神经系统
神经系统
目的
是什么迫使一个独立的神经系统位于 审慎型神经策略 与物理执行器功率之间？
移动机器的动量在神经策略完成推理期间无法暂停。 高容量基础模型与电机功率级之间的直接连接，使执行器暴露于操作系统调度抖动、垃圾回收停顿以及内存总线争用。 当软件线程等待 DMA 传输时，机械联动机构在无管理的惯性下滑行，磁通量衰减，动态平衡在软件运行时能够抛出异常之前已经恶化。 软件任务优先级无法抢占硬件内存饱和或机械速度；物理稳定性需要周期确定性的实时控制。
神经系统通过将审慎规划与高频执行器换相解耦，来消除这一不匹配。 作为独立的、周期确定性的看门人，它持续验证观测新鲜度，并独占逆变器功率级的写权限。 神经系统通过将物理装置的制动预算转化为刚性时间租约与控制屏障约束，限定了任何提案能够引导运动的最长时间，直至其到期。 如果神经策略延迟、失败或输出了不安全的轨迹，神经系统就会介入，在机器违反其安全包络之前制止运动。
↰ 前置条件： 硅基域隔离在物理上强制施加 因果边界 所定义的因果边界。
学习目标
- 根据物理动力学与允许响应延迟确定控制更新率
- 评估基于学习的提议方与许可路径之间提案交换的新鲜度以及有界传输时间
- 区分实测延迟百分位与实时执行的可辩护最坏情况界
- 评估硬件隔离，确保在所学策略或通信失败时保留执行器权限
- 将提案的租期设定在提议方的续期周期与制动预算所余的刹车前时间之间
- 以同类证据，将某一次交接处的接口故障诊断为超预算限额
- 构造交接记录条目，使每个接口限额都具备其条件、证据类别与限额类型
多速率桥
本书所介绍的仓库移动机械臂每秒数千次调节其电机绕组中的电流，而提出抓取传送带上那只马克杯的 经学习训练的模型 则需要相差几个数量级更长的时间，才能消化每一帧摄像头图像。（参见 认知脑） 若 审慎推理 与电机调节共享一条阻塞式执行路径或未分区内存总线，则任何神经网络延迟都会挤占物理控制。 移动质量与电磁线圈的物理规律提出了严格的架构要求：大脑需要时间进行审慎思考，而身体需要持续的控制才能存活。
在标准计算机系统里，工作负载在通用操作系统下共享处理器、缓存与内存互连。 当神经网络通过共享内存总线流式传输多 GB 权张量时，它会饱和直接内存访问交叉开关，1 且没有任何线程优先级能够抢占已占用总线的硬件事务。 如果垃圾回收暂停、缺页异常或热节流使神经网络引擎停摆，一个未分区（unpartitioned）的系统就会停止向电机逆变器发送设定值。
认知脑 确立了机器上每个学习到的提议者，将相机帧转换为提议所需的时间。 电磁电机线圈的电时间常数（\(\tau_e = L/R\)）以毫秒的分数计，而移动连杆则携带动能（\(E_k = \frac{1}{2} m v^2\)）。 因此，延迟或算错电流指令，可能在推理完成之前耗尽物理余量。 在移动机械臂上，这种不匹配表现为两种形式：
- 基座（Class 1）以最高 1.5 m/s 驱动上限巡航（示意；参见读者指南），因此在一次耗时 40 ms 的块策略推理期间行进 60 mm，在一次耗时 160 ms 的意图模型推理期间行进 240 mm；在那段时间内，除非有提议者以外的进程在监视，否则没有任何东西让它制动。
- 机械臂（Class 2）通过其减速器传递反射转子惯性（\(N^2 J\)）；如果其高频率阻抗回路在 夹爪接触门闩或杯子时被中断，那么该惯性会把接触力推过其上限。
软件纪律、操作系统线程优先级和运行时异常处理机制本身无法保证装置安全。 安全需要一套显式的、确定性的计算、存储与通信体系结构。 该体系结构是五级机器（《五层机器》）的神经系统，并承载权限路径。
每一条跨越 审慎推理与物理执行之间的信号通道，都受五项接口限制约束，节 1.8 逐项列出这些交接。 将它们调和起来，需要一种架构：既能在微秒级周期确定性（\(1\text{ kHz}\) 到 \(20\text{ kHz}\)）下保持控制器相位裕度，又维持无锁异步解耦，避免缓慢的神经推理阻塞内层控制回路；同时隔离执行器写入与主机崩溃，将执行权限限制在授权路径上，并在提案的 chunk 租约到期时请求一个经验证的本地响应。
第一个决策是这两项负载在哪里执行。 节 1.2 所述的分离使推理脱离定时执行器路径。 节 1.3 的设计随后预算了二者之间的交换，并确定了结束陈旧提案权威的租期；节 1.4 限定了命令到达驱动器所需的时间。 剩余各节定位执行器权威、故障隔离与不变量检查，并以交接记录和一份预算结束第一部分，该预算将本章的租期与 物理身体、认知脑 的限值耦合起来。 每个机制都必须使物理装置在提案者暂停时留下一个经过测量的、可行的响应。
权限路径的执行位置
两种计算体制在一个物理人工智能系统中相遇，而它们几乎没有什么共同之处。 第一种机制是 审慎推理（deliberation），即学习得到的模型评估感知上下文、推断环境状态，并提出未来的行动计划。 第二种机制是 反应式约束执行（reactive enforcement），即确定性控制逻辑采样关节、校验运动学限位、插值运动指令，并向电机调节电流。
审慎推理工作具有深层计算图、较大的内存占用，以及可变的执行时间。 一个处理多路摄像头视频流、触觉历史与自然语言提示的 视觉-语言-动作模型，需要在数百个神经网络层之间执行数十亿次乘加运算。 存储参数与中间激活张量需要数 GB 高带宽内存。 为了达到可接受的算术吞吐量，审慎推理计算在大规模并行加速器（如 图形处理器（GPUs）或专用的 神经网络处理器（NPUs））上执行。 这些处理器在宽向量寄存器与批处理内存流水线之间最大化总体吞吐量，代价是确定性延迟直接受损。 内存访问停顿、动态张量核选择、总线传输以及运行时内存管理，使推理执行时间分散在很宽的分布上。 若 审慎推理模型出现暂时延迟，其失效是软的：规划流水线会输出延迟的提议或过期的轨迹，该提议或轨迹可被保持或丢弃，而许可路径则维持稳定平衡。
反应式工作受相反的约束。 计算逆动力学、关节限位监控或磁场定向电机控制的内部控制回路，每个更新需要数千次算术运算。 其内存占用是静态的，以千字节而非吉字节计，所有变量均在编译期分配于紧密耦合的片上静态内存中。 反应式例程运行于按周期计数设计的微控制器或现场可编程门阵列（FPGA），其设计目标是有界的执行时间，而非最大的并行吞吐量。 本工作所遵循的截止时间由物理系统的机械惯性与电气电感所决定的硬实时约束，通常在 \(1\text{ kHz}\) 到 \(10\text{ kHz}\) 的速率下运行，更新预算为 \(100\,\mu\text{s}\) 到 \(1000\,\mu\text{s}\)。 若反应式循环错过其执行截止时间，该失效属于硬实时失效，因为电流调节丢失会引发严重的转矩脉动、执行器饱和或机械碰撞。
学习推理的运行时取决于内存访问模式、缓存驻留、动态张量形状和硬件预取，因而执行时间是随机的。 一条推理流水线可以满足其平均截止时间，同时仍会在其延迟尾部错过个别截止时间。 在每秒几十次请求的速率下，即使超期概率仅为百分之一以下，每小时也会产生大量超期，每一次超期都是一个区间，在此期间电机执行器未收到更新后的指令，除非有一个独立的确定性过程来弥合这一缺口。2
通用操作系统与实时内核补丁（PREEMPT_RT）无法在共享处理器上协调这两种执行轮廓。 尽管实时扩展允许设置静态任务优先级并使用可抢占内核，它们仍无法消除微架构资源的共享。 当执行学习模型的线程在内存总线上流式传输数 GB 的权重矩阵时，它会驱逐属于高优先级控制任务的缓存行。 若 审慎推理运行时触发 地址转换后备缓冲器（TLB）的跨核失效操作3、进入驱动级自旋锁，或以直接内存访问（DMA）请求填满内存总线交叉开关4，硬件流水线即陷入停顿。高优先级实时中断可以抢占软件执行，却无法抢占正在共享内存交叉开关中进行的硬件突发事务。 此外，动态电压与频率缩放（DVFS）调速器依据热耗散和处理器利用率调整核心时钟频率，从而动态改变指令周期时间（谬误与陷阱 量化了由此造成的行进距离代价）。 由此产生的抖动范围从数十微秒到数毫秒，轻易超出 \(1\text{ kHz}\) 控制环路的整个时间预算。共享资源争用 衡量这些通道各自在共享裸片上延伸多远。
两侧各自的接口硬件使这种分离具体化。 运行加速器的主机处理器通过高延迟总线拓扑（如 PCIe 或系统片上交叉开关）进行通信，其中 DMA 传输需要环形缓冲区同步、主机中断服务程序及缓存一致性握手，这些机制使每笔事务消耗 \(10\,\mu\text{s}\) 到 \(100\,\mu\text{s}\)。 相比之下，嵌入式微控制器或专用实时电机控制 IC（图 1）通过内存映射寄存器、单周期输入输出引脚，以及零等待状态的紧密耦合静态存储器，直接与传感器收发器和功率级接口。 通过串行外设接口（SPI）读取绝对关节编码器，或更新磁场定向控制的脉宽调制计数器，所需的有界执行时间少于 \(1\,\mu\text{s}\)，且与系统总线的争用相互隔离。5
