用于外科机器人系统中错误处理的系统和方法与流程

用于外科机器人系统中错误处理的系统和方法


背景技术：

1.外科机器人系统当前用于微创医疗程序中。一些外科机器人系统包括外科控制台，该外科控制台控制外科机器人臂和外科器械，该外科器械具有联接到机器人臂并由机器人臂致动的端部执行器(例如，夹钳或抓持器械)。
2.外科机器人系统的部件(例如，外科控制台、机器人臂等)中的每个部件可由计算设备控制，这些部件通过通信网络彼此通信。因此，当计算设备之一或外科机器人系统的部件遇到错误时，此类错误需要在整个外科机器人系统及其所有部件中传播，因为错误可能是局部的或者会影响其它部件和/或整个外科机器人系统。因此，需要一种与外科机器人系统一起使用的错误处理程序子系统。


技术实现要素：

3.本公开提供了一种外科机器人系统，该外科机器人系统包括多个部件，即：控制塔、控制台和一个或多个外科机器人臂，该一个或多个外科机器人臂中的每个外科机器人臂设置在可移动推车上并且包括外科器械。机器人臂中的每个机器人臂能够在一种或多种控制模式(例如，保持模式、移动模式、位置控制模式等)下操作。外科机器人系统包括错误处理程序子系统，该错误处理程序子系统被配置成在部件中的每个部件之间传输错误信号，使得部件中的每个部件被告知由另一部件生成的错误信号。在实施方案中，错误信号在核心塔、外科控制台和臂推车组件之间进行传输，以确定应该禁止哪种控制模式。某些错误信号可能导致短期(例如，约1秒至约5秒)中断或长期阻断。短期中断被配置成中断机器人臂的位置控制或部件的其它控制，并且长期阻断被配置成永久地结束位置控制直到系统被重启或发生故障的部件被替换。在另外的实施方案中，某些错误信号可能导致禁用机器人臂的手动床边控制、外科控制台人体工程学控制和/或手动命令运动的其它方面。
4.错误处理程序子系统还将特定通知代码发送到警报和通知子系统，该警报和通知子系统被配置成向外科机器人系统的用户显示消息和其它指示符。错误信号中的每个错误信号可包括指示禁止动作的一个或多个错误状态以及在部件之间匹配以确认接收到错误信号的计数器，该计数器充当部件之间的信号交换。错误处理程序子系统协调短期中断和长期阻断以及对在系统的任何部件处发生的错误信号的安全反应。
5.根据本公开的一个实施方案，公开了一种外科机器人系统。该外科机器人系统包括：控制塔，该控制塔包括具有第一错误处理程序的第一控制器。第一控制器被配置成检测与控制塔相关联的第一错误，并且第一错误处理程序被配置成基于第一错误生成第一错误信号。该系统还包括联接到控制塔的外科控制台。外科控制台包括显示器和被配置成生成用户输入的用户输入设备。该系统还包括联接到控制塔的移动推车。该移动推车包括第二控制器和第二错误处理程序。第二控制器被配置成检测与移动推车相关联的第二错误，并且第二错误处理程序被配置成基于第二错误生成第二错误信号。该系统还包括设置在移动推车上的外科机器人臂。该外科机器人臂包括：外科器械，该外科器械被配置成治疗组织并且能够响应于用户输入而致动；和第三控制器，该第三控制器具有第三错误处理程序。第三
控制器被配置成检测与外科机器人臂相关联的第三错误，并且第三错误处理程序被配置成基于第三错误生成第三错误信号。
6.根据以上实施方案的一个方面，外科机器人臂能够响应于用户输入而在位置控制模式下操作并且响应于手动移动而在手动模式下操作。
7.根据以上实施方案的另一方面，该系统还包括错误处理程序网络，该错误处理程序网络将第一错误处理程序、第二错误处理程序和第三错误处理程序互连，该错误处理程序网络被配置成在第一错误处理程序、第二错误处理程序和第三错误处理程序之间传输第一错误信号、第二错误信号和第三错误信号。错误处理程序网络被配置成对第一错误信号、第二错误信号和第三错误信号中的一者进行分类并且基于分类执行响应。该响应可包括暂时中断手动模式并且禁用位置控制模式。
