-珞石科技：韓峰濤
珞石科技致力于成為國內(nèi)頂尖的機(jī)器人控制系統(tǒng)及小負(fù)載六軸工業(yè)機(jī)器人的供應(yīng)商，我們引入最頂尖的技術(shù)，進(jìn)行持續(xù)的研發(fā)投入，只為向客戶提供最好用的六軸工業(yè)機(jī)器人。
喜歡機(jī)器人同學(xué)想必對阿西莫夫的機(jī)器人三大定律耳熟于心：
機(jī)器人不得傷害人類，或坐視人類受到傷害；
除非違背第一法則，機(jī)器人必須服從人類的命令；
在不違背第一及第二法則下，機(jī)器人必須保護(hù)自己；
先不去討論這三大定律是否完備，只認(rèn)真思考這三句話背后的意義，我們會發(fā)現(xiàn)實(shí)際上三大定律最重要的目的只有兩個(gè)字：安全。
如果把三大定律概括成一句話，那應(yīng)該是：在保證人類和機(jī)器人安全的情況下，完成人類指定的任務(wù)。
技術(shù)的發(fā)展使得人們可以制造越來越精密、先進(jìn)的機(jī)器人，但新機(jī)器人尤其是民用機(jī)器人更多考慮其功能性，而對安全性考慮較少，這一現(xiàn)象在國內(nèi)尤其嚴(yán)重。眾多移動式的所謂“服務(wù)機(jī)器人”中，有多少完成了或者至少考慮過進(jìn)行安全認(rèn)證？
除去缺乏安全認(rèn)證的意識外，人們還常常把可靠等同于安全，但可靠 ≠ 安全 。IEC 61508中規(guī)定了系統(tǒng)安全的生命周期，在整個(gè)周期中安全問題始終是與系統(tǒng)功能分開獨(dú)立考慮的，以避免功能可靠性最終會產(chǎn)生安全的假設(shè)，安全性必須要被證明（Proved）！
在整個(gè)機(jī)器人行業(yè)中，除去軍用及某些特種機(jī)器人，只有工業(yè)機(jī)器人的安全規(guī)范相對健全，因此，這一系列文章將以從工業(yè)機(jī)器人（機(jī)械臂）的角度來對機(jī)器人的安全功能進(jìn)行介紹，以下以機(jī)器人代替工業(yè)機(jī)器人/機(jī)械臂。
由于水平所限，文中不足或錯(cuò)誤之處歡迎。
機(jī)器人行業(yè)主要涉及的規(guī)范
IEC EN 61508 《電氣/電子/可編程電子安全相關(guān)系統(tǒng)的功能安全》（Functional Safety of Electrical/Electronic/Programmable Electronic Safety-related Systems (E/E/PE, or E/E/PES）；該標(biāo)準(zhǔn)是工業(yè)安全領(lǐng)域的通用標(biāo)準(zhǔn)，既可以用作編寫細(xì)分領(lǐng)域安全標(biāo)準(zhǔn)的基礎(chǔ)，也可以在沒有專用安全標(biāo)準(zhǔn)的領(lǐng)域中直接應(yīng)用。
IEC 60204-1 《 機(jī)械安全 機(jī)器電氣設(shè)備 第1部分 一般要求》（Safety of machinery – Electrical equipment of machines –Part 1: General requirements），停止類別1/2/3即出在該標(biāo)準(zhǔn)；
EN 954-1 安全類別Category B, 1, 2, 3, 4的概念出自該標(biāo)準(zhǔn)，已經(jīng)于2011年12月31日廢止；
EN ISO 13849-1 《機(jī)械安全-控制系統(tǒng)安全相關(guān)部分-第一部分：設(shè)計(jì)總規(guī)則》（Safety of machinery -- Safety-related parts of control systems -- Part 1: General principles for design），用于替代EN 954-1；