在双处理器实现（图 2）中， 审慎规划与反应式执行 不共享处理器核心、缓存层次结构或公共内存总线。 较慢的随机路径运行于并行硬件（Linux 主机应用处理器与张量加速器），针对宽数据流的原始吞吐量进行优化；较快的确定性路径运行于隔离硬件（裸金属微控制器或 FPGA 核心），针对最坏情况执行时间和按周期计数的可预测性进行优化。 在移动操作臂上，授权路径运行于安全微控制器（MCU）。 分立芯片是一种实现；若已证明授权路径的响应时间界限与故障遏制在单个裸片上成立（同一芯片上的两条路径），单个裸片也可承载授权路径。
物理人工智能中的安全性是硅片上的架构分区，而非操作系统调度优先级。 高吞吐量的 审慎推理引擎严格充当不可信客户端，而专用实时硅片充当硬件把关者。 该分区决定每个工作负载在哪一侧运行，但两侧时钟分离、速率相差多个数量级，且每个提案仍须跨越两侧，而任一侧都不得等待另一侧。
多速率节拍
移动操作机器人的驱动器每 \(50\ \mu\text{s}\) 调节绕组电流，而其 chunk 策略需要 40 ms 的 P99 延迟，才能将相机帧转换为一个动作 chunk。 没有任何单一执行频率能同时兼顾机体的物理动力学与感知和推理的成本，因此物理 AI 机器运行着若干耦合的节拍（cadence）图 3，每一套节拍由不同的物理过程决定。 移动操作机器人运行四个节拍。 驱动器中的电流环以 \(20\text{ kHz}\) 运行；安全微控制器上的许可 tick 以 \(1\text{ kHz}\) 运行，并承载关节环与所接纳样条曲线的评估；chunk 策略以 20 Hz 运行，由感知在其传感器处的速率供给；意图模型以 5 Hz 修订目标。 后两个节拍位于 Brain 的 \(1\text{--}50\text{ Hz}\) 推理速率 学到的表示 之内。
↰ 前置条件： 微秒级中断延迟要求建立于 五个物理预算 引入的传感器新鲜度界之上。
内环速率由执行器的物理时间常数与机器结构共振决定。 对于具有电时间常数 \(\tau_e=L/R\) 的执行器，定子绕组电流在该时间间隔内响应所施加的电压。 对于具有 \(L/R=0.5\text{ ms}\) 的示例绕组，每个电时间常数取十个电流采样点，得到 \(T_s=50\,\mu\text{s}\)，即 \(20\text{ kHz}\)。 关于绕组 \(L/R\) 的推导，参见 Systems and Hardware。 在关节层面，机械时间常数与结构刚度决定了所需的闭环带宽；而离散采样保持环引入的相移与计算延迟和采样间隔成正比。6 在假设的关节环穿越频率 \(20\text{ Hz}\) 下，\(1\text{ ms}\) 的采样保持间隔贡献 \(\Delta\phi=-(2\pi\cdot20)(0.001)/2\approx-3.6^\circ\) 的相移。 若允许的采样侵蚀量为 \(5^\circ\)，则间隔必须低于约 \(1.39\text{ ms}\)；\(1\text{ kHz}\) 是在计入计算与传输延迟之前的一个可行取值。
较慢的控制回路会侵蚀反馈控制器的相位裕度。 累积的相滞使校正力矩与物理连杆运动不同相，将负反馈稳定转化为正反馈放大。 在相同的 \(20\text{ Hz}\) 穿越频率处，\(500\text{ Hz}\) 回路额外引入约 \(7.2^\circ\) 的采样保持滞后，超出 \(5^\circ\) 的允许量。
感知（为 chunk 策略提供输入）以中间速率执行，该速率由光子采集物理、曝光窗口以及目标相对传感器视场的速度共同决定。 在一个示意性场景 \(300\text{ lux}\) 中，以 15 ms 曝光时长计，底座在其 1.5 m/s 驱动极限下移动 \(\Delta x = v\,T_{\text{exp}} =\) 22.5 mm；像平面模糊还取决于场景或目标的深度距离、光学与相机运动。 曝光信噪比、该位移量以及处理时间共同界定了该任务下可用的感知速率上限。
chunk 策略的速率选取在 供给、新鲜度与内存墙 于应用处理器上测得的更新延迟之内。 在移动操作臂上，以 20 Hz 的频率进行的更新与一个 16 路点 chunk，使得动作 chunk 化策略 (Zhao 等 2023年) 的 chunk 地平线 \(H\) 衔接了观测与执行速率。
由于这些节奏在隔离的硬件域上以不同频率执行，跨速率边界的通信必须是异步、非阻塞且零拷贝的（图 3）。 如果某个 \(1\text{ kHz}\) 控制回路等待由 \(20\text{ Hz}\) 神经网络运行时持有的互斥锁，那么操作系统中的单次调度延迟会立即导致实时控制器错过其截止时间。
基线非阻塞交换使用 单生产者单消费者（SPSC）seqlock 邮箱 位于共享静态内存中。
Definition 1.1: 无锁 seqlock 缓冲区
无锁 seqlock 缓冲区 是一种非阻塞共享内存同步机制，它将原子序列计数器与显式硬件内存屏障耦合起来，使无特权写入者无需阻塞即可发布跨多个机器字的轨迹载荷，并让并发读取者通过计数器奇偶校验来验证载荷完整性： \[c_{\text{start}} \equiv c_{\text{end}} \pmod 2 \quad \text{and} \quad c_{\text{start}} = c_{\text{end}}\] 其中，计数器为奇数表示写入者正在活跃地修改数据，而完全相同的偶数计数器对则确认了一次未被损坏、无竞态的载荷读取。
- 意义：将高频率的实时控制回路（\(1\text{ kHz}\)）与可变延迟的神经策略处理过程（\(10\text{--}50\text{ Hz}\)）解耦，无需互斥锁，从而避免操作系统优先级反转导致硬实时截止时间违约。
- 区别：与在争用期间挂起线程执行的互斥锁或信号量不同，seqlock 读取者永不阻塞；若检测到冲突或撕裂读取，读取者会在有界的执行预算（\(O(1)\) 时间）内保留其先前已验证的轨迹样条曲线。
- 常见陷阱：在载荷访问处遗漏双向硬件内存屏障（
DMB OSH/DMB OSHLD在 ARM 上），致使乱序处理器流水线在初始序列计数器校验之前推测或提升内存加载。
写入方、不可信的应用处理器使计数器变为奇数，将完整提案复制到共享槽位，使载荷在互连网络上可见，随后通过释放排序使计数器变为偶数。 读取方、权限路径在每个许可节拍内只尝试一次有界的复制。 若计数器在复制前为奇数，或在复制过程中发生变化，则拒绝该尝试；否则，仅在校验和与新鲜度检查通过后，才将该复制提升为其活动样条，因此被拒绝的读取不会改变活动样条，读取方也永远不必等待写入方。 由于写入方是一个可抢占的用户空间进程，而非内核线程，因此写入中途被停止的写入方可能使计数器无限期保持奇数；读取方随后只在其样条的租约到期前，保留其最后一次验证过的样条。 一个三槽位发布变体，如 图 3 所示，在写入方编排另一个槽位时，保留一个完整的已发布槽位可用，代价是需要执行原子槽位发布并管理读取者的槽位所有权。 完整的单槽位协议，包括弱序处理器所需的内存屏障，见 Real-Time Fieldbuses and Lock-Free Synchronization。
邮箱自身的冲突既罕见又廉价。 只有当读取与写入重叠时才会发生冲突，而每次分片周期内写入仅占用该槽位微秒级时间。 若写入方与读取方的时钟相互漂移，则只有很小比例的读取发生冲突；若二者锁定在不利的相位上，则一次读取可能与每次写入都发生冲突。 无论何种情况，只要写入远短于一次读取节拍，就不可能跨越两个相邻的读取，因此检测到奇数或已变化的计数器时，读取方会丢弃一次尝试，并保留其最后一次校验过的样条。 因此，一次冲突的代价是一拍的新鲜度。
样条租期可以持续多久，取决于被控对象本身，而非邮箱。 在不可逆定律（原理 The irreversibility law）下，停滞提案每保留一毫秒的权威，都是后续检查无法召回的行程，因此租约必须从停止预算中支付。
Napkin Math 1.1: 租赁规模由制动预算确定
1. 机械动量 留下的余量：
- 以可信的减速度\(a_{\text{brake}} =\) 2 m/s²制动需要\(v^2/2a_{\text{brake}} =\) 562.5 mm，即制动项@eq-body-stopping-distance；定位与防护净距\(\delta_{\text{loc}} + \delta_{\text{margin}}\)需要150 mm；制动启动\(T_{\text{act}} =\) 20 ms需要30 mm。
- 因此，停车预算已占用 1.10 m 净距中的 742.5 mm。
2. 制动前上限：
- 制动力开始之前发生的一切，都必须容纳在制动项与开销所留下的距离、在速度 \(v\) 下所允许的时间之内： \[\tau_{\text{delay}} \le \frac{D_{\text{clear}} - \delta_{\text{loc}} - \delta_{\text{margin}} - v^2/2a_{\text{brake}}}{v}.\] 此处右端为 258.3 ms，而制动启动已经耗用了其中的 20 ms。
3. 租赁路径（停车预算第 4 行）：
- 停滞方案保留其授权，直至所选分块租赁 \(T_{\text{lease}} =\) 60 ms。 许可路径在其下一个节拍上注意到过期，\(T_{\text{tick}} =\) 1 ms，停止指令在此后一个总线周期到达驱动装置，\(T_{\text{bus}} =\) 1 ms。 三者中的每一个都进入 \(\tau_{\text{delay}}\)。 关节回路的相位裕量设定节拍；每毫秒为 1.5 mm 时，停止预算可以承受。