8.根据以上实施方案的另一方面，以下(即控制塔、外科控制台或移动推车)中的一者或多者可包括显示器。该系统还可包括警报和通知子系统，该警报和通知子系统联接到错误处理程序网络，该警报和通知子系统被配置成在显示器上显示通知。错误处理程序网络被配置成在通知被用户解除后重新启用手动模式和位置控制模式中的至少一者。错误处理程序网络被配置成存储响应于手动模式的暂时中断和位置控制模式的禁用中的至少一者而递增的计数器。第一错误处理程序、第二错误处理程序和第三错误处理程序中的每一者存储单独计数器，该单独计数器响应于使单独计数器中的任一单独计数器递增而递增。
9.根据本公开的另一实施方案，公开了一种外科机器人系统。该外科机器人系统包括控制塔，该控制塔包括具有第一错误处理程序的第一控制器。第一控制器被配置成检测与控制塔相关联的第一错误，并且第一错误处理程序被配置成基于第一错误生成第一错误信号。该系统还包括联接到控制塔的外科控制台。外科控制台包括显示器和被配置成生成用户输入的用户输入设备。该系统还包括多个移动推车，该多个移动推车联接到控制塔，移动推车中的每个移动推车包括第二控制器和第二错误处理程序。第二控制器被配置成检测与移动推车相关联的第二错误，并且第二错误处理程序被配置成基于第二错误生成第二错误信号。该系统还包括多个外科机器人臂，外科机器人臂中的每个外科机器人臂设置在多个移动推车中的一个移动推车上。外科机器人臂中的每个外科机器人臂包括：外科器械，该外科器械被配置成治疗组织并且能够响应于用户输入而致动；和第三控制器，该第三控制器具有第三错误处理程序。第三控制器被配置成检测与外科机器人臂相关联的第三错误，并且第三错误处理程序被配置成基于第三错误生成第三错误信号。
10.根据以上实施方案的一个方面，外科机器人臂能够响应于用户输入而在位置控制模式下操作并且响应于手动移动而在手动模式下操作。
11.根据以上实施方案的另一方面，该系统还包括错误处理程序网络，该错误处理程序网络将第一错误处理程序、第二错误处理程序和第三错误处理程序互连，该错误处理程序网络被配置成在第一错误处理程序、第二错误处理程序和第三错误处理程序之间传输第一错误信号、第二错误信号和第三错误信号。错误处理程序网络被配置成对第一错误信号、第二错误信号和第三错误信号中的一者进行分类并且基于分类执行响应。该响应包括暂时中断手动模式并且禁用位置控制模式。
12.根据以上实施方案的另一方面，以下(即控制塔、外科控制台、移动推车中的一个移动推车)中的一者或多者包括显示器。该系统还包括警报和通知子系统，该警报和通知子
系统联接到错误处理程序网络，该警报和通知子系统被配置成在显示器上显示通知。错误处理程序网络被配置成在通知被用户解除后重新启用手动模式和位置控制模式中的至少一者。错误处理程序网络被配置成存储响应于手动模式的暂时中断和位置控制模式的禁用中的至少一者而递增的计数器。第一错误处理程序、第二错误处理程序和第三错误处理程序中的每一者存储单独计数器，该单独计数器响应于使单独计数器中的任一单独计数器递增而递增。
13.根据以上实施方案的另一方面，外科控制台包括第四控制器，该第四控制器具有第四错误处理程序，第四控制器被配置成检测与外科控制台相关联的第四错误，并且第四错误处理程序被配置成基于第四错误生成第四错误信号。
附图说明
14.本文结合附图描述了本公开的实施方案，其中：
15.图1是根据本公开的包括控制塔、控制台和一个或多个外科机器人臂的外科机器人系统的示意图；
16.图2是根据本公开的图1的外科机器人系统的外科机器人臂的透视图；
17.图3是根据本公开的具有图1的外科机器人系统的外科机器人臂的设置臂的透视图；
18.图4是根据本公开的图1的外科机器人系统的计算机架构的示意图；
19.图5是根据本公开的错误处理程序子系统的示意图；并且
20.图6是根据本公开的用于处理错误信号的方法的流程图。
具体实施方式
21.参考附图详细描述了本发明所公开的外科机器人系统的实施方案，其中若干视图的每个视图中类似的附图标记代表相同或对应的要素。如本文所用，术语“远侧”是指外科机器人系统和/或与患者联接的外科器械的部分，而术语“近侧”是指更远离患者的部分。
22.术语“应用程序”可包括出于用户的利益而设计来执行功能、任务或活动的计算机程序。例如，应用程序可指作为独立程序或在网络浏览器中本地或远程运行的软件，或本领域的技术人员理解为应用程序的其他软件。应用程序可在控制器或用户设备上运行，包括例如在移动设备、iot设备或服务器系统上运行。
