4. 危险源识别与风险评估
遥操作机器人系统把操作员从危险环境中“隔离”出来，但隔离本身并不等于安全。危险源往往沿着“人—通信—机器—环境”这条链路传递，并在某个薄弱环节被放大。危险源识别与风险评估的目标，就是在事故发生前，把这条链路上的失效模式、传播路径和后果严重度显性化，进而把模糊的“注意安全”转化为可验证的安全需求。
一、遥操作中的六类典型危险源
遥操作的危险源可按来源分为六类，它们并非孤立存在，常以组合形式出现：
- 通信中断：链路彻底断开，机器人进入“失联”状态。若失联前未定义安全姿态或保持策略，机械臂可能继续执行最后指令，造成碰撞或过载。
- 延迟：端到端时延过大，操作员看到的画面与机器人实际状态错位。典型表现为“过冲—修正—再过冲”的振荡操作。
- 抖动：时延方差大，画面与指令到达时间不稳定。抖动比固定延迟更危险，因为它破坏操作员的预测模型。
- 操作失误：误触、方向判断错误、速度档位选择不当、在盲区继续推进等。人因失误在遥操作事故中占比很高。
- 环境突变：光照骤变、粉尘遮挡、目标物移动、地面塌陷、温度或电磁干扰突变，使感知与规划前提失效。
- 机械故障：关节卡滞、编码器跳变、制动器失效、末端工具松脱、电池电压跌落等。
二、风险评估方法：FMEA、HAZOP 与故障树
三种方法各有侧重，实践中常组合使用。FMEA 自下而上，从部件失效推导后果；HAZOP 以引导词系统性地偏离设计意图；故障树自上而下，从顶事件反推最小割集。
| 方法 | 分析方向 | 核心输出 | 适用场景 |
|---|---|---|---|
| FMEA | 部件→系统 | 失效模式、严重度 S、发生度 O、探测度 D、RPN | 硬件与软件模块级排查 |
| HAZOP | 设计意图→偏差 | 引导词+参数得到的偏差及后果 | 流程、指令、状态机设计审查 |
| 故障树 FTA | 顶事件→底事件 | 最小割集、结构重要度 | 重大事故路径与冗余设计验证 |
FMEA 的关键是量化。风险优先数 RPN = S × O × D，其中 S 为后果严重度，O 为发生频度，D 为被探测难度，通常各取 1～10 分。RPN 高并不一定意味着必须立即整改，还要看 S 是否达到不可接受等级。
FMEA 记录示例（通信中断）：
失效模式：遥操作链路中断
局部影响：机器人保持最后指令
系统影响：机械臂继续运动，可能碰撞
S=9 O=4 D=6 RPN=216
建议措施：心跳超时 200ms 触发保持，1s 触发缓停
HAZOP 用引导词制造“偏差”。例如对“操作员指令以 50mm/s 下发”这一设计意图，引导词“无”得到“无指令下发”，引导词“反向”得到“指令方向相反”，引导词“过量”得到“速度远超设定”。每个偏差再追问原因、后果和现有防护。
故障树适合回答“机械臂失控撞击顶事件如何发生”。把顶事件置于顶端，向下用与门、或门展开：通信中断、控制器故障、操作员误操作、制动失效等。通过布尔化简得到最小割集，若存在单点割集，说明该路径无冗余，必须优先消除。
三、风险矩阵与安全需求制定
风险矩阵把严重度与可能性映射为风险等级，是团队沟通的通用语言。通常分为可接受、有条件接受、不可接受三档。落入不可接受区的危险源，必须制定安全需求并验证。
安全需求必须可验证、可追溯。建议采用“触发条件—响应动作—响应时间—验证方法”四元组描述。例如：
SR-01 通信中断安全需求
触发条件：连续 200ms 未收到有效心跳
响应动作：进入保持模式，冻结当前位姿
响应时间：≤ 250ms
验证方法：注入丢包 100%，示波器测关节指令冻结时间
四、案例与常见误区
某核电巡检遥操作项目在 FMEA 中发现“视频编码器死锁”的 D 值为 8，因为操作员很难察觉画面已冻结。团队最初只提高了编码器质量，RPN 下降有限。后来改为在画面叠加时间戳与心跳指示，D 值降到 3，RPN 从 216 降至 81，同时增加了“画面冻结 300ms 即降速”的需求。这说明降低探测难度往往比单纯提高可靠性更有效。
复盘时建议追问三个问题：该危险源是否已被现有防护覆盖？防护失效后是否有第二道屏障？操作员在 1 秒内能否做出正确反应？若答案是否定的，就应回到风险矩阵，重新评估并补充安全需求。危险源识别不是一次性文档，而应随任务场景、通信条件和机器人构型的变化持续更新。