- 该行增加 \(v\,(T_{\text{lease}} + T_{\text{tick}} + T_{\text{bus}})\)，即以 1.5 m/s 的速度在 62 ms 内行进的距离，为 93 mm。 运行总量由 742.5 mm 升至 835.5 mm，剩余 264.5 mm。
- 从最后一次有效续期到制动开始，机器耗时 82 ms，而上限中仍为 176.3 ms，留给后续章节添加的项。
- 租约既有下限，也有上限。 分块策略每 50 ms 发布一个新分块，并预留 5 ms 的续期抖动余量；任何短于 55 ms 的租约都会让健康提议者的自身分块过期。 选定的 60 ms 略高于该下限。
系统洞见：分块租约是停止预算中的一个项，而非出于方便而选定的超时时间。 为它每增加一毫秒，在驱动极限处就要付出 1.5 mm 的停车净距，而这段距离正是观测年龄与规划器停止曲线所必需的。
最坏情况是：提议者在人出现的前一帧续期租约，随后心跳保持在线却陷入停滞。 没有任何读取显示该人物的帧，制动仅在租约到期后加一个 tick、一个总线周期和制动启动时间才开始；该帧自身的年龄，由 传感器感知 度量，会累加到该时间上。 许可路径可以在不观察该人物的情况下为这一情形提供上界，因为强制执行机制（即许可路径的检查循环）读取编码器、IMU 以及提案头中记录的证据时间，而不是原始观测。
三个计时器守护这次交换，每个回答一个不同的问题。 租约 chunk 界定了被接纳的提案允许驱动执行器的时长；只有新的提案可以续期，其长度来自制动预算，即此处所选的 60 ms 介于续期下限与制动前上限 1.1 之间。 心跳 heartbeat 报告应用处理器仍然存活。 它以 100 Hz 运行，超时时间为 30 ms，快于提案者，且其沉默会撤销提案，无需等待租约到期。 它从不续租 chunk 租约，因为一个仍在运行的进程可能仍然发布不出任何可接受的 chunk，所以租约界定了那些保持存活但停止发布可接受 chunk 的宿主。 自看门狗 证明权限路径本身正在完成其检查；权限循环仅在完成一个 tick 后向其提供输入，若超过 5 ms 未收到输入，它就会触发，因此，即使定时器中断持续触发，强制执行机制的停滞仍会触发自看门狗（节 1.6）。
租约通过 提案头 得到执行，即每个提案中使授权路径无需信任其作者即可对其作出判断的部分。 就含义而言，该表头承载序列号、提案所依据的观察的证据时间及其该时间的转换误差、签发时间、有效期、提案所派生的父记录的引用、坐标系、载荷类型和校验和。 与之对应的最小载荷即一个 chunk，承载路径点数量，以及每个路径点的关节位置与关节速度。 它不携带力矩，因为学习得到的提议指定的是运动学设定值(学到的表示)，力矩由许可侧的跟踪器据此计算。 提议的证据截止时间是其证据时刻加上许可路径所接受的最大证据年龄，该上限由 传感器感知 给出。 提议仅驱动执行器，直到其失效时间与证据截止时间两者中较早者，无论是否收到任何取消请求。
↳ 字节布局： 提议头与分块载荷的字段、类型与偏移量见 Proposal header and chunk payload。
每一条跨越提议边界的记录，其时刻均以安全微控制器的时钟为准。 位于另一时钟上的生产者使用带版本号的映射进行换算，并携带该映射的误差界，消费者将其加到它所检查的每一个年龄上。 日历时间仅出现在日志和发布结论的有效期中，从不出现在年龄测试中。
跨越边界的记录由三个不同字段分别防护三种不同的故障。 对头部和载荷的校验和能检出意外损坏；它无法证明这些字节由谁写入。 对派生它的记录的摘要确立了谱系；它同样不是认证器。 带密钥的标签仅出现在发送方身份本身赋予权威性的位置：经由网络到达的操作员指令（对一次干预进行身份认证）、取证日志（可信运行日志），以及离线证据和发布制品（故障清单、《发布清单》）。 学习模型提出的提案不带密钥标签，因为权限路径依据内容而非来源放行，而受损提案者持有的密钥将认证不了任何东西。
读取端的可能故障可分为四类（表 1），其中没有任何一类会让已失效的记录生产者阻塞许可路径。 这些类别可防止交换过程发生阻塞；但它们本身并不能约束被控对象的危险行为，因为每一类所选择的回退动作仍需有界时序和经校验的停止。
| 失败类别 | 读取端检测条件 | 物理系统回退动作 | 有界响应 |
|---|---|---|---|
| 撕裂 / 写入或传输尚未完成 | \(c_{\text{start}}\) 为奇数 或已更改的 \(c_{\text{end}}\) | 拒绝当前快照；使用可接受的先前分块或回退 | 一次有界的尝试；测量持续时间 |
| 格式错误 | 校验和或配置的命令约束失败 | 驳回提案；改用独立校验的备用方案 | 测量检查与响应 |
| 陈旧 | 提案过期或证据截止（本地时钟） | 终止跟踪授权；进入与当前状态匹配的回退流程 | 来自设备预算的截止期限 |
| 缺失 | 序列缺口 | 记录审计缺口；独立评估当前记录本身是否符合要求 | 在一个节拍内置位标志 |
速率失配会引入三种失效模式：相位滞后累积、混叠和缓冲区饥饿。 在离散到连续的转换中，零阶保持（ZOH）在整个规划周期内保持设定值恒定 \(T_{\text{plan}}\)，输出分段常数的位置步长，而非平滑轨迹。 这一阶梯量化引入了固有的半采样周期相位滞后 \(\Delta \phi = -\frac{\omega T_{\text{plan}}}{2}\)。 在 \(10\text{ Hz}\) 直接将原始规划器航点送入内环电机回路，会产生 \(50\text{ ms}\) 的未补偿相位延迟，从而恶化跟踪裕度并激发未建模的机械共振。 在锁定的航点接缝处，实时执行器可以采用五次多项式桥接，使两端的位置、速度和加速度连续匹配。 这六个端点条件（而非节拍频率）赋予接缝 \(C^2\) 的连续性，并在 \(1\text{ kHz}\) 处求值所允许的桥接，提供相应的速度与前馈加速度设定值。
↰ 前置条件： 对动作分块进行的高频关节插值建立在 供给、新鲜度与内存墙 中的提议生成器之上。
混叠发生在高频传感器噪声折叠进低速率估计器时，系统通过模拟抗混叠滤波器和数字抽取7（位于高速微控制器域内）加以抑制。 经典稳定性保证 (Slotine 和 Li 1991年) 假定内环执行抖动严格有界，且设定点在轨迹缓冲区耗尽之前到达。 许可路径通过周期确定性的微控制器中断和缓冲区深度跟踪来强制这些条件。 若规划器停滞且缓冲区达到其最终有效航点，许可路径将拒绝过期提议，并请求其已验证的局部减速或保持。
四种节拍下的“执行超时”含义各不相同。 电流环在驱动器中运行，抖动预算为微秒量级，此处检测到故障会在硬件层面切断扭矩。 在 1 ms 许可节拍上，执行超时是一种选择已验证本地停止的故障，而样条仅在自身租约与停止裕量范围内持续有效。 移动操作臂上该分块策略的 40 ms 推理时间是 P99，属于统计量而非最坏情况界；该节拍之所以仅维持 60 ms 分块租约，是因为它每 50 ms 续期一次，处于租约期内；若执行超时将续期推迟至租约之外，租约即告失效。 当意图模型执行超时时，其目标会过期，机器进入状态匹配的回退模式，依据当前被控对象状态保持或停止。
每一个定时节拍都是一项截止时间，而租约预算假定每个周期内 许可节拍、总线周期和制动启动都能如期达成。 这一假定需要给出从执行者检查到驱动器之间每一步的最坏情况界，而更快的处理器或更长的延迟测量都无法提供这样的界。
按时移动指令
实测延迟分布并不能确立最坏情况时序界。 在统计性能分析中，工程师测量某任务的一千万次执行，记录第九十九百分位（\(P_{99}\)）延迟为 \(135\,\mu\text{s}\)、最大观测延迟为 \(150\,\mu\text{s}\)，并据此推断该计算 能够留有充足裕量地满足 \(1.0\text{ ms}\) 控制截止时间要求。 这一推断并不成立。 经验分布记录的是有限测试期间实际发生的情况，而一个硬实时上界必须在分析所容许的每一种硬件状态中都成立。 当执行平台包含乱序执行流水线、共享缓存层次结构、预测式预取器以及并发直接内存访问流量时，有限的延迟样本无法确立上界。 缺失的尾部事件并未消失；它们在罕见的微架构冲突下显现，例如并发 DMA 突发传输和缓存行淘汰恰好与关键中断同时发生，这类现象会在生产运行压力下显现。
要确定最坏情况响应时间，必须为所有影响任务响应时间的项设定上界：基础计算时间、因等待共享临界区而花费的阻塞时间，以及来自高优先级中断或内存总线争用的干扰时间。8 如果这三项中的任何一项缺少经过分析的上界，那么无论基准测试中的平均延迟看起来多么小，该系统的最坏情况响应时间都没有上界。
↳ 下游： 确定性的现场总线抖动界为异构部署提供了执行基线，参见 共享资源争用。
