征求意见稿-人型机器人互操作性与安全准则

1T/AIIAXXXX—XXXX人型机器人互操作性与安全通用准则本文件规定了人型机器人在互操作性与安全方面的通用技术要求、试验方法、检验规则。本文件适用于各类具有类人形态、具备自主或半自主移动与操作能力的服务型、协作型人型机器人的设计、开发、测试与评价。2规范性引用文件下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。GB/T12643-2025机器人词汇GB/T15706-2012机械安全设计通则风险评估与风险减小GB/T16855.1-2025机械安全安全控制系统第1部分:设计通则GB/T17799.1-2017电磁兼容通用标准居住、商业和轻工业环境中的抗扰度GB/T17799.2-2023电磁兼容通用标准第2部分:工业环境中的抗扰度标准GB/T26154-2010装配机器人通用技术条件GB/T33265-2016教育机器人安全要求GB/T36530-2018机器人与机器人装备个人助理机器人的安全要求GB4943.1-2022音视频、信息技术和通信技术设备第1部分：安全要求GB/T5226.1-2019机械电气安全机械电气设备第1部分：通用技术条件JB/T10825-2008工业机器人产品验收实施规范3术语和定义下列术语和定义适用于本文件。3.1人型机器人humanoidrobot具有类人形态（如头部、躯干、双臂、双腿或移动底盘），能够模拟人类部分运动、感知或交互能力的自主或半自主机器人。3.2互操作性interoperability两个或多个系统、组件或应用之间交换信息、使用已交换信息并协同工作的能力。3.3安全功能safetyfunction由安全相关控制系统执行的、旨在实现或维持机器安全状态的功能，其失效会立即增加伤害风险。3.4T/CAEEXXX—2026协作空间collaborativeworkspace在安全防护措施下，机器人与人类可以在同一时间、同一区域内执行任务的空间。3.5预期用途intendeduse按照制造商提供的信息对产品、过程或服务的使用。3.6可合理预见的误用reasonablyforeseeablemisuse不是按预期用途，而是根据容易预见的人类行为对产品、过程或服务的使用。3.7动态风险评估dynamicriskassessment机器人系统在运行过程中，根据实时感知的环境信息、任务状态和自身状态，持续进行的风险评估过程。3.8功能安全functionalsafety与受控设备（EUC）和受控设备控制系统（EUC控制系统）有关的整体安全的一部分，它取决于电气/电子/可编程电子（E/E/PE）安全相关系统、其他技术安全相关系统和外部风险降低设施的正确运作。3.9数据接口datainterface系统之间或系统组件之间进行数据交换所遵循的格式、协议和规范的统称。3.10紧急停止装置emergencystopdevice用于启动紧急停止功能的、手动操作的控件。4技术要求4.1通用要求4.1.1人型机器人的设计、制造与集成应符合其预期用途，并考虑可合理预见的误用。4.1.2人型机器人应具备清晰、明确的产品标识和使用说明，包括但不限于型号、制造商、安全警示、基本操作指南和维护要求。4.1.3人型机器人的电气安全应符合GB4943.1-2022和GB/T5226.1-2019的规定。4.1.4人型机器人的电磁兼容性应符合GB/T17799.1-2017或GB/T17799.2-2023的规定，具体取决于其预定使用环境。4.2机械安全4.2.1人型机器人的机械结构设计应遵循GB/T15706-2012规定的风险评价与风险减小原则，消除或控制由锐边、尖角、挤压点、剪切点等引起的机械危险。