23.如下文将详细描述的，本公开涉及一种外科机器人系统，该外科机器人系统包括外科控制台、控制塔和一个或多个可移动推车，该一个或多个可移动推车具有联接到设置臂的外科机器人臂。外科控制台通过一个或多个接口设备接收用户输入，这些接口设备由控制塔解释为用于移动外科机器人臂的移动命令。该外科机器人臂包括控制器，控制器被配置成处理移动命令并且生成用于激活机械臂的一个或多个致动器的扭矩命令，该扭矩命令进而将响应于移动命令来移动机器人臂。
24.参考图1，外科机器人系统10包括控制塔20，该控制塔连接到外科机器人系统10的所有部件，外科机器人系统包括外科控制台30和一个或多个机器人臂40。机器人臂40中的每个机器人臂包括与其可移除地联接的外科器械50。机器人臂40中的每个机器人臂还联接到可移动推车60。
25.外科器械50被配置用于在微创外科程序期间使用。在实施方案中，外科器械50可被配置用于开放式外科程序。在实施方案中，外科器械50可以是被配置成为用户提供视频馈送的内窥镜。在另外的实施方案中，外科器械50可以是被配置成通过在钳口构件之间压缩组织并向其施加电外科电流来密封组织的电外科夹钳。在另外的实施方案中，外科器械50可以是外科缝合器，该外科缝合器包括一对钳口，该对钳口被配置成在部署多个组织紧固件(例如，钉)并切割所缝合的组织的同时抓握和夹持组织。
26.机器人臂40中的每个机器人臂可包括被配置成捕获外科手术部位的视频的相机51。相机51可以是立体相机并且可与外科器械50一起设置在机器人臂40上。外科控制台30包括第一显示器32和第二显示设备34，第一显示器显示由设置在机器人臂40上的外科器械50的相机51提供的外科手术部位的视频馈送，第二显示设备显示用于控制外科机器人系统10的用户界面。外科控制台30还包括多个用户接口设备，诸如由用户使用以远程控制机器人臂40的脚踏板36和一对手柄控制器38a和38b。
27.控制塔20包括显示器23，该显示器可以是触摸屏，并在图形用户界面(gui)上进行输出。控制塔20还充当外科控制台30与一个或多个机器人臂40之间的接口。具体地，控制塔20被配置成控制机器人臂40，以例如基于来自外科控制台30的一组可编程指令和/或输入命令来移动机器人臂40和对应的外科器械50，以使得机器人臂40和外科器械50响应于来自脚踏板36和手柄控制器38a和38b的输入来执行期望的移动序列。
28.控制塔20、外科控制台30和机器人臂40中的每一者包括相应计算机21、31、41。计算机21、31、41使用基于有线或无线通信协议的任何合适的通信网络彼此互连。如本文所用，术语“网络”无论单数还是复数，均表示数据网络，包括但不限于互联网、内联网、广域网或局域网，并且不限于本公开所涵盖的通信网络的定义的全部范围。合适的协议包括但不限于发射控制协议/互联网协议(tcp/ip)、数据报协议/互联网协议(udp/ip)和/或数据报拥塞控制协议(dccp)。无线通信可经由一个或多个无线配置来实现，例如射频、光学、wi-fi、蓝牙(一种开放的无线协议，用于使用短长度无线电波从固定设备和移动设备在短距离内交换数据，从而创建个人局域网(pan))、(一种使用基于针对无线个人局域网(wpan)的ieee 802.15.4-2003标准的小型低功率数字无线电的一套高级通信协议的规范)。
29.计算机21、31、41可包括可操作连接到存储器(未示出)的合适的处理器(未示出)，该处理器可包括易失性、非易失性、磁性、光学或电子介质中的一种或多种，诸如只读存储器(rom)、随机存取存储器(ram)、电可擦除可编程rom(eeprom)、非易失性ram(nvram)或闪存存储器。处理器可为适于执行本公开中所述的操作、计算和/或指令集的任何合适处理器(例如，控制电路)，包括但不限于硬件处理器、现场可编程门阵列(fpga)、数字信号处理器(dsp)、中央处理单元(cpu)、微处理器以及它们的组合。本领域技术人员应当理解，可以通过使用适于执行本文所述的算法、计算和/或指令集的任何逻辑处理器(例如，控制电路)来代替处理器。
