物理身体
物理身体
目的
当学习策略的输出驱动电机并带动运动质量时，究竟是什么物理极限在瞬间约束它？
运动中的机器无法为软件而暂停。 推理过程中，物理世界持续演化：位置发生变化，接触面发生位移，观测数据逐渐老化。 要刹停物理运动，需要有限的时间来处理指令，以及有限的距离来耗散动能。 电机与机械齿轮组严格限制了扭矩能够上升的速率，而绕组电流与逆变器开关损耗则持续使电磁线圈发热。 忽略这些约束的策略会索取不存在的力，触发供电轨电压崩溃，或使传动齿轮的齿发生剪切。 更快的神经推理仅能在该物理链路内部带来改善；它无法消除制动距离、机械惯性或热学限制。
物理人工智能要求这些限制必须在整机装配完成、处于运行负载的条件下实测，而不能从乐观的部件数据手册中直接誊录。 在因果边界上，物理身体确立硬性物理预算——净空距离、峰值力与热余量——感知、规划与控制都必须共享。 依据第一条基石法则，任何动作指令发出之前，都必须先验证相应的预算。 通过刻画机械装置的扭矩-速度曲线、摩擦锥与热耗散速率，系统工程师将学习得到的提议锚定在物理装置不容妥协的物理规律之上。
↰ 前置条件： 物理装置为 三类机器 所定义的三类机器提供了物理基础。
学习目标
- 依据测量年龄与该机器允许的运动，计算观测新鲜度上限
- 依据制动前的延迟、可信减速度与净空余量，计算制动距离与允许的最高速度上限
- 对照响应极限与反射惯性，评估执行器与传动方案的选择
- 依据发热、冷却与运行工况，估算电机可持续占用的占空比
- 为同时执行、计算与再生制动预留电气供电裕量
- 规定极限记录要素，说明实测极限的工况、不确定性、裕量、运行时检测器与证据类别
五个物理预算
机器人操作臂即使在接触前收到紧急停止指令，仍可能撞碎其传动机构。 停止指令穿越软件缓冲区，功率逆变器切换状态，电机产生峰值反向转矩。 然而，如果运动构件的动能超过执行器在碰撞前剩余净空距离内能够完成的机械功，碰撞便不可避免。 在纯软件中，故障线程可被操作系统内核瞬间终止。 在物理现实中，运动质量携带的动量无法被异常处理程序捕获，而电气功率级也无法在不发生热失效或电压崩溃的前提下提供无限电流。 软件无法覆盖运动质量、热量和电流的物理规律。
在提议边界之上，学习得到的策略可以提出任意运动，但物理实体只交付力学、热力学和电磁学所允许的部分。 该主体是由执行器、传动机构、连杆、功率母线与换能器构成的“被控对象”，它作用于世界；而策略发出的每一个设定值，都会从它的五项物理预算中抽取：
- 测量新鲜度：物理环境变化的速率，相对于到达控制器的传感器数据的年龄。 由于世界不会为计算而暂停，通信与推理所耗费的时间意味着机器始终基于历史状态采取行动。
- 动能动量：为在碰撞障碍物或超出工作单元边界之前耗散已储存的动能（\(E_k = \frac{1}{2} m v^2\)）所需的制动距离与制动力的量。
- 执行器带宽与折算惯量：机械扭矩与速度能够改变的速度，在绕组电感（\(\tau_e = L/R\)）、逆变器电流钳位或齿轮传动惯量（\(N^2 J\)）限制机械加速度之前。
- 热容量：电阻性焦耳热在定子绕组与功率半导体中累积的速率，相对于机壳散热速率；该速率界定了持续占空比的上限，在热节流介入之前。
- 电气功率完整性: 在快速加速与制动过程中，共享直流配电母线上的瞬态电压跌落、峰值电流容量以及再生能量尖峰。
本书所追踪的仓库移动操作臂借鉴了全部五项。 装载量不超过 368 kg、以 1.5 m/s 驱动极限移动时（示意性；参见读者指南），它通过与人共用的通道携带 414 J 动能。
每一项预算都转化为在声明的热与电应力条件下、针对已装配机器所确立的限值。 第一项是每条指令所依赖的测量年龄，它始于物理换能，先于任何软件进程接收该数据。
测量新鲜度
软件基准测试常将延迟报告为加速器上某网络的执行时间，但该计算片段只是 因果边界 因果链中的一个环节。测量自换能起即开始衰减；真正重要的是它在被作用时的年龄。 该年龄跨越从光子击中光电二极管或磁通量经过霍尔传感器的那一刻，到电机绕组产生改变连杆加速度的转矩的那一刻之间的区间。 若感知模型计算障碍物位置耗时 \(15\text{ ms}\)，而相机曝光积分、传感器读出、传输、队列调度以及电机电流上升时间又额外增加 \(45\text{ ms}\)，那么当关节动作时，该测量的物理时延为 \(60\text{ ms}\)。 在整个该时间窗内，物理世界仍在持续演化。
↳ 下游： 遮挡下的信念 推导存储信念随测量时延而保持有效的时间长度。
追踪测量时延，需将该路径分解为八个阶段（图 1）：曝光，以积分中点为时间戳；经 MIPI CSI-2 等接口进行的传感器读出；向主机内存的直接内存访问（DMA）传输；内核缓冲至用户态队列；模型计算；操作系统调度及跨处理器边界的进程间调度；经现场总线或共享内存邮箱的命令传输；以及执行器响应，即驱动器在定子绕组中建立磁通。 在双处理器实现中，该路径自图像传感器出发，经应用处理器的推理、无锁邮箱，以及安全微控制器上的 \(1\text{ kHz}\) 权限检查，直至栅极驱动器切换与电流上升。 每个阶段都消耗总时间预算的一部分。
世界状态的变化速率决定了测量在采取动作之前保持有效的时间长度，超过该时间就会引入不可容忍的误差。 令 \(e_{\max}\) 表示被跟踪状态（例如关节角，或传送带上零件的位置）可接受的最大误差，令 \(v_{\max}\) 表示该状态可演化的最快可信速度。 新鲜度截止期限 \(\Delta t_{\text{fresh}}\) 是测量年龄的上界，超过该上界后基于该测量的控制动作即变为无效，由不等式定义 \[\Delta t_{\text{fresh}} \le \frac{e_{\max}}{v_{\max}}\]
对于包裹分拣线上的视觉引导拣选器，以最大相对速度 \(v_{\max} = 1.2\text{ m/s}\) 跟踪包裹，并带有几何间隙容差 \(e_{\max} = 24\text{ mm}\)，其新鲜度截止期限为 \(24\text{ mm} / (1200\text{ mm/s}) = 20\text{ ms}\)。 若执行指令依据一张早于当前时刻 \(35\text{ ms}\) 捕获的图像到达电机，则包裹已位移 \(42\text{ mm}\)，超出位置允许量 \(18\text{ mm}\)，因而未能完成抓取。 截止期限约束的是持续运动的目标，而其测量却在老化，例如这里的包裹，或由移动操作臂拣选站的传送带承载并输送的杯子。 对于此类目标，它仅限制由运动引起的误差，且仅在相对速度有界、初始观测可信时；感知与估计误差会额外消耗容差。 站在通道中的人不会随观测变旧而移动。 移动底盘确实在移动，因此观测年龄表现为移动底盘在制动前行驶的距离，而 节 1.3 则将该距离计入停车预算，消耗相应的停车裕量。
工程师常通过将各个阶段的 \(P_{99}\) 值相加来计算总延迟，但和的百分位不等于各百分位的和。1 共享内存争用与内核队列可能使各阶段延迟相互关联，因此必须在声明负载下的集成机器上实测完整的感知到力矩年龄的分布，而且该实测百分位并非安全截止所需的分析上界（按时移动指令）。
要观察阶段时序与端到端时延的差异，可考虑相机到关节路径在持续推理负载下的时序剖面（表 1），并与同一 \(20\text{ ms}\) 截止时间对照。
| 流水线阶段 | 物理机制 / 争用来源 | \(P_{50}\)（毫秒） | \(P_{99}\)（毫秒） | 最大（毫秒） |
|---|---|---|---|---|
| 1–2. 传感器曝光与读出 | \(60\text{ Hz}\) 滚动快门曝光中点 | \(11.2\) | \(16.6\) | \(16.7\) |
| 3–4. 主机传输与 DMA | PCIe DMA 传输至主机内存 | \(1.4\) | \(3.2\) | \(6.8\) |
| 5. 视觉骨干与策略 | 板载加速器推理（内存节流尾部） | \(18.5\) | \(24.1\) | \(38.4\) |
| 6. 操作系统调度与进程间通信 | 内核抢占与向安全微控制器发送邮箱调度 | \(0.6\) | \(2.1\) | \(12.3\) |
| 7. 现场总线传输 | 确定性 EtherCAT 周期报文交换 | \(1.0\) | \(1.0\) | \(2.0\) |
| 8. 执行器电流上升 | 门驱动切换与定子磁通建立 | \(2.3\) | \(3.0\) | \(4.5\) |
| 算术级联求和 | 各列级联值的求和；并非端到端分位数 | 35.0 | 50.0 | 80.7 |
| 端到端时延 | 系统级剖面 (\(t_{\text{transduction}} \to \tau\)) | 35.0 | 46.2 | 80.7 |
各阶段 \(P_{99}\) 值之和为 \(50.0\text{ ms}\)，与 \(46.2\text{ ms}\) 系统百分位不一致，且即便 \(35.0\text{ ms}\) 中位数也晚于 \(20\text{ ms}\) 截止时间。
基于过期数据采取行动会给反馈回路引入相位滞后，并且当校正力矩是加强而非抑制跟踪误差时，可能激发颤振2，因此高推理速率本身并不能使响应及时。 系统必须携带来自换能环节的硬件时间戳（使用 IEEE 1588 gPTP3 或 Ethernet PHY / MIPI CSI-24 接口的硬件选通信号捕获），并将其贯穿整个流水线。 在应用策略指令之前，权限路径会将观测年龄 \(t_{\text{age}} = t_{\text{now}} - t_{\text{transduction}}\) 与其预算所允许的年龄进行比较。 如果年龄超过该限制，它会拒绝过期的提议，并执行一种回退，其制动或保持行为已在剩余物理裕量内得到验证 (Brooks 1986年)。
