服务机器人安全设计完全指南：从ISO 12100风险评估到UL 3300与ISO 13849功能安全实战

SERVICEROBOTSAFETYDESIGNCOMPLETEGUIDE服务机器人安全设计完全指南从ISO12100风险评估到UL3300认证与ISO13849功能安全实战解析技术工程·安全标准·功能安全·风险评估2026年9月·技术解读培训资料目录CONTENTS01服务机器人安全设计概述应用场景·风险特征·安全差异02使用场景风险评估大堂·电梯口·走廊·房门口·充电区03ISO12100风险识别碰撞·夹伤·跌落·禁区·充电·软件04风险降低三步法本质安全·防护措施·使用说明05核心安全功能设计减速·停车·急停·联锁·跌落·充电06功能安全标准体系UL3300·ISO13849·IEC62061·PL等级07总结与实践建议核心要点·实践路径·设计原则01服务机器人安全设计概述OverviewofServiceRobotSafetyDesign服务机器人应用场景与风险特征服务机器人相较于割草机器人，少了割刀且移速很慢，按照风险评估思路，对危险性的评估会宽松很多。但服务机器人并不是慢一点就安全，它有自己独特的风险因素。三大独特风险因素重心高—服务机器人通常采用立式设计，重心位置较高，遇到坡道或碰撞时更容易倾覆满载重量大—送餐、配送机器人满载时重量显著增加，碰撞时动能更大，刹车距离更长使用场景人员密集—酒店、餐厅、商场等公共空间人员密集，老人、儿童、宠物共存核心结论：慢速只能降低一部分风险，不能代替系统性的安全设计。服务机器人需要从结构、控制、软件多维度构建安全体系。开放公共空间vs封闭工厂的安全差异服务机器人工作的地方不是封闭工厂，而是开放的公共空间。这里有人、有小孩、有老人、有宠物、有行李箱、有电梯门、有玻璃门、有坡道、有充电桩，还有很多不可预测的行为。对比维度封闭工厂（工业机器人）开放公共空间（服务机器人）人员构成经过培训的专业操作人员老人、儿童、宠物、游客等无培训人员环境可控性围栏隔离、固定路径、环境稳定动态变化、障碍物随机、地面条件复杂行为可预测性按规程操作，行为可预期突然横穿、低头看手机、儿童奔跑等不可预测安全防护方式物理围栏、安全光幕、急停拉绳多传感器融合、智能避障、限速限力适用标准ISO10218、ISO/TS15066UL3300、ISO13482、ISO12100关键差异：服务机器人无法依赖物理隔离来保障安全，必须通过智能感知、限速限力、多传感器冗余等手段，在与人近距离共存的环境中确保安全。服务机器人安全标准体系全景服务机器人安全设计涉及多层标准体系，从通用风险评估到产品安全认证，再到功能安全要求，各标准各司其职、相互补充。第一层：通用基础ISO12100机械安全通用标准风险评估与风险降低全生命周期安全管理第二层：产品安全UL3300/ISO13482服务机器人产品安全标准SCIEE机器人安全要求个人护理机器人安全第三层：功能安全ISO13849/IEC62061安全相关控制系统PL性能等级/SIL等级传感器-控制器-执行器三层标准的协作关系ISO12100先告诉你风险在哪里——识别危险、评估风险、确定降低目标UL3300从服务机器人产品角度看整体安全——构造、移动性、避障、电池、软件更新ISO13849进一步看安全相关控制系统是否足够可靠——传感器、控制器、执行器怎么组合，单点故障会不会导致危险02使用场景风险评估UseCaseRiskAssessment酒店送餐机器人典型工作场景拆解以酒店送餐机器人为案例，其典型工作路径可拆分为五个核心场景，每个场景都有独特的风险特征和安全设计要求。