Robotik uygulamada güvenlik zarfı tasarlamak

Güvenlik tasarımı görev tanımından değil zarar tanımından başlar. Görev listesi 'robot kutuyu paletten alır' der; zarar listesi 'operatör palet hizasına eğildiğinde robot kolu omuz yüksekliğinden geçer' der. Zarfın her sınırı bu ikinci listedeki bir satıra karşılık gelmelidir; karşılığı olmayan sınır gereksiz kısıt, karşılığı yazılmamış zarar ise açık risktir.

Zarfın en somut parçası geometridir ve iki uzayda birden tanımlanmalıdır. Kartezyen sınır 'uç işlevcinin gireceği hacim' sorusunu cevaplar; eklem uzayındaki sınır ise aynı uç konumuna farklı bir dirsek duruşuyla ulaşan çözümleri kapsar. Yalnızca kartezyen sınır koyan bir sistemde kol, hedefe izinli hacimden geçerek gider ama dirsek yasak bölgeden süpürür.

• İzinli hacim: normal görev boyunca robotun bulunabileceği bölge.
• Yasak bölge: hiçbir koşulda girilmeyecek hacim; buraya giden bir hedef, kırpılmaz, reddedilir.
• İnsan yaklaşma bölgesi: insanın bulunabileceği, hız ve kuvvetin ayrıca sınırlandığı geçiş bölgesi.
• Bakım bölgesi: robot enerjisizken veya kilitliyken girilen, çalışma sırasında kapalı olan alan.
• Geçiş güzergâhları: iki nokta arasında izin verilen yollar; kısa yol her zaman izinli yol değildir.

Doğrulama adımı: bölge tanımlarını yazdıktan sonra robotu yavaş modda tüm görev döngüsü boyunca sürün ve her an hangi bölgede olduğunu kaydedin. Kayıtta 'tanımsız bölge' geçen tek bir zaman dilimi bile varsa geometri eksiktir; bu boşluklar üretimde tam da beklenmedik durumlarda doldurulur.

Sabit bir hız yüzdesi iki ucu da ıskalar: uzak bölgede gereksiz yavaşlık, yakın bölgede yetersiz güvenlik üretir. Doğru kurgu, sınırı bölgenin ve o bölgedeki insan mesafesinin fonksiyonu yapmaktır. Burada ölçülmesi gereken büyüklük durma mesafesidir ve durma mesafesi iki terimin toplamıdır: algılama ile komutun kesilmesi arasında geçen sürede alınan yol, artı frenleme sırasında alınan yol. İkisini de kendi donanımınızda ölçmeden sınır seçemezsiniz. Korunması gereken ayrım mesafesi ise bundan büyüktür: robot dururken insan da yaklaşmaya devam eder, üstelik insanın konumu bir sensörle belirsizlik payıyla ölçülür. Ölçüt bu yüzden "durma mesafesi < insan mesafesi" değildir; durma mesafesine insanın bu süre içinde alacağı yol ve algılama belirsizliği eklenerek kurulur.

Doğrulama adımı: her bölge için bir 'sınır aşma' denemesi kurun. Politikaya bilerek bölge sınırının ötesinde bir hedef verin ve gerçekleşen hızın ölçülen sınırın altında kaldığını telemetriden doğrulayın. Sınırın yalnızca yapılandırma dosyasında yazılı olması, uygulandığı anlamına gelmez.

Bir kısıt, kısıtladığı şeyle aynı bileşenin içindeyse kısıt değildir. Öğrenilmiş politika ile sınır denetimi aynı süreçte, aynı istemde veya aynı ağırlıklarda yaşıyorsa politikadaki bir bozulma denetimi de birlikte bozar. Zarf bu yüzden mimaride ayrı durur: politika hedef önerir, zarf kırpar veya reddeder, denetleyici yürütür. Kritik sınırlar ayrıca güvenlik dereceli donanımda yeniden uygulanır; yazılım katmanı bunun yerine değil, üzerine konur.

def guvenli_komut(oneri, durum, zarf):
    """Politikanın önerdiği komutu zarf dışına çıkamayacak hâle getirir."""
    if not durum.algi_saglikli:
        return zarf.guvenli_dur('algi_kaybi')

    if zarf.yasak_bolgede(oneri.hedef):
        olay_yaz('hedef_reddedildi', oneri, durum)
        return zarf.guvenli_dur('yasak_bolge')

    bolge = zarf.bolge_bul(durum.uc_konum, durum.insan_mesafesi)
    komut = oneri.kirp(
        hiz_siniri=bolge.hiz_siniri(durum.insan_mesafesi),
        kuvvet_siniri=bolge.kuvvet_siniri,
    )

    if komut != oneri:
        olay_yaz('komut_kirpildi', oneri, durum)

    return komut

Kırpma ile reddetme arasındaki ayrım tasarım kararıdır. Hız gibi sürekli büyüklükler kırpılabilir: komut uygulanır ama yavaşlatılmış hâliyle. Hedef konumu gibi ayrık kararlar kırpılmamalıdır; yasak bölgeye giden bir hedefi sınıra çekmek, politikanın niyetini bozarak beklenmedik bir harekete dönüşür. Böyle durumlarda doğru cevap görevi güvenli biçimde durdurmak ve olayı kaydetmektir.

Fiziksel sistemlerde en tehlikeli hata biçimi çökme değil sessiz bozulmadır: kamera kirlenir, derinlik sensörü parlamada boş döner, nesne tanıma güveni düşer ama hiçbir bileşen hata vermez. Politika bu durumda da bir komut üretir, çünkü üretmemek gibi bir seçeneği yoktur. Güvenli davranışı tanımlamak zarfın işidir; bunu yapmazsanız sistem, en az bildiği anda en büyük hareketi yapar.

