人机共融安全技术发展趋势展望

王朝立

(上海理工大学光电信息与计算机工程学院，上海 200090)

0 引言

机器人的发展经历了示教再现和完全自主的发展后，发现有些情况下完全自主是不可能的。因此人机协作人机共融就成为机器人发展的必然选择。实际上，目前的自动驾驶也正在调整到人机共融的自动驾驶技术方面。机器人人机共融首先面对的就是机器人三大定理的第一条，即机器人不能伤害人。此外，联合国《巴黎气候变化协定》规定的减排任务，也迫切需要生产过程的无人化，以便对污染物作统一处理。但无人化的过程离不开人的现场维护和参与。因此，研究一种不伤害人的机器人技术对智能制造业而言已经是迫在眉睫的事。本文综述了这一背景下的安全技术发展现状、挑战与机遇，以期共鸣与讨论，并借此推动这一技术的发展。

1 人机共融安全的必然性

自21世纪以来，机器人技术得到了空前发展，汽车、摩托车、造纸、采矿、物流等行业，在确定无人的环境下能够使生产率得到极大提高，而且能代替人在危险环境下作业，改善了个人的工作环境，被认为是新技术革命的核心[1-2]。然而，无论生产效率如何提高，机器如何先进，机器总是要定期维护或更换。维护一般分成两类。一类是完全停工换机器维护，这对人的安全影响不大，但对生产效率影响极大[3-4]。比如，特斯拉原本计划在2018年4月底前每周生产2 500辆Model 3，年底前使产量提升至每周5 000辆。但因产能限制，这一目标迟迟难以实现。这是因为必须暂时关停制造特斯拉Model 3的费利蒙工厂和超级电池1号工厂，才能够升级自动化系统，解决技术困难，提高劳动生产率。另外一个例子是，山西建龙因环保要求于11月1日至11月4日对4条轧线进行停产检修，总计日影响产量约为1.65万吨[5]。另一类是半停工甚至不停工维护。这种情况检修维护人员就可能要在高速大惯性环境下与人发生直接接触，存在危险性。

2015年7月初，大众位于德国保纳塔尔的工厂内，一个机器人杀死了一名外包员工。机器人在拥有智慧聪明形象的同时，也会是一个麻烦的制造者，甚至伤害人类自己。德国大众位于德国保纳塔尔的汽车装配工厂车间如图1所示。

图1 德国保纳塔尔的汽车装配工厂车间Fig.1 Volkswagen automobile assembly workshop in bonatar,Germany

保纳塔尔工厂车间事故断定是由于工人操控没有按照规章造成的，机器人本身设计没有问题。一般情况下，设计的机器人每一个时段均只能在工厂车间一定范围内工作，抓取一些物品放到另一个地方，比如汽车零件等。但很明显，机器人安全设计仍然存在很大的提升空间。

从技术上如何避免这种情况是人机共融技术发展不可缺少的环节。

2011年12月,美国成立了一个先进制造办公室，制定了先进制造伙伴计划(advanced manufacturing partnership，AMP)。该计划中提到：未来一代机器人将与人类一起友好工作、紧密合作，为手术医生、健康志愿者、士兵、航天员以及产业工人等完成复杂个性化任务提供新的能力。这是国家层面计划中首次规定了人机共融技术的国家政策需求[6-7]。

上述事实表明，人机共融安全不仅是十分必要的，而且也是十分迫切的。

2 人机交互中机器可能伤害人

自2018年以来，美国新泽西州一家亚马逊仓储中心的一台自动运货机器不慎打碎了一罐防熊喷雾。结果，流出的防熊喷雾被吸进了仓库的通风系统，导致50多名员工呼吸困难，眼睛和喉咙有灼烧感，其中25人被送医治疗。而这已经不是亚马逊第一次出现防熊喷雾的事故了。早在2015年，德克萨斯州一家亚马逊仓储中心的防熊喷雾就被机器人压碎，当地消防部门不得不前来救险。

频繁爆发的安全事件表明，虽然亚马逊在追赶机器人产业发展潮流，迎合人机协同作业趋势方面处于领先地位，但其在人机安全的保障上明显还不够充分。

这次的亚马逊机器人虽然没有直接对人体造成伤害，却也引发了人们对协作机器人的深深担忧。机器人既然能够不小心刺破商品，就难保不会碰撞或伤害到人本身。那么，协作机器人的人机安全究竟有没有保障呢？有的话，它又是如何保障的呢？

