1. 医疗机器人系统架构总览
医疗机器人不是“机械臂加一把手术刀”的简单组合，而是一个必须在真实临床环境中同时满足精度、实时性、安全性与可追溯性的复杂系统。理解它的第一步，是明确系统架构的边界与层次：哪些部分属于机器人本体，哪些属于外部设备与信息系统，哪些接口必须被严格定义。本节建立一套贯穿后续章节的“架构坐标系”，让感知、决策、控制、执行、交互、安全六个核心子系统各归其位。
一、架构边界：什么算“系统内”
讨论架构前必须先划边界。以一台典型的手术辅助机器人为例，系统边界通常包含：机械臂本体与末端执行器、驱动与伺服单元、关节与末端传感器、主控计算单元、医生操作台（主手、脚踏、显示）、实时通信链路，以及运行其上的控制与安全软件。而手术床、内窥镜光源、麻醉机、医院PACS/HIS 等，一般视为外部系统，通过明确定义的接口接入。
边界划分的意义在于责任归属：边界内的失效由机器人系统负责检测与响应，边界外的信号异常则需通过接口协议约定降级策略。例如内窥镜视频通过 SDI 或网络流接入，若帧率低于阈值，系统应提示而非直接停机——因为视频源不属于机器人本体。
二、六层子系统与接口关系
把系统纵向切分为六个子系统，是后续章节反复引用的坐标系：
- 感知：关节编码器、力矩传感器、视觉/内窥镜、力反馈、外部跟踪（光学/电磁定位）。输出带时间戳的状态量。
- 决策：任务规划、路径生成、约束求解、术中导航配准、人机权限仲裁。输出目标轨迹或允许动作集。
- 控制：逆运动学、阻抗/力位混合控制、伺服环、轨迹插补。输出关节力矩或位置指令。
- 执行：电机、减速器、驱动器、末端器械。把指令变为物理动作。
- 交互：主手、脚踏、触屏、语音、力觉与视觉反馈。承担医生意图输入与状态呈现。
- 安全：急停、限速、限位、看门狗、冗余校验、故障降级。横跨所有层，独立于功能链。
关键接口有三类：感知→决策（状态与场景数据）、决策→控制（目标与约束）、控制→执行（指令与反馈）。安全子系统则以“旁路监听+独立切断”的方式接入，不依赖功能链是否正常。
三、时间尺度：架构的隐藏维度
六个子系统并非在同一时间尺度上工作，这正是架构设计中最容易被忽视的一点。感知采样通常在 1 kHz 量级（关节编码器），控制伺服环 1–4 kHz，决策与规划在 10–100 Hz，交互反馈 30–60 Hz，而安全监控需要独立的高频看门狗（≥1 kHz）。
如果把这些环节串成一条“感知→决策→控制→执行”的直线，就会掩盖真实约束：决策层不能阻塞控制层。因此工程上普遍采用分层与实时隔离——控制与安全运行在实时内核或独立 MCU/DSP 上，决策与交互运行在通用操作系统，两者通过共享内存或实时以太网交换数据。这条“时间尺度分层”原则，是后续讨论 EtherCAT、实时调度与安全 PLC 的基础。
四、接口契约：架构可验证的前提
接口不是“能通就行”，而要有可验证的契约。以感知→决策接口为例，一个可落地的定义应包含：
| 字段 | 含义 | 示例值 |
|---|---|---|
| timestamp | 采样时刻（统一时钟） | t = 12.480 s |
| joint_pos[6] | 六关节角度 | [0.12, -0.45, …] rad |
| joint_vel[6] | 关节角速度 | [0.01, 0.00, …] rad/s |
| valid | 数据有效性标志 | true / false |
| latency | 端到端延迟 | ≤ 2 ms |
其中 valid 与 latency 是安全相关字段：决策层必须据此判断是否继续使用该帧数据。若延迟超限或 valid 为 false，应触发降级而非静默使用。这类“带质量标记的数据接口”，是医疗机器人区别于普通工业机器人的重要特征。
五、用坐标系读后续章节
建立这套坐标系后，后续每一章都可以定位到具体位置：运动学与标定属于感知与控制的交界；力控与阻抗控制属于控制层；主从操作与力反馈属于交互层；导航配准属于决策层；功能安全与 IEC 62304 软件生命周期则贯穿安全子系统与全部软件层。
建议在学习时始终问三个问题：这一内容落在哪个子系统？它跨越了哪些接口？它受哪个时间尺度约束？ 能回答这三点，就说明你已经把新知识挂到了架构坐标系上，而不是孤立地记忆零散技术点。