4.2.2所有运动部件（如关节、末端执行器）应具备物理防护或通过安全控制系统实现速度、力/力矩的限制，以防止在非协作模式下对人员造成伤害。T/AIIAXXXX—XXXX4.2.3当人型机器人进入或处于协作空间时，其运动速度、力/力矩应被限制在安全范围内，具体要求应符合GB/T36530-2018的相关规定。a)头部/面部区域接触力限值≤130N；躯干区域≤240N；四肢区域≤180N；b)碰撞过程中的瞬时功率应≤80W；c)若发生跌倒，机器人头部或重质部件着地时的冲击能量应通过缓冲设计降低至<50J。4.2.4人型机器人应至少配备一个符合GB/T16855.1-2025要求的紧急停止装置，该装置应易于识别和触及，并能触发安全停止状态。4.3控制系统安全4.3.1人型机器人的安全相关控制系统应符合GB/T16855.1-2025中规定的性能等级（PL）或安全完整性等级（SIL）要求，其等级应根据风险评估确定。4.3.2控制系统应具备故障检测与安全处理能力，当检测到可能导致危险的控制系统故障（如传感器失效、通信中断、软件错误）时，应能启动安全状态（如安全停止、降速运行）。4.3.3人型机器人应具备动态风险评估功能，能够根据实时环境信息（如人员距离、移动速度）调整自身运动策略，以维持安全状态。a)用于动态风险评估的环境感知传感器（激光雷达/深度相机）数据刷新率应≥20Hz（即延迟）；b)从检测到高风险目标（如人员突然闯入协作空间，相对速度>1m/s）到机器人启动制动或避障动作的系统总延迟应≤200ms；c)在最大运行速度（假设1.5m/s）下，检测到静止障碍物后的制动距离应≤0.5m（具体需根据动能计算，需设定上限）。4.3.4所有安全功能的触发、复位及模式切换操作应设计为防止非授权或意外操作。4.4功能安全4.4.1涉及功能安全的人型机器人系统，其电气/电子/可编程电子安全相关系统的设计应符合功能安全相关标准的要求。4.4.2安全相关软件应进行充分的验证与确认，确保其可靠性和可预测性，防止因软件缺陷导致危险情况。4.4.3用于安全目的的数据（如安全配置参数、安全日志）应受到保护，防止非授权篡改。4.5互操作性要求4.5.1人型机器人应提供标准化的外部数据接口（如API、通信协议），以实现与其它系统（如中央管理平台、其他机器人、智能家居设备）的信息交换。应支持至少一种主流开放协议，如ROS2(DDS),MQTT3.1.1/5.0,或OPCUA。4.5.2数据接口的格式、语义和通信协议应公开、文档化，并具有良好的版本兼容性管理策略。状态与控制指令的数据序列化格式应统一为JSON或Protobuf。4.5.3人型机器人应能接收、解析和执行符合其接口规范的标准化任务指令，在局域网环境下，外部控制指令下发到机器人执行机构响应的端到端延迟应≤100ms。4.5.4在多人型机器人协同或人机协同场景中，机器人应能通过标准接口交换状态、意图和任务信息，以实现基本的协同避障和任务协调。人型机器人状态心跳包发送频率应≥10Hz，丢失3个连续心跳包应触发安全停止。T/CAEEXXX—20265试验方法4.6环境感知与适应性4.6.1人型机器人应配备必要的环境感知传感器（如视觉、激光雷达、超声波、触觉），以感知其工作空间内的人员、障碍物和地形变化。4.6.2机器人应能基于感知信息，在动态或非结构化环境中实现安全的导航与移动，避免与人员及障碍物发生碰撞。4.6.3机器人应具备对常见环境干扰（如光照变化、地面材质变化、轻微不平整）的适应能力，保持基本功能的稳定运行。a)机器人应在50lux（昏暗室内）至10,000lux（明亮室内/阴天室外）的光照条件下，保持导航与避障功能正常；b)在坡度±5°的斜坡上应能稳定站立或行走；在高度差≤20mm的地面接缝或门槛处应能平稳通过而不跌倒；c)在背景噪音≤75dB(A)的环境下，语音交互指令识别率应≥90%。