Day31-28｜11.3.1 机器人的概念：以感知—决策—执行闭环理解智能机器系统

一、教材定位

本节位于《系统架构设计师教程（第2版）》第11章“未来信息综合技术”的机器人技术概述部分，主要回答“什么是机器人、机器人系统由什么组成、机器人如何形成自主或半自主行为”。它承接前面人工智能、信息物理系统和边缘计算等内容，也为后续 11.3.2“机器人的定义和发展历程”、11.3.3“机器人4.0的核心技术”和 11.3.4“机器人的分类”打基础。

系统架构设计师学习机器人，重点不是记忆某一款机器人的参数，而是能够把机器人看成一个包含机械本体、传感器、控制器、软件、通信网络、任务规划和安全保障的复杂信息物理系统。考试案例可能要求设计仓储机器人、巡检机器人、工业机器人或服务机器人，答题时要同时考虑感知误差、运动规划、实时控制、任务调度、人机协作、网络中断、故障恢复和安全责任。

二、机器人的基本概念

机器人是能够感知环境或自身状态，根据任务和控制策略进行分析、规划或决策，并通过机械结构和执行机构完成动作的机器系统。这个概念包含三个必要环节：输入环境和状态信息，形成可执行的控制或任务决策，输出对物理世界产生影响的动作。

机器人不等于机械臂，也不等于具有人形外观的机器。固定在生产线上的机械臂、能够自主导航的移动平台、用于手术辅助的设备、无人机和具备交互能力的服务设备，都可能属于机器人系统。判断重点在于是否具有一定程度的可编程、可感知和可执行能力，以及是否能够在物理环境中完成任务。

三、机器人的核心闭环

机器人可以用“感知—理解—规划—控制—执行—反馈”描述其基本工作过程。

如果只有感知没有执行，系统更接近监控设备；如果只有预设动作没有环境反馈，系统更接近自动化设备；机器人系统通常需要在变化环境中根据反馈调整行为。闭环越复杂，对传感器质量、时间同步、计算资源和安全机制的要求越高。

四、机器人的组成

1. 机械本体

机械本体包括机身、关节、连杆、底盘、末端执行器和保护结构。它决定机器人的运动范围、负载、速度、稳定性和环境适应能力。架构设计不能只关注软件，因为机械结构和执行器的物理极限会约束软件可实现的动作。

2. 驱动与执行系统

驱动系统将控制器输出转换为电机、液压、气动或其他执行机构的动作。执行系统需要反馈位置、速度、电流、温度和负载，并支持限位、过流、过热和急停。关键执行器应有安全互锁，避免软件异常导致超范围动作。

3. 传感系统

传感器包括内部状态传感器和外部环境传感器。编码器、陀螺仪和电流传感器用于估计自身状态；摄像头、激光雷达、超声波、力/力矩传感器和触觉传感器用于感知外界。不同传感器有不同采样频率、坐标系、噪声和失效模式，需要进行时间同步、标定和数据融合。

4. 控制器与计算平台

控制器可能由实时控制器、嵌入式处理器、边缘计算节点和云端平台共同组成。毫秒级运动控制通常需要在本地实时执行，地图构建、任务调度和历史分析可以由边缘或中心平台承担。计算平台要考虑操作系统、驱动、实时性、资源隔离、升级和故障恢复。

5. 机器人软件

软件通常包括设备驱动、中间件、传感融合、定位建图、识别、规划、控制、任务编排、人机交互和日志监控。模块之间要明确数据模型、坐标系、时间戳、生命周期和异常处理，防止一个模块的错误数据直接传播到执行器。

6. 通信与协同系统

机器人可能与云平台、调度系统、其他机器人、传感器和人工操作终端通信。通信要区分实时控制流、状态遥测流、任务指令流、视频流和升级流，设置优先级、带宽隔离、重试、幂等和断网策略。多个机器人协同还要解决任务分配、状态一致性和冲突避免。

五、机器人与普通自动化设备的区别

两者并非互相排斥。工业机器人往往仍然在确定性生产节拍中运行，服务机器人也可能包含固定安全规则。设计时应根据环境变化和任务复杂度决定需要多少感知、规划和自主能力，避免为了“智能”增加无必要的复杂性。

