王朝立

(上海理工大學(xué)光電信息與計算機(jī)工程學(xué)院，上海 200090)

0 引言

機(jī)器人的發(fā)展經(jīng)歷了示教再現(xiàn)和完全自主的發(fā)展后，發(fā)現(xiàn)有些情況下完全自主是不可能的。因此人機(jī)協(xié)作人機(jī)共融就成為機(jī)器人發(fā)展的必然選擇。實際上，目前的自動駕駛也正在調(diào)整到人機(jī)共融的自動駕駛技術(shù)方面。機(jī)器人人機(jī)共融首先面對的就是機(jī)器人三大定理的第一條，即機(jī)器人不能傷害人。此外，聯(lián)合國《巴黎氣候變化協(xié)定》規(guī)定的減排任務(wù)，也迫切需要生產(chǎn)過程的無人化，以便對污染物作統(tǒng)一處理。但無人化的過程離不開人的現(xiàn)場維護(hù)和參與。因此，研究一種不傷害人的機(jī)器人技術(shù)對智能制造業(yè)而言已經(jīng)是迫在眉睫的事。本文綜述了這一背景下的安全技術(shù)發(fā)展現(xiàn)狀、挑戰(zhàn)與機(jī)遇，以期共鳴與討論，并借此推動這一技術(shù)的發(fā)展。

1 人機(jī)共融安全的必然性

自21世紀(jì)以來，機(jī)器人技術(shù)得到了空前發(fā)展，汽車、摩托車、造紙、采礦、物流等行業(yè)，在確定無人的環(huán)境下能夠使生產(chǎn)率得到極大提高，而且能代替人在危險環(huán)境下作業(yè)，改善了個人的工作環(huán)境，被認(rèn)為是新技術(shù)革命的核心[1-2]。然而，無論生產(chǎn)效率如何提高，機(jī)器如何先進(jìn)，機(jī)器總是要定期維護(hù)或更換。維護(hù)一般分成兩類。一類是完全停工換機(jī)器維護(hù)，這對人的安全影響不大，但對生產(chǎn)效率影響極大[3-4]。比如，特斯拉原本計劃在2018年4月底前每周生產(chǎn)2 500輛Model 3，年底前使產(chǎn)量提升至每周5 000輛。但因產(chǎn)能限制，這一目標(biāo)遲遲難以實現(xiàn)。這是因為必須暫時關(guān)停制造特斯拉Model 3的費(fèi)利蒙工廠和超級電池1號工廠，才能夠升級自動化系統(tǒng)，解決技術(shù)困難，提高勞動生產(chǎn)率。另外一個例子是，山西建龍因環(huán)保要求于11月1日至11月4日對4條軋線進(jìn)行停產(chǎn)檢修，總計日影響產(chǎn)量約為1.65萬噸[5]。另一類是半停工甚至不停工維護(hù)。這種情況檢修維護(hù)人員就可能要在高速大慣性環(huán)境下與人發(fā)生直接接觸，存在危險性。

2015年7月初，大眾位于德國保納塔爾的工廠內(nèi)，一個機(jī)器人殺死了一名外包員工。機(jī)器人在擁有智慧聰明形象的同時，也會是一個麻煩的制造者，甚至傷害人類自己。德國大眾位于德國保納塔爾的汽車裝配工廠車間如圖1所示。

圖1 德國保納塔爾的汽車裝配工廠車間Fig.1 Volkswagen automobile assembly workshop in bonatar,Germany

保納塔爾工廠車間事故斷定是由于工人操控沒有按照規(guī)章造成的，機(jī)器人本身設(shè)計沒有問題。一般情況下，設(shè)計的機(jī)器人每一個時段均只能在工廠車間一定范圍內(nèi)工作，抓取一些物品放到另一個地方，比如汽車零件等。但很明顯，機(jī)器人安全設(shè)計仍然存在很大的提升空間。

