机器人出事故，多半不是机器坏了，而是安全设计没做够：围栏、光栅、安全距离、风险评估，每个词背后都是一条硬要求。本手册整理安全与标准 50 个词条，按标准法规、风险评估、协同作业、安全装置、空间与验证五组排列，供采购审核方案、工程师做安全设计与验收签字时对照；与选购直接相关的问题，另见协作机器人怎么选与机器人安全合规 15 问。

一、标准与法规

机器人安全标准（Robot Safety Standards）

对机器人本体、集成系统与协同作业提出强制性或推荐性安全要求的文件体系。国际上以 ISO 10218 系列为主干，中国对应转化为 GB 11291 系列，美国有 ANSI/RIA R15.06。采购合同里写「符合 XX 标准」时，要写清版本号与适用范围，否则验收时没有可判定的依据。

ISO 10218-1（工业机器人安全要求·本体）

ISO 工业机器人安全标准的本体部分，规定机器人整机的安全设计要求：限位装置、急停、控制系统的安全性能、轴速度限制、示教器要求等。本体厂商的合规责任集中于此；2025 年发布修订版，将协同作业相关要求并入主标准，新旧版本适用以 ISO 公告为准。

ISO 10218-2（机器人系统与集成）

ISO 10218 系列的集成部分，面向把机器人装进产线的人：工作空间布局、防护装置选型、安全距离计算、风险消除、验证与信息文件。顺德项目里常见的责任划分问题正源于此——本体符合标准不等于集成后的工作站符合标准，集成方须做系统级评估。

ISO/TS 15066（协作机器人技术规范）

2016 年发布的协作作业技术规范，给出了四种协同作业方法、人体各部位的疼痛起始阈值与功率/力限值计算方法，是协作机器人落地的量化依据。据公开信息，其内容已在 ISO 10218 的 2025 年修订中被并入主标准，实务中两份文件仍常被一同引用。

GB 11291（工业机器人安全国标）

中国工业机器人安全强制性国标系列：GB 11291.1 对应本体安全要求，GB 11291.2 对应机器人系统与集成，技术内容分别转化自 ISO 10218 的对应部分。在国内落地验收的项目，合同与验收单引用 GB 11291 比引用 ISO 更有约束力，原文可在国家标准全文公开系统查阅。

GB/T 36008（协作机器人国标）

中国协作机器人领域的推荐性国标，技术路线与 ISO/TS 15066 一脉相承，覆盖协同作业场景识别、功率与力限制、人体部位阈值等内容。国产协作机器人厂商宣称「符合协作标准」时，采购可要求指明具体是 GB/T 36008 还是 ISO 文件及版本。

ISO 12100（机械安全·风险评估通则）

机械安全的顶层方法论标准，给出「危险识别—风险评估—风险减小」的完整流程与迭代逻辑，机器人安全评估是它在具体机种上的应用。所有安全标准的思路源头都可追溯到这里的两步：先本质安全设计，再谈防护与告知。做整线安全方案，先按它搭框架。

ISO 13849-1（安全控制系统与 PL）

规定控制系统安全相关部件的设计方法与性能等级（PL，从 a 到 e 五级）的评定规则，由类别、诊断覆盖率（DC）、共因失效（CCF）等参数共同决定。机器人围栏门锁、光栅到安全回路的整条链路要凑够方案所需的 PLr，缺一段都算没达标。

IEC 62061（功能安全·SIL）

与 ISO 13849 并行的功能安全标准，用安全完整性等级（SIL 1—3）评价电气/电子/可编程电子安全系统。两个体系的参数不同但目标一致，项目里常见「PL 与 SIL 换算表」；采购不必纠结用哪套，关键是安全功能链路整体满足等级要求并留有验证记录。

ISO 13855（防护装置定位）

规定光栅、地垫等防护装置安装位置的标准，核心是公式 S=K×T+C：K 为人体接近速度（光栅典型取 1600mm/s），T 为停机总时间（含控制系统与机器制动），C 为侵入裕量。现场核查安全距离时，供应商样本里的制动时间是关键输入，须用实测数据。

ISO 13857（触及安全距离）

规定人可能通过开口、缝隙、护栏上方或下方触及危险区的最小距离表，按开口大小与危险区高度给出对应数值。围栏高度不够、开口过大导致「探进去就够得到机械臂」，是现场审核最常见的扣分项，可直接用这份标准的表格对照整改。

ANSI/RIA R15.06（美国机器人安全标准）

美国机器人安全标准，主体采纳 ISO 10218 内容并附加美国本土要求；对美出口设备绕不开。其后续扩展的 R15.08 覆盖工业移动机器人（AMR/AGV）安全，是移动机器人出海美国市场的参考基准。做北美订单前，先确认客户验收按哪个版本执行。

