/var/folders/7g/fkg91tq50f58kfmg7c65747r0000gn/T/ipykernel_91898/3339434524.py:73: UserWarning: FigureCanvasAgg is non-interactive, and thus cannot be shown
plt.show()空间记忆
空间记忆
目的
传感器失去对物体的视线后，空间信念多久会演变为危险的虚构？
障碍物一旦移动到遮挡屏障之后，仍长期构成关键物理约束。 机器必须记住障碍物的存在，但其记录状态随时间推移，可靠性迅速衰减。 将过期观测当作真值，风险在于规划轨迹穿过已被占用的物理空间；而立即丢弃该记录，则会抹去真实存在的危险。 因此，空间记忆必须同时跟踪状态估计，以及显式的不确定性增长模型。 传感器捕获年龄、里程计漂移和坐标系标定，决定了被记住的实体是否仍然有效、可以授权运动。
软件故障（如冻结的坐标系变换或静默的跟踪丢失）可能欺骗性地呈现过期估计为新鲜数据。 稳健的记忆系统必须强制实施有界的信念过期：在不确定性扩张超出可用净空包络之前撤回提案授权，同时不得错误地假定未被观测的区域是自由空间。 在物理人工智能架构中，记忆在提议边界之上填充大脑的世界模型，而边界之下的确定性许可路径则验证每条轨迹都严格依赖未过期、已认证的空间边界。
学习目标
- 指定信念记录，将证据年龄与估计年龄分开，并包含参考坐标系、不确定性与有效区域
- 依据有界的误差增长与任务的物理容差设定信念过期时间
- 通过各表示能够认证的空隙信息来比较空间表示
- 设计空间更新，以保留证据年龄，并区分缺失观测与已验证的自由空间
- 诊断那些通过新鲜度与新息检查的冻结变换、幽灵轨迹与不可观测漂移
保留空间信念
记忆寄存器可以在它所描述的世界发生移动时，精确地保留记录。 当仓库移动操作臂逼近存储货架末端时，货架会遮挡导航相机所见的横向通道，而相机此前在那里所见的一切如今仅存于记忆中。 一个已离开视野、位于货架末端之外的人可以走进该记录所称的“空”空间，而用新的软件时间戳重新发布该记录，也无法恢复已经丢失的物理证据。 因此，空间记忆必须把最后一次测量时间和误差增长规则带入运动许可决策。
↰ 前置条件： 观测年龄与校准后的空间协方差在 观测契约 中生成。
物理机器不能仅依赖原始感官观测或静态记忆寄存器。 它需要一个 信念状态，即由历史感官证据向前传递的物理状态估计，并与不断扩张的不确定性模型显式耦合。1 感知提供带时间戳、经过标定的观测（如 感知交付的内容 所述）。 空间记忆必须确定该观测结合动态运动模型后，还能继续授权物理动作多长时间，直到不确定性耗尽机器的剩余裕度。
作为第三部分四个提案侧阶段中的第二个，位于感知与意图之间，空间记忆 将几何与物理状态估计跨越传感器中断、遮挡和可变处理延迟向前传递。 它位于提案边界之上（《五层机器》），因此被记住的状态可以影响一个提案，却无法证明其自身的新鲜度；许可路径会依据其自身时钟检查证据的年龄。
在软件系统中，数据年龄通常以消息被序列化、经由进程间总线发布，或更新在共享内存表中的时刻为基准计算。 在物理人工智能系统中，这一惯例是危险的。 通过扩展卡尔曼滤波在 \(1\text{ kHz}\) 处传播一个状态估计，或以 \(200\text{ Hz}\) 的频率重新发布一个属于 \(SE(3)\) 的运动学变换，都会产生一串新鲜软件时间戳，但它并不会刷新其背后的物理信息。 一个信念的真实年龄，严格由约束它的最后一次物理测量的证据时刻 \(t_0\) 决定。 下游追踪回路若读取由航位推算或策略 rollout 生成的位置估计，可能只观察到一条距当前仅 \(2\text{ ms}\) 的发布时间戳，而物理误差界却仍以未观测漂移的速度持续放宽。 对推理输出或缓存查找进行时间戳记录，只记录了计算发生的时间，却未告诉接收方现实世界最后一次被检查的时间。
仅凭记忆完整性无法确立几何有效性(Durrant-Whyte 和 Bailey 2006年)。 为防止机器依据过期数据采取行动，记忆系统必须将过期视为显式的接口事件。 每个信念都带有一个截止时间（在 节 1.6 中推导），即其声明的误差界达到任务物理余量的时刻。 在该截止时间，该信念不再支持运动，许可路径会拒绝任何仍依赖它的提议，并选择一个可行的回退方案。
Durrant-Whyte, Hugh, 和 Tim Bailey. 2006年. 《Simultaneous Localization and Mapping: Part I》. IEEE Robotics & Automation Magazine 13 (2): 99～110. https://doi.org/10.1109/MRA.2006.1638022.
一个必须自行声明失效时间的信念，必须携带的不仅是它的数值，因此第一个交接问题是：当传感器失去对物体的观测后，消费者需要哪些信息来评估一个已存储的数值。
记忆所交接的内容
一个未经标注的向量，例如 \([0.142, -0.051, 0.812]\)，经由实时总线传输时，无法传达它所描述的物理实体是什么、所表示的物理维度是什么，以及该量采用了何种标度。 因此，交给消费者的信念不能是一组裸露的浮点数数组。 它是对物理输入的一种衰减性解释，必须携带其时间戳、物理不确定性与参考系，才能保持可用。 一个接收原始坐标的下游控制器，若缺少元数据，就必须依赖在编译时确立的隐式约定。 若估计器输出以米为单位的位置，而执行器控制器却期望毫米，或者角速度被误当作绝对姿态，那么由此产生的指令将以千倍量级的跟踪误差被记录，进而将电机电流推至执行器热极限，即 热工作占空比 所述的热极限。 为避免在 因果边界 所确立的因果边界两侧产生误读，一条信念记录必须先给出实体标识、物理量以及测量单位。 消费者必须能够核实该数值表示某个工件的质心（单位为米），或指尖上的法向接触力（单位为牛顿），才能将该数值送入控制律。
仅指定物理量与单位仍属不完整，除非将该数值绑定到具体的参考系。 相同的空间坐标，依据坐标系的原点和取向不同，所描述的物理现实可能截然不同。 同一个笛卡尔位置 \([0.142, -0.051, 0.812]\text{ m}\)，在机器人基坐标系 下表示悬浮于自由空间中的某一点，而在工具法兰坐标系 下则表示位于刚性夹具内部数百毫米处的某一点。 由于运动学连杆会弯曲、关节会移动，且坐标变换以不同速率更新，信念记录必须携带显式的坐标系标识。 携带坐标系后，接收节点可以查找对应的空间变换树，并将存储的几何量投影到执行器所需的局部坐标系中，从而避免控制器依据运动学链移动造成的几何错位而动作。
几何与身份描述的是某一时刻的物理状态，但记忆还必须捕捉该状态的时间锚点。 该记录承载了约束该估计的物理交互或光学曝光的最近证据纪元 \(t_0\)。 在分布式架构中，中间节点常常转发数据、执行卡尔曼滤波预测步骤，或运行正向运动学传播以维持高更新频率控制流，但这些都不构成物理证据。 因此，该字段必须原样通过每一个转发、滤波和预测环节，使消费者依据物理世界而非本地计算机的调度频率来衡量信息的年龄。
生成这一锚定信念依赖于 多传感器状态估计——无论是通过递归扩展卡尔曼滤波（EKF）、无迹卡尔曼滤波（UKF）(Kalman 1960年)，还是非线性因子图优化（平滑与映射，SAM）来实现——这是一门成熟的数学学科，其运行角色是将异步、异构的传感器观测（例如高采样率惯性测量单元加速度、车轮编码器脉冲和低更新率视觉观测）映射为被控对象的潜在物理状态的最小充分统计量。 物理人工智能架构将这一融合管线内部的数值机制，抽象在空间信念契约之后。 下游轨迹规划与安全约束不会重算传感器创新协方差，也不会重新求解因子图；它们只要求状态估计器提供无偏状态向量 \(\hat{\mathbf{x}}\)、物理上诚实的不确定性界 \(\mathbf{\Sigma}\)，以及约束该状态的测量所对应的真实证据时刻 \(t_0\)。 基础的系统性要求并非滤波算法的选择，而是估计器模型必须诚实地跨越盲区间进行过程噪声扩张（Continuous Covariance Propagation and Observability 导出连续误差协方差传播），并在物理可观测性秩塌缩时撤销其有效性状态（节 1.7）。
知道证据时刻 \(t_0\) 可以确定经过时间 \(\Delta t = t - t_0\)，但仅凭经过时间无法判定某个信念对给定动作是否有效。 两个年龄相同的估计，其发散速率依物理约束而不同。 机架末端本身固定在地面上，因此无论相机盲视多久，其被记住的位置都保持在机器定位误差范围内；而藏在机架后的人可以以步行速度移动，并在几十毫秒内消耗掉同样的净空。
消费者评估一个已存储状态所需的最小记录字段，可以直接从“约束当前误差”这一要求推导出来。 设 \(E(\Delta t)\) 表示经过时间 \(\Delta t = t - t_0\) 后，存储值与真实物理状态之间的差异上界。 若估计器在时间 \(t_0\) 给出状态及其初始不确定度上界 \(E_0\)，且外部扰动或未建模速度使真实状态以最大速率 \(r\) 发散，则当前时间 \(t\) 的误差上界服从线性展开 \(E(\Delta t) = E_0 + r\,\Delta t\)。 在机架末端，\(E_0\) 是机器的定位误差，\(r\) 是机架可能隐藏的人的步行速度；节 1.6 用于评估该定律。 省略其中任一项，消费者都无法计算 \(E(\Delta t)\)，因此初始边界与扩张率都是该记录的结构必需字段。