從技術(shù)上如何避免這種情況是人機(jī)共融技術(shù)發(fā)展不可缺少的環(huán)節(jié)。

2011年12月,美國成立了一個先進(jìn)制造辦公室，制定了先進(jìn)制造伙伴計劃(advanced manufacturing partnership，AMP)。該計劃中提到：未來一代機(jī)器人將與人類一起友好工作、緊密合作，為手術(shù)醫(yī)生、健康志愿者、士兵、航天員以及產(chǎn)業(yè)工人等完成復(fù)雜個性化任務(wù)提供新的能力。這是國家層面計劃中首次規(guī)定了人機(jī)共融技術(shù)的國家政策需求[6-7]。

上述事實表明，人機(jī)共融安全不僅是十分必要的，而且也是十分迫切的。

2 人機(jī)交互中機(jī)器可能傷害人

自2018年以來，美國新澤西州一家亞馬遜倉儲中心的一臺自動運(yùn)貨機(jī)器不慎打碎了一罐防熊噴霧。結(jié)果，流出的防熊噴霧被吸進(jìn)了倉庫的通風(fēng)系統(tǒng)，導(dǎo)致50多名員工呼吸困難，眼睛和喉嚨有灼燒感，其中25人被送醫(yī)治療。而這已經(jīng)不是亞馬遜第一次出現(xiàn)防熊噴霧的事故了。早在2015年，德克薩斯州一家亞馬遜倉儲中心的防熊噴霧就被機(jī)器人壓碎，當(dāng)?shù)叵啦块T不得不前來救險。

頻繁爆發(fā)的安全事件表明，雖然亞馬遜在追趕機(jī)器人產(chǎn)業(yè)發(fā)展潮流，迎合人機(jī)協(xié)同作業(yè)趨勢方面處于領(lǐng)先地位，但其在人機(jī)安全的保障上明顯還不夠充分。

這次的亞馬遜機(jī)器人雖然沒有直接對人體造成傷害，卻也引發(fā)了人們對協(xié)作機(jī)器人的深深擔(dān)憂。機(jī)器人既然能夠不小心刺破商品，就難保不會碰撞或傷害到人本身。那么，協(xié)作機(jī)器人的人機(jī)安全究竟有沒有保障呢？有的話，它又是如何保障的呢？

如果要人機(jī)近距離接觸，一種最安全、最直接的方法是用大量傳感器檢測人與機(jī)器人的距離。超過安全距離，機(jī)器人就停止工作。但這樣做不僅會消耗大量的資源，而且機(jī)器人停止工作也會降低生產(chǎn)效率。即使不考慮所有這些因素，從理論上講，仍然存在傳感器失靈和剎車失靈的時候，再加上大負(fù)載機(jī)器人的大慣性，人的安全還是無法保障。

既然人機(jī)交互過程中人不可避免要進(jìn)入機(jī)器人的工作范圍，這就存在一個如何設(shè)計機(jī)器人，使得人機(jī)交互時確保人安全的問題，也就是人機(jī)共融時機(jī)器人的安全設(shè)計[8]。

3 人機(jī)共融安全機(jī)器人的設(shè)計標(biāo)準(zhǔn)

安全設(shè)計離不開標(biāo)準(zhǔn)。下面介紹一些主要國家和地區(qū)以及行業(yè)在人機(jī)共融安全性設(shè)計標(biāo)準(zhǔn)的對策。

3.1 國家和地區(qū)人機(jī)安全的政策

歐洲聯(lián)盟在2006～2008年制定3年歐洲機(jī)器人協(xié)作(coordination action for robotics in europe，CARE)計劃。其為人機(jī)安全性技術(shù)提供了一個整體思路。經(jīng)過兩年的準(zhǔn)備，歐洲聯(lián)盟在此基礎(chǔ)上制定了預(yù)算達(dá)500多億歐元的第七框架計劃(2007～2013年)，指出了下一代自動化設(shè)備的關(guān)鍵特征，即人、無人機(jī)器和物理世界安全且自主交互的模式，并歸納出了七個關(guān)鍵技術(shù)：柔性控制技術(shù)、人與機(jī)器時空的實時通信、交互控制、學(xué)習(xí)與理解人類的行為、反應(yīng)式行為產(chǎn)生、適應(yīng)人安全的任務(wù)規(guī)劃、安全技術(shù)。