4.7人机交互安全4.7.1人型机器人的人机交互界面（如语音、触摸屏、手势）应设计直观，反馈明确，避免引起操作者混淆或误判。4.7.2通过语音、视觉等方式进行的交互指令应具备一定的容错能力，并能提供确认反馈。4.7.3在交互过程中，机器人应能明确指示其当前状态（如运行、停止、故障、充电）和下一步意4.8信息安全4.8.1人型机器人应具备基本的信息安全防护能力，防止非授权访问、数据泄露或恶意控制。4.8.2远程控制、软件更新和数据传输通道应进行安全加密和身份认证。4.8.3机器人本地存储的个人隐私数据（如交互记录、环境图像）应进行加密处理，并提供清除机制。4.9性能与可靠性4.9.1人型机器人的基本运动性能（如定位精度、重复定位精度、最大速度、负载能力）应符合制造商明示的规格，并满足GB/T33265-2025中相关性能试验的要求。4.9.2机器人在规定的工作周期和环境下应能稳定运行，平均无故障工作时间（MTBF）应满足以下指标。a)人型机器人的平均无故障工作时间（MTBF）应≥500小时；b)安全相关控制系统（如急停回路、力矩传感器）的MTBF应≥5,000小时或符合PLd/SIL2等级要求；c)必须在至少2台样机上，连续运行累计1,000小时无致命故障（导致人身伤害或设备严重损坏的故障），方可判定合格。4.9.3关键安全部件（如制动器、安全控制器）应具有高可靠性，其失效不应导致不可控的危险运动。T/AIIAXXXX—XXXX55.1通用要求检验5.1.1预期用途与误用分析审查，按制造商提供的设计文档和风险评价报告进行。5.1.2产品标识与使用说明检查，通过目视检查确认其完整性和清晰度。5.1.3电气安全试验，按GB4943.1-2022和GB/T5226.1-2019的规定进行。5.1.4电磁兼容性试验，按GB/T17799.1-2017或GB/T17799.2-2023的规定进行。5.2机械安全试验5.2.1机械危险点检查，通过目视检查和风险评估文件审查进行。5.2.2运动部件防护与力/力矩限制测试，按GB/T36530-2018中相关方法进行。5.2.3协作空间内速度与力限制测试，按GB/T36530-2018中协作操作安全测试方法进行。5.2.4紧急停止装置功能测试，按GB/T16855.1-2025中关于紧急停止功能验证的规定进行。5.3控制系统安全试验5.3.1安全相关控制系统性能等级（PL）或安全完整性等级（SIL）验证，通过审查设计文档和测试报告，按GB/T16855.1-2025的规定进行。5.3.2故障注入测试，模拟传感器失效、通信中断等故障，检查系统是否能进入并维持安全状态。5.3.3动态风险评估功能验证，在模拟动态环境中测试机器人根据人员接近程度调整行为的能力。5.3.4安全功能操作防误测试，通过模拟非授权或意外操作尝试，检查安全功能是否被意外触发或复位。5.4功能安全试验5.4.1功能安全系统评估，审查相关设计、测试和验证文档，确认符合功能安全标准要求。5.4.2安全相关软件测试，通过代码审查、单元测试、集成测试和系统测试报告进行验证。5.4.3安全数据保护测试，尝试非授权访问和修改安全配置参数，验证防护机制的有效性。5.5互操作性试验5.5.1数据接口符合性测试，使用符合接口规范的测试工具或模拟系统，验证机器人接口的协议、格式和语义正确性。5.5.2任务指令执行测试，向机器人发送标准化的任务指令，验证其接收、解析和执行能力。5.5.3协同信息交换测试，在多人型机器人或人机协同测试场景中，验证状态、意图等信息的交换与协同效果。5.6环境感知与适应性试验5.6.1传感器功能测试，在典型光照、障碍物布置下，验证各感知传感器的有效探测范围和精度。5.6.2动态避障测试，在包含移动障碍物的环境中测试机器人的导航与避障能力。