1、安全功能概述：机器人安全标准ISO 10218与ISO 13849介绍，安全功能在控制器中的角色定位
1.1 为什么安全标准如此重要？
做机器人控制器开发这些年，我见过太多「先跑起来再说」的项目。说实话，这种想法很危险。
你想想看，一台几十公斤的工业机器人，如果失控了会怎样？我有个朋友在集成商工作，他们调试时没注意安全逻辑，机器人直接撞穿了防护围栏。幸好没人站在那边，不然后果不敢想。
所以，安全标准不是用来束缚你的。它是保护你、保护操作员、保护设备的底线。
1.2 ISO 10218：机器人安全的基石
ISO 10218 分两部分：
- ISO 10218-1：针对机器人本体制造商。规定了机器人本身的安全设计要求。
- ISO 10218-2：针对系统集成商。规定了机器人系统、工作单元的安全要求。
我个人习惯把 ISO 10218 看作是「做什么」的标准。它告诉你：机器人必须有哪些安全功能？比如急停、安全限速、安全停止等。
核心要点：ISO 10218 定义了机器人安全功能的「功能清单」。你设计的控制器，必须实现这些功能。
举个例子，ISO 10218-1 要求机器人必须支持「安全停止」功能。这听起来简单，但实现起来有讲究。我在项目中遇到过，有些团队直接把电机断电当安全停止用。嗯，这其实不对。安全停止需要受控的减速，而不是瞬间断电——瞬间断电可能导致机器人甩臂伤人。
1.3 ISO 13849：安全控制系统的设计方法
如果说 ISO 10218 是「做什么」，那 ISO 13849 就是「怎么做」。
ISO 13849 全称是「机械安全——控制系统安全相关部件」。它给出了设计安全控制系统的具体方法。核心概念是 PL（Performance Level，性能等级）。
PL 等级从 a 到 e，共五级：
| PL 等级 | 每小时危险失效概率（PFHd） | 典型应用 |
|---|---|---|
| PL a | ≥ 10⁻⁵ 且 < 10⁻⁴ | 低风险场景 |
| PL b | ≥ 3 × 10⁻⁶ 且 < 10⁻⁵ | 一般风险 |
| PL c | ≥ 10⁻⁶ 且 < 3 × 10⁻⁶ | 中等风险 |
| PL d | ≥ 10⁻⁷ 且 < 10⁻⁶ | 高风险（机器人常用） |
| PL e | ≥ 10⁻⁸ 且 < 10⁻⁷ | 极高风险 |
我建议你记住这个表。做机器人控制器安全设计时，大部分安全功能要求 PL d 或以上。比如急停电路，标准要求至少 PL d。
我的经验：别想着「先做到 PL c 再说，后面再升级」。安全架构一旦定下来，改起来非常痛苦。我见过一个项目，前期选了单通道架构，后来发现需要 PL d，结果整个安全板卡重新设计，工期延误了三个月。
1.4 安全功能在控制器中的角色定位
好了，标准讲完了。那安全功能在控制器里到底扮演什么角色？
说白了，安全功能是控制器的「看门狗」和「刹车系统」。
正常工作时，控制器负责运动规划、轨迹插补、IO 控制。安全功能平时不干预，但它一直在后台监控。一旦检测到异常——比如超速、超程、急停按下——安全功能必须能独立于主控制器执行安全动作。
这里有个关键点：独立性。
ISO 13849 要求安全相关部件与普通控制部件之间要有足够的隔离。不能出现「主控制器死机了，安全功能也跟着失效」的情况。
我曾经在一个项目里踩过坑。当时为了省成本，把安全逻辑和主控逻辑跑在同一个 MCU 上。结果一次固件升级 bug，主控挂了，安全功能也一起挂了。嗯，从那以后，我再也不敢把安全功能和主控混在一起了。
1.5 控制器中常见的安全功能清单
根据 ISO 10218 和 ISO 13849，机器人控制器至少需要实现以下安全功能：
- 急停（Emergency Stop）：必须符合 IEC 60204-1，PL d 以上。
- 安全停止（Safe Stop）：包括停止类别 0（断电停止）和停止类别 1（受控停止）。
- 安全限速（Safe Limited Speed）：通常限制在 250 mm/s 以下。
- 安全限位（Safe Position/Speed Monitoring）：监控关节位置和速度。
- 安全力矩限制（Safe Torque Off, STO）：切断电机驱动力矩。
- 安全制动控制（Safe Brake Control）：确保制动器可靠动作。
注意：这些功能不是「可选项」。ISO 10218 明确要求机器人必须配备这些安全功能。如果你的控制器缺少其中任何一项，认证肯定过不了。
1.6 安全架构的常见模式
做控制器安全设计时，我推荐采用双通道架构。为什么？
单通道架构的缺点是：一个故障就导致安全功能失效。双通道架构中，两个通道互相冗余，一个通道坏了，另一个还能工作。
ISO 13849 中提到的架构类别：
| 类别 | 描述 | 典型 PL |
|---|---|---|
| Cat. B | 基本架构，单通道 | PL b |
| Cat. 1 | 使用可靠元件 | PL c |
| Cat. 2 | 单通道 + 周期性测试 | PL c ~ d |
| Cat. 3 | 双通道，单故障容错 | PL d |
| Cat. 4 | 双通道，累积故障容错 | PL e |
我个人的建议是：机器人控制器安全功能至少做到 Cat. 3 / PL d。这是行业惯例，也是认证机构的最低要求。
1.7 小结
这一章我们聊了：
- ISO 10218 告诉你「要做什么安全功能」
- ISO 13849 告诉你「怎么设计安全控制系统」
- 安全功能在控制器里是独立的「守护者」，不能和主控混在一起
- 常见安全功能清单和架构选择
下一章，我会详细讲急停电路的设计。急停看起来简单，但里面坑不少。到时候我会分享一个我踩过的真实案例，保证让你印象深刻。
一句话记住本章：安全标准不是束缚，是保护。设计控制器时，把安全功能当作独立模块来对待，别偷懒。