监督性干预
监督性干预
目的
当人夺走一台运行中机器的控制权时，如何转移动能授权，而又不引发本欲避免的碰撞？
当人类监督者声称对自主系统行使控制权时，接管请求会送达仍处于神经控制下的运动中的硬件。 若不加严格仲裁地简单混合人类与自动指令，将产生相互冲突的控制输入；而瞬时切换则可能引发严重的机械冲击或牵引力骤失。 一个安全的干预架构必须明确指定动能权限，强制执行无突变的指令转移，并验证交接在整个过渡窗口内保持动态可行性。
关键在于，人类认知反应时间与遥测传输延迟消耗的物理制动预算与算法延迟相同；操作者无法充当零延迟的安全兜底。 当监督心跳丢失或交接停滞时，机器必须独立触发确定性兜底措施。 每次干预都必须以微秒时间戳不可变地记录，以便区分自主系统故障与操作者恢复。 在治理边界内，监督性干预将人的输入视为必须经过确定性授权路径、才能跨越因果边界的外部提案。
学习目标
- 规定操作权限，将授权动作绑定到范围、时限和认证要求
- 根据反应延迟和剩余制动余量，计算最迟回退时间与接管速度上限
- 设计权限移交，确保始终只有一个执行器指令写入方，并在物理限制内保持指令连续性
- 在带时间戳的权限记录中区分策略失效、权限移交和人工恢复
- 评估权限记录能否在事件后重建指令授权与物理结果
人类对执行机构的权威
远程助理清理被堵塞的通道、同事从夹爪中取出杯子，二者作用于同一台机器，且都不应持有对方的权威。 权威不能附着于泛化的“人类角色”或抽象的监督模块。 它必须附着于具体的具名操作，并明确给出时间预算、物理自由度，以及确定性的抢占规则。 与授予操作者广泛的行政授权不同，权限路径维护一份显式的 能力矩阵，即一张权限表，将各个操作（例如紧急断电、速度微调、轨迹路径否决，或人工驾驶基座与机械臂）映射到已认证的角色，体现人类监督控制的经典分类体系1 (Sheridan 1992年) 与多级自动化 (Parasuraman 等 2000年)。 矩阵中的每一条都规定了该操作所控制的执行器通道、其在已学习策略之上的抢占层级，以及从物理输入到执行器响应所允许的最大传播延迟。
为操作命名，将 干预 与 安全强制 区分开来，这是两套系统架构经常混为一谈的机制。 强制机制从学习模型提出的候选动作中扣留许可，在保持机器自主控制的同时，对设定值进行修改、钳制或拒绝。 干预机制将执行权从模型转移给外部主体，终止自主运行，并赋予监督者提出指令的权利，而每一条指令仍须经过许可路径。 一个执行过滤层位于快速控制路径中，以防止策略在名义跟踪时要求过流机动或违反障碍证书 (Ames 等 2019年)，同时遵守 五个物理预算 中确立的执行器热限制，以及 运动学与动力学可行性 中的运动学与动力学可行性边界。 干预机制会在运行边界被突破或操作者要求接管时，撤销策略的执行令牌。 一个配备了强制机制但缺乏干预机制的系统，无法在人类意图发生变化或外部条件超出策略设计包络时被重新引导。 相反，一个配备了干预机制但缺乏强制机制的系统，允许反应滞后的操作者在名义手动操作中将装置驱动至结构失效。
例如，远程助理（远程助手）负责监督移动操作臂，可在底盘规划器通道上持有已签名的 轨迹否决 能力：角色 remote_assistant、操作 veto_path、通道 planner_proposal，其优先级高于学习式规划器但低于本地执行器，并具备经认证的会话与一次性令牌，以及依据净空推导出的确认截止时间。 执行器对有效的否决响应为经检查的本地保持或停止。 同一会话还载有第二条记录 manual_drive，涉及底盘速度通道与机械臂关节通道，仅在依据净空推导出的截止时间内完成移交时才会激活，并随人工租约 节 1.3 失效；其所携带的每一条指令仍通过权限检查。 来自该凭据的轮式驱动扭矩报文被拒绝，因为两条记录均未授予底盘的轮式驱动扭矩通道。 打包站点的同事持有另一条记录 accept_item，使该同事能够从机械臂抓取器中取走手臂从外卖传送带上抓取的那只马克杯（立足物理世界的意图、轨迹规划）。 该记录不授予任何运动授权。 执行记录（执行记录）的 物品交接通道将机械臂接近同事手部的速度上限设为 0.10 m/s，并受 0.118 m/s 接触上限约束；没有任何能力提升该上限。 每项能力条目均绑定操作者、操作、通道、时限、认证、抢占层级与回退项；仅凭有效签名本身不授予任何运动授权。
当操作者尝试实施干预时，人体生理机能会在任何物理纠正动作发生之前，施加一项硬性实时延迟预算。 人类反应时间并非单一时点事件，而是一系列生理与机械阶段的级联流水线。 对于监控机器遥测流的操作者，感官识别阶段涵盖光抵达视网膜、经视觉通路传播并登记为光学异常所需的时间。 随后是情境评估阶段，操作者在此识别出所学策略正趋向于危险，并选择适当的对抗动作。 最后，运动执行阶段涵盖运动神经信号沿脊髓向下的传递、手部肌肉募集，以及一个旁路开关的物理位移。 将这些顺序阶段的持续时间相加，即得到生理接管反应下限。 计入网络传输与通信握手延迟 \(T_{\text{comm}}\) 后，总监督接管延迟 \(T_{\Sigma}\) 可分解为： \[T_{\Sigma} = T_{\text{sensory}} + T_{\text{cognitive}} + T_{\text{motor}} + T_{\text{comm}} \tag{1}\]
在此反应间隔内，机器仍按最后一次被许可执行的指令继续运动，直到干预信号到达仲裁器；因此，在 equation 中，将接管延迟 \(T_\Sigma\) 加到 \(\tau_{\text{delay}}\) 上，再由该方程计算，即可得到一次交接所消耗的距离。 由于反应期间的行进距离随延迟和速度的增大而增大，在缓慢爬行时可接受的延迟，在通道行驶速度下可能耗尽全部净空距离。
↰ 前置条件： 接管所延长的制动前延迟对应的制动距离方程，推导见 机械动量。
成品停止预算 停止包络（仓库移动操作臂的停车预算）展示了移动机械臂在 公式 1 上的开销。 在 1.3 m/s 的通道行驶速度下，它留下 102.6 mm 的 1.10 m 货架端净距。 接管延迟叠加在机器自身的制动前延迟 \(\tau_{\text{delay}}\) 之上，其每一毫秒都变成以货架通道速度行进的距离：
- 模式 1：直接双边遥操作：一个具备力反馈通道和主动本体感觉回路的在线回路助手，在示意性的 \(T_{\Sigma,1} =\) 150 ms 内响应，包含总线传输。 机器在该延迟期间行进 195 mm，已经超过了余量，因此即使采用这次接管，机器在货架通道速度下的停车也会结束于货架端净空距离之外。 将 \(T_{\Sigma,1}\) 加到 \(\tau_{\text{delay}}\) 上，再根据预算求解速度，可将机器的速度限制为 1.22 m/s。
