人形机器人安全域为何不能只靠急停

安全策略如果只剩急停按钮，问题已经被推到最后一刻。人形机器人靠近人、货架和设备时，安全域必须随着速度、姿态和制动能力动态变化。

预测安全包络的作用，是在危险接触发生前限制动作，而不是等碰到之后再停。机器人伸手取物、转身或跨步时，占据空间不是静态外形，而是未来几百毫秒内手臂、腿部和躯干可能扫过的区域。若安全系统只按当前外轮廓判断，人靠近高速摆动手臂的路径时，距离看似还够，实际制动时间已经不够。

包络计算还要考虑感知不确定性。深度相机对黑色衣物、玻璃和强光边界可能漏检，激光对低矮障碍和近身遮挡也有盲区。人形机器人在工作台旁操作时，手臂可能遮住腿部附近视场，脚下杂物反而最晚被发现。安全域应随感知置信度扩大，而不是在看不清时维持原来的速度。

动态包络会带来效率损失，因此需要分级。轻微接近可以先限速或改变轨迹，进入高风险区再冻结相关肢体，最后才触发整机急停。若所有异常都直接急停，误触发会让任务难以连续；若全部交给上层规划绕行，硬实时风险又无法保证。

制动距离预算决定安全域有没有物理意义。不同关节的最大减速度受电流限制、负载姿态、地面摩擦和电池状态影响，冷态空载下测出的停机距离不能代表负重、低温或脚底打滑时的边界。若规划器仍按理想制动能力放开速度，急停信号到达时，机械系统已经没有足够距离停住。

制动还涉及能量去处。高速手臂或下蹲动作突然停止，会把动能推回驱动母线或转成关节热量；若电池吸收能力不足，驱动器可能先过压降额。安全链路必须知道当前可用制动能力，而不是假定每个关节都能瞬间吸收指令。必要时应提前限制动作能量，保留真正急停时的电气裕量。

验证安全域要做场景化测试。人员从侧后方靠近、工具从手中滑落、脚边出现低矮物体、负重状态下急停，这些组合比标准空旷场地更能暴露问题。测试时应记录感知延迟、包络更新时间、限速触发点和真实停止距离，确认每一级响应都发生在预算内。

恢复使能同样属于安全域的一部分。急停解除后，关节可能停在受力姿态，手中物体、脚底摩擦和周围人员位置也可能已经改变；若系统只检查按钮复位就重新上电，下一条动作命令可能从危险姿态继续执行。恢复流程应重新确认姿态、接触力和感知区域，必要时先进入低速扶稳模式，再交还任务控制。对协作场景，还要给恢复动作限定速度和方向，避免解除急停后的第一步成为新的风险。若急停原因来自感知丢失，恢复前还应要求传感器重新完成健康检查，而不是默认环境已经安全。恢复失败次数也应计入安全状态机，防止反复尝试掩盖硬件故障，同时保留人工复核入口，避免状态机长期卡在不明原因。

所以，急停只是最后防线，不是安全设计本身。把预测包络和制动距离算进控制链路，安全域才不会停留在静态规则上。