2. 医疗机器人系统组成与风险边界

风险分析的第一步不是列危害，而是回答一个更基础的问题：我们分析的“系统”到底包含什么、到哪里为止。医疗机器人不是单一设备，而是机械、电气、控制、感知、人机交互与软件六类要素耦合而成的“系统之系统”。同一台手术机器人，若把风险边界画在机械臂本体，就会漏掉医生控制台误操作、影像配准偏差、网络延迟等关键风险源；若把边界无限外扩到整个手术室甚至医院信息系统，分析又会失去可操作性。因此，本节的核心任务是：先建立六层组成的通用解剖框架，再针对手术、康复、辅助、诊疗四类典型系统给出可落地的边界界定方法。

一、六层组成：从能量到信息的通用解剖框架

无论哪类医疗机器人，都可以沿“能量—信息”两条主线拆成六个层次。机械层承担结构与运动，包括本体、关节、传动、末端执行器、支撑与固定结构；电气层负责能量变换与安全隔离，包括电源、驱动、电池、急停回路、漏电流防护；控制层实现运动学/动力学解算与闭环调节，包括控制器、伺服环、轨迹规划、力/位混合控制；感知层把物理量转为可用信号，包括编码器、力/力矩传感器、视觉、超声、电磁定位、生理信号采集；人机交互层是操作者与系统的接口，包括主手、脚踏、触屏、语音、力反馈、状态指示；软件层则贯穿全部，包括实时操作系统、通信中间件、算法模块、日志、升级与网络安全机制。

这六层不是并列的六个盒子，而是存在明确的依赖与反馈关系：感知层为控制层提供状态量，控制层驱动电气层，电气层驱动机械层，机械层动作又改变被感知的物理量，形成闭环；人机交互层既向控制层下发意图，也从感知层获取反馈；软件层则同时约束其余五层的行为。风险往往不诞生于单层，而诞生于层间接口——例如力传感器采样率与控制周期不匹配、主从映射方向定义不一致、急停信号未纳入软件状态机。

二、四类典型系统的组成差异与边界重点

手术机器人（以主从式腹腔镜机器人为例）的机械层是多自由度臂与腕式器械，电气层含大功率伺服与隔离电源，控制层强调主从映射与运动缩放，感知层以视觉、力感知和关节编码器为主，人机交互层是医生控制台，软件层承担影像配准与器械跟踪。其边界界定的关键点在于：患者体内器械末端必须纳入边界，因为组织损伤直接发生在此；影像链（术前CT/MR到术中配准）必须纳入，配准误差会直接转化为器械定位偏差；而医院PACS的存储故障通常可排除在安全边界之外，仅作为可用性风险处理。

康复机器人（如下肢外骨骼、上肢训练机器人）的机械层含绑带、关节限位与体重支撑，电气层常为电池供电，控制层核心是意图识别与助力/阻力调节，感知层以关节角度、足底压力、肌电（sEMG）为主，人机交互层是患者自身与治疗师界面。其边界重点在于：患者必须作为系统的一部分，因为痉挛、肌张力异常、疲劳会改变系统动力学；治疗师的操作与紧急处置也应纳入边界，而非视为外部人员。

辅助机器人（如配药、转运、消毒、物流机器人）的机械层多为移动底盘与操作臂，电气层含电池与充电管理，控制层强调导航与避障，感知层以激光雷达、深度相机、超声为主，人机交互层是护士站终端与语音提示。其边界重点在于：医院走廊、电梯、病区门禁等运行环境必须纳入，因为人流、地面材质、无线覆盖直接影响安全；与医院HIS/LIS的接口若涉及药品或标本标识，也应纳入数据正确性边界。

诊疗机器人（如穿刺定位、超声扫查、放疗摆位机器人）的机械层强调定位精度与刚性，电气层含高精度编码器与安全联锁，控制层以配准与路径规划为核心，感知层以影像与力反馈为主，人机交互层是医生确认与介入界面。其边界重点在于：影像设备与机器人的坐标统一是核心风险接口，患者呼吸/体位变化必须作为扰动纳入边界。

三、边界界定的可操作方法

实践中可用“三圈法”落地：内圈是机器人本体（机械+电气+控制+感知+交互+软件），中圈是直接交互对象（患者、术者、治疗师、被操作物），外圈是运行环境与外部系统（手术室、病区、网络、HIS）。风险分析对象至少覆盖内圈与中圈，外圈按“是否可能引入不可接受风险”逐项判断。判断依据可写成一句话：若该要素失效或行为异常，是否可能直接导致患者伤害或操作者伤害？若是，纳入安全边界；若仅影响效率或体验，纳入可用性边界并单独管理。

把六层组成与三圈边界结合，就得到后续危害识别、风险估计与风险控制的共同“坐标系”。下一阶段的所有分析，都应明确标注其落在哪一层、哪一圈，避免风险条目悬空或重复。