机器人安全标准：机器人城市的上岗证考试

可视化演示

演示机器人安全标准ISO 10218/ISO 13482/ISO 13849的覆盖范围、安全性能等级PL与安全控制回路设计与风险降低。

标准体系总览

想象一座名为“自动化之城”的地方，成百上千台机器人涌进城门要工作。城门口开了三个窗口：第一个窗口给工业机械臂发“工业驾照”，对应 ISO 10218；第二个窗口给服务机器人发“家政上岗证”，对应 ISO 13482；第三个窗口给机器人的刹车与控制系统贴“安全评级标”，对应 ISO 13849。三个窗口都写着“安全”，考核内容却截然不同。

这三个标准其实在回答同一个问题——“机器人会不会伤人”，只是分工不同。ISO 10218 从工业机器人本体和生产线集成角度把关，比如机械臂有没有急停、工作站围栏够不够高；ISO 13482 从个人护理服务机器人的误用场景把关，比如小孩乱按遥控器时机器人会不会失控；ISO 13849 则像一个跨行业的通用“刹车评级所”，任何机械的安全相关控制系统都能拿它评级，不限于机器人。

具体来看，ISO 10218 分为 10218-1（机器人本体安全）和 10218-2（机器人工作站集成安全），主要面向工厂里的机械臂；ISO 13482 覆盖移动陪护、物理支撑、身体辅助三类个人护理机器人；ISO 13849 用 PL a～e 等级描述控制系统在危险失效面前的可靠性。三者叠加，构成“从机械到电控再到使用”的完整安全闭环。可以简单理解成一张分工表：10218 管“机器人的身体和工位”，13482 管“机器人家用服务资质”，13849 管“安全刹车系统的星级”。

回到城门比喻：工业驾照保证力气大的机械臂守规矩，家政服务证保证服务机器人在家里不乱来，刹车评级保证机器人失控时也能停下来。三章都盖齐，机器人才算真正“持证上岗”。下面逐个窗口深入了解。

工业机器人双证

工业机械臂像进工厂的重型卡车司机：光车况好不够，还得懂路况。ISO 10218-1 相当于“车检”，专门检查机器人本体：外壳有没有锐边、急停按钮是不是红色蘑菇头、每根轴有没有限位块、断电后手臂会不会因为重力下滑。这些都是出厂前就要做好的“体质测试”。

ISO 10218-2 相当于“路考”，看机器人装进生产线之后是否安全。它考察机器人作业半径、围栏与人的距离、安全光幕的布置位置、双手启动按钮是否会被误触，以及工人检修时如何安全进入工作站。简单说，卷一考“这台机器人本身安不安全”，卷二考“这台机器人装在车间后安不安全”。

技术细节上，10218-1 要求急停复位后机器人不能自动重新启动、单轴速度需要受限、末端执行器与工件的夹持也要满足防掉落要求；10218-2 则要求集成商重新做风险评估，围栏或光幕必须与安全控制系统联锁，并计算安全距离。协作机器人还要满足速度与力的监控，确保人可以和机械臂在同一个空间安全工作。这些要求的共同关键词是“联动”：不是装了急停按钮就完事，而是让检测、逻辑、执行三层真正配合起来。

考完科目一和科目二，工业机械臂才算双证齐全。但“双证”不是把机器人锁在笼子里，而是通过本体与系统的双重配合，让工人和机械臂共享一条产线时，既高效，又安全。

服务机器人规范

服务机器人要进家门，像保姆上岗前要考“家政服务证”。ISO 13482 面向个人护理服务机器人，场景里没有训练有素的安全员，只有老人、孩子和宠物，他们可能乱按按钮、挡住传感器，甚至坐在机器人身上休息。所以这本标准最强调的，就是“合理可预见的误用”。

它先把服务机器人分成三类：移动陪伴机器人（能在房间里跟着人走的陪护机器人）、物理支撑搬运机器人（帮人搬东西或托举身体的机器人）、身体辅助机器人（帮助行动不便者站立或行走的机器人）。三类机器人身处不同场景，风险各不相同，安全要求也不能一刀切。