2013年春天，德國率先推出了工業(yè)4.0計劃。工業(yè)4.0的本質(zhì)是互聯(lián)網(wǎng)與智能制造，也就是物聯(lián)網(wǎng)；智能生產(chǎn)被稱為是第四次工業(yè)革命的特征。而人與機(jī)器設(shè)備間相互理解、相互合作、相互信任，是提高生產(chǎn)過程智能化不可分割的部分。

智能制造的核心技術(shù)之一是機(jī)器人。目前，世界上主要發(fā)達(dá)國家均將智能機(jī)器人作為重點(diǎn)發(fā)展領(lǐng)域之一。它是制造業(yè)中代替人的主力軍，在工業(yè)生產(chǎn)中應(yīng)用的數(shù)量和質(zhì)量也是標(biāo)志國家核心競爭力的主要指標(biāo)。社會越來越需要認(rèn)知能力強(qiáng)與操作靈活、并能夠與人的友好安全交互以及能夠像人一樣弱化定位要求的機(jī)器人。我國于2017年10月正式發(fā)布了《中國機(jī)器人標(biāo)準(zhǔn)化白皮書(2017)》。

2018年5月，中國工信部已經(jīng)開始針對共融機(jī)器人安全、電磁兼容和故障診斷三個方向開展了需求調(diào)研，計劃編制《協(xié)作機(jī)器人力和能力傳遞測試方式》，將人機(jī)協(xié)作安全的標(biāo)準(zhǔn)深入到測試階段。通過更加細(xì)化、周全的測試，保證人機(jī)協(xié)作中人的安全。

3.2 行業(yè)標(biāo)準(zhǔn)的思考

行業(yè)的發(fā)展離不開規(guī)范化。關(guān)于機(jī)器對人的安全性問題，本領(lǐng)域內(nèi)的部分主要企業(yè)也有類似的考慮。如傳統(tǒng)工業(yè)機(jī)器人的使用大戶，美國通用汽車公司認(rèn)為下一代機(jī)器人設(shè)備是人與機(jī)器人之間的主動交互。通過觸覺和力覺反饋實現(xiàn)靈巧細(xì)致的操作，可以與人安全交互相互理解、人與機(jī)器人一起工作。美國通用公司認(rèn)為，使能技術(shù)是智能制造新領(lǐng)域中最具有人和機(jī)器共融協(xié)作能力的新技術(shù)之一。

眾所周知，機(jī)器的操作和作業(yè)安全，都是通過標(biāo)準(zhǔn)的制定來獲得保障的。人機(jī)共融安全技術(shù)也不例外。隨著機(jī)器人價值的日漸凸顯，產(chǎn)業(yè)化發(fā)展的不斷壯大，2011年，國際標(biāo)準(zhǔn)化組織(international organization for standardization,ISO)開始致力于機(jī)器設(shè)備對人安全方面的標(biāo)準(zhǔn)制定，且于同年發(fā)布了ISO 10218“工業(yè)機(jī)器人安全要求”的相關(guān)標(biāo)準(zhǔn)。

人機(jī)共融機(jī)器人技術(shù)出現(xiàn)較晚，安全性規(guī)范的制定也較晚。2016年，ISO/TS 15066技術(shù)指南出現(xiàn)后，人機(jī)共融機(jī)器人才有了“風(fēng)險評估”和“安全作業(yè)”的指導(dǎo)性、綜合性文件保障。在ISO/TS 15066標(biāo)準(zhǔn)給定的安全保障方式中，按照人機(jī)共融程度進(jìn)行分類，人機(jī)共融機(jī)器人的安全形式分為以下四種。

①安全級監(jiān)控停止和風(fēng)險評估。引入系統(tǒng)模式識別技術(shù)，對系統(tǒng)實施實時監(jiān)控，利用圖像分割技術(shù)可以讓攝像機(jī)跟蹤操作員身體的位姿。當(dāng)操作員裝配操作姿勢不符合安全規(guī)程要求時，對操作員提出警告[9-13]。一旦有人進(jìn)入不該進(jìn)入的設(shè)備工作區(qū)域時，機(jī)器人立即停止一切動作，只有當(dāng)工作人員離開該區(qū)域時，機(jī)器人才能自動恢復(fù)正常工作。另外，利用人工智能圖像識別系統(tǒng)對人機(jī)裝配系統(tǒng)進(jìn)行風(fēng)險評估，在機(jī)器人系統(tǒng)的安全規(guī)程的指導(dǎo)下進(jìn)行風(fēng)險評估，以生產(chǎn)線上的工人的安全為目的，評估人重點(diǎn)關(guān)注人機(jī)系統(tǒng)應(yīng)對風(fēng)險的實際解決方案的過程[14]；記錄系統(tǒng)中所有可能的風(fēng)險，如設(shè)備故障等，以便采取相應(yīng)措施來減少對工人安全的威脅[15]。

