论文技术总结：机器人辅助乳腺摄影中的危害管理

1. 研究背景与问题定义 (Problem)

背景：
人工智能正从“无实体”算法向“具身智能”（Embodied AI）转变，即具备感知、移动并与物理世界交互能力的机器人系统。在医疗护理领域，机器人有望缓解全球医疗资源短缺和劳动力压力。然而，将此类系统部署在与脆弱患者（如行动不便者）进行紧密物理接触的敏感临床环境中，引入了巨大的安全风险。

核心问题：
X 射线乳腺摄影（Mammography）是乳腺癌早期检测的金标准，但其要求患者保持高强度、稳定的特定体位。对于上肢力量减弱、轮椅使用者或行动受限的患者，这构成了巨大的障碍，导致他们无法获得必要的筛查。由于放射技师因辐射风险无法提供物理支撑，亟需一种机器人辅助解决方案（如 MammoBot 项目）来稳定和支持患者体位。

挑战：
MammoBot 系统涉及双机械臂与脆弱患者的直接物理接触。传统的危害分析方法（如 FMEA、FTA）主要关注组件故障，难以有效捕捉由人机交互（HRI）、时序不匹配、状态误判以及操作者（放射技师/患者）与自动化系统之间的协调失误引发的复杂风险。因此，需要一种系统化的方法来在开发早期识别并缓解这些非组件故障类的危害。

2. 方法论 (Methodology)

本文提出了一种结合利益相关者引导的流程建模与两种互补危害分析技术（SHARD 和 STPA）的综合方法论，旨在从设计早期阶段确保系统安全。

2.1 系统架构与流程建模

• MammoBot 系统： 包含双协作机械臂（带六轴力/力矩传感器）、非视觉热成像感知模块（保护隐私）以及定制的患者接触末端执行器。
• 流程建模： 与放射技师、机器人专家、法律专家及患者代表（脊髓损伤协会）合作，使用 UML 活动图 详细定义了乳腺摄影的工作流。该模型明确了自动化步骤、人工监督点、决策逻辑及人机交互接口。

2.2 危害分析技术组合

该方法论分阶段应用了两种分析技术：

1. 软件危害分析与设计中的解决 (SHARD)：

   • 应用对象： 基于 UML 活动图的系统流程节点。
   • 方法： 使用改编的引导词（Omission 遗漏、Commission 误操作、Early 过早、Late 过晚、Value 错误值）来识别技术实现和流程执行中的偏差。
   • 目标： 识别传感器故障、通信延迟、参数错误、时序偏差等技术性危害，并评估现有防护措施。

2. 系统理论过程分析 (STPA)：

   • 应用对象： 人机交互中的控制回路。
   • 方法： 将系统视为控制器、受控过程和反馈回路的集合。重点分析不安全控制动作 (UCAs)，即系统组件（包括人类操作员）在错误的时间、以错误的顺序或内容执行的动作。
   • 目标： 识别由人类行为（如放射技师的过早确认、患者的意外移动、对自动化过度依赖）引发的交互性危害，特别是那些组件本身正常但交互导致事故的情况。

2.3 需求细化与闭环

将 SHARD 和 STPA 的分析结果转化为具体的安全约束和系统需求，对初始设计进行迭代优化，确保安全性内嵌于系统逻辑中，而非事后添加。

3. 关键贡献 (Key Contributions)

1. 针对脆弱患者的具身 AI 安全框架： 提出了一种专门针对临床环境中脆弱患者（非专家用户）与机器人紧密接触场景的危害管理流程，填补了传统工业机器人安全标准在医疗辅助领域的空白。
2. SHARD 与 STPA 的互补集成： 展示了如何将 SHARD（侧重技术/流程偏差）与 STPA（侧重人机交互/控制逻辑）结合使用。这种组合能够同时捕捉技术故障（如传感器失效）和交互失误（如时序不匹配、状态误读），提供了比单一方法更全面的风险分析。
3. 基于利益相关者的流程共设计： 强调了在危害分析前，必须与临床专家、法律专家及患者代表共同构建真实的 UML 流程模型，确保分析基于真实的临床场景而非抽象假设。
4. 从危害到可测试需求的转化机制： 建立了一套清晰的映射机制，将定性分析出的危害（如“过早移动”、“状态误判”）转化为具体的、可验证的系统安全需求（如“强制稳定期”、“多源确认机制”）。

4. 主要结果 (Results)

通过应用该方法论，研究得出了以下关键发现：

• 危害来源的重新认知： 许多关键危害并非源于机械臂或传感器的硬件故障，而是源于时序不匹配（如患者未完全稳定即开始移动）、过早行动（如未确认患者同意即触发 X 射线）以及系统状态误读。
• 人机交互风险的细分： STPA 分析区分了放射技师（Radiographer）和患者（Patient）的错误模式：
  • 放射技师错误： 多与注意力分散、过度依赖自动化、对系统状态理解偏差或操作时序错误有关。
  • 患者错误： 多与身体移动、疼痛/不适导致的反应、沟通困难或对指令的误解有关。
• 安全需求的显著增强： 分析结果直接导致了系统需求的重大修订，包括：
  • 强制门控逻辑 (Gating Logic)： 在移动或曝光前，必须同时满足体位稳定、患者确认、技师确认等多个条件。
  • 稳定期 (Stabilisation Periods)： 在体位改变或中断后，强制系统等待一段时间以确认患者静止，再进行下一步。
  • 非绕过性检查： 关键安全步骤（如停止、释放）不可被手动覆盖。
  • 角色特定的防护： 针对技师提供清晰的反馈和分步确认，针对患者提供舒适度和低门槛的中断机制。
• 非物理危害的考量： 研究将“非物理危害”（如焦虑、尊严受损、心理困扰）纳入危害等级评估，认识到轻微的 annoyance 若未处理可能升级为严重的心理 distress。

5. 意义与影响 (Significance)

• 设计范式的转变： 证明了在具身 AI 和医疗机器人的开发中，安全不应是事后补丁，而应是通过结构化、可追溯的方法（如 SHARD+STPA）从设计初期就内嵌的核心驱动力。
• 提升医疗可及性： 通过解决安全顾虑，该方法论为开发能够安全辅助行动不便患者进行乳腺摄影的机器人系统铺平了道路，有助于消除医疗不平等，使更多弱势群体能够获得早期癌症筛查。
• 通用性潜力： 虽然以 MammoBot 为例，但该方法论（流程建模 + 双技术分析 + 需求细化）具有通用性，可推广至其他临床环境中的辅助机器人系统（如康复、护理、手术辅助）。
• 应对复杂社会技术系统： 强调了在涉及脆弱用户、自动化系统和复杂临床工作流的系统中，必须同时考虑技术可靠性、人类行为的可预测性以及伦理心理因素。

总结：
本文通过 MammoBot 项目，展示了一套严谨的、以安全为导向的机器人系统设计方法论。它成功地将抽象的安全原则转化为具体的工程约束，解决了脆弱患者与机器人紧密接触时的独特安全挑战，为未来医疗机器人的安全部署提供了重要的理论依据和实践指南。