示条”。这套流程在机器人安全领域叫做风险评估，是整个安全设计的出发点和校验关。

风险评估有标准的方法论。首先是危险识别：沿机器人的全生命周期——安装、示教、自动运行、维护——列出每一个可能伤人的场景。然后是风险估量：对每个危险场景，用严重度和可能性两个维度打分。常用的工具是风险矩阵，把两项分数相乘得到一个风险值：

评估之后还要做风险降低，并且严格按三层顺序来：第一层，本质安全设计——从源头消除危险，比如改用圆角表面、降低速度；第二层，安全防护——用围栏、光栅、监控刹车把人隔开或挡住；第三层，使用信息——警示标志、培训、安全操作规程。顺序绝不能颠倒，就像不能先贴个“小心狗咬”的告示而不去给狗戴嘴套。

最后要记住：风险评估不是一次性的。工序变了、末端工具换了、人员流动了，都要重新走一遍流程。风险地图是动态的，安全设计也是动态的。

安全功能验证

一切参数都设好了，风险评估也做完了，但猛犬真的听话吗？你得带它去“考场”——让驯犬师现场测试：它能不能在突袭指令下瞬间停住？戴了嘴套后咬合力是否真在安全范围？这就是安全功能验证：用实测证明“设计上的安全”变成了“实际上的安全”。

验证方法多种多样，ISO 13849-2 给出了几条路径：分析（用计算公式验证停止距离是否满足要求）、测试（在机器人运动状态下进行动态碰撞试验，用专业碰撞测试仪实测力和压强）、测量（实际测量停止时间和停止距离，对比设计指标）、检查（核对安全回路的接线、双通道配置、文档是否齐全）。

动态碰撞测试是 PFL 模式里最重要的一环。测试时，把碰撞测试探头安装在机器人末端，以设定速度撞击探头，记录实测峰值压强，然后与标准限值判定：

验证完成后，还要做两件事：一是文档记录——把验证报告、风险评估表、参数设置、测试数据归档，这是设备验收、CE 认证和保险理赔的必备材料；二是周期复检——机械部件会磨损、参数可能被误改，每年或大修后要重新验证，像猛犬每年要通过“年检”一样。没有验证的安全设计，只是纸面上的安全。

AI 应用场景

Python 演示

"""协作机器人安全设计小工具：安全距离计算 + 风险评估矩阵"""import math  def compute_min_separation(human_speed=1.6, robot_speed=0.25,                           reaction_time=0.1, stopping_time=0.3,                           safety_margin=0.05):    """速度与距离监控(SSM)的最小间距估算（简化版 TS 15066）"""    s = (human_speed + robot_speed) * reaction_time \        + robot_speed * stopping_time + safety_margin    return s  def estimate_collision_force(mass_eff, speed_change, contact_time):    """用冲量定理估算瞬态接触的平均碰撞力"""    return mass_eff * speed_change / contact_time  def contact_pressure(force, area_mm2):    """由接触力和接触面积计算压强（MPa）"""    return force / area_mm2  class RiskAssessor:    """简易风险矩阵评估器"""     def __init__(self):        # 5x5 风险矩阵：行=严重度，列=可能性；值越大风险越高        self._matrix = [            [1, 2, 3, 4, 5],            [2, 4, 6, 8, 10],            [3, 6, 9, 12, 15],            [4, 8, 12, 16, 20],            [5, 10, 15, 20, 25],        ]     def assess(self, severity, likelihood):        """返回 (风险值, 风险等级, 是否必须采取防护措施)"""        if severity < 1 or severity > 5 or likelihood < 1 or likelihood > 5:            raise ValueError("严重度和可能性必须在 1~5 之间")        score = self._matrix[severity - 1][likelihood - 1]        if score >= 12:            level = "高风险"            action = "必须采取防护措施并重新评估"        elif score >= 6:            level = "中风险"            action = "需要采取措施降低风险"        else:            level = "低风险"            action = "可接受，保持监控"        return score, level, action  def main():    print("=== 协作安全设计示例 ===")    sep = compute_min_separation()    print(f"SSM 最小间距: {sep:.3f} m")     force = estimate_collision_force(2.0, 0.5, 0.1)    press = contact_pressure(force, 200.0)    print(f"估算碰撞力: {force:.1f} N，接触压强: {press:.3f} MPa")     r = RiskAssessor()    for severity, likelihood in [(2, 3), (4, 2), (5, 3)]:        score, level, action = r.assess(severity, likelihood)        print(f"严重度={severity}, 可能性={likelihood} -> 风险值={score} ({level})：{action}")  if __name__ == "__main__":    main()

1. def compute_min_separation(...)实现 TS 15066 的最小间距公式，输入人和机器人速度、响应时间与停止时间，输出安全距离，是 SSM 模式设计的第一步。
2. (human_speed + robot_speed) * reaction_time人在这段时间里能走近多少米，机器人也在运动，所以双方速度要相加。
3. + robot_speed * stopping_time + safety_margin加上机器人刹停期间继续前进的距离，以及一点不可见误差的余量。
4. def estimate_collision_force(...)用冲量定理 F=m·Δv/Δt 估算平均碰撞力，用于粗选力限值。
5. def contact_pressure(force, area_mm2)力除以接触面积得到压强，再与 TS 15066 的表格限值做比对。
6. class RiskAssessor一个 5×5 风险矩阵的轻量实现，把严重度和可能性两个维度映射为风险值。
7. r.assess(severity, likelihood)查矩阵表并自动给出风险等级和处置建议，对应风险评估环节的“打分决策”。

常见误区

面试题