30.参考图2，机器人臂40中的每个机器人臂可包括多个连接件42a、42b、42c，该多个连接件分别在接合部44a、44b、44c处互连。接合部44a被配置成将机器人臂40固定到可移动推车60上并且限定第一纵向轴线。参考图3，可移动推车60包括升降器61和设置臂62，该设置臂提供用于安装机器人臂40的基座。升降器61允许设置臂62竖直移动。可移动推车60还
包括用于显示与机器人臂40有关信息的显示器69。
31.设置臂62包括第一连接件62a、第二连接件62b和第三连接件62c，这些连接件提供机器人臂40的横向可操纵性。连接件62a、62b、62c在接合部63a和63b处互连，这些接合部中的每个接合部可包括致动器(未示出)，用于使连接件62b和62b相对于彼此和连接件62c旋转。具体地，连接件62a、62b、62c可在它们相应的彼此平行的横向平面中移动，从而允许机器人臂40相对于患者(例如，外科手术台)延伸。在实施方案中，机器人臂40可联接到外科手术台(未示出)。设置臂62包括用于调节连接件62a、62b、62c以及升降器61的移动的控制器65。
32.第三连接件62c包括具有两个自由度的可旋转基座64。具体地，可旋转基座64包括第一致动器64a和第二致动器64b。第一致动器64a可绕垂直于由第三连接件62c限定的平面的第一固定臂轴线旋转，并且第二致动器64b可绕横向于第一固定臂轴线的第二固定臂轴线旋转。第一致动器64a和第二致动器64b允许机器人臂40的完整三维取向。
33.机器人臂40还包括设置在器械驱动单元52和设置臂62上的多个手动超控按钮53，其可在手动模式下使用。用户可按下一个或按钮53来移动与按钮53相关联的组件。
34.参考图2，机器人臂40还包括保持器46，该保持器限定第二纵向轴线并且被配置成接收外科器械50的器械驱动单元52(图1)，该器械驱动单元被配置成联接到外科器械50的致动机构。器械驱动单元52将致动力从其致动器传输到外科器械50以致动外科器械50的部件(例如，端部执行器)。保持器46包括滑动机构46a，该滑动机构被配置成使器械驱动单元52沿由保持器46限定的第二纵向轴线移动。保持器46还包括接合部46b，该接合部使保持器46相对于连接件42c旋转。
35.接合部44a和44b包括致动器48a和48b，致动器被配置成通过一系列皮带45a和45b或其它机械连杆(诸如驱动杆、线缆或杆等)相对于彼此驱动接合部44a、44b、44c。具体地，致动器48a被配置成使机器人臂40绕由连接件42a限定的纵向轴线旋转。
36.接合部44b的致动器48b经由皮带45a联接到接合部44c，并且接合部44c进而经由皮带45b联接到接合部46c。接合部44c可包括联接皮带45a和45b的分动箱，使得致动器48b被配置成使连接件42b、42c中的每一者和保持器46中相对于彼此旋转。更具体地，连接件42b、42c和保持器46被动地联接到致动器48b，该致动器强制执行围绕枢转点“p”旋转，该枢转点位于由连接件42a限定的第一轴线与由保持器46限定的第二轴线的交叉处。因此，致动器48b控制第一轴线与第二轴线之间的角度θ，从而允许外科器械50的取向。由于连接件42a、42b、42c和保持器46经由皮带45a和45b互连，还调整了连接件42a、42b、42c和保持器46之间的角度，以便实现期望的角度θ。在实施方案中，接合部44a、44b、44c中的一些或全部接合部可包括致动器，以消除对机械连杆的需要。
37.参考图4，外科机器人系统10的计算机21、31、41中的每一者可包括可在硬件和/或软件中具体体现的多个控制器。控制塔20的计算机21包括控制器21a和安全观测器21b。控制器21a从外科控制台30的计算机31接收关于手柄控制器38a和38b的当前位置和/或取向以及脚踏板36和其它按钮的状态的数据。控制器21a处理这些输入位置以确定机器人臂40和/或器械驱动单元52的每个接合部的期望驱动命令，并且将这些命令传送到机器人臂40的计算机41。控制器21a还接收实际接合角度并使用该信息来确定传输回外科控制台30的计算机31的力反馈命令，以通过手柄控制器38a和38b提供触觉反馈。安全观测器21b对进入