场景一：大堂—人流密集，动态障碍物多场景二：电梯口—风险集中，多因素叠加场景三：走廊—空间狭窄，突发情况多场景四：房门口—低速但人机交互密集场景五：充电区—长期自动回充，电气安全关键评估原则：先评估使用场景，机器人不是在实验室里跑。每个场景的人员密度、环境条件、交互模式都不同，安全设计必须针对具体场景进行差异化设计，不能用一套通用方案覆盖所有场景。大堂场景：人流密集与动态障碍物场景特征大堂是酒店人流最密集的区域，客人拖着行李箱，前台附近经常有人停留、转身、低头看手机。机器人如果只按导航路径走，很容易遇到突然横穿的人。主要风险因素突然横穿—行人不看路，从侧面突然进入机器人路径行李箱—低矮障碍物，激光雷达可能检测不到儿童奔跑—身高低、速度快、行为不可预测玻璃门/反光—激光雷达和视觉算法可能误判安全设计要点：大堂区域应降低最大运行速度（建议不超过0.5m/s），增加人员检测预警距离，采用多传感器融合（激光雷达+深度相机+超声波），设置动态避障策略，对低矮障碍物和儿童进行专项检测优化。电梯口与走廊场景：高风险集中区域电梯口：风险集中位置电梯门开关—门体运动可能夹碰机器人轿厢与地面缝隙—轮子可能卡住或跌落进出电梯人群—人流对冲，空间狭小门口行李车—临时障碍物，阻挡通行电梯状态确认—需与电梯系统通信确认走廊：空间狭窄突发多清洁车—临时占用通道，需绕行或等待打开的房门—门体突出，可能碰撞地毯边缘—高度变化，可能颠簸或卡住临时放置行李—随机障碍物，位置不固定儿童突然跑出—从房间突然冲入走廊安全设计对策设计维度电梯口对策走廊对策速度控制进出电梯时降速至0.2m/s以下走廊限速0.4m/s，遇人自动降速传感器下视ToF检测地面缝隙，侧边超声波前向激光雷达+侧边超声波防碰撞交互逻辑与电梯系统通信，确认门开和到站语音提示避让，遇障碍物停车等待房门口与充电区：人机交互与电气安全房门口：低速但人机交互密集机器人需要停靠、开舱、等待取物。这个阶段速度虽然低，但会涉及舱门、夹手、误取、误关门、用户接触等问题。舱门夹手—自动关门时用户手还在仓内误取物品—非目标用户打开舱门取走物品突然移动—用户取餐时机器人因调度异常启动儿童攀爬—儿童把机器人当玩具攀爬或乘坐充电区：长期自动回充，电气安全关键机器人长期自动回充，涉及电池、充电触点、过温、异物、液体、接触不良、起火风险。这个部分不能只当成普通低压充电器看。酒店清洁频繁，地面可能潮湿，客人可能把饮料、汤汁带到机器人附近。核心风险：充电触点异物短接、触点接触不良发热、液体进入充电桩、电池过温、BMS通信异常、机器人未停稳就开始充电、维护人员接触带电部件场景风险评估小结与设计优先级通过对五个典型场景的风险分析，可以按照风险等级和发生概率确定安全设计的优先级，将有限的设计资源投入到最高风险的环节。场景主要风险严重程度发生概率优先安全措施大堂碰撞行人中高高限速0.5m/s、多传感器融合、动态避障、儿童检测电梯口跌落/夹碰高中下视ToF、电梯通信、超低速进出、缝隙检测走廊碰撞/卡住中高侧边超声波、语音提示、遇障停车、地毯边缘检测房门口夹手/误启动高中舱门联锁、闭合力限制、身份验证、防夹检测充电区起火/触电极高低充电联锁、过温保护、防水设计、BMS监控、触点隐藏设计原则：高严重度+高概率的场景（大堂碰撞）应投入最多设计资源；高严重度+低概率的场景（充电起火）需要通过本质安全设计从源头消除风险；所有场景都应建立"检测-判断-执行-反馈"的完整安全链路。03ISO12100风险识别HazardIdentificationperISO12100ISO12100标准概述与风险评估框架ISO12100是机械安全领域的基础国际标准（中国对应GB/T15706），为机械设备的设计、制造和使用提供系统化的风险评估与风险降低框架，覆盖机械全生命周期。