如果要人机近距离接触，一种最安全、最直接的方法是用大量传感器检测人与机器人的距离。超过安全距离，机器人就停止工作。但这样做不仅会消耗大量的资源，而且机器人停止工作也会降低生产效率。即使不考虑所有这些因素，从理论上讲，仍然存在传感器失灵和刹车失灵的时候，再加上大负载机器人的大惯性，人的安全还是无法保障。

既然人机交互过程中人不可避免要进入机器人的工作范围，这就存在一个如何设计机器人，使得人机交互时确保人安全的问题，也就是人机共融时机器人的安全设计[8]。

3 人机共融安全机器人的设计标准

安全设计离不开标准。下面介绍一些主要国家和地区以及行业在人机共融安全性设计标准的对策。

3.1 国家和地区人机安全的政策

欧洲联盟在2006～2008年制定3年欧洲机器人协作(coordination action for robotics in europe，CARE)计划。其为人机安全性技术提供了一个整体思路。经过两年的准备，欧洲联盟在此基础上制定了预算达500多亿欧元的第七框架计划(2007～2013年)，指出了下一代自动化设备的关键特征，即人、无人机器和物理世界安全且自主交互的模式，并归纳出了七个关键技术：柔性控制技术、人与机器时空的实时通信、交互控制、学习与理解人类的行为、反应式行为产生、适应人安全的任务规划、安全技术。

2013年春天，德国率先推出了工业4.0计划。工业4.0的本质是互联网与智能制造，也就是物联网；智能生产被称为是第四次工业革命的特征。而人与机器设备间相互理解、相互合作、相互信任，是提高生产过程智能化不可分割的部分。

智能制造的核心技术之一是机器人。目前，世界上主要发达国家均将智能机器人作为重点发展领域之一。它是制造业中代替人的主力军，在工业生产中应用的数量和质量也是标志国家核心竞争力的主要指标。社会越来越需要认知能力强与操作灵活、并能够与人的友好安全交互以及能够像人一样弱化定位要求的机器人。我国于2017年10月正式发布了《中国机器人标准化白皮书(2017)》。

2018年5月，中国工信部已经开始针对共融机器人安全、电磁兼容和故障诊断三个方向开展了需求调研，计划编制《协作机器人力和能力传递测试方式》，将人机协作安全的标准深入到测试阶段。通过更加细化、周全的测试，保证人机协作中人的安全。

3.2 行业标准的思考

行业的发展离不开规范化。关于机器对人的安全性问题，本领域内的部分主要企业也有类似的考虑。如传统工业机器人的使用大户，美国通用汽车公司认为下一代机器人设备是人与机器人之间的主动交互。通过触觉和力觉反馈实现灵巧细致的操作，可以与人安全交互相互理解、人与机器人一起工作。美国通用公司认为，使能技术是智能制造新领域中最具有人和机器共融协作能力的新技术之一。

众所周知，机器的操作和作业安全，都是通过标准的制定来获得保障的。人机共融安全技术也不例外。随着机器人价值的日渐凸显，产业化发展的不断壮大，2011年，国际标准化组织(international organization for standardization,ISO)开始致力于机器设备对人安全方面的标准制定，且于同年发布了ISO 10218“工业机器人安全要求”的相关标准。

人机共融机器人技术出现较晚，安全性规范的制定也较晚。2016年，ISO/TS 15066技术指南出现后，人机共融机器人才有了“风险评估”和“安全作业”的指导性、综合性文件保障。在ISO/TS 15066标准给定的安全保障方式中，按照人机共融程度进行分类，人机共融机器人的安全形式分为以下四种。

①安全级监控停止和风险评估。引入系统模式识别技术，对系统实施实时监控，利用图像分割技术可以让摄像机跟踪操作员身体的位姿。当操作员装配操作姿势不符合安全规程要求时，对操作员提出警告[9-13]。一旦有人进入不该进入的设备工作区域时，机器人立即停止一切动作，只有当工作人员离开该区域时，机器人才能自动恢复正常工作。另外，利用人工智能图像识别系统对人机装配系统进行风险评估，在机器人系统的安全规程的指导下进行风险评估，以生产线上的工人的安全为目的，评估人重点关注人机系统应对风险的实际解决方案的过程[14]；记录系统中所有可能的风险，如设备故障等，以便采取相应措施来减少对工人安全的威胁[15]。