和离开控制器21a的数据执行有效性检查，并且如果检测到数据传输中的错误，则通知系统故障处理程序，以将计算机21和/或外科机器人系统10置于安全状态。
38.计算机41包括多个控制器，即主推车控制器41a、设置臂控制器41b、机器人臂控制器41c和器械驱动单元(idu)控制器41d。主推车控制器41a接收和处理来自计算机21的控制器21a的接合命令并且将这些命令传送到设置臂控制器41b、机器人臂控制器41c和idu控制器41d。主推车控制器41a还管理器械交换以及可移动推车60、机器人臂40和器械驱动单元52的总体状态。主推车控制器41a还将实际接合角度传送回控制器21a。
39.设置臂控制器41b控制接合部63a和63b中的每一者，以及设置臂62的可旋转基座64，并且针对俯仰轴线计算期望的马达移动命令(例如，马达扭矩)并控制制动器。机器人臂控制器41c控制机器人臂40的每个接合部44a和44b，并且计算机器人臂40的重力补偿、摩擦补偿和闭环位置控制所需的期望马达扭矩。机器人臂控制器41c基于计算的扭矩计算移动命令。然后将计算的马达命令传送到机器人臂40中的致动器48a和48b中的一个或多个致动器。然后将实际接合位置通过致动器48a和48b传输回机器人臂控制器41c。
40.idu控制器41d接收外科器械50的期望接合角度，例如腕部和钳口角度，并且计算器械驱动单元52中的马达的期望电流。idu控制器41d基于马达位置计算实际角度并且将实际角度传输回主推车控制器41a。
41.机器人臂40被进行如下控制。首先，对机器人臂40进行控制的手柄控制器(例如，手柄控制器38a)的位姿通过控制器21a执行的手眼转换功能被转换成机器人臂40的期望位姿。手眼功能以及本文描述的其它功能体现在可由控制器21a或本文描述的任何其它合适的控制器执行的软件中。手柄控制器38a中的一个手柄控制器的位姿可体现为相对于坐标参考框架的坐标位置和滚转-俯仰-偏航(“rpy”)取向，该坐标参考框架固定到外科控制台30。器械50的期望位姿相对于机器人臂40上的固定框架。然后通过由控制器21a执行的缩放函数来缩放手柄控制器38a的位姿。在实施方案中，通过缩放函数，坐标位置按比例缩小并且取向按比例放大。另外，控制器21a还执行离合函数，其使手柄控制器38a与机器人臂40脱离。具体地，如果超出某些移动限值或其他阈值，则控制器21a停止将来自手柄控制器38a的移动命令传输到机器人臂40，并且实质上如同虚拟离合器机构一样起作用，例如限制机械输入影响机械输出。
42.机器人臂40的期望位姿基于手柄控制器38a的位姿，并且然后通过由控制器21a执行的逆运动学函数传递。逆运动学函数计算机器人臂40的接合部44a、44b、44c的角度，该角度实现了通过手柄控制器38a的经缩放和调整的位姿输入。然后将所计算的角度传递到机器人臂控制器41c，该机器人臂控制器包括具有比例微分(pd)控制器、摩擦估计器模块、重力补偿器模块和双侧饱和块的接合部轴线控制器，该接合部轴线控制器被配置成限制接合部44a、44b、44c的马达的所命令的扭矩。
43.参考图5，本公开提供了一种错误处理程序网络100，该错误处理程序网络包括错误处理程序121a、121b、141a、141b、141c、141d，这些错误处理程序可分别体现为可由对应控制器中的每个控制器执行的软件，该对应控制器为：控制器21a、安全观测器21b、主推车控制器41a、设置臂控制器41b、机器人臂控制器41c和idu控制器41d。错误处理程序网络100是用于传输在多个子系统(例如，控制器)之间传送的信号以传输关于错误和期望系统反应的信息的虚拟网络。因此，如果在一个部件处发生错误，则与该部件相关联的控制器(例如，
主推车控制器41a)以预编程响应(例如，将部件置于安全状态的预编程动作)与该错误作出反应。该控制器(例如，主推车控制器41a)还将该错误报告给其它子系统，诸如安全观测器21b、主推车控制器41a和设置臂控制器41b，以及警报和通知子系统。然后这些子系统通过启动相关安全行为来作出响应。安全行为还可定义包括硬停止的错误响应，例如机器人系统10的完全关闭，其中所有模式(包括手动控制模式)在程序的剩余部分被禁用直到机器人系统10停用。
