1. 课程导入：学习目标、核心概念、整体框架，理解异常保护在机器人系统中的重要性

机器人从实验室走向工厂、仓储、医疗和家庭服务场景，其工作环境从高度受控的围栏区域逐步过渡到与人共融的开放空间。在这一过程中，机器人本体与人类、设备、环境的交互频率急剧上升，碰撞、卡死、电量枯竭、急停触发等异常事件不再是“偶发故障”，而是系统设计时必须常态化的输入条件。异常保护机制并非简单的“报错停机”，而是融合了传感器信号采集、状态估计、逻辑仲裁、执行器安全释放、系统降级与恢复策略的综合工程体系。本章作为全课程的导入，将明确学习目标、厘清核心概念、搭建整体框架，并深入剖析异常保护在机器人系统中的战略价值。

上图展示了异常保护系统的全景框架。感知层负责采集碰撞力矩、电机电流、编码器位置、电池电压等原始信号；决策层通过阈值判断、状态机仲裁和逻辑运算，区分异常类型与严重等级；执行层根据决策结果实施抱闸锁止、动力切断、降速运行或柔顺控制；人机交互层则通过急停按钮、示教器界面和状态指示灯，实现操作员与机器人之间的安全信息传递。整个系统形成“感知—决策—执行—反馈”的闭环，确保任何异常都能被及时捕获并得到合理处置。

1.1 学习目标：从“会动”到“安全地动”

本课程的学习目标并非仅仅让学员掌握几种异常检测算法或急停电路接线方式，而是建立一套完整的工程思维——在机器人系统设计之初就将异常保护作为与运动控制、路径规划同等重要的核心子系统来对待。具体而言，完成本章及后续章节学习后，学员应达到以下能力层级：

• 原理认知层：理解碰撞检测的动力学模型（基于电流/力矩阈值、基于动量观测器、基于加速度残差）、卡死状态的判别依据（速度为零但力矩持续增大、位置指令与反馈偏差超限）、低电量管理的电池模型（SOC估算、电压跌落特性、内阻变化）以及急停回路的硬线安全逻辑（双通道冗余、强制断开、复位确认）。
• 工程实践层：能够根据机器人型号、负载特性和应用场景，选择合适的传感器配置（关节力矩传感器、六维力/力矩传感器、电流采样电阻、编码器），设定合理的保护阈值（避免误触发与漏触发之间的平衡），编写状态机切换代码（正常→预警→降级→停机→恢复），并完成急停回路的电气设计与安全PLC（可编程逻辑控制器）逻辑验证。
• 系统思维层：能够从整机角度评估异常保护策略对生产效率、设备寿命、人员安全的影响。例如，过于灵敏的碰撞检测会导致频繁停机，降低产线节拍；过于迟钝的保护则可能造成机械结构损伤或人身伤害。学员需要学会在安全性与可用性之间进行量化权衡。
• 故障排查层：当异常保护被触发后，能够通过日志分析（时间戳、关节角度、力矩曲线、电流波形）、现场复现和故障树分析（FTA），快速定位是传感器故障、算法误判、执行器失效还是外部环境干扰，并制定针对性的改进措施。

1.2 核心概念：异常、保护、安全等级

在深入细节之前，必须厘清三个容易混淆的基础概念：异常（Anomaly）、保护（Protection）和安全等级（Safety Level）。这三者构成了整个异常保护体系的逻辑基石。

异常是指机器人系统偏离预期行为的状态。这种偏离可能源于内部因素（传感器漂移、电机过热、通信丢包、软件Bug）或外部因素（障碍物碰撞、负载突变、地面湿滑、人为误操作）。异常并不等同于故障——某些异常是可以通过系统自我调整来恢复的（例如短暂的大风干扰导致末端抖动，可通过增大阻尼来抑制），而故障则意味着某个组件永久性或间歇性丧失功能。异常保护的首要任务是区分“可恢复的瞬态异常”和“不可恢复的持续性故障”，并采取不同级别的响应策略。