二、风险评估与安全功能

危险源识别（Hazard Identification）

系统列出机器人工作区内所有可能致害来源的过程：机械撞击与夹持、电气、激光、噪声、工件飞出、人为误操作等。识别要按任务逐项做（装卸料、示教、换刀、清障各有不同暴露方式），漏识别一项，后面的防护设计就整体缺一块。

风险矩阵（Risk Matrix）

把「伤害严重度 × 发生概率 × 规避可能性」映射到风险等级（通常高/中/低）的工具，是风险评估报告的核心图表。它的用途是排序与定级：高风险项必须技术防护，中风险项看可行性与成本，低风险项可接受但要告知。矩阵打分尺度不同项目会不同，合同里应约定方法。

三步法风险减小（3-Step Method）

ISO 12100 规定的风险减小时序：先本质安全设计（改工艺、改布局、降速），再技术防护（围栏、光栅、安全功能），最后才是信息与培训（警示标识、操作规程）。顺序不能倒——「贴个警示牌了事」属于第三步越位顶替第一步，验收与事故认定都不认可。

任务型风险评估（Task-Based Risk Assessment）

按「人做什么任务、机器做什么任务、两者何时交汇」逐项评估的方法，协作应用尤其依赖它。同一台协作机器人，投料时段与清障时段的暴露完全不同，防护措施也要分别规定。评估报告应有任务清单、对应危险、措施与验证结果四列，缺一列都不完整。

类别（Category B/1/2/3/4）

ISO 13849 对安全控制回路结构可靠性的分级：B 为基础要求，1 提高元器件可靠性，2 带周期检测，3 单一故障不失效，4 单一故障不失效且故障可承受。类别越高冗余越多、成本越高。常见误区是把 Cat 3 理解为「双倍价格」，实际取决于回路结构与元器件选择。

诊断覆盖率（Diagnostic Coverage, DC）

安全相关部件故障被诊断机制发现的比率，以百分比计，与元器件可靠性（MTTFd）共同决定回路的 PL。通俗讲就是「坏了能不能马上知道」：带交叉监测的光栅回路 DC 高，裸继电器回路 DC 低。方案评审时问一句 DC 取值依据，能筛掉一批水份。

共因失效（Common Cause Failure, CCF）

两个「冗余」通道因同一原因（共用电源、同批缺陷、同一干扰）同时失效的情形，是冗余设计的主要漏洞。ISO 13849 用计分制评估防共因措施（隔离、多样性、防护等）。采购审核双通道安全回路时，可要求供应商说明共因失效防范措施，而不是只看「双路」字样。

停止类别（Stop Category 0/1/2）

三类受控停止方式：0 类立即切断动力（急停常用）、1 类受控减速后断动力（大惯性负载常用）、2 类受控停止但保持动力（用于可恢复暂停）。安全设计要按负载特性选停止类别——大惯性问题用 0 类急停反而可能因失控滑行放大风险，这是方案评审的常见盲区。

安全扭矩关断（STO, Safe Torque Off）

按 IEC 61800-5-2 定义的驱动级安全功能：切断电机扭矩输出但不切断驱动供电，机器失去动力而不抱闸滑落，恢复快、对驱动损耗小。常用于防护门打开时让机械臂「安全失力」。与之同族的还有 SS1、SS2（安全停止 1/2）等驱动集成安全功能。

安全限速（SLS, Safely-Limited Speed）

由安全控制系统监控并强制限定机器人或轴的运行速度上限，超速即触发安全反应。典型用法：围栏门打开进入协同区域时切到 250mm/s 安全限速，人机共存且不需整机停机。SLS 让「停与不停」之间多了可调档位，是柔性产线常用的安全功能。

三、协同作业

协同工作空间（Collaborative Workspace）

协同应用中机器人（含工件）与人员可以同时存在的作业空间，由风险评估划定并在现场标识。它的边界不必等于围栏内空间，也可能只在某个时段激活。现场验收要核对：标识是否清晰、进入条件是否与评估文件一致、混合使用时的切换是否有联锁。

安全额定受监控停止（Safety-Rated Monitored Stop）

四种协同方法之一：人在协同工作空间内作业时，机器人停在由安全系统监控的位置，一旦越界即触发安全功能。适合「机器人固定、人来回走动」的装配工位。它的成本低于力控方案，但人的任务与机器的任务必须能清晰分段，否则节拍会被拖垮。

手引导（Hand Guiding）

四种协同方法之一：操作员通过装在末端附近的手引导装置（通常带三位置使能与力传感）直接拖动机器人完成示教或近距离作业。常用于大件搬运与批量示教。选购时注意引导装置的安全等级与急停集成方式，避免「能拖动但没有安全监控」的伪手引导。