通过物理边界与扩张率来表达不确定性，与概率置信度分数相区别，从而区分物理人工智能的信念。 目标检测网络可能输出类别置信度 \(0.94\)，但该 softmax 分数并非经过校准的证据（认知脆弱性），下游位置控制器也无法将无量纲概率转换为安全的执行器位移余量（即机械臂在造成碰撞风险之前能够实际移动的距离）。 置信度分数 \(0.94\) 不提供关于障碍物边界不确定程度是 \(2.0\text{ mm}\) 还是 \(200\text{ mm}\) 的任何信息，也无法表明该边界在发生遮挡时移动得有多快。 物理记忆记录必须以具体的物理量纲表达其初始边界 \(E_0\) 与扩张率 \(r\)，例如米、弧度或牛/秒。 此外，这些扩张率仅在已声明的有效区域内有效，例如最大假设加速度或已验证的接触摩擦系数。 若物理运行条件超出该区域，则扩张率不再成立，信念记录必须被视为无效。
当记忆移交一个包含值、参考系、证据时刻 \(t_0\)、初始界限 \(E_0\) 和增长率 \(r\) 的元组时，使用方 在将数据应用于物理控制之前执行一个确定性的验证步骤。 使用方拥有一项由物理任务规定的任务容差 \(E_{\max}\)。 例如，当机械臂将 夹爪手指引导至笼门锁闩释放槽口时，该槽口的间隙决定 \(E_{\max}\)，而位置不确定性必须低于该值。 在读取当前时刻 \(t_{\text{now}}\) 的信念记录后，使用方 计算已历时 \(\Delta t = t_{\text{now}} - t_0\)，评估当前的误差界限 \(E(\Delta t) = E_0 + r \Delta t\)，并将结果直接与 \(E_{\max}\) 比较。 若 \(E(\Delta t) \le E_{\max}\) 成立，则信念通过该失效检查，可以进入独立的运动许可检查。 否则，从属提案会被拒绝；控制器仅在所选响应仍然可行时，才选择已验证的保持、搜索或停止响应。
Definition 1.1: 空间信念记录
空间信念记录 是一种带类型的记录，它将已识别的物理量与 SI 单位绑定到参考系、证据和估计时刻、时钟换算、初始误差、增长律、有效区域、失效时间、来源以及生命周期状态。 这些字段使消费者可以在单独的移动权限检查之前评估新鲜度。
- 意义：没有误差界和增长率的状态无法被下游控制器安全评估。 随着时间推移（\(\Delta t = t_{\text{now}} - t_0\)），未被观测到的运动或传感器漂移会使空间误差界（\(E(\Delta t) = E_0 + r \Delta t\)）变宽。 当该界限超过任务容差（\(E(\Delta t) > E_{\max}\)）时，该记录即失效，需要走权限路径来拒绝相关依赖提议并选择可行的已验证响应。
- 区别：与无量纲的分类概率（如 \(P(\text{object}) = 0.94\)）不同，空间信念记录提供具有物理依据的度量单位（米、弧度），并具备显式的时间衰减机制。
- 常见误区：依赖外部发布方在遮挡发生时广播失效信号。 若通信通道中断或传感器驱动挂起，下游消费者会在冻结的信念上继续执行开环运动，除非它独立评估该记录的失效。
评估空间信念记录取决于以物理现实为依据计算经过时间 \(\Delta t = t_{\text{now}} - t_0\)。 若消费者无法核实能量转换发生的确切物理时刻，则计算出的误差界限 \(E(\Delta t)\) 便成为无锚点的虚构，将软件计算周期误认为物理证据。 定义中提到的估计纪元与时钟换算旨在保护该锚点；而该记录的其余字段，即溯源信息与生命周期状态，将在 节 1.9 中随模式一同展开说明。
状态具有纪元
一个离开物体检测器的位姿，描述的是工件在相机曝光该帧时的位置，而非消息到达时的位置。 因此，每个状态都对应一个特定时刻，即其 纪元；一个状态穿越物理流水线时，控制器采取行动之前会携带其中的三个。 采集纪元 (\(t_0\)) 是观测契约 (观测契约) 的捕获纪元，即因果边界处能量转换的瞬间，例如光子击中光电二极管阵列，或数字寄存器锁存编码器计数；而信念记录则以该纪元作为其证据纪元。2 记忆补充了其后两个纪元。 估计纪元 (\(t_{\text{est}}\)) 标记状态估计器或神经网络完成对这批测量的推理、并将其解析为具体状态主张的瞬间。 发布纪元 （\(t_{\text{pub}}\)）标记序列化消息被提交至传输总线以供分派给下游消费者的时刻。
将这些三个时间戳折叠为单一接收或传输时间戳，会破坏状态本身的物理有效性。 用发布时刻为位姿打标签，会掩盖其之前全部毫秒级的曝光、读出、推理与调度过程，而重力、动量与接触力在此期间持续作用于物理系统，从未停歇。 该隐藏的数据时龄在运动速度下对应位移量，这一点由 光子到空间主张 确立；对于基座以驱动速度上限运行时的导航相机，仅发送时刻的年龄就已相当于数厘米的行程，而这一切对只读取发布戳的消费者而言均不可见。 仅记录数据变为可用的时刻的状态，无法告知消费者该测量所代表的物理时刻，因而无法实现时间对齐。
↰ 前置条件： 跨现场总线的硬件时间戳同步已在 按时移动指令 中确立。
即使系统记录了真实的采集时刻，物理人工智能架构仍依赖分布式的处理节点，其本地振荡器时钟各自独立漂移。 通过标准总线网络同步这些分布式时钟会引入有界的同步误差，该时间不确定性在记录所描述对象的相对速度下转化为空间不确定性。3 观测契约 的观察记录已将其作为时钟换算误差携带，由该观察构建的信念也保留这一误差。 每个消费者在判断新鲜度之前，都会将该误差界加到证据年龄上；误差预算则在记录的相对速度下分配该误差界所覆盖的距离，并同时考虑传感器分辨率与结构挠度。
真实的物理系统永远不会同时采样所有相关状态变量。 在一个示例周期中，触觉阵列可能在 \(t_1 =\) 12 ms 锁存法向力读数，光学跟踪相机可能在 \(t_2 =\) 18.5 ms 完成传感器积分，关节光学编码器可能在 \(t_3 =\) 21 ms 采样角位置。 这些观测发生在不同的时刻，无法通过直接的代数运算合并。 将 \(t_2\) 处的相机观测与 \(t_3\) 处的编码器观测融合，需要消费者利用显式运动学模型和受限速度，将其中一个状态沿时间间隔 \(\Delta t = |t_3 - t_2| =\) 2.5 ms 外推（例如，沿关节速度向量传播历史相机观测，以与瞬时编码器读数相协调）。 若缺少每个信号各自的真实采集时刻，对齐计算就无法确定 \(\Delta t\) 的符号或量级。 在无准确时刻的情况下外推状态，会使融合算法基于虚构的时间基线计算空间偏移，从而在每一个融合周期中累积误差。
结合记录于 节 1.2 中的这些 epoch 与钟同步界，消费者计算证据 epoch 与执行截止时刻之间的经过时长，评估误差界的 最坏情况下的扩张，并判定状态是否仍处于任务容差之内。 若脱离其采集 epoch 而移交状态，消费者便无法察觉传输延迟与调度抖动，致使确定性控制沦为开环猜测。 由于物理几何也会随物体在空间中移动而改变，参考系之间的空间变换同样面临这一时间衰减，并各自带有独立的证据 epoch。
变换如何失效
一个参考系绑定了一个坐标，但在机器中参考系本身也在运动。感知交付的内容 为每个观测赋予了具名参考系，并通过变换树将传感器、机器本体、里程计与地图参考系关联起来。 变换树并未展示的是：变换如何失效。 图 1 中树的每条边都在 \(SE(3)\) 中存储一个刚体位姿，该位姿由关节角参数化 (Lynch 和 Park 2017年; Craig 2005年)，并且该位姿仅在其几何被测量时的那个时刻描述该机器。 当机载计算机将不同时刻测量的变换串联起来时，由于传输延迟、异步采样或丢帧，乘积是一个机器从未占据过的混合位姿（Forward kinematics and singularities 推导运动学链）。
Lynch, Kevin M, 和 Frank C Park. 2017年. Modern Robotics: Mechanics, Planning, and Control. Cambridge University Press.
一个变换还跨越多个机器字，因此与写入方并发竞争的读取方可能看到旧的旋转与新的平移配对。 多速率节拍 的 seqlock 邮箱在不阻塞控制线程的情况下消除了该竞态，因为每个读者在每个 tick 中只尝试一次有界操作且从不等待；撕裂读取会被丢弃，而上次校验通过的变换则被保留以供继续使用，其数据年龄持续增长。
Craig, John J. 2005年. Introduction to Robotics: Mechanics and Control. 3rd 版. Pearson Prentice Hall.