在整个感知到执行间隔期间，身体仍在持续运动，携带着任何软件中断都无法抵消的动量。
机械动量
负载移动机械手在其 1.5 m/s 驱动极限下驶过一条通道。 一个人从车辆前方 1.10 m 处的货架末端走出，站在通道中。 软件无法简单地暂停执行，也无法将速度矢量瞬时归零。 底座、机械臂和周转箱都带有机械动量，使该质量静止需要跨越物理距离耗散动能。停车距离随延迟线性增长，随速度平方增长，这一差异决定了速度上限。
从感知危险到速度归零的距离包含两个阶段：盲行距离和制动距离。 在制动前的延迟期间，机器运行 节 1.2 的流水线。 在从显示危险的那一帧曝光到制动力开始施加之间的这段延迟 \(\tau_{\text{delay}}\) 期间，执行器不施加任何制动力，车辆继续沿其原有轨迹以该帧曝光时的速度 \(v\) 继续运动。 假设该窗口内速度保持不变，盲驶距离为 \[d_{\text{blind}} = v\,\tau_{\text{delay}}\]
当制动指令到达、执行器接合后，机体进入制动阶段。 制动力 \(F_{\text{brake}}\) 在制动距离 \(d_{\text{brake}}\) 上所做的机械功必须耗散机器的初始动能 \(W = \Delta K\)。 对于质量为 \(m\) 的机器，在持续制动力 \(F_{\text{brake}} = m a_{\text{brake}}\) 作用下减速至静止，由功能关系可得 \[m a_{\text{brake}} d_{\text{brake}} = \frac{1}{2} m v^2\] 除以质量并解出距离，得到运动学制动行程 \[d_{\text{brake}} = \frac{v^2}{2 a_{\text{brake}}}\] 参数 \(a_{\text{brake}}\) 是车身实际能够施加于物理环境的可信减速度，而非执行器数据表上印出的理论峰值额定值。 它表示机械结构、轮胎和齿轮在失去抓地力（轮胎—路面剪切滑移饱和）、向前倾覆或结构驱动总成屈服之前能够产生的持续负加速度。
闭式解假设减速度恒定、扭矩瞬时建立、坡度为零且接触为刚性。 这些假设在实际硬件上均不成立，因为力需要时间建立、滑移期间轮胎摩擦下降、结构发生挠曲；因此，在坡道或不确定的路面上，该模型会低估停车距离。 在声明条件范围内进行的带载停车试验提供考虑不确定性并留有裕度的保守低尾减速度，以取代理想化的 \(a_{\text{brake}}\)；仅凭样本分位数并不构成硬性的下界。
↳ 下游： 未受管理的动能动量会直接转化为 节 1.4 中分析的破坏性接触冲击载荷。
盲驾与制动项的不同指数使得速度成为空间风险的主要乘数（图 2），这一标度关系在数值上由 1.1 处理。
在非结构化环境中，机器无法将其全部净距分配给标称制动动力学。 障碍物跟踪带有状态估计不确定性，传感器校准会随时间漂移，定位算法会引入位置误差。 系统所防护的停车距离 \(d_{\text{stop}}\) 因此必须包含空间定位不确定性边界 \(\delta_{\text{loc}}\) 与最小物理净距余量 \(\delta_{\text{margin}}\)：5
\[d_{\text{stop}} = v\,\tau_{\text{delay}} + \frac{v^2}{2 a_{\text{brake}}} + \delta_{\text{loc}} + \delta_{\text{margin}} \tag{1}\]
该和 \(\delta_{\text{loc}} + \delta_{\text{margin}}\) 是固定的空间开销，当机体完全静止时必须保持未被占用。
Definition 1.1: 动态停车距离
动态停车距离 （ \(d_{\text{stop}}\) ）是指将运动质量从危险首次成像时的速度 \(v\) 完全停下所需的最小物理净距。 它由三部分组成：制动前的延迟 \(\tau_{\text{delay}}\) 期间的行进距离，该延迟自显示危险的帧曝光起算，直至减速力开始；可信减速度 \(a_{\text{brake}}\) 下的制动行进距离；以及定位边界 \(\delta_{\text{loc}}\) 与保护净距 \(\delta_{\text{margin}}\)，如 公式 1 所述。
- 意义：量化软件方案必须清出的不可协商的物理空间余量，运动许可方可在此之后授予。
- 区别：与经典运动学中的静态几何障碍净距不同，动态停车距离随速度平方增长（ \(v^2\) ），因此无论控制器循环周期如何，速度翻倍都会使制动项变为四倍。
- 常见误区：假设紧急停止指令会使机器瞬时停下，忽略了运动质量所携带的动能（\(E_k = \frac{1}{2}m v^2\)），而耗散该动能需要有限的机械功和制动距离。
对于在距离 \(D_{\text{clear}}\) 处探测到的静止障碍物，例如站在货架末端的人或掉落的周转箱，建模后的制动距离必须适配可用路径，\(d_{\text{stop}} \le D_{\text{clear}}\)。 这是原理 The irreversibility law 对每一次制动施加的条件，此时 \(d_{\text{stop}}\) 的每一项都是该机器的一项上限。 在保守的时间与制动界条件下，许可路径可以求解该不等式，得到新速度提议的天花板 \(v_{\text{max}}\)。 二次不等式的正根6为： \[v_{\text{max}} = -a_{\text{brake}} \tau_{\text{delay}} + \sqrt{(a_{\text{brake}} \tau_{\text{delay}})^2 + 2 a_{\text{brake}} (D_{\text{clear}} - \delta_{\text{loc}} - \delta_{\text{margin}})}\] 当传感器探测范围退化或障碍物进入轨迹时，\(D_{\text{clear}}\) 收缩并降低天花板，前提是可用距离仍为非负。 在可用距离为零时，天花板为零。 然而，如果机器已经在运动，零设定值无法消除其当前的制动距离；可用距离为负意味着准入条件已被违反，需要紧急响应。
Napkin Math 1.1: 物体的制动距离
1. 制动行程： 质量从功-能平衡中消去，因此满载机器的 414 J 动能决定了制动必须吸收多少热量，但不决定底盘行驶多远： \[d_{\text{brake}} = \frac{v^2}{2 a_{\text{brake}}} = \frac{(1.5 m/s)^2}{2 \times 2 m/s²} = 562.5 mm\] 到目前为止的停车距离为 562.5 mm。
2. 固定开销： \[\delta_{\text{loc}} + \delta_{\text{margin}} = 50 mm + 100 mm = 150 mm\] 累计总量升至 712.5 mm。
3. 制动启动： 在制动指令与首个减速力之间，底盘仍以全速运动： \[v\,T_{\text{act}} = (1.5 m/s) \times (20 ms) = 30 mm\] \[d_{\text{stop}}\big|_{\text{body}} = 562.5 mm + 150 mm + 30 mm = 742.5 mm\] 扣除本车自身各项占用的距离后，1.10 m 的净距离中还剩 357.5 mm，供所有不属于本车自身的延迟共同使用。
4. 仅本车的上限： 以 公式 1 对速度求解，取 \(\tau_{\text{delay}} = T_{\text{act}}\)： \[v_{\max} = -a_{\text{brake}} T_{\text{act}} + \sqrt{(a_{\text{brake}} T_{\text{act}})^2 + 2 a_{\text{brake}} (D_{\text{clear}} - \delta_{\text{loc}} - \delta_{\text{margin}})} \approx 1.91 m/s\] 仅考虑本车自身约束时，允许的速度上限为 1.91 m/s，高于驱动限值。神经系统 与 传感器感知 则补充了延迟项，占用了这部分余量。
5. 速度对延迟： 在假设的 2 m/s 下，超过驱动限值，仅制动项就增长到 1,000 mm，比驱动限速下的制动距离多出 77.8 percent。 在驱动限值下，每增加 100 ms 的制动前延迟，就增加 150 mm。
架构师的经验法则：永远不要提高速度设定值，除非重新求解净空二次方程。
Example 1.1: 动态速度上限调节器
输入:
- \(D_{\text{clear}} \in \mathbb{R}_{\ge 0}\): 沿行进方向检测到的障碍物距离\([\text{m}]\).
- \(\tau_{\text{delay}} \in \mathbb{R}_{> 0}\): 保守界定的感知到制动延迟，包括执行器响应\([\text{s}]\).
- \(a_{\text{brake}} \in \mathbb{R}_{> 0}\): 在声明载荷和路面条件下可用的制动减速度保守下界\([\text{m/s}^2]\).
- \(\delta_{\text{loc}}, \delta_{\text{margin}} \in \mathbb{R}_{\ge 0}\): 定位不确定性界与物理净距裕量\([\text{m}]\).
- \(v_{\text{now}} \in \mathbb{R}_{\ge 0}\): 当前前进速度\([\text{m/s}]\).
