紧急停止和保护性停止都可以停止机器人运动，但它们的作用不同。紧急停止是针对紧急情况发起的补充保护措施，而保护性停止则响应应用定义的安全或安全相关条件。
安全停止通常是家族或厂商的术语，而非统一的最终状态。工程师必须阅读项目和驾驶文档，针对每个危险规定受控减速、转矩或制动状态、残余能量、复位和有意重启。
本指南具有教育性质，不能取代标准、法律要求或合格的验证。请与 机器人制动和安全停止指南 以及 SSM指南一起使用。
在站名之前先定义目的
写下危险、发起事件、受影响的运动以及预期的风险降低。保安或扫描员请求的停车并不自动等同于由个人发起的紧急情况。
记录所有模式的可用性，包括设置和恢复。为了方便而使用的生产停止可能缺乏安全相关的架构和故障响应以实现保护。
具体说明整个停止状态转换
描述请求检测、通信、受控减速（如使用）、转矩状态、制动接合、过程能量行为、最终监测和重启条件。“停止”一词涵盖了许多物理上不同的状态。
包括断电和通信中断后发生的情况。确认序列不会导致断电、失去平衡或轴线失控。
| 函数项 | 典型用途 | 发起者 | 工程问题 |
|---|---|---|---|
| 紧急停车 | 应急响应 | 人机执行器 | 它能降低风险吗 |
| 保护性止挡 | 保护条件 | 安全装置或逻辑 | 什么条件会好转 |
| 作业停止 | 过程控制 | 自动化 | 是安全问题吗 |
| STO | 防止产生转矩 | 安全驱动功能 | 什么能让动作停止 |
| 安全停止期 | 项目特定序列 | 定义接口 | 具体是哪个函数 |
不要从按钮推断行为
红色蘑菇执行器仅为一个输入。保护取决于触点或电子设备、线路、安全逻辑、通信、驱动、制动、执行器以及机器的物理状态。
测试可达性、识别、锁扣、重置及完整响应。指示灯正常工作并不代表安全链已验证。
选择减速和最终能量状态，避免风险
即时转矩消除可以延长滑行或释放重力轴，而受控制动则依赖主动控制，直到进入安全转矩状态。正确的顺序取决于动力学、危险和经过验证的驱动功能。
明确什么维护有效载荷，以及如果受控减速失败会发生什么。不要假设某一类别或驱动器缩写能适用于所有轴和过程。
把STO当作转矩预防，而不是瞬间停止
安全转矩关闭防止驱动根据其定义的功能产生转矩能量，但现有运动可能滑行，重力或外部力可能推动机构。仍然可能需要制动或其他措施。
测量应用中实现的停止和残余运动。阅读准确的驱动手册和验证后的架构，而不是将缩写扩展成假设的物理结果。
控制保护停止复位与重启
清除扫描仪或关闭防护装置并不证明该保护区域是空的或任务状态是安全的。定义重置位置、可见性、存在检测和防重复行为。
重置本身不得启动危险运动。在适用的风险评估和标准要求时，要求单独的有意启动。
控制紧急停止释放和重启
释放紧急停止执行器仅使重启成为可能；不应命令动作。调查并清除紧急状态，恢复安全状态并使用定义的重启程序。
防止远程或自动重启让机器旁人员感到意外。保留事件历史和受影响的安全通道以供诊断。
测量不利的停止时间和距离
测试最不利的相关速度、方向、姿态、载荷、工具延伸、温度和制动状况。测量从启动状态到定义的最终安全状态，而不仅仅是控制器确认。
利用反复试验和高分辨率走迹捕捉变异性。将结果输入保护和分离计算，并监测漂移。
停止后控制残余和工艺能量
停止的机器人关节仍可能留下悬挂载荷、气压、弹簧、旋转工具、热量、真空、焊接或切割能量。定义每种部件如何固定或隔离。
紧急停止不能替代服役期间所需的能量隔离。连接停止响应响应端 执行器安全指南。
在范围内使用现行标准
ISO目录将 ISO 13850:2015 列为当前发布的紧急停止设计版本，同时其审查生命周期仍在继续。目录中列出了工业机器人应用和单元的 ISO 10218-2:2025。
ISO 13849-1:2023 及当前验证版也可能与安全相关控制相关。请与有能力的专业人员确定适用版本和法律要求；本摘要不构成规范性设计。
在安全链上注入故障
在适当情况下测试开路和短路、卡住触点、传感器不匹配、通信丢失、驱动故障、刹车失效、陈旧状态和断电。确认检测、诊断响应及物理状态。