- 模式 2：被动的脱离式监督接管：当助手被动地监控多台机器的遥测数据时，感官识别消耗 \(T_{\text{sensory}} =\) 300 ms，认知态势评估需要 \(T_{\text{cognitive}} =\) 1,200 ms，操作员执行开关操作的动作耗时 \(T_{\text{motor}} =\) 300 ms，而网络传输与握手协议开销另需 \(T_{\text{comm}} =\) 200 ms。 根据 公式 1，接管延迟扩大为 \(T_{\Sigma,2} =\) 2 s，在此期间机器行驶 2.60 m，超过净距的两倍，才发出任何制动指令。 同样的求解方法将机器的速度限制在 0.40 m/s。
在 模式 2 的通道速度下，机器会以全速撞上货架末端的静止障碍物，因为接触发生在制动启动之前。 人的重新介入延迟因此设定了运行速度的上限，没有任何更高增益的执行器或制动片能够突破这一上限，而 节 1.3 将这两个上限转化为机器可以请求各类接管的速度。
Napkin Math 1.1: 接管预算与净距裕量
- 机器盲驶距离：机器自身制动前延迟（\(v\,\tau_{\text{delay}}\)）期间所行驶的距离，取自 仓库移动操作臂的停车预算。
- 接管行驶距离：操作员感知障碍物、作出决策、采取行动，且指令穿越网络（\(v\,T_{\Sigma}\)）期间所行驶的距离。
- 驻留制动：接缝处的行为 中的 \(C^2\) 停车后缀，其停车距离为 \(v^2/(2a_{\text{eff}})\)，其中 \(a_{\text{eff}} = a_{\text{brake}}/1.5\)。
- 固定开销：\(\delta = \delta_{\text{loc}} + \delta_{\text{margin}} + \epsilon_{\text{track}}\)。
计算示例对比: 在通道速度 \(v =\) 1.3 m/s 与机架末端净距 1.10 m 的情况下：
- 直接双边遥操作（\(T_{\Sigma,1} =\) 150 ms）： \[d_{\text{stop},1} = v\,\tau_{\text{delay}} + v\,T_{\Sigma,1} + \frac{v^2}{2a_{\text{eff}}} + \delta = 173.68 + 195 + 633.75 + 190 = 1192.43\text{ mm}\]
- 脱离环路的接管（\(T_{\Sigma,2} =\) 2 s）： \[d_{\text{stop},2} = v\,\tau_{\text{delay}} + v\,T_{\Sigma,2} + \frac{v^2}{2a_{\text{eff}}} + \delta = 173.68 + 2600 + 633.75 + 190 = 3597.43\text{ mm}\]
系统洞见：被动监控将接管延迟从 150 ms 放大到 2 s，并将停车距离从 1.19 m 增加到 3.60 m，即为原停车距离的 3.0×。 两者都不满足货架通道速度下的 1.10 m 净距，这就是机器先减速再请求任一方接管的原因。 这些停车距离的运动学推导见 Kinematic Stopping Envelopes and Information Age Lag。
人类反应延迟与停车距离之间的物理张力贯穿每一个移动具身系统，从室内仓库机械臂到高速公路速度的自动驾驶车辆（图 1）。 停车距离可分解为两个根本不同的运动学阶段：线性反应漂移距离 \(d_{\mathrm{drift}} = v \cdot (T_{\Sigma} + \tau_{\mathrm{delay}})\)，在此期间机器在感知、认知和网络延迟下无制动地行驶，随后是二次动能耗散 \(d_{\mathrm{brake}} = v^2 / (2 a_{\mathrm{eff}})\)。 由于反应漂移随速度线性增长，而制动随速度平方增长，一位从远程控制台被动监看的循环外监督者（\(T_{\Sigma} \approx 2.5\ \text{s}\)）在物理制动片真正生效之前，会累积超过 72 米的盲漂距离，在 100 km/h 的车速下。 当以固定的前方可视净距 \(d_{\mathrm{clear}} = 60\ \text{m}\) 进行评估时，剩余的净距余量 \(M = d_{\mathrm{clear}} - d_{\mathrm{stop}}\) 界定了一个硬性运行上限。 超过临界速度阈值——从远程遥操作的 33.7 km/h 到处于警觉状态的在环操作员的 78.3 km/h——净距余量变为负值（\(M < 0\)），使得无论制动力度如何，高速碰撞在物理上都不可避免。
表 1 将两种接管模式推广到站点可能允许人员介入的其他途径，每种途径各配一个示例性延迟。 每一行将其延迟加到 \(\tau_{\text{delay}}\) 上，并求解机器仍能停在机架端净距以内的最大速度对应的完整停车预算。 上限由直接双边遥操作的 1.22 m/s 降至脱离式接管的 0.40 m/s，且没有任何模式适配 1.3 m/s 的通道速度。 最后一列指明在该延迟期间必须保持机器安全的本地保护。
| 介入模式 | 选定的总延迟 | 按通道速度行驶时增加的行进距离 | 速度上限 | 局部保护 |
|---|---|---|---|---|
| 直接双边遥操作 | 150 ms | 195 mm | 1.22 m/s | 经资格验证的无源性/速率检查 |
| 连续速度引导 | 450 ms | 585 mm | 0.96 m/s | 车载速度/净空门 |
| 监督航点调度 | 1,150 ms | 1,495 mm | 0.60 m/s | 局部障碍物否决与回退 |
| 脱离环路的接管 | 2,000 ms | 2,600 mm | 0.40 m/s | 等待期间的独立停车 |
| 物理保护性输入 | 250 ms 人员与装置响应时间之和 | 325 mm | 1.13 m/s | 经风险评估的保护性停车 |
人类响应缓慢且易受干扰；因此，人工授权不能是一种无期限的状态。 若操作员接管控制权后随后遭遇无线丢包、物理失能或认知分心，机器不能停留在过期的人工设定值下失控。 该架构通过以配置并验证过的时间租赁（倒计时，在无主动、周期性的续期时到期）约束人工授权，并借助硬件使能装置，要求持续进行物理操作以维持执行通道（图 2），从而防范操作员掉线。 在基于租赁的通信模型中，授权窗口依据机器的通信与制动预算进行设定，如移动操作机在@sec-intervention-authority-transitions 中的手动租赁所示。 操作员控制台必须持续发送经过认证的存活包，以便在期限到期前续期。 若单个租赁窗口在未续期的情况下到期，或操作员释放控制器上需持续按持的弹簧复位式物理安全开关，则人工提案在合格的检测截止时刻被撤销，强制执行器命令执行回退阶梯中针对该特定被控对象验证过的停止或保持动作（回退阶梯）。2