对这些项进行定界，首先按“最坏情况是否可定界”对每一项执行方差来源进行排序。有界来源 可以给出精确上界，其中包括固定流水线指令、轮转总线仲裁、零等待状态紧密耦合存储器，以及裸金属微控制器上的向量中断派发。经实验表征的来源（例如行锁下的末级缓存缺失、写缓冲器排空、DRAM 刷新，以及主动冷却下的热节流）无法从基本原理推导定界，但可以在锁定的硬件配置下通过压力剖析加以包络。无界来源 不存在有限的最坏情况。 它们包括按需分页下的页面故障、缺少优先级继承的抢占式线程调度（轶事案例 1.1）、碎片化自由链表上的堆分配，以及未调度的 DMA 流量；一条硬实时安全路径必须消除其中每一个。
War Story 1.1: 火星探路者号优先级反转（1997）
机制：一个高优先级线程（bc_dist）分发关键航天器总线遥测数据，而一个低优先级线程（ASI/MET）通过共享的互斥锁保护的管道采集气象传感器数据。 当ASI/MET持有互斥锁时，中优先级任务会抢占它。 由于这些任务的优先级高于气象线程，它们使其在bc_dist阻塞等待它持有的互斥锁期间无法运行，形成无界的优先级反转。
影响：高优先级的总线分发任务错过了其截止时间。 当bc_sched任务启动下一个总线周期并发现bc_dist尚未完成时，飞行软件重置了计算机。 已收集的数据经受住了每次复位，但复位会反复出现，直到软件被修改。
应对措施: 工程师使用 VxWorks 事件追踪，在一份航天器地面复现中重现了该复位问题，随后上传了一个补丁，使互斥信号量启用优先级继承 (Sha 等 1990年)。
系统层面的教训: 中优先级任务阻止了低优先级互斥锁持有者运行，因此高优先级的总线任务无法继续推进。 优先级继承让持有者完成运行并释放互斥锁。 在电机控制路径中，工程师必须为这类阻塞时间（\(B\)）设定上界，或者从周期关键交换中移除共享锁。
同样的分类也适用于动态内存，它并非在硬实时时序路径上被绝对禁止。 采用通用堆分配器（malloc/free）遍历碎片化空闲链表时，其查找时间取决于分配历史，因此是无界的。 固定大小块池或两级分离适配（TLSF）分配器具有常数时间 \(\mathcal{O}(1)\) 界，可置于实时路径上。 权限路径的最严格设计是 零分配静态架构，其中每个缓冲区、环形队列和状态变量均在编译时放置，完全不运行内存管理。
承载指令的总线会贡献最坏情况响应时间的干扰项 \(I\) 与阻塞项 \(B\)。 赫尔曼·科佩茨（Hermann Kopetz）在事件触发与时间触发通信之间 (Kopetz 2011年) 划出了决定这些项是否有界的区别。 在事件触发通信中，例如标准 CAN，节点在其本地状态变化时发送，因此总线负载不可预测，单个故障节点可能向共享介质灌入虚假流量，即“喋喋不休者”故障。 时间触发架构（TTA）同步全局时钟，并为每个节点分配时间分片调度（TDMA）中的独立时隙，一旦时钟同步、故障行为与完整调度得到验证，传输干扰即被限定。 工业机器人通过专用现场总线硬件（图 4）实现这一确定性层，该硬件经硬件分布式时钟（DC）同步的以太网帧将实时控制器耦合到 I/O 与驱动终端。9
在移动操作臂上，候选通信链路按其在系统中的位置分类。 SPI 承载关节编码器、电流采样转换器和栅极驱动器的板级流量，其时序在固定的传输调度下受到约束。 CAN-FD 适用于底盘与电池管理流量，其中仲裁与重传必须在给定的流量与故障模型下进入响应时间上界。 EtherCAT 将一个周期帧依次转发通过所有伺服节点，TSN 以太网则适配连接相机流与控制流量的骨干网。 这些上界都不属于某个协议名称。 各项均取决于所配置的设备、布线与调度，因此需要回答的问题是：许可路径的伺服轴是否落在其总线周期之内。
Napkin Math 1.2: 现场总线序列化先于可调度性
1. CAN-FD 序列化与仲裁延迟（9 轴，每轴 64 字节载荷）： - 比特率：\(1.0\text{ Mbps}\) 仲裁阶段，\(5.0\text{ Mbps}\) 数据阶段。 - 每帧比特数：\(1.0\text{ Mbps}\)（\(32\,\mu\text{s}\)）32 位仲裁/CRC 开销，\(5.0\text{ Mbps}\)（\(102.4\,\mu\text{s}\)）512 位载荷，加上帧间间隔 \(\approx 6.0\,\mu\text{s}\)。 - 每轴传输时间：\(t_{\text{tx}} \approx\) 140.4 μs。 - 对于循环轮询的 9 轴：9 \(\times\) 140.4 μs \(=\) 1263.6 μs（\(=\) 1.264 ms）。 - 结果：总线利用率超过 100 %（\(\rho \approx\) 126.4 \(> 1.0\)），因此，即使尚未计入处理时间，该调度方案中的 9 个帧也无法在一个 1 ms 总线周期内完成传输。 若负载降为 32 字节（\(t_{\text{tx}} \approx\) 89.2 μs），总线总时间为 802.8 μs（80.3 利用率）。 该降载后负载仍需仲裁、错误/重传余量、竞争帧以及响应时间分析；并不存在通用的 70 %利用率阈值来确定可调度性。
2. EtherCAT 边传输边处理（9 轴，菊花链环）： - 比特率：\(100\text{ Mbps}\) 全双工快速以太网（\(10\text{ ns/bit}\)）。 - 单个标准以太网帧在一次传输中承载全部 9 关节指令与传感器回传。 - 帧序列化时间：28.2 μs。 - 节点转发延迟：9 个从机专用集成电路（ASIC）控制器跳数，每跳 \(0.6\,\mu\text{s}\) \(=\) 5.4 μs。 - 建模帧序列化时间加上 9 个转发跳数：\(T_{\text{bus}} =\) 28.2 μs \(+\) 5.4 μs \(=\) 33.6 μs。 - 结果：这些建模总线项占用 3.36 的周期，剩余 966.4 μs 未被本总线计算分配。 主从处理、信号传播、时钟同步、重试、应用计算与执行器响应仍会占用端到端截止时间。
系统洞见：对于机器的 9 个轴，每轴 64 字节，仅靠 CAN-FD 序列化就超出了 1 ms 规定的总线周期；而 EtherCAT 帧与转发开销则仍留有容纳其他工作的余量。TSN 以太网 可以在单条物理链路上承载千兆级摄像头视频流和微秒级伺服帧，但前提是它的时间门控队列必须在每个交换机上完成配置与验证，以确保视频突发流量不会与时间关键的控制时隙发生冲突。
实时可靠性无法通过购买更高的时钟频率，或在空闲实验台上测量统计延迟分位数来实现。 可依赖性需要对执行路径进行结构性分析：消除全部无界方差源（\(I_{\text{unbounded}} = 0\)）、限定共享硬件阻塞（\(B\)）、强制零分配静态内存布局，并选择具有周期确定型分布式时钟的现场总线（图 5）。
虽然带宽决定了给定时间间隔内有多少字节可以跨越总线，但同步抖动（\(\sigma_{\text{jitter}}\)）——即分布式节点采样传感器与施加执行器设定值的时间点的最坏情况时间变化——决定了多轴物理系统能否维持稳定的动力学接触。 在多轴机械臂与足式人形机器人中，面向磁场的控制（FOC）切换逆变器脉宽调制（PWM）栅极于 \(20\text{--}40\,\text{kHz}\)，要求所有关节驱动器实现亚微秒级相位同步（\(\le 1\,\mu\text{s}\)），以避免相位畸变、可听声频共振与破坏性转矩脉动。
在 图 5 所涵盖的四个十年通信标准演进中，传统串行协议（Modbus RTU）与载波侦听优先级仲裁总线（CAN 2.0B、CAN-FD）在总线负载较重时表现出毫秒级的非确定性排队抖动，因而仅适用于低速率遥测与监视指令。 实现动态物理人工智能所需的亚微秒同步，必须依赖硬件调度的时间触发架构：即工业以太网上的实时处理（processing-on-the-fly）配合硬件分布式时钟（EtherCAT、EtherCAT G），或 IEEE 802.1AS/Qbv 时间敏感网络（TSN）。10 这些架构将时钟对齐锚定于硅 PHY 时间戳，在数十个协同执行器之间实现低于 100 纳秒的抖动，并将高带宽神经网络策略直接接入硬实时电机逆变器。
对于机器的 9 个伺服轴，EtherCAT 帧传输与逐跳转发时间占总线周期的百分之 3.36。
/var/folders/7g/fkg91tq50f58kfmg7c65747r0000gn/T/ipykernel_91853/3450059910.py:265: UserWarning: FigureCanvasAgg is non-interactive, and thus cannot be shown
plt.show()一条有界路径会在其周期内把每条指令送达驱动器，但它并不在乎所承载的是哪些指令。 哪台处理器有权把指令放到该路径上，以及该处理器首先必须检查什么，属于权限问题而非时序问题。
执行权限
移动操作机的权限，是指写入驱动其基座与臂绕组的驱动器寄存器并输送机械功率的能力。 在一台结构正确的机器中，该权限被完全集中于确定性实时安全监管单元（图 6）。
应用处理器上的学习型基础模型或轨迹规划器，对写入 PWM 定时器寄存器、设定栅极驱动器电流参考值，或切换控制定子绕组电流供给的电机桥臂使能引脚，均无任何物理权限。 相反，高层软件生成无特权轨迹提案（\(p_t\)）。 这些提案经由内存传输接口传递至安全微控制器，该微控制器充当严格的硬件守门人。
