【導(dǎo)讀】目前，尚無(wú)專門(mén)針對(duì)人形機(jī)器人的功能安全標(biāo)準(zhǔn)。因此，至少在現(xiàn)階段，仍需依據(jù)現(xiàn)有標(biāo)準(zhǔn)提供指導(dǎo)，包括IEC 61508（通用工業(yè)功能安全）、ISO 10218（工業(yè)機(jī)器人）、ISO 13849（機(jī)械安全）、IEC 61784-3（黑色通道數(shù)據(jù)通信）等。我認(rèn)為人形機(jī)器人在未來(lái)可能會(huì)更多依賴IEC 61508標(biāo)準(zhǔn)，相關(guān)內(nèi)容將在后續(xù)博客中詳述。本文將探討工業(yè)機(jī)器人（含人形機(jī)器人）的安全級(jí)數(shù)據(jù)通信問(wèn)題。
主要的工業(yè)機(jī)器人標(biāo)準(zhǔn)ISO 10218-1:2025新增了第5.3.6節(jié)，專門(mén)涵蓋通信內(nèi)容。新增章節(jié)雖然篇幅不長(zhǎng)，但包含了幾個(gè)重要的概念。條款中引入了“傳輸類別”，借鑒自鐵路通信標(biāo)準(zhǔn)IEC 62280/EN 50159。
傳輸類別1：封閉式傳輸系統(tǒng)，例如機(jī)器人內(nèi)部網(wǎng)絡(luò)。
傳輸類別2：半開(kāi)放式系統(tǒng)，例如固定機(jī)器人與PLC間的以太網(wǎng)連接。
傳輸類別3：全開(kāi)放式系統(tǒng)，例如連接人形機(jī)器人與集中控制系統(tǒng)的WiFi網(wǎng)絡(luò)。
針對(duì)不同傳輸類別，需對(duì)常規(guī)網(wǎng)絡(luò)威脅采取不同嚴(yán)格程度的防護(hù)措施，具體要求遵循IEC 62280（鐵路通信）與IEC 61784-3（現(xiàn)場(chǎng)總線），這兩項(xiàng)標(biāo)準(zhǔn)均被IEC 61508引用。標(biāo)準(zhǔn)明確了常見(jiàn)數(shù)據(jù)通信威脅的防護(hù)（應(yīng)對(duì)措施）優(yōu)先級(jí)，具體如下：
“-”：低優(yōu)先級(jí)，此類威脅發(fā)生概率極低，無(wú)需重點(diǎn)防護(hù)。
“+”：中優(yōu)先級(jí)，需采取措施檢測(cè)此類較易發(fā)生的故障。
“++”：高優(yōu)先級(jí)，必須全力防護(hù)此類高頻高危威脅。
以下是ISO 10218-1:2025中的表3，列出了各傳輸類別（TC）針對(duì)常見(jiàn)網(wǎng)絡(luò)威脅的防護(hù)要求。
這意味著，對(duì)于機(jī)器人本體內(nèi)部承載安全數(shù)據(jù)的網(wǎng)絡(luò)（TC 1），需重點(diǎn)防護(hù)數(shù)據(jù)損壞威脅（參見(jiàn)此處的往期博客）。對(duì)于其他威脅，雖需采取措施，但防護(hù)力度可適當(dāng)降低。ISO 10218標(biāo)準(zhǔn)將偽裝攻擊對(duì)TC1的風(fēng)險(xiǎn)等級(jí)列為“-”（即通常無(wú)需額外防護(hù)）。
此處“偽裝攻擊”指：網(wǎng)絡(luò)中某節(jié)點(diǎn)偽造為合法安全通信節(jié)點(diǎn)，接收端若無(wú)專項(xiàng)防護(hù)措施則無(wú)法識(shí)別真?zhèn)巍５珯C(jī)器人內(nèi)部網(wǎng)絡(luò)節(jié)點(diǎn)固定（如每軸1個(gè)，1個(gè)用于控制器，1個(gè)用于末端執(zhí)行器），且機(jī)體結(jié)構(gòu)可杜絕新增非法節(jié)點(diǎn)，因此偽裝攻擊風(fēng)險(xiǎn)極低。
對(duì)于開(kāi)放性更高、邊界更模糊的TC 2，需嚴(yán)肅對(duì)待更多威脅；而TC 3則必須重點(diǎn)防護(hù)偽裝攻擊。TC 3屬于開(kāi)放式網(wǎng)絡(luò)（如無(wú)線網(wǎng)絡(luò)），接入節(jié)點(diǎn)數(shù)量無(wú)限制。
注1：“偽裝攻擊”不包含蓄意欺詐行為，后者屬于網(wǎng)絡(luò)安全范疇，由ISO 10218-1:2025新增第5.1.16節(jié)規(guī)范。
注2：“威脅”為網(wǎng)絡(luò)安全標(biāo)準(zhǔn)常用術(shù)語(yǔ)，本文語(yǔ)境對(duì)應(yīng)IEC 61784-3定義“通信錯(cuò)誤”；IEC 62280標(biāo)準(zhǔn)也在非網(wǎng)絡(luò)安全場(chǎng)景中使用該術(shù)語(yǔ)。
上述防護(hù)措施通常在通信鏈路端點(diǎn)的SCL（安全通信層）實(shí)現(xiàn)。SCL為依據(jù)系統(tǒng)能力（SC）要求開(kāi)發(fā)的軟件，運(yùn)行于符合SC要求的硬件之上；對(duì)每條邏輯鏈路，其導(dǎo)致安全功能的每小時(shí)危險(xiǎn)故障平均概率（PFH）貢獻(xiàn)值通常不超過(guò)1%。
“+”與“++”對(duì)應(yīng)不同防護(hù)等級(jí)：高等級(jí)（++）通常需采用雙重防護(hù)機(jī)制。例如，針對(duì)“數(shù)據(jù)延遲”威脅，等級(jí)為“++”時(shí)需同時(shí)設(shè)置時(shí)間戳 + 超時(shí)檢測(cè)；等級(jí)為“+”時(shí)僅需單一防護(hù)措施。
針對(duì)“數(shù)據(jù)重復(fù)”威脅，高等級(jí)防護(hù)可采用長(zhǎng)序列號(hào)機(jī)制（而非簡(jiǎn)單位翻轉(zhuǎn)），有效防止序列號(hào)回滾導(dǎo)致的防護(hù)失效。
回到人形機(jī)器人：人形機(jī)器人的移動(dòng)特性，決定了必須采用無(wú)線網(wǎng)絡(luò)通信。因此，若遵循ISO 10218:2025標(biāo)準(zhǔn)，此類網(wǎng)絡(luò)上的安全級(jí)通信需對(duì)所有威脅采取高等級(jí)防護(hù)（++），因而通信復(fù)雜度遠(yuǎn)高于采用有線以太網(wǎng)的固定機(jī)器人。理想情況下，人形機(jī)器人的安全功能不應(yīng)依賴無(wú)線網(wǎng)絡(luò)，但可行性尚不明確。