即使操作员持有有效的租赁权，强制执行器仍用与学习得到的模型所采用的相同屏障证书、电流限值和运动学限制来评估人工设定值。 如果操作员惊慌并下达会使满载的周转箱架倾覆的基座回转指令，或请求会使手臂执行器齿轮齿剪断的关节扭矩，强制执行器将拒绝该指令。 因此，人工指令仍然只是一个提议，原则 Proposal is not permission 对其原封不动地适用。 干预将提出权从学习得到的策略手中转移出去，而接纳权仍留在许可路径上。 尚待设计的是：提出权如何移交、在哪个节拍移交，以及当移交发生停滞时机器会做什么。
权威权移交
控制所有权必须是离散状态，绝不能由混合指令推导得出。 当工程团队试图通过持续平均自主策略与人工操作员的控制向量来软化过渡时，所得指令可能既不代表任何一方意图。 若远程助手使基座绕托盘向左转向，而学习规划器使基座向右转向以从另一侧通过，则两个指令之间的线性插值会将航向保持笔直，并将基座驱入托盘。3 为避免这种歧义，每个执行器通道（例如基座驱动或机械臂关节）的控制权必须在每个离散时间步 \(t\) 上解析为单一、互斥的状态 \(S_t \in \{\text{Autonomous}, \text{Handover-Pending}, \text{Blend}, \text{Human-Manual}, \text{Fallback}, \text{Protective}\}\)。 回退状态记录回退阶梯（回退阶梯）中许可路径正在执行的档位（保持、停止或抑制），而保护状态仅可由独立的保护输入或经确认的关键故障进入。 许可路径评估仲裁逻辑，确定活动状态，并在向低级电机控制器下发设定值之前，将该身份提交至总线。 在任何时刻，都不得有两个主控制器同时向同一执行器写入。 在 BLEND 期间，执行器通道仅由强制执行器独占，并在锁存的最后批准策略引用与经校验的人工目标之间进行插值。
每条边在 表 2 中都会指明其守卫条件与截止时间、唯一的执行器负责人，以及当守卫条件失败或活动租约过期时所采取的兜底措施。
↳ 下游： 这些接管转换即由 推导故障清单 推导出的权威故障情形。
在这些离散状态之间切换权威权，需要一个确定性的 四相握手协议（Request \(\to\) Acknowledge \(\to\) Commit \(\to\) Confirm）。 由强制执行器执行，该四阶段事务强制互斥性、校验密码学新鲜度以确保指令并非陈旧的网络回波，并在同步时钟边界上原子地在离散持有者之间转移执行权。 该顺序排除了分脑指令争用，即两个主控制器在同一计算周期内试图以相反方向驱动硬件。 在第一阶段，即 Request 阶段，某个实体表达转移控制权的意图。 这发生在以下两种情形之一：操作者通过物理输入（如按钮按下或施加于控制台且超过校准阈值的物理力）断言覆盖指令；或自主策略检测到传感器置信度已下降，并请求人类接管控制。 在第二阶段，即 Acknowledge 阶段，强制执行器检查目标状态的前置条件，验证传感器数据有效、通信处于活动状态，以及接收方具备接收指挥权的身体能力。 在第三阶段，即 Commit 阶段，强制执行器在同步控制时钟边界处执行状态迁移，撤销策略在已提交通道上的控制权限令牌，锁存其最后被许可的端点与已核验的人类目标，并在整个 BLEND 期间将执行器的独占所有权赋予强制执行器。 在最终阶段，即 Confirm 阶段，许可路径在网络中广播状态确认包并触发物理反馈，例如触觉振动或光学指示，以逐通道告知操作员当前是混合控制还是人工控制；确认丢失不会改变已提交的所有者。
该示例四阶段预算总计 31 ms；强制执行器在提交后拥有混合控制权。
每个阶段都带有预算约束、守卫（guard）和负责人，以及其失败处理机制。（参见 表 3） 该事务拒绝伪造的覆盖注入，并将中断的交接路由至单独验证的备用路径。
| 阶段 | 预算化界 | 守卫与负责人 | 故障处理 |
|---|---|---|---|
| 1. 请求 | 10 ms | 已认证角色和新鲜、经时钟换算的 nonce；不改变所有者 | 拒绝无效数据包；保留当前合格模式 |
| 2. 确认 | 5 ms | 检查状态、手动目标以及完全停车预留 | 拒绝请求；若当前模式无法继续，则调用备用方案 |
| 3. 提交 | 1 ms 节拍 | 撤销策略令牌，锁存两个已检查的端点，为 enforcer 独享执行器写入路径 | 请求的通道掩码内不允许部分提交；守卫失败时回退 |
| 4. 确认 | 15 ms | 先发布 BLEND，仅在检查过渡轨迹与租约后再发布 MAN |
丢失通知会惊动操作员，但不会撤销提交 |
由于人类注意力易变，自主策略发起的接管请求不能无限期保持开启。 如果机器在行进中遇到运行设计域边界并请求介入，而操作员处于分心、睡眠或失能状态，则无法完成握手。 状态机强制采用已配置协议上限与基于净空距离的最晚兜底时间两者中的较早者。 取一个处于净空距离 \(D_{\text{clear}}\) 的静态障碍物，即停车预算所保护的情形，以及前向速度 \(v>0\)、驻留停车的减速度 \(a_{\text{eff}}>0\)、固定开销 \(\delta_{\text{loc}}+\delta_{\text{margin}}+\epsilon_{\text{track}}\) 和机器自身的制动前延迟 \(\tau_{\text{delay}}\)。 求解 equation 的停车包络，以给出请求之后允许添加的延迟，则得到兜底可被调度的最晚时刻： \[T_{\text{latest}} = \frac{D_{\text{clear}}-\delta_{\text{loc}}-\delta_{\text{margin}}-\epsilon_{\text{track}}-v^2/(2a_{\text{eff}})}{v}-\tau_{\text{delay}},\qquad T_{\text{timeout}}=\max\!\left(0,\min(T_{\text{config}},T_{\text{latest}})\right). \tag{2}\] 安全微控制器不晚于该截止时刻之前的最后一个许可节拍调度兜底；非正的 \(T_{\text{latest}}\) 则要求立即兜底，并可能意味着停车已经不可行。 对于移动机械臂，托盘恰好留在货架末端稍后方的位置，只有到达净空距离时才进入视野，属于此类障碍物；分子是货架末端净空距离减去 仓库移动操作臂的停车预算 中已完成的停车预算，但不计其中的盲行距离（\(v\,\tau_{\text{delay}}\)）；公式再以时间形式扣除该盲行对应的延迟。因此，\(T_{\text{latest}}\) 就是预算中以时间形式支出的余量。 若策略要求在 1.3 m/s 通道速度下请求交接，机器尚有 102.6 mm 余量，因此 \(T_{\text{latest}}=\) 78.9 ms。 在 1 ms 授权时刻，回退最迟于 78 ms 开始，远早于 500 ms 配置的时限到期。\(T_{\text{latest}}\) 是随状态变化的时限；仅凭配置的时限本身并不构成可部署的安全规则。
