自主能力 需要 边界。
能够做出决策的机器人，也必须理解哪些事情是不允许做的。 因此，安全并不是某一个传感器或一个急停按钮。 安全是一套由约束、监测、硬件限制和人员权限共同构成的分层系统。
安全是一套架构。
ARUS 将安全视为系统级工程专业。 所需架构取决于机器、任务、环境和具体部署。 不存在一句通用声明可以让所有机器人作业都自动变得安全。 安全必须围绕真实工作进行工程设计。
自主能力通过层级被允许，而不是凭假设。
操作人员始终是系统的一部分。
根据部署架构，人员权限可能包括监督式自主、手动停止、急停、人工干预、受限运行模式、任务审批、远程监督和维护控制。自主能力并不移除运营责任。
Override
人员指令可以中断自主任务执行。
Stop
停止状态与正常任务暂停分开。
Supervision
运行状态和不确定性向操作员可见。
Intervention
手动流程取决于机器和部署。
不确定状态会改变允许行为。
当传感器置信度下降、通信丢失、出现障碍、运动不一致或系统状态不确定时，机器人应进入该部署定义的安全状态。
机器人在物理包络内运行。
速度区域
允许速度取决于区域、任务、载荷和接近程度。
力限制
力约束限制富接触运动与操作。
限制区域
运行地图可以定义禁入区域和受保护区域。
碰撞裕量
运动规划保持对间隙和响应距离的关注。
验证从模型走向受控运行。
安全验证与具体部署相关。ARUS 在仿真、台架工作、子系统测试、集成测试、受控试点和运营推出中进行分阶段检查。
安全系统必须可观察。
事件日志
动作、停止和状态变化都是诊断历史的一部分。
遥测
机器人状态、置信度和故障帮助操作员理解运行情况。
State
运行状态应在机器人、界面和团队之间保持明确。
Diagnostics
故障报告支持恢复、复盘和工程变更。
安全实施因机器类型而异。
AR-H, AR-M and AR-X share the same safety philosophy, but the implementation changes with body architecture, mobility, payload, tooling, operating space and human proximity.
在部署前讨论安全约束。
正确的安全讨论从任务范围、环境、人员、载荷、工具和恢复状态开始。