②手動引導(dǎo)。這種方式需要在安全級監(jiān)控停止的基礎(chǔ)之上，滿足操作員能夠在協(xié)同區(qū)域內(nèi)執(zhí)行手動引導(dǎo)任務(wù)，類似于現(xiàn)在的拖動示教。也就是說，這種方式下，人不僅能夠安全進(jìn)入?yún)f(xié)同區(qū)域，還能安全手動操作機(jī)器人。

③速度和距離監(jiān)控。在這種人機(jī)共融形式下，機(jī)器人與人的最小安全距離是重要的參數(shù)。機(jī)器人手臂的速度調(diào)節(jié)器是在滿足安全距離的前提下設(shè)計的，從而在理論上保障工人的安全。最小距離可通過骨骼傳感器或者視覺或激光傳感器建模得到。機(jī)器人和人可以同時出現(xiàn)在人機(jī)共融區(qū)域內(nèi)，但相互間需保持小安全距離。一旦觸碰到安全距離，機(jī)器人立刻停止運(yùn)行，同時如果機(jī)器人速度降低，則安全保護(hù)距離可以相應(yīng)縮小[16]。

④功率和力限制。這種人機(jī)共融形式是通過傳感器對人與物品進(jìn)行檢測。一旦機(jī)器人與相應(yīng)對象發(fā)生接觸，機(jī)器人的速度和功率將遭到限制，使得碰撞的能量不足以對人造成嚴(yán)重傷害。人機(jī)共融安全保護(hù)示意圖如圖2所示。

圖2 人機(jī)共融安全保護(hù)示意圖Fig.2 Schematic diagram of man-machine communion safety protection

當(dāng)前，各國普遍追求的是第四種人機(jī)共融形式。其不像前三種一樣被動保證安全，而是允許與人進(jìn)行親密接觸，其通過對自身輸出能力的限制，從根源上避免傷害事件的發(fā)生。但是，這種方式在動態(tài)不確定的環(huán)境中保持安全作業(yè)并不容易。即使是同樣采用的第四種人機(jī)共融方式，市場上各人機(jī)共融機(jī)器人廠商在實現(xiàn)人機(jī)共融的安全性技術(shù)上也不盡相同。比如：優(yōu)傲采用專利傳感器和軟件技術(shù)；ABB依賴傳感器和機(jī)器視覺；安川基于控制器和傳感器的協(xié)同作業(yè)等。因為沒有相關(guān)標(biāo)準(zhǔn)指導(dǎo)，不知道哪種技術(shù)更可靠，這導(dǎo)致市場上人機(jī)共融機(jī)器人的發(fā)展十分混亂。雖然大方向上已經(jīng)有相關(guān)標(biāo)準(zhǔn)引導(dǎo)，但技術(shù)、測試等細(xì)節(jié)方面的標(biāo)準(zhǔn)仍然不足。這是導(dǎo)致亞馬遜事故發(fā)生的重要原因，同時也是人機(jī)安全仍無法保障的主要原因。但第四種人機(jī)共融形式取決于傳感器的安全等級。如果等級很低，也很難保證絕對安全。

所有這些意味著人機(jī)共融沒有統(tǒng)一的標(biāo)準(zhǔn)。據(jù)了解，即使同樣采用第四種人機(jī)共融形式對功率和力進(jìn)行限制，市場上各家人機(jī)共融機(jī)器人廠商在實現(xiàn)人機(jī)共融的安全性技術(shù)上也有所不同。以優(yōu)傲和ReThink為例：優(yōu)傲通過專利傳感器和軟件技術(shù)幫助其實現(xiàn)功率和力的限制功能；ReThink則通過串聯(lián)彈性驅(qū)動器SEA，將力控制轉(zhuǎn)化為彈性力變化控制，能夠?qū)崿F(xiàn)更精確的力矩控制。那么，到底哪種技術(shù)更為可靠？究竟把功率和力的大小限制到何等程度才算是安全呢？人機(jī)共融的安全性技術(shù)如圖3所示。