- \(v_{\text{cand}} \in \mathbb{R}_{\ge 0}\): 由神经网络策略提出的候选前向速度设定值 \([\text{m/s}]\)。
输出：
- \(v_{\text{safe}} \in \mathbb{R}_{\ge 0}\): 夹持于建模上限内的速度请求 \([\text{m/s}]\)。
准入检查（当前状态可行时）：
- 建模停车距离：\(d_{\text{stop}}(v_{\text{safe}}) = v_{\text{safe}} \tau_{\text{delay}} + \frac{v_{\text{safe}}^2}{2 a_{\text{brake}}} + \delta_{\text{loc}} + \delta_{\text{margin}} \le D_{\text{clear}}\)（针对静止障碍物）。
- 非负性：\(v_{\text{safe}} \ge 0.0\)。
算法步骤:
计算可用的物理制动距离： \[D_{\text{avail}} \leftarrow D_{\text{clear}} - \delta_{\text{loc}} - \delta_{\text{margin}}\]
若 \(D_{\text{avail}} \le 0.0\)，则拒绝该提议；若处于静止状态则保持零速，若处于运动状态则请求最大可用的降风险制动响应，并标记已丧失净空。 否则，在接纳另一提议前检查 \(v_{\text{now}}\tau_{\text{delay}} + v_{\text{now}}^2/(2a_{\text{brake}}) \le D_{\text{avail}}\)。 若该检查失败，则请求同样的紧急响应，并标记可行性丧失。 零速度设定值无法立即停止已有的运动。
计算二次判别式： \[\text{disc} \leftarrow (a_{\text{brake}} \tau_{\text{delay}})^2 + 2 a_{\text{brake}} D_{\text{avail}}\]
求解动态速度上限的正物理根： \[v_{\max} \leftarrow -a_{\text{brake}} \tau_{\text{delay}} + \sqrt{\text{disc}}\]
对策略提议施加动态钳制： \[v_{\text{safe}} \leftarrow \min(v_{\text{cand}}, \max(0.0, v_{\max}))\]
返回 \(v_{\text{safe}}\)。
二次不等式将固定限速转化为与净空相关的上限，用于新提议；但该上限仅在机器在每个控制周期开始时已处于可行集内、并能在有界延迟内施加假设的制动力的前提下，才保持停车可行性。 控制屏障函数（CBF-QP）(Ames 等 2019年) 将这一推理推广到满足动力学模型有效、状态估计有效、时序界限成立且所需控制作用可实现等条件的更一般系统；此处的 1D 根则是一种简化的运动学准入检查。 若传感器探测范围退化或延迟超出其上限，许可路径必须在余量耗尽前降低速度，或执行已定义的风险削减回退。
强制这一速度上限，前提是许可路径能够在安全需要时要求驱动系统执行 \(a_{\text{brake}}\) 减速。 然而，要求快速减速需要驱动电机与减速机构突然提供大幅机械扭矩。 若许可路径请求的扭矩阶跃超出执行器带宽预算所能允许的范围，机械本体便无法提供所需的减速，从而使基于模型的制动上限失效，并带来碰撞风险。
执行器传动限制
机电执行器没有错误返回机制。 当策略命令的扭矩阶跃超出磁场可产生的范围，或齿轮齿无法承受的不连续加速度时，执行器会从功率级拉取最大相电流、扭动其轴并使其齿承受应力，而指令寄存器仍持续报告名义执行。执行器可能损坏自身，而不是报告错误。
执行器契约无法用数字设定值来规定。 它必须写在物理接口上，以交付的力、扭矩或质量流量、响应延迟、变化率限制和输出误差来表述。 数字设定值仅仅是一项软件请求；物理动作受绕组电感、母线电压上限、磁饱和和传动弹性所限。
从下达扭矩指令到实际交付该扭矩之间的延迟，始于定子绕组。 由于线圈具有电感，电流——连同扭矩——沿电机的电气时间常数上升，而非瞬时（Systems and Hardware 推导 RL 响应）。 若策略假定扭矩瞬间出现，机械臂就会在能够校正或制动之前，在扭矩上升所需的时间内发生无引导漂移。
面向磁场控制（FOC）在专用驱动硅上合成该转矩，频率为 \(10\text{--}25\text{ kHz}\)。7 转矩与电流成正比（\(\tau = K_t I\)），但电流上升的速率受母线电压余量限制： \[\frac{di}{dt} \le \frac{V_{\text{bus}} - e_{\text{bemf}}}{L}\] 转子旋转时，电机也充当发电机，其反电动势（\(e_{\text{bemf}} = K_e \omega\)）与电源相抗。 在低速时，裕量\(V_{\text{bus}} - e_{\text{bemf}}\)允许电流快速上升，并可获得满幅峰值转矩。 当\(\omega\)接近其基准额定值时，反电动势消耗了裕量，逆变器无论占空比如何都无法再向绕组电感强制灌入电流，因此以硬加速指令的高速策略无法获得它所要求的转矩阶跃。
裕量限制了电流上升的快慢；驱动电子器件则限制了究竟有多少电流能够流过。 功率逆变器施加最大电流上限 \(I_{\text{max}}\)，以保护功率开关晶体管免受热失效，并防止定子铁芯发生铁磁饱和。 当电机经减速比为 \(N\)、传动效率为 \(\eta\) 的机械传动驱动时，可交付输出转矩的上限为： \[\tau_{\text{out, max}} = \eta N K_t I_{\text{max}}\]
钳位回答了停止预算遗留的问题——驱动是否能在许可路径要求时提供 \(a_{\text{brake}}\)——而它是以静默的方式回答的。 高于 \(\tau_{\text{out, max}}\) 的制动需求在功率级被截断，且不会向发出该指令的软件发出任何报告，因此移动底座的实际减速度小于计算停车距离时假定的减速度，并停在其计算边界之外。 因此，可信的减速度仅适用于其建立时所配置的驱动电流限值；对 \(I_{\max}\) 的固件改动会使其失效，直至重新测量，这一依赖关系由 节 1.7 写入其限值记录的条件中。
只有部分被钳位的电流产生转矩，而定向磁场控制通过坐标变换将其分离。 在表磁电机中，只有定子电流产生的磁场与转子磁通垂直的分量才产生转矩，因此驱动器通过编码器读取转子角度，并将三个实测相电流旋转到转子固定的 \(dq\) 坐标系中，其中交轴电流 \(I_q\) 产生转矩，直轴电流 \(I_d\) 与磁通对齐，不产生转矩。 在曲柄行程顶端笔直向下踩踏板，效果相同：使曲柄承受负荷却无法转动。 控制器根据转矩指令调节 \(I_q\)，在基速以下将 \(I_d\) 维持在接近零的水平，并将由此得到的电压写入逆变器的互补脉宽调制定时器。8 除弱磁运行外，直轴电流只会加热绕组而并不驱动关节，白白消耗热裕量（节 1.5）而不产生任何转矩；在弱磁运行中，驱动器会在基速以上故意注入负的 \(I_d\) 以抵消反电动势。
齿轮传动引入了机械上的不对称性。 高减速比关节采用 \(50{:}1\) 至 \(160{:}1\) 的减速比，从紧凑电机获得高扭矩，该设计将输出扭矩放大 \(N\) 倍，却使转子转速比关节快 \(N\) 倍。 反向驱动输出的负载也必须使转子转速加快 \(N\) 倍；由于动能与转速的平方成正比（\(\frac{1}{2} J \dot{\theta}^2\)），转子惯量 \(J_{\text{rotor}}\) 折算到关节侧后，对关节加速的惯性阻力按齿轮比的平方放大（1.2）。
通过 100:1 的传动，50 g 转子向关节呈现 11.2 kg 飞轮半径为 10 cm 的飞轮的转动惯量 (Lynch 和 Park 2017年)。 一个撞击夹爪的障碍物必须通过轮齿传力使该飞轮加速，其齿根在冲击下可能开裂（图 4）。
Definition 1.2: 反射转子转动惯量
反射转子转动惯量（\(J_{\text{ref}}\)）是执行器转子在负载侧关节输出处的表现转动惯量，随传动速比的平方变化： \[J_{\text{ref}} = N^2 J_{\text{rotor}}\]
- 意义：在高减速比传动（\(N \ge 100\)）中，它主导表现负载，限制关节加速度 \(\ddot{q}\) 并决定冲击冲击载荷。
- 区别：与转子转动惯量 \(J_{\text{rotor}}\) 或连杆转动惯量 \(J_{\text{load}}\) 不同，它通过传动刚度与背隙起作用，因此从环境侧反向驱动会遇到 \(N^2\) 屏障。
- 常见误区：碰撞与接触建模中忽略反射转子惯量。 在突遇障碍物冲击下，旋转转子的折算动能会使应力直接集中于轮齿，而此时驱动电流尚未来得及切断。
齿轮传动关节在电机转矩 \(\tau_{\text{motor}}\) 作用下驱动负载惯量 \(J_{\text{load}}\) 的复合运动方程为： \[ \ddot{q} = \frac{N \tau_{\text{motor}}}{J_{\text{load}} + N^2 J_{\text{rotor}}} \] 对齿轮比 \(N\) 求导可知，关节加速度峰值出现在惯量匹配比： \[ N^* = \sqrt{\frac{J_{\text{load}}}{J_{\text{rotor}}}} \] 低于 \(N^*\) 时，关节加速度受扭矩限制。 高于该值后，更多的减速比 反而使输出的加速度 下降，因为电机的大部分扭矩用于加速自身转子，而非连杆。
由于电机无法瞬时输出扭矩以驱动这一放大后的转动惯量，传动机构充当机械低通滤波器，将尖锐的指令弥散为延迟响应，其滞后削弱反馈稳定性并激发结构共振。 因此，控制回路通过五次样条或 S 形速率限制器来塑造期望的运动，使关节加速度 \(\ddot{q}\) 保持在硬件的电流与电压限制之内 (Lynch 和 Park 2017年)。