六、机器人行为的层次化架构

机器人软件可按控制时标和职责分为三层。

1. 实时控制层

实时控制层直接驱动关节、轮组和末端执行器，处理位置、速度、力和电流控制。它要求确定性的调度和较小的闭环延迟，应尽量在本地运行。该层必须独立于云平台，网络中断不能使安全控制失效。

2. 行为与技能层

行为层把多个底层动作组合成避障、抓取、跟随、巡检和停靠等技能，依据传感器和状态选择下一步动作。技能应有前置条件、成功条件、超时、失败处理和可回退路径，不能只有“调用接口”而没有状态机。

3. 任务与调度层

任务层负责理解业务目标、分配资源、选择机器人、规划任务顺序和处理异常。它可以部署在边缘或中心平台，依据全局信息优化效率，但下发的任务仍需由机器人本地验证环境和安全条件。任务调度失败时，应支持重试、转派、暂停和人工接管。

七、感知与定位

1. 多传感器融合

单一传感器容易受到遮挡、反光、噪声、雨雾或机械振动影响。多传感器融合可以利用不同传感器的互补性，例如摄像头提供语义信息，雷达提供距离，编码器提供运动信息，惯性传感器提供短时姿态变化。融合前要统一坐标系和时间，融合后要输出置信度和质量状态。

2. 定位与建图

移动机器人需要知道自己在哪里、环境中有什么以及如何到达目标。定位和建图可能依赖标记、卫星、激光、视觉或组合方法。地图要有版本、坐标基准、有效区域和更新记录，环境变化时应避免旧地图直接指导危险动作。

3. 感知失败处理

当传感器遮挡、数据异常或定位不可信时，机器人不应继续以正常速度执行任务。可以减速、停止、切换传感器、回到安全位置或请求人工处理。感知模块需要输出“不确定”状态，而不是在所有情况下强行给出一个看似确定的结果。

八、规划与控制

1. 路径规划

路径规划要同时考虑障碍、运动学限制、动力学限制、目标时间和能耗。静态地图适合结构化环境，动态环境要结合实时障碍和预测。规划结果还要经过碰撞检测和可执行性检查，不能只在二维图上看起来最短。

2. 运动控制

运动控制把期望轨迹转换成执行器控制量。反馈控制通过实际位置与目标位置的差值不断修正，要求稳定、快速并限制超调。控制参数需要在不同负载、温度和磨损条件下验证，不能仅在空载实验中调好。

3. 任务规划

任务规划关注“先做什么、后做什么、使用哪台机器人、失败后怎么办”。可以使用状态机、行为树、规则、优化算法或学习策略。每个任务要定义前置条件、输入输出、超时和补偿操作，才能在复杂流程中恢复。

九、人机协作与安全

1. 人机协作边界

机器人进入有人环境后，需要识别人、判断距离和速度，设置安全区域和限制动作。高风险动作应采用低速、力限制、双确认或物理隔离。人机协作不是让机器人“自己判断一切”，而是明确何时自动、何时提示、何时交给人。

2. 安全机制

安全机制包括急停、限位、碰撞检测、速度限制、区域禁入、冗余传感器、看门狗、失效安全和人工接管。安全回路应尽量独立于普通业务软件，不能因为应用进程崩溃或网络中断而失效。

3. 网络与数据安全

机器人具有摄像头、麦克风、位置和环境数据，可能涉及个人隐私和场所机密。应采用设备唯一身份、加密通信、最小权限、远程升级签名、调试接口保护和操作审计。任务接口要防止重放、越权和参数注入，尤其要限制远程启动、移动和机械操作能力。

十、机器人系统的工程质量属性

架构设计时要进行权衡。例如提高感知频率可能增加计算和能耗，提高自主性可能增加验证难度，采用中心调度可能提升全局效率但增加网络依赖。答案中应写出权衡依据，而不是声称所有质量属性都能无限提高。

十一、案例分析：智能仓储移动机器人系统

某仓储企业准备部署 50 台移动机器人完成搬运和盘点。仓库人员与机器人混行，网络部分区域不稳定，平台希望统一下发任务。机器人需要在断网情况下完成正在执行的安全动作，但不能继续接受新的远程任务。

问题一：给出机器人系统的分层架构

参考答案：机器人本体和执行器负责运动和载荷；传感器负责激光、视觉、里程计和碰撞状态采集；本地实时控制层负责速度、姿态、急停和安全互锁；本地行为层负责避障、停靠和任务技能；边缘平台负责地图、区域状态、短期任务和机器人协同；中心平台负责订单、任务分配、设备资产、历史数据和运营分析。通信层要区分安全状态、控制指令、任务消息、遥测和视频，并设置优先级及断网策略。