圖3 人機(jī)共融的安全性技術(shù)Fig.3 Safety technologies for man-machine integration

2019年10月29日，國際公認(rèn)的檢驗、鑒定、測試和認(rèn)證機(jī)構(gòu)SGS與遨博(北京)智能科技有限公司在北京正式簽署戰(zhàn)略合作協(xié)議，并現(xiàn)場頒發(fā)了“SGS授予遨博智能全國首張協(xié)作機(jī)器人行業(yè)功能安全證書”。

眾所周知，汽車行業(yè)歷史悠久。1966年9月9日，《國家交通和機(jī)動車安全法》成為美國的法律，這是機(jī)動車的第一個強(qiáng)制性聯(lián)邦安全標(biāo)準(zhǔn)。汽車安全性的發(fā)展對無人設(shè)備的自主運(yùn)行和對人安全性的研究具有很好的啟示作用。以汽車為例，起初汽車安全全部靠廠商自己介紹，既沒有公認(rèn)的事實，也沒有打分標(biāo)準(zhǔn)。汽車碰撞測試如圖4所示。

圖4 汽車碰撞測試圖Fig.4 Vehicle crash test

汽車安全性的第一個正規(guī)機(jī)構(gòu)是1997年創(chuàng)立的“歐洲新車安全評鑒協(xié)會”(EuroNCAP)。這個安全認(rèn)證機(jī)構(gòu)是汽車行業(yè)最具權(quán)威的。它由七個歐洲政府組織組成，包括英國交通研究試驗室以及英國運(yùn)輸部以及其它地區(qū)和政府組織。它第一次明確了車輛安全測試標(biāo)準(zhǔn)，并購置了當(dāng)時熱銷的幾款汽車進(jìn)行公開碰撞測試。第一次碰撞試驗的結(jié)果大大出乎人們的預(yù)料，設(shè)置滿分標(biāo)準(zhǔn)是4顆星，然后進(jìn)行測試。大部分車型都只得到了2顆星。這一碰撞，引發(fā)了全世界汽車的安全革命。

從那時起，汽車制造商開始將安全納入汽車設(shè)計最重要的項目之一，消費(fèi)者也開始瘋狂追求安全性高的汽車。只要汽車的安全性足夠好，它的銷量就會得到保證。據(jù)外媒統(tǒng)計，自1997年以來，EuroNCAP的出現(xiàn)拯救了超過7.8萬人的生命。它使得安全成為汽車生產(chǎn)商和消費(fèi)者首先考慮的設(shè)計和選購汽車的首要因素。

從汽車安全技術(shù)的發(fā)展本身，可以看到標(biāo)準(zhǔn)的主要作用：標(biāo)準(zhǔn)的建立可以引領(lǐng)市場需求，從而促使廠商修改生產(chǎn)計劃和設(shè)計目標(biāo)，為機(jī)器人消費(fèi)者提供更為安全可靠的產(chǎn)品。因此，人機(jī)安全性也可以效仿汽車安全設(shè)計類似的碰撞試驗來檢測。

3.3 機(jī)器的設(shè)計需要考慮人的情感

機(jī)器人最初定義時有四個基本要求，其中之一就是機(jī)器人不能傷害人。無人化機(jī)器也是這樣。在無人駕駛技術(shù)的安全性和可信賴方面，許多公司和大學(xué)作出了有益的嘗試。谷歌已經(jīng)完成了對自主研制的自動駕駛汽車的道路測試[17-20]，福特公司和麻省理工學(xué)院和斯坦福大學(xué)組成了聯(lián)合攻關(guān)小組研制智能自主駕駛汽車[21]。這樣的無人系統(tǒng)給人類帶來了極大的方便，不用手換擋，也不用腳踩剎車[22]。但這樣的車輛即便運(yùn)行良好，人們乘坐它們時也是顧慮重重，對它們的安全性和可靠性仍存在疑惑。為了解決這個問題，一種辦法是設(shè)計好的傳感器[23-24]。但好的傳感器也有失靈的時候，即便不失靈，也存在人們對它的信任程度的問題。因此，設(shè)計機(jī)器人時，考慮人類的心理因素也是必不可少的環(huán)節(jié)。

