Digit 5的安全边界，不能只画在机器人身上

2026-10-02

人形机器人, Digit 5, 工厂安全

Agility Robotics与FORT Robotics于10月1日签署合作备忘录，为下一代Digit 5完善安全基础设施。每日观察所列合作范围有三部分：安全操作吊坠、机载通信，以及与外部安全系统连接的Offboard接口。“Offboard Safety Bridge”拟让现场的外部安全系统参与机器人的安全决策，并提供独立的人工覆盖通道。Digit 5还计划加入安全人形检测、安全提示和安全运动控制。这些是合作方向与计划功能；不能据此推断每项功能已经在客户现场完成认证或验收。

人形机器人进入仓库、制造与物流现场后，安全问题不再只发生在机器周边。有人推车经过，通道临时被占用，现场既有的门禁或急停系统发出信号，机器人必须按约定让路、减速或停下。机器人本体能感知一部分情况，不能替整个作业现场作判断。合作的工程意义正在于此：把设备自身的安全能力和现场已有的安全控制接起来，并说明谁能在冲突时取得最终控制权。

先画现场，再画机器人

企业常见的错误起点，是看完机器人演示就问它能否沿同一条路线搬运。安全评估应反过来：画出完整的任务区域与交通关系，标出人员可能进入的路口、临时堆放区、设备开口以及交接点。相同的移动速度，在空走廊和叉车汇入处不是同一种风险。哪段路需要限制速度，哪段必须等待现场许可，哪段根本不该给机器人走，要由实际作业来决定。

把任务切成状态也有用：启用、正常行走、靠近人员、交接、暂停、故障恢复和人工接管。每个状态都要说清楚谁能够发出转换命令、机器人如何确认命令有效、转换后设备实际会怎样动作。只要存在“人按了停，但机器人仍在执行上一条运动指令”的可能，就得查明信号传递、优先级和执行时延。现场人员需要的是可预期的行为，不是好看的控制界面。

每日观察提到急停、速度限制与碰撞检测通常设在机器人本体内。这些能力有价值，但本体视角有盲区，尤其在遮挡、交叉作业及其他设备联动时。外部系统可能知道一道门是否打开、某区域是否有人进入或另一台设备是否处于危险工况。Offboard Safety Bridge的价值主张，是把这些已在现场流动的安全信息纳入机器人决策；接通接口之后能否可靠执行，还需要逐项验证。

吊坠、机载通信和桥接接口各管一段

安全操作吊坠首先要解决人的指令如何被设备明确接收。哪些岗位可以使用，操作范围到哪里，误操作或吊坠失联会怎样，现场需要可演练的答案。人工覆盖通道尤其不能只停留在操作手册里：班组成员要知道在哪拿到装置，按下后观察到什么状态，谁有权限解除停机。若一停机就必须等待远程工程师才能恢复，实际运营会催生绕开流程的冲动。

机载通信承接内部状态与外部命令，但“有通信”不等于“通信可作为安全依据”。消息延迟、丢失、重复到达与状态不同步都值得测试。工程设计至少应规定外部信号失联时的安全状态，并验证恢复连接后机器人不会自动接续已经失效的动作。正常链路和保护链路应分别审视，避免一个软件故障同时夺走运动控制与停止能力。具体冗余实现尚无公开细节，采购方不宜假定它已经存在。

Offboard接口更难的部分是语义对齐。工厂安全系统发出的“区域禁入”，机器人应当理解为立即停止、缓速撤离，还是禁止下一次进入？不同任务可能需要不同处理，但同一场景不能让现场控制器、吊坠和机器人各执一词。接口规格要明确命令优先级、确认机制、时间戳、故障代码及复位条件；每个对接系统还要确定责任人。不能因为插头兼容，就认为现场的安全功能已经集成完成。

独立人工覆盖通道也要审视“独立”到什么程度。若它依赖与普通任务指令完全相同的网络、计算和电源路径，某些共因故障会让两者同时失效。是否需要物理或逻辑隔离、哪些部位需要冗余，应由风险评估决定并通过故障注入检验，而不是由产品名称证明。安全机制能不能核验，比堆砌安全术语更重要。

人形检测是输入，不是安全结论

Digit 5计划纳入安全人形检测、安全提示和安全运动控制。三项功能连在一起才有意义：识别到人之后，系统应在可用距离内采取可验证的动作，周围人员还应理解机器人准备做什么。只报告识别率，无法解释被遮挡的人、蹲下的工作人员或逆光环境下的行为边界。现场测试要覆盖正常通行与可预见的非标准姿态，并记录漏检、误检和误触发后果。

安全提示不只是灯光、声音的数量。提示必须与真实运动状态一致，且不应被仓库噪声、遮挡或频繁误报消解。若机器人每次接近人都发出同样的提示，人员很快难以区分“可以绕行”和“必须等待”。现场应让操作员参与提示方式的设计与演练，再核对他们实际理解的意思是否与控制逻辑相符。

安全运动控制则需要回答停止距离和速度边界随载荷、地面、转向与人员位置如何变化。人形机器人的姿态调整可能改变它实际占用的空间；站立、转身、携物和故障停机时，风险轮廓也不同。本文没有来源支持具体停止距离或载荷参数，因此不宜代入一个通用数值。试点只能在选定的机器人配置、任务与场地条件下测量，再决定是否扩大运行范围。

验收应让失败场景站到台前

Agility称，前代Digit在真实场景中累计部署超过6.5万小时，已进入Schaeffler、GXO与Toyota Motor Manufacturing Canada等客户现场。这个数字提供了应用经历的线索，但它是前代产品的累计部署时间，不是Digit 5安全架构的运行小时，也不说明每一小时的安全表现。评估Digit 5时，应单独索取目标配置、目标场景的测试资料；不能把跨代经验直接当作本次接口方案的合格证。