Foote, Tully. 2013年. 《tf: The transform library》. IEEE International Conference on Technologies for Practical Robot Applications (TePRA), 1～6.
一个已过期变换的代价是直接的空间位移（图 2）。 将 光子到空间主张 的“年龄—位移”关系应用于运动学，未补偿的延迟便通过连杆的杠杆臂直接转化为几何定位误差。 关于本运动学误差传播的严格叉乘推导，参见 Spatial coordinate frames and lever-arm kinematics。
在手腕相机仍能看见闩锁释放槽时，该槽处的情况表明，仅很小的陈旧程度就足以耗尽任务容差。 每 16.7 ms 一次手腕相机帧，都会更新槽在相机坐标系中的姿态，并随之更新控制器所依据的槽位到手指的变换边；手指必须始终保持在槽的公差 \(E_{\max}\) 之内，该公差为 1 mm。 假设该变换边错过一帧。 从初始误差 0.1 mm 出发，若以示意性取值 12 mm/s 作为手指未被观测到的横向速度上界，且该速度上界已针对机械臂的工作区域验证，则手指的横向漂移距离至多为 \(e_{\text{trans}} = v_{\text{drift}}\,\Delta t\)，即 0.20 mm。 当指尖位于手腕前方 \(\ell\) = 0.15 m（示意性取值）且手腕以示意性角速度 \(\omega\) = 0.30 rad/s 转动以对齐手指时，力臂会引入 \(e_{\text{rot}} \approx \ell\,\omega\,\Delta t\)，即 0.75 mm。 关节编码器测得了该转动，但陈旧的变换边仍将槽定位到上一帧，而与之组合的手腕姿态是当前的，因此树返回一个混合姿态，即机械臂从未握持过的手指位置。 仅将槽位与该槽位观测采集时刻的腕部位姿串联，或使变换边过期，才能消除该弧段。 若该陈旧变换边保留在链中，则手指的总错位量为 1.05 mm，比槽位允许的偏差高出 5 percent，且其中更多的误差来自力臂而非漂移。 由于变换树无差错地求值，没有任何环节标记该陈旧位姿，控制器因而持续将手指对准位置误差大于净空的槽位位置；在不利接近条件下，手指会抵到槽位旁的击板。
Systems Perspective 1.1: 陈旧度的杠杆效应
变换的允许陈旧时长由其所服务的空间点决定，而非由其所测量的关节决定。 工具点以约 \(v + \ell\omega\) 的速度漂移，因此杠杆臂越长，变换边越早过期；而仍然新鲜到足以定位手腕的变换边，也可能因过于陈旧而无法定位工具中心点。
变换树为机器自身的几何关系标记时间，而一条数据陈旧的变换树边会使工具位置发生其未能捕捉的运动所导致的偏差，该偏差再被杠杆臂放大。 机器周围的世界以同样的方式老化，但它没有关节编码器来报告自身的运动，因此记忆也必须保存周围的表面以及这些表面之间的空间，并且必须记录传感器实际观测到了该空间中的哪一部分。
场景记忆能够证明什么
一台将范围传感器扫过一条走廊的机器人，扫完后会留下三种空间：它看到被占据的空间、它看到为空的空间，以及它从未看到的空间。 只有第二种空间才可能为一条路径的畅通作证，而且只在其证据仍然新鲜时才能作证。 每个场景表示都存储这三种状态中的某种版本，它们之间的差异在于存储了什么以及代价是什么。 一个 占据栅格 (Elfes 1989年)，或其稀疏八叉树形式 (Hornung 等 2013年)，为每个单元存储一个占据估计。 一个 截断符号距离场（TSDF） (Curless 和 Levoy 1996年) 沿每条感知射线保留到观测表面的截断投影距离。3D 高斯泼溅 (Kerbl 等 2023年) 保留用于渲染新相机视角的优化原语。 密集栅格的存储量随其每维单元数的立方增长，而八叉树、TSDF 的表面带块以及高斯图仅存储已分配的结构，其大小取决于观测几何与精度目标；Log-odds occupancy and signed-distance fusion 与 3D Gaussian splatting parameters 给出了这些代价背后的更新。 在运动许可方面，它们共享同一个上限。 投影距离并非 净空决策所需的最近表面欧氏距离，而高斯密度也不能识别被占据的空间，因此它们中没有任何一种能够单独证明净空满足要求。 每一项都必须先转换为经验证的占用栅格层或欧氏有符号距离场（ESDF），并明确未知空间的策略，之后许可路径才能查询它。
Elfes, Alberto. 1989年. 《Using Occupancy Grids for Mobile Robot Perception and Navigation》. Computer 22 (6): 46～57. https://doi.org/10.1109/2.30720.
Hornung, Armin, Kai M Wurm, Maren Bennewitz, Cyrill Stachniss, 和 Wolfram Burgard. 2013年. 《OctoMap: An efficient probabilistic 3D mapping framework based on octrees》. Autonomous Robots 34 (3): 189～206.
Curless, Brian, 和 Marc Levoy. 1996年. 《A volumetric method for building complex models from range images》. Proceedings of the 23rd Annual Conference on Computer Graphics and Interactive Techniques (SIGGRAPH ’96), 303～12.
Kerbl, Bernhard, Georgios Kopanas, Thomas Leimk"uhler, 和 George Drettakis. 2023年. 《3D Gaussian splatting for real-time radiance field rendering》. ACM Transactions on Graphics 42 (4): 139:1～14.
度量表示方式的选择，定义了体积内存占用与空间碰撞查询延迟之间的经验性 Pareto 权衡（图 3）。 连续轨迹优化与运行于 1 kHz 控制周期（\(1{,}000\ \mu\text{s}\) 周期）的实时反射控制器，需要在数十个机器人身体关节点上以严格小于 \(10\ \mu\text{s}\) 的延迟完成空间净空与梯度查询。 隐式神经表示（如坐标 MLP，NeRF、iMAP）虽可实现最低的内存密度（\(\sim 0.08\ \text{MB/m}^3\)），但查询有符号距离或占用需要执行深度神经网络的完整前向传播，带来巨大的计算延迟（\(>650\ \mu\text{s}\) 每个查询点），因而只能用于 慎思式离线规划器。 分层八叉树（OctoMap (Hornung 等 2013年)）将未观测的自由空间压缩至 \(0.18\text{--}1.25\ \text{MB/m}^3\)，但递归树遍历中的指针间接寻址会引发 CPU 缓存缺失，将查询速度限制在 \(24\text{--}38\ \mu\text{s}\)。 反过来，动态哈希截断符号距离场（Voxblox TSDF (Oleynikova 等 2017年)）仅在观测到的表面带周围分配内存（\(4.1\ \text{MB/m}^3\)），从而支持 \(1.8\ \mu\text{s}\) 射线查询，而传播欧氏符号距离场（ESDF）则使内存开销增加到 \(28.5\ \text{MB/m}^3\)，以提供亚微秒级（\(0.85\ \mu\text{s}\)）的距离评估与解析连续梯度。 与此同时，3D 高斯泼溅原语 (Kerbl 等 2023年) 处于中间区间（\(1.6\text{--}5.2\ \text{MB/m}^3\)、\(5.8\text{--}8.2\ \mu\text{s}\)），既支持摄影级辐射度渲染，也支持由包围体层次结构加速的碰撞检测。
Oleynikova, Helen, Zachary Taylor, Marius Fehr, Roland Siegwart, 和 Juan Nieto. 2017年. 《Voxblox: Incremental 3D Euclidean signed distance fields for on-board MAV planning》. IEEE/RSJ International Conference on Intelligent Robots and Systems (IROS), 1366～73.
地图能够证实什么，取决于测距回波如何更新它。 从传感器沿射线行进至回波 (Amanatides 和 Woo 1987年)，地图在射线穿过的每个单元中给出 负证据，在射线终止的单元中给出正证据；Log-odds occupancy and signed-distance fusion 给出对数几率更新。 负证据使地图在观察到同一区域为空时即可退役幽灵障碍物，而无需等待超时；它同时也标出了地图能够断言的界限。 它只覆盖有效射线实际穿过的单元。 它不涉及回波后方区域的体积，而沿通道的新扫描无法更新被机架遮挡的单元，因此被遮挡的横通道仍保持未知，仍需过期处理。 每个回波都会触及沿其射线上的每个单元，因此稀疏分配节省了容量，但并未节省遍历开销；该流量仅以证据年龄增加的形式 (共享资源争用) 形式到达许可路径。
Amanatides, John, 和 Andrew Woo. 1987年. 《A fast voxel traversal algorithm for ray tracing》. Eurographics ’87, 3～10.