↳ 下游： 执行器覆盖掩码寄存器实现了 《控制权限日志》 中定义的硬件抢占层级。
微控制器持续评估物理安全不变量：验证指令关节位置位于物理可达包络内，验证关节速度不超过认证限值，并验证预测的减速过程所需的停止距离始终安全地处于动态可用停止净空之内（\(d_{\text{stop}} \le D_{\text{clear}}\)）。 若提案满足全部不变量，微控制器授予执行许可，将航点插值到高频率电流参考值(\(u_t\))，并写入物理栅极驱动寄存器。 若提案无效或已过期，安全监管单元撤销许可(\(\bot\))，并要求受控减速或保持。 独立的硬件跳闸区可在故障时移除驱动转矩；断开开关本身并不能制动运动中的质量11。
拒绝本身需要付出相应的物理代价。 若安全监管单元拒绝一项无效提案，并命令高速运动的关节实施动态制动，则该制动路径必须具备足够的扭矩、间隙和热容量，以制动该质量。12 在长达数百毫秒的制动时间内，构成该路径的绕组电阻、制动电阻或摩擦，必须在 热工作占空比 的热限制内吸收该关节的动能，而不得损坏绕组绝缘，也不得让质量滑行越过其间隙。
依据 因果边界 确立的因果边界，安全监管单元将异常提案的成因视为无关紧要。 操作系统守护进程中的远程内存漏洞、诱导模型幻觉的对抗性相机扰动，以及神经矩阵乘法器中的算术溢出，都会产生同一个边界事件：一个非法的提案包。 由于安全监管单元针对来自光电编码器和电流分流器的物理传感器反馈评估不变量边界，而不是检查神经网络权重，因此它无需了解某个提案出错的原因；而主机无法直接写入执行器寄存器，也就无法绕过它。 针对已被攻破的主机的防护，仍然依赖于独立的传感、正确的限幅模型、执行器能力以及可行的降级方案。
为防范安全监管单元自身的内部硬件故障或微控制器闩锁，系统引入了带外监督通道和物理断开装置。 这些通道由不可编程的模拟电路、硬接线的紧急停止蘑菇头按钮，以及双通道安全继电器组成；后者独立于全部数字逻辑切断电机逆变桥的供电，采用 Safe Torque Off（图 7，IEC 61800-5-2），从而物理中断栅极驱动偏置，阻止产生转矩的定子电流。13 这些断开装置会牺牲可用性。 重新给跳闸的高压直流母线供电，需通过限流电阻对逆变器滤波电容进行预充电，因为闭合接触器时，空电容产生的浪涌电流足以焊死其触点；预充电需要数百毫秒，电机控制才能恢复。 因此，断开开关以可用性与主动控制为代价，换取故障响应；其机械后果取决于制动器、负载和储存的能量；只有当该开关与主控制器之间不共享任何隐藏时钟、电源轨或硅器件时，它才可能在主控制器失效时动作。
因此，该权限是导线与寄存器层面的物理事实，而非软件权限，Brain 并不持有其中任何一项。 该权限仅在安全监管单元独立于向其提交提案并由其拒绝提案的处理器时，才能保护动力单元； 若两者共用时钟、电源轨或内存总线，则提案侧的故障可在从未写入驱动器的前提下使安全监管单元失效。
硬件隔离
应用处理器与权限路径之间的独立性是一项常常无法通过首次验证的论断。 系统架构通常将二者标注为隔离，因为软件任务在独立进程、容器或虚拟机分区中执行。 验证该论断意味着检查四条共因路径：具有独立指令流水线的独立执行硅片、来自隔离晶振的独立时序基准、来自独立调节器的隔离电源轨，以及不共享动态随机访问存储器芯片或互连仲裁总线的隔离内存域。14 任何共享的底层介质都需要故障分析，以证明其无法在所述失效模型下攻破独立的权限路径。
共享的电气与物理基础设施会形成跨域失效模式，绕过全部软件访问控制。 在移动机械臂上，应用处理器与权限路径共用同一块电池，但不共用同一轨线。 权限路径运行在隔离轨 哪一项预算最先成为约束 上，由 2 s 支撑；因此，共享 24 V 控制轨的跌落低于其稳压器的 18 V 掉压阈值（电气功率完整性）时，只会以欠压标志的形式传递到它。 在共享硅片封装或公共散热片上，应用处理器上的持续计算负载会使结温升高到 \(105^\circ\text{C}\) 以上，从而在相邻的实时核心中触发热节流或硅片关断。 当通信依赖仲裁式接口（如共享的外设互联或内存总线）时，高带宽的视觉流水线或行为异常的直接内存访问控制器都可能使总线带宽饱和，导致权限路径无法获得编码器反馈与传感器遥测数据。 即便是共用的时钟振荡器也会构成一个未纳入预算的单点故障源：热漂移、机械振动或晶体开裂会在同一时刻使两个域失去同步。
共享轨上的瞬态会波及所有从中取电的负载；权限路径则依靠自身隔离且有保持供电的电源轨，在瞬态扰动期间继续运行。
权限路径必须区分提议者的两种失效模式：无响应与损坏。 无响应发生在推理流水线挂起、调度截止时间被错过，或操作系统内存碎片化阻塞执行时，表现为不产生输出。 权限路径通过 节 1.3 的心跳检测它，而该心跳必须由应用处理器在超时之前经由隔离通道送达。
损坏发生在提议者完全活跃并通过了心跳截止时间，却生成了运动学上不可能的设定值、不连续的速度请求，或因分布外视觉输入或矩阵溢出而产生的数值无穷大。 约束强制器通过两套相互独立的机制来应对这两类失效。 缺少新鲜分片或心跳漏拍会在其计时器到期时撤销该提案；而损坏则会触发对畸形提案包的即时不变量拒绝。
分片租约与主机心跳彼此独立。 当应用处理器仍然存活但已停止发布可接受分片时，驱动器本会持续跟踪最后一条已接受设定值，机器也会继续按照没有任何一方续期的提案运行，直到约束强制器检测到租约到期并开始减速。 在因果边界处强制租约（因果边界）限定了该区间。 对于移动操作臂，节 1.3 将该区间定标为制动预算的一项，并计入制动前时间上限所限定的预算。15 心跳可以报告该进程仍然存活，但它无法续期一个已过期的小块，且其周期与提议者的无关。 只有分片策略的续期频率足够高，才能保住租约；节 1.8.1 说明了意图模型为何不行。
计时器馈送只能证明馈送路径已运行。 在 Bookout v. Toyota（2013）中，原告专家主张，一个计时器中断持续为看门狗服务，而其他任务可能已经失效 (Barr 2013年)；这属于庭审中报告的机制，而非电子故障导致所有受调查车辆意外加速的结论。
当租约到期或约束强制器拒绝一个已损坏的提案时，权限路径会执行明确的降级策略，而不是无条件的断电，因为断电会把一个正在运动的执行器交给其驱动落入的任意断电状态 (电气功率完整性)，而其中没有任何一种状态是受控停车。 降级遵循由权限路径内部计算得到的确定性状态层级。 对最后一条已验证轨迹的可选短暂续行仅在满足以下条件时允许：其分块租约仍然有效，且其停车余量可行。 到期之后，任何进一步的保持或航位推算 \(T_{\text{hold}}\) 都会进入 \(\tau_{\text{delay}}\)，并且必须适配租约路径与制动触发在驱动限处留下的 176.3 ms 制动前上限（1.1）；若剩余各项的实测界限无法适配，约束强制器必须更早开始制动。 若通信未在该预算内恢复，许可路径将请求利用 执行器传动限制 中确定的可用扭矩与热预算进行受控减速。 仅当间隙与制动能力仍足够时，它才会完全静止。 重力负载的机械臂可能在运动被制止后，需要额定机械保持制动器。
一旦物理装置完全、静止地停住，架构会在恢复自主提案权限之前执行 恢复握手。 安全微控制器在其拥有的状态字中置位持久的 FAULT_HELD 闩锁，并报告精确的物理静止姿态 \((\mathbf{q}_{\text{rest}}, \dot{\mathbf{q}} = \mathbf{0})\)。 应用处理器必须清空其过期的动作分块，清除其自回归键值（KV）注意力缓存，重新摄取带有新硬件时间戳的新鲜光学观测，并发布重新同步的分块提案。 微控制器在释放故障闩锁并向电机驱动器重新施加脉宽调制（PWM）之前，会验证新提案的初始航点与物理静止状态在严格的空间容差（\(||\mathbf{a}_0 - \mathbf{q}_{\text{rest}}|| \le \epsilon_{\text{sync}}\)）内一致。
↳ 下游： 实时现场总线故障恢复状态机通过硬件故障注入在 硬件故障注入 中验证。
验证这些隔离边界是否按设计工作，需要在测试台上进行物理证伪。 必须针对物理原型执行四种具体的故障注入试验：电源轨下陷测试（注入最大斜率的电流阶跃，以验证轨间串扰噪声小于 \(50\text{ mV}\)）、时钟毛刺注入（验证独立定时域在频率漂移下保持稳定的周期计数）、通信总线泛洪（饱和链路，以验证心跳遥测保留确定性的传输时隙），16 以及数值故障注入（流式注入含 NaN 与无穷浮点的合成提案，以验证单周期拒绝且不产生执行停滞）。
因此，独立性是相对于已识别的共因故障加以验证的，而不是从方框图中直接读出；约束已停止提案者的租约，来自检测与执行延迟之后仍然保留的停止余量。 两种防御都约束了停止或失效的提案者，这留下了一个开放问题：以约束强制器自身速率运行的提案者是否仍然需要单独的校验。
不变量检查