风险评估四步法第一步确定限制预定使用和可合理预见的误用，包括使用场景、人员、环境条件第二步识别危险识别所有危险及伴随的危险状态，覆盖全生命周期各阶段第三步风险估计评估伤害严重程度和发生概率，通常使用风险矩阵第四步风险评价判断是否需要降低风险，确定风险降低目标风险估计的两个维度严重程度：轻伤、重伤、致命发生概率：暴露频率（持续/偶尔/偶然）、危险事件发生可能性、规避或限制伤害可能性（反应时间、意识程度、逃生条件）通常使用风险矩阵（5x5或3x3）进行量化评估核心原则：安全并非设备设计完成后才附加的特性，而是必须从概念设计阶段就融入其中，并持续至设备报废的每一个环节。全生命周期：设计、制造、安装、操作、维护、报废各阶段风险均需可控。风险一：碰撞风险识别与评估碰撞是服务机器人最常见的风险类型。机器人可能撞到人、儿童、老人、行李箱，或者撞到玻璃门、墙角、清洁车。碰撞风险与多个因素直接相关。碰撞风险影响因素影响因素说明运行速度速度越高，碰撞动能越大，刹车距离越长机器人重量满载时重量增加，碰撞冲击力显著增大外壳形状圆形无锐边可降低伤害，尖锐边角增加风险刹车距离制动性能直接决定避障成功的最小距离接触部位接触人体不同部位造成的伤害程度不同碰撞对象分类与风险等级高风险：儿童（身高低、行为不可预测）、老人（反应慢、可能跌倒）中风险：普通行人、行李箱、清洁车等动态或低矮障碍物低风险：墙角、玻璃门、固定设施等静态障碍物（主要造成设备损坏）动能公式：E=1/2mv²（质量和速度决定碰撞能量）风险评估要点：碰撞风险不能只看"有没有避障雷达"，必须综合评估速度、重量、形状、刹车距离和碰撞对象。UL3300按质量和最大速度将机器人分为Class1-3，Class1限速不超过0.5m/s。风险二至四：夹伤、跌落倾覆与误入禁区风险二：夹伤风险来源：舱门、盖板、托盘、升降机构、旋转机构场景：用户取外卖时手伸进储物仓，舱门自动关闭或未取完就执行关门关键：闭合力必须受限，检测到阻力时反向或停止，不能只靠UI状态判断风险三：跌落倾覆来源：坡道、门槛、地毯边缘、电梯缝隙、楼梯口、平台边缘诱因：定位异常、轮子打滑、传感器误判二次风险：倾覆后电池、驱动轮、舱门、外壳破损可能带来电池起火、锐边等二次危险风险四：误入禁区禁区类型：厨房后场、员工通道、楼梯间、消防通道、施工区域、儿童活动区诱因：地图错误、定位漂移、禁区配置丢失后果：不一定马上造成伤害，但会把机器人带入不可控场景，增加后续风险风险五：软件误动作—安全边界的隐形威胁机器人是典型的软件控制产品。路径规划、避障、开门、进出电梯，都可能参与控制。如果软件卡死、通信中断、地图错误、任务状态混乱，机器人可能继续移动、误开舱、误进电梯，或者在危险位置停住。核心观点：软件不是"功能体验"的问题，某些软件动作已经进入安全边界。软件误动作的风险往往被低估，因为它不直接表现为物理危险，但一旦发生，可能导致机器人在错误的时间、错误的地点执行错误的动作，从而引发碰撞、夹伤、跌落等连锁风险。风险六：充电触电、过热与起火风险核心警示：很多送餐机器人采用自动回充，充电的金属插Pin暴露在外。酒店场景清洁频繁，地面可能潮湿，客人可能把饮料、汤汁、雨伞水带到机器人附近。这个部分不能只当成普通低压充电器看。充电区六大风险因素1.异物短接充电触点暴露，金属异物或液体进入导致正负极短接，产生大电流和高温2.接触不良发热充电触点氧化、变形或有灰尘导致接触电阻增大，长期发热可能引燃周围材料3.