IEC61800-5-2 《Adjustable speed electrical power drive systems - Part 5-2: Safety requirements - Functional》，對應(yīng)國標(biāo)號為GB/T 12668.5.2 《可調(diào)速的電動設(shè)備標(biāo)準(zhǔn).第5-2部分: 功能安全要求》。該標(biāo)準(zhǔn)主要針對安全編碼器、安全伺服驅(qū)動器（STO、SOS、SLS、SBC、Safety Stop 1/2等功能）、伺服電機(jī)等系統(tǒng)提出了功能安全要求。
ISO 10218-1/2《Robots and robotic devices-Safety requirements for industrial robots》最新的機(jī)器人安全規(guī)范，分為1和2兩部分：
ISO10218-1介規(guī)定了機(jī)器人在設(shè)計(jì)和制造時(shí)應(yīng)遵循的安全原則；
ISO10218-2規(guī)定了在機(jī)器人的集成應(yīng)用、安裝、功能測試、編程、操作、維護(hù)以及維修時(shí)，對人身安全的防護(hù)原則。
ISO-TS 15066-2016 《Robot and Robotic Devices - Collaborative Robots》，這是專門針對協(xié)作機(jī)器人編寫的安全規(guī)范，同時(shí)也是ISO 10218-1和ISO 10218-2關(guān)于協(xié)作機(jī)器人操作內(nèi)容的補(bǔ)充。隨著商業(yè)級和消費(fèi)級機(jī)器人的不斷發(fā)展壯大，相關(guān)的標(biāo)準(zhǔn)也正在慢慢完善。對這個(gè)話題感興趣的知友可以關(guān)注一下最新的個(gè)人護(hù)理機(jī)器人安全規(guī)范：
ISO 13482-2014 《Robots and robotic devices -- Safety requirements for personal care robots》。
重要概念
功能安全（Functional Safety）
我們在各種各樣的機(jī)器人說明書或者文獻(xiàn)中經(jīng)常會看到功能安全（Functional Safety）的概念，那么什么是功能安全呢？
功能安全一詞最早出現(xiàn)在Neil Storey在1996年出版的《Safety Critical Computer Systems》。
在這本書中，Storey定義了系統(tǒng)安全的三個(gè)方面：
Primary Safety，主要關(guān)注硬件/機(jī)械對人體造成直接傷害，例如漏電、高溫燙傷等；
Functional Safety，功能安全是整個(gè)系統(tǒng)安全的一部分，它與設(shè)備能否正確的執(zhí)行其設(shè)計(jì)功能有關(guān)（包括出現(xiàn)人員操作失誤、軟硬件失效以及環(huán)境發(fā)生變化的情況時(shí)）。人們在操作/使用設(shè)備時(shí)總會面臨各種各樣損害身體健康甚至危及生命的風(fēng)險(xiǎn)，功能安全的目標(biāo)是把人從這種不可接受的風(fēng)險(xiǎn)中解放出來。例如協(xié)作機(jī)器人在工作時(shí)，內(nèi)置的傳感器會監(jiān)控運(yùn)行速度和輸出力矩，如果與人員發(fā)生碰撞，會立刻停止機(jī)器人的運(yùn)行，保證機(jī)器人的碰撞力和對外輸出的能量不超過一定的限值，防止對人體造成嚴(yán)重傷害，這就是功能安全的一個(gè)實(shí)例。不具備功能安全特性的傳統(tǒng)工業(yè)機(jī)器人，即使廠商宣傳他的機(jī)器人系統(tǒng)經(jīng)過多重測試，不會出現(xiàn)程序跑飛撞到人的情況，我們也不能說他的機(jī)器人是安全的，因?yàn)檫@個(gè)機(jī)器人沒有采用有效的機(jī)制來檢測及降低故障發(fā)送的可能性。
Indirect Safety，主要是指電子信息系統(tǒng)的安全，關(guān)注由于錯(cuò)誤的信息（Information）輸入而導(dǎo)致給出錯(cuò)誤的輸出信息。例如醫(yī)療系統(tǒng)中，通常會建立病人數(shù)據(jù)庫，如果病人數(shù)據(jù)庫出錯(cuò)，那么可能會導(dǎo)致后續(xù)的診斷出錯(cuò)。
停止類別（Stop Category）