该时限决定了机器在运动状态下可以请求哪些接管。 31 ms 的 表 3 四阶段握手可以容纳其中，因此一次经过认证的提交可以在回退必须开始之前完成。 人无法如此快地作出响应。 循环内接管 150 ms 需要 1.22 m/s 或更小的速度，因此在它请求一个之前，机器减速至选定的 1.2 m/s。（参见 节 1.2） 在那里，预算留下 209.7 mm，公式 2 给出 \(T_{\text{latest}}=\) 174.7 ms，接管以 24.7 ms 在手的情况下提交。 减速处的截止时间，而非通道速度处的截止时间，支配机器请求的每一次环内接管。 循环外接管 2 s 需要 0.40 m/s 或更小的速度，因此机器只在选定的 0.3 m/s 爬行时或从静止状态请求一个。 隐藏托盘两者都不允许，因此机器以自身的停车作答，并从静止状态请求环外接管。 减速后的接近速度与爬行速度支配机器可以预判的请求，因此引导机器绕过障碍的远程助手从这些速度之一或从停车状态接管，而绝不在通道速度下接管。
一旦权威归属于 \(\text{Human-Manual}\)，机器就必须验证其委托控制设计所要求的介入信号。 遥操作控制台可能感知抓握、注视或力，设计者依据其测量得到的覆盖范围与假丢失率在其中进行选择。 节 1.2 所述的人工租赁 \(T_{\text{lease,man}}\)，即对操作者输入的 多速率节拍 意义上的租赁，此处设定为选定的 100 ms。 在失效之后，状态机在其指定的复位条件得到满足之前，阻止返回 \(\text{Autonomous}\) 或 \(\text{Human-Manual}\)。 这些条件可能要求完全停车、故障复核以及一次新的握手。
当多个控制源提出指令时，权限路径通过一个固定的仲裁层级选择来源 (Brooks 1986年)，该层级在每个周期内进行评估，位于 《五层机器》 的提议边界之下。 独立的强制执行组件在其配置的物理限制下，接纳、修改或拒绝所选候选方案。 在 \(\text{Human-Manual}\) 中，若存在有效租约，人工提案优先于学习得到的提案。 在 \(\text{Autonomous}\) 中，学习得到的策略可以提出待接纳的动作。 在本设计中，固定状态仲裁在每个控制节拍内完成有界的工作量；它不需要两个提案者之间进行实时协商。
运行时干预接口将四阶段握手与带有时限上限的仲裁器以及显式的回退转换（图 3）连接起来。
唯一的控制指令写入主体使每个控制节拍上的控制权归属明确无歧义，但未经混合的开关仍可能请求突变的指令变更。 如果策略在某个臂关节上最后被允许的力矩与操作者的目标值不同，直接交换这两个设定值，就会把整个差值作为一个节拍内的阶跃请求出来。 完成提交的强制执行组件则利用闩锁端点生成一条带有预留制动余量的受检过渡轨迹(连续轨迹)。
无跳变切换
在提交时刻 \(t_0\)，强制执行组件锁存（latches）最后一条已批准的策略指令 \(\mathbf u_0\) 和一个经过检查的人类目标 \(\mathbf u_1\)。 一次直接切换会在一个时间步内请求 \(\Delta\mathbf u=\mathbf u_1-\mathbf u_0\)。 其理想指令导数是不连续的，但实际装置通过有限的驱动、制动与机械动力学对指令进行滤波。 较大的变化可能激发机械臂的减速箱、超出驱动轮可用的附着力，或使货物在料架上发生位移。 因此，该转移同时检查速率与完全停车的净空，而不是假定一个软件时间步会瞬时映射为物理力 因果边界。
消除这一阶跃不连续需要在一个有限的时间窗口 \(\tau_{\text{blend}}\) 内平滑混合新旧指令，这种技术称为 无扰切换。 线性混合会在其端点处改变斜率。 对于固定端点的指令加速度变化，\(C^2\) 无扰切换斜坡会在两端平滑进入和退出，从而消除指令及其前两个导数的端点跳变。 本处常用的标准曲线是五次平滑步函数。
强制执行模块使用五次平滑步函数进行混合，其系数由窗口两端的一阶与二阶导数为零这一条件确定（Smooth Trajectories and Bumpless Transfer）。 它正是规划器在接缝处所依赖的同一性质（\(C^2\)），在那里切换处不出现加速度步（接缝处的行为）；此处切换发生在控制提案生成主体之间，而非轨迹段之间。 附录还推导了使固定指令加速度变化量保持在所选指令加加速度限值（\(j_{\text{allowable}}\)）之内的最短窗口。 同一界限适用于力矩指令，因此，在（750 N·m/s）速率上限下，机械臂某一关节力矩的（15 N·m）变化至少需要（37.5 ms）。
增大（\(\tau_{\text{blend}}\)）会降低轮廓的峰值指令加加速度，但会推迟完整的人类目标，并可能延长制动轨迹。 考虑远程助手接管移动机械臂的基座：该接管在机器以（\(v =\)）（1.2 m/s）巡航速率行驶、且该速率正是其请求接管前所减速到的速率（节 1.3）时提交；并假设助手指令以场景制动减速度停车，即相对于锁定的巡航指令的一个固定步（\(|\Delta a| =\)）（2 m/s²）。 强制执行模块将混合过程的指令加加速度限制在 \(j_{\text{allowable}} =\) 8.89 m/s³ 以内，该上限等于从同一速度开始的常驻停车过程的峰值加加速度 \(6v/T_{\text{stop}}^2\)（接缝处的行为），因此转移对料架的冲击不超过机器自身停车的冲击。 随后，smoothstep 约束将混合窗口设为不低于 421.88 ms。 smoothstep 权重在窗口内平均为二分之一，因此底座会在行驶 455.4 mm 后以 0.78 m/s 的速度结束混合，再从该速度以完整目标减速度制动，又需要 151.4 mm 才能静止，总行程为 606.8 mm。
↰ 前置条件： 加速度受限的无扰切换曲线建立在 停止包络 所施加的物理停车约束之上。
瞬时阶跃接管会在 360 mm 内停车，因此无扰切换混合的代价是空间上的 246.8 mm 惩罚4；混合停车也比同一速度下的 540 mm 常驻停车多出 66.8 mm。 因此，相对于预算中预留的停车过程，混合会额外消耗停车余量。 强制执行模块仅在执行每个混合候选后所得状态仍能容纳常驻停车过程时，才接纳该混合拍；若没有任何混合拍符合，则底座接收常驻停车过程本身，即回退阶梯的停车档所执行的停车轨迹后缀（回退阶梯）。 在一个 1 ms 许可拍内直接施加加速步，以绕过混合窗口，反而会请求约 2,000 m/s³ 的该拍指令加加速度。 理想化步法仅作为比较基线。