速度与间隔监控（SSM, Speed and Separation Monitoring）

四种协同方法之一：用激光扫描仪等感知设备实时监控人与机器人的距离，按间隔动态调整机器人速度，太近则降速直至安全停止。相当于「会看人的围栏」。部署要点是扫描仪的保护区/警告区参数设定与场地地图管理，人员密集场景需评估遮挡。

准静态与瞬态接触（Quasi-static / Transient Contact）

ISO/TS 15066 对人机接触的两分法：准静态指人体被夹在机器人与固定物之间（持续压迫，阈值低、更危险），瞬态指碰撞后弹开（冲击，阈值相对高）。这个区分直接决定功率与力限制的整定值——布局上先消除夹持点，比事后调低力限制更有效。

疼痛起始阈值（Pain Onset Threshold）

ISO/TS 15066 给出的人体各部位（按 29 个部位建模）开始感到疼痛的力/压强限值，是功率与力限制整定的量化底线。不同部位阈值差异很大，同一速度下对手指和肩膀的允许接触力不同。选协作方案时，可要求供应商给出接触力测算依据而非一句「符合标准」。

混合应用（Mixed Application）

协同机器人装在围栏内或防护空间内运行的用法——「协作机器人＋围栏」并不矛盾，反而常见：高风险工序用围栏隔离，取放口用光栅，人在围栏外操作。采购协作机器人不等于可以取消防护，是否需要围栏由风险评估说了算，而不是由销售话术说了算。

协同应用确认（Collaborative Application Verification）

协同方案落地后的实测确认：用测力装置实测接触力/压强是否低于限值、验证速度切换与停止功能、核对标识与规程。这一步是 ISO 10218 集成方责任的一部分，验收时应索取实测报告。顺德采购方在终验收清单里应把「协同确认报告」列为单列项。

四、安全装置与回路

安全 PLC（Safety PLC）

内置冗余处理器与自诊断、通过功能安全认证的可编程安全控制器，用于集中处理光栅、门锁、急停、扫描仪等安全信号并驱动安全输出。相比硬接线安全继电器方案，它布线少、逻辑可改、便于记录诊断数据，是多工位产线的主流选择；编程与修改须按权限与流程管理。

安全继电器（Safety Relay）

带强制导向触点与内部自监测的安全继电器，是最小单位的安全逻辑元件，常用于单机或简单回路的急停、门锁监控。优点是直观、便宜、免编程；缺点是回路复杂后接线量与故障排查成本快速上升。与安全 PLC 之间是场景选择关系，不是新旧替代关系。

联锁防护装置与门锁（Interlocked Guard / Guard Locking, ISO 14119）

围栏加安全门开关的组合体，是工业机器人工作站最通用的防护形态：门开关（Interlock）在门打开时触发停机；门锁（Guard Locking）额外把门锁住，直到危险运动停止才解锁，适合停机时间长的场景（大惯性、高温件）。设计要点：围栏高度与开口符合 ISO 13857、开关不可轻易旁路、再启动须在危险区外操作。验收时要逐门做功能测试，重点防「粘贴开关」式失效。

安全地垫（Pressure-Sensitive Mat）

铺设在危险区周边或入口的压敏垫，人踩上去即触发停机，适合光栅不便安装（通道宽、布局杂、有视觉要求）的场合，标准依据 ISO 13856。选型看面积拼接、防滑与耐介质性能，控制要点是复位逻辑与「站在垫上无法重启」的联锁，日常要按厂商要求做功能点检。

压敏边与缓冲挡（Pressure-Sensitive Edge / Bumper）

装在运动部件（AGV 车身、滑动门、机械臂末端）边缘的压敏条/缓冲带，接触即停，ISO 13856 系列同样覆盖。AGV 项目里它与安全激光扫描仪构成「感知＋兜底」双保险。失效模式主要是长期挤压变形导致灵敏度下降，须按周期做接触触发测试并留记录。

双手控制（Two-Hand Control）

要求双手同时操作才会触发的控制装置，让人手在启动危险的瞬间不在危险区内，用于压机、夹紧工位等配套场合，标准依据 ISO 13851。机器人项目里多见于配套设备而非机器人本体。注意它防「单手误触」，不防旁人代按，布置距离与遮挡要求要按标准核查。

三位置使能开关（Three-Position Enabling Device）

中间位接通、两边位（全松与全握紧）断开的三态开关，装在示教器或手引导装置上，让人在危险区内手动运行时「出事必然松手/握死而停机」。它是人在防护空间内示教作业的核心保护之一。老化测试（能否识别卡死在中间位）是日常点检容易漏掉的项目。

