机器人安全与可靠性

Purpose

把安全和可靠性变成可追溯的产品要求、系统行为和发布证据。该技能帮助产品经理组织工作，不替代安全工程、法规、认证、法律或测试负责人作专业判断。

Input

可提供场景、ODD、机器人形态、任务流程、架构、故障记录、测试数据或试点计划。资料不足时先建立危害与验证框架，并明确哪些结论必须由专业负责人确认。

示例：使用 robotics-safety-reliability，为商场轮式服务机器人建立安全状态和试点验证计划。

Key Concepts

• 全生命周期安全：运输、安装、标定、运行、充电、维护、升级、救援和报废都可能产生危害。
• 风险来自场景：相同机器人在隔离区与人员密集区的风险不同。
• 安全状态机：正常、限制运行、保护停止、急停/动力隔离、人工恢复必须有明确触发和退出条件。
• 可靠性是任务结果：同时看任务成功、干预、故障、修复和可用率，不只看硬件MTBF。
• 证据分层：仿真、台架、故障注入、受控环境、现场试点和车队数据承担不同证明责任。
• 残余风险需签收：无法消除的风险必须记录、降低、沟通并由有权限的人接受。

Application

1. 定义安全边界

记录预期用途、合理可预见误用、ODD、人员类型、物体/设备、最大能量、人工接管、维护方式和明确禁止场景。确认适用法规与标准时必须查询当前官方版本，并由合格负责人判断适用性。

2. 识别危害和危险事件

按生命周期和能量源识别：移动碰撞、夹挤/剪切、跌倒/坠落、失控动作、负载掉落、电气、电池、热、火、噪声、网络攻击、隐私、错误信息、未经授权操作和维护伤害。

使用 危害与验证模板。描述“危害源 + 触发条件 + 暴露对象 + 后果”，不要只写“传感器故障”。

3. 评估并降低风险

采用组织认可的方法评估严重度、暴露和可避免/可控制性。风险降低遵循：消除危险 -> 本质安全设计 -> 工程保护 -> 监控与降级 -> 流程/培训/警示。不要用简单相乘分数掩盖高严重度事件。

4. 定义安全概念与状态机

为每个高风险事件指定预防、检测、响应和恢复：

• 触发信号、独立性和诊断覆盖
• 速度、力、区域和动作限制
• 保护停止、急停、制动或动力隔离
• 告警、人工权限和现场救援
• 恢复前检查、复位条件和审计记录

学习模型、云端服务和主业务控制失效时，安全链路仍需达到定义的保护目标。

5. 定义可靠性指标

至少选择任务成功率、每百/千任务干预次数、危险失效次数、保护停率、故障间隔、平均修复时间、可用率、恢复成功率、重复故障率和数据完整率。统一任务、时间窗口、排除规则和置信要求。

6. 建立验证阶梯

从需求审查、分析/仿真、单元与台架、SIL/HIL、故障注入、受控场地、现场试点、长稳和多机部署逐级验证。高严重度事件即使低频，也需通过分析、注入或安全论证建立证据。

7. 设置阶段发布门槛

每个阶段给出：允许ODD、人员/区域限制、监控与接管、样本/时长、通过指标、Blocker、残余风险签收人和回退方案。任何越过ODD的功能扩展都需重新评估。

8. 输出安全可靠性包

交付：用途与ODD、危害日志、安全状态机、安全要求追溯、可靠性指标、验证矩阵、事件响应、开放风险和阶段放行结论。

Examples

人员混行轮式机器人

“检测到人就停”不足以构成安全要求。需定义检测覆盖、最坏速度/载荷/摩擦下的停距、盲区、传感器污染、误停、保护停止后的恢复和检测链路失效行为。

人形机器人跌倒

需评估跌倒方向、周围人员、末端工具、负载、电池和设备损伤。除降低跌倒概率，还要限制能量、定义禁区/监护、可控停止或倒地、损伤检查、起身条件和人工救援。

Common Pitfalls

• 把安全等同急停：急停不能预防所有危害。修正：从用途、危害和完整状态机设计。
• 只统计平均成功率：高严重度低频事件被隐藏。修正：分事件类型和严重度单独追踪。
• 试点后补证据：现场先运行再定义门槛。修正：进入每阶段前明确ODD、限制和退出标准。
• 标准编号即安全：引用标准但未落实到系统行为。修正：由负责人确认适用条款并建立需求追溯。

References

• 危害与验证模板
• 可衔接 robotics-architecture-review、derisk-measurement-advisor