保护是指一系列主动或被动的技术措施，旨在将异常状态对人员、设备、环境的影响降至最低。保护措施可以分为三个层次：

1. 主动保护：在异常发生前或发生瞬间进行干预。例如，通过力矩前馈控制限制最大输出力，通过速度规划避免进入共振区，通过电量管理提前规划回充路径。
2. 被动保护：在异常发生后立即响应，防止损害扩大。例如，碰撞检测触发后200ms内完成抱闸锁止，急停回路切断伺服驱动器使能信号，机械防撞缓冲器吸收冲击能量。
3. 恢复保护：在异常处置完毕后，引导系统安全地恢复到可运行状态。例如，手动拖拽机器人至安全位姿后，重新上电并执行零点标定，确认无残余故障后解除急停状态。

安全等级是依据国际标准（如ISO 10218、ISO/TS 15066、IEC 61508）对机器人系统在特定风险场景下所需达到的性能要求。安全等级通常与风险矩阵（严重度×可能性）挂钩。例如，在协作机器人应用中，如果机器人末端执行器可能接触人体，则要求碰撞力限制在ISO/TS 15066规定的生物力学极限以内（如头部区域不超过145N，持续接触时间不超过0.5s），此时需要采用高灵敏度力矩传感器和快速响应控制回路。而在传统工业机器人围栏应用中，安全等级主要依赖硬线急停回路和安全PLC，碰撞检测的灵敏度要求相对较低。

概念	定义	典型示例	保护策略
异常	偏离预期行为的状态	关节电流突增、位置偏差超限、电压跌落	检测与分类
保护	降低异常影响的措施	抱闸锁止、降速运行、动力切断	执行与恢复
安全等级	风险控制的目标性能	PLd、SIL2、协作力限制	设计与验证

1.3 整体框架：从感知到执行的五层防护体系

一个完整的机器人异常保护系统，在工程实现上通常划分为五个层次，每一层承担不同的职责，层与层之间通过明确的接口协议进行通信。这种分层设计使得系统具备良好的可扩展性和可维护性——当需要增加新的异常检测算法时，只需在感知层添加模块，而无需改动执行层的硬件。

第一层：传感器与信号调理。这是系统的“神经末梢”，包括关节内置的电流传感器、力矩传感器、编码器、温度传感器，以及外部安装的激光雷达、超声波传感器、安全触边、急停按钮等。原始信号往往包含噪声和漂移，因此需要经过滤波（低通滤波、卡尔曼滤波）、放大、隔离和数字化处理，才能转换为可供算法使用的干净数据。例如，电机电流信号需要通过霍尔传感器采样，经过运放调理和ADC（模数转换器）量化，再通过SPI（串行外设接口）总线传输给主控芯片。

第二层：状态估计与特征提取。这一层负责从原始信号中提取有意义的特征量。例如，通过电流信号估算关节实际输出力矩（需考虑减速比和摩擦力矩补偿），通过编码器差分计算关节速度和加速度，通过电池电压和放电电流估算SOC（荷电状态）和SOH（健康状态）。特征提取的质量直接决定了后续异常检测的准确性。一个典型的案例是：在六轴工业机器人中，如果仅使用电流阈值检测碰撞，在低速重载工况下容易漏检；而引入动量观测器（基于动力学模型）后，可以在不增加额外传感器的情况下，将碰撞检测灵敏度提升一个数量级。

第三层：异常识别与分类。这是系统的“大脑”，通过预设阈值、状态机、机器学习模型或动力学观测器，判断当前状态是否异常，并识别异常类型。例如：

• 碰撞检测：比较实际力矩与期望力矩的残差，若残差超过阈值且持续时间超过设定窗口，则判定为碰撞。
• 卡死检测：当关节速度指令非零但实际速度持续为零，且力矩达到限幅值，判定为机械卡死。
• 低电量检测：当电池SOC低于20%时触发预警，低于10%时强制切换至安全模式（降低速度、关闭非必要外设）。
• 急停检测：急停回路采用双通道常闭触点串联，任一通道断开即触发急停，且必须手动复位才能重新上电。

