4. 医疗机器人系统架构与安全机制

医疗机器人要在手术、康复、给药等场景中与患者直接接触，其安全不能只依赖单个部件的可靠性，而必须由系统架构层面的安全机制来保证。本章围绕安全相关系统架构、冗余设计、多样性设计、故障检测与诊断、安全状态定义与实现五个方面展开，说明如何把"安全"从一句要求落实为可验证的工程结构。

一、安全相关系统架构

医疗机器人通常划分为三层：安全相关系统（Safety-Related System）、非安全相关系统（如人机交互、影像显示、日志），以及两者之间的隔离与接口层。安全相关系统承担急停、限速、限位、力矩限制、使能控制等功能，其失效可能直接导致患者伤害；非安全相关系统失效一般只影响体验或效率。架构设计的第一原则是：安全功能不能被非安全功能"拖累"，因此两者在供电、通信、时钟、处理器上应尽量独立。

以一台协作型手术机器人为例，其安全架构可包含：安全控制器（双通道）、安全 I/O（急停回路、使能开关、限位开关）、安全通信（如基于 FSoE 或 CIP Safety 的现场总线）、以及执行侧的安全驱动（STO/SS1 安全转矩关断）。非安全侧则运行路径规划、影像配准、UI 渲染。两侧通过明确的接口交换"请求"与"状态"，但安全侧始终保留最终否决权。

二、冗余设计

冗余的核心是"用额外资源换取故障容忍"。常见形式有：硬件冗余（双通道 CPU、双电源、双编码器）、时间冗余（重复执行并比较结果）、信息冗余（CRC、ECC、校验和）。在医疗机器人中，最典型的是1oo2D（双通道带诊断）结构：两个通道独立计算安全输出，只有两者一致且诊断正常时才允许输出；一旦不一致，立即进入安全状态。

冗余并非越多越好。双通道会带来共因失效（Common Cause Failure）风险，例如两通道共用同一电源或同一时钟源，一旦该公共部分失效，两通道同时失效。因此冗余设计必须同时考虑共因失效的抑制：独立供电、独立时钟、物理隔离、不同厂商器件等。

三、多样性设计

多样性（Diversity）用于对抗共因失效和系统性失效。它要求两个通道在硬件、软件、算法或实现方式上存在差异。例如：通道 A 用定点算法实现限速判断，通道 B 用浮点算法实现；或通道 A 采用厂商 X 的处理器，通道 B 采用厂商 Y 的处理器。这样即使某一类器件的系统性缺陷被触发，另一通道仍能正确工作。

多样性也有代价：开发、验证、维护成本上升，且两通道的"不一致"本身需要被诊断逻辑正确区分——是真实故障，还是因实现差异导致的正常偏差。工程上通常设定一个允许偏差窗口，超出窗口才判定为故障。

四、故障检测与诊断

故障检测的目标是"在故障造成伤害之前发现它"。常用手段包括：

• 看门狗：监控程序执行周期，超时即复位或进入安全状态；
• 交叉比较：双通道结果实时比对，偏差超限即报警；
• 自检：上电自检（POST）与周期自检（如 RAM/ROM 测试、时钟测试）；
• 传感器合理性检查：位置、速度、力矩之间的物理关系是否自洽；
• 通信诊断：CRC、序号、超时、心跳丢失。

诊断覆盖率（DC）是衡量诊断能力的关键指标。例如某限位功能若仅靠软件比较，DC 可能只有 60%；若增加独立限位开关并接入安全 I/O，DC 可提升到 90% 以上，从而显著提高整体安全完整性等级（SIL/PL）。

五、安全状态定义与实现

安全状态是系统在检测到故障后所进入的、已知安全的运行模式。医疗机器人常见的安全状态包括：

安全状态的选择取决于风险分析结果：对于手术中的机械臂，突然 STO 可能导致器械滞留体内，因此更倾向 SS1 或安全位置；对于康复外骨骼，STO 通常可接受。安全状态必须可验证——即通过测试确认在触发条件下系统确实在规定的响应时间内进入该状态。

六、架构、冗余、多样性与诊断的协同

这五个方面不是孤立的。架构决定冗余和多样性的落点；冗余提供故障容忍的物理基础；多样性抑制共因失效；诊断负责发现故障并触发切换；安全状态则是所有机制的最终归宿。以一台腹腔镜手术机器人为例：安全控制器双通道（冗余）+ 不同厂商处理器（多样性）+ 交叉比较与看门狗（诊断）+ 检测到偏差后进入 SS1 并退回安全位置（安全状态），构成一条完整的安全链。

验证时，应针对每个安全功能分别确认：触发条件是否可复现、诊断是否在规定时间内响应、安全状态是否在要求时间内达到、恢复是否需要人工确认。只有这条链在测试中可重复、可观测、可判定，系统架构层面的安全机制才算真正落地。