静默功能（Muting）

让光栅等检测装置在特定条件下（工件通过、托盘进出）暂时「不触发停机」的受控旁通机制，需满足静默传感器、时限、互锁等条件，标准依据 ISO 13855 与相关产品标准。它是物流口设计的常见配置，也是安全回路里最容易被滥用作「嫌碍事就旁路」的功能，须加管理与审计。

旁路管理（Bypass Management）

对安全功能临时失效（调试、清障、换型）的申请、时限、补偿措施与恢复流程的全面管理。旁路本身是正常工程手段，失控的旁路才是事故温床——事故调查里大量「安全装置被短接」源于无人管理的旁路。审核集成商时，可看其调试手册里有没有旁路记录表。

复位与重启联锁（Reset / Restart Interlock）

复位装置把安全回路从触发状态恢复到就绪态；重启联锁进一步要求危险区内确认无人后方可再启动。关键规范：复位装置必须安装在危险区内看不见的位置，防止有人在区内复位、区外开机。这两只按钮装在哪里，是安全设计评审里「一分钱决策」却最常出错的细节。

安全距离（Safety Distance）

防护装置到危险点之间必须保持的最小距离，由接近速度、全链路停机时间与侵入裕量按 ISO 13855 计算。停机时间要用实测值（含安全 PLC 扫描周期与制动时间）并考虑制动器磨损劣化留余量。围栏、光栅、地垫的「装多远」都由它决定，验收时应要求提供计算书。

保护区与警告区（Protective Field / Warning Field）

安全激光扫描仪的两类区域：保护区触发停机，警告区在前级触发降速或预警。两区参数（分辨率、响应时间、记忆位）共同决定系统停机时间与安全距离，改一处要重新核算整条链路。现场常见问题是把警告区当保护区用——降速不停机，人走近了机器只是「慢下来」。

五、空间、模式与验证

最大空间 / 限定空间 / 防护空间（Maximum / Restricted / Safeguarded Space）

三个嵌套空间概念：最大空间是机器人不受限可及的全部范围；限定空间是经限位（机械挡块、软限位）约束后的可及范围；防护空间是加外围栏后把人与危险隔开的空间。安全设计就是把三者层层压缩到工艺够用为止，样本上的「工作空间」永远不等于限定空间。

软限位与空间限定（Soft Limit / Space Limiting）

软限位是控制器层面设定的关节轴或笛卡尔空间边界，空间限定则指用安全控制器强制执行边界（越界触发安全停止）。相比机械挡块，软限位改线方便；但工艺用软限位、安全用硬限位或安全限位，二者不能混为一谈——断电、失零点后软限位的前提可能失效。

模式选择（Mode Selection, T1/T2/自动）

机器人控制器的运行模式：T1 手动低速（安全速度上限，常见 250mm/s）带使能运行，T2 手动高速带使能，自动模式全速运行并要求无人在防护空间内。模式开关必须能锁定并纳入安全回路，模式与防护状态不匹配（人在区内却跑自动）是重大隐患，也是事故高发场景。

现场调试安全（Commissioning Safety）

安装调试期的安全措施：首次上电的初次限位设置、低速首次运转、临时防护（警戒线不能替代防护装置的例外须评估）、进入防护空间的授权与陪同制度。调试期人员暴露最频繁，事故率不低；采购方应要求集成商提交调试安全方案，并约定调试期的现场安全责任人。

安全功能验证（Safety Validation）

集成完成后对全部安全功能逐项验证的过程：每个急停、门锁、光栅、扫描仪区域、安全限速与停止类别，用注入故障或实测的方式确认「该停时停、停得下来、恢复符合逻辑」，并形成验证报告。这是 ISO 10218-2 对集成方的明确要求，也是终端用户验收的安全底线文件。

技术文件与合格声明（Technical File / Declaration）

安全合规的证据链：风险评估报告、图纸、安全回路说明、元器件证书、计算书、验证报告，以及半成品/成套设备的合格声明（嵌装声明或符合性声明）。验收时只拿到一本「使用说明书」不算合规交付；这套文件也是日后改造、事故举证与保险理赔的基础，应作为合同交付物单列。

安全改造与再评估（Retrofit Reassessment）

对已运行的工作站做工艺、程序、布局或速度变更后，重新进行风险评估与安全验证的要求。常见误区是「只改程序不算改造」——提高速度、扩大工作空间、更换末端都可能让原有安全距离与防护失效。企业应建立变更管理制度：涉及安全的改动，评估与验证必须重新走一遍。

安全生命周期（Safety Lifecycle）

从方案设计、风险评估、安装调试、验证交付，到运行、维护、改造直至退役的全过程安全管理闭环。ISO 13849 与 ISO 12100 都强调风险减小随生命周期迭代。落到企业层面就是三份制度：变更管理、定期检验（安全功能点检）、培训复训——这三件事做好，安全投入才不随时间折旧。

使用说明