5.6.3环境适应性测试，改变地面材质、光照条件或引入轻微不平整，观察机器人基本功能是否稳5.7人机交互安全试验5.7.1交互界面可用性测试，由典型用户执行基本操作，评估界面的直观性和反馈明确性。5.7.2交互指令容错测试，输入模糊或部分错误的语音、手势指令，检查系统的处理方式和反馈。5.7.3状态指示检查，通过观察和操作，验证机器人各种状态指示的明确性。5.8信息安全试验T/CAEEXXX—20265.8.1访问控制测试，尝试非授权访问机器人控制接口和数据存储。5.8.2通信安全测试，对远程控制、软件更新等通信通道进行抓包和分析，验证加密和认证机制。a)使用Wireshark等工具抓包，确认所有控制指令和图像传输流必须采用TLS1.2或更高版本加密，禁止明文传输。若发现明文密码或指令，直接判不合格；b)尝试使用错误密码连续登录5次，系统应锁定账户≥15分钟或触发报警；c)截获一条合法的“打开夹爪”指令包并重新发送，若机器人在非预期状态下执行了该动作，判不合格。5.8.3隐私数据保护测试，检查本地存储的隐私数据是否加密，并验证数据清除功能。5.9性能与可靠性试验5.9.1基本运动性能测试，按GB/T33265-2025中定位精度、重复定位精度、速度、负载等试验方法进行。5.9.2可靠性运行测试，在规定的工况下进行长时间连续或循环运行，记录故障情况，计算MTBF。5.9.3关键安全部件可靠性分析，通过审查部件可靠性数据、加速寿命试验报告或故障模式与影响分析（FMEA）报告进行。6检验规则6.1检验分类人型机器人的检验分为出厂检验和型式检验。6.2出厂检验6.2.1每台人型机器人出厂前均应进行出厂检验。6.2.2出厂检验项目至少应包括：a)产品标识与使用说明的完整性（对应4.1.2）；b)紧急停止装置功能（对应4.2.4）；c)基本运动性能（对应4.9.1）；d)人机交互基本功能（对应4.7.1、4.7.3）；e)外观及机械结构无明显缺陷。6.2.3出厂检验由制造商质量检验部门负责，所有项目合格后方可出厂，并应附有产品合格证明。6.3型式检验6.3.1有下列情况之一时，应进行型式检验：a)新产品定型或老产品转厂生产时；b)正式生产后，如结构、材料、工艺有较大改变，可能影响产品性能时；c)产品停产一年以上，恢复生产时；d)出厂检验结果与上次型式检验有较大差异时；e)国家质量监督机构提出进行型式检验要求时。6.3.2型式检验项目应包括本文件第4章“技术要求”规定的全部项目。T/AIIAXXXX—XXXX76.3.3型式检验的样品应从出厂检验合格的产品中随机抽取，抽样数量不少于2台。6.3.4型式检验由制造商委托具备相应资质的检测机构进行，或由制造商在具备相应能力的实验室进行并出具报告。6.4判定规则6.4.1出厂检验中，若所有检验项目均合格，则判定该台产品出厂检验合格；若有一项不合格，则判定该台产品出厂检验不合格，允许返修后重新检验。6.4.2型式检验中，若所有检验项目均合格，则判定型式检验合格。6.4.3型式检验中，若有A类项目（见6.5）不合格，则判定型式检验不合格。6.4.4型式检验中，若仅有B类项目（见6.5）不合格，允许对不合格项目加倍抽样复检。若复检合格（含允许的不合格项数在标准范围内则判定型式检验合格；若复检仍不合格，则判定型式检验不合格。6.5检验项目分类检验项目按其对产品安全、主要性能和互操作性的影响程度分为A类项目和B类项目，具体分类见表表1检验项目分类条款号检验项目项目类别备注AAAAAA4.5.1,4.5.2,4.5.3,ABBBBBBBT/CAEEXXX—2026（资料性）人型机器人典型应用场景与互操作性要求对应关系本附录提供了人型机器人在不同典型应用场景下，对第4章“技术要求”中互操作性及相关安全要求的具体映射和细化说明，旨在为设计者、开发者和评估者提供应用层面的指导。