液体进入饮料、汤汁、清洁用水进入充电桩内部，造成电路短路、腐蚀和绝缘失效4.电池过温充电过程中电池温度异常升高，热失控可能导致电池起火甚至爆炸5.BMS失效电池管理系统通信异常或功能失效，无法监控电池状态，过充过放无法及时中止6.未停稳充电机器人未完全停稳就开始充电，或充电未断开就启动行走，导致触点拉弧和机械损坏安全设计要求：充电联锁至少应考虑—机器人到位确认、充电触点接触确认、电池温度检查、充电电流和电压监控、异常时停止充电、充电时禁止行走、未完成断开前不得启动。对于酒店这种公共环境，充电桩位置、标识、防水、防误触、维护方式也要一起考虑。充电触点应隐藏或设计防误触结构，充电桩应具备防水等级（建议IPX4以上），维护人员接触带电部件前必须断电。04ISO12100风险降低三步法Three-StepRiskReductionMethod风险降低优先级：三步法不可颠倒核心原则：不能直接在外表面加一个警示标贴"请用户不要靠近机器人"，然后就认为风险解决了。也不能说"我们有激光雷达"，就默认所有碰撞风险都消失了。三个层级的顺序不能颠倒。第一步本质安全设计从结构和系统本身降低风险。不依赖复杂算法，也不依赖用户正确操作，是安全设计的基础。优先级最高第二步防护措施传感器检测、控制器判断、执行器停止、联锁、限位、报警等。涉及UL3300、ISO13849的控制系统安全问题。优先级中等第三步使用说明与残余风险说明书、标识和培训。可以降低残余风险，但不能代替设计措施。优先级最低为什么顺序不能颠倒？本质安全设计从源头消除或降低风险，是最可靠的安全措施，不依赖任何外部条件。防护措施在本质安全设计的基础上，通过主动检测和控制来进一步降低风险。使用说明只能提醒用户注意残余风险，完全依赖用户的正确操作，是最不可靠的一层。如果跳过前两步直接用警示标贴，等于把安全责任完全推给用户，这在ISO12100框架下是不被接受的。第一步：本质安全设计—从源头降低风险本质安全设计是通过改变设计从根本上消除危险或减少风险。这些措施不依赖复杂算法，也不依赖用户正确操作，是安全设计的基础，也是最可靠的安全层级。八大本质安全设计措施设计措施具体实现降低的风险外壳圆角设计机器人外壳做圆角，减少尖锐边，接触部位圆形无锐边碰撞时降低划伤和刺伤风险降低底盘重心电池和驱动模块布置在底盘下部，降低整体重心高度减少坡道和碰撞时的倾覆风险限速限加速度最大速度和最大加速度在硬件层面受限，不依赖软件降低碰撞动能，缩短刹车距离限制闭合力舱门电机扭矩受限，关门力不超过安全阈值防止舱门夹伤用户手部隐藏充电触点充电触点设计为隐藏式或带防护盖，防止误触和异物进入降低触电和异物短接风险电池机械固定热隔离电池包有机械固定和热隔离，防止碰撞移位和热扩散倾覆后防止电池起火和二次伤害避免剪切点关键运动机构避免形成剪切点，升降和旋转机构加防护防止运动机构夹伤和剪切第二步与第三步：防护措施与使用说明第二步：防护措施防护措施包括传感器检测、控制器判断、执行器停止、联锁、限位、报警等。这部分涉及UL3300、ISO13849或IEC62061里更关注的控制系统安全问题。典型防护措施：1.人员检测后减速2.障碍物进入保护区后停车3.舱门打开时禁止移动4.急停按下后切断驱动5.检测到坡道或跌落风险时停车6.充电未正确连接时禁止充电7.电池过温时停止充电并报警第三步：使用说明与残余风险最后才是说明书、标识和培训。说明书和警示标贴可以降低残余风险，但不能代替设计措施。典型使用说明：1.禁止儿童攀爬机器人2.禁止坐在机器人上3.机器人运行区域不得堆放杂物4.充电区不得冲洗5.维护前断电6.异常报警后由工作人员处理7.