BMW 把人形机器人放进车间后：功能安全到底按哪本国际标准算？ 到底什么才是功能安全 ？

· BMW 的公开信息证明人形机器人已在真实产线承担重复动作，但不证明它获得了某项功能安全认证。

· ISO 10218、ISO 13849、IEC 62061、IEC 61508 与 ISO/TS 15066 分别管不同边界。

· 角度传感器的安全价值，在位置失真时能否被独立发现，并在危险动作形成前撤掉扭矩。

BMW 今年 6 月披露：Figure 02 在 Spartanburg 工厂的项目中，已协助超过 3 万辆 BMW X3 的生产；下一代 Figure 03 会进入物流排序场景。把大件从无序料箱拣出来，按装配顺序放上料车，再由运输系统送到工位。

新闻里最容易被看成“人形机器人终于上班了”。但真正到了车间，工程师先问的通常不是它会不会走路，而是另一句更扫兴的话：它读错了一个关节的位置，却还在动，谁让它停？

这才是功能安全的起点。

封面为 AI 合成示意图，基于 BMW 人形机器人产线新闻的公开场景信息，不是 BMW 官方现场照片。

先把一个常见误会拆开。功能安全不是“机器人足够聪明”，也不是“它不容易撞人”。它说的是：当某个可能造成伤害的功能失效时，机器能否在规定的时间内、以可证明的方式，转入安全状态。

例如，手臂的安全功能也许是“人员进入协作区域后，末端速度不得超过某个上限”；也许是“检测到关节位置不可信后，撤掉驱动扭矩并抱闸”。这两句话都不是功能安全本身。功能安全发生在后面那串链路：谁检测到人？谁判断位置不可信？判断错了会怎样？安全控制器发出什么命令？驱动器怎样真正把扭矩撤掉？这条链中有任何一环只是“看起来会工作”，都还谈不上安全功能。

BMW 的公开新闻没有披露 Figure 在具体工位采用了哪一种安全架构，更没有给出任何认证结论。它能证明的是另一件更有价值的事实：人形形态已经被拿去做真实、重复、带节拍的制造动作。动作一旦从演示走到产线，风险就不再是抽象的“AI 会不会犯错”，而是能写进风险分析的距离、速度、力、停止时间和失效路径。

先别问 ASIL：BMW 车间里，最先站出来的不是 ISO 26262

BMW 是汽车公司，很容易有人把功能安全直接联想到 ISO 26262 和 ASIL。但 ISO 26262 讨论的是道路车辆的电气/电子功能安全：转向、制动、动力等车辆功能在车辆生命周期内如何控制风险。它不是一把盖章工具，不能因为机器人站在 BMW 工厂里，就自动成为 Figure 工位的安全答案。

产线里首先面对的是机械安全。2025 年发布的 ISO 10218-1，把工业机器人本体当作“尚未完成的机器”，要求处理机器人自身的显著危险、固有安全设计与使用信息；ISO 10218-2 则把镜头从机器人本体拉到完整应用和机器人单元——夹具、围栏、工件、人员通道、上下料、维护状态，都是集成方必须放进风险评估的对象。

这个区分很要紧。机器人厂家可以证明关节、制动器、急停接口具备某些能力，但只有把它放进某个具体工位的人，才知道一辆料车从哪里进来、操作员的手会伸到哪里、夹具合拢要多久、停机后重启会不会造成二次风险。“机器人本体安全”和“这间车间里的机器人单元安全”，是两个交付物。

接着才轮到安全相关控制系统。ISO 13849-1:2023 管的是安全相关控制系统部件（SRP/CS）的设计与集成方法，常见语言是 Performance Level，简称 PL；IEC 62061:2021 则以机械安全的功能安全控制系统为对象，用 SIL 的方法组织设计、集成和验证，并属于 IEC 61508 的行业框架。两条路都不是“买一颗安全芯片就完成”：它们要求先从危险和安全功能出发，再落实架构、诊断、可靠性、软件验证、参数管理和验证证据。

IEC 61508 更像底层语法：它为电气、电子和可编程电子系统的功能安全给出通用框架。IEC 62061 把这套语法带进机械；ISO 13849 则从安全相关控制部件的设计角度提供另一条常用路线。工程上选择哪条路线，要看机器类型、既有安全体系和项目要求，不能把 PL 与 SIL 当成两个能随手互换的贴纸。

人机接触又是另一层。ISO/TS 15066:2016 补充了协作工业机器人系统与工作环境的要求，讨论人机协作时的接触问题；但它仍是技术规范，不适用于所有非工业机器人，且 ISO 已在推进新的 ISO 15066 系列取代工作。对于人形机器人尤其要克制：它的形态像人，不代表它天然就是“协作机器人”；是否能让人靠近、以什么速度和力运行，必须回到具体应用、风险评估与工位防护设计。