技术上看，移动陪伴类要防碰撞、防夹脚，传感器盲区必须明确告知用户；物理支撑类要防超载、防倾倒，一旦检测到异常载荷要立即停止；身体辅助类要防关节过度施力或失稳，涉及人体承重的部位要有多重冗余保护。ISO 13482 要求开发者针对每类机器人设定安全功能，比如限速、力矩限制、紧急停车，并通过风险评估决定安全功能的触发阈值。评估时还要模拟误用场景，比如儿童把玩具塞进电机散热口，或者老人用遥控器把机器人开向楼梯。

就像保姆证要考“孩子会乱跑”一样，ISO 13482 考的是“外行会误用”。服务机器人走出实验室之前，必须通过真实家庭场景的模拟测试，而不是只在研究员手里乖巧听话。

控制安全评级

无论机械臂还是陪护机器人，最关键的共同点是“能不能安全刹住”。ISO 13849 把“刹车”分成五级，从 PL a 到 PL e。PL a 像自行车刹车，能停但可靠性有限；PL e 像民航客机的多重冗余制动，坏了一个刹车单元，还有备份继续工作，飞机仍能安全降落。

这个评级不看机器人漂不漂亮，只关心安全相关控制系统有多可靠，比如急停回路、安全 PLC、光幕联锁是否在真正危险时能按要求动作。它用 PFHd 表示“每小时危险失效概率”，比如 PFHd = 1×10⁻⁷，意思是这种刹车平均工作一亿小时才可能发生一次危险失效。

ISO 13849 判定 PL 等级，主要由三个输入共同决定：结构类别 Category（电路怎么做冗余）、诊断覆盖率 DC（系统能发现自己多大比例的故障）、平均危险失效前时间 MTTFd（元件平均能撑多少年）。用一个简化单通道模型可以直观感受它们的关系：

刹车评级越高，意味着系统冗余和自检能力越强，成本也随之上升。选择哪个 PL 等级，要根据风险评估结果来定，而不是闭着眼睛买最贵的“飞机刹车”。

风险评估三步

上岗证考试的第一步不是做题，而是体检和问诊：机器人执行什么任务？谁会被它伤到？伤得有多重？在 ISO 12100 的框架里，风险评估像医生问诊，先把所有可能的受伤情况一条条列出来，再判断严重程度和发生可能性，最后给出“病情分级”。

常用的直觉模型是风险等于三个因素相乘：严重度 S、暴露频率 E 和发生概率 P。S 是“伤得多重”，E 是“人多久进入一次危险区”，P 是“危险真的发生的可能性”。三者都高，风险就是红色警报；只要把其中一个大幅降低，风险就能从红色降到黄色甚至绿色。

得出风险值之后，还要用三步法把风险降下来：第一步本质安全设计（消除危险），比如去掉锐边、降低电压；第二步安全防护（隔离或检测），比如加围栏、光幕、联锁门；第三步使用信息（提示与培训），比如警示标识和操作规程。每一步之后都要重新评估，直到剩余风险低到可接受。

安全考核不是一次性的。机器人改造、换人、改工艺，风险就会重新冒头。就像体检报告不能保证三年健康，风险评估必须随着系统变化迭代复审。

安全系统工程

有了评估和评级，还要把安全落实成体系。一家航空公司不只买好飞机，还要有机场、机务、签派和完整档案。机器人安全同样如此：不能靠一台“看起来很安全的机器人”单打独斗，而要靠整个安全系统工程的协作。

工程上首先根据风险评估结果确定“所需性能等级 PLr”——也就是说，这条安全回路到底需要几颗星的刹车。然后进入安全控制系统设计：传感器、逻辑控制器、执行器三个环节，要选择一个合理的结构类别。