第四层：保护策略决策与仲裁。当多个异常同时发生时，系统需要根据优先级进行仲裁。例如，碰撞异常和低电量异常同时触发时，应优先执行碰撞保护（立即停机），而非低电量保护（降速运行）。仲裁逻辑通常采用优先级编码器或状态机嵌套实现。此外，保护策略还应根据机器人当前的运动状态（高速运动、低速调试、待机）动态调整——在高速运动时碰撞保护阈值应更灵敏，在调试模式下则允许操作员通过示教器临时屏蔽某些保护功能（需经过安全确认）。

第五层：执行机构与安全接口。这是系统的“肌肉”，包括伺服驱动器使能控制、抱闸继电器、接触器、安全继电器模块、急停接触器等。执行机构必须满足安全完整性等级（SIL）要求，例如采用双通道冗余设计，确保单一故障不会导致保护功能失效。执行动作包括：切断伺服使能信号（电机自由滑行或动态制动）、触发机械抱闸（锁止关节）、断开主回路电源（紧急断电）、发出声光报警信号等。

1.4 异常保护的重要性：安全、效率与成本的三重博弈

异常保护在机器人系统中的重要性，可以从三个维度来理解：人员安全、设备完好率和综合运营成本。这三个维度相互制约，构成了一个典型的工程优化问题。

人员安全是底线。根据国际机器人联合会（IFR）的统计，全球每年发生多起与机器人相关的人员伤亡事故，其中大部分与异常保护机制缺失或失效有关。例如，2015年德国大众工厂一名工人被机器人挤压致死，事后调查发现该机器人的安全围栏被临时移除，且急停按钮被屏蔽。这一案例警示我们：异常保护不仅是技术问题，更是管理问题。技术层面需要确保碰撞检测的灵敏度和急停回路的可靠性；管理层面则需要建立严格的权限控制和操作规范，防止人为绕过安全机制。

设备完好率直接影响生产效率。在自动化产线中，一台六轴机器人的停机成本约为每分钟50-200元（视产线节拍而定）。如果异常保护系统过于敏感，频繁触发误停机，将导致产线稼动率下降；反之，如果保护迟钝，一次严重的碰撞可能导致减速机损坏、丝杠弯曲，维修成本高达数万元，且停机时间长达数天。因此，优秀的异常保护系统需要在“避免误报”和“防止漏报”之间找到最佳平衡点。这通常需要结合具体工况进行阈值标定，并通过现场运行数据持续优化。

综合运营成本包括直接成本和间接成本。直接成本包括传感器采购、安全PLC编程、急停回路布线、认证测试费用；间接成本包括因停机造成的产能损失、因事故导致的人员赔偿和品牌声誉损害。从全生命周期来看，在设计和制造阶段投入适当的异常保护预算（通常占整机成本的5%-10%），可以显著降低后期运维成本和事故风险。

1.5 案例拆解：某3C电子装配线的碰撞保护误触发优化

为帮助学员将抽象概念与实际工程问题联系起来，本节以一个典型的3C电子装配线案例，展示异常保护系统从设计到优化的完整闭环。

背景与约束：某手机代工厂的一条装配线上，使用6台六轴工业机器人（负载5kg）进行螺丝锁付和外壳压合。产线节拍要求为30秒/台，机器人末端执行器需要频繁与工装夹具接触，接触力峰值约为30N。客户投诉机器人频繁停机，平均每2小时触发一次碰撞保护，导致产线稼动率仅为82%。

初始现象与数据：通过读取机器人控制柜日志，发现碰撞保护触发时记录的关节2（肩部）力矩残差为额定力矩的45%，而正常锁付过程中的最大力矩残差为额定力矩的30%。进一步分析电流波形，发现触发时刻的电流尖峰持续时间约为80ms，而正常操作时的电流尖峰持续时间为50ms。初步判断是碰撞检测阈值设置过低，导致正常工艺动作被误判为碰撞。