为边缘加速器编译的运动策略与紧凑的视觉运动模型，每 \(2.0\text{ ms}\) 可发出一条新的执行器指令，这诱使设计者让策略直接写入电机寄存器。 速率匹配并不赋予权威性。 一个以 \(500\text{ Hz}\) 输出力矩的神经网络，与一个以 \(5\text{ Hz}\) 生成航点的大型模型，受同样的统计不确定性支配；即便策略与安全强制执行模块共享同一个 \(2.0\text{ ms}\) 周期，网络的输出仍然只是一个提案，必须通过 《五层机器》 的提案边界，才会改变绕组中的电流。 将未经验证的策略置于快速回路中，会使被控对象暴露于三种失效模式。计算欠载 发生在抖动使推理超出执行截止时间、功率级因而缺少有效设定值时。分布外力矩尖峰 发生在网络从未见过的输入导致单个周期内出现不连续力矩反转时。结构极限环 发生在未建模的柔顺性或传感器滞后与策略耦合形成共振时。 许可路径对每一种情况都进行一项检查，且该检查落在其自身的截止时间之内：欠载运行采用超时检查，尖峰采用针对上一周期的力矩与变化率限值，极限环则采用能量预算（Passivity and Energy-Bounded Interaction）。 接纳或修改候选指令的投影属于 安全集作为条件许可，其中可以基于控制屏障函数构建。
同样的推理也适用于唯一未被学习出来的提议者。 远程操作员是第三位提议者。 其指令通过同一条许可路径，网络延迟消耗同样的一份制动前预算（人类对执行机构的权威）。 无论是速度还是人类来源，都不赋予提议以权威；只有通过许可路径的各项检查才赋予权威，而每项检查都消耗下一节逐次交接所铺陈的预算的一部分。
Checkpoint 1.1: 硬件隔离与实时不变量检查
在转向提议者与执行器之间的交接之前，先验证你对该交换过程、硬件隔离以及预执行不变量防护的理解：
交接矩阵
当移动操作臂越过停止位置时，诊断首先定位故障，该故障位于其相机采集的光子与其驱动器交付的电流之间的五个规范交接之一。 在上游，传感采集将原始换能器信号传输至感知处理流水线。 感知产生中间表示，并融合为估计的世界状态。 该状态输入学习得到的策略，以产生行动计划。 该计划向安全强制执行模块提交候选轨迹。 最后，经批准的指令由安全强制执行模块传至物理执行机构。 在每个边界上，五项接口限制决定可行性：延迟（\(\tau\)）、带宽（\(\beta\)）、能耗与散热（\(\mathcal{E}\)）、确定性（\(\sigma_t\)）以及故障域隔离（\(\mathcal{F}\)）。 五项交接与五项接口限制构成一个五乘五矩阵，将每条信号路径映射到机器的物理预算。 这些限制不同于机体的五项预算 五个物理预算，后者主要通过其延迟与能耗两列进入该矩阵。 本节产生的记录，即 交接记录，消耗 测量机器自身的极限 的限制记录，其中也包括以相同格式给出的提议方限制 认知脑。
《表 2》中的示例分配标出了各交接处哪些限制属于设计限制，其数值为选定的预算，而非实测值。 该矩阵汇总了第一部分全部三章的预算，以及 《五层机器》 置于边界处的传感器采集。 在边界行（\(\mathcal{H}_1\)），世界转化为测量之处，带宽与延迟首先成为约束，因为原始的多摄像头像素经由 SerDes 通道传输，而曝光窗口在序列化开始之前为图像年龄设定了下限。 大脑行（\(\mathcal{H}_2\)、\(\mathcal{H}_3\)）首先受能量与延迟约束，即 认知脑 所确立的推理开销。 身体行（\(\mathcal{H}_5\)）首先受确定性与发热约束，因为 物理身体 的电流回路必须按时运行，而它们提供的每一安培电流都会使绕组与功率级发热。
神经系统行（\(\mathcal{H}_4\)）是连接大脑与身体的架构性桥梁。 学习规划器与安全强制执行模块之间的提议边界（《五层机器》）承载一个动作提议（\(p_t\)），其由紧凑的样条参数化或航点片段构成。 对于本网格所假设的紧凑载荷，\(\beta < 100\text{ kB/s}\) 已预留预算，因此该边界上带宽不构成瓶颈；延迟、确定性（\(\sigma_t\)）与故障域隔离（\(\mathcal{F}\)）才是约束。 许可路径通过非阻塞邮箱和有有效期限的租约，将随机提案隔离开来。 在移动操作臂上，延迟上限由分块租约决定：它在驱动上限（节 1.3）处在 258.3 ms 的制动前时间上限中占用 60 ms，并且每个分块都在一个 1 ms 许可节拍内被接纳或拒绝。 隔离依赖于专用总线、独立的振荡器，以及@sec-nervous-hardware-isolation 中具有隔离和保持供电能力的电源轨。
按照 因果边界 所界定的因果边界视角，当物理人工智能系统发生故障时，故障表现为某个特定交接单元处的未预算上限穿越，而非学习智能的抽象缺陷。 交接诊断必须比较同类证据。 对于 \(\mathcal{H}_2\) 状态估计路径，假设工程师分配了 \(30.0\text{ ms}\) 延迟预算，并在基线硬件在环运行中测得 \(P_{99}=24.5\text{ ms}\)，采样余量为 \(+5.5\text{ ms}\)。 热节流后，实测的 \(P_{99}=85.0\text{ ms}\) 相对于该设计预算为 \(-55.0\text{ ms}\)。 决策是减少或重新分配工作负载，并在重新验证的同时保留独立强制执行。 一个 \(P_{99}\) 采样诊断出该回归；它并非最坏情况时序证明。
| 规范交接边界 | 延迟上限（\(\tau\)） | 带宽限值（\(\beta\)） | 能耗与散热上限（\(\mathcal{E}\)） | 确定性上限（\(\sigma_t\)） | 故障域隔离（\(\mathcal{F}\)） |
|---|---|---|---|---|---|
| \(\mathcal{H}_1\): 传感采集 \(\to\) 感知 (边界) | 约束 \(\tau \le 16.7\text{ ms}\)（曝光与读出决定了传感数据的时龄） | 约束 \(\beta \ge 1.2\text{ GB/s}\)（多相机 4K 未压缩流） | 非约束 \(P < 3\text{ W}\)（传感器头部耗散已隔离） | 约束 \(\sigma_t \le 1.0\text{ ms}\)（帧同步触发器防止偏差） | 非绑定 由 SerDes 硬件与 DMA 环形缓冲区防御 |
| \(\mathcal{H}_2\): 感知 \(\to\) 状态 (大脑) | 约束 \(\tau \le 30.0\text{ ms}\)（视觉惯性里程计与特征窗口） | 非约束 \(\beta \approx 10\text{--}50\text{ MB/s}\)（压缩后的关键点与体素） | 约束 \(P \approx 15\text{--}35\text{ W}\)（边缘视觉骨干加速器的功耗包络） | 非约束 由滑动窗口状态估计器缓冲区防御 | 约束 空间内存隔离：MPUs 可防止内存损坏 |
| \(\mathcal{H}_3\): 状态 \(\to\) 规划 (大脑) | 约束 \(\tau \le 100.0\text{ ms}\)（自回归分词与扩散时域） | 非约束 \(\beta < 5\text{ MB/s}\)（低维状态与提示词嵌入） | 约束 \(P \approx 30\text{--}75\text{ W}\)（transformer/扩散矩阵加速器） | 非约束 由滚动时域分块与样条缓冲区防御 | 约束 沙箱化策略容器防止主机崩溃导致遥测中断 |
| \(\mathcal{H}_4\): 规划 \(\to\) 安全约束执行模块 (神经系统) | 约束 分块租约 60 ms（依据停止预算推导出的限值内选定）；每个 1 ms 时钟内的逐拍准入 | 非约束 由紧凑参数化样条（\(\beta < 100\text{ kB/s}\)）保障 | 非约束 \(P < 0.5\text{ W}\)（在 MCU 上进行的定点数约束求值） | 约束 \(\sigma_t \le 100\,\mu\text{s}\)（在 MCU 上的周期确定性报文接收） | 约束 硬件边界：私有总线、独立振荡器、隔离且可在供电中断时维持供电的电源轨 |
| \(\mathcal{H}_5\): 安全约束执行模块 \(\to\) 执行器 (主体) | 约束 \(\tau \le 1.0\text{ ms}\)（伺服周期 \(1.0\text{ ms}\)；PWM 循环 \(50\,\mu\text{s}\)） | 非约束 \(\beta \approx 1\text{--}5\text{ Mbps}\)（确定性现场总线上的周期过程数据对象） | 约束 \(I^2 R\) 铜绕组耗散、MOSFET 开关损耗 | 约束 \(\sigma_t < 10\,\mu\text{s}\)（硬实时 PWM 相位对齐与 FOC） | 约束 电气隔离、带外模拟急停、安全扭矩关闭电路 |
为确保这些预算能够经受机器全生命周期的考验，网格中的每一条边界条件均记录为一条交接记录，即硬件设计者、系统工程师与模型开发者之间的可验证契约。 每条条目包含限值记录（测量机器自身的极限）的六个要素，并补充用于定位该限值于某次交接、以及说明其属于何种限界的字段（表 3）。
| 字段名称 | 物理 SI 单位 | 结构不变量与描述 |
|---|---|---|
signal_id |
无量纲 | 唯一字母数字标识符（例如 SIG_VIO_01、SIG_TRQ_AX1）。 |
source_subsystem |