沿视线方向的主动负证据可清除幽灵障碍物，无需等待超时衰减。
由于负证据只会刷新射线穿过的单元，地图的发布时刻不对任何单元定年，因此 表 1 中的清单逐单元携带证据时刻。 这些时刻并非免费，因为每个已分配单元都在其占用估计旁存储自己的时间戳，这些时间戳与占用估计值一样，也必须计入地图的内存预算。 运动消费方会检查其路径所使用每个单元的证据年龄与状态，包括标记为未知的单元，并从单独验证的层推导出保守安全距离。
| 地图字段 | 单位或类型 | 含义与消费检查 |
|---|---|---|
voxel_grid_origin, voxel_resolution_m |
m；m | 空间锚点与间距；匹配当前使用的坐标系与校准 |
map_update_epoch |
捕获时钟 ns | 最近一次地图发布/更新的时刻；并不代表每个单元的新鲜度 |
cell_evidence_epoch |
捕获时钟：每格 ns | 该格最后一次物理观测；不会被预测或无关的地图更新刷新 |
free_space_sweep_epoch |
捕获时钟：每格占用格 ns | 穿过该格最后一次有效的观测自由射线 |
clock_conversion, sync_error_ns |
映射；ns | 将采集时刻转换到消费方的单调时钟，误差有界 |
语义记忆位于度量层之上，并继承其限制。 除原始度量体积与辐射场之外，由基础模型驱动的物理人工智能需要空间记忆，将空间组织为语义层级。 3D 动态场景图（DSG），由 Rosinol 等 (2021年) 在 Kimera 中提出、并由 Hughes 等 (2022年) 在 Hydra 中扩展，通过把空间记忆组织为五层分层图（图 4）来连接度量 SLAM 与符号推理：
- 度量-语义网格（第 1 层）： 高分辨率三角网格，捕捉精细表面几何并带有顶点语义标签。
- 物体与智能体节点（第 2 层）： 具有朝向包围盒的有界三维几何实体、视觉嵌入与跟踪的动态轨迹。
- 场所与自由空间拓扑（第 3 层）： 三维 Voronoi 拓扑与可通行的自由空间净空球（\(p_i\)），用于规划无碰撞路径。
- 房间与结构围护（第 4 层）： 由语义墙体与门洞划分的功能建筑分区。
- 建筑与全局拓扑（第 5 层）： 支配长视界任务分配的最高层语义图。
Rosinol, Antoni, Andrew Violette, Marcus Abate, Nathan Hughes, Yun Chang, 和 Luca Carlone. 2021年. 《Kimera: From SLAM to Hierarchical 3D Dynamic Scene Graphs》. The International Journal of Robotics Research 40 (12–14): 1410～44. https://doi.org/10.1177/02783649211056674.
Hughes, Nathan, Yun Chang, 和 Luca Carlone. 2022年. 《Hydra: A Real-time Spatial Perception Engine for 3D Scene Graph Construction and Optimization》. Proceedings of Robotics: Science and Systems (RSS).
这一双向层级结构的计算优势，在于它如何化解边缘 SoC 上的内存—计算张力。 向上的抽象将数 GB 的密集三角面网格压缩为 KB 量级的符号子图，使基础推理器能够在不耗尽 LPDDR5 带宽、也不以数百万个原始几何词元塞满 KV 缓存的前提下，评估长视界任务规划。 相反，向下的语义落地机制使高层空间目标能够触及局部的几何证据。 规划者查询空间时并不遍历每个格子，但每个节点的证据新鲜度都不能优于其下方的度量单元，而将符号目标进行语义落地最终仍归结为对已验证度量层的净空查询。
学习得到的策略的上下文是另一种形式的记忆。 自回归策略将近期观测保存在键值缓存中，其增长规律由 供给、新鲜度与内存墙 推导，并由 流式窗口 通过淘汰最旧的 词元 加以约束 (Xiao 等 2024年)，无论其物理后果是否已经结束。 机器仍须遵守的物理事实因此存在于带有自身证据时刻的信念记录中，而不会仅存在于策略的上下文中。 在窗口开始之前被看到正走到货架后方的行人，已从上下文中消失，但并未从通道中消失。
Xiao, Guangxuan, Yuandong Tian, Beidi Chen, Song Han, 和 Mike Lewis. 2024年. 《Efficient Streaming Language Models with Attention Sinks》. International Conference on Learning Representations (ICLR).
因此，就运动授权而言，一个不含时间戳的表示是一种未经核实的断言，其误差界超过任务容差的估计必须在运动提案中排除，然后才由授权路径考虑执行器指令。 然而，机器无法一出现丢帧就中止所有操作。 将动作跨越短暂的感知间隙延伸，需要借助估计器将信念向前传播，直到新的测量到来以确认或修正状态。
遮挡下的信念
当直接感知失效时，物理人工智能系统会使用内部状态转移模型来更新其状态估计。 卡尔曼滤波 利用系统动力学更新状态估计4，而一个学习得到的策略可能使用自回归网络预测下一个相对位姿。 无论采用何种方式，预测都是将旧证据向前外推，而不再更新它，这一点由 节 1.1 确立；预测通过补偿预期的物理运动来保留观测的效用，但它并不会重置底层测量的年龄。
预测状态与观测状态之间的差异，决定了机器在机架末端获准执行的动作。 人可以走到那里，进入示意性的 1.10 m 净空距离 \(D_{\text{clear}}\)，而停止预算所保障的正是这一距离；一旦机架遮挡了横通道，问题就在于：被记住的视角最多能证明横通道仍然空置多长时间。
每一个物理模型都会对现实进行简化，导致投影状态与物理世界之间的误差在盲区内持续扩大。 在状态估计 中，这种弥散由 遮挡协方差扩张 所支配，即传感器视线中断期间不确定性按物理规律持续增宽。 该扩张由随机模型在数学上形式化（例如连续的 Lyapunov/Riccati 协方差传播方程，详见 Continuous Covariance Propagation and Observability），它量化了关于物体实际位置的日益增长的怀疑，并在传感器重新获得可见性之前，约束了由未知漂移速度和非预期物理扰动所导致的未被观测到的发散。 对于一个确定性的算例模型，假设传感器特性与扰动限幅给出了遮挡开始时刻（\(\Delta t = 0\)）的初始位置误差界 \(E_0\)。 两个有界项随后会劣化预测。 模型未知的运动引入一个由 \(v_{\text{drift}}\) 限定的漂移速度，模型未建模的力产生一个由 \(a_{\text{dist}}\) 限定的扰动加速度。 在遮挡时长 \(\Delta t\) 内，误差界 \(E(\Delta t)\) 随后遵循二次展开：
\[E(\Delta t) = E_0 + v_{\text{drift}}\Delta t + \frac{1}{2}a_{\text{dist}}(\Delta t)^2 \tag{1}\]
在机架末端，这些项就是机器自身的。 初始误差是定位界 \(\delta_{\text{loc}}\)、50 mm，因为机器只知道机架末端位于该界之内。 容差是防护净距 \(\delta_{\text{margin}}\)、100 mm，即预算在停稳的机器与人员之间预留的部分。 隐藏在机架后方的行人可能侵占这一防护净距，其速度最高可达安全距离计算为接近行人所假设的步行速度上界 \(v_h\)，即 1.6 m/s。 由于 \(v_h\) 直接界定了速度，公式 1 仅保留其线性项，其中取 \(v_{\text{drift}} = v_h\) 与 \(a_{\text{dist}} = 0\)；关于机架末端已清空这一信念，在 \((\delta_{\text{margin}} - \delta_{\text{loc}})/v_h\) 之后失效，该时间量折合为 31.25 ms。 导航相机每 16.7 ms 输出一帧，因此该信念在两帧之内即告失效，而展示空无一人的横通道的帧，在感知调度它（传感器转导与标定）时已经 51.6 ms 陈旧。
没有任何软件环节标记失效时刻。 地图仍显示横通道空闲，估计器仍发布格式良好的记录，但预测已不再作为证据发挥作用。 因此，记忆无法证明被遮挡的机架末端净空，为记忆提供依据的图像帧也无法证明这一点，该区域因而保持未知。 停止预算保护一个位于距离 \(D_{\text{clear}}\) 处的静态障碍物，例如已经走出并站在过道里的人，或者一个掉落的提包；而记忆会为这一预算增加一个截止时间，但不增加距离。 在驱动极限处的累计值保持在 912.9 mm 处，即 传感器转导与标定 留下的值。
