D3.07.2Force safety ceiling设计研究
力输出存在安全上限
别名: safety limits · maximum force · actuator safety
概念解释
力反馈设备能施加的力有安全上限。设备直接作用于人的肢体，失控的力或高频振荡可能造成损伤，因此最大出力、变化速率与作用时长都受到限制。这个上限是设计约束，不是可以靠软件调参绕过的选项。
机制
安全限制来自两个方向。硬件上，电机与传动机构的出力有物理极限，超过会失步、过热或损坏。人体上，人体对快速加载与持续加载的耐受有限，尤其是关节处在极限姿态时。此外，高刚度渲染可能在控制回路中产生振荡，振荡带来的高频力是重要的伤害来源，因此稳定裕度实际上是安全的一部分。综合结果是：可用刚度与可用力之间存在权衡，安全边界通过限制两者共同生效。
怎么研究
可从设备侧与人体侧分别测量：设备侧记录不同渲染参数下的实际出力与振荡幅度；人体侧在受控条件下测量用户对力幅与变化速率的耐受上限与不适评分。变量包括渲染刚度、控制频率、作用时长与接触部位。研究必须包含失效模式分析，因为安全问题通常出现在异常情况下而不是稳态运行中。
边界
安全上限的具体数值因设备与应用而异：医疗或工业训练设备的允许输出不同于消费级游戏手柄，且不同法规对暴露有各自要求。若设备具备失效保护（例如断电即断开驱动），可以允许更接近上限的设计，但仍不能依赖用户主动松手来保证安全。软性反馈（阻力与质地）在低出力下即可表达，因此安全限制对这类信息的约束较小。
怎么落地
- 在设计文档中记录设备的最大出力、变化速率与安全裕度，并把它作为不可协商的约束。
- 对接近上限的渲染参数进行失效模式分析，并实现断电或超限时的被动安全行为。
- 优先用低出力可表达的信息（质地、轻阻力）传达语义，把高出力留给必要场景。
- 验证方式：在异常条件下（传感器丢失、指令冲突、用户施加反向力）测试设备行为，确认输出不会超出安全范围。