2. 医疗机械臂系统组成与安全架构

医疗机械臂不是单一机械装置，而是一套由机械本体、驱动系统、传感系统、控制器和人机交互接口共同构成的闭环系统。理解这套系统的组成，关键不在于记住五个名词，而在于看清它们之间的信号流向、能量流向和安全约束关系。只有把“谁驱动谁、谁感知谁、谁在异常时切断谁”梳理清楚，后续的安全层级划分才有落脚点。

机械本体：安全的第一道物理边界

机械本体是执行手术或辅助操作的物理载体，通常由基座、关节臂段、末端执行器接口和传动机构组成。以常见的6自由度协作型医疗机械臂为例，其关节采用串联结构，每个关节对应一个旋转自由度，末端可安装持针器、内窥镜夹持器或超声探头夹具。机械本体的安全设计体现在三个方面：一是关节机械限位，防止超出解剖安全范围；二是臂段质量与惯量分布，惯量越大，急停时的冲击越明显；三是末端接口的机械兼容性，避免术中工具松脱。

需要特别注意的是，机械本体的“零位”定义必须与控制器坐标系一致。通常约定：各关节角为零时，臂处于厂家标定的初始姿态；末端工具坐标系的Z轴指向工具前进方向，X、Y轴按右手定则确定。这一约定在后续运动学解算、力控方向和碰撞检测中必须全文统一，否则会出现“方向反了”的低级但危险的问题。

驱动系统：能量到运动的转换环节

医疗机械臂的驱动系统多采用伺服电机加减速器方案，部分高精度场景使用谐波减速器以减小回差。驱动器接收控制器的位置、速度或力矩指令，输出相应电流驱动电机。以某协作臂关节为例，额定转矩约20 N·m，减速比100:1，编码器分辨率19位，对应关节角分辨率约为0.0007°。驱动系统的安全相关点包括：驱动器使能/失能逻辑、过流与过温保护、抱闸动作时序。抱闸必须在失能前可靠闭合，否则重力负载会导致臂下垂。

传感系统：状态感知与安全反馈

传感系统分为内部传感和外部传感。内部传感包括各关节编码器、电机电流传感器、温度传感器和抱闸状态反馈，用于闭环控制和自身状态监测。外部传感包括六维力/力矩传感器、视觉相机、超声或近红外距离传感器，用于感知工具与组织的交互力、术野位置和接近距离。安全相关的典型阈值示例：末端力超过15 N持续200 ms触发力超限保护；工具与预设解剖边界距离小于5 mm触发减速，小于2 mm触发停止。这些阈值属于示例性教学参数，实际值需依据器械注册资料和临床风险评估确定。

控制器：决策与安全逻辑的核心

控制器通常采用“实时运动控制层+安全逻辑层”的双层结构。运动控制层负责逆运动学解算、轨迹插补和伺服更新，周期常在1 ms量级；安全逻辑层独立运行，监视急停、使能、力超限、位置越界和通信心跳等信号，一旦条件满足，直接通过硬件通道切断驱动器使能。两层之间通过共享内存或安全总线交换状态，但安全逻辑层不依赖运动控制层的正常运算结果，这是“独立安全”的基本要求。

人机交互接口：操作者与系统的边界

人机交互接口包括主手、脚踏开关、急停按钮、使能开关和状态显示屏。主手将操作者的手部动作映射为末端运动指令；脚踏用于切换控制模式或确认动作；急停按钮必须采用常闭触点，按下即断开安全回路；使能开关通常要求“三位置”逻辑——松开和按到底均失能，仅中间位置使能，防止操作者紧张时误动作。状态显示屏应实时显示当前模式、力值、限位状态和报警信息，便于操作者判断系统是否处于安全状态。

安全层级划分：从物理到逻辑的纵深防御

医疗机械臂的安全架构通常划分为四个层级。第一层是机械与电气本安层，包括机械限位、抱闸、熔断器和硬件急停回路，不依赖软件即可生效。第二层是独立安全逻辑层，由安全PLC或安全继电器实现，监视超限信号并直接切断动力。第三层是运动控制层，负责轨迹规划中的速度、加速度和力限幅，属于“预防性”安全。第四层是应用与交互层，包括操作确认、模式互锁和报警提示，属于“提示性”安全。四层从下到上，响应速度由快到慢，覆盖范围由局部到全局，共同构成纵深防御。

从组成到架构：一个可检查的配置示例

下面给出一份用于教学演示的安全参数配置片段，展示控制器中安全逻辑层的关键阈值如何与传感系统对应。该配置属于示例性设置，实际部署必须依据器械说明书和风险评估报告确定。

# 安全逻辑层参数示例（教学用）
force_limit_n        = 15.0    # 末端力上限，单位N
force_duration_ms    = 200     # 超限持续时间阈值
approach_slow_mm     = 5.0     # 接近边界减速距离
approach_stop_mm     = 2.0     # 接近边界停止距离
joint_pos_limit_deg  = [-170, 170]  # 关节角软限位
enable_switch_mode   = "3-position" # 使能开关三位置逻辑
estop_channel        = "NC"    # 急停常闭触点
heartbeat_timeout_ms = 50      # 通信心跳超时

配置完成后，可通过以下方式验证安全层级是否生效：手动触发急停，观察驱动器使能是否在100 ms内断开、抱闸是否闭合；用测力计在末端施加超过15 N的力并保持200 ms以上，观察是否触发力超限停止；将工具缓慢移向预设边界，观察5 mm处是否减速、2 mm处是否停止。这些观察点分别对应L1、L2、L3层的实际动作，是判断安全架构是否完整的基本依据。

把上述五个组成部分和安全四层级放在一起看，可以得到一条清晰的主线：人机交互接口产生操作意图，控制器解算并下发指令，驱动系统输出力矩，机械本体执行动作，传感系统持续反馈状态；而安全层级则像四道闸门，从物理限位到软件限幅再到操作提示，逐层拦截异常。理解这条主线，是后续学习运动学、力控和故障处理的基础。