传动机构还会引入齿隙与柔性，使电机与负载解耦。 在换向时，电机轴先越过机械间隙，随后齿面才啮合到相反侧，而轮齿与柔轮中的扭转柔性（图 3）使连杆成为一个弹性系统而非刚性杆 (Spong 1987年)，其柔性关节模型在 Flexible joint dynamics and singular perturbations 中推导。 不连续的扭矩阶跃会激发这种弹性，并可能使传动机构进入极限环颤振。 电机侧编码器会掩盖死区，因为电机平滑转动而输出保持不动，因此关节位置 \(q_{\text{out}}\) 偏离 \(q_{\text{motor}} / N\) 一个随负载变化的误差 \(\delta_{\text{lost}}\)。 控制器呈现连续跟踪，而末端执行器迟疑后受到一次冲量冲击，当齿合拢时；反复冲击最终导致疲劳断裂(图 4)。
Systems Perspective 1.1: 阻抗控制：接触安全性
阻抗控制 (Hogan 1985年) 将接触视为既非纯位置控制、也非纯力控制。 环境表现为导纳，接受力并产生位移，因此操作机被控制为阻抗，接受运动偏差并生成顺应性力（\(F = Z(v)\)）。 关节的驱动控制器将位置设定值转换为 虚拟弹簧-阻尼系统： \[F_{\text{contact}} = K_p (x_{\text{des}} - x) + K_d (\dot{x}_{\text{des}} - \dot{x})\] 关节随后表现为一种可编程悬架，具有刚度 \(K_p\) 与阻尼 \(K_d\)，在接触时发生让位，并持续限制力足够长的时间，以便高层软件检测到接触并重新规划。
传动方式的选择需要在连续扭矩密度与可反驱性之间进行权衡，而 表 2 对比了该范围中可反向传动与高减速比两端。 摆线减速器介于上述两端之间，其减速比在 \(30:1\) 到 \(100:1\) 之间，比谐波齿轮更能承受冲击。
| 传动 | 齿轮比（\(N\)） | 反射惯性（\(N^2\)） | 对已学策略的启示 |
|---|---|---|---|
| 准直接驱动（QDD） | \(3:1\text{--}10:1\) (\(N \le 10\)) | \(N^2 \le 100\)（低） | 可反向驱动；电机电流感知接触扭矩；可承受冲击。 直接驱动（\(N = 1\)）是其极限，扭矩密度最低。 |
| Strain Wave（谐波驱动） | \(50:1\text{--}160:1\) (\(N \ge 50\)) | \(N^2 \ge 2500\text{--}25{,}600\)（极端） | 零初始齿隙，结构紧凑；扭转柔顺，但在突发的齿剪切冲击下脆弱。 |
这种跨传动比的架构性分野决定了该具身形态的机械透明性与比转矩包络（图 5）。 在直接驱动关节（\(N = 1:1\)）中，例如具有开创性的 CMU 直接驱动机械臂 (Asada 和 Kanade 1983年)，反射惯量可忽略（\(N^2 = 1\)），从而消除了齿隙并实现了完美的机械可反驱性。 然而，由于电动机的输出转矩与定子铜体积和气隙半径成正比，直驱执行器很少超过 \(5\,\text{N}\cdot\text{m/kg}\) 的连续比转矩密度，给机械臂带来沉重、笨重的连杆。 相反，经典工业机器人（如 KUKA LBR iiwa 或 Universal Robots UR5）和高负载工业机械采用高减速比谐波或摆线减速器（\(N = 100{:}1\text{ to }160{:}1\)，即减速比为 100:1 至 160:1）。 虽然高减速比可将连续比转矩密度提升至 \(22\text{--}45\,\text{N}\cdot\text{m/kg}\)，但它会带来极端的折算转子惯量惩罚（\(N^2 \ge 2{,}500\text{ to }25{,}600\)，即折算惯量倍率的下限随减速比从 2,500 增至 25,600），使关节几乎不可反驱。 在意外接触或障碍物碰撞时，高速旋转转子的动能无法反驱电机；应力反而集中在齿轮根部圆角处，可能在数字转矩环介入之前发生灾难性的轮齿剪切破坏。
现代动态物理 AI 平台通过 准直驱（QDD） 驱动架构 (Seok 等 2015年; Wensing 等 2017年; Katz 等 2019年) 化解这一僵局。 通过高比转矩密度无框外转子无刷电机与低单级行星减速（\(N \le 10{:}1\)）配合，QDD 架构将折算惯量倍率限制在 \(N^2 \le 100\) 以下。 这保留了机械透明性，使得逆变器处测得的电机相电流可作为接触力的准确、低延迟代理量——该特性称为本体感知。 正如四足与人形里程碑（包括 MIT Cheetah 3、MIT Mini Cheetah、Unitree Go1/H1 与 Boston Dynamics Electric Atlas）所示，QDD 执行器在爆发性动态动作中安全吸收冲击的同时，实现了高达\(70\text{--}95\,\text{N}\cdot\text{m/kg}\)的峰值间歇扭矩密度。
/var/folders/7g/fkg91tq50f58kfmg7c65747r0000gn/T/ipykernel_91835/361687396.py:327: UserWarning: FigureCanvasAgg is non-interactive, and thus cannot be shown
plt.show()接触主导型手臂要么采用可反向驱动的准直驱（QDD）执行器(Seok 等 2015年; Wensing 等 2017年)，要么在实时扭矩限幅与阻抗控制下运行。
无论采用哪种方案，负载侧的位置或扭矩传感都会揭示由齿隙或轮齿损伤导致的负载侧测量值与电机编码器读数之间的差异，许可路径随后可以拒绝进一步的力指令并进入定义的降级模式。
↳ 下游： 机械齿轮箱的疲劳循环次数决定了强化学习在 试错学习 中的样本效率上限。
接近电流与扭矩限值运行同样具有热力学代价。 每安培电流在加速转子惯量或维持峰值扭矩时，都会在铜绕组中耗散 \(I^2 R\)，该热量积聚在执行器的热容量中，从而限制了峰值扭矩在绝缘击穿前能够持续的时间。
热工作占空比
在机械臂完全伸展至最大伸距时将负载保持静止，对关节式机械臂（如移动操作机器人的机械臂）提出了看似不高、实则具有欺骗性的要求。 要维持静止负载以抵抗重力，定子绕组必须持续通过相电流，从而主动将电能转化为不断累积的热量。热量在数秒内到达，却在数分钟内散出，因此占空比成为首要设计变量。
开关断开后，动量可以重新定向，磁通在数毫秒内衰减，但热量没有快速出口。 热容在时间上积分功率损耗，并保护两个材料阈值（图 6）。 绕组绝缘按 IEC 60085 的等级评定，F 级连续运行热点额定温度为 \(155^\circ\text{C}\)，H 级为 \(180^\circ\text{C}\)；超过其额定值后，漆膜软化，直至相邻线匝短路并烧毁相绕组。 钕铁硼（\(\text{NdFeB}\)）转子磁体在强定子磁场下于 \(80^\circ\text{C}\) 与 \(150^\circ\text{C}\) 之间发生不可逆退磁。
发热源于电流，焦耳耗散将 \(P_{\text{loss}}(t) = I^2(t) R(T)\) 注入定子铜绕组。 该功率在加热绕组的热容与向机壳及周围空气传导之间分配（Systems and Hardware 积分热方程并导出稳态解）。
热容 \(C_{\text{th}}\) 与热阻 \(\theta_{JA}\) 表现得像一个 漏水桶。 焦耳损耗注入其中，铜与定子铁的热容决定桶的容积，\(\theta_{JA}\) 决定排水口，热阻越大排水口越窄。 一次持续数秒的短时发热可迅速抬高温度，但只要温度始终低于绝缘额定温度，系统就能承受这一工况；而持续的保持转矩则会使温度不断升高，直至流入与流出达到平衡，若该平衡点高于额定值，漆膜便会失效。 由于热时间常数 \(\tau = \theta_{JA} C_{\text{th}}\) 的量级为分钟级，而发热过程发生在秒级，耗散起到了低通滤波的作用，稳态温度则由平均损耗与热阻共同决定。
在仿真中训练的策略优化的是转矩作为瞬时、零成本变量的奖励，因此它们可以无限制地保持重物负载、通过共收缩使关节变硬，或在不产生任何后果的情况下跨越接触边界发生颤振。 在硬件上，持续电流以初始速率使绕组发热 \(dT/dt \approx I^2 R / C_{\text{th}}\)，随后传导才建立任何热平衡。 铜的正温度系数 （\(\alpha_{\text{Cu}} \approx 0.00393\text{ K}^{-1}\)）加剧了这一成本。 从 20 °C 到 140 °C 的工程上限，相电阻按 47.2 percent 依 \(R(T) = R_0 [1 + \alpha_{\text{Cu}}(T - T_0)]\) 上升，因此维持同样的转矩 \(\tau = K_t I\) 所耗散的功率增加 47.2 percent，而此时散热效率最低，额外的热量又进一步提高了电阻。
数据手册的热额定值是乐观的，因为它们是在一台不受约束、安装于大散热片并处于自由空气中的电机上测得的，环境温度为 \(20^\circ\text{C}\) 或 \(25^\circ\text{C}\)。 电机安装在密封机箱内，邻近功率电子器件、电池组和其余关节，因而失去对流气流，导致 \(\theta_{JA}\) 升高；在自身绕组通电之前，邻近负载还可能将其局部环境温度提高到 \(45^\circ\text{C}\) 至 \(55^\circ\text{C}\)。 热裕量必须依据在封闭外壳条件下、相邻负载处于其\(P_{99}\)功率耗散时测得的加热与冷却时间常数进行预算。
↳ 下游：热与功率完整性预算的实时遥测数据，由第@sec-nervous-deterministic-fieldbuses 节所分析的确定性现场总线传输。
由于热容量是对功率在时间上的积分，峰值扭矩9或峰值电流额定值若无四个参数即毫无意义：绕组初始温度\(T(0)\)、允许的持续时间\(t_{\text{on}}\)、环境温度\(T_{\text{amb}}\)以及恢复时间\(t_{\text{off}}\)。 一个能够输出三倍连续扭矩的执行器，只有在\(I^2 R\)的积分保持在绝缘限值以下的裕量之内时才能持续输出该扭矩；该裕量从冷绕组起可维持数十秒，而从热饱和绕组起则仅为该时长的一个小部分（1.2）。
Napkin Math 1.2: 冷启动与热启动下的瞬态热积累
问题：初始绕组温度如何影响三倍额定电流突发的持续时间，直至达到绝缘限值？