指令混合消除了所选输出的不连续点，但处于断开连接状态、尚未投入运行的人工反馈控制器仍可能累积积分误差。初始条件匹配 在投入前对该控制器施加基于实测状态的预偏置，从而避免空闲积分器产生的瞬态。 它并不强制人工目标等于上一策略指令。 强制执行模块锁存两端，按两端的实际差值确定混合窗口时长，并在整个传递过程中检查由此产生的指令与制动余量。
为验证一次传递，在共享时间基准上记录指令曲线、电机电流、编码器运动与底盘惯性响应，并保证对齐误差有界。 阶跃指令在理想模型中存在导数不连续；由此可能观察到振铃、高加加速度与打滑 现象，而非必然波形。 固定端点五次多项式对指令速率进行约束，图 4 以示意图形式对比这两种指令曲线。 实测的被控对象响应决定了该次交接是否满足其物理极限。
强制执行模块的 \(1\text{ kHz}\) 回路将四相握手、积分器预偏置以及 \(C^2\) 五次多项式混合统一为安全微控制器上的一个协议。 每个采样周期，它采样被控对象状态、停车余量、保护性输入和授权租约。 仅在经核验的确认之后出现的合格提交周期，它才提交所有权变更；仅在闩锁端点之间插值时，它才进行插值，并在调度前检查每个插值候选；若租约过期或净空检查失败，则回退。
↳ 协议: 强制执行模块的节奏、内存与写入不变量，以及各状态下的执行步骤，见 Authority-transfer protocol。
混合完成后，远程助手将机械臂保持在人工手动模式，并通过力反射式主从系统驱动它，此时机械臂必须对操作者的运动或操作者的力作出响应。阻抗控制 (Hogan 1985年) 根据测得的运动通过 阻抗控制：接触安全性 的虚拟弹簧-阻尼器产生力，适用于可反驱关节。导纳控制 在腕部力-力矩传感器处测量操作者的力，并在刚性位置跟踪下以运动方式输出，适用于高传动比驱动装置，其反射转子惯量 \(N^2 J\) 使其难以用手移动（执行器传动限制）。 两种模式均通过操作者、机构与传输延迟构成闭环，该回路的稳定性取决于抓持力、增益与延迟，因此每种模式都必须在其规定的工作范围内检验无源性。 无源遥操作器，即从操作者手侧观察时由主端操纵装置、通信链路与机械臂构成的整体，其向操作者返回的能量永不超出操作者投入的能量。 无论主端操纵装置采用何种模式，强制执行模块都持续实施其净空与力矩限制。
混合、预置偏置与顺应性交互都预设了所塑造的指令来自有权控制机械臂的操作者，而传感器测得的力本身不携带任何权限凭证。 若权限路径在未验证身份的情况下接受转移请求，则未认证的命令注入或发生故障的子系统即可夺取控制权并在机器运动过程中覆盖机器指令。 因此，使干预平滑的机制必须与确立谁有权干预的机制配对使用。
对一次干预进行身份认证
远程助手的 veto_path 报文与伪造的车轮驱动扭矩报文可通过同一无线链路、在同一个控制周期内到达移动操作臂。 权限路径必须阻止伪造者夺取物理控制权，同时仍允许授权操作员在发生碰撞前使机器停机。 这些要求相互冲突，因此干预操作依据其诱发的机械功进行分类。 切断电源或施加机械制动在物理上与注入主动运动指令相区别，这两种动作并不对应相同的验证机制。 保护性停止是回退梯级中的一条制动或保持指令，而不仅仅是扭矩移除（回退阶梯）。 相比之下，注入底座速度、车轮扭矩或关节速度设定值，会向系统引入新的机械功率。 未经授权或已损坏的运动指令可能将运动中的质量块加速撞向障碍物，而可信的带外保护输入则请求针对该装置设定的最低风险停止。
运动指令会引入主动动能风险；因此，验证机制必须同时满足机动运动学所决定的延迟与新鲜度界限。 验证签名并检查网络运动或覆盖指令的重放窗口，是制动开始前的又一段延迟。 它叠加了执行器启动延迟 \(T_{\text{act}}\)、总线延迟 \(T_{\text{bus}}\)，以及 \(\tau_{\text{delay}}\) 的其余各项 equation；因此，当静止障碍物与机器之间的净距为 \(D_{\text{clear}}\)、机器的前进速度为 \(v\) 时，最大允许验证延迟 \(T_{\text{auth,max}}\) 本身就是交接截止时间，即 \(T_{\text{latest}}\) 的 公式 2。
在移动机械臂以 1.3 m/s 通道速度的情况下，该界限为 78.9 ms。 假设有两个微控制器上的示例验证器，一个慢、一个快：
- 验证器 A（慢）：验证耗时 \(t_{\text{auth,A}} =\) 180 ms，超过截止时间。 机器在检查签名期间行驶 234 mm，比余量多 131.4 mm，因此其停车位置比机架端净距远出该距离。
- 验证器 B（快速）：验证耗时 \(t_{\text{auth,B}} =\) 15 ms，远早于截止时间。 机器在检查期间行驶 19.5 mm，并保留 83.1 mm 的余量。
CAN 总线优先级： 正在发送的 CAN 帧不可抢占。 优先级更高的标识符仅在下一个仲裁机会处获胜；测量出的交付上界必须计入控制器缓冲区策略与最坏情况下的当前帧序列化。 独立的保护性输入在安全论证要求该处时，可避免这一共享队列。
新鲜度要求源自同一套运动学。 若认证窗口允许时间戳漂移或报文年龄阈值为 \(\tau_{\text{fresh}} =\) 100 ms，则从该窗口边界重放的已认证报文，将依据已因机器以巷道行驶速度运动而产生 \(\Delta x = v\,\tau_{\text{fresh}} =\) 130 mm 位移的基座位置下达动作，该位移超过全部 102.6 mm 备用量。
可信的独立布线保护输入由安全回路评估，无需等待网络签名，其响应为针对该被控对象选定并验证通过的停车或保持指令。 远程运动或接管报文依次通过能力与认证检查。 该网络上出现的校验和损坏、过期 nonce 或签名失败会被拒绝、记录，并按 节 1.8 规定的规则 A4 处理；畸形流量不会获得下达制动指令的权限。 若有效的指令续期丢失，则单独监控的租约到期，约束执行机制调用其已验证的兜底动作。 这种分离既保留了可用的本地保护路径，又防止了任意网络噪声迫使不安全停机。
认证与传输延迟同样会传导到训练环节。 一个始终提供即时人工救援的训练仿真器，可能低估风险状态的代价。 若实际部署的干预反而要经历认证、传输和执行延迟，那么基于该失配训练出的策略，可能会访问救援已不再可行的状态。 补救办法是在训练与硬件在环评测中建模合格延迟与回退路径，保留失败的学习者访问状态，并检验实际的净空分布。
↰ 前置条件： 微秒级覆盖掩码寄存器部署于实时现场总线，在 执行权限 中实现。
权限清单必须涵盖可能影响执行动作的诊断、调试、引导加载程序和布线路径。 生产设计可根据其威胁模型与故障模型禁用调试访问、对维护命令进行认证、保护引导更新，并强制总线权限。 验证任务在于证明每条可达的执行器写入路径要么受权限权威控制，要么具有独立保护。 本节论证覆盖无线链路上的远程报文注入、内部总线上的重放，以及来自已被攻陷的应用处理器的命令。 物理篡改不在其中；安全论证是否必须回答篡改问题，取决于威胁模型、检查访问和封装。