A.1家庭服务与陪伴场景A.1.1本场景主要涉及在家庭居住环境中，提供物品递送、简单清洁、娱乐互动、老人或儿童陪伴等服务的机器人。A.1.2互操作性要求聚焦于与智能家居生态系统的集成。机器人应能通过标准接口（如4.5.1所述）与智能家居中枢、智能灯具、智能窗帘、智能音箱等设备进行通信，接收指令并反馈状态，实现“打开客厅灯”、“调节空调温度”等跨设备协同任务。A.1.3安全要求需特别关注非结构化动态环境。机器人应具备高鲁棒性的环境感知能力（4.6.1能准确识别家庭成员（尤其是儿童和老人）、宠物以及散落的家居物品，并实现安全避障（4.6.2）。在近距离人机交互时，其运动力/力矩必须严格限制在安全范围内（4.2.3）。A.1.4人机交互应以自然、直观为主。语音交互应能适应家庭环境下的背景噪音和口语化指令（4.7.2），触摸交互界面应简洁防误触。机器人需明确表达其意图，例如在递送物品前发出语音提示。A.1.5信息安全与隐私保护至关重要。机器人采集的家庭环境音频、视频数据应进行本地加密处理（4.8.3），未经用户明确授权不得上传。与云端服务的所有通信必须加密（4.8.2）。A.2商业接待与导览场景A.2.1本场景主要涉及在商场、酒店、展厅、博物馆等公共场所，提供迎宾接待、信息咨询、路径引导、内容讲解等服务的机器人。A.2.2互操作性要求核心是与后台管理系统的无缝对接。机器人需能实时从中央调度系统接收任务（如“前往A区3号门接待”）、更新讲解内容，并上传自身状态、客流数据至管理系统（4.5.1,4.5.3）。在多机器人协同工作中，应能交换位置和任务信息以实现区域覆盖和冲突避免（4.5.4）。A.2.3安全要求侧重于高人流密度下的导航与行为可预测性。机器人必须具备先进的动态路径规划与避障算法，在密集且移动的人群中安全穿行（4.6.2）。其移动轨迹和速度变化应平滑、可预测，避免突然启动或转向引起公众恐慌或碰撞。A.2.4人机交互需专业、友好且高效。交互界面应能提供多语言选择，语音合成应清晰自然。在提供导览服务时，机器人应具备基本的非语言交互能力，如通过屏幕显示或灯光指示引导方向（4.7.3）。A.2.5可靠性要求高。商业场所通常要求机器人长时间连续运行，因此其平均无故障工作时间（MTBF）应满足较高标准（4.9.2），关键部件如驱动系统、电池需便于快速维护或更换。A.3医疗辅助与康复训练场景A.3.1本场景主要涉及在医院、康复中心等环境中，辅助医护人员进行物资运输、病房巡视，或协助患者进行康复训练的机器人。A.3.2互操作性要求体现在与医疗信息系统的有限、安全集成。机器人可能需要读取非敏感的调度指令（如运送药品至某病房但所有设计必须遵循医疗数据安全法规，接口需具备严格的访问日志和审计功能（4.5.1,4.8.1）。T/AIIAXXXX—XXXX9A.3.3安全要求是所有场景中最严格的。除了通用的机械安全（4.2.1,4.2.2）和协作安全（4.2.3）外，必须实现最高等级的功能安全（4.4.1）和控制系统安全（4.3.1）。在与患者身体接触的康复训练中，力控精度和安全性必须经过极其严格的验证，并具备多重冗余的安全停止机制。A.3.4环境感知需高度精确和可靠。机器人需能识别各种医疗环境下的特殊障碍物（如输液架、轮椅），并对地面洁净度、坡度等有敏感判断（4.6.1,4.6.3）。在手术室等敏感区域附近，其移动需格外谨慎。A.3.5人机交互应体现关怀与安抚。对患者使用的交互界面应极其简单、清晰，语音语调应温和。机器人应能清晰传达其正在执行的辅助任务，减少患者的不安感。A.4科研教育与开发平台场景A.4.1本场景主要面向高校、研究机构和企业研发部门，将人型机器人作为算法研究、人工智能教学或新产品原型开发的平台。A.4.2互操作性要求的核心是开放性与模块化。