Почему аварийная кнопка может уронить гуманоида: незакрытая проблема безопасности Unitree G1

У обычного промышленного станка аварийная остановка часто строится вокруг понятного принципа: отключить энергию и привести механизм в безопасное состояние. С двуногим роботом всё сложнее. Если гуманоид сохраняет равновесие только благодаря непрерывной работе приводов и программы управления, простое снятие питания может закончиться неконтролируемым падением.

Именно этот конфликт авторы нового препринта о функциональной безопасности промышленных гуманоидов проверили на стенде с Unitree G1 EDU. Они не сертифицировали робота или всю рабочую ячейку. Результат работы другой: исследователи показали, где заканчивается проверяемая внешняя цепь безопасности и начинается пока не закрытая доказательствами реакция самого балансирующего робота.

Почему привычное отключение питания здесь не работает

В функциональной безопасности распространён принцип fail-passive: после отказа или защитного сигнала машина должна перейти в состояние, которое больше не создаёт опасного движения. Для неподвижно закреплённого манипулятора таким состоянием может быть остановка после снятия питания.

У активно стабилизируемого гуманоида безопасное состояние само требует энергии и управления. Робот должен завершить шаг, поставить ногу, удержать корпус и только затем остановиться. Если питание исчезнет в момент переноса ноги, тяжёлая конструкция может потерять равновесие.

Это не означает, что любой гуманоид обязательно падает при любой аварийной остановке. Речь идёт о классе двуногих машин с активно управляемой устойчивостью и о риске, который нельзя закрыть одной командой «обесточить». Проект ISO/CD 25785-1 отдельно рассматривает двуногих, четвероногих и колёсных промышленных роботов, которым для устойчивости нужен активный контроль.

Как был устроен стенд с Unitree G1 EDU

Авторы разместили Unitree G1 EDU в полуограждённой рабочей зоне размером 3 на 1,5 метра. Робот перемещался между двумя точками у конвейера и перекладывал небольшой куб. Открытую сторону ячейки контролировала световая завеса — датчик, который замечает пересечение защищённой границы.

Во внешнюю цепь также вошли аварийная кнопка E-stop, безопасный вход, программируемый контроллер PLC и беспроводная передача защитной команды по PROFIsafe. Если человек пересекал световую завесу или нажимал E-stop, контроллер должен был потребовать остановку. Возобновление движения разрешалось только после ручного подтверждения.

В полном тексте работы авторы разделяют систему на обнаружение, оценку и реакцию. Первые две части можно построить из компонентов с известными характеристиками безопасности. Проблема сосредоточена в последней части: команда доходит до вычислителя Unitree G1 EDU, а затем обычное, не предназначенное для сертифицированных функций безопасности оборудование должно передать её балансирующей программе и удержать робота стоящим.

Где именно заканчивается доказанная безопасность

Световая завеса, безопасный контроллер и защищённый канал связи сами по себе не отвечают на главный вопрос: что физически сделает гуманоид после получения сигнала. Он может идти, переносить одну ногу, держать предмет или уже восстанавливаться после толчка. Для каждого состояния нужна проверяемая граница времени и движения до устойчивой остановки.

Авторы перенесли программный контроллер на бортовой компьютер G1, чтобы стандартная промышленная команда находилась ближе к родной системе движения робота. Но встроенный вычислитель G1 не является оборудованием, рассчитанным на сертифицированные функции безопасности. Поэтому интерфейс стал понятнее, а сквозного доказательства надёжности не появилось.

Исследователи прямо не заявляют соответствие всей цепи уровням PL e или SIL 3. Показанный стенд — проверка выполнимости архитектуры и способ точно обозначить пробел между внешней защитой и внутренней программой балансирования. Независимая репликация стенда и его измерений в открытых источниках не найдена.

Почему одной аварийной кнопки недостаточно

Красная кнопка важна, но она только запускает защитную функцию. Безопасность определяется всей последующей последовательностью: обнаружил ли контроллер нажатие, дошла ли команда до робота, распознала ли её программа движения, успел ли робот завершить опасную фазу шага и сохранил ли устойчивость после остановки.

Для классического станка разрыв контактора может быть окончанием этой цепочки. Для двуногого робота это может стать началом нового риска. Поэтому надпись E-stop на панели или сертификат одного контроллера не доказывают безопасность всей рабочей ячейки.

ISO 10218-2:2025 рассматривает безопасность на уровне промышленного применения и роботизированной ячейки, включая интеграцию и ввод в эксплуатацию. Но специальный документ для динамически устойчивых промышленных мобильных роботов пока находится на стадии Committee Draft. ISO/CD 25785-1 — проект стандарта в разработке, а не действующее российское требование.

Что спросить у интегратора

Следующий список — редакционный чек-лист по выводам работы, а не заключение специалиста по функциональной безопасности и не замена обязательной оценке риска.

1. Как робот останавливается, если защитный сигнал приходит в момент шага на одной ноге?
2. Какая часть реакции подтверждена измерениями, а какая зависит от обычного бортового компьютера и проприетарной программы балансирования?
3. Что происходит при потере связи между внешним контроллером и роботом?
4. Как измерены полное время реакции, пройденное расстояние и зона возможного падения?
5. Требуется ли после остановки ручной сброс и исключён ли автоматический перезапуск?
6. Какие компоненты имеют подтверждённый уровень безопасности и где проходит граница этих доказательств?

Если поставщик показывает только сертификаты световой завесы, PLC или кнопки, попросите отдельно продемонстрировать всю реакцию робота после защитного сигнала. Важно увидеть не только доставку команды, но и устойчивую остановку в разных фазах движения.

Что это значит для российского читателя

Открытых подтверждений российского внедрения именно этого стенда или его локальной сертификации нет. Поэтому статья не утверждает, что Unitree G1 безопасен или опасен для конкретного российского предприятия и не переносит американский исследовательский стенд на требования РФ.

Практическая ценность работы универсальна: при покупке или интеграции балансирующего гуманоида нельзя оценивать безопасность по внешним компонентам отдельно от поведения самой машины. Чем ближе робот работает к людям, тем важнее доказать переход от сигнала к контролируемой остановке, а не просто наличие красной кнопки. 

Главный вывод

Стенд с Unitree G1 EDU показывает парадокс двуногой робототехники: действие, которое делает обычную машину пассивно безопасной, у балансирующего гуманоида само может создать падение. Авторы смогли построить понятную внешнюю цепь и точно указать её границу, но не закрыли реакцию робота сквозной сертификацией.

Поэтому правильный вопрос к интегратору звучит не «есть ли E-stop», а «что именно происходит после его нажатия во всех опасных состояниях робота и чем это подтверждено». Пока на него нет измеримого ответа, сертификаты отдельных компонентов не описывают безопасность всей ячейки.