认证确立谁有权接管。 它并不保证交接后机器仍处于相干控制之下。 当基座带有动量、机械臂驱动器输出扭矩时，策略、操作者与安全约束执行机制必须就各通道由谁掌控达成一致。 当该一致意见破裂时，交接便会出错。
交接出错
交接可能在每个部件都正常工作的情况下失败。 当自主策略与人类操作者共享控制权时，它可能因模式混淆 和权限歧义 而失败，即机器假定人类正在管理某个作业轴，而人类则假定机器仍保有管辖权。 在多轴物理系统中，权限通常按通道分解，在移动机械臂上则分解为基座与机械臂两部分。 如果学到的策略遇到未建模的表面反射，并悄悄将机械臂让给远程助手而并未释放基座，那么引导机械臂的助手可能以为基座保持静止，而策略仍在将其推向货架末端。 反之，如果助手命令基座停止，而固件仅转移基座权限，则机械臂策略仍在违背助手意图的情况下继续伸向周转箱。 在遥测日志中，该故障表现为控制标志彼此割裂，权限位在执行线程间异步翻转。 但在人机界面上，这一状态直到运动学误差超过物理净空余量才会被察觉，因为双方都没有收到对方部分退让的即时、无歧义信号。 按通道的所有权允许这种部分转移，因此协议必须将其明确写出。 每个请求都在其信道掩码中指明所覆盖的信道，节 1.3 的状态机只为这些信道提交控制权持有者状态，Confirm 阶段向操作员宣布每个信道的控制权持有者，因此仍由策略控制的基座会显示为由该策略持有控制权。
即使存在已定义的主权移交协议，人类神经系统也无法匹配移动质量所需的响应时限。 直接控制移动操作臂的远程助手，会在 节 1.2 所述的 150 ms 环内接管时限内作出响应。 当同一助手被动地监督数台机器、而其策略正在运行时，情境感知会衰减，一次意外的移交请求便遇到 2 s 的离环接管。 正如 节 1.2 所示，机器人在这一间隙中以货架通道速度行驶，覆盖的距离超过货架末端净空距离的两倍，而在此过程中，助手尚未察觉障碍物、重新建立空间方位感，也尚未施加输入。 面向操作员摄像头可追踪注视方向和眼睑闭合。 他们无法测量对场景几何的理解，因此延迟的增长只有在响应截止时间过后才会被发现。
在坦佩，警戒度衰减遇到了一条被禁用的停车路径（当边界失效时） (National Transportation Safety Board 2019年)。 在 Cruise 事件中，一辆在撞倒行人后停下的车辆开始靠边停车，并将她拖到车底（回退阶梯）(Quinn Emanuel Urquhart and Sullivan, LLP 2024年)。 第一个问题询问：由独立的停车保障所支撑的运营者监控契约，是否能在剩余净空内使车辆停下；第二个问题询问：接触不确定性是否应当撤销运动授权，直至建立经验证的保持。
当干预发生在执行器施加力时，人工输入与约束执行机制可能彼此对抗。 例如，在 manual_drive 下遥控驾驶机械臂的远程助理，可能通过力反馈主端设备命令关节朝约束执行机制正将其保持的位置极限运动。 助手指令所请求的力矩与保持该关节的驱动电流，随后在同一连杆上彼此对抗。 若人机回路相位裕度不足，重复校正可能在由增益、延迟、抓握与关节力学所决定的频率上发生振荡。 约束执行机制必须维持物理限位，同时主端设备须向助手清晰反馈对抗力与当前生效的模式。
缺乏协调的交接同样会污染从车队日志中提取的数据。 若干预片段进入行为克隆 或扩散训练而未进行干预掩码（后者利用记录的提交时刻，将策略自身的状态与恢复过程分离），策略便把应急恢复当作常规行为学习，轨迹分片上的验证损失也不会暴露这一污染。
War Story 1.1: 2904 航班的接地接触式联锁装置
上下文：在汉莎航空 2904 航班于华沙的飞行中，机组下达了减速指令，而飞机的接地逻辑并未放行该指令，因为每个减速功能都各自带有对感知状态的先决条件(Main Commission Aircraft Accident Investigation Warsaw and German Federal Bureau of Aircraft Accident Investigation 1994年)。
机制：右起落架比左起落架大约提前九秒接触湿跑道。 扰流板展开需要两侧支柱均处于压缩状态或两侧轮速均高于 72 节；反推装置需要两侧支柱。 刹车系统另设独立的轮速门限和备用模式。 每个先决条件都作为一个能力条目，仅在感知到相应状态时才放行某个功能；合在一起，它们扣留了机组请求的减速。
结果与教训：轮刹约在左起落架接触后四秒开始，约在首次右起落架接触后十三秒开始。 飞机冲出跑道，越过跑道末端时速度为 72 节。 以运行前置条件为门槛的能力矩阵，必须向发令人员通报未满足的前置条件，指明它所等待的感知状态，并针对其前置条件与操作者意图相矛盾的状态（例如湿跑道上的一根支柱被压缩）进行测试。
仲裁者 节 1.3 存在，就是为了防止这些故障，因为控制架构 无法依赖隐式交接、人的注意力或临时扭矩覆盖。 事后展示它确实如此，需要一份在每个时间步、逐通道保存的记录。 判定事后停止究竟回答了真实的边界违规、无效词元，还是安全线上的噪声，需要那份逐时间步的记录能够经受电源循环与调度停顿。
可信运行日志
用于在数月后支持论证的记录，其要求高于调试日志所能提供的。 调试日志可能被缓冲在易失性的用户态中，并在后压条件下被丢弃。 若一次异步磁盘写入在操作系统停顿期间丢失了三行轨迹数据，工程师将失去次要的诊断上下文，而应用仍在运行。 缺失的记录会削弱在 因果边界 所确立的因果边界上的重建。 当机械臂撞击周转箱架时，判断学习策略是否发出了非法力矩、约束执行层是否未能对该力矩限幅、或操作员是否干预过晚，都需要一份有界且经过完整性校验的记录，以及独立的被控对象观测5。因此，取证日志的目的并非协助开发者逐行追踪代码。 其目的是保存被采样、被提议、被接纳和被下发的内容。 电机电流、编码器运动与接触力传感器分别提供独立的物理观测；仅凭指令无法证明已交付的力或碰撞成因。