这些标准放在一起，才不是一串证书名：ISO 10218 问“机器人和单元有哪些显著危险”；ISO 13849 或 IEC 62061 问“安全功能的控制链怎么做到足够可靠”；IEC 61508 提供电子功能安全的方法地基；ISO/TS 15066 则把人机物理接触的难题推进了一步。Figure 站进 BMW 车间，不会把它们合成一本书，反而会把边界分得更清楚。

角度传感器在哪一秒，变成安全功能的一部分？

把视线收进一只关节。正常控制时，角度传感器告诉电机控制器“转子和连杆现在在哪里”，控制器据此算电流、速度和位置。大部分时候，它服务的是性能：轨迹跟踪好不好、抓取会不会抖、末端能不能对准夹具。

可一旦安全目标写成“位置超出允许范围时必须停止危险运动”，这个角度就不再只是性能输入。它进入了一条安全功能链：

位置测量 → 可信度诊断 → 安全逻辑 → STO / 制动 → 危险运动停止

最容易被忽略的是第二格——可信度诊断。

如果磁环相对芯片偏心，S/C 两路仍可能平滑地输出，atan2 也会给出一条看似连续的角度；问题是这条角度可能已经带着周期性误差。如果控制器只问“数据有没有跳变”，它会把一条稳定的错数据当真。对运动控制而言，这是一点跟踪误差；对安全功能而言，这可能意味着机器人已经越过安全位置，而系统还认为它在边界内。

所以安全链不能只问“精度是否 ±0.1°”。它要继续问：幅值塌了能否发现？两路关系异常能否发现？磁场太弱、太强或被外部导磁件改变时有没有诊断？诊断信号和用于控制的同一条信号链共因失效时，谁来交叉验证？传感器发现异常到驱动真正撤掉扭矩，整个反应时间能否小于危险运动剩下的时间？

最后一个问题可以写成一条很朴素、但必须算进验证报告的关系：

左边是传感器诊断、逻辑处理、驱动关断与机械制动的总时间；右边是危险真正形成前还剩下的时间。它不是某本标准替你给出的万能阈值，而是系统工程师必须用具体工位的速度、距离、负载和风险评估填进去的约束。

这也解释了“冗余”为什么不是多装一颗编码器就结束。两颗传感器若共用同一块磁环、同一块导磁支架、同一供电或同一算法，某些故障会同时把两者带偏。真正有用的独立性，要追到故障来源：磁路、供电、走线、软件、安装与诊断判据，哪些仍然会一起失效？

这件事最后会落到一张极不浪漫的表上

工厂里的人形机器人很容易成为新闻；功能安全文档通常不会。但项目真正往前走，靠的是那张把安全功能拆开的表。

表的第一列不是“使用 ISO 10218”或“目标 SIL/PL”，而是危险场景：人员进入取件区、夹具异常闭合、关节位置失真、维护门被打开后错误重启。第二列才是安全功能：限速、停止、扭矩关闭、抱闸、禁止再启动。再往后写传感器和控制链如何检测、失效后进入什么状态、多久完成、靠什么测试证明。

到这一步，角度传感器数据表里的精度、气隙、偏心、诊断位、接口延迟和失效输出，才会各自找到位置。它们不再是一串被采购拉出来比价的参数，而是某一条安全功能能否闭环的证据。

BMW 的新闻告诉我们，人形机器人进厂已经不是只在视频里跑一遍动作。真正难的阶段刚开始：不是让它“会干活”，而是让每一个可能把人、车、夹具卷进危险里的失效，都有一条能被追溯、验证和解释清楚的停止路径。

这才是功能安全。不是机器人不出错，而是它出错时，系统知道该相信什么、该停在哪里、又凭什么证明自己真的停住了。

公开出处

BMW Group，BMW Group advances the use of Physical AI in production with Figure 03 project in Spartanburg，2026 年 6 月 25 日：Figure 02 在 2025 年支持超过 3 万辆 BMW X3 生产，Figure 03 后续用于物流排序：https://www.press.bmwgroup.com/canada/article/detail/T0458794EN/bmw-group-advances-the-use-of-physical-ai-in-production-with-figure-03-project-in-spartanburg；

ISO 10218-1:2025，Robotics — Safety requirements — Part 1: Industrial robots：https://www.iso.org/standard/73933.html；ISO 10218-2:2025，Industrial robot applications and robot cells，ISO/TC 299 标准目录：https://committee.iso.org/cms/live/live/en/sites/isoorg/contents/data/committee/59/15/5915511/x/catalogue/；

ISO 13849-1:2023，Safety of machinery — Safety-related parts of control systems — Part 1: General principles for design：https://www.iso.org/standard/73481.html；

IEC 62061:2021，Safety of machinery — Functional safety of safety-related control systems，及其 2024、2026 修订信息：https://webstore.iec.ch/en/publication/59927；

ISO/TS 15066:2016，Collaborative robots，2022 年确认、现处修订阶段；ISO/AWI 15066-1 拟取代该技术规范：https://committee.iso.org/standard/62996.html、https://committee.iso.org/standard/91522.html。

◆ ◆ ◆