部署发布
部署发布
目的
在何种可审计的物理证据链下，自主机器才被允许在人类之间移动？
释放自主机器，即授予软件在不受约束的环境中在人类身旁施加物理力的授权。 该部署授权要求一份可审计的安全论证，将运行主张直接连接到集成物理装置的经验证据。 较高的验证准确率并不能保证机器人能在可用净空包络内停下，无事故测试日志同样不能确认应急回退在关键传感器发生静默硬件故障时依然可靠。
一项发布决策必须精确指明支持每项论证依据的经验测量，并明确划出界定其有效性的环境假设。 未建模的载荷偏移、地面磨损或热漂移可能瞬间使安全论证失效，即使神经权重未作任何改动；当证据无法裁定运行前提时，拒绝是唯一可接受的工程结论。 在治理包络内，部署发布将 Brain 的提议、Nervous System 的许可路径与 Body 的物理极限整合为一份可审计清单，并在证据失效的瞬间撤销运动授权。
学习目标
- 构建一个“主张—论证—证据”案例，将受限运行包络与可审计的物理证据相连接。
- 评估每项主张的前提属于实测、示意还是未知，并选择其所支持的结论
- 识别能够解除拒绝决定的测量项，以及条件性结论所保留的限制
- 规定在磨损、漂移或配置变更使发布失效时撤回运行授权的条件
- 通过对抗性审查发布论证，诊断缺乏支持的推理论证依据与复合反驳理由
- 设计发布清单，使其按摘要绑定上游记录，并在任何不匹配时拒绝运动
关于部署决策
一份通过测试的记录目录与硬件故障轨迹本身并不能决定自主机器是否可以在人群中移动。 在一个网络服务中，新构建版本的回归需要回滚，并会损坏部分记录。 在物理人工智能中，发布授权对质量、力和速度的控制。 验证已经针对注入故障下的机器时序、竞争与感知假设施加了压力，而它交付的是其故障记录，每条都带有预先声明的预言机，以及它们留下的缺口。 因此，工程任务从寻找缺陷转向界定证据所许可的范围。 验证准确率（闭环动力学）或一连串干净的演示（为何运行本身不构成证据）都无法完成这一任务，而决定部署并非一种统计预测。 这是对“在某个指定领域中运行证据是否限定了物理风险”的工程学裁决。
↰ 前置条件： 支撑发布声明的经验验证证据产生于 硬件故障注入。
本章所梳理的发布 是仓库移动操作臂在某一站点的服务：沿仓库通道行驶，经过可能有人站立的货架末端，打开弹簧插销的笼门，并将从出料传送带上取下的陶瓷杯递给打包站点的同事。 每项任务都自带其判据：底盘的净空距离与机械臂的接触力；模型精度无法确立其中任何一项。 因此，发布取决于预接触净距、测得的制动能力、有界的完整响应路径，以及 故障清单 的带签署故障记录。
发布结论是一个有界的、可撤销的判断。 该章节从运行包络、主张—论证—证据树、三项经签署的裁决、一旦不再满足便会导致裁决被撤销的既定条件、一项完整裁决及其必须经受的对抗性审查，以及一份拒绝放行运动（当运行中的机器不再与其经签署的证据相符时）的发布清单，构建这一判断。
发布问题
对于移动操作臂，发布问题在于：证据是否在其限定的包络内满足其三项任务各自的物理判据。 论证指明物理边界、规定故障集，以及经验证的授权与回退路径。 在这些条件成立时，它可以支持可撤销的跟踪授权；它不能从有限测试推断出对每一种可能故障的保护（1.1）。
Definition 1.1: 主张—论证—证据安全论证
Claim-argument-evidence 安全论证 是针对指定物理机器、运行包络、危害判据和故障模型的、可审计的结构化保证论证，通过明确的工程推理论证依据将顶层安全主张与具体实证证据联系起来。
- 意义：将主观、非正式的部署信心转化为可审计、可证伪的工程论证，从而在整个物理栈上把高层安全目标与具体实证证据连接起来。
- 区别：与软件单元测试套件或静态模型验证记分卡不同，物理安全论证明确关联运行设计域边界、硬件故障注入日志和运行时强制器触发线，以证明残余风险处于有界范围内。
- 常见误区：把安全论证当作开发完成后补做的回顾性合规检查表，而不是约束功能集成与发布门禁的活的架构契约。
发布案例的范围由运行包络界定，即目标 ODD 与机器自身内部条件的组合。 无条件（UNCOND）判定授权整个运行包络（运行包络），条件式（COND）判定授权其中被指定的部分，而拒绝（REFUSE）则不授权其中的任何部分。 对于移动操作臂，运行包络允许以不超过 1.3 m/s 的速度在通道内行驶（已选定；参见读者指南），在装载不超过 50 kg 的周转箱的情况下，经过货架末端时至少保留 1.10 m 的净距，并在经勘测确认摩擦系数至少为 0.204 的地面上行驶。 它允许以 0.03 m/s 的速度接近门，并允许以 0.10 m/s 的速度向同事交接物品。
↰ 前置条件： 运行设计域及其已知缺失已在 采集策略覆盖度 中定义。
在这些边界之内，学习得到的策略可以在名义任务包络范围内提出动作，但每个动作仍需独立授权。 被监控维度的条件状态（表 1）会收窄该包络；例如，机器在请求进入环内接管之前会减速至 1.2 m/s。 COND 判定的受限模式会进一步收窄该包络，因此，在仅通过站点检查制度而知的地板上，机器以 1 m/s 运行，低于 1.09 m/s 的受检地板上限。