所选的\(1\text{ kHz}\) 控制设计在每个节拍记录一个结构化的授权与动作元组，并声明记录丢失的处理方式。 最小的证据元组 具有\(\langle t_{\text{MCU}}, S_{\text{auth}}, \mathbf{x}_{\text{state}}, \mathbf{u}_{\text{prop}}, \mathbf{u}_{\text{enf}}, \mathbf{u}_{\text{act}}, \text{ID}_{\text{operator}}\rangle\) 形式，记录提案边界的两侧（《五层机器》）。 在此结构中，\(t_{\text{MCU}}\) 表示安全微控制器时钟上的事件时间（以纳秒计），可由其他时钟换算得到，并带有已记录的误差界；\(S_{\text{auth}}\) 记录有效权限状态，指示自主策略、人工覆盖或故障缓解中哪一方掌握控制权；\(\text{ID}_{\text{operator}}\) 标识任何有效干预的认证来源。 三个动作向量映射到 哪个动作会成为标签 的动作触点，其中 \(\mathbf{u}_{\text{prop}}\) 为请求动作 \(a_{\text{req}}\)，\(\mathbf{u}_{\text{enf}}\) 为强制命令 \(a_{\text{enf}}\)。 映射后的命令 \(a_{\text{cmd}}\) 介于两者之间；当提案已经以执行器坐标给出时，它无需自有的字段。 字段 \(\mathbf{u}_{\text{act}}\) 是下发给驱动的命令，而实测响应 \(a_{\text{meas}}\) 来自 \(\mathbf{x}_{\text{state}}\) 中的被控对象观测。 省略其中一个元素可能限制对某个特定因果问题的调查，因此该记录声明每个字段实际测量的是什么。 若日志记录了 \(\mathbf{u}_{\text{act}}\) 而未记录 \(\mathbf{u}_{\text{prop}}\)，调查者便无法进行策略命令的比较。 若省略 \(\mathbf{u}_{\text{enf}}\)，日志将丢失拟议与获批之间的对照。 将这些元组以完整性与时钟换算元数据串联，即构成 节 1.8 所规定的用于取证的控制权限记录。
对这些元组排序需要物理时间戳完整性，而非软件时钟查询。 由操作系统调用派生的软件时间戳会继承调度抖动、上下文切换延迟以及随负载变化的中断服务延迟，这些延迟在负载较重的应用处理器上可能超过 \(5\text{ ms}\)。 在 \(5\text{ ms}\) 的时间区间内，以 \(1\text{ kHz}\) 运行的内部控制回路执行五个完整控制周期。 若操作系统以 \(5\text{ ms}\) 的延迟记录人工干预指令的到达，则该记录将操作员的指令置于执行器响应之后，从而颠倒了物理上的因果关系。 硬件时间戳在时钟转换后记录一个定义明确的电学事件（如帧进入或保护输入边沿），误差有界。 调查者只有在时间戳不确定度、采样窗口和传感器延迟互不重叠时，才能对指令与检测到的接触进行排序。
将完整的传感器流和高速率遥测数据持续写入非易失性存储，超出了嵌入式硬件的带宽与耐久度上限。 移动操作机器人的遥操作会话中的四路相机以 遥操作演示成本 所设定的摄取速率流送原始帧，该速率仅 Gen4 NVMe 驱动器能够维持，因此这些帧的触发前段与触发后段远远超出任何微控制器的内存。 原始帧不属于 MCU SRAM 环形缓冲区。 该 \(1\text{ kHz}\) 控制元组仅占该流的一小部分，可以采用有界的小内存环形缓冲区。 若需要完整原始帧，则按实测流预算配置独立的 DRAM 或存储层；或者保留所选帧或压缩帧，并声明细节损失。 触发后，封存触发前段，并将触发后样本写入另一个已分配的段；冻结唯一环形缓冲区将导致失去事件后应有的证据。 帧记录保留其原生采集时间，而控制元组保留其 \(1\text{ kHz}\) 指令发出时间与采样时间。 背景持久化不得阻塞约束执行层。
触发前窗口必须捕捉策略分歧的时刻，而非仅仅捕捉物理接管时刻。 当学习得到的策略发出错误轨迹指令时，人类操作员与外部监控进程在识别偏差并行使控制权之前，其反应延迟介于数百毫秒到数秒之间。 若环形缓冲区仅记录操作员拉下覆盖开关那一刻之后的数据，遥测就会收录救援过程，却遗漏了使救援成为必要的异常指令。 捕获已声明的触发前区间，使调查者能在干预之前检视策略提案与状态；某提案是否不安全，需要同时具备当时的模型、状态估计与物理证据。 缺少发散前历史，评估就无法区分必要的救援与过早中断，而纠正性重新标注所需的学习者访问过的状态也已丢失。
完整性与留存可以采用受保护的哈希链，以及经过独立测试的断电存储。 在神经系统内，日志程序将证据元组批处理为固定块，对应执行的 \(100\text{ ms}\)。 每个块使用 SHA-256 哈希，并将其哈希与前一块的哈希拼接，形成只追加的密码学链。 在受保护的密钥与锚点托管下，对已提交的区块进行修改，可对照保留的链检测出来；提交前的丢失与密钥被攻破属于彼此独立的失效模式。 一种实现会周期性地将在受保护的非易失性存储中锚定根哈希。 哈希链既不提供持久性，也不提供完整的事件捕获，因此安全论证需要检验密钥托管、哪些已提交区块能够在断电后保留下来、中断的写入如何被标记，以及哪些区间存在缺失。
一份经过完整性校验的保留日志，可以为它所采样的区间确立记录下来的控制权限与指令值。 但它无法说明这些值是否被允许。 该判断需要日志所依据的清单，清单指明谁获准在何种条件下、在何种截止时限内掌握各通道；同时需要日志的条目携带清单规则所引用的字段。
谬误与陷阱
修改控制权限寄存器并不能完成一次安全交接。 机器必须在整个转移过程中保持其制动余量 与权限及安全约束的强制检查功能，而由此产生的日志必须区分干预与专家恢复。
误区: 将人工接管超时视为静态时间延迟，而非动态空间停车预算。
移动操作机在其 1.3 m/s 通道速度下请求接管，并配置有 500 ms 确认窗口。 在制动前等待整个窗口会覆盖 0.65 m，而其余已完成的停车预算使停车终点超出 1.10 m 的货架端净距，超出量为 0.55 m。 同一窗口在以 0.3 m/s 的速度低速爬行时同样适用，此时预算允许在必须开始回退之前尚有 2.8 s 的时间。 一个在一种状态下安全的窗口在另一种状态下会超出限制，因此接管时序必须依据当前速度、净距和可信的减速能力确定，并保证自主回退 在停车仍然适配时开始。
谬误: 人工手动接管应当绕过自动安全屏障并授予不受约束的执行器权限。
远程助手接管移动操作臂的基座，以引导其绕过托盘，所选路径朝向货架立柱。 切换到人工控制只改变命令的发送者，并不改变动量、摩擦或邻近障碍等物理现实。 在该架构中，安全约束执行机制必须继续将人工提案与容许运动集进行比较，并在存在运动动力学可行替代方案时对其进行约束（基于来自@sec-planning-kinodynamic-feasibility 的可行性原则）。 若请求无法被采纳，则既定的自主回退仍然适用。 接管使操作员能够指导任务规划；它并未使力、间隙和制动限在关节执行器边界处成为可选项。
陷阱: 依赖密码认证，却不对到达验证器的流量进行速率限制。
移动操作机器人的安全微控制器使用 节 1.5 的快速验证器检查每个远程接管包，每个签名的处理时间为 15 ms，。 验证只有在为该伪造包花费了这段时间之后，才会拒绝它。 如果链路上的故障节点或已被攻陷的节点 以高于验证器处理完这些包的速率发送无法通过验证的 manual_drive 包，那么仅需其中 5 个包预先排在远程助手的真实 veto_path 之前，就足以将该真实命令获准接纳的时刻推迟到 90 ms，超过 78.9 ms 的兜底截止时间 \(T_{\text{latest}}\)（按货架通道速度）。 独立接线的保护输入不在此队列中等待，但每一条网络指令都要在此队列中等待。 认证保住了指令的完整性，却留下了可用性隐患。 邮箱过滤与按来源的速率限制必须在流量到达验证器之前对其进行限流，而资格认证必须在被允许的负载下同时检验命令拒绝与执行时序。