在整个停车过程中持续走向机器的行人属于另一种障碍物。 安全距离计算将该接近过程计为 \(v_h(\tau_{\text{delay}} + T_{\text{stop}})\)，即从检测到完全停止的整个时间内应用的行走速度。 在 1.5 m/s 的驱动极限处，恒定减速停车耗时 \(T_{\text{stop}} = v/a_{\text{brake}}\)，仅这一项就达到 1.41 m，在尚未计入预算中的其他任何距离之前，就已超过全部 1.10 m 净距。 因此，该场地通过由场地运营负责的穿越规则、地面标线穿越区和机架末端存在传感器这三项措施来处理接近的行人。残余主张登记表 记录了该规则所依据的前提。 无论站点采用何种穿越规则，许可路径都必须拒绝任何在信念失效期限之后仍依赖空置记忆来判定净空的提案。
Definition 1.2: 信念状态失效时域
信念状态失效时域（\(t_{\mathrm{exp}}\)）是指自最后一次物理观测起，信念的验证误差界\(E(\Delta t)\)首次达到任务容差\(E_{\max}\)所经历的时长： \[t_{\mathrm{exp}} = \inf \{ \Delta t \ge 0 : E(\Delta t) \ge E_{\max} \} \tag{2}\] 其中\(E(\Delta t)\)为有界扰动增长律，例如@eq-mem-occlusion-expansion 或校准后的误差分位数；而证据基准时刻为\(t_0\)的信念，将在\(t_0 + t_{\mathrm{exp}}\)时停止支撑运动。
- 意义：形式化地界定前向传播的状态估计不再构成有效物理证据的硬性数学边界，要求许可路径在几何净空被突破之前拒绝依赖性的运动提案。
- 区别：与监控软件进程心跳间隔的开环超时看门狗不同，失效时域源自连续物理运动学、有界扰动动力学与机械净空约束。
- 常见陷阱：允许神经规划器或卡尔曼滤波在长时间传感器中断期间持续外推状态估计，而不限制误差扩张，将平滑的数学外推误认为物理真值。
当传感器管线重新获得视线时，系统既不能简单地将传播后的状态用新测量覆盖，也不能盲目地将原始测量直接送入下游控制器。 遮挡后不久获得的传感器读数常受到瞬时灯光反射、部分边缘可见性或对应关系误差的影响。 在混合或重置状态之前，估计器必须计算新息，即新测量与内部模型预测的位姿之间的差异，这是一种数学层面的合理性检验。 如果新测量落在计算出的误差界\(E(\Delta t)\)之内，则该测量确认了模型的漂移假设，允许估计器收缩不确定性并重置证据时钟。 如果来测量落在该界之外，则要么物理对象发生了意外移动，要么传感器返回了离群值。 直接将坐标框吸附到错误的离群点，会让规划器认为机器人发生了跳变，从而在轨迹中引入瞬时位置跳变。 该跳变要求驱动器无法提供的加速度，使执行器同时逼近 执行器传动限制 的电流上限与 热工作占空比 的热极限。 估计器必须分离出该差异，评估测量是否有效，并在更新执行目标之前拒绝不连续跳变。
模型预测充当跨越缺失或延迟观测的临时桥梁，而该桥梁仅在累积模型误差小于任务机械公差时成立。 它何时失效取决于误差的来源。 在机架末端，仅速度约束决定了速率。 笼门处，闩锁释放槽的宽度设定了必须进入其中的抓取器手指的容差 \(E_{\max}\)，而未建模的力会引入比任何速度上界增长更快的项。 在两次传感器更新之间，估计器通过其被控对象的模型积分指令力来传播状态，其间没有反馈确认。
驱动该传播的随机模型将衰减机制区分为三类。 遮挡开始时的未测速度误差以 \(\sigma_v^2(0)(\Delta t)^2\) 的比例增长位置方差，而未建模的随机力（如扭矩脉动或结构振动）经两次积分后以 \(\frac{1}{3}q_c(\Delta t)^3\) 的比例增长它；这些方差项正是经过校准的分位数必须吸收的部分。 一个受 \(|a_{\text{dist}}|\) 界定的未建模恒定力，例如拖曳电缆或持续的滑动摩擦，反而至多使物体偏转 \(\frac{1}{2}a_{\text{dist}}(\Delta t)^2\)，即 公式 1 中的确定性项。5
在笼门处，手指此刻在无视觉观测的情况下进入槽口。 在最后接近阶段，手指会遮住腕部相机所见的槽口，且手指必须保持在槽口中线 1 mm 之内，任务容差为 \(E_{\max}\)（图 5）。 机械臂经验证的运行区域提供了在槽口参考系遗漏问题中已计入的界限（见 节 1.4），初始位置误差 \(E_0\) 至多 0.1 mm，未观测到的速度误差 \(v_{\text{drift}}\) 至多 12 mm/s，遮挡再加一项，即一个示例性的加速度扰动 \(a_{\text{dist}}\) 至多 50 mm/s²。 由于 公式 1 的增长律不含力臂弧，因为信念将槽口与该槽口观测采集时刻的腕部位姿串联起来，这正是对丢失帧的补救，所以位置误差仅通过漂移与扰动增长。
用上述参数评估该增长上界可得 \(E(\Delta t) = 0.1 + 12\,\Delta t + 25\,(\Delta t)^2\)，其中 \(\Delta t\) 以秒为单位，\(E(\Delta t)\) 以毫米为单位。 设定 \(E(\Delta t) = E_{\max}\) 可得二次方程 \(25\,(\Delta t)^2 + 12\,\Delta t - 0.9 = 0\)。 其唯一的正实根为 66 ms，因此依赖该信念的提案必须在此之前失效。 若槽口加工至间隙为 0.30 mm，则允许的未观测时长缩短为 16.1 ms（\(25\,(\Delta t)^2 + 12\,\Delta t - 0.2 = 0\)）。 将机械公差收紧 3.3×，允许的未观测时长随之缩短 4.1×，需要在该更短的窗口内重新采集传感器数据或采用顺应性阻抗保持。 相比之下，若估计器天真地假设速度恒定（\(a_{\text{dist}} = 0\)），则其预测的有效时域为 \((E_{\max} - E_0)/v_{\text{drift}}\)，即 75 ms。 在该经过时间，模型化边界达到 1.141 mm，超出间隙 14.1 percent。 仅采用恒定速度准入规则将把该估计继续接受 9 ms，超过有界模型截止时间；是否发生接触取决于轨迹与几何。
估计器的内部协方差矩阵反映的是其随机模型，而非一个实测的硬上限。 安全性论证可以建立在两种界限之一之上。 有界扰动增长律要求初始误差、速度、加速度、时钟换算和模式切换具有可论证的界限；然后，31.25 ms 机架末端根值与 66 ms 闩锁槽位根值是该区域内有条件的最坏情况截止时间。 或者，分阶段丢包和外部真值可以在指定的测试分布下校准某个指定的残差分位数（例如 \(P_{99}\) 或 \(P_{99.9}\)）。 这给出一个概率性准入限幅，其尾部为百分之一或 0.1 百分之一，且尚未计入其他模型误差和覆盖误差。 记录方与消费方必须声明适用的是哪种机制，监控其有效区域，并在证据超出该区域时拒绝相关运动，或选择经验证的可行回退方案。
两种情形都给出同一类截止时间，因为 1.2 的失效视距只追问声明的界何时首次达到任务容差，而不论该界由哪个模型产生。 因此，失效既不是任意的通信看门狗定时器，也不是为调度方便而固定的 \(100\text{ ms}\) 启发式规则。 它是一个由任务几何、执行器控制能力和扰动动力学共同决定的物理截止时间；越过 \(t_0 + t_{\mathrm{exp}}\) 之后，下游回路便不能再假定估计位姿处于所需净空之内。
公式 2 的视距并非整台机器的单一标量。 载荷、速度与接触状态会改变扰动界，因此状态接口为当前运行工况选择生效的失效时刻；而从自由运动转入接触、在数毫秒内改变速度的情形，会直接使平滑漂移模型失效。 同一台机器上的三种信念分别在不同的时钟上失效（表 2）。 闩槽式手指信念的有效期限受漂移和扰动引起的误差增长所限制，其容差为毫米量级。 机架末端的人与手臂旁的一位同事都以相同的行走速度为限，但由于各自的误差从不同的初始值增长，并逼近不同的容差阈值，他们的信念会在不同的时刻失效。
| 信念 | 误差界 \(E(t)\)（毫米；\(t\) 为秒） | 任务上限（毫米） | 根 | 到期响应 |
|---|---|---|---|---|
| 人员越过机架末端 | \(50+1600t\) | 100 | 31.25 ms | 将横向通道视为未知；拒绝依赖性的推进 |
| 锁槽手指 | \(0.1+12t+25t^2\) | 1 | 66 ms | 拒绝插入；柔顺保持或重新获取槽位 |
| 机械臂旁的同事 | \(15+1600t\) | 150 | 84 ms | 撤销依赖该信念的机械臂运动；仅在制动净距仍满足时停车 |
本节的每个根都信任其计算所依据的增长律。 增长律的好坏，完全取决于机器捕捉其失败的能力，可通过重捕获时的残差或人为安排的观测中断测试实现；而有些误差根本不会产生任何残差，因为机器上的任何传感器都无法观测到它们。
当估计器无法知晓时
机器人末端执行器上的一个示例应变片读出恒定的 5 N，该读数在允许存在未知偏置后，与任何真实接触力都相容。 一个以置信度预测该力的估计器，或一个学习得到的模型，并不能表明该力是可观测的。 在状态估计中，状态轨迹在有限时间窗口内，当且仅当可得传感器输出的历史唯一地确定了该机器机的初始状态时，是 可观测的，即不同的物理轨迹产生不同的传感器轨迹，而不是无法区分的测量序列。 当两个不同的物理状态历史产生完全相同的传感器读数序列时，机器中任何位置运行的数学运算、滤波器或神经网络都无法判定该身体实际遵循了哪条物理轨迹。 机器从传感器接口接收的比特流在两种现实中完全相同。