机器人应提供丰富、分层级的软硬件接口（4.5.1允许研究人员访问底层传感器数据、控制执行器、修改运动规划算法，甚至替换整个功能模块。接口文档必须详尽、准确（4.5.2）。A.4.3安全要求需平衡开放性与安全性。平台必须提供基础的、不可绕过的安全守护机制（如底层急停、关节力矩监控确保即使在开发者的实验代码出现错误时，也能防止机器人对人员和自身造成物理伤害（4.3.2）。同时，应提供模拟仿真环境，供开发者在虚拟空间中进行高风险测试。A.4.4该场景对性能参数的透明度和可重复性要求高。机器人标定的运动性能（4.9.1）应真实可靠，并为开发者提供性能验证的工具和方法。表A.1应用场景与核心要求对应表示例应用场景核心互操作性要求核心安全要求特殊注意事项T/CAEEXXX—2026（规范性）人型机器人安全功能测试程序本附录规定了第5章中未完全覆盖的、针对人型机器人特定安全功能的详细测试程序，这些程序是验证第4章相关安全要求的必要方法。B.1协作空间力与功率限制测试B.1.1测试目的验证人型机器人在协作空间内，其运动部件与人员接触时，所产生的力和功率是否被限制在安全阈值以下，以满足4.2.3的要求。B.1.2测试设备a)经校准的六维力/力矩传感器，测量范围应覆盖预期测试力/力矩；b)符合人体部位生物力学特性的标准化测试装置（如圆柱形、平板形模拟臂/躯干），其表面材质和刚度应模拟人体组织；c)数据采集系统，采样频率不低于1kHz；d)安全防护设施；e)用于测量力的传感器精度等级应优于±1%F.S；f)用于测量时间的系统时钟同步精度应优于±1ms；g)用于模拟人员的假人关节刚度应符合ISO13482中定义的生物力学特性，不得使用刚性金属块代替。B.1.3测试条件机器人安装于测试场地，处于协作操作模式。测试环境应无强电磁干扰。B.1.4测试程序B.1.4.1将力/力矩传感器牢固安装在标准化测试装置上。B.1.4.2规划机器人的测试运动轨迹，使其末端执行器或可能与人接触的刚性部件（如肘部、膝部）以制造商声明的协作模式最大速度，朝向静止的测试装置运动，直至发生接触。B.1.4.3在接触发生后，机器人应依据其安全控制逻辑做出反应（如立即停止、反向运动或维持接触但限制力）。B.1.4.4通过数据采集系统记录整个接触过程中的法向力、切向力及力矩的时间序列数据。B.1.4.5改变接触部位（如机器人不同关节）、接触方向（正面、侧面）和运动速度（从低速到声明最大速度），重复B.1.4.2至B.1.4.4步骤至少10次。B.1.4.6计算每次接触事件中测得的最大法向力、最大切向力及最大功率（力与接触点速度的乘积）。B.1.5结果判定所有测试中记录的最大法向力、最大切向力及最大功率，均不应超过GB/T36530-2018或制造商基于风险评估确定的、在技术文件中声明的安全限值。B.2动态风险评估功能验证测试B.2.1测试目的T/XXXXXXX—202X验证人型机器人是否具备根据实时感知的人员距离和速度动态调整自身行为（如减速、停止、改变路径）的能力，以满足4.3.3的要求。B.2.2测试设备a)可编程移动平台（模拟人员），其运动速度和路径可精确控制；b)高精度定位系统（如动作捕捉系统、UWB），用于实时测量机器人与移动平台之间的距离和相对速度；c)测试场地标记。B.2.3测试条件机器人置于测试场地中心，执行一项预设的移动或操作任务。移动平台模拟以不同速度和路径接近机器人的人员。B.2.4测试程序B.2.4.1设定机器人的初始任务（如从点A直线移动至点B）。B.2.4.2测试序列1（静止人员）：将移动平台静止放置于机器人计划路径上的某一点。启动机器人，观察并记录其在感知到障碍物后的行为（如提前停止、绕行）及停止距离。B.2.4.3测试序列2（匀速接近控制移动平台以恒定速度（如0.5m/s