1. 1Sağlık işaretlerini topla

   Kare zaman damgası, kare düşme sayısı, derinlik geçerlilik oranı, algı güveni ve komut gecikmesi tek bir sağlık nesnesinde toplanır.

2. 2Bozulma seviyesini belirle

   İşaretler eşiklerle karşılaştırılarak üç seviyeye indirgenir: sağlıklı, bozulmuş, kayıp. Eşikler normal koşullarda toplanan dağılıma göre konur.

3. 3Seviyeye bağlı davranışı uygula

   Bozulmuşta hız düşer ve yeni görev kabul edilmez; kayıpta hareket kontrollü biçimde durdurulur ve tutulan parça güvenli konuma bırakılır.

4. 4Görünür hâle getir ve kaydet

   Seviye değişimi operatöre bildirilir ve olay olarak yazılır; sessizce düzelen bozulmalar da kaydedilir, çünkü tekrarı bir donanım sorununun habercisidir.

Durdurma tek bir davranış değildir. Standartlar, enerjiyi anında kesen durdurma ile önce kontrollü biçimde durdurup sonra enerjiyi kesen ve enerjiyi koruyarak duran biçimleri ayırır. Bu ayrım pratik bir sonuç doğurur: enerjinin anında kesilmesi kolu serbest bırakabilir, tutulan parçayı düşürebilir ve kalibrasyonu bozabilir. Bu yüzden her sapmaya aynı durdurma ile cevap vermek, güvenliği artırmaz; yalnızca operasyonu ve ekipmanı yıpratır.

Devralma anı ayrıca tasarlanır: yetki kimde, robot hangi durumda bekliyor, operatör neyi görüyor ve geri devretme nasıl oluyor? Yetkinin belirsiz kaldığı saniyeler kaza literatüründe sık geçen bir kalıptır. Basit bir kural işe yarar: her an tek bir yetki sahibi vardır ve bu, operatör panelinde yazılı olarak görünür.

Zarf yalnızca engelleyen değil ölçen bir katmandır. Kırpılan her komut, reddedilen her hedef ve her durdurma bir veri noktasıdır; bunlar sayılmadığında 'sistem güvenli çalışıyor' cümlesi doğrulanamaz bir iddia olarak kalır. Kayıt tasarımının tek ölçütü şudur: olaydan sonra, o anı yeniden kurmak için kayıtta yeterli bağlam var mı?

{
  "olay": "zarf_ihlali | korumali_durdurma | acil_durdurma | insan_devraldi",
  "zaman": "<ISO 8601, milisaniye ve saat dilimi ile>",
  "surum": { "politika": "<surum kimligi>", "zarf": "<surum kimligi>" },
  "tetikleyen": "hacim_siniri | hiz_siniri | kuvvet_siniri | algi_kaybi",
  "bolge": "<zarf bolge adi>",
  "onerilen_komut": "<politikanin urettigi ham komut>",
  "uygulanan_komut": "<kirpma sonrasi komut>",
  "algi_sagligi": "<seviye ve isaretler>",
  "sonuc": "kirpildi | durduruldu | gorev_iptal",
  "kayit": { "video": "<parca kimligi>", "telemetri": "<parca kimligi>" }
}

• Çalışma saati başına kırpılan komut sayısı — artışı, politikanın zarfa sürtünmeye başladığını gösterir.
• Durdurma nedenlerinin dağılımı — tek bir nedenin baskınlaşması bir donanım ya da yerleşim sorununa işaret eder.
• İnsan müdahalesi sayısı ve müdahale başına kaybedilen süre.
• Olay sonrası kurtarma süresi — güvenliğin operasyonel maliyetini görünür kılan tek sayı budur.
• Yeniden oynatılabilir olay oranı: kaydı eksik olan her olay, öğrenilemeyen bir olaydır.

Normal koşulda çalışan bir zarf hiçbir şey kanıtlamaz, çünkü zarf zaten normal koşul için değil sapma için vardır. Kabul, zarfın devreye girdiği senaryolarla yapılır. Bu tatbikatların sırası da önemlidir: önce simülasyonda mantık sınanır, sonra boş hücrede yavaş modda tekrarlanır, en son gerçek görev hızında ve yalnızca insan hücre dışındayken koşulur.

1. 01Sensör kesme: kamera veya derinlik akışını çalışma ortasında durdurun; beklenen sonuç, kontrollü durdurma ve olay kaydıdır.
2. 02Bozuk algı: sensöre kısmi engel koyun; beklenen sonuç, bozulmuş seviyesine geçiş ve hız düşüşüdür.
3. 03Sınır dışı hedef: politikaya yasak bölgeye giden bir hedef ürettirin; beklenen sonuç, kırpma değil reddetmedir.
4. 04Gecikme enjeksiyonu: komut yolunda gecikme oluşturun; gecikme durma mesafesini uzatır, dolayısıyla beklenen sonuç hız sınırının kendiliğinden düşmesi ya da sınır korunamıyorsa kontrollü durmadır.
5. 05Beklenmeyen temas: güvenli bir engelle temas oluşturun; beklenen sonuç, kuvvet sınırında durma ve geri çekilmedir.
6. 06Müdahale tatbikatı: operatör devralma ve geri devretme akışını baştan sona koşturun.

Her tatbikatın çıktısı ikili bir sonuç değil, bir kayıttır: hangi senaryo, hangi zarf sürümünde, hangi davranışla sonuçlandı. Zarfı politikadan ayrı sürümleyin ve her zarf değişikliğinde bu takımı yeniden koşturun. Politika güncellemesi zarf tatbikatını gereksiz kılmaz; tersine, politikanın davranış dağılımı değiştiği için zarfın hangi sınırlara ne sıklıkla değdiği de değişir.