44.错误处理程序121a-b和141a-d联网在一起以便以上游/下游和父/子方式协调跨系统10和子系统级别的响应。子子系统(或子进程)是指下游较低级别子系统，诸如机器人臂控制器41c、设置臂控制器41b和idu控制器41d。中级子系统是指移动推车60中的每个移动推车的主推车控制器41a。顶级子系统是控制器21a。因此，所有其它错误处理程序141a-141d都处于错误处理程序121a的下游，并且错误处理程序141a是错误处理程序141b-141d的父代。外科控制台30的计算机31也可包括具有错误处理程序的控制器，该错误处理程序处于错误处理程序121a的下游并且以与错误处理程序141a-141d类似的方式操作。
45.参考图6，首先，由错误处理程序121a-b和141a-141d报告的错误信号被分类为可操作错误或不可操作错误。如本文所用，可操作错误是控制器的正常功能(例如，机器人臂控制器41c的位置控制)不受影响并且用户只被告知检测到错误的错误。不可操作错误是响应于其禁用机器人臂40和外科器械50的位置控制并且也中断手动控制的错误。控制器21a和41a-d中的每一者基于错误信号的类型对错误信号作出反应。该反应可具有用于显示通知的预定持续时间和/或禁用操作模式多长时间的预定持续时间。
46.对不可操作错误的响应导致机器人臂40和/或外科器械50的手动控制被中断，而不会永久地禁用机器人臂40和外科器械50。因此，如果用户在发生不可操作错误时正在主动使用手动控制，则该手动控制实例结束，并且用户可松开按钮53并且然后重新激活按钮53以重新进入手动控制。
47.由错误处理程序121a-b和141a-141d报告的错误信号可进一步被分类为可恢复或不可恢复。给定错误的可恢复性在系统级别和子系统级别都有定义。在实施方案中，错误被定义为影响整个系统10及部件之一，例如可移动推车60。系统不可恢复错误表示整个系统10无法恢复回可用状态。子系统不可恢复错误表示只有发生错误的一个或多个部件无法恢复回可用状态。
48.当遇到不可恢复错误时，手动控制被暂时中断并且位置控制被禁用，直到机器人系统10重启。当遇到可恢复错误时，仅在一段时间内中断手动控制和禁用位置控制，这是基于错误是瞬时的还是持久的，以及错误是否是可解除的。
49.不可操作的可恢复错误进一步包括两类：瞬时型错误和持久型错误。瞬时型可恢复错误进一步分为瞬时错误和可解除错误。持久型错误包括不可恢复错误、持久可恢复错误和持久可解除可恢复错误。因此，错误可分为以下类型：
50.不可恢复不可操作错误—受影响的子系统通知用户，禁用位置控制并且中断手动控制。位置控制被禁用直到系统重启。
51.瞬时可恢复不可操作错误—受影响的子系统通知用户，中断位置控制并且中断手动控制。所有模式均在发生错误后立即可用。
52.持久可恢复不可操作错误—受影响的子系统通知用户，禁用位置控制并且中断手
动控制。位置控制被禁用，直到错误原因得到解决(例如，通过用户干预)。
53.瞬时可解除可恢复不可操作错误—受影响的子系统通知用户，禁用位置控制并且中断手动控制。位置控制被禁用，直到用户确认通知，无论错误的原因是否消失。
54.持久可解除可恢复不可操作错误—受影响的子系统通知用户，禁用位置控制并且中断手动控制。位置控制被禁用，直到错误的原因消失并且用户确认通知。
55.参考图5，每个控制器21a和41a-d使用对应的错误处理程序121a-b和141a-d来与其它控制器的其它错误处理程序以及与其自身控制器中的状态机通信。当子系统中发生错误时，该子系统的反应是禁用/中断控制模式并且然后经由错误处理程序427向相邻子系统发送消息。机器人臂控制器41c、设置臂控制器41b和idu控制器41d将错误信号传送到主推车控制器41a，该主推车控制器然后以确认接收和控制命令进行回复。主推车控制器41a还将错误信息向上报告给控制器21a，控制器21a然后也以确认接收和标称控制命令进行回复。与指定恢复类型相结合的这种通信会影响控制器41b-d可恢复标称功能的时序。