无量纲 | 来源硬件或软件模块（Camera_SerDes、Planner_VLA）。 |
destination_subsystem |
无量纲 | 接收的硬件或软件模块（State_Estimator、Safety_MCU）。 |
handoff |
无量纲 | 信号跨越的交接（\(\mathcal{H}_1\) 至 \(\mathcal{H}_5\)）。 |
physical_dimension |
无量纲 | 目标限值类别（\(\tau\)、\(\beta\)、\(\mathcal{E}\)、\(\sigma_t\)、\(\mathcal{F}\)）。 |
value |
SI 单位（\(\text{ms}\)、\(\text{MB/s}\)、\(\text{W}\)、\(\mu\text{s}\)） | 已分配的预算，或该值所对照检查的实测分布；对于 \(\mathcal{H}_4\)，即由停止预算推导出的分块租约。 |
conditions |
如所记录 | 该值成立所依据的载荷、温度、供电电压、固件版本以及并发工作负载；这些条件一旦改变，该值即失效。 |
uncertainty |
与 value 相同 |
产生该值的仪器或模型的误差界。 |
margin |
与 value 相同 |
运行目标与失效阈值之间的工程裕量。 |
detector |
无量纲 | 运行时监控器，用于捕获异常（例如，租约计时器、轨电压监控器或相电流传感器）。 |
provenance |
无量纲 | 数值的来源，包括其证据类别（实测、推导、数据手册或示意）。 |
bound_kind |
无量纲 | requirement、proven bound 或 measured distribution；只有已证明的界才可以作为最坏情况。 |
clock_domain |
无量纲 | 每个时间值字段所采用的基准时钟；用于馈送许可路径的交接使用安全微控制器的时钟。 |
verification_timestamp |
UTC 时间戳 | 台架证伪与签核的日期；属于日志字段，绝不作为年龄测试的输入。 |
用于机器整体构造的一个耦合预算
Part I 的三章各自设定一项预算的条款，而分块租约正是它们交汇之处。机械动量 确定了距离一侧。 在其 1.5 m/s 驱动极限下，装载后的机器必须在机架末端停在 1.10 m 的净距离之内，而制动项与固定开销留给制动力开始之前发生的一切，即 258.3 ms。节 1.3 消耗了其中一部分时间。 发生停滞的提议者保留其授权一个租约，停止指令在一个 tick 加一个总线周期后到达驱动器，而停止预算仍为 835.5 mm。
租约无法被压缩到预算所期望的那么短，因为提议者必须对其进行续期。供给、新鲜度与内存墙 确立了每个学习型提议者能够提供什么。 意图模型的权重只需在视觉工作之前从内存中一次性流式读取，耗时 98.0 ms，而一次完整推理需要 160 ms，因此在 5 Hz 下，它无法每隔几十毫秒就续期一次提议。 分块策略的权重在 0.70 ms 内流式载入，并在 20 Hz 时每隔 50 ms 发布一个新分块，每个分块都在其 40 ms P99 推理时间内，因此它可以做到。
这些事实确定了本机的 租约规则 。 租约必须长于一个分块周期，并留出续期抖动余量，二者共同设定 55 ms 的 1.1 下限。 在预留 tick、总线周期与制动力开始建立所需的时间后，租约还必须处于制动前时间上限之内，因此其上限为 236.3 ms 减去 传感器感知 所测得的观测年龄。 所选的 60 ms 略高于下限，因为在驱动极限下每毫秒租约成本为 1.5 mm，而后续章节会加入需要该余量的各项。
每个分块 同时承载基座的速度与机械臂的关节目标，因此一个租约同时管辖两个物体，租约失效时每个物体各自进入其停止程序。 租约依据基座的 258.3 ms 制动前上限进行设定，因为该上限比机械臂承诺所设定的上限更严格。 同一份租约约束着机械臂，而 规划器移交的内容 推导出机械臂的约束上限，并依据机械臂自身的净空检查其租约路径与时间上限。 机械臂的证据视界约束着另一份租约，即意图租约，它限制了来自意图模型的已受理目标保持有效的时间长度，而意图模型中较慢的目标在其下会过期（意图租约）。
\(\mathcal{H}_4\) 行是 表 2 中已填写的本章交接记录，是记录链中位于限值记录之后的第一条链接，也是全书其余部分所延拓的链接。 其取值是从分块策略交给权限路径的 60 ms 分块租约，该租约是在由停止预算推导出的限值内选取的 requirement，并且在机器带载、地面干燥且采用上述分块周期的条件下，直至 1.5 m/s 驱动限值均有效；其裕量是续期所需的时间下限与由上限推导出的上限之间的跨度减去观测年龄，其检测器是安全微控制器上的租约计时器，按该处理器自身的时钟计数。
Checkpoint 1.2: 交接矩阵与物理预算
在在人形机器人上测试租约并复核工程谬误之前，先验证你对系统级接口契约的理解：
Systems Perspective 1.2: 由一次跌倒设定的截止时间
问题：当截止时间来自一次“坠落”而非“停止”时，提议者、租约和许可路径之间的划分是否依然成立？
一个直立双足机器人会在时间尺度 \(\tau_{\text{fall}} = \sqrt{z_c/g}\) 上偏离平衡，其中 \(z_c\) 为其质心高度；当质心接近髋部高度时，该时间尺度约为 303 ms。 划分依然成立，发生变化的是其各项条款所响应的截止时间：
- 租约的规模由步的截止时间决定。 租约、节拍、总线周期与观测年龄都必须落在“必须开始一次恢复步”之前的时间内，而一份已过期租约所选择的回退动作是一次经校验的步，而非制动。
- 意图模型仍然不合格。 仅凭其续期周期就占用了大部分跌倒时间尺度，且没有为节拍、总线周期与步本身留出余地，因此只有分块策略能在该截止时间下续期租约。
- 发热与供电下垂限制了迈步。恢复步会在双腿同时抽取峰值电流，导致绕组发热、供电下垂（电气功率完整性），因此许可路径只能放行供电与绕组在该时刻能够支持的迈步。
谬误与陷阱
框图在高层推理与低层执行之间画出了一条逻辑分界线，但物理硬件往往通过共用的电源轨、中断线或后台诊断接口以不可见的方式将它们连接起来。 这些物理耦合决定了当复杂子系统发生故障时，许可回路能否继续工作。
陷阱：在高优先级定时器中断中服务安全看门狗，而不是在应用级验证的安全循环中服务。
移动操作机器人的自看门狗若在 5 ms 内未收到喂狗信号，就会通过 节 1.5 的 安全转矩关断（Safe Torque Off） 路径切断驱动电源，因为一旦约束执行机制不再完成其检查，就无法再发出受控停车指令。 假如工程师从高优先级定时器中断刷新它，而低优先级的强制任务陷入死锁。 尽管该任务已冻结、停止检查力矩限制、净空度和块租约，中断仍会在每个 1 ms 节拍 持续触发。 因此，看门狗仍被持续喂入，而强制器已悄然丧失其安全功能。 其服务脉冲必须依赖于必需强制检查的成功、顺序完成（即以任务完成令牌为条件的窗口看门狗喂狗操作）。 一个独立的定时器节拍 表明硬件中断仍在循环，而非控制器已安全评估机器的物理状态（节 1.6）。
陷阱：在生产运行中不经过中介处理遗留辅助诊断或校准接口。
假设移动机械臂通过其授权路径校验基座速度提议，但其驱动轮电机驱动仍保留一个未被监控的串行校准接口。 诊断守护进程使用该接口将 \(35.0\text{ A}\) 测试值直接写入逆变器寄存器。 提议邮箱中仍为零速度，因此检查该邮箱并不能暴露这条被旁路的指令。 于是，驱动轮可以产生出任何运动检查都未曾看到或批准的扭矩。 真正的执行权限包括所有能够改变功率级寄存器的物理线路或数字接口。 因此，服务接口需要运行期联锁或等效的强制机制，以防止校准写入在正常运行期间绕过控制器。
谬误：在指令轨迹设定值上评估安全屏障不变量，等同于评估物理装置状态。
假设机器人的机械臂使用指令关节位置而非负载侧编码器测量值来评估控制屏障函数 (Ames 等 2019年)，以减少总线流量。 当齿轮失效、连杆偏离其指令轨迹时，插值器仍在生成有效的设定值。 约束执行机制仍然计算出一切安全（\(h(\mathbf{q}_{\text{cmd}}) > 0\)），即使物理连杆已进入禁入区域。 更快地计算错误输入并不能纠正它。 安全执行必须置于因果边界（因果边界），因此必须通过可靠的传感通道评估物理状态测量值并考虑其局限；仅仅检查指令流只能确立规划器意图了什么，而非重型机械实际位于何处。
谬误：正常运行日志足以证明物理架构隔离。
移动操作臂在无漏执行死线的情况下完成正常试验。 这些日志仅展示了无故障负载下的行为；它们并未揭示仅在故障下才出现的隐藏物理耦合。 因此，验证会注入功率瞬变、灌满通信总线、损坏策略内存，并在测功机上锁死一根轴。 每个实验都必须检查明确的响应界，例如堵转检测是否在\(2.0\text{ ms}\)内完成电流钳制，而不是把“未崩溃”当作成功。 隔离的证据来自对所述故障边界的实际演练，并测量持续执行或所需的安全过渡。
摘要