设计的关键是让系统“失效也安全”。比如 Cat 3 结构采用双通道设计，一个通道坏了，另一个通道还能把机器人停下来；同时要求足够的 DC，让系统能及时发现自身故障；还要选择 MTTFd 足够长的可靠元件。设计完成后要量化验证：用刚才的公式计算 PFHd，看是否满足 PLr；再通过故障注入测试做确认，比如故意断开急停线，检查机器人的确会安全停止。所有评估表格、计算草稿、测试记录都要归档，形成可追溯的安全档案。

自动化之城的档案袋里，装着每一台机器人的体检表、评级计算和测试视频。没有这些档案，“持证上岗”只是一句空话；有了它们，安全才从口号变成工程闭环。

落地合规认证

最后是发证和年年复检。实际产线中最常见的动作是布置安全光幕、围栏和联锁门，并划分协同作业区。这些动作不是拍脑袋，而是根据风险评估和 PL 要求算出来的。

安全光幕要按人员的接近速度计算安装距离，光幕一旦被遮断，机器人立即进入安全停止状态；围栏的高度和开口尺寸要防止人员跨越或伸手进入；联锁门打开时，机器人必须停在安全位置，不能等工人伸手进去才急停。协同作业区里，机器人要进行速度与力的实时监控，与人类共享空间但保持安全阈值。

认证流程通常包括：输出风险评估文档、明确 PLr、完成安全控制系统设计文件、准备 CE 标志所需技术资料，再委托第三方检测机构做验证和确认。对于出口欧洲的机器人设备来说，这些文件与硬件本身同样重要，因为审查员会逐条追溯从危险源识别到安全措施落地的完整链条。

机器人的“上岗证”不是贴在墙上的铁牌，而是每天运行时围栏里那束看不见的光幕、那扇上了联锁的门，以及一份随时经得起复查的安全档案。遵守标准，本质上是把“不出事”从愿望变成工程纪律。

AI 应用场景

Python 演示

def calc_pfh(dc, mttfd_years):    # 计算每小时危险失效概率PFHd    return (1 - dc) / (mttfd_years * 8760)  def map_to_pl(pfh):    # 根据PFHd区间映射到PL等级    if 1e-8 <= pfh < 1e-7:        return "PL e"    if 1e-7 <= pfh < 1e-6:        return "PL d"    if 1e-6 <= pfh < 3e-6:        return "PL c"    if 3e-6 <= pfh < 1e-5:        return "PL b"    if 1e-5 <= pfh < 1e-4:        return "PL a"    return "不满足PL等级"  def assess_risk(sev, exp, prob):    # 按R=S*E*P给风险分级    risk = sev * exp * prob    if risk >= 12:        return "高风险", risk    if risk >= 6:        return "中风险", risk    return "低风险", risk  def main():    # 案例1: 汽车产线机器人急停回路    pfh = calc_pfh(dc=0.9, mttfd_years=50)    print("急停回路PFHd:", pfh)    print("对应PL:", map_to_pl(pfh))    print("工位风险评估:", assess_risk(4, 3, 3))     # 案例2: 家庭陪护机器人    print("陪护场景风险评估:", assess_risk(2, 2, 1))    pfh2 = calc_pfh(dc=0.99, mttfd_years=100)    print("陪护机器人刹车PFHd:", pfh2)    print("对应PL:", map_to_pl(pfh2))  if __name__ == "__main__":    main()

1. def calc_pfh(dc, mttfd_years):定义“每小时危险失效概率”的计算入口，对应文中的刹车评级公式。
2. return (1 - dc) / (mttfd_years * 8760)漏检故障比例除以总运行小时数，得到 PFHd。
3. def map_to_pl(pfh):把 PFHd 数值映射到 PL a～e 等级，相当于给刹车贴星级标签。
4. assess_risk(sev, exp, prob)实现 R = S × E × P 的风险矩阵打分。
5. if risk >= 12:风险值大于等于 12 定为高风险，对应可视化中的红色区域。
6. print("对应PL:", map_to_pl(pfh))直接输出控制系统达到的安全等级，方便写进评估报告。

常见误区

面试题