要弄清为何可预测性不同于可观测性，可跟踪该末端执行器，观察它如何调节接触力以对抗刚性表面。 设真实的法向接触力为 \(x(t)\)，应变片调理电路引入一个未知的、缓慢变化的传感器偏置 \(b(t)\)。 在每个采样间隔内交付给估计器的原始测量值为 \(y(t) = x(t) + b(t)\)。 假设传感器输出一个恒定数据流 \(y(t) =\) 5 N。 该观测可由一个真实的物理力 \(x(t) =\) 5 N 与零偏置 \(b(t) =\) 0 N 满足。 它同样可由一个真实力 \(x(t) =\) 2 N 与传感器偏置 \(b(t) =\) 3 N 满足，或由 \(x(t) =\) 0 N 与偏置 \(b(t) =\) 5 N 满足。 对于任意偏移轨迹 \(\Delta(t)\)，状态对 \((x(t) - \Delta(t), b(t) + \Delta(t))\) 产生完全相同的测量序列 \(y(t)\)。 真实力与传感器偏置之间的差异，存在于测量系统的不可观测子空间中，即物理变化在传感器数据中完全相互抵消的结构盲点。
由于测量流无法区分物理载荷与传感器漂移，估计器必须依赖关于各状态如何演化的先验假设。 若卡尔曼滤波或学习得到的循环估计器被配置为相信传感器偏置\(b(t)\)是静态的、方差接近零，那么它会将其在\(y(t)\)中的每一次变化都归因于真实接触力\(x(t)\)的变化。 随着新样本到达1,000\(\text{Hz}\)，滤波器会纳入这些传入数据，并反复更新其内部状态。 由于 传入测量与状态动力学的前向投影相吻合，计算得到的状态协方差收缩，估计器报告一个越来越窄的不确定度界，并在\(P_{99}\)概率水平下发布对5 N$\(0.05 N的估计。 与此同时，关节定子线圈中的焦耳热（\)I^2 R$，见 热工作占空比）会加热传感器电桥（金属随膨胀而改变其电阻），使物理偏置 \(b(t)\) 以热弹性速率 0.2 \(\text{N/min}\) 发生漂移。 在 15 \(\text{min}\) 内，\(b(t)\) 的偏移量为 3 N。 表面上真实的力已从 5 N 降至 2 N，然而估计器却对漂移量已达其名义值的 60 %的状态报告了高置信度。
下游控制策略以这种虚假的确定性作出响应，命令电机扭矩以维持其认为的 5 N 预紧力。 由于真实力仅为 2 N，接触面上的摩擦力低于工件的剪切载荷，导致工件从夹爪滑脱并落入工装夹具。 该故障发生而未触发任何内部软件诊断。 估计器监控其新息序列 ，即在每个采样点计算传入测量 \(y(t)\) 与预测测量 \(\hat{y}(t)\) 之间的新息，如 节 1.6 所述。 在本漂移场景中，估计器预测了 \(\hat{y}(t) = \hat{x}(t) + \hat{b}(t) =\) 5 N，而物理传感器返回 \(y(t) =\) 5 N。 新息在每个时间步均为零。 新息检验仅测量物理传感器是否与内部状态的前向投影不一致。 它无法揭示不可观测误差模式，因为在不可观测流形上，传感器输出对漂移是不变的。
恢复可观测性要求系统架构提供额外的约束，以打破不可观测子空间中的对称性。 一种工程设计通过以下三种方式之一实现这一点。 首先，独立的传感可能引入第二条测量通道，其失效机理不同，例如监测关节电机电流，或使用不共享应变片热敏特性的光学偏转传感器。 其次，机器可以主动施加物理激励，命令夹爪短暂脱离工件接触 40 \(\text{ms}\)，从而构造出已知的边界条件 \(x(t) =\) 0 N，此时测得的传感值直接暴露出 \(b(t)\)。 第三，机器可以依赖周期性的外部标定锚定，在计划中的换刀周期中将工具与经过标定的参考力传感器接触，以重置偏置估计。
当某个物理状态无法由互补传感或主动激励加以约束时，估计器必须将该状态视为不可观测，并拒绝发布虚假精度。 估计层必须将对应的状态维度标记为不可用，或者依据底层硬件的最坏情况物理漂移率放宽其误差界，而不是依据滤波算法的收缩协方差。 线性与非线性动态系统的形式可观测性分析是控制理论的既定基础，由 Kalman (1960年) 对线性状态空间、由 Hermann 和 Krener (1977年) 通过 Lie 导数（参见 Continuous Covariance Propagation and Observability）对非线性系统进行了严格处理。 系统工程师不会在运行时重新推导这些秩条件。 工程任务是识别在当前传感器配置下哪些物理状态缺乏完全可观测性秩，并强制状态接口永不对未受约束的自由度报告统计收敛。
Hermann, Robert, 和 Arthur J. Krener. 1977年. 《Nonlinear controllability and observability》. IEEE Transactions on Automatic Control 22 (5): 728～40.
状态估计的可观测性与收敛性结果源自控制理论，且仅在四个明确假设下成立。 首先，传感器前向模型必须捕捉全部物理耦合，且不引入未建模的代数依赖。 其次，物理参数（如部件刚度与热系数）必须保持在预标定范围内。 第三，传感器噪声必须保持零均值，且与执行器指令不相关。 第四，机器的运行轨迹必须避免使可观性矩阵 降秩的奇异构型，这是一种数学上的坍缩，表明某些物理状态暂时对传感器不可见。 估计器在运行过程中通过交叉校验冗余测量通道、检查环境温度传感器，并在信念过期之前强制执行主动重零化流程来验证这些假设。 当运行条件违反上述假设时，例如当光学传感器被遮挡，或运动学构型达到奇异对齐，估计器将撤回该估计的有效状态，下游控制器则回退到保守的速度与力矩限值。 估计器通过撤回自身的有效性声明，使其失效显露出来；更严重的失败是那些没有任何东西撤回的情况。
信念如何出错
摄像机停止输出帧，但传输节点仍持续以当前时间重新发布其最后一次变换，下游控制器的5 \(\text{ms}\) 发布时刻新鲜度检查对每一副本均通过。 该故障与摄像机仅仅静默失效在性质上不同，这一区别将各类估计失败划分为两种形式。 在显性故障 中，组件停止执行、丢弃通信数据包、清空输出缓冲区，或置位显式错误位。 下游消费者立即观察到数据缺失或有效性标志被清空，从而在仍可行时启用经校验的降级策略，例如保持、停止或柔顺模式。 在静默故障 中，记忆层继续发布一份完整且数值格式良好的状态记录，其状态位有效、方差指标较低且时间戳连续，而记录内部的数值与机器的实际物理构型相背离。 下游控制回路在未抛出异常的情况下消费这些被污染的记录，依据虚构的几何构型计算反馈修正。 由于物理执行器会执行源自这些看似有效记录的命令，例如驱动机械臂驶向如今已与墙壁相交的目标，静默的状态损坏可能在任何软件监控器登记异常之前，就跨越 因果边界 所述的因果边界传递力。6
节 1.1 的重新发布风险有一个名称，即 冻结变换（frozen transform），它是最具欺骗性的静默故障，因为一张过时的空间快照被配上当前时间戳重新发布，从而掩盖了失效的传感器。 在一个示例时间线中，光学跟踪节点在时间戳 \(t_0 = 0\text{ ms}\) 计算变换矩阵 \(T_{\text{camera}}^{\text{object}}\)。 若光学传感器在 \(t =\) 10 \(\text{ms}\) 处断开、丢帧或遭受线程饥饿，则底层跟踪算法将停止产生新的空间证据。 如果消息传递中间件或某个中间传输节点将最后一次计算出的矩阵保留在未过期的缓冲区中，并以 1,000 \(\text{Hz}\) 的循环速率重新发布，生成新的传输时间戳 \(t_k = t_0 + k\,T_{\text{rep}}\)，其中 \(T_{\text{rep}} =\) 1 \(\text{ms}\)，那么该测量的时间溯源信息即被抹除。 下游跟踪控制器通过计算数据年龄 \(\Delta t = t_{\text{now}} - t_{\text{msg}}\) 来校验新鲜度。 由于发布方使用系统当前时钟为消息打上了时间戳，\(\Delta t\) 小于 1 \(\text{ms}\)，满足严格的新鲜度阈值 \(\tau_{\text{max}} =\) 5 \(\text{ms}\)。 控制器将该变换接受为当前证据。 若物理对象以速度 0.5 \(\text{m/s}\) 运动而变换保持不变，控制器将在 100 \(\text{ms}\) 内累积 50 \(\text{mm}\) 的空间跟踪误差，却报告零估计跟踪发散。
“幽灵物体跟踪” 出现于估计器将空间坐标的寿命与存在性证据的寿命相分离的情形。 感知模块维护一条物体轨迹，包含运动学状态向量 \(\mathbf{x} = [p, v]^T\)（编码空间位置与速度）以及存在概率 \(p_{\text{exist}} \in [0, 1]\)（编码物体在物理上真实存在的置信度）。 当物理物体被移出工作空间，或遮挡开始时，原始检测器命中数降至零。 若估计层继续依据过程动力学将 \(\mathbf{x}\) 前向传播，而存在概率衰减由较长的时间常数决定（例如，一个示意性衰减过程，使得 \(p_{\text{exist}}\) 在 \(1500\text{ ms}\) 内无强化输入的情况下仍高于工作阈值），则跟踪器会维持一个持续的幽灵实体。 路径规划器使机械臂绕行于空区域，或自动抓取程序在空坐标上合拢手指。 检测幽灵轨迹不能依赖被动的测量缺失。 它需要负证据（节 1.5），即视线传感器扫过该体积并确认预期占据区域为空，或接触预期未被满足——当力传感器在预测的接触边界处测得零载荷时。7
