1. 实验自动化安全与防错工程导论
实验自动化正在把大量重复、精细、长时间运行的实验操作交给机械臂、液体处理工作站、在线分析仪和调度软件来完成。它带来的收益很直接：通量提升、人为波动减少、数据可追溯。但与此同时，风险结构也发生了变化——操作者从"直接动手的人"变成了"设计流程、配置参数、监控系统的人"，一旦流程设计或参数配置存在缺陷，错误会被自动化系统以更高速度、更大批量地复制。这正是本课程要解决的核心问题：如何让自动化实验在高速运行的同时，仍然保持安全边界清晰、错误可被拦截、异常可被追溯。
三个核心概念及其统一视角
实验自动化指用设备与软件替代或辅助人工完成实验操作，典型形态包括移液工作站、机械臂抓取、在线检测、样品调度与数据采集。它的本质是把实验流程拆解为可被机器执行的原子动作序列，并附加参数、时序与状态判断。
安全工程关注的是"如何避免系统对人和环境造成伤害"。在自动化实验中，安全对象既包括操作人员（机械伤害、化学品暴露、高压高温），也包括样品与设备（交叉污染、试剂失效、贵重耗材损坏），还包括数据与合规（记录篡改、批次混淆）。安全工程的方法是识别危险源、评估风险等级、设置防护层，并验证防护层有效。
防错工程（Poka-Yoke，源自丰田生产体系）关注的是"如何让错误不可能发生，或一旦发生立刻被发现"。它强调的不是依靠人的注意力，而是通过物理约束、逻辑校验、顺序锁定、自动比对等机制，把错误挡在发生之前或发生的瞬间。
三者的统一视角可以概括为一句话：自动化定义了"动作如何被执行"，安全工程定义了"哪些动作绝对不能越界"，防错工程定义了"越界之前如何被拦住"。缺少任何一环，系统都会在某个工况下失效。
为什么"安全"和"防错"必须一起讲
很多团队把安全理解为"加装防护罩、贴警示标签"，把防错理解为"加校验规则"。但在自动化实验中，这两件事经常纠缠在一起。举一个具体的教学示例（以下参数为合理假设，用于说明机制，并非实测数据）：某移液工作站的加样流程要求从试剂瓶 A 吸取 200 μL 加入 96 孔板。若操作者误将试剂瓶 A 与 B 的位置在台面上对调，仅靠"安全防护"无法发现——机械臂不会撞到任何东西，也不会触发急停；但结果就是整板样品全部加错试剂。此时真正起作用的是防错机制：试剂瓶架采用物理防呆缺口，A 瓶无法插入 B 位；同时软件在运行前读取瓶身二维码，与流程文件中的试剂编号比对，不一致则拒绝启动。前者是物理约束，后者是逻辑校验，两者共同把"错加试剂"这一失效模式挡在运行之前。
反过来，如果只做防错不做安全，也会出问题。例如某流程为了防止交叉污染，设置了"每步吸头更换"的校验，但机械臂在更换吸头时的运动轨迹与防护门开合时序没有联锁，操作人员可能在门未关闭时伸手取板，造成机械伤害。这说明：防错解决"做对的事"，安全解决"做事时不受伤"。两者共享同一套流程描述、同一套状态判断、同一套异常处理入口，因此必须在同一知识框架下设计。
本课程的知识框架
围绕上述统一视角，本课程按"认知—设计—实现—验证—运维"的递进关系组织，共 30 章，可归为五个板块：
- 基础认知板块（第 1～5 章）：建立实验自动化、安全工程、防错工程的基本概念，理解失效模式与风险来源，掌握危险源识别与风险评估方法。
- 流程与参数设计板块（第 6～12 章）：学习如何把实验流程拆解为可执行动作序列，如何定义参数边界、时序约束与状态机，如何在设计阶段嵌入防错点。
- 硬件与联锁板块（第 13～18 章）：涉及机械防护、急停回路、门禁联锁、液位/温度/压力传感器、试剂识别与耗材管理，重点讲清"物理层如何兜底"。
- 软件与数据板块（第 19～24 章）：涵盖流程校验、权限控制、审计追踪、异常日志、数据完整性，以及自动化系统与 LIMS/ELN 的接口安全。
- 验证与运维板块（第 25～30 章）：包括防错有效性验证、故障注入测试、变更管理、事故复盘与持续改进，形成闭环。
需要强调的是，这五个板块不是彼此独立的"章节堆叠"，而是围绕同一条主线：任何一个自动化实验流程，都可以用"执行—边界—拦截—追溯"四个问题来审查。后续每一章都会反复回到这条主线，只是对象和深度不同。
学习目标与学习方式
完成本课程后，学习者应能够：
- 用统一语言描述一个自动化实验流程中的动作、参数、状态与异常，而不是停留在"设备能跑就行"的层面。
- 针对给定流程，识别至少三类失效模式（人为配置错误、设备动作越界、物料/试剂混淆），并判断其后果严重度与发生可能性。
- 为每类失效模式选择合适的安全防护层或防错机制，说明其作用位置（运行前、运行中、运行后）与验证方法。
- 读懂并编写基本的流程校验规则、联锁条件与异常处理逻辑，能够与设备工程师、软件工程师有效沟通。
- 在变更（换试剂、换板型、改参数、升级软件）后，判断哪些防错点需要重新验证，避免"改一处、漏一片"。
一个贯穿全课程的审查示例
为了让抽象框架可操作，这里给出一个简化的审查表结构，后续章节会逐步填充更专业的字段。以"96 孔板加样"为例：
| 审查问题 | 本例中的具体内容 | 对应机制类型 |
|---|---|---|
| 执行什么动作？ | 从试剂瓶吸取 200 μL 加入指定孔位 | 自动化执行层 |
| 边界在哪里？ | 试剂种类必须匹配、加样体积不超过孔容量、吸头不可重复使用 | 安全边界层 |
| 越界前如何拦截？ | 瓶架防呆缺口 + 二维码比对 + 体积上限校验 + 吸头计数锁定 | 防错拦截层 |
| 拦截后如何追溯？ | 记录拒绝启动的原因、时间、操作者、流程版本 | 数据与审计 |
这张表看起来简单，但它把"安全"和"防错"从口号变成了可检查的条目。后续章节会分别深入：如何做危险源识别、如何写校验规则、如何设计联锁回路、如何验证防错有效、如何在变更后保持防护不失效。本章的任务，是先把这张"地图"建立起来——知道自己在哪一层工作，知道上一层和下一层分别需要什么输入与输出。
最后需要提醒的是：自动化不会自动带来安全，防错也不会自动带来可靠。它们都是设计出来的，而不是买来的。设备厂商提供的安全功能只是起点，真正决定实验是否安全、数据是否可信的，是流程设计者是否在每一个关键节点问过一句："如果这里出错了，谁会先发现？"如果答案是"没有人，直到结果异常"，那么这个节点就还需要一层拦截。