56.在检测到问题之后，错误处理程序141b禁用位置控制，并且向警报和通知子系统(ans)150发送警报，该警报和通知子系统可体现为软件应用程序并由控制器21a执行。ans 150联接到机器人系统10的各种输入和输出，并且在显示器23、32、34、69中的一者或多者上显示各种音频和视觉警报和通知。
57.然后，错误处理程序141b将错误信号发送到错误处理程序141a，错误处理程序141a然后发送接收错误信号的确认并且启动保持协议并停止位置控制。错误信号也被发送到控制器21a，该控制器识别系统范围的不可操作错误并且中断任何机器人臂40的位置控制或手动控制。控制器21a还向所有机器人臂40发送保持命令，并且向机器人臂40发送接收错误信号的确认。另外，ans 150也独立地知道错误的类型，例如，错误是系统持久可解除类型。控制器21a直到用户解除通知才停止对任何机器人臂40的位置控制，并且在解决原始问题之前，用户无法解除通知。
58.因此，所有机器人臂40都被锁定不能进行位置控制以及手动控制。通知出现在显示器23、32、34、69中的一者或多者的gui上，带有图形“解除”按钮以解除错误。床边助手可重新激活按钮53以恢复手动控制。然而，用户不能恢复位置控制，因为错误是持久可解除类型。在导致错误的问题独立消失后，用户然后可解除通知，并且然后用户能够恢复位置控制。
59.错误处理程序网络100包括以下条件，这些条件被映射到特定错误状态：用于一个机器人臂40的手动模式不可用，用于一个机器人臂40的位置控制不可用，用于一个机器人臂40的位置模式、手动模式和保持模式不可用，以及用于所有机器人臂40的位置控制不可用。基于错误是影响子系统、机器人系统10还是这两者，将条件映射到该组错误状态。映射还取决于错误可操作性和可恢复性。一些错误状态在条件为真时设置，而其它错误状态在条件发生时设置为真。
60.不可操作的可恢复错误分为两类：瞬时型和持久型。瞬时型可恢复性包括瞬时错误和可解除错误。持久型错误包括不可恢复错误、持久可恢复错误和持久可解除可恢复错误。在瞬时型不可操作错误中，手动控制和位置控制以及所有机器人臂40的位置控制被中断但不被禁用。在持久型不可操作错误中，仅手动控制被中断并且所有机器人臂40的位置控制被禁用。系统和子系统持久可解除可恢复不可操作错误的错误状态映射与持久型不可
操作错误相同。
61.关于不可恢复错误，某些条件被映射到系统和/或子系统不可恢复错误。不可恢复信号指示子系统何时发生不可恢复错误。由错误处理程序生成的每个错误信号具有其自己的信号对，其中第一错误信号指示子系统(本地)位置控制是不可恢复的，并且第二错误信号指示系统(全局)位置控制是不可恢复的。不可恢复信号在错误状态映射期间设置为真，并且向上传输到父子系统。在父错误处理程序(例如，错误处理程序121a或141a)中，通过使用“或”运算符将所有不可恢复信号进行组合来分析不可恢复信号(例如，错误处理程序141b-d以及父代的不可恢复信号)。如果激活，则这些信号会被锁存，直到系统停用。
62.错误处理程序网络100还存储中断计数器，该中断计数器在被超过时中断系统10和/或任何机器人臂40的操作。这允许错误处理程序网络100即使在错误状态被解除时也会中断系统10的操作。错误处理程序141a-d具有唯一的子系统中断计数器信号和系统中断计数器。计数器表示该子系统中发生了多少错误。当特定控制器41a-d连续运行时，计数器增加。一旦特定控制器41a-d被关闭，就会重置计数器。
63.当发生错误时，该子系统的错误处理程序141b-d使计数器递增并将信号向上发送到错误处理程序141a和/或错误处理程序121a。错误处理程序121a和141a检测计数器何时递增并将中断信号发送到其状态机。然后将递增的计数器发送到子子系统，例如错误处理程序141b-d。该确认传输形成一个循环，这使得子错误处理程序141b-d能够确认上游错误处理程序121a和141a接收到消息。
64.该错误确认循环用于结束机器人臂40的位置控制和/或手动控制的主动中断。当任何控制模式被中断时，错误处理程序121a和141a将错误状态锁存为真，直到向下计数器与向上计数器匹配。错误状态可能由于其它原因(例如，持久错误)保持为真，但中断已结束。