分析判断过程：团队进行了以下排查：

1. 检查机械结构：确认机器人底座固定螺栓无松动，末端法兰与工装夹具的同轴度偏差在允许范围内（<0.1mm）。
2. 检查传感器：使用高精度六维力传感器（量程200N，精度0.1N）对机器人末端进行标定，确认关节力矩传感器读数准确。
3. 分析工艺动作：通过高速摄像机（1000fps）记录锁付过程，发现螺丝批头与螺丝槽口接触瞬间存在一个约5mm的轴向冲击位移，导致关节2产生额外反作用力。
4. 对比不同批次：不同批次的螺丝公差不同，导致锁付时的冲击力波动范围在±15%之间。

实际操作步骤：

• 将碰撞检测算法从“固定阈值”改为“自适应阈值”：根据关节速度、负载重量和工艺阶段动态调整阈值。在锁付阶段（速度低于50mm/s），阈值放宽至额定力矩的55%；在高速搬运阶段（速度高于500mm/s），阈值收紧至额定力矩的35%。
• 增加碰撞检测的“确认窗口”：从原来的10ms延长至30ms，即力矩残差超过阈值必须持续30ms才触发保护，以滤除瞬态冲击。
• 在控制程序中增加“工艺模式”切换：当机器人执行锁付指令时，自动降低碰撞灵敏度；当执行搬运指令时，恢复高灵敏度。

结果对比：优化后，机器人连续运行72小时无一次误触发，产线稼动率提升至96%。同时，在后续的一次真实碰撞测试中（操作员误将工具遗留在机器人运动路径上），碰撞保护在25ms内成功触发，抱闸锁止，未造成任何损伤。

风险与代价：自适应阈值算法增加了控制程序的复杂度，需要额外编写约200行代码，并经过两周的现场验证。此外，由于阈值放宽，在低速锁付阶段发生真实碰撞时，机器人可能多运动约5mm才会停机，这要求操作员在调试时保持足够的安全距离。

复盘经验：异常保护参数的设定不能“一刀切”，必须结合具体工艺动作、负载特性和环境因素进行精细化标定。同时，任何保护参数的修改都应遵循“先仿真、后离线测试、再在线验证”的流程，并保留完整的修改记录。

1.6 常见误区与总结复盘

在异常保护系统的学习与实践中，初学者和部分工程师常陷入以下误区，导致系统设计缺陷或现场事故。

• 误区一：保护越多越好。过度设计保护机制会导致系统复杂度急剧上升，增加故障点。例如，在每一个关节都安装高精度力矩传感器，不仅成本高昂，而且传感器本身的故障率也会成为新的风险源。正确的做法是基于风险评估，在关键部位设置必要的保护，并采用冗余设计（如双通道急停）来提升可靠性。
• 误区二：急停就是“拍一下按钮”。急停逻辑不仅仅是按钮和继电器，还包括急停后的状态恢复流程、急停与伺服驱动的安全转矩关闭（STO）接口、急停与上层控制器的通信同步。一个设计不良的急停回路可能在急停后出现“电机自由滑行”或“抱闸未锁止”的危险状态。
• 误区三：低电量保护只是“电量低于X%就报警”。电池在低温、大电流放电、老化等条件下，其电压跌落特性会显著变化。仅依赖SOC阈值可能导致机器人突然断电，造成运动失控。更合理的策略是结合电压跌落速率、剩余放电能量和当前运动状态，动态规划安全停机轨迹。
• 误区四：碰撞检测只依赖电流阈值。电流阈值法在低速重载工况下灵敏度不足，在高速轻载工况下容易误报。现代机器人普遍采用基于动力学模型的动量观测器或广义动量观测器，能够在不增加硬件成本的情况下实现更精确的碰撞检测。

总结复盘：本章作为课程导入，为后续章节奠定了三个基础：一是明确了学习目标——从原理到实践，从单点技术到系统思维；二是厘清了核心概念——异常、保护、安全等级的区别与联系；三是搭建了整体框架——五层防护体系（传感器、状态估计、异常识别、策略决策、执行机构）。学员应牢记：异常保护系统的设计是一个“权衡的艺术”，需要在安全性、可用性、成本和复杂度之间寻找最优解。后续章节将分别深入探讨碰撞检测算法、卡死诊断方法、低电量管理策略和急停逻辑设计，每一章都会结合具体案例和实验数据，帮助学员逐步构建完整的异常保护知识体系。