不得在机器人运行时阻挡其路径防护措施的核心要求：完整安全链路防护措施不能只考虑"传感器能不能识别"，还要看安全链路是否完整。一个完整的安全链路应该是：检测到异常→控制器确认进入安全状态→停止驱动命令输出→电机驱动器关闭或制动→通过反馈确认已经停止→超时未停止则进入故障锁定。如果只做到软件发一个stop命令，但没有确认驱动器是否执行，没有速度反馈，没有超时处理，那么这个安全链路是不完整的。防护措施的可靠性直接决定了安全功能的PL等级。05核心安全功能设计CoreSafetyFunctionDesign安全功能一：人员检测减速传感器-控制器-执行器三层架构层级组件与功能传感器LiDAR、ToF、深度相机、超声波、防撞触边控制器主控SoC做环境感知和路径规划；安全MCU或独立控制器做速度限制、保护区判断和异常监控执行器驱动电机、制动器、电机驱动器使能信号安全逻辑与关键注意事项安全逻辑：1.人员进入预警区→机器人降速2.进入保护区→机器人停车3.传感器数据丢失或通信异常→进入降级或停车状态4.双区域设计：预警区（减速）+保护区（停车）关键注意事项：1.人员检测不能完全依赖上位机视觉算法2.视觉算法受光照、遮挡、反光、儿童身高、宠物形态影响明显3.如定义为安全功能，需考虑诊断机制、故障反应时间和失效后安全状态4.建议多传感器融合：LiDAR+深度相机+超声波安全功能二：障碍物停车完整链路障碍物停车是送餐机器人最基本的安全功能之一。但障碍物停车不能只考虑雷达能不能识别，还要看停车链路是否完整。完整停车链路（五步闭环）第一步检测到障碍物第二步控制器确认停车区域第三步停止驱动命令输出第四步电机关闭或制动第五步速度反馈确认停止常见错误：如果只做到软件发一个stop命令，但没有确认驱动器是否执行，没有速度反馈，没有超时处理，那么这个安全链路是不完整的。工程实现方案1.LiDAR负责前方区域检测，提供障碍物距离和角度信息2.触边开关负责最后接触保护，当LiDAR漏检时提供物理接触检测3.轮速编码器确认实际速度，验证停车命令是否被执行4.MCU监控停车时间，如果超过规定时间仍有速度反馈，则进入故障锁定状态安全功能三：急停设计—不是普通暂停键急停的目标：让机器人尽快进入安全状态服务机器人一般不属于大型工业设备，但只要产品上设置了急停，就不能把它做成普通UI按钮。急停至少应影响：1.行走驱动停止2.舱门动作停止3.升降或旋转机构停止4.必要时切断驱动使能5.保持故障状态，不能自动恢复运动保守设计方案：安全控制器独立架构设计要点具体实现急停输入路径急停输入进入安全控制器或安全MCU，不经过上位机操作系统驱动控制安全控制器直接控制驱动使能或制动，硬件层面切断动力上位机权限上位机可以知道急停状态，但不能单独决定是否解除急停复位机制复位需要人工确认，不能自动恢复运动，防止误操作导致二次危险安全功能四至六：舱盖联锁、跌落检测与充电联锁四、门/舱盖联锁风险：用户取餐时机器人突然移动基本逻辑：1.舱门未关闭，禁止行走2.舱门打开时，驱动保持停止3.关门过程中限制闭合力4.检测到阻力时反向或停止5.舱门状态异常时不能继续任务传感器：干簧管、微动开关、霍尔开关、编码器、电流检测五、坡道/跌落检测风险：门槛、坡道、地毯边、电梯缝隙导致跌落多传感器组合：1.IMU检测俯仰和横滚角2.轮速检测打滑或悬空3.前向/下视ToF检测地面高度变化4.地图限制禁入区域5.电梯状态确认是否允许进入原则：IMU不单独承担所有跌落保护，需交叉验证六、充电联锁风险：低压不等于没有安全问题，起火/触电风险联锁至少考虑：1.机器人到位确认2.充电触点接触确认3.电池温度检查4.充电电流和电压监控5.