在每一個(gè)機(jī)器人的安全操作手冊中，都會看到停止類別 1/2/3或者STOP 1/2/3的字樣，這是什么意思呢？
停止類別規(guī)定了機(jī)器人（機(jī)電設(shè)備）三種不同安全級別的停止方式。
由于不太喜歡將Actuator翻譯成“致動器”，故下文中一律以電機(jī)代替Actuator。
停止類別0，又稱Stop 0：立即切斷電機(jī)的動力電源。由于電機(jī)在減速的過程中失去了動力，無法控制，所以機(jī)器人會偏離預(yù)先定義的運(yùn)行軌跡，是一種不受控的停止方式；大部分的急停按鈕實(shí)現(xiàn)的停止就是Stop 0，依靠剎車系統(tǒng)來停止機(jī)器人。
停止類別1，又稱Stop 1：控制器控制電機(jī)減速到停止后，再切斷動力電源。這是一種受控的停止方式，機(jī)器人基本上會按照預(yù)先定義的軌跡完成減速；在最新的機(jī)器人系統(tǒng)中，由于安全控制器技術(shù)的使用，急停按鈕觸發(fā)的停止大多數(shù)屬于這種停止（手動模式下除外），以保護(hù)剎車系統(tǒng)。
停止類別2:，又稱Stop 2：完全通過伺服系統(tǒng)減速，停止后不切斷動力電源，電機(jī)仍處于通電狀態(tài)，是完全受控的停止方式；現(xiàn)在機(jī)器人的程序停止均屬于此類。
SIL是Safety Integrity Level的縮寫。
在IEC61508 Part4中，對Safety Integrity Level的描述為：
the likelihood of a safety-related system satisfactorilyperforming the required safety functions under all the stated conditions,within a stated period of time.
SIL是對系統(tǒng)失效概率的描述，并不是某個(gè)確切的數(shù)值，描述了對于某個(gè)安全功能而言，其發(fā)生危險(xiǎn)失效的可能性大??；
SIL適用于無法給出準(zhǔn)確的風(fēng)險(xiǎn)數(shù)值，而只能進(jìn)行定性分析的場合，共分為4個(gè)級別，即SIL1、SIL2、SIL3、SIL4。
SIL將系統(tǒng)分成了兩種，一種是連續(xù)操作型，一種是按需/Low-Demand型；對于連續(xù)操作型的系統(tǒng)，SIL的定義為 一小時(shí)內(nèi)發(fā)生危險(xiǎn)失效的概率；對于按需/Low-Demand型系統(tǒng)來說，SIL的定義是 響應(yīng)單次需求時(shí)發(fā)生危險(xiǎn)失效的概率。
"Low-Demand": no greater than one demand peryear.
以下圖為例，對于符合SIL2要求的協(xié)作機(jī)器人系統(tǒng)（市面上大多數(shù)機(jī)器人都可以達(dá)到這個(gè)要求），每小時(shí)撞你一次，大概需要連續(xù)撞100年以上才會發(fā)生一次撞了沒停的情況。
功能安全認(rèn)證
基于IEC 61508, IEC 61511, IEC 61513, IEC 13849-1, IEC 62061, IEC61800-5-2, EN ISO 13849-1等標(biāo)準(zhǔn)，對安全設(shè)備的安全完整性等級(SIL)或者性能等級(PL)進(jìn)行評估和確認(rèn)的一種第三方評估、驗(yàn)證和認(rèn)證。
大部分認(rèn)證是先把產(chǎn)品做出來，然后拿著成品去做認(rèn)證。而做功能安全認(rèn)證時(shí)，相關(guān)認(rèn)證機(jī)構(gòu)在產(chǎn)品研發(fā)的最開始階段就會介入，并在之后的全流程都會參與，所涉及的內(nèi)容包括：針對安全設(shè)備開發(fā)流程的文檔管理(FSM)評估、硬件可靠性計(jì)算和評估、軟件評估、環(huán)境試驗(yàn)、EMC電磁兼容性測試等內(nèi)容。
最常見的安全認(rèn)證機(jī)構(gòu)就是德國的TüV 以及美國的UL：
