Safety-by-design e as normas que governam a colaboração humano-robô. O envelope de segurança dentro do qual qualquer VLA em produção precisa operar — do compliance legal aos guardrails técnicos.
A ISO 10218:2025 é a norma internacional que define requisitos de segurança para robôs industriais e suas integrações. A revisão de 2025 unificou as partes 1 (robô) e 2 (sistema/célula) e incorporou explicitamente operação colaborativa — o envelope legal que todo VLA em produção precisa respeitar.
Métrica de confiabilidade de funções de segurança (PLa–PLe), calculada por ISO 13849.
Interrupção segura e controlada do movimento sem perder o estado do sistema.
Robô + periféricos + interface humano-robô como sistema completo a ser certificado.
A ISO/TS 15066 complementa a ISO 10218 com foco em robótica colaborativa: define os limites biomecânicos de força e pressão por região do corpo humano, garantindo que um contato robô-humano não cause lesão. Para um VLA que controla um cobot, esses limites restringem diretamente velocidade e força máximas das ações emitidas.
Os valores de força e pressão da TS 15066 são derivados de estudos de tolerância ao dor e lesão tecidual. Superá-los — mesmo por frações de segundo — pode causar contusões, fraturas ou lesões internas. Nenhum argumento de produtividade justifica operar fora desses limites.
Se o VLA opera em modo PFL, cada ação emitida pelo modelo deve ser interceptada por um safety controller determinístico que verifica velocidade e força antes de transmitir ao atuador. O modelo nunca deve ter acesso direto ao barramento de controle de baixo nível.
A filosofia de incorporar segurança desde a concepção do sistema — não como patch posterior. Para VLAs, significa projetar a arquitetura, o espaço de ação e os limites do modelo de modo que comportamentos perigosos sejam estruturalmente difíceis ou impossíveis, independente do que o modelo "decida" fazer.
SVG safety-by-design: pipeline de ação com camadas de verificaçãoVLAs são modelos generativos probabilísticos — eles podem gerar ações fora da distribuição de treinamento. Nenhuma avaliação de benchmark garante comportamento seguro em todos os cenários. Safety-by-design é a única resposta responsável a essa imprevisibilidade estrutural.
Os mecanismos físicos e lógicos que interrompem ou modulam o movimento do robô na presença de humanos. São as salvaguardas de última instância — funcionam independentemente do que o VLA decidiu fazer e não podem ser desabilitadas pelo software de IA.
Timeline dos mecanismos de segurançaCat. 0: corte imediato de energia (más parada descontrolada). Cat. 1: desaceleração controlada antes do corte de energia. Ambas são independentes do software de controle e devem ser acionáveis por hardware físico.
Monitora continuamente a distância humano-robô via sensores (câmeras 3D, LiDAR). Conforme o humano se aproxima, reduz velocidade de forma proporcional. Para completamente antes de qualquer contato. Ideal para células sem contato intencional.
Permite contato intencional, mas garante que força e pressão fiquem dentro dos limites biomecânicos da ISO/TS 15066. Exige sensores de força/torque no robô e safety controller certificado. É o modo que habilita cobots a trabalhar lado a lado com humanos.
Zonas virtuais ao redor do robô com comportamentos diferentes: zona de aviso (desacelera), zona de proteção (para), zona de colaboração (PFL). Configuradas no safety controller, não no VLA. O modelo opera dentro do envelope; as zonas garantem o envelope.
O VLA gera comandos de alto nível (mover para posição X com velocidade Y). O safety controller intercepta esses comandos, verifica se estão dentro das zonas e limites configurados, e só então os transmite ao controlador de junta. Uma falha ou alucinação do modelo nunca chega ao atuador sem passar por essa verificação.
O processo sistemático de identificar perigos potenciais de um sistema robótico, estimar a gravidade e probabilidade de cada um, e definir medidas para reduzi-los a níveis aceitáveis. É uma etapa obrigatória pelas normas antes de qualquer deploy — e para sistemas com VLA, precisa considerar a imprevisibilidade do modelo.
Análise estruturada que questiona sistematicamente: "o que acontece se esta variável (velocidade, posição, força) for maior/menor/zero/inversa do esperado?". Muito eficaz para descobrir cenários de falha que a equipe não previu.
Tabela cada modo de falha possível (hardware, software, VLA) com severidade, probabilidade e detectabilidade (RPN). Para cada falha, define ação de mitigação. Obrigatória para sistemas que precisam de certificação.
O conjunto de salvaguardas específicas para modelos generativos em controle físico: guardrails que filtram ações inseguras, fail-safe behaviors que levam o robô a um estado seguro em caso de falha, e os processos de verificação e validação (V&V) que provam que o sistema funciona antes de ir a produção.
Observa continuamente métricas de operação (força, velocidade, trajetória) e dispara alertas ou paradas quando desviam do envelope esperado.
Taxa de sucesso e falha em larga escala (>1000 episódios), incluindo cenários adversariais e edge cases planejados.
Estado seguro padrão: se inferência falhar, travar juntas ou retornar a posição inicial. Definido por hardware, não por código Python.
Cada ação é validada contra um conjunto de restrições antes de chegar ao controlador: posição fora do workspace, velocidade acima do limite, força acima da TS 15066.
Um VLA é deployável quando os seus guardrails, fail-safes e evidências de V&V são documentados e revisados por alguém além da equipe que desenvolveu o modelo. Autovalidação não conta para segurança. A revisão independente é parte do processo — não burocracia.
Diga a resposta em voz alta antes de revelar — recordar é o que fixa, não releituras.
ISO 10218:2025 e ISO/TS 15066— as normas que definem o envelope legal e biomecânico de todo sistema robótico colaborativo.
Safety-by-design— segurança incorporada desde a concepção, com action clamping e safety controller independente do modelo.
SSM e PFL— os dois modos colaborativos que permitem humanos e robôs compartilharem espaço com segurança garantida por hardware.
Guardrails, fail-safe e V&V— a diferença entre um VLA experimental e um VLA deployável perto de pessoas.