数学：
- 连续平衡：在 \(I_{\text{cont}} =\) 5 A 下，绕组稳定于 \(T_{\text{eq}} = T_{\text{amb}} + I_{\text{cont}}^2 R\,\theta_{JA} =\) 115 °C，低于限值。
- 峰值突发：在 \(I_{\text{peak}} =\) 15 A 处，耗散上升为九倍，达到 \(P_{\text{peak}} =\) 270 W，其渐近温度 \(T_\infty = T_{\text{amb}} + P_{\text{peak}}\theta_{JA} =\) 715 °C 远高于限值。
- 生存边界：在\(T(t) = T_\infty - (T_\infty - T(0))\,e^{-t/\tau}\)条件下，达到极限所需时间为 \[t_{\text{limit}} = \tau \ln\frac{T_\infty - T(0)}{T_\infty - T_{\text{limit}}}\] 由此得到 56.0 s（冷启动，环境温度为起点）和 20.7 s（热浸泡启动，起点为 \(T_{\text{eq}}\)）。
结论：热饱和关节的突发持续时间比冷启动关节缩短了63.1 percent，因此峰值扭矩无法在不跟踪热历史的情况下进行预算。
对于周期为\(t_{\text{cycle}} = t_{\text{on}} + t_{\text{off}}\)的重复循环，工程上限\(T_{\max} =\) 140 °C设定了一个循环平均功率上限\(\bar{P}_{\max} = (T_{\max} - T_{\text{amb}})/\theta_{JA} =\) 40 W。 在\(t_{\text{on}}\)期间的峰值耗散与\(t_{\text{off}}\)期间的零耗散下，该平均功率判据将占空比\(D = t_{\text{on}}/t_{\text{cycle}}\)限定为 \[D \le \frac{T_{\max} - T_{\text{amb}}}{P_{\text{peak}} \theta_{JA}}\] 此处为 14.8 percent，因此一次 3 s 突发需要恢复 \(t_{\text{off}} = t_{\text{on}}(1 - D)/D \approx\) 17.3 s。 平均值并不约束最热的瞬间。 在固定电阻的一阶模型中，周期峰值遵循 \[T_{\text{peak}} - T_{\text{amb}} = P_{\text{peak}}\theta_{JA}\,\frac{1 - e^{-t_{\text{on}}/\tau}}{1 - e^{-t_{\text{cycle}}/\tau}}\] 而按该判据筛选出的调度，其峰值温度达到 142.7 °C，已超过温度上限，且这还未计入 \(R(T)\) 上升带来的额外温升。 平均功率筛选是乐观的，突发调度只有依据瞬态热点温度轨迹校核通过后才可接受。图 7 区分连续工作制 \(S_1\) 与间歇周期工作制 \(S_3\)，其峰值加速度同时取决于初始温度与冷却时间。
因此，安全微控制器运行一个热观测器，将实测相电流积分到估计热点温度。 当估计值越过上限时，观测器降低电流限值；若限值被突破，则在介质击穿之前以热关断否决该策略。 静态保持显示，观测器为何必须建模铜的反馈（1.3）。
Napkin Math 1.3: 静态保持转矩与热停转降额
问题：随着铜的电阻随温度升高，停转绕组将稳定在何处，以及何种保持转矩在热学上可持续？
数学：
- 停转电流： \(\tau_{\text{motor}} = \tau_{\text{hold}}/(\eta N) =\) 1 N·m，因此 \(I = \tau_{\text{motor}}/K_t =\) 10 A 与冷态耗散为 \(P_0 = I^2 R_0 =\) 80 W。
- 失控（Runaway）：在 \(R(T) = R_0[1 + \alpha_{\text{Cu}}(T - T_0)]\) 下，稳态温升满足 \[\Delta T = I^2 R_0 \left[1 + \alpha_{\text{Cu}}(T_{\text{amb}} - T_0 + \Delta T)\right] \theta_{JA}\] 该式求值为 \(\Delta T =\) 155.32 \(+\) 0.5659 \(\Delta T\)，因此 \(\Delta T =\) 357.8 K 与绕组将稳定在 397.8 °C 附近，远高于其额定值。
- 降额（Derating）：在极限条件下，允许温升为 115 K，因此可持续耗散为 \(P_{\max} = \Delta T_{\max}/\theta_{JA} =\) 63.89 W。 在绕组高温电阻 \(R(T_{\text{limit}}) \approx\) 1.224 Ω 下，该值允许 \(I_{\max} = \sqrt{P_{\max}/R} \approx\) 7.22 A 以及保持 \(\tau_{\text{hold,max}} = \eta N K_t I_{\max} \approx\) 30.7 N·m。
结果（Result）：若无控制，堵转会使绕组温度趋向 397.8 °C，而保持在绝缘额定值以内需要 27.8 percent 的降额，保持转矩从 42.5 N·m 到 30.7 N·m。 连续重力保持属于摩擦制动或配重，不属于堵转电流。
为产生这些热负荷而提供的电流脉冲，同样会加剧上游供电，使负担从铜导体上的热负荷转移到电源母线上的瞬态电流。
电气功率完整性
当移动机械臂急转向以避免碰撞时，每一个驱动电机、关节逆变器和加速器都会同时从同一直流配电母线索取峰值电流。 在仿真中，电流来自理想化电源。 在硬件上，供电受有限容量、源阻抗和瞬态电压稳定性的约束。在运动中掉电的机器会物理失效；供电是一种共享资源。
电源轨电压跌落、再生过压和热积累，是同一有界能量网络在不同时间尺度上的表现。 三者之中，电压响应最快：只要瞬时电流需求超过电源在该时刻能够提供的电流，电压便会在微秒到毫秒量级内跌落。 计算、传感与电机逆变器共用同一母线，因此当策略指令多个关节的协调加减速时，它们电流之和会改变机器上每个节点所获得的电压。
电源无法提供任意的电流阶跃。 每条母线都具有非零的源阻抗10，即电池内阻与线束、连接器和保护开关的电阻之和；大容量电容仅能在局部缓冲高频瞬态。 因此，总电流的快速阶跃会立即使母线电压跌落，其成因包括 \(R_{\text{bus}}\) 上的电阻压降、线束电感 \(L_{\text{bus}}\) 上的感应反电动势，以及局部电容的放电（Systems and Hardware 推导这一瞬态跌落）。 若跌落幅度越过欠压锁定阈值，监督芯片将触发掉电复位，使机器在运动过程中停机。
该复位将电气故障转化为机械故障。 电压监督电路拉低微控制器与栅极驱动器上的复位线，时钟停止，寄存器配置丢失，通信总线浮空。 恰在复位前发出的加速指令在栅极驱动器级失效之前仍保持物理有效。 若驱动器随后浮空，相电流停止，转矩降为零，机体在重力与惯性作用下漂移至工件或硬限位。 若改为通过短接低侧开关进行动态制动，则反电动势（\(e_{\text{bemf}} = K_e \omega\)）会产生一种立即且剧烈的反向转矩，使机械结构在关节限位处受到猛烈冲击。
断电属于不受控的状态跃迁，而非自动回到安全状态。 断电会使执行器处于三种无动力状态之一，即自由滑行、相短路动态制动或弹簧抱闸机械制动，且每种状态各自对应一种不同的机械行为。 电磁式摩擦制动需要 30 ms 到 80 ms 的时间，才能使机械弹簧克服磁线圈衰减并压紧摩擦片；在此期间，重力使上方摆臂向下加速。 相短路动态制动类似于粘性流体阻尼，提供与速度成正比的阻力，但在零速时不产生任何保持扭矩。 自由滑行只是允许重力在无约束下加速关节，不产生任何阻力。 机器在电气切断后所遵循的轨迹必须在满载机械载荷条件下实测，而不能从电路图中推导。 选择机器应进入的哪个安全回退状态属于系统安全架构 安全执行，但无动力关节的物理动力学是身体不可更改的机械约束。
减速使母线趋向其对侧边界，即过压，因为运动质量中储存的动能返回该处。 制动将机械能转换为电能，由供电网络吸收或耗散。 若电源无法接受反向电流，再生能量便可依据 \(\frac{1}{2} C_{\text{bus}} (V_{\text{final}}^2 - V_{\text{initial}}^2) = E_{\text{regen}}\) 为本地直流母线充电（参见 Systems and Hardware）。 该关系在理想化假设下给出仅含电容的端点，而非电压波形。 保护必须在母线超过逆变器与变换器额定值之前将能量旁路。11
电源完整性是一项架构约束。 该设计在加速器与驱动器之间协调设定功率预算和电流变化率限制；权限路径仲裁同时发生的多轴加速，使它们的 \(dI/dt\) 暂态不会叠加；制动斩波器在紧急制动期间保护逆变器免受再生反馈影响。1.4 兼顾该预算的两个方面——轨压的下陷与制动时的再生尖峰——于移动机械手的电池轨。
推理与驱动共同产生的电流阶跃所引起的压降处于满充时轨压的余量以内；从耗尽的电池出发，仅该阶跃引起的持续欧姆压降就足以使轨压降至稳压器的失稳电压界限以下。
Napkin Math 1.4: 直流母线电压跌落与再生过压
问题：在推理突发与驱动电机同时出现的电流阶跃，以及随后从驱动速度上限开始制动停车的过程中，该轨是否保持在稳压器件和电机逆变器的运行限值之内？
数学：
- 参数：
- 机器质量、移动速度、可信减速率：\(m =\) 368 kg（上界，满载料架），\(v =\) 1.5 m/s，\(a_{\text{brake}} =\) 2 m/s²
- 轨线特性：\(V_{\text{rail, nom}} =\) 24 V，线束电阻 \(R_{\text{bus}} =\) 60 mΩ，寄生电感 \(L_{\text{bus}} =\) 2 μH，总线链路电容 \(C_{\text{bus}} =\) 22,000 μF
- 工作限值：负载端稳压器的最低工作电压阈值 \(V_{\text{uvlo}} =\) 18 V，逆变器 MOSFET 击穿 \(V_{\text{breakdown}} =\) 40 V