异常时停止充电6.充电时禁止行走7.未完成断开前不得启动三大安全功能的共同设计原则1.完整安全链路：每个安全功能都必须建立"检测-判断-执行-反馈"的完整闭环，不能只做到发命令而不确认执行结果。2.多传感器冗余：关键安全功能不能依赖单一传感器，应采用多传感器交叉验证，防止单点故障导致安全功能失效。3.故障安全状态：当传感器失效、通信中断或控制器异常时，系统必须自动进入安全状态（停车、停止充电、保持舱门状态），而不是继续运行。4.不依赖UI状态：如果安全功能被定义为安全功能，就不能只靠UI状态判断，而要有可靠的硬件状态输入和故障诊断机制。06功能安全标准体系FunctionalSafetyStandardsSystemUL3300：服务机器人产品安全标准标准概述：UL3300是美国保险商实验所发布的服务、通信、信息、教育和娱乐（SCIEE）机器人安全标准，2020年9月首次推出测试大纲，2025年2月正式发布第一版，最新修订于2026年8月，共72页。已纳入OSHA的NRTL计划认可测试标准列表。适用范围与核心要求适用产品：服务、通信、信息、教育和娱乐（SCIEE）机器人，在公共场所和商业空间独立执行任务核心目标：确保机器人在正常使用和可预见的误用条件下，不会对人员或周围环境造成危险补充标准：UL62368-1（音频/视频、信息和通信技术设备安全）认证案例：LG电子CLOiServeBot获全球首张商用服务机器人UL3300认证；SimbeTally获首个面向公众机器人认证关键安全模块与测试要点安全模块关键条款与测试点移动性按质量和最大速度分级（Class1-3），Class1限速≤0.5m/s避障多传感器融合（LiDAR、视觉、超声波、触觉），故障安全设计急停碰撞后力/扭矩限制，动能分级，可预见误用场景验证功能安全安全相关控制系统要求，传感器失效强制进入安全状态技术依据：基于动能公式E=1/2mv²，通过限制质量和速度来控制碰撞能量。要求"故障安全"设计：传感器失效时强制机器人进入安全状态。相关标准：ENISO13482（个人护理机器人安全要求）、UL3320（商用机器人厨房设备检测大纲）、UL5500（远程软件更新安全标准）、ISO13849-1（功能安全）ISO13849/IEC62061：功能安全标准解析常见误解：很多人认为ISO13849、IEC62061是"工业设备才用的功能安全标准"。但只要机器人里存在安全相关控制功能，就会遇到类似问题。这些标准关注的不是机器人送餐快不快，也不是导航算法聪不聪明。功能安全标准关注的核心问题1.安全功能定义这个控制功能是不是安全功能？它失效会不会导致危险？2.安全性能要求需要达到什么安全性能？传感器、控制器、执行器怎么组合？3.故障容忍能力单点故障会不会直接导致危险？有没有诊断？故障后能不能进入安全状态？三大标准的分工与协作关系标准核心关注点在服务机器人中的应用ISO12100先告诉你风险在哪里，风险评估与风险降低的逻辑识别六类风险，确定风险降低目标UL3300从服务机器人产品角度看整体安全构造、移动性、避障、电池、软件更新ISO13849/IEC62061进一步看安全相关控制系统是否足够可靠急停、障碍物停车、舱门联锁等安全功能的PL等级PL性能等级与安全性能要求PL（PerformanceLevel，性能等级）是ISO13849-1用来定量衡量安全控制系统可靠性的标尺，回答"这个安全回路每小时出致命故障的概率是多少"。