坐标系的错误归属在语法与语义之间大致沿同一分界呈现。 当发布方在变换树图中为变换标注了无效或未定义的坐标系标识符时，即发生 可由模式检测出的坐标系不匹配（schema-detectable frame mismatch）。 具有静态模式强制的消息总线会在序列化边界处拒绝该数据包，因为所命名的坐标系无法解析为已知的父级链路。 相比之下，语义错误的坐标系分配 发生在工程师或配置文件分配了一个有效且类型正确的坐标系标识符，但该标识符代表的是错误的物理链路。 例如，使用裸安装法兰 \(T_{\text{flange}}\) 的变换来指令工具中心点轨迹，而不是使用延伸工具尖端 \(T_{\text{tool}}\)，可满足所有模式校验检查、类型断言和树遍历测试。 在一个示例性设置中，工具尖端沿工具 \(z\) 轴超出法兰 \(150\text{ mm}\)，法兰当尖端处理这一错误会使预期的接触点偏移该偏移量。 接触是否发生取决于夹具几何与允许的路径。 检测语义帧错误需要物理一致性检查，例如，将测得的电机扭矩与机械臂的分析动力学模型进行校验，或交叉核对多相机光学跟踪器观测与关节编码器运动学。
当传感器更新丢失时，估计器完全依赖其预测前向模型，在盲区间推进状态估计。 一个良好构造的滤波器会更新均值状态估计 \(\hat{\mathbf{x}}(t)\)，同时以单调方式扩大估计协方差 \(\mathbf{\Sigma}(t)\)，以反映无约束过程噪声的增长。 一个过度自信的预测器 会低估过程方差 \(\mathbf{Q}\)，使 \(\mathbf{\Sigma}(t)\) 在超过 \(200\text{ ms}\) 的较长预测时长内被人为地压缩得过于紧凑。 当新的传感器测量最终到来时，人为偏小的协方差会导致滤波器折价接收的观测；它如此倚重其内部推算，以至于将有效的测量判定为统计离群点并予以拒绝。 工程师通过在系统合格性验证中执行分阶段合成遮挡来识别过度自信，即在\(50\text{ ms}\)与\(500\text{ ms}\)之间的时间间隔内系统性丢弃传感器帧，并在重新获取时评估创新量\(y(t) - \hat{y}(t)\)。 若该残差在五十次分阶段试验中始终超过预测的\(3\sigma\)协方差边界，则过程噪声模型无效。 沿不可观测自由度的漂移，例如柔性夹爪垫内的工件打滑，不会产生任何重新获取残差（节 1.7）。 在车辆尺度上，地形信念会一直维持，直到车轮本身与之相矛盾。
War Story 1.1: 一辆被困在沙中的火星车（2009 年）
上下文：Spirit 的车轮于第 1886 个火星日（Sol 1886）在 Troy 开始陷入 松软土壤，到第 1899 个火星日（Sol 1899）时，火星车已陷住；JPL 导航相机记录 为接近与陷入过程提供了时间依据。 一层较暗的表层覆盖着这处陷车地点；车轮击穿表层，进入了其下方的较亮物质。
机制：车轮的转动并未产生预期的平移，因为漫游车正在下陷。 JPL 报告称，车辆下方可能有一块岩石 可能接触到了其底部；接触只是一种可能性，而非已确立的机制。 仅凭地表外观无法确定地下承力状态。
影响：救援团队测试了脱困机动，但 “Spirit” 未能恢复移动能力。 该事件揭示了一个地形信念的局限：物理交互提供了证据，表明此前的可通行性估计无法安全保留。
响应与经验教训：JPL 在 “Opportunity” 陷入 Purgatory Ripple 之后，已研制出 Slip Check 模式（JPL 技术记录），因此基于视觉里程计的打滑检查在 Troy 之前便已存在。 控制器应比较车轮转动与已验证的运动，在证据与该假设冲突时使地形假设失效，并仅通过可行的许可检查才允许继续行驶。
冻结的变换、幽灵轨迹、错误归属的帧以及过度自信的预测者都会跨越估计与控制之间的边界，而 节 1.2 的空间信念记录正是必须在此处捕捉它们的结构，因为一个临时的值与矩阵字典无法区分活动证据与缓存动量。 因此，空间记忆的每个元素都必须位于一条显式的状态记录中，该记录将数值与其基准坐标帧、传感器来源、增长上界以及硬性失效截止时间耦合起来，后者迫使下游消费者在该截止时间过后拒绝该记录。
空间状态模式
节 1.6 中关于闩锁槽手指的信念如今承载了消费者判断它所需的一切，而 1.1 的空间信念记录正是这些量共同传递的结构。 从 观测契约 的观察契约中，该记录保留了每次观察的捕获时刻、时钟标识符与换算上界，因此权限控制器可以在评估年龄之前，以有界的误差将捕获时钟换算为其自身的单调时钟。 记忆自身贡献四个字段。 估计纪元记录最近一次计算，并与证据纪元相区分，后者记录最后一次物理测量；不确定性增长界说明在没有新证据的情况下误差累积的速率；有效性区域说明该界在何处成立；失效期则说明信念何时不再可采纳。 当新鲜观测仍对该记录构成约束时，该记录为 VALID。 观测一旦停止，预测只能将其向前推进，即在界仍保持在容差之内时推进至 DEGRADED，并在该界达到容差或机器离开有效性区域时推进至 EXPIRED；只有新鲜观测才能将其恢复到 VALID。 当传感器完全无法约束该量时，该记录为 UNOBSERVABLE（节 1.7）。表 3 则为手指填充该记录，形成带扰动界的信念。
| 字段 | 示例记录值 | 消费者检查 |
|---|---|---|
| 实体与数量 | 夹爪手指相对锁扣释放槽的横向偏移，相对于槽中心线 | 匹配目标实体与任务数量 |
| 数值与 SI 单位 | 横向偏移以米存储；下表中的界限以毫米显示以便阅读 | 解码为米，而不是毫米或力 |
| 框架 | latch_slot 坐标系，以及手腕相机校准的变换修订版 |
解析一条时间有效的变换链 |
| 证据时刻 | \(t_0\)，即手指遮挡插槽之前手腕相机的最后一次捕获，以手腕相机的捕获时钟计 | 跨预测与重新发布保持一致 |
| 估计历元 | 同一采集时钟下最近一次偏移量传播计算的时刻 | 为传播后的估计确定日期；不要更新证据 |
| 时钟换算 | 版本化 \(t_{\text{MCU}}=a t_{\text{capture}}+b\)，误差至多 0.2 ms（观测契约） | 若转换已过期则拒绝；将错误加入上界年龄 |
| 初始误差 | \(E_0\) = 0.1 mm | 将初始边界与校准值比对 |
| 增长规律 | \(E(t) = 0.1\text{ mm} + (12\text{ mm/s})\,t + \tfrac12(50\text{ mm/s}^2)\,t^2\) | 在证据年龄处与槽位容差比较 |
| 有效区域 | 机械臂加速度与接触模式自 \(t_0\) 起保持不变；该区域内漂移与扰动上界已验证 | 在模式或残差上界违规时立即失效 |
| 失效时间 | \(t_0\) + 66 ms，即增长律达到 1 mm 槽位容差时 | 失效后拒绝依赖提案；较晚的估计时间戳不会延长该失效时间 |
| 来源信息 | 腕部摄像头观测 ID、校准修订号、估计器构建哈希 | 匹配已批准来源；哈希属于版本溯源，而非载荷完整性 |
| 生命周期 | VALID 在捕获时、DEGRADED 在手指遮挡插槽后、EXPIRED 在 \(t_0\) + 66 ms |
没有新的物理证据，不得恢复 VALID |
| 在适用时，映射单元证据 | 本记录不使用；机架端横通道之类的地图信念带有每格捕获纪元与空闲/占用/未知状态 | 检查候选路径使用的每一个单元格；未知保持未知 |
同一形式承载着 立足物理世界的意图 所依托的信念，即茶杯把手的姿态，当茶杯随取餐传送带驶向机械臂时。 其坐标系为机器人基坐标系，其证据时点为腕部相机最后一次捕捉杯柄的时点，并依据同一 0.2 ms 时钟约束进行换算，其初始误差为 3 mm。 其增长规律与手指的在性质上有所不同。 传送带以不超过 0.20 m/s 的速度承载杯子，这是对速度的约束而非对力的约束，因此误差从其初始值线性增长，并在 \(t_0\) + 60 ms 时达到 15 mm 抓取容差。 其有效区域为在该速度下向前运行的传送带，且杯子安放在其上；因此，任何使杯子倾倒或抬起的碰撞，或使传送带超速或反向的传送带，都会立即使该记录失效，无论剩余时间多少。 一个在每个帧上续写记录的合格跟踪器，以传送带的残余滑移 会过期的目标 为界的规律取代了上述传送带漂移规律。
任一记录的消费方将捕获时刻换算为自身时钟，把时钟误差余量加到年龄上，再检查生命周期状态与有效区域，然后才将 \(E(t)\) 与拟议运动的容差进行比较。 通过上述检查即允许该信念进入 独立的授权决策；它并不驱动机器人。 在过期或不可观测时，控制器拒绝相关提议，并选择一个经过验证的备选方案，其制动、保持或搜索行为仍保持物理可行。
Checkpoint 1.1: 信念过期、可观测性与信念记录
在转向“有效记录被过度信任”时产生的谬误之前，先核实你对证据时刻、信念过期、可观测性限制以及信念记录的理解：
谬误与陷阱
单个有效的记录未必构成对作业空间的一致描述。 控制器必须在联合使用这些记录授权运动之前，先协调各记录的时间及其背后的证据。