- 暂降：
- 作为示例性的同时负载，两台驱动电机与机械臂的关节驱动器在该轨线上合计增加 66 A，而应用处理器在该轨线上增加 4 A。 它们的总阶跃量为 \(\Delta I =\) 70 A，历时 \(\Delta t =\) 0.5 ms（\(dI/dt = 1.4 \times 10^{5}\,\text{A/s}\)）。 该示例假设此阶跃期间计算供电轨不具备独立的保持供电能力。
- 暂态电压跌落横跨电阻、电感和电容各项计算： \[\Delta V_{\text{droop}} \approx \Delta I R_{\text{bus}} + L_{\text{bus}} \left(\frac{dI}{dt}\right) + \frac{\Delta I \Delta t}{2 C_{\text{bus}}}\] \[\Delta V_{\text{droop}} = 4.20 V + 0.28 V + 0.80 V = 5.28 V\]
- 满充状态下的最低轨电压： \[V_{\text{rail, min}} = 24 V - 5.28 V = 18.72 V\]
- 供电轨电压相对于稳压器最低工作电压阈值的裕量为 6 V，而模型计算的 5.28 V 电压跌落后，剩余裕量为 0.72 V。 电感和电容项仅在上升过程中存在，而欧姆项随负载持续存在，节 1.9 中的共轨谬误紧随其后，源于耗尽的电池。
- 再生尖峰：
- 从驱动速度上限开始制动停车时，满载机器的动能必须被耗散： \[E_k = \tfrac{1}{2} m v^2 = \tfrac{1}{2}\,(368 kg)(1.5 m/s)^2 = 414 J\]
- 若电池管理系统断开充电输入，且有一示意的动能 75 percent 返回母线（\(E_{\text{regen}} =\) 310.5 J），则无保护、无损耗且仅由电容吸收能量的能量平衡将结束于： \[V_{\text{final}} = \sqrt{V_{\text{rail, nom}}^2 + \frac{2 E_{\text{regen}}}{C_{\text{bus}}}} \approx 169.7 V\]
- 失效机制：母线在到达该终点之前，早已越过 40 V 的开关额定值。
- 制动斩波器的容量设计：
- 在恒定减速度下，再生功率在停车过程中由峰值线性降至零，停车持续 \(t_{\text{stop}} = v / a_{\text{brake}} =\) 750 ms。 该三角形下的面积为 \(E_{\text{regen}}\)，因此 \(V_{\text{clamp}} =\) 30 V 的设计必须应对峰值： \[P_{\text{regen, peak}} \approx \frac{2 E_{\text{regen}}}{t_{\text{stop}}} = 828 W\]
- 将峰值功率旁路所需的最大斩波器电阻： \[R_{\text{brake}} \le \frac{V_{\text{clamp}}^2}{P_{\text{regen, peak}}} \approx 1.09 Ω\]
- 组件筛选：一个标称 1 kW 脉冲额定值的 1 Ω 电阻器是一个候选项。 先核对其 310.5 J 脉冲能量与温度限值、斩波开关的安全工作区，以及针对实际制动曲线的钳位响应，再将该吸收支路视为保护路径。
结果：满充时，重合的阶跃使轨电压达到 18.72 V，仅比 18 V 稳压器最低工作电压阈值高 0.72 V，因此耗尽的电池会抹去裕量。 无缓冲的再生制动会使母线电压超过 40 V MOSFET 额定值，这需要采用动态制动斩波器，其电阻不超过 1.09 Ω，并吸收 828 W 峰值。
系统洞见：机械运动与电功率双向耦合：加速需要电容保持电压以防止欠压，而减速需要主动动态制动以防止硅器件过压损坏。
Checkpoint 1.1: 五个物理预算
在为一台装配好的机器测量这些极限之前，先验证你对五个预算的理解：
测量机器自身的极限
在执行器集成到底盘之前，先在测功机台（图 8）上进行标定。 软件将参数视为配置文件中的标称常量，但在物理系统工程中，一项无法说明其仪器、百分位和样本数量的测量，无法支撑后续论证。
一次测量始于它所将要约束的决策，即权限路径中的决策，这确定了被测物理量、观测点、传感器带宽、分辨率和参考时钟。 例如，要建立移动操作臂可信的减速能力，需要峰值相电流以及从制动指令发出瞬间起的减速轨迹，由一台隔离电流探头以 \(100\text{ kHz}\) 采样、以及共用硬件时间基准的轮速编码器共同捕获；使用一台平均型台式仪表则得不到任何可用的数值。 一台模拟带宽低于电气上升时间的仪表会衰减真实的瞬态峰值，而建立在该峰值之上的裕度，依赖的是测量伪影而非机器本身。
每个探头都会干扰其所观测的过程。 被动电压探头会加载高频走线，串联电流分流器会使母线电压跌落至足以提前触发欠压保护的程度，而电机外壳内的热电偶则会改变其传热路径。 因此，仪表不确定度是一项复合预算，而非校准表上给出的单一容差，它综合了传感器线性度、量化误差、随频率变化的相移、探头加载效应以及采集通道之间的时钟漂移。 当对具有 \(0.05^\circ\) 量化误差的光学编码器以 \(1\text{ kHz}\) 的采样率进行采样，并通过离散后向差分计算关节角速度时，数值微分噪声会引入数度每秒量级的速度方差，该方差完全存在于测量链路中，而非机械关节本身。
脱离其测试语境，任何限值都毫无意义。 每一条已记录的限值都须说明该次运行的载荷、环境温度、供电电压、外壳状态、固件版本以及并发计算负载。 在环境温度为\(20^\circ\text{C}\)的开放台面上测得的热时间常数，可能与同一执行器在阳光下、环境温度为\(45^\circ\text{C}\)的密封整流罩中测得的热时间常数相差一个数量级；而一份省略了电机堵转期间视觉语言模型推理(Brohan, Brown, Carbajal, Chebotar, Dabis, 等 2023年; Brohan, Brown, Carbajal, Chebotar, Chen, 等 2023年)是否正在运行的供电母线表征，描述的是一块闲置板卡，而非完整算力与峰值扭矩的总功耗。
凡规范机器的每个数字，都是直接测量、由测量值经明确模型推导出的数值、数据手册额定值，或举例说明；只有前两类可以支撑安全裕度或超时。 设计师设定的预算，例如保护间隙 \(\delta_{\text{margin}}\)，则属于选定值，只有在核验其符合实测数值所限定的范围之后才产生约束作用（参见读者指南）。
测试期间未发生失效，在统计上界定了失效率；它并不构成安全性。 若移动机械臂在负载条件下完成 \(n =\) 3,000 次停止且未发生欠压或超程，则数据仅能支持每次停止的失效率低于约 \(3/n\) 二十次干净运行能确立什么，即在 95 percent 置信度下约为每 1,000 次停止发生一次失效，且仅当试验相互独立且平稳时。 绕组在连续试验中发热、齿轮发生磨损，会使连续试验彼此相关且非平稳；因此，在较凉的早晨跑同一组停止，对下午的情况毫无说明力，因为此时绕组温度更高、电阻更大、峰值扭矩更低。
因此，表征是一种持续记录，会随着机器老化而重新建立，因为物理极限随运行时间漂移，这一过程称为 全生命周期退化。 制动片摩擦釉化与轮胎花纹磨损会劣化可持续减速度上限 \(a_{\text{brake}}\)；锂离子电池组的化学老化会增大内部直流母线阻抗 \(R_{\text{bus}}\)，加剧动态机动过程中的电压跌落（\(\Delta V_{\text{droop}}\)）；机械齿轮齿面磨损则使 齿侧间隙 \(\delta_{\text{lost}}\) 变宽。
违反后可能造成损害的限值，不以孤立数值的形式保存，而是保存为包含六个要素的 限值记录，其中 表 3 定义并填写了移动机械臂的两个限值：其停车距离所依据的可信减速度，以及其共用控制电源轨上稳压器的掉压阈值。
| 元素 | 该记录陈述的内容 | 可信减速度 \(a_{\text{brake}}\) | 控制电源轨稳压器掉压阈值 |
|---|---|---|---|
| 数值 | 数值或经验分布，连同其样本数以及它所报告的尾部分位数 | 2 m/s²，作为已装载停车的可靠低尾；目前尚无样本 | 18 V 在负载端调节器处；目前尚无样本 |
| 条件 | 此前列出的成立条件，以及任何依赖附着力的极限所对应的表面 | 装载量不超过 368 kg；干燥地面摩擦系数 \(\mu \ge\) 0.204；驱动电流限制按配置执行；轮胎磨损程度与投运验收时一致 | 该限值仅在许可路径由其专用、隔离且具备供电维持能力的电源轨供电时有效；这是 节 1.8 中的设计决策，使得电压越过稳压器掉压阈值时仅复位应用处理器；该轨线上的调节器被假定为具有相同的掉压阈值。 |
| 不确定性 | 各仪表的测量不确定度，连同其观测点与带宽 | 未确定 | 未确定 |
| 裕量 | 分离运行目标与失效阈值之间的工程裕量 | 减速度数值本身不加裕量；大小为 100 mm 的保护性净空距离 \(\delta_{\text{margin}}\) 吸收该数值的误差 | 0.72 V 在满电状态下在同时发生的负载阶跃下的余量；来自耗尽电池的余量没有 |
| 检测器 | 运行中的检查，能在机器运行时捕捉到越界，例如相电流传感器、光电中断检测器或电源轨监视器 | 减速监控器，比较指令减速与来自车轮编码器的实测减速以及 Bosch BMI088 惯性单元给出的减速，每次停车都进行 | 共用轨线上的轨线电压监视器，许可路径以停车动作响应其欠压标志 |
| 来源 | 证据类别，以及产生该值的仪器或模型 | 示例性，取自基座类别画像；将由带载停车试验替换 | 示例性，取自机器的画像；将由同时负载条件下的电源轨特性测试替换 |
上述每一种退化机制都会改变某个限定的条件，因此已部署的机器通过定期重新标定来重建其记录，而不是信任投运验收时测得的数值。 Schiaparelli 着陆器惯性单元曾被接受的饱和时长就是这样一个限定；着陆器在 2016 年的失效表明，当限定的条件在运行中被超出、而下游没有任何环节检查结果时，会随之出现什么。
War Story 1.1: ExoMars Schiaparelli IMU 饱和与高度塌陷（2016）
