扫地机器人跌落风险评估与测试

谢志利 裴广福 魏明然

1.中国标准化研究院，缺陷产品管理中心 北京 100101；

2.中家院（北京）检测认证有限公司 北京 100176

1 引言

随着生活水平的提高，人们对生活品质的要求也在逐渐提高。高智能全自动服务机器人逐渐走进了人们的生活中，而家庭扫地机器人则成为高智能全自动服务机器人的一个重要的组成部分，使得人工智能自动清洁成为可能。然而，作为新兴起的产业，扫地机器人行业及标准尚处于起步阶段，目前扫地机器人生产厂家的关注点主要在清扫彻底、自主避障、自动充电和高覆盖率的路径规划等基础性能项目的检测方面，从而忽略了其使用特点和安全性能。针对扫地机器人的安全性能，国家出台了各项检测标准和方法。众所周知，安全是第一要务，所以扫地机器人的安全性能也显得尤为重要。而扫地机器人在使用过程中发生的跌落现象成为了需要主要关注的方面。跌落不仅会关系到设备能否正常使用，同时也与人身健康安全息息相关。本文将从如何识别跌落风险、避免跌落风险、跌落风险的分析，以及跌落风险评估方面进行探讨。

2 标准理解

根据GB/T 23694-2013标准的相关定义，风险评估是指，在风险事件发生之前或之后（但还没有结束），该事件给人们的生活、生命、财产等各个方面造成的影响和损失的可能性进行量化评估的工作。国际上通常采用IEC 60335-1《家用和类似用途电器安全_第1部分：一般要求》以及IEC 60335-2-2《家用和类似用途电器的安全_第2-2部分：真空吸尘器和吸水清洁电器的特殊要求》作为指导性标准来衡量扫地机器人的安全，国内采用的标准为GB 4706.1《家用和类似用途电器的安全 第一部分：通用要求》和GB 4706.7《家用和类似用途电器的安全 真空吸尘器和吸水式清洁器具的特殊要求》。

国内外标准中都有明确要求，扫地机器人应装有防止移动部件从清洁表面（例如：楼梯等）跌落的装置，当移动部件到达边界时，应有感应、转换方向继续清洁的功能。这是为了防止扫地机器人在执行清洁工作时产生跌落风险。同时标准中还规定，类似于扫地机器人这种依靠保护性电子电路防护安全的器具，在设计电子电路时，应使其在任何一个故障情况下，都可以保证不会发生有关电击、火灾危险、机械危险或危险性功能失效。我们可以通过对所有电路或电路的某一部分进行故障试验，验证电子电路是否合格。其中故障模式包括对保护性电子电路的二极管等进行开路、短路故障以及集成电路的每个脚对电源或者对地（情况更恶劣的一端）短路等方面的故障。

风险评估就是量化测评扫地机器人发生故障跌落后所带来的影响或损失的可能程度。

3 风险识别和风险分析

根据扫地机器人标准可能会出现跌落的风险，跌落后造成的严重程度除了可参考GB/T 35248-2017中的5.3.4.6中描述的伤害严重程度定性的描述外，还可以参考《人体损伤程度鉴定标准》。扫地机器人跌落后可能造成人员轻伤一级，严重可达重伤二级，甚至可为重伤一级。可见扫地机器人跌落在风险中占据举足轻重的位置，造成扫地机器人跌落的可能有以下几种情况。

3.1 地检传感器电路故障可造成跌落风险

智能扫地机器人地检传感器绝大多数是由发射二极管和接收二极管组成，即在扫地机器人内部根据相应的结构来放置二极管，发射和接收形成一定的角度，可进行一定长度的检测，从而达到检测地面的需求。设置故障可分为：

（1）设置发光管电路故障。令发光管一直处于工作状态，减小发射和接收的角度，使接收管一直接收到发射管的信号，无论扫地机器人处于平地状态还是悬崖状态。

图1 碰撞检测简化原理图

图2 电路结构1

（2）设置接收管电路故障。断开接收管的接收管脚或将接收管脚拉低或者拉高，无论处于平地状态还是悬崖状态接收管与MCU之间的管脚都是为低或者为高。

依据以上两种设置地检传感器故障，如果程序中没有特别添加检测地检传感器故障代码，也没有针对检测到地检传感器故障后作出正确反应的程序，按照上述施加故障的扫地机器人将会发生跌落风险。

3.2 碰撞传感器电路故障可造成跌落风险

扫地机器人的碰撞传感器是由微动开关或者光电开关的结构来控制的。碰撞检测简化原理图如图1所示。

Ctrl端为低电平，发射端处于导通状态。没发生碰撞时I/O输出为低电平，MCU检测到为低电平。当扫地机器人受到碰撞后，隔断U型槽开关由于结构的原因阻隔发射端到接收端的信号传递。导致I/O输出高电平，如若持续高电平信号传至MCU，MCU受到碰撞检测信号会持续后退，如若程序中没有针对此项风险添加有效的管控措施，扫地机器人会存在明显的跌落风险。