物理身体 测量了加载后的机器在能够停下之前行驶了多远，认知脑 测量了每个学习到的提议者能够提供什么，以及其证据随时间陈旧的速度。 本章根据关节回路的相位裕量设定了许可路径的检查率，并将这两项测量换算为提案可驱动执行器的时长。 移动机械臂的结果是一个租期足够长、可撑过一个 分块策略的更新周期，又足够短、可容纳在制动前时间上限之内；移交记录将该租期连同其条件与证据一并带往后续各章。 租期以及本章的其余机制，在经历计算延迟、总线故障、不良提案、传感器误差和制动权限丧失之前，都仍只是主张。 第一部分以不可逆性定律（原则 The irreversibility law）开篇，而租期以关于权限的规则收尾，因为无法召回的运动只能在其制动预算能够支付其行进距离的时长内被指挥。
要点回顾: 权限路径与确定性
- 提案不等于授权： 高层学习模型严格充当无特权提案引擎（\(p_t\)）。 电机驱动寄存器的物理写入权限被完全保留给确定性实时约束执行机制，前提是其与提案者的隔离已在硅片上得到验证。
- 节奏由物理决定，而非软件： 示例速率（\(20\text{ kHz}\) 电流调节、\(1\text{ kHz}\) 关节检查、\(10\text{--}50\text{ Hz}\) 动作分块，以及更慢的推理）是针对绕组时间常数、相位裕度、暴露因素、工作负载和响应预算而选定的。
- 交换过程永不等候，且每个提案都会过期： 授权路径在每个节拍中以一次有界尝试读取邮箱，并在发生冲突时保留其最后一个已验证分块；无论是否收到任何取消请求，提案头部的证据时间与过期时间都会终止该分块的授权。
- 最坏情况界优先于经验分布： 统计延迟百分位（\(P_{99}\)）无法证明实时安全性。 确定性认证需要对分析式响应时间分析（\(R_i = C_i + B_i + I_i \le D_i\)），从而将无界的总线争用和内存分配排除在安全路径之外。
- 否决机制的独立性受其共享资源的制约： 一条与提议方共享时钟、电源轨、内存总线或硅片的许可路径，可能被提议方的故障所静默，因此独立性是一项必须由故障注入来证明的主张，而不是分离进程的属性。
- 停止动力学决定了分块租期： 在移动操作机处于驱动极限时，制动前上限为 258.3 ms。 所选的 60 ms 租期略高于分块策略可续期最短租期，而从其最后一次续期到制动触发之间消耗 82 ms，使累计停止预算占用总计 1.10 m 的净空距离中的 835.5 mm。
- 一次故障即是某个交接处的一项限制超出预算： 交接记录将每项限制置于五个交接中的某一个，并给出其条件、证据类别和界限类型，因此回归诊断会对照其已分配的预算，以同类证据进行。
后续内容: 从机器解剖学到闭环物理学习
脚注
互连交叉开关争用 ：当加速器通过共享 AXI 或 PCIe 交叉开关流式传输多 GB 基础模型权重时，密集突发事务会饱和动态随机存取存储体与仲裁队列。 共置的实时处理器核心在读取电机编码器寄存器时，会遭遇软件优先级无法抢占的未预算硬件等待状态。 因此，维持微秒级控制稳定性需要专用的物理内存通道，或为实时域隔离片上 SRAM。↩︎
推理延迟分布: 对量测得到的推理尾部，对数正态模型与移位威布尔模型是常见的描述。 中位数与 \(P_{99}\) 单独使用并不能确定给定截止期限下的超期概率，该概率必须单独量测或建模。 关于实时推理中延迟超期概率的形式推导，参见 Machine Learning Background。↩︎
TLB 跨核失效：当操作系统修改页表时，它会向所有活跃核心广播处理器间中断（IPIs），以失效过期的 地址转换后备缓冲器条目。 接收核心必须挂起线程执行并刷新受影响的条目，从而引入未纳入预算的多微秒级停顿。 在共享硅架构中，这些不可预测的同步停顿会破坏内环电机调节回路所要求的周期确定性。↩︎
DMA 缓存一致性 : 直接内存访问传输绕过 CPU 缓存层次结构，需要显式的缓存行失效或写回操作，以维持外设与核心之间的内存一致性。 若无硬件强制的嗅探过滤或显式屏障，处理器会读取到陈旧的传感器帧，或覆盖尚未提交的执行器指令。 这些维护操作会向高频率控制流程注入可变的延迟开销，除非为外设传输专门划出静态、无缓冲 SRAM 区域。↩︎
死区延迟: 专用的脉宽调制定时器（TI
ePWM、STM32TIM1）在互补的高侧和低侧栅极信号之间注入硬件强制的死区延迟（\(100\text{--}500\text{ ns}\)）（TIMx_BDTR、DBRED）。 该延迟确保导通的功率开关在其对侧开关导通之前完全关断，从而防止高压直流母线上的直通短路。 由于死区会轻微扭曲所施加的相电压，电机控制固件会引入在线伏秒补偿，以维持平滑的转矩生成。↩︎零阶保持相滞: 在采样间隔 \(T_s\) 内保持离散控制指令恒定，会引入等效延迟 \(T_s/2\)，从而产生线性相移缩减 \(\Delta \phi = -\omega T_s / 2\)。 在高带宽机器人执行器中，这种相移侵蚀会直接降低开环相位裕度，使欠阻尼机械模态进入共振。 关于离散采样相移侵蚀的正式频域推导，参见 Control and Dynamics。↩︎
移动平均平滑中的相位滞后：使用 \(N\) 抽头有限脉冲响应（FIR）滤波器对含噪执行器反馈进行平均，会引入 \((N-1)/2\) 个采样周期的群延迟。 在高增益位置控制中，这一人工传输延迟会消耗相位裕量，将稳定反馈转化为正反馈，使执行器进入自激极限环。↩︎
速率单调调度: Liu 和 Layland (1973年) 证明，当总处理器利用率满足 \(U \le n(2^{1/n} - 1)\) 时，静态优先级的速率单调调度保证周期性任务可调度，当 \(n\) 较大时收敛于 \(\ln(2) \approx 0.693\)。 在具有任意执行截止时间和共享资源阻塞的分布式机器人架构中，系统工程师部署精确的响应时间分析（\(R_i = C_i + B_i + I_i \le D_i\)）来验证确定性的可调度性。 关于响应时间递推式的形式化数学推导，参见 Systems and Hardware。↩︎
分布式时钟：依据 IEC 61158-4-12，EtherCAT 分布式时钟（DC）通过测量物理环型拓扑中的传播延迟，将分布式伺服驱动节点同步到主参考时钟。 分布式时钟硬件可以生成同步的
SYNC0脉冲。 实际时钟误差与应用采样抖动取决于所选器件、配置和测量方式；仅有时钟对齐并不能约束完整的控制周期。↩︎时间敏感网络（Time-Sensitive Networking） ：IEEE 802.1Qbv 时间敏感网络通过在网络交换机中配置感知时间的流量整形器，实现确定性的以太网通信。 高优先级控制帧在专用的、预先调度的传输窗口内执行，而异步的高带宽载荷（例如未压缩的相机流）则被暂时门控。 这种调度的时分复用使得视觉遥测与微秒级伺服指令能够在统一的物理链路上共存，而不会发生数据包碰撞或缓冲区膨胀。↩︎
硬件跳闸区：微控制器硬件跳闸区（例如 TI
EPWM_TZFRC或 STM32TIMx_BDTR的 Break 输入）将模拟过流与过压比较器直接耦合到定时器输出逻辑。 故障检测后，配置的跳闸逻辑可将栅极信号置为高阻态，或激活经验证的制动模式。 二者的机械后果不同：转矩移除可能使装置自由滑行，而动态制动需要额定能量通路。↩︎制动动力学、：制动高惯性机械臂关节时，动能被转入所实现的制动路径：绕组与功率电子器件损耗、额定制动电阻，或机械摩擦。 轨迹必须满足停止间隙（\(d_{\text{stop}} \le D_{\text{clear}}\)）以及各部件的脉冲能量与热限制；\(\int I^2R\,dt\) 用于计算电阻式电机制动时绕组所占的份额。 关于运动学停止包络与瞬态热耗散的完整推导，参见 Control and Dynamics。↩︎
安全扭矩关闭（STO）：STO 实现通过硬件互锁移除产生转矩的驱动信号。 IEC 61800-5-2 完整性等级取决于实际器件、诊断覆盖、接线和验证，而不只是电路拓扑。↩︎
无干扰性（FFI）：ISO 26262-9 与 IEC 61508 将无干扰性（FFI）形式化为不同安全完整性等级的软件元素之间的级联故障的缺失。 与关键安全任务共享硅片或总线织物的未经验证的神经策略，要求架构师证明空间隔离（内存保护）、时序隔离（独立调度与定时器）和电气隔离（独立电源轨）。 共享资源需要证据表明，干扰无法突破既定的执行期限与故障响应要求。↩︎
块租约界 ：对于恒定速度接近，块租约、计时节拍、总线周期与制动启动必须满足 节 1.3 的制动前不等式，此时观测年龄 \(t_{\text{age}}\) 被加到左侧，过期保持 \(T_{\text{hold}}\) 也加到该侧。 右侧是制动前的总预算上限，不能将其全部分配给租约。 关于有界减速度下的租约界完整代数推导，参见 Watchdog validity leases and teleoperation latency bounds。↩︎
CAN 仲裁：控制器局域网（CAN）协议在物理层使用线与（wired-AND）占优（‘0’）与隐性（‘1’）信号来解析总线争用。 若一个有缺陷的收发器持续断言占优状态（即“喋喋不休的白痴”故障），它将独占共享的物理总线，并阻塞所有上层通信。 硬件总线守护电路与占优状态超时钳位电路监控传输时长，将异常持续发送的节点在物理上断开，以保留剩余安全参与者的网络可用性。↩︎