易错点: 使用异步时间戳评估运动物体之间的空间净空。
移动基座以其行驶速度上限 1.5 m/s 驶向货架端部，而同事以 1.6 m/s 步行速度上限向其走来，因此两者以 3.1 m/s 的相向接近速度靠近。 它们的位置记录在采集时间上相差 20 ms，且都落在 31.25 ms 有效期窗口内。 直接比较它们，等于将从未描述同一瞬间的位置合并在一起。 在间隔中，两物体以 62 mm 的距离接近，超过定位边界与保护间距之间的 50 mm。 单独的时新性检查无法确立联合间距。 控制器必须将两个估计值传播到共同的评估时刻，把各自的生长界带到该时刻，或者依据相向接近速度与净空量限制允许的偏斜。
谬误：有界的空间协方差证明了物理实体仍然存在于工作空间中。
这是机架末端处 节 1.8 的幽灵轨迹。 一个人走出，被检测到，然后回到机架后方，而跟踪器仍沿横通道预测该人，其协方差低于拒绝阈值。 随后，规划器让基座绕开预测出的那个人，并把横通道的其余部分视为已处理。 即使该人确实存在，第二个结论依然不成立，因为遮挡区域内检测的缺失既不是存在性的证据，也不是空旷的证据，而对一条轨迹的精确外推对其周围空间不证明任何内容。 追踪器必须将存在性证据与空间协方差分开保存，只有来自具备该横通道观测能力的传感器的负证据，才能确认轨迹周围的空间为空。
摘要
空间记忆在无传感器对其施加约束的区间内承载估计。 将估计前推并不等于更新它。 预测器、滤波器或重新发布桥将状态的时间戳推进到当前周期，但该状态背后的证据仍锚定于最后一次物理测量的捕获时刻。 因此，空间信念记录将两个相隔的纪元分开，即标注测量时间的证据纪元与标注计算时间的估计纪元，并将二者绑定到同一坐标系、初始误差、增长律、有效区域和有效期。 无论该估计被重算得多么频繁，只有新的观测才能恢复记录的合法状态。 坐标系绑定之所以重要，是因为变换本身也是一种信念，拥有自己的证据时点；一条陈旧的边可以通过树能够运行的全部检查，而由它定位的工具点却已漂出安全净空范围。
状态估计的有效期不能由便利的软件超时机制来规定，例如操作系统看门狗，或设置为整数的传输缓冲区 \(100\text{ ms}\)。 过期是一个物理计算，由任务容差与未观测误差的验证增长率共同决定。 在机架末端，关于横通道为空的信念会在最后一次观测到它的帧之后 31.25 ms 过期，此时感知甚至都还没有发出该帧，无论软件消息队列是否仍然健康。 因此，记忆无法证明被遮挡的横通道是畅通的。 它给机器的停止预算增加了截止时间，却没有增加距离；预算仅保护静态障碍物，而仍在走向机器的人则由场地穿越规则承载。 负证据对空间表征进行排序。 只有有效射线所见过的空区域才为净空背书，且仅在证据仍然新鲜时；因此，渲染出的视图或地图的发布时间都不构成净空界限。
↳ 下游： 已过期空间变换的取证记录会填充 《控制权限日志》 中的权威日志。
两类错误会躲开消费者能够执行的检查。 冻结的变换或幽灵轨迹会发布完整、看似新鲜的记录，这比显式缺失帧更具危害性，因为缺失帧会触发经校验的降级处理，而伪装成新鲜的陈旧记录则通过不足的时效性检查。 不可观测误差藏得更深。 当可用传感器无法区分两种物理状态时，新息保持为零，协方差收缩，而真实误差却在增长，就像那个随绕组发热而漂移的传感器偏置造成的力估计。 只有具有不同失效机理的第二个通道、刻意的激励，或外部参考，才能恢复传感器看不到的东西。
要点回顾: 证据年龄与信念过期
- 预测推进状态，而非证据：前向传播将估计的时间戳推进到当前时刻，但其证据时标仍停留在最后一次物理测量。 年龄从该时标起算，因此重新发布或外推的状态，恰好与支撑它的观测一样旧。
- 过期是一个物理期限：当某个信念的验证误差界\(E(\Delta t)\)达到任务容差\(E_{\max}\)时，该信念即过期，无论该误差界是有界扰动增长律还是校准分位数。 为调度便利而选定的软件超时，对两者都不作说明。
- 记忆加入的是期限，而非距离：机架端的信念在31.25 ms处失效，这一时长小于两个相机帧周期，因此记忆无法确认被遮挡区域内无障碍物。 停止预算从记忆处获得一个期限，但不含距离项，且仍然只保护静态障碍物。 未知空间始终保持未知，而地图的发布时刻也永远不会刷新任何传感器未曾再次访问的栅格。
- 陈旧记录看起来比缺失记录更健康：冻结的变换、幽灵轨迹，或跨不匹配时间戳比较的两条记录，都会通过缺失帧本会失败的时新性检查。 存在性、跨记录偏斜与变换历元各自都需要针对证据时进行独立的检查。
- 不可观测误差会躲过新息检查：在传感器无法区分的自由度上，残差保持为零，协方差收缩，而误差却在增长。 独立的感知、刻意的激励或外部锚定必须提供缺失的约束，估计器才可能报告收敛。
第三定律要求许可路径依据状态作出每个动作决策，而该状态的年龄是已知的（原则 Proposal is not permission）；空间记忆为其年龄提供了定义，从最后一次物理测量的证据历元起算，而不是从最近一次计算的估计历元起算。 没有任何有效光线穿越过的空间根本不存在证据历元，因此它以未知状态进入许可路径，无论其年龄如何，都不能据此判定该空间内无障碍物。 已知的年龄仍然不是一张通行证。 它只有通过转化为误差界的生长律才有意义；无论年龄已知得多么精确，许可路径都必须在该界达到任务容差的那一刻拒绝状态。
后续内容: 从有效信念到有界目标
一个有效信念可以授权什么？ 记忆只对有效性作出判定。 它可以说，某个被记住的物体在某个规定的截止时间之前位于某个规定的界限之内，但它不能说机器应当如何处置该物体。 在 立足物理世界的意图 中，一个人类目标“从传送带上取走杯子”会转化为一份意图租约：它消耗杯子把手的信念记录，继承该信念原有的证据时点，作为自身的证据时间，将其失效时间上限设为该信念的时域，并为其授予一个带控制作用量限制的有界目标，而非一条路径，且其存续时间不得超过其下方证据所能支撑的时长。
脚注
信念状态表述：在部分可观测马尔可夫决策过程（POMDP）中，信念表示对隐状态的概率分布。 物理状态接口还携带一个误差界。 缺少该数值、参考坐标系、证据时刻和适用的不确定性模型，下游优化器就无法在传感器中断期间评估裕度。↩︎
硬件定时器输入捕获: 微控制器定时器的输入捕获通道在外部信号跳变时，将计数器值锁存到专用影子寄存器中，从而绕过操作系统中断延迟。 在不与定时器溢出标志进行原子同步的情况下读取捕获寄存器，会导致 16 位计数器别名，注入等于回卷周期（\(65.5\text{ ms}\) 在 \(1\text{ MHz}\) 定时器上）的人为时间戳跳变。 在下游视觉惯性里程计中，这种时间不连续性会引入虚假加速度尖峰，从而 使平台姿态滤波器失稳。↩︎
现场总线时钟同步抖动 ：现场总线架构表现出不同的硬件时钟同步误差界：以太网上的 IEEE 1588 PTP 达到 \(\delta t < 1.0\,\mu\text{s}\)，EtherCAT 分布式时钟的硬件 SYNC0 抖动达到 \(<100\text{ ns}\)，CAN-FD 比特相位同步则给出 \(\pm 10\text{--}50\,\mu\text{s}\)。 由于空间不确定性随目标相对速度(\(e_{\text{sync}} = v_{\text{rel}} \delta t\))而增大，微秒级同步对于将时序误差控制在微米级机械预算范围内至关重要。 分布式传感器与电机节点之间的未校准时钟漂移会劣化多轴工具协同，在关节扭矩回路中诱发高频颤振。↩︎
贝叶斯状态估计的来龙去脉: Kalman (1960年) 为线性动态系统提出了递归最小均方误差状态估计。Moravec 和 Elfes (1985年) 将这些递归贝叶斯更新推广到空间占用栅格，通过显式的距离-方位分布刻画传感器波束的不确定性。 在具身系统中，跨长时传感器中断的未补偿传播会导致贝叶斯信念分布弥散，因而需要显式设置失效时域，以防止开环控制发散。↩︎
非光滑接触动力学：物理表面的接触会引入集合值库仑摩擦和非光滑的粘滑过渡，从而破坏线性协方差传播模型。 在黏滑模式之间切换会注入不连续的位移速度阶跃，使连续运动学漂移界失效。 管理这些接触模式转换需要混合状态估计器，在检测到法向力阈值时切换不同的误差增长矩阵。↩︎
AMR 安全标准：ISO 3691-4 规定了无人驾驶工业车辆及其系统的安全要求。 遮挡与制动距离针对每种设计的工作域及其传感器和执行器配置进行评估，而非作为普适数值直接采用。↩︎
自主安全标准: UL 4600 涉及自主产品的安全评估，ISO 26262 涉及汽车功能安全。 本章中的数据时效性、跟踪轨迹失效处理和变换检查，是其工作架构的设计要求，而非上述两项标准中的条款。↩︎
Kalman, Rudolph Emil. 1960年. 《A new approach to linear filtering and prediction problems》. Journal of Basic Engineering 82 (1): 35～45.
Moravec, Hans, 和 Alberto Elfes. 1985年. 《High resolution maps from wide angle sonar》. IEEE International Conference on Robotics and Automation 2: 116～21.