一个扎实的验收方案应先列出危险事件与保护动作的对应关系，再在现场制造可控的异常：外部安全信号突然触发、吊坠失联、通信迟滞、人员在遮挡后进入路线、任务恢复时现场状态已改变。每项测试记录从信号出现到设备达到安全状态的全过程，以及复位由谁批准。还要验证反复触发后的系统表现，避免一次测试通过、长期使用却因误报频繁被禁用。

测试不能只由供应商独自完成。现场安全、设备维护、生产主管和实际使用人员应参与场景确认；每个未覆盖的情况都留在风险清单中。若供应商声称某项安全功能依赖外部设备，企业需要看清接口两侧分别承担什么责任，原有设备是否符合本场景要求，以及改造后由谁维护。人机混行环境随路线、班次和工位调整而变化，变更管理应成为验收的一部分。

投资时，算清接口与停机的账

采购人形机器人通常从可替代的搬运任务算起，却容易低估安全集成。吊坠配置、现场信号接入、区域划分、布线或通信改造、验证与培训都要计费。若旧系统没有可用的状态输出，接入Offboard接口所需工作量可能大于机器人自身部署。询价时应拆开机器人设备、现场改造和长期维护三项，避免以单机报价估算整站成本。这是评估方法，并非对Digit 5实际报价的断言。

运营账还包括保护性停机和恢复。如果每次有人经过都迫使任务重做，名义移动速度再快也未必提高吞吐。应在受控试点记录任务完成率、因安全事件停机的频率、平均恢复时间、人工陪护工时及现场人员对路线的实际遵守情况。安全不能为了节拍让步，但频繁误停说明方案需要重新设计路线、提示或任务切分，不能简单要求操作员忍耐。

合同里则要写清更新责任。机器人软件、外部安全系统或现场布局有任何一方变更，原有测试结论可能不再适用。谁通知其他方，谁做回归测试，谁允许恢复生产，需要预先约定。对投资委员会来说，真正可比较的不是“有无安全桥接”这句宣传语，而是达到目标作业范围所需的工程工时、残余风险、复验成本和稳定运行记录。

企业此刻可以提出的五个问题

如果正在评估Digit 5，可请供应方把目标场景的安全架构画成信号图：外部安全系统、机器人本体、吊坠各有什么输入输出，何处可以独立停止。第二，要求演示失联与冲突命令时的实际动作，不接受只看正常作业路线。第三，明确安全人形检测在哪些姿态与遮挡条件下验证过，未覆盖工况怎样处置。第四，把现场改造、人员培训与后续软件更新列进总成本。最后，安排真实班组参与演练，让他们确认提示、接管和恢复流程都能执行。

合作备忘录指出了正确的工程问题，却还没有替具体工厂给出答案。后续最值得看的，不是又增加了几个安全功能名称，而是独立保护通道如何被验证，外部信号如何约束机器人运动，以及出现故障后现场人员能否安全地停下并恢复作业。

安全论证要跟着场地变化走

哪怕同一台Digit 5，换了路线，原先的测试也未必适用。人员通道改道、货架位置变化、交接点从封闭区域移到公共走廊，都会改变人与机器人相遇的方式。企业应把机器人软件版本、场地图、外部系统接口配置和经过批准的任务范围对应保存。发生调整时，先判断哪些风险假设失效，再选定需要重测的场景。若只更新机器人地图、不更新安全评估，控制系统看到的路与人实际走的路可能已经不同。

日常管理里，保护功能还需要定期检验。按下吊坠后设备是否进入预期状态，外部系统触发后桥接信号是否送达，故障记录能否完整回放，都应由明确岗位按既定周期检查。测试时不能为了方便随意关闭其他保护，也不能在检查结束后忘记恢复正常配置。发现异常后，现场需要有可执行的停用与替代作业方案，免得生产压力把机器人推回未经验证的状态。

安全事件记录不应只保留发生碰撞或受伤的情况。突然急停、人员避让、误入限制区域、重复误报以及人工强制接管，都是发现设计问题的线索。记录时应保留当时的任务、位置、外部信号与处理过程，避免只写“已恢复”。若同一类误报不断发生，首先要查传感、路线和流程，而不是要求班组成员忽略报警。反过来，若某些保护动作长期从未触发，也不能单凭“零事故”判断设计有效；缺少测试或根本没有记录，都会造成同样的表面结果。

独立核验的边界也要写进材料。哪些结论来自供应方台架测试，哪些来自目标工厂的集成测试，是否由企业安全岗位见证，适用哪些软件与外部控制器版本，应该清清楚楚。合作备忘录本身不能代替风险评估报告。安全相关功能若仍处开发阶段，采购协议应设置验收前不得投入相应作业的条件，而非把未来功能当作当下已交付的保障。

项目经理该怎样安排第一次试运行

先限定一条路线、一个任务和明确的运行时段，避免把“技术可行”试点变成全天候无人值守承诺。正式载物前让现场人员熟悉停机、接管和恢复步骤；随后逐步加入人员正常通行与外部安全系统触发场景。每次扩大范围前复看异常记录。有人临时改变路线或交接方式时，暂停该变化对应的自动任务，不能靠口头提醒机器人“慢一点”。

会议上常会问一个数字：多久可以回本。第一次试运行更应追问谁负责收集停机数据、谁判断保护是否过于频繁、谁对变更后的安全状态签字。若这些职责没人认领，投资模型里的可用率将没有可信来源。能把停下、确认、恢复这套日常动作练熟，才有资格谈扩大机器人数量。

工业智能