【導讀】目前，尚無專門針對人形機器人的功能安全標準。因此，至少在現階段，仍需依據現有標準提供指導，包括IEC 61508（通用工業功能安全）、ISO 10218（工業機器人）、ISO 13849（機械安全）、IEC 61784-3（黑色通道數據通信）等。我認為人形機器人在未來可能會更多依賴IEC 61508標準，相關內容將在后續博客中詳述。本文將探討工業機器人（含人形機器人）的安全級數據通信問題。
主要的工業機器人標準ISO 10218-1:2025新增了第5.3.6節，專門涵蓋通信內容。新增章節雖然篇幅不長，但包含了幾個重要的概念。條款中引入了“傳輸類別”，借鑒自鐵路通信標準IEC 62280/EN 50159。
傳輸類別1：封閉式傳輸系統，例如機器人內部網絡。
傳輸類別2：半開放式系統，例如固定機器人與PLC間的以太網連接。
傳輸類別3：全開放式系統，例如連接人形機器人與集中控制系統的WiFi網絡。
針對不同傳輸類別，需對常規網絡威脅采取不同嚴格程度的防護措施，具體要求遵循IEC 62280（鐵路通信）與IEC 61784-3（現場總線），這兩項標準均被IEC 61508引用。標準明確了常見數據通信威脅的防護（應對措施）優先級，具體如下：
“-”：低優先級，此類威脅發生概率極低，無需重點防護。
“+”：中優先級，需采取措施檢測此類較易發生的故障。
“++”：高優先級，必須全力防護此類高頻高危威脅。
以下是ISO 10218-1:2025中的表3，列出了各傳輸類別（TC）針對常見網絡威脅的防護要求。
圖1：ISO 10218-1:2025定義的傳輸類別
這意味著，對于機器人本體內部承載安全數據的網絡（TC 1），需重點防護數據損壞威脅（參見此處的往期博客）。對于其他威脅，雖需采取措施，但防護力度可適當降低。ISO 10218標準將偽裝攻擊對TC1的風險等級列為“-”（即通常無需額外防護）。
此處“偽裝攻擊”指：網絡中某節點偽造為合法安全通信節點，接收端若無專項防護措施則無法識別真偽。但機器人內部網絡節點固定（如每軸1個，1個用于控制器，1個用于末端執行器），且機體結構可杜絕新增非法節點，因此偽裝攻擊風險極低。
圖2：IEC 61784中關于偽裝誤差的描述
對于開放性更高、邊界更模糊的TC 2，需嚴肅對待更多威脅；而TC 3則必須重點防護偽裝攻擊。TC 3屬于開放式網絡（如無線網絡），接入節點數量無限制。
注1：“偽裝攻擊”不包含蓄意欺詐行為，后者屬于網絡安全范疇，由ISO 10218-1:2025新增第5.1.16節規范。
注2：“威脅”為網絡安全標準常用術語，本文語境對應IEC 61784-3定義“通信錯誤”；IEC 62280標準也在非網絡安全場景中使用該術語。
上述防護措施通常在通信鏈路端點的SCL（安全通信層）實現。SCL為依據系統能力（SC）要求開發的軟件，運行于符合SC要求的硬件之上；對每條邏輯鏈路，其導致安全功能的每小時危險故障平均概率（PFH）貢獻值通常不超過1%。
“+”與“++”對應不同防護等級：高等級（++）通常需采用雙重防護機制。例如，針對“數據延遲”威脅，等級為“++”時需同時設置時間戳 + 超時檢測；等級為“+”時僅需單一防護措施。
針對“數據重復”威脅，高等級防護可采用長序列號機制（而非簡單位翻轉），有效防止序列號回滾導致的防護失效。
回到人形機器人：人形機器人的移動特性，決定了必須采用無線網絡通信。因此，若遵循ISO 10218:2025標準，此類網絡上的安全級通信需對所有威脅采取高等級防護（++），因而通信復雜度遠高于采用有線以太網的固定機器人。理想情況下，人形機器人的安全功能不應依賴無線網絡，但可行性尚不明確。