3.3 遥控器或APP控制下可造成跌落风险

远程APP多次操作某一功能按键或者随机组合的按下按键可能会出现跌落风险。

红外遥控器多次操作某一功能按键或者随机组合的按下按键可能会出现跌落风险，也可能会出现跌落后不报警，不停止继续后退的重大风险隐患。

3.4 正常使用可造成跌落风险

正常工作（自动运行）期间不操控红外遥控器和机器人APP，也可能会有跌落风险。

4 风险评价以及测试

4.1 地检传感器电路故障

在拆解扫地机器人时发现，地检传感器绝大多数由发射二极管和接收二极管形成一定的角度并根据结构设计而成。在分析电路时发现有图2结构设计，在这个结构下，只需要在控制芯片上做一个故障，就可以造成多个传感器失效。造成扫地机器人跌落的风险，不满足国标要求。

当然在拆机中下述这种设计居多，图3结构电路，每个传感器单独连接到MCU，这种结构具备更高的传感器独立性，不会因为一路传感器故障而影响其他路传感器的正常工作，加强了电路设计的稳定性。

虽然图3电路设计满足国标要求，但是也要配合完善的程序设计才可满足国家安全行业标准需求。在测试中发现，部分扫地机器人在前端某一个地检传感器电路上施加故障，迫使MCU与地检传感器相连接的管脚检测到一直为高电平或者低电平状态，这样便会造成扫地机器人持续后退导致跌落在标准实验平台下。

4.2 碰撞传感器电路故障

扫地机器人的碰撞传感器是由光电开关或者微动开关来控制的，见图4和图5。少数扫地机器人是无碰撞传感器的，即使在有传感器的扫地机器人上做单重故障试验，绝大多数扫地机器人有跌落情况发生，其中有部分扫地机器人跌落后并不会停止或报警。近半数扫地机器人在碰撞传感器电路单重故障下就已经跌落在标准实验平台下。

测试中发现大部分扫地机器人采用图3电路设计。虽然电路结构设计满足国标要求，但是程序设计存在严重缺陷。大部分扫地机器人只要在碰撞传感器电路上设置故障，使MCU接收到的某一个碰撞信息一直为高电平或者为低电平，即可造成扫地机器人持续后退的现象，直至跌落。有小部分扫地机器人运行时间过长，跌落后继续运行且无告警提示。这也是与安全标准规定背道而驰的。

4.3 遥控器或APP控制

远程APP遥控本意是为了提供便利，但也要进行合理的安全设计，在确保安全的情况下才能投入应用。操作APP的用户并不能确定家中的情形，无法保证老人和孩子不在楼下，这种不加以管控的远程操作是存在一定的安全隐患的，在测试中也证明了这一点。

在通过制造商提供的红外遥控器控制扫地机器人正常工作时发现，同样也会出现大部分机器人在长按红外遥控器后退按键或多次操作后退按键后出现跌落，并且跌落后无报警，不停止。

以上两种跌落事件说明在软件开发的过程中没有充分考虑到扫地机器人会后退跌落的情况，绝大多数扫地机器人在前端装有地检传感器和碰撞传感器，而尾部没有任何保护措施，从而造成了前进不会跌落，而后退会有跌落的情况发生。

4.4 正常使用时的跌落风险

在进行多批次扫地机器人跌落试验时发现，有极个别扫地机器人在标准实验台上正常工作（自动运行）期间不操控红外遥控器和机器人APP，就会出现跌落的情况。此种情况的跌落不仅违背了国家标准要求，而且一旦被消费者使用，更有可能危害消费者的健康安全。所以此现象需要引起开发者和生产者的高度重视，更需要有关部门给予监督和定期抽查。

图3 电路结构2

图4光电开关结构

图5 微动开关架构

5 风险评估总结

针对消费者和家电厂商来说，安全是最关乎切身利益的，也是制造商要考虑的首要因素。但是，因为理想状态下制造出风险为零的产品是不切实际的，所以我们需要采用一些保护措施来降低风险发生的概率和风险发生时对使用者或使用环境的伤害程度，使风险发生的概率和伤害程度保持在可接受的范围内。因此，为了降低产品风险，进行产品的风险评估是非常有必要的。

风险评估的主要目的是确定某一种或某几种危险处境需要进一步降低风险，并且还要证实风险分析中的迭代过程。当所选择的该项保护措施已经充分降低了风险，并且没有引入新的危险或加重了其他原有风险，那么我们就认为达到了此项风险降低的目的。

当然由于某些危险处境风险极低（轻微），可记录且不作进一步处理；然而那些被指出会造成重大危险的危险处境（例如，扫地机器人非正常工作状态下的跌落风险）必须予以降低；进一步来说，对那些被指出可能会产生更高风险的危险处境，应做更加详细和清晰的风险评估。