PL等级与PFHd对应关系PL等级PFHd范围(1/h)风险等级a≥10⁻⁵低风险b≥3×10⁻⁶且<10⁻⁵较低风险c≥10⁻⁶且<3×10⁻⁶中等风险d≥10⁻⁷且<10⁻⁶较高风险e≥10⁻⁸且<10⁻⁷高风险（最高）PLr确定方法：风险图三变量ISO13849以风险为基础判定所需性能等级（PLr），评估方法以三个关键变量为基础：S-严重程度：轻伤（S1）/重伤或死亡（S2）F-暴露频率：很少到较频繁（F1）/频繁到持续（F2）P-避免可能性：可能（P1）/几乎不可能（P2）服务机器人典型安全功能PL等级参考：1.急停功能：通常要求PLd（高风险，最后安全屏障）2.障碍物停车：根据重量速度，PLc~PLd3.舱门联锁：通常要求PLc（夹伤风险）4.充电联锁：通常要求PLc~PLd（电气安全）5.人员检测减速：通常要求PLb~PLc关键原则：PLe为最高要求（风险最高场景）。PL等级的实现需要从结构类别（CategoryB/1/2/3/4）、MTTFd（平均危险失效时间）、DCavg（平均诊断覆盖率）和CCF（共因失效）四个维度综合评估，不是简单地加冗余传感器就能达到。安全架构：上位机算法与安全控制层分离核心原则：不要把上位机算法当成唯一安全边界。酒店送餐机器人往往有一个主控SoC，负责地图、定位、路径规划、视觉识别、任务调度。这些功能很重要，但它们不能作为唯一安全保护措施。上位机系统的局限性1.系统复杂：主控SoC运行复杂的操作系统和应用程序，软件规模大，难以完全验证2.可能卡死：操作系统可能出现死锁、内存泄漏、进程崩溃等问题3.算法误判：视觉算法受光照、遮挡、反光影响，可能漏检或误检障碍物4.通信中断：内部总线或外部通信可能中断，导致命令无法传达5.地图错误：地图数据可能错误或过期，定位可能漂移6.版本变化：软件版本更新可能引入新的bug，影响安全功能推荐的双层安全架构上位机层（SoC）：负责"我要去哪里"——地图、定位、路径规划、视觉识别、任务调度安全控制层（SafetyMCU）：负责"什么时候必须停下来"——监控急停、触边、舱门、轮速、坡度；驱动器接受安全使能；关键状态反馈确认；通信中断时进入停车或降级状态移动机器人安全设计的核心原则导航系统不是安全系统。安全系统必须能处理导航系统失效后的行为。在正常运行时，安全系统不干扰上位机的正常功能；但在系统失效、环境变化、人员误操作时，安全系统仍然知道什么时候必须停下来，并能可靠地执行停车动作。这就是ISO12100解决风险评估逻辑、UL3300关注产品整体安全、ISO13849把安全功能拆到传感器-控制器-执行器和诊断能力上的最终目标。07总结与实践建议SummaryandPracticalRecommendations服务机器人安全设计核心要点总结一、风险评估先行1.先评估使用场景，机器人不是在实验室里跑2.识别六类风险：碰撞、夹伤、跌落、禁区、充电、软件3.按严重程度和发生概率评估风险等级4.风险评估覆盖全生命周期：设计、制造、安装、操作、维护、报废5.慢速只能降低一部分风险，不能代替系统性安全设计二、风险降低三步法1.本质安全设计优先：圆角、降重心、限速、限力、隐藏触点2.防护措施其次：传感器检测、控制器判断、执行器停止、联锁3.使用说明最后：说明书、标识、培训，不能代替设计措施4.三个层级顺序不能颠倒，不能只靠警示标贴5.不能说"有激光雷达"就默认所有碰撞风险都消失了三、安全功能完整链路1.每个安全功能建立"检测-判断-执行-反馈"完整闭环2.多传感器冗余，不依赖单一传感器或单一算法3.故障安全状态：失效时自动进入停车/停止充电状态4.急停不依赖普通应用软件，进入安全控制器5.超时未执行则进入故障锁定，不能只发命令不确认四、标准体系与架构1.ISO12100：风险评估与风险降低的逻辑框架2.