3.4 人因工程必須思考

人機(jī)共融在制造業(yè)中是一種半自動化過程，即混合自動化，是充分利用機(jī)器的高效、可重復(fù)、不知疲勞、準(zhǔn)確以及最高人工智能系統(tǒng)[25]。人機(jī)交互的有效方式與交互程度決定了自動化系統(tǒng)的效率。要設(shè)計一個完善的人機(jī)共融系統(tǒng)，首先要解決的是安全性，即人在自動化生產(chǎn)過程中的安全性問題[26]。

真正讓共融機(jī)器人在產(chǎn)品設(shè)計上區(qū)別于傳統(tǒng)機(jī)器人的是第四種更為本質(zhì)、更為高級、更為安全的共融方式：功率和力限制。

機(jī)器人在最初定義時就強(qiáng)調(diào)機(jī)器人不能傷害人類自身，最注重“人”的安全性，那么我們可以很自然想到： 如果機(jī)器與人發(fā)生碰撞時，如何設(shè)計機(jī)器人才能夠保證人會感覺到疼痛，這才是安全的基本要求。在世界范圍，第一個協(xié)作機(jī)器人碰撞標(biāo)準(zhǔn)是ISO/TS 15066。該標(biāo)準(zhǔn)認(rèn)為可以根據(jù)人類的疼痛閾值來計算出符合碰撞標(biāo)準(zhǔn)的機(jī)器人需要的最大能量值。

ISO 15066招募了一百多名身體健康的成年人作為試驗對象，分別對人體29個區(qū)域單獨(dú)進(jìn)行疼痛測試，最終得到一組設(shè)計、部署機(jī)器人時的限制參數(shù)數(shù)據(jù)。這些數(shù)據(jù)就可以用于指導(dǎo)機(jī)器人的開發(fā)和使用。中國工信部也計劃制定亞洲人和中國人疼痛測試的標(biāo)準(zhǔn)，但截至2017年底，我國安全機(jī)器人的安全、檢測、共融等尚無系統(tǒng)性、通用性國家標(biāo)準(zhǔn)白皮書。

3.5 新標(biāo)準(zhǔn)還需要更加細(xì)化和完善

ISO 15066具有較大的局限性，僅僅集中在某些學(xué)科領(lǐng)域范圍內(nèi)。機(jī)器人是一個比較確定的系統(tǒng)，但“人”的因素就顯得非常多變。另外，ISO 15066當(dāng)時制訂的碰撞標(biāo)準(zhǔn)相對現(xiàn)在的工業(yè)水平來講也比較簡陋，當(dāng)時建模時對實際情況作了很多理想化的假設(shè)和化簡，這也為未來新標(biāo)準(zhǔn)的修訂提供了可以細(xì)化完善的空間。在人機(jī)共融機(jī)器人測試時，需要考慮諸多因素，比如測試點(diǎn)的選取、機(jī)器人姿態(tài)選取、人體模型設(shè)置等。最好的方式是人和機(jī)器人能夠?qū)崟r感知環(huán)境的力和距離。

4 結(jié)論

人機(jī)共融的安全性技術(shù)具有重要科學(xué)意義和實際應(yīng)用價值。對于我國來說，目前人機(jī)共融安全領(lǐng)域還處于一個非常低級的階段，市場也尚在培育之中；雖然國家層面的覺悟雖然很深，但行業(yè)和用戶的意識仍然堪憂。不少應(yīng)用人機(jī)共融機(jī)器人的客戶都認(rèn)為，使用了人機(jī)共融機(jī)器人之后便不需進(jìn)行安全評估和措施保護(hù)。這樣的想法十分不可取?？偠灾藱C(jī)安全的保護(hù)一方面靠標(biāo)準(zhǔn)的制定和細(xì)化，另一方面還需要靠人們思想意識的提升。只有從內(nèi)到外充分解決安全問題，才能真正實現(xiàn)人機(jī)共融。