机制：大气进入约三分钟后，降落伞充气并令着陆器发生振荡。 惯性测量单元测得的俯仰角速率大于预期，并触发了饱和标志，该标志持续的时间长于单元验收时假设的 15 ms。 在标志被置位期间，GNC 软件将饱和阈值速率当作真实速率进行积分，尽管着陆器实际上处于振荡状态，其姿态估计漂移了约 \(165^{\circ}\)，几乎翻转。 当雷达高度计随后返回有效的斜距后，软件将其投影到该姿态上，计算出了负高度。 没有任何机载检查对该高度进行合理性检验。
后果：将负高度视为有效估计，制导逻辑释放了降落伞和背罩，为 \(3\text{ seconds}\) 点火制动喷气器，而非计划的 \(30\text{ seconds}\)，并像已经着陆一样激活了地面系统。 着陆器仍位于表面约 \(3.7\text{ km}\) 的高度。 它自由下落约半分钟，并以约 \(150\text{ m/s}\)（\(540\text{ km/h}\)）的速度撞击地面。
响应：欧洲航天局调查委员会建议在机载软件中纳入稳健的合理性检查，其中包括高度不能为负，且在一秒内不能由 \(3.7\text{ km}\) 变为负值，以及显式处理惯性测量单元饱和的设计，例如在降落伞展开期间抑制惯性测量单元输入。
系统层面的教训：物理实体无法超越其传感器的饱和范围。 当传感器的物理极限（陀螺仪的速率上限或加速度计的动态范围）被超过时，将饱和后的测量值当作有效值进行积分的状态估计器会偏离物理状态。 惯性测量单元验收所依据的饱和持续时间是一个附条件的限值；一旦下降过程超出这些条件，就没有任何检测器在发出不可逆动作之前检查该估计值。
逐项测量并记录后，这五项限值分别按各自的预算条件，逐一描述该实体的预算。 究竟哪一项最先成为约束，取决于机器与指令。
哪一项预算最先成为约束
来自 chunk 策略的一条使已装载的移动机械臂加速的指令，会同时消耗全部五项预算。 它依赖于一帧已经老化的相机帧，它加入制动系统稍后必须耗散的动能，它通过驱动齿轮加速反射转子惯性，它在绕组中沉积焦耳热而散热仅以分钟计，它从同时为应用处理器供电的轨线上取电。表 4 将五项预算并列呈现，给出支配各自的定律、软件训练的策略对它所作的假设、它最先对哪一类机器构成约束，以及回答该问题的设计响应与运行时不变量。
↳ 下游： 此处记录的退化限值，界定了在 权威权移交 中推导出的监督者干预阈值。
移动操作机在一台底盘上承载了两类机器类别的 三类机器，即一类以动量和制动距离优先约束的 Class 1 基座，以及一类以反射惯性、接触刚度和保持热优先约束的 Class 2 机械臂。
第 3 类被控对象以热负荷而非制动距离为约束。 定向能量沉积单元通过激光熔化所送粉末来制造金属零件，在频率为 1 kHz 的控制回路下将功率为 5 kW 的激光束送入熔池，因此每个控制周期向零件中输送 5 J 的热量，无论龙门是否移动。 其极限是熔池及周围零件能够吸收的热量。 控制器在激光仍开启的状态下发生 100 ms 停滞，会输送 500 J，超过满载移动操作机在驱动极限处所携带的 414 J 动能，而任何制动都无法将这部分热量取出。 对于流动主导型被控对象，热耗散与电气功率完整性 决定其能否存活，而较长的热时间常数（\(\tau = \theta_{JA} C_{\text{th}}\)）会掩盖缓慢累积的热量，直到微小的持续过载已经越过绝缘或材料极限。
| 物理预算 / 因子 | 起支配作用的第一性原理与标度律 | 软件幻觉与 硬件真值 | 主要绑定类别 | 系统架构要点与运行时不变量 |
|---|---|---|---|---|
| 1. 测量新鲜度与年龄 | \(\Delta t_{\text{fresh}} \le \frac{e_{\max}}{v_{\max}}\)；端到端时延进行测量，而非由各阶段分位数相加得到 | 幻觉： 高推理速率（\(50\text{ Hz}\)）保证实时响应。真相： 时延自曝光时刻起算；流水线延迟会引入相位滞后（\(-\omega \tau\)）。 | 第 1 类与第 2 类： 侵蚀安全间隙裕量并使高增益接触回路失稳。 | 为帧打硬件时间戳；在电机寄存器处强制\(t_{\text{age}} \le\)预算时延；丢弃过期指令。 |
| 2. 动量与制动距离 | \(d_{\text{stop}} = v\,\tau_{\text{delay}} + \frac{v^2}{2 a_{\text{brake}}} \le D_{\text{clear}}\) | 错觉： 减速度可以瞬时指令。真相： 制动距离按平方增长（\(v^2\)）；动能需要摩擦做功（\(W = F d\)）。 | 第 1 类（移动性）： 首要约束。 速度翻倍，制动项变为四倍。 | 在安全微控制器上以制动预算设定的速率求解间隙二次方程 \(v_{\max}(D_{\text{clear}}, \tau_{\text{delay}})\)；钳制策略速度。 |
| 3. 执行器与折算惯量 | \(J_{\text{ref}} = N^2 J_{\text{rotor}}\); \(\tau_e = \frac{L}{R}\); \(I(t) \le I_{\max}\) | 幻象： 电机扭矩跟踪策略设定值，无机械阻力。 真相： 减速箱使折算惯量达到转子惯量的 \(N^2\) 倍；电感延迟电流上升；冲击阶跃导致轮齿剪切破坏。 | 第 2 类（操作）： 首要约束。 刚性接触会产生极端的\(dF/dt\)力尖峰，并导致齿轮疲劳。 | 对\(C^2\)样条（S 曲线）轨迹速率限制进行强制；采样负载侧光学编码器；部署准直驱（QDD）执行器。 |
| 4. 热限制与占空比 | \(C_{\text{th}} \frac{dT}{dt} = I^2 R(T) - \frac{\Delta T}{\theta_{JA}}\); \(D \le \frac{T_{\max} - T_{\text{amb}}}{P_{\text{peak}} \theta_{JA}}\) | 错觉：电机持续输出峰值目录扭矩。真相：焦耳热（\(I^2 R\)）具有正的热反馈（\(\alpha_{\text{Cu}}\)）；热量在密封外壳中积聚。 | 第 3 类（热）与第 2 类：静态保持会抽取堵转电流，数秒内使线圈过热。 | 在安全微控制器上运行离散的\(I^2 t\)热观测器；当热点模型接近限值时，动态降额速度与扭矩。 |
| 5. 电源完整性 | \(\Delta V_{\text{droop}} \approx \Delta I R_{\text{bus}} + \frac{\Delta I \Delta t}{2 C_{\text{bus}}}\); \(V_{\text{final}} = \sqrt{V_{\text{rail, nom}}^2 + \frac{2 E_{\text{regen}}}{C_{\text{bus}}}}\) | 幻觉： 电源轨表现为无限、理想的电压源。真相： 母线阻抗在计算与电机同时突发的情况下使电源轨电压跌落；制动尖峰则造成过压。 | 1 类与 3 类： 峰值多轴加速度触发微控制器的欠压复位；再生制动尖峰烧毁逆变器 FET。 | 强制实施协同的计算-执行功率预算和 \(dI/dt\) 限值；安装动态制动斩波器；表征无电源回退行为。 |
表格把预算分开列，但机器并不分开，移动机械臂上算出的余量，差异在于单个指令最多能花掉多少。 共享控制轨已经没有任何余量。 从耗尽到 21.5 V 的电池，1.4 中同时发生的阶跃事件使其电压跌落至 17.3 V，低于其调节器的 18 V 掉电，因此其余量已经为负。 一个热浸渍的臂关节，其余量以时间衡量，因为持续的三倍电流尖峰会在 20.7 s 内将其绕组带到绝缘极限。 在 1.5 m/s 驱动极限下的制动距离，仍保留 357.5 mm 的净距离，而只有额外延迟才会消耗这部分剩余净空距离；一个经过热节流的应用处理器会占用其中的 16.5 mm。
由于该电源轨最先成为约束瓶颈，设计上的解决方案是将许可路径移出该电源轨。 安全微控制器、驱动逻辑和弹簧制动线圈由一条隔离电源轨供电，本地储能单元在选定的 2 s 时间内为其供电，足以覆盖许可路径能够指令的最长停车过程（回退阶梯 定义了该停车过程）。 这些负载消耗 70 W，因此保持时间需要 140 J，由 2.025 F 储能单元在电池低电压点和调节器掉电点之间提供。 共享电源轨发生欠压后，应用处理器被复位，而许可路径则顺利通过欠压，标记欠压，并停止机器。 完整的耦合关系——即车体的停车距离决定许可路径授予的租期，而该租期决定 Brain 必须提供的量——在 用于机器整体构造的一个耦合预算 中针对第一部分进行了一次完整计算。
谬误与陷阱
物理极限在子系统边界之间相互影响。 满足每个部件预算的设计，仍可能在热、时序、功耗与运动共同变化时失效。
谬误：模型推理时间决定了测量新鲜度延迟。
某团队对其视觉主干网络进行量化，将推理耗时从 \(30\text{ ms}\) 降至 \(10\text{ ms}\)。 该改进缩短了其中一个环节，但控制器仍依据经过曝光、读出、传输与操作系统队列的测量值进行动作。 指令先经过网络现场总线传输，之后电机线圈电流才上升以产生力。 链路上其他环节的 \(45\text{ ms}\) 传输尖峰，即使推理达到其基准，也可能耗尽余量。 工程预算必须度量从感知到物理响应的真实“光子到扭矩”耗时并约束其尾部，而不是仅凭模型执行时间就宣称该回路为实时。
谬误：软件阶跃指令会立即产生物理扭矩。
一个模拟策略在 \(50\text{ Hz}\) 发出分段常数设定值，并假定执行器会立即跟随每一次变化。 物理关节则通过定子电感（\(L/R\)）和折算转子惯量（\(N^2 J_{\text{rotor}}\)）响应。 一个突发的指令可能超出执行器带宽预算，使逆变器的电流限幅饱和，并在关节完成所需运动之前就剧烈加载传动机构。 这一物理滞后会改变在仿真中习得的反馈行为。 设定值整形与执行器模型必须考虑这些物理时间常数；软件更新率并不决定关节的可达响应。
陷阱：把孤立的组件数据表当作系统层面的运行保证。
工程师用电机的持续扭矩额定值来设定规划器的限制。 该额定值反映的是厂商自由空气测试条件（节 1.5），而非紧邻计算单元处的密封关节条件，因而高估了已安装电机能够持续输出的扭矩。 由于规划器将该额定值视为其扭矩上限，它所生成的每条轨迹都会继承这一误差，而故障往往只在机箱热浸之后才显现，远离导致该故障的设计决策。 规划限制必须源自对完整装配机器在预期环境与冷却条件下的实测结果。