②手动引导。这种方式需要在安全级监控停止的基础之上，满足操作员能够在协同区域内执行手动引导任务，类似于现在的拖动示教。也就是说，这种方式下，人不仅能够安全进入协同区域，还能安全手动操作机器人。

③速度和距离监控。在这种人机共融形式下，机器人与人的最小安全距离是重要的参数。机器人手臂的速度调节器是在满足安全距离的前提下设计的，从而在理论上保障工人的安全。最小距离可通过骨骼传感器或者视觉或激光传感器建模得到。机器人和人可以同时出现在人机共融区域内，但相互间需保持小安全距离。一旦触碰到安全距离，机器人立刻停止运行，同时如果机器人速度降低，则安全保护距离可以相应缩小[16]。

④功率和力限制。这种人机共融形式是通过传感器对人与物品进行检测。一旦机器人与相应对象发生接触，机器人的速度和功率将遭到限制，使得碰撞的能量不足以对人造成严重伤害。人机共融安全保护示意图如图2所示。

图2 人机共融安全保护示意图Fig.2 Schematic diagram of man-machine communion safety protection

当前，各国普遍追求的是第四种人机共融形式。其不像前三种一样被动保证安全，而是允许与人进行亲密接触，其通过对自身输出能力的限制，从根源上避免伤害事件的发生。但是，这种方式在动态不确定的环境中保持安全作业并不容易。即使是同样采用的第四种人机共融方式，市场上各人机共融机器人厂商在实现人机共融的安全性技术上也不尽相同。比如：优傲采用专利传感器和软件技术；ABB依赖传感器和机器视觉；安川基于控制器和传感器的协同作业等。因为没有相关标准指导，不知道哪种技术更可靠，这导致市场上人机共融机器人的发展十分混乱。虽然大方向上已经有相关标准引导，但技术、测试等细节方面的标准仍然不足。这是导致亚马逊事故发生的重要原因，同时也是人机安全仍无法保障的主要原因。但第四种人机共融形式取决于传感器的安全等级。如果等级很低，也很难保证绝对安全。

所有这些意味着人机共融没有统一的标准。据了解，即使同样采用第四种人机共融形式对功率和力进行限制，市场上各家人机共融机器人厂商在实现人机共融的安全性技术上也有所不同。以优傲和ReThink为例：优傲通过专利传感器和软件技术帮助其实现功率和力的限制功能；ReThink则通过串联弹性驱动器SEA，将力控制转化为弹性力变化控制，能够实现更精确的力矩控制。那么，到底哪种技术更为可靠？究竟把功率和力的大小限制到何等程度才算是安全呢？人机共融的安全性技术如图3所示。

图3 人机共融的安全性技术Fig.3 Safety technologies for man-machine integration

2019年10月29日，国际公认的检验、鉴定、测试和认证机构SGS与遨博(北京)智能科技有限公司在北京正式签署战略合作协议，并现场颁发了“SGS授予遨博智能全国首张协作机器人行业功能安全证书”。

众所周知，汽车行业历史悠久。1966年9月9日，《国家交通和机动车安全法》成为美国的法律，这是机动车的第一个强制性联邦安全标准。汽车安全性的发展对无人设备的自主运行和对人安全性的研究具有很好的启示作用。以汽车为例，起初汽车安全全部靠厂商自己介绍，既没有公认的事实，也没有打分标准。汽车碰撞测试如图4所示。

图4 汽车碰撞测试图Fig.4 Vehicle crash test

汽车安全性的第一个正规机构是1997年创立的“欧洲新车安全评鉴协会”(EuroNCAP)。这个安全认证机构是汽车行业最具权威的。它由七个欧洲政府组织组成，包括英国交通研究试验室以及英国运输部以及其它地区和政府组织。它第一次明确了车辆安全测试标准，并购置了当时热销的几款汽车进行公开碰撞测试。第一次碰撞试验的结果大大出乎人们的预料，设置满分标准是4颗星，然后进行测试。大部分车型都只得到了2颗星。这一碰撞，引发了全世界汽车的安全革命。

