5.4 安全与人机协作

5.4 安全与人机协作

本节摘要：机器人伤人的门槛比想象中低——40 牛顿的持续挤压力就能造成不可逆伤害。本节按功能安全的思路梳理风险层级、协作机器人的安全设计（速度与间距监控、功率力限）、以及人机交互设计的心理学账本。

安全不是功能，是一套分层体系

把安全理解成"加个急停按钮"，是集成项目里最贵的误解。功能安全的思路是分层设防，每一层独立起效，上层失效下层兜底。工业标准（ISO 10218 系列与协作应用技术规范 ISO/TS 15066）给出的分层，按"距离人由远到近"排列：

注意监控区的速度策略是连续的：人在远处全速，进入第一分区降到三成，进入第二分区蠕行，踏入保护区即停——这不是"一根线画到底"，而是一条把"距离"翻译成"动能预算"的曲线。ISO/TS 15066 给出了人体各部位的力学极限，手部可承受的挤压力约 140 牛顿（瞬时）、面部区域低到 65 牛顿量级，这些数字反过来决定允许的速度与质量组合。

图：协作区内的速度-距离分级防护

协作设计的两条技术路线

速度与间距监控适合大工作半径：机器人不需要停，只要能证明"人到达之前我可以停住"。核心计算是安全距离公式——机器人当前速度、制动时间、人最快接近速度（标准取 1.6 m/s 步行速度、1.0 m/s 手部伸展）代入，得到最小允许间距。它让协作与效率兼容：人在隔壁工位，机器人不必陪停。

**功率与力限（PFL）**适合贴身作业：机器人允许接触人，但接触力被限制在生物极限内。实现上有两条路：用关节电流估计外力（省传感器，估计精度有限），或装关节力矩传感器（准，贵）。设计核验的标准动作是"人体部位模拟器"实测挤压力——设计图纸上通过不算数，要在最坏位姿实测。

人机交互的心理学账本

安全之外还有一套"信任与预期"的软问题，处理不好同样出事故：

• 可预测性压倒聪明：机器人突然绕出一条"更聪明"的路线，人会被惊到。交互设计的金律是让运动轨迹常规化——像公交一样走固定线路比"灵机一动"更安全，也更快建立信任；
• 意图要表达：转弯前减速并稍作停顿、让行时后撤半步，是机器人的"打转向灯"。灯光与声音信号有效，但必须前后一致——信号语义一变，信任崩得比建立快十倍；
• 过失要归因正确：人拦了机器人一下，机器人重规划绕行，这是协作；但如果每次被人拦都原地"僵死"两分钟，工人很快学会用身体"关掉"机器人——糟糕的交互会主动训练人做出不安全行为。

⚠️ 常见坑：把协作机器人（cobot）当安全证书用。cobot 的"协作"是能力不是许可——装上尖锐夹爪、挂上锋利工件之后，力限设计的前提已不存在，必须重新做风险评估。安全永远属于"应用"，不属于"机型"。

本节要点

• 安全是分层体系：停止、手引导、速度间距监控、功率力限，逐层兜底，急停只是其中一环。
• 速度与间距监控把"距离"翻译成"动能预算"，最小安全距离由制动特性与人体接近速度反算。
• PFL 路线的核验标准是最坏位姿的实测挤压力，图纸通过不算数。
• 交互的心理学账本同样影响安全：可预测、能表意、归因正确，否则人会主动训练出不安全行为。

风险评估流程：安全设计的起点

安全体系从一份正式的风险评估开始，流程四步。任务分解：把应用拆成原子任务（搬运、放置、人机交接），每个任务单独评估。危害识别：对每个任务列出危害源（夹伤、撞击、坠落、卡滞）与暴露场景（谁、在什么姿势、离多远）。风险量化：按"严重度乘暴露频率乘可回避性"给每个危害打分——这是标准的三要素法。措施分配：分数超限的危害必须配置措施，措施按优先级依次是本质安全设计（消除危害源，如降低速度）、工程防护（分区监控、光幕）、信息与培训（告警标识、操作规程）——注意顺序不可倒置，靠培训兜底的设计在评审里应被直接打回。评估文档随项目归档，任何设计变更触发增量评估。

急停的三级与测试

急停不是"一个按钮"而是分级体系。零级停（立即断动力，最猛）用于直接危险，代价是机械冲击与位姿丢失；一级停（受控减速到停）用于多数协作场景，机器人沿原轨迹减速；二级停（保持当前状态暂停）用于可恢复的暂停。按钮之外的触发源应当多路冗余：安全扫描仪的保护区、软件安全节点的判定、远程停机指令，任何一路触发都进入急停状态机。测试要求按"最坏组合"来：满速满载时触发、通信中断时触发、单个安全传感器失效时其余仍有效。急停响应时间（从触发到动力切断）是必测项，典型要求零点五秒以内，它直接进入安全距离的计算。

问题：协作区里人很多怎么办

人数多到无法逐个监控时，设计思路要从"跟踪每个人"切换到"空间管控"。手段按侵入度排序：地面标线加扫描仪的静态分区（进入即降速，不区分是谁）；光幕或围栏把人引导到固定通道（把自由行走变成可预测动线）；时分策略（人与机器人分时占用同一区域，用信号灯同步）。服务业态里最有效往往是"动线设计加时分"的组合——把安全建立在环境结构上而不是纯感知上，这与第 1 章的"环境承诺"思想同源：能承诺的部分交给结构，不能承诺的部分才留给算法。

补协作机器人安全实施的三道防线与验收。第一道，设计防线：速度与分离监控（人与机器人距离小于阈值即降速停机，靠安全级激光扫描仪或深度相机实现区域分级——警告区减速、保护区停止）；第二道，工程防线：安全 PLC 与双通道急停、力矩限制（碰撞后毫秒级检测异常力矩停机）；第三道，验证防线：按协作机器人标准做碰撞测试（特定部位以限定速度接触测压痛限值），留存报告。验收时最常被忽视的一项是安全功能的周期性证明——安全扫描仪的被遮挡、急停按钮的失效都要在点检清单里，否则产线挪个料架就把保护区的盲区改出来了。安全的最后一课：任何一道防线的参数（减速阈值、保护区间距）都不是抄来的，要用你的机器人参数（质量、速度、停止距离）算出来——抄参数的安全系统是纸糊的。