故障测试不应仅止于错误代码。观察运动、有效载荷、工艺能量并重启抑制。
| 测试 | 不利条件 | 预期证据 | 失败 |
|---|---|---|---|
| 请求 | 输入通道故障 | 定义响应 | 没有被发现 |
| 减速 | 最差负载 | 测量止点 | 边界被超越 |
| 能源 | 功率或压力损失 | 稳定状态 | 下降或滑行 |
| 重置 | 该人仍暴露在外 | 重启被抑制 | 意外运动 |
| 恢复 | 多重故障 | 安全升级 | 静音绕行 |
发布停止函数规范
对于每一次停车、记录目的、启动设备、模式、受影响的危险、顺序、行驶和制动状态、剩余能量、所需性能、测量的制动、故障、复位、重启、检查和更换触发。
仔细审查，请进行以下检查。
评估“机器人紧急停止、保护停止与安全停止”时，还应保存模型版本、机器人配置、标定文件、测试日期和全部试验记录。把成功、失败、恢复与人工介入放在同一份数据中，才能区分模型能力、系统接口和现场流程造成的差异。
成本评估除了设备与算力，还要记录数据采集、工程调试、安全措施、维护、停机和人员培训。只有把这些持续投入与单位成功任务的价值比较，才能判断方案是否适合扩大。
上线后仍要持续检查分布变化、传感器漂移、机械磨损和人工接管原因。监测结果应能触发降级、停止与重新验证流程，并为下一轮数据采集和模型更新留下可追溯记录。
最终结论应明确写出已知限制、尚未验证的场景和下一项可证伪的实验，使后续团队能够沿着证据继续推进。
实际项目还应指定数据、模型、控制器和安全流程的负责人，并预先定义回滚条件。责任边界、审批记录与变更日志越清楚，故障发生后越容易停止扩散、定位原因并安全恢复。
把任务拆成感知、决策、动作执行和结果确认，可以更准确地定位瓶颈。每一阶段都应有独立指标与失败示例，避免用端到端成功率掩盖偶发但严重的风险。
引用的产品规格、论文结果和监管要求需要记录发布日期与适用版本。资料更新后应重新核对关键结论；无法从一手来源确认的内容，应明确标注为待验证信息。
小规模试点的价值在于提前暴露接口、人员协作和异常处理问题。试点结束后应依据预设门槛决定扩大、修改或停止，而不是因为已经投入资源就默认继续。
所有结论都应能够追溯到原始记录，并可复核。
硬件与软件接口应分别记录单位、坐标系、时钟、延迟和允许范围，并通过自动测试检查不一致。接口定义变化时，旧数据和旧控制参数不能在未经验证的情况下直接复用。
异常测试应覆盖断电、通信丢失、传感器失真、对象滑移和人员进入工作区等情形。系统不仅要发现异常，还应以可预测的方式减速、停止或请求人工确认。
维护计划需要把检查周期、易损件、备件、校准和软件更新纳入同一套记录。若维护成本或停机时间持续上升，应重新评估系统设计，而不是只提高操作人员负担。
报告平均值之外，还应公开最差结果、分布尾部和失败视频或日志索引。对安全关键任务而言，少数严重失败往往比平均性能更能决定是否可以部署。
当证据不足时，最专业的结论是缩小适用范围并说明还缺什么数据。明确的不确定性不会削弱文章，反而能防止读者把研究结果误解为已验证的产品能力。
- 区分紧急、保护和作战目的。
- 指定减速和最终物理状态。
- 测量最坏情况下的停车和残留危险。
- 通过完整的安全链注入故障。
- 将重置与故意重启以及能量隔离分开。
常见问题
紧急停止会切断所有电力吗？
不一定；设计会为机器选择降低风险的止点和能量行为。
保护性止损和过程止损是一样的吗？
不。保护性停止是安全响应的一部分；过程停止可能与安全无关。
当紧急停止执行器释放时，运动会重新启动吗？
不。释放后可实现紧急状态解除后单独的受控重启。
STO会瞬间阻止机器人吗？
不会。它阻止了转矩的产生；运动可以滑行或在重力作用下移动，除非有其他措施。
紧急停车能取代能源隔离吗？
不。维护可能需要分别隔离、储存能量耗散和重启预防。
停止目的与重启边界
机器人停止功能是一个经过验证的危险响应序列，而非标签或按钮。为每个应用定义请求、物理停止、能量状态、故障、重置和有意重启。