2. 医疗机器人危害分析与风险评估
医疗机器人一旦发生功能失效，后果往往直接作用于患者身体，因此危害分析不能停留在“设备会不会坏”的层面，而要回答三个问题：什么危险源在什么条件下会伤害患者、伤害有多严重、现有控制措施是否足够。本节围绕 HAZOP、FMEA、FTA 三种方法，说明它们在手术机器人、康复机器人、辅助机器人中的分工，并给出风险矩阵与安全完整性等级（SIL）的确定路径。
三种方法的定位与分工
HAZOP（危害与可操作性分析）以“引导词 + 工艺参数”的方式系统扫描偏离。对手术机器人，可把“机械臂末端执行器”作为节点，参数取“位置、速度、力、方向”，引导词取“无、过多、过少、反向、错误时序”。例如“末端执行器力—过多”对应组织压伤，“运动方向—反向”对应切口偏离。HAZOP 擅长发现设计意图之外的组合偏离，适合在系统架构确定后、详细设计前开展。
FMEA（失效模式与影响分析）自下而上，从每个部件的失效模式出发，评估其局部影响、系统影响和患者影响。对康复机器人，可对“关节伺服驱动器”列出失效模式：输出力矩丢失、力矩卡死、编码器漂移、通信丢帧。每种模式给出严重度 S、发生度 O、探测度 D，计算 RPN = S×O×D，并据此排序。FMEA 的优势是覆盖具体元器件与接口，适合硬件与软件模块级分析。
FTA（故障树分析）自上而下，从顶事件（如“手术机器人末端意外运动超过 5 mm”）出发，用与门、或门逐层分解到基本事件，可定量计算顶事件发生概率。它适合验证安全功能的冗余是否真正有效，也适合在已有 FMEA 结果后，把关键失效模式接入故障树做定量校核。
风险矩阵与 SIL 的确定
风险矩阵把“严重度”与“发生概率”两个维度交叉，形成可接受、ALARP（合理可行最低）和不可接受三个区域。严重度可按患者伤害分级：可忽略（无需处理）、轻度（需简单处置）、严重（需手术或延长住院）、灾难（死亡或永久损伤）。发生概率按每小时或每次使用估算。矩阵中落入 ALARP 的区域，必须证明进一步降险不可行或成本与收益严重失衡；落入不可接受的区域，必须重新设计或增加安全功能。
SIL 的确定不是直接查表，而是先由风险等级确定“所需风险降低量”，再分配给具体安全功能。以手术机器人为例：若“末端意外运动超过 5 mm”被评估为灾难级、发生概率中，则风险不可接受，需要把风险降低到可接受水平。假设原始风险为每小时 10⁻⁴ 次，目标为每小时 10⁻⁶ 次，则所需风险降低因子为 100。若该降低全部由“运动超限监控与急停”安全功能承担，则该功能需达到 SIL 2（PFH 10⁻⁷~10⁻⁶ /h）。若同时由机械限位和软件监控分担，则各自 SIL 可相应降低。
三类机器人的应用差异
手术机器人以 FTA 和 HAZOP 为主。手术机器人运动精度要求高，末端意外运动、力超限、主从映射错误是核心危害。HAZOP 用于扫描主从控制链的偏离，FTA 用于验证“位置超限监控”和“力超限监控”的冗余是否满足 SIL 要求。FMEA 则用于分析编码器、伺服驱动器、通信总线等具体部件的失效模式。
康复机器人以 FMEA 和风险矩阵为主。康复机器人直接与患者肢体接触，且患者常处于部分失能状态，无法主动脱离危险。关节力矩异常、运动范围超限、患者痉挛检测失效是主要危害。FMEA 可逐项分析关节伺服、力传感器、绑带固定等失效模式；风险矩阵用于确定哪些失效需要增加独立监控。例如“膝关节屈曲超限”若评估为严重级、发生概率中，则需增加独立角度限位开关，并分配 SIL 2。
辅助机器人以 HAZOP 和 FTA 为主。辅助机器人（如转运、喂食、导航机器人）与患者交互场景复杂，碰撞、跌落、误动作是主要危害。HAZOP 可扫描“导航路径—偏离”“抓取力—过大”“移动速度—过快”等偏离；FTA 可分析“患者跌落”顶事件，分解为“支撑失效”“重心判断错误”“急停未触发”等基本事件，并计算各路径概率。
实操示例：康复机器人膝关节超限风险分析
以某下肢康复机器人为例，节点为“膝关节驱动单元”，参数为“屈曲角度”，引导词为“过多”。HAZOP 记录：屈曲角度超过 120° 时，可能造成患者韧带拉伤。FMEA 进一步分析：角度传感器漂移（S=8，O=4，D=5，RPN=160）、限位开关失效（S=8，O=3，D=4，RPN=96）、控制软件未读取限位信号（S=8，O=2，D=3，RPN=48）。风险矩阵评估：严重度“严重”、发生概率“中”，落入 ALARP 区域，需降险。
降险措施：增加独立角度监控通道，当角度超过 115° 时触发减速，超过 120° 时触发急停。该安全功能分配 SIL 2，要求 PFH ≤ 10⁻⁶ /h。FTA 校核：顶事件“屈曲角度超过 120° 且未急停”由“角度传感器失效”与“独立监控失效”同时发生触发，采用与门，若两通道 PFH 分别为 10⁻⁵ 和 10⁻⁶，则顶事件概率约为 10⁻¹¹ /h，满足目标。
方法选择与组合原则
三种方法不是互斥的，而是互补的。建议顺序为：先用 HAZOP 做系统级偏离扫描，识别潜在危害；再用 FMEA 做部件级失效分析，找出具体失效模式；最后用 FTA 对关键安全功能做定量校核，验证 SIL 是否达成。风险矩阵贯穿始终，用于判断每个危害是否需要降险、降险到什么程度。对于手术机器人，重点在 FTA 和 HAZOP；对于康复机器人，重点在 FMEA 和风险矩阵；对于辅助机器人，重点在 HAZOP 和 FTA。实际项目中，应根据机器人类型、患者接触程度、失效后果严重度灵活组合，而不是机械套用某一种方法。