问题二：网络中断时机器人应如何处理？

参考答案：机器人应判断当前任务和安全状态，继续完成或安全终止已经授权的局部动作，但不接受新的远程任务和危险参数；本地保留地图、任务上下文和安全规则，持续检测障碍并在必要时减速或停止；将状态和日志缓存到本地，网络恢复后按照序列号和时间补传；平台重新校验机器人状态、任务版本和有效期后再恢复调度。断网策略必须预先定义，不能由异常状态下的临时判断决定。

问题三：如何保障人机混行安全？

参考答案：使用多传感器检测人员和障碍物，设置不同安全区域和与速度相关的距离阈值；进入近距离区域时减速，进入危险区域时停止；急停和安全控制回路独立于普通任务服务；规划层避免进入禁行区，执行层再次校验速度和方向；对传感器失效、定位不可信、通信中断和软件异常采用安全停止或人工接管；记录安全事件并通过仿真、现场隔离和故障注入验证。

十二、综合知识练习

题1

机器人系统为什么需要感知、规划和控制三个层次，而不能只使用一个大程序？

参考答案：三个层次的时标、职责和安全要求不同。感知负责获得状态，规划负责选择目标和路径，控制负责以确定性和高频率执行动作。分层可以隔离复杂性，使实时控制不依赖高层网络和业务服务，也便于测试、替换和故障定位。

题2

机器人在传感器数据不可信时应该怎样处理？

参考答案：检测数据质量和置信度，结合冗余传感器或其他来源校验；若无法确认状态，应减速、暂停、切换安全策略、返回安全位置或请求人工处理。不能为了保持任务完成率而继续执行可能造成危险的动作。

题3

机器人平台为什么要区分实时控制流和普通遥测流？

参考答案：实时控制对时延、抖动和确定性敏感，普通遥测可以延迟或批量传输。混用通道可能导致视频、日志或升级流量挤占控制资源，增加动作失控风险。应进行优先级、带宽、隔离和故障处理设计。

题4

机器人任务接口需要哪些基本保护？

参考答案：设备和用户身份认证、最小权限、任务有效期、参数范围、状态检查、序列号和防重放、幂等、审批、审计、超时、取消和回滚或补偿。涉及移动、抓取和危险动作的接口还要有安全互锁和人工接管。

十三、论文写作素材

论文可围绕“智能仓储机器人系统架构设计”或“人机协作机器人平台建设”展开。开头描述人工搬运效率低、环境变化大或设备孤岛等问题；正文按设备感知、本地控制、边缘协同、中心调度和运维治理分层，重点说明实时控制、断网自治、安全互锁和任务恢复。

可使用如下段落：

“在机器人系统设计中，我将实时控制与业务调度分离。机器人本地完成传感采集、状态估计、避障、速度控制和安全互锁，边缘平台提供地图、区域协同和短期任务，中心平台负责订单分解、资源调度、资产管理和运行分析。网络中断时，机器人只执行仍处于有效期内的局部任务，拒绝新控制命令，并将事件缓存后补传；当定位、传感器或控制器状态不可信时，系统采取减速、停止或人工接管。所有任务具有身份、权限、序列号和审计信息，固件和技能包采用签名、灰度和可回退机制。”

十四、今日复盘

1. 机器人是能够感知环境或自身状态、形成决策并通过执行机构作用于物理世界的系统。
2. 感知—状态估计—理解—规划—控制—执行—反馈构成机器人的基本闭环。
3. 机器人系统同时包含机械、传感器、控制器、软件、通信、任务调度和安全保障。
4. 实时控制、行为技能和任务调度应分层，避免高层业务或云端网络直接决定底层安全动作。
5. 传感器不可信、网络中断、定位失败和软件异常时，系统必须具备明确的安全降级和人工接管策略。
6. 案例题要写清本体、感知、规划、控制、通信和安全闭环；论文题要写清部署权衡、故障场景和验证指标。

完成本节后，面对任何机器人架构题，都可以沿着六个问题展开：机器人感知什么？状态如何估计？任务如何规划？动作如何控制？异常如何停止或恢复？谁有权在什么时候让机器人执行动作？