65.错误处理程序121a还可验证系统中断计数器。如果子错误处理程序141b-d中的条件映射到系统级不可操作错误，则系统中断计数器被递增并向上发送到控制器21a。错误处理程序121a检查递增，向移动推车60的所有控制器41a发送中断信号，并且将递增计数器向下发送回有问题机器人臂40的错误处理程序141a。子错误处理程序141b-d可能不会接收到系统级消息已被接收的直接确认。相反，由于子进程正在接收来自控制器41a的命令状态，因此控制器41a保持跟踪计数器并适当地释放系统级错误状态。在实施方案中，错误处理程序141b-d也可接收到系统级消息已被接收的确认。
66.错误处理程序141a检查子系统中断计数器递增，而错误处理程序121a检查系统中断计数器递增。检测到错误的子错误处理程序141b-d在几个滴答声内连续地将错误状态标记为真，直到子系统和系统计数器匹配。该计数器系统形成一个循环，其清除标称命令的管道。其还防止用户能够在检测到错误与中断/错误状态信号到达其目的地之间的时间窗口内命令不可用的功能。
67.所有子系统中的错误处理程序121a-b和141a-d向ans 150发送关于哪些条件起落的消息。每个条件具有唯一的警报id，并且ans 150知道哪个可移动推车60和/或机器人臂40发出警报。ans 150包括为每个警报id存储通知类型和消息以及通知的持续时间的数据库。子系统错误处理程序141a-d包括为每个警报id存储对应的控制器反应类型和反应持续时间的数据库。
68.对于可解除错误，由于错误处理程序121a-b和141a-d不知道通知解除，因此ans 150输出位置控制阻断信号，该位置控制阻断信号被发送到控制器21a。位置控制阻断信号默认为假。当发生可解除错误时，ans 150将阻断信号设置为真，并且错误处理程序121a使用该信号来使所有机器人臂40的位置控制不可用。即使在控制器21a中没有发生可解除错误，从ans 150到错误处理程序121a的阻断信号也会导致控制器21a向所有较低级别状态机发出标称保持信号的命令。
69.警报id通过ans 150设置和清除。警报在出现某些条件时设置。警报在条件结束时清除。如果警报与可恢复可解除错误有关，则这些警报在设置后立即被清除，因为ans 150利用清除信号来启用显示在显示器23、32、34、69中的一者或多者上的通知用户界面上的“解除”按钮(未显示)。在不通过ans 150清除警报的情况下，用户将无法解除通知，并且错误不会是瞬时的。
70.对于持久可解除错误，警报在条件结束时清除。因此，ans 150直到条件结束才启用通知用户界面上的“解除”按钮，此时允许用户解除通知并且ans 150停止阻断控制器21a的远程操作。映射到瞬时可解除错误的错误信号可能仍然存在，但是一旦用户确认通知，控制器21a就能够再次命令位置控制。
71.控制器21a和控制器41a中的每一者分别具有错误聚合器221a和241a，这些错误聚合器在其相应的域中聚合来自非控制器软件的错误，并且将这些错误转发到对应的控制器21a或41a。错误聚合器221a和241a可分别体现为可由对应的控制器21a和41a中的每一者执行的软件应用程序。错误聚合器221a聚合来自控制塔20和外科控制台30的所有节点的错误并且将这些错误转发到控制器21a。错误聚合器241a聚合来自每个可移动推车60上的非控制器软件的错误并且将这些错误转发到主推车控制器41a。错误聚合器221a和241a以数组的形式将错误转发到错误处理程序141b-d，该数组包括特定系统和子系统的所有主动错误的计数器，包括它们的可恢复性类型。在接收到该数组时，错误处理程序141b-d识别以任何计数器增加的形式出现的任何新错误，以及以非零计数器值的形式出现的任何主动错误。错误处理程序141a-d使用这两个条件来创建适当的控制器响应。错误处理程序响应与接收到错误报告的相应控制器中发生错误时的响应相同。
72.应当理解，可对本文中所公开的实施方案进行各种修改。在实施方案中，传感器可设置在机器人臂的任何合适部分上。因此，以上说明不应理解为限制性的，而是仅作为各种实施方案的例示。本领域的技术人员能够设想在本文所附权利要求书的范围和实质内的其它修改。