从那时起，汽车制造商开始将安全纳入汽车设计最重要的项目之一，消费者也开始疯狂追求安全性高的汽车。只要汽车的安全性足够好，它的销量就会得到保证。据外媒统计，自1997年以来，EuroNCAP的出现拯救了超过7.8万人的生命。它使得安全成为汽车生产商和消费者首先考虑的设计和选购汽车的首要因素。

从汽车安全技术的发展本身，可以看到标准的主要作用：标准的建立可以引领市场需求，从而促使厂商修改生产计划和设计目标，为机器人消费者提供更为安全可靠的产品。因此，人机安全性也可以效仿汽车安全设计类似的碰撞试验来检测。

3.3 机器的设计需要考虑人的情感

机器人最初定义时有四个基本要求，其中之一就是机器人不能伤害人。无人化机器也是这样。在无人驾驶技术的安全性和可信赖方面，许多公司和大学作出了有益的尝试。谷歌已经完成了对自主研制的自动驾驶汽车的道路测试[17-20]，福特公司和麻省理工学院和斯坦福大学组成了联合攻关小组研制智能自主驾驶汽车[21]。这样的无人系统给人类带来了极大的方便，不用手换挡，也不用脚踩刹车[22]。但这样的车辆即便运行良好，人们乘坐它们时也是顾虑重重，对它们的安全性和可靠性仍存在疑惑。为了解决这个问题，一种办法是设计好的传感器[23-24]。但好的传感器也有失灵的时候，即便不失灵，也存在人们对它的信任程度的问题。因此，设计机器人时，考虑人类的心理因素也是必不可少的环节。

3.4 人因工程必须思考

人机共融在制造业中是一种半自动化过程，即混合自动化，是充分利用机器的高效、可重复、不知疲劳、准确以及最高人工智能系统[25]。人机交互的有效方式与交互程度决定了自动化系统的效率。要设计一个完善的人机共融系统，首先要解决的是安全性，即人在自动化生产过程中的安全性问题[26]。

真正让共融机器人在产品设计上区别于传统机器人的是第四种更为本质、更为高级、更为安全的共融方式：功率和力限制。

机器人在最初定义时就强调机器人不能伤害人类自身，最注重“人”的安全性，那么我们可以很自然想到： 如果机器与人发生碰撞时，如何设计机器人才能够保证人会感觉到疼痛，这才是安全的基本要求。在世界范围，第一个协作机器人碰撞标准是ISO/TS 15066。该标准认为可以根据人类的疼痛阈值来计算出符合碰撞标准的机器人需要的最大能量值。

ISO 15066招募了一百多名身体健康的成年人作为试验对象，分别对人体29个区域单独进行疼痛测试，最终得到一组设计、部署机器人时的限制参数数据。这些数据就可以用于指导机器人的开发和使用。中国工信部也计划制定亚洲人和中国人疼痛测试的标准，但截至2017年底，我国安全机器人的安全、检测、共融等尚无系统性、通用性国家标准白皮书。

3.5 新标准还需要更加细化和完善

ISO 15066具有较大的局限性，仅仅集中在某些学科领域范围内。机器人是一个比较确定的系统，但“人”的因素就显得非常多变。另外，ISO 15066当时制订的碰撞标准相对现在的工业水平来讲也比较简陋，当时建模时对实际情况作了很多理想化的假设和化简，这也为未来新标准的修订提供了可以细化完善的空间。在人机共融机器人测试时，需要考虑诸多因素，比如测试点的选取、机器人姿态选取、人体模型设置等。最好的方式是人和机器人能够实时感知环境的力和距离。

4 结论

人机共融的安全性技术具有重要科学意义和实际应用价值。对于我国来说，目前人机共融安全领域还处于一个非常低级的阶段，市场也尚在培育之中；虽然国家层面的觉悟虽然很深，但行业和用户的意识仍然堪忧。不少应用人机共融机器人的客户都认为，使用了人机共融机器人之后便不需进行安全评估和措施保护。这样的想法十分不可取。总而言之，人机安全的保护一方面靠标准的制定和细化，另一方面还需要靠人们思想意识的提升。只有从内到外充分解决安全问题，才能真正实现人机共融。