陷阱： 将动态电压与频率缩放（DVFS）视为透明的软件优化。
移动操作机器人的驱动电机使共用底盘发热，直至其应用处理器触发动态电压与频率缩放（DVFS）以降低时钟频率，避免结温过热。 这次热干预将视觉主干网络从22 ms拉伸到33 ms。 额外的11 ms进入观测数据龄期\(t_{\text{age}}\)，并在1.5 m/s驱动极限下，在制动指令能够依据摄像头所见产生之前，向制动预算增加16.5 mm的行程。 电源管理器保护了硅片，但它已悄然改变了制动预算所假设的时序。 原本充足的制动裕量可能不再充足。 因此，热遥测必须为运动预算提供依据：当处理器降频使感知与响应所需时间增加时，移动操作臂的行程速度须相应降低。
陷阱：在不重新计算二次制动距离和热耗散的情况下，扩大作业速度。
反复的高电流制动会使电机绕组发热，因此，移动操作臂在提高后的作业速度下能够承受一次的停车，在通过一个班次重复进行时，可能超出其热约束下允许的工作占空比（热容量预算），此外，制动行程还会随二次方增长，这一点在 图 2 的 案例 3 中由 2 m/s 所示。 较高的运行速度需要重新计算停车距离，并在规划器将该速度视为可用之前，先完成对重复动作的热评估。
谬误：计算加速器与电机逆变器运行于彼此独立、理想化的电源轨。
在移动机械臂上，一次沉重的推理突发与驱动电机将基座推过笼门门槛同时发生。 合并后的 70 A 瞬态电流流经标称电压为 24 V 的共享控制电源轨上阻值为 60 mΩ 的线束电阻，产生 4.2 V 压降。 电池已放电至 21.5 V，电源轨下垂至 17.3 V，低于机载点负载稳压器的 18 V 欠压门限，应用处理器随之复位。 若安全微控制器共用该电源轨，同样的欠压也会将其复位，而此时机器仍带有活动动量，基座与臂将处于 节 1.6 的无电状态，而非受控停止。 计算与执行分别划分的软件预算，忽略了二者对同一电气供电的物理依赖。 功率资格验证必须测试来自耗尽电池的并发峰值负载，负责使整机停止的控制器必须由其自身具有维持供电能力的独立电源轨供电(节 1.8)。
谬误：通过孤立的单变量台架试验，就保证在复合运行压力下的物理生存能力。
机械臂在\(20^\circ\text{C}\)空调实验室中通过最大载荷试验，在\(45^\circ\text{C}\)热室中通过空抓手试验。 这两项试验均未确立其在更热环境下、以耗尽电池供电时承载该最大载荷的能力。 在这些叠加条件下，重物负载会抬高绕组电阻损耗，更热的外界环境会削弱系统散热能力，而更低的供电电压使反电动势上方的余量减少，从而限制转速与电流变化率。 因此，各子系统都可能在单独的隔离试验所暗示的时限之前，更早接近其失效极限。 因此，资格验证必须对装配后的机器施加载荷、温度与电池状态的现实组合，而不是将单次测试通过视为关于组合条件的证据。
摘要
物理本体设定了学习模型提出的每项提案所消耗的各项预算，机器运行期间这些预算均不可重新协商。 一个运动质量无法以超过其可信减速度所允许的速率耗散动能，一个绕组无法以超过其热阻所允许的速率耗散热量，一次观测不可能比从传感到扭矩的路径更年轻。 该章将物理本体归结为五类此类预算，每一类都是许可路径在接纳一条指令之前可以核查的量，并且每一类都以界限而非典型值的形式进入该路径（即 按时移动指令 所区分的百分位与界限之别）。 每一项物理限幅都依赖于所声明的运行配置，并在其发生变化时失去效力，因此该章将每一项都作为限幅记录保留，记录其条件、不确定性、裕量、检测器与来源。 停止距离或热时间常数无法由器件数据手册直接引入安全论证；载荷、表面、冷却、供电电压或磨损发生变化时，时序、力或能量预算复用该限值之前必须先重新测量该限值。 机器上计算出的裕量中，共用的控制轨最先耗尽，因此许可路径运行在由其自身具有维持供电能力的独立电源轨供电的硬件上。 在移动操作臂处于其 1.5 m/s 行驶速度上限的条件下，制动、固定开销与制动触发已经在 1.10 m 的总可用距离中消耗了 742.5 mm，剩余 357.5 mm 留给感知与计算延迟、制动曲线，以及后续各章加入的跟踪误差界限。
要点回顾: 物理本体与不变预算
- 观测年龄自转导起算：观测年龄自传感器积分光或通量时开始，而非自推理开始；端到端尾部并非各阶段尾部的简单相加。 许可路径将硬件时间戳与其预算允许的观测年龄上限进行比较，并拒绝过期提案；对于被跟踪的移动目标，该年龄上限为 \(e_{\max}/v_{\max}\)。
- 速度决定了停止包络：盲行距离随制动前延迟线性增长，制动距离随速度平方增长，因此可行驶速度是 \(d_{\text{stop}} \le D_{\text{clear}}\) 的正根，并在净空或延迟发生变化时重新计算。
- 齿轮传动以扭矩换取响应性：齿轮比 \(N\) 将折算转子惯量乘以 \(N^2\)。 超过惯量匹配比之后，继续增大传动比会降低关节加速度，并把冲击应力集中于齿轮齿面。
- 热量是一个积分状态：焦耳损耗以秒为单位进入，以分钟为单位离开，铜的电阻温度系数将其反馈回去。 峰值扭矩额定值若不给出其初始温度、持续时间、环境温度和恢复时间，便毫无意义。
- 电源轨是共用的：驱动器与应用处理器共用同一电源轨，因此由驱动器与应用处理器同时取电而在耗尽电池供电下产生的电流阶跃可能越过其调节器的欠压阈值，而未钳制的再生制动也可能摧毁为其制动的逆变器。 必须使机器停止的控制器因此由独立的电源轨供电，该电源轨维持供电的时间足够长，确保共用电源轨的欠压不会在整机停止完成之前使控制器复位。
- 限值是一条记录，而非一个数字：限值只有在具备其条件、不确定性、余量、检测器与证据类别时，才支配一项决策；当磨损、发热、新的载荷或新的构建改变了这些条件时，该限值即失效。
脚注
分位数卷积：一般而言，延迟之和的分位数不同于各阶段在相同百分位水平下的分位数之和（\(Q_p(X + Y) \ne Q_p(X) + Q_p(Y)\)）。 独立性本身并不能使它们的算术和成为最坏情况上界。 来自共享总线与队列的关联会改变端到端尾部延迟，必须在系统边界处加以刻画。↩︎
Bode 延迟定理与相位裕度: 纯传输延迟 \(\tau_d\) 会在不改变环路增益幅值的情况下引入不可回避的频率相关相移滞后 \(\Delta \phi = -\omega \tau_d\) 弧度。 在闭环反馈系统中，这种相移侵蚀会劣化相位裕度（\(\text{PM} = 180^\circ + \angle L(j\omega_c)\)）；一旦 \(\tau_d\) 在增益穿越频率 \(\omega_c\) 处将裕度侵蚀至零，闭环极点便会越入复平面的右半平面，使物理被控对象失稳为破坏性的极限环振荡。↩︎
IEEE 1588 gPTP: 通用精密时间协议（gPTP）通过在网络芯片（媒体访问控制 [MAC] 物理层）层直接交换硬件打时间戳的报文，实现以太网网络中的亚微秒级时钟同步。 在硬件中捕获时间戳，可将操作系统调度器的抖动排除在测量之外。↩︎
MIPI CSI-2: 移动行业处理器接口相机串行接口 2（MIPI CSI-2）是一种高带宽、高速差分协议，用于以最小延迟将未压缩的视频数据直接从图像传感器传输到主机片上系统（SoC）设备。↩︎
ISO/TS 15066 分离距离：ISO/TS 15066（第 5.5.4 条），在 ISO 13855 基础上，为速度与分离监控（SSM）规定该防护性分离距离： \(S = (v_r \cdot T_r) + (v_h \cdot T_r) + S_r + S_s + C\)，其中 \(T_r\) 为最坏情况处理延迟，\(S_r\) 为制动行程，\(C\) 为净距余量（\(100\text{--}200\text{ mm}\)）。 对于运行于协作式人类工作空间中的学习策略，若不约束计算尾延迟，就会直接增大 \(T_r\)，从而扩大所需的分离区，并迫使保护性提前停车。↩︎
运动学速度根: 将恒定的空间项分组为可用的物理距离 \(D_{\text{avail}} = D_{\text{clear}} - \delta_{\text{loc}} - \delta_{\text{margin}}\)，得到二次不等式 \(\frac{1}{2 a_{\text{brake}}} v^2 + \tau_{\text{delay}} v - D_{\text{avail}} \le 0\)。 乘以 \(2 a_{\text{brake}}\) 得到 \(v^2 + 2 a_{\text{brake}} \tau_{\text{delay}} v - 2 a_{\text{brake}} D_{\text{avail}} \le 0\)。 应用求根公式并取正的物理根，即定义动态速度上限。↩︎
面向磁场控制（FOC）电流环：电流环运行于驱动器自身的控制器，而非运行策略的处理器，因此策略发出的转矩指令只能以电流环和母线余量所允许的上坡方式到达绕组。↩︎
逆变器死区时间：逆变器半桥中两个开关均处于关断状态的、由硬件插入的短暂区间，因此同一桥臂的上桥臂开关与下桥臂开关不会同时导通并短路直流母线，这种故障称为直通（shoot-through）。↩︎
执行器间歇工作制限制：机器人电机数据表显著地宣传峰值扭矩（\(\tau_{\text{peak}}\)），但该额定值严格属于间歇工况，其可维持时长取决于绕组的起始温度。 持续动态机动必须依据连续均方根扭矩\(\tau_{\text{cont}}\)进行预算，否则激进的神经策略指令将触发热保护并导致肢体在运动过程中塌陷。↩︎
电源分配母线阻抗：具身直流母线的集总源阻抗为 \(R_{\text{bus}} = R_{\text{cell}} + R_{\text{harness}} + R_{\text{switch}}\)，即电池电芯、线束与连接器以及保护开关导通态电阻之和。 一次电流尖峰 \(\Delta I\) 会使母线电压跌落 \(\Delta V = \Delta I R_{\text{bus}}\)。↩︎
动态制动斩波电路：跨接在直流母线上的功率开关与低电感制动电阻。 当再生能量将母线推高至比较器阈值之上时，开关导通，电阻将多余能量以热的形式耗散，从而将母线钳制在逆变器与变换器硅片的击穿额定值之下。↩︎