谬误：直接在原始人类干预日志上进行训练，等同于捕捉专家示范。
学习流水线将远程助手对移动操作臂的每一次接管都视为专家示范，并在其之前的动作窗口上进行训练。 日志混合了真实的策略失败、谨慎的早期干预以及操作员的运动学失误，而控制转换本身往往包含生硬的物理修正、延迟的神经肌肉反应以及犹豫的修正，此时人类正在观察场景。 克隆这些片段可以重现导致恢复困难的不稳定行为，而不是团队希望传授的恢复过程。 数据集策展必须说明干预发生的原因、控制权限寄存器记录的控制权由谁持有，以及究竟是哪些命令真正恢复了可接受的操作。 经过复核的恢复轨迹可以提供有用的演示，但仅凭干预时间戳或完全的手动控制权，都无法确立所记录的行为适合模仿。
摘要
对具身物理人工智能系统的人类权威，需要一份经过工程设计的实时契约，以仲裁接管、在提交时撤销自主策略权威，并在可用物理预算内选定一个经验证的备用方案。 监督性干预负责提案者之间的过渡，而独立的执行者检查获准的命令，并在租约到期时执行所选的停止动作。 网络命令只有在通过能力与认证检查后才到达执行者，而这两项检查自身的开销使得在验证器之前实施速率限制成为设计的一部分，而受信任的保护性布线则完全绕过网络。 在移动操作机以 1.3 m/s 通道速度运行时，完成后的制动预算余下 102.6 mm，这为机器必须自行发出停止指令之前提供了 78.9 ms 的等待时间。 因此，机器在请求循环内接管之前减速至 1.2 m/s，并在请求循环外接管之前减速至 0.3 m/s 的爬行速度或完全静止。
从活跃策略转移控制权需要时间，因为在一个 \(1\text{ ms}\) 周期内，用不同的人类目标替换已获准的策略设定值会要求一次力矩阶跃变化。 \(C^2\) 无扰控制权移交斜坡 则是在锁定的指令端点之间，将控制权参数 \(\alpha(t)\) 平滑地从零变化到一。 其采样实现必须遵守指令速率限制以及 停止包络 的停车余量。
在移动操作臂上，执行者 仅从 0.3 m/s 的爬行速度起，在 106 ms 内对基座进行混合。 在 1.2 m/s 的人在回路内的接管速度下，任何混合后的基座指令都不满足剩余净空，因此基座接收驻留停车指令，而臂在 38 ms 内完成混合。 执行者仅在停车余量经校验后，才允许每个混合时刻通过，并监测被控对象的响应。
权限记录使每次干预都可复核。 其静态清单将每个执行器通道绑定到对应的行为体、层级与截止时间，其逐拍条目记录谁持有权威、提出了什么、哪些被受理与交付，并从执行记录中引用回退层级、从部署记录中引用操作路径时序。 已记录的提交标记出自主动策略权威被撤销的所记录边界，受记录器时钟与采样限制约束，且使用受保护密钥进行哈希链处理可揭示后续修改。 命令与权威记录仅在配独立传感器、电流与接触证据及其时序不确定性时，才支持重建。
对于模型训练，预提交间隔是一个由策略负责的环节，即使由人类决定是否介入。 保留其学习者访问过的状态、不安全提议与权威标记作为失败证据与专家重新标注的候选；将不安全的策略命令排除在专家模仿目标之外。 提交后的混合是归执行者所有的过渡数据。 仅当经复核的转移后人工恢复状态与动作满足任务的有效性标准时，才可成为示范。
要点回顾: 监督式干预与有界权限转移
- 净空决定等待： 在通道速度下，机器剩余的余量可以买到 78.9 ms；在 1.2 m/s 的减速下，它买到的是 174.7 ms，后者决定每一次循环内接管。 一次循环外接管 2 s 需要速度低于 0.40 m/s。 派发回退取配置上限与状态依赖的停车截止时中较早者。
- 单一执行器写入器： 提交会撤销策略在已提交通道上的授权令牌，并锁存其最后一条被接纳的命令。 执行者拥有
BLEND，并依据相同的物理极限检查人类提案。 - 平滑指令的代价是制动距离： 固定终点的 \(C^2\) 加速度曲线将指令加加速度限制在界内。 其额外的制动距离必须预留。
- 不同的停车路径： 可信的防护接线触发经过风险评估的被控对象响应。 无效网络报文被拒绝；丢失的有效续期则触发租约回退。
- 因果干预数据： 记录中的提交在接管前分离出策略所持有的状态，这正是纠正性重标注所需的（干预与恢复数据），以及接管之后的人为恢复。 仅将已复核的转移后恢复动作用作模仿目标。
- 权限即证据： 逐 tick 记录将缺失条目计为缺口，绝不计为通过。 清单的四条权限规则转化为验证注入的故障用例，这些用例的通过记录连同权限记录，构成放行主张 C6 的证据。
人对机器的权限依证据授予，并随该证据失效，正如原则 Evidence bounds authority 对机器所认可的每一条权限的要求。 凭证与已承诺的握手是授予该权限的证据；人工租约是该证据的有效期上限，当操作员的输入停止续期时，权限失效至由许可路径所持有的回退。 抢占层不会随失效而存续，此前持有基座控制权的远程助手在它之后不再拥有任何权限。 将控制权交还给任何提议者，都要等待状态机规定的复位条件以及新的证据。
后续内容: 从权限撤销到物理验证
脚注
监督控制层级：Sheridan 和 Verplank (1978年) 提出了一个十级监督控制分类体系，从无需计算机辅助、由人独立完成整个任务的人，一直到由计算机自行决策并执行、而忽视人的计算机。 能力矩阵针对每个操作分别刻画上述区别，而不是对整个机器只刻画一次。↩︎
三位置使能装置: 所引用的 ABB 操作手册记录了一种三位置使能握把，以及该机器人的\(250\text{ mm/s}\)手动模式限值。 松开或过度挤压握把，都是向已配置的安全回路发出请求；依据 ISO 13849-1 对该机器开展的风险评定确定了该回路所需性能等级及其选定的停止动作。↩︎
现场总线写入排他性: 权限仲裁要求分布式现场总线具备硬件强制的排他性。 自主控制器与人工控制器同时向 CAN-FD 或 EtherCAT 网段写入，会诱发非确定性的执行器抖动与逆变器电流振荡。 合格的仲裁器与总线权限必须防止两个软件来源写入同一个执行器通道。↩︎
无跳变转移制动惩罚: 该惩罚属于 smoothstep 曲线、其固定端点以及给定的加速度阶跃；若使用另一种曲线或端点对，则会得到不同的惩罚。↩︎
精密时间协议（PTP）日志：与以较粗\(10\text{ Hz}\) 间隔记录的传统事件数据记录仪相比，物理人工智能事故重建需要亚毫秒级精度。 合格的 PTP 安装可将上述设备时钟对齐到实测的转换误差界内。 事件排序要求时间戳、传感器曝光与采样、以及执行器响应周围的间隔互不重叠。↩︎