如 表 1 所形式化，每个受监控维度被划分为标称、条件与拒绝三种状态。 条件状态限制了可受理的提案。 拒绝状态撤回跟踪许可，并选择一个经验证的回退方案（回退阶梯）。 该表列出了运行时监控器或站点程序在其中保持机器处于受控状态的维度；运行包络 的内部条件，例如环境温度、轨电压和计算负载，通过在这些内部条件下开展试验所得的故障记录进入。
| Envelope Dimension / Invariant 运行包络维度 / 不变量 | 名义包络 (\(\mathcal{S}_{\mathrm{nom}}\)) | 条件边界 (\(\mathcal{S}_{\mathrm{cond}}\)) | 硬性拒绝 (\(\mathcal{S}_{\mathrm{refuse}}\)) | 运行时监控与速率 | 强制执行机制的动作与延迟 |
|---|---|---|---|---|---|
| 通道速度 | \(v\le\) 1.3 m/s | 在循环内接管请求之前使用 1.2 m/s；在循环外接管请求之前使用 0.3 m/s | 高于经签署批准的1.3 m/s（上限1.39 m/s）测得的速度，或无效的速度估计 | 编码器与 IMU，每个1 ms许可节拍 | 钳制被许可的速度；拒绝高于经签署批准的速度的情况 |
| 地面摩擦 | 经勘测确认\(\mu\ge\) 0.204（干燥混凝土的摩擦系数约为0.60） | 检查制度仅（\(\mu\ge\) 0.12）：受限1 m/s，低于1.09 m/s 上限 | 未勘察的地板或已报告存在的膜层；透明油膜（\(\mu\approx\) 0.05）对相机不可见 | 地板勘察与现场溢油处置程序；无车载测量 | 按地面状况分区限制速度；拒绝通过通道 |
| 周转箱架载荷 | \(0\le m\le\) 50 kg，有效载荷估计（总量至多368 kg） | 载荷估计自上次拣取后已过期：仅允许机器静止时的机械臂任务 | 装载量超过容量或估算无效 | 料架称重传感器，每次拣取时监测 | 在重新称重前拒绝通道通行 |
| 料架末端净空 | 在每个料架末端均经勘测确认 \(D_{\text{clear}}\ge\) 1.10 m | 较短的已测绘净空：以相同预算获得更低的经签署批准的速度 | 未测绘的机架端部，或净空距离内的障碍物 | 现场测绘；激光雷达与导航相机以帧率运行 | 每个机架端的限速；检测到障碍物时停车 |
| 门闩接近 | \(v\le\) 0.03 m/s，门锁扣板处于其标称位置 | 无；演示不覆盖其他闩锁条件 | 0.10 m/s 接近或门锁扣板移位 | 2 ms 接触回路中的臂接触力感知 | 在 15 N 触发；拒绝缺乏验证或示范依据的接近工况 |
| 同事交接 | 在获得 accept_item 授权时，TCP 速度 \(\le\) 0.10 m/s |
同事在场且无 accept_item：提前于交接点停止 |
TCP 速度高于签署的 0.10 m/s（上限 0.118 m/s），或接触发生在所评估情形之外 | 每个授权周期更新关节编码器；臂部接触力传感 | 钳制 TCP 速度；超过签署的速度上限则拒绝 |
可辩护的发布主张会说明其受控物理系统、接触几何与故障集合1。本机器案例采用三项准则。 基座在到达已走出料架端部的行人之前，于 1.10 m 净距内停车；机械臂开门时不超过 100 N 门闩作用力限值；交接过程对同事施加的峰值接触力不超过所选的 50 N（针对已评估的接触情形）。 基座的主张保护静止人员；仍在走向机器的行人属于另一前提，由场地穿越规则 (遮挡下的信念) 承载。 发布论证必须说明：哪些人类接触在碰撞发生前被排除、模型覆盖了哪些已检测接触，以及独立回退处理哪些单一故障。 接触后的停车本身并不直接限制首个力峰值2。
考虑机械臂在其自由空间速度上限 1 m/s 处运行，工具中心点处的机器人侧等效质量为 12 kg。 在与同事的手发生无制动弹性接触时，采用等效组织刚度 \(k_h\) 为 15,000 N/m 的模型，峰值接触力遵循 公式 1： \[F_{\text{unbraked}} = v\,\sqrt{k_h\,m_{\text{eff}}} \tag{1}\] 在自由空间极限下，该理想弹性模型预测 424 N，即为 50 N 判据限值的 8.5×；因此，机械臂在该速度下无法进入未分离接触，除非给出更强、经实测的保护性论证。 同一方程限定了执行记录所封顶的物件交接速度 执行记录、人类对执行机构的权威，因为该判据至多允许 0.118 m/s。 在选定的 0.10 m/s 下，模型预测 42.4 N，处于判据之内。
该基座的主张是一项预算，而非单一力；本章必须提供证据的延迟分量是其所称的租约路径与观测年龄。 在 1.3 m/s 的通道速度下，最终预算（仓库移动操作臂的停车预算）为 997.4 mm，相对于 1.10 m 的清空距离，余量为 102.6 mm。 该余量即为预算输入中全部误差的容许额度。 一项未纳入预算的延迟 78.9 ms，即 权威权移交 中的交接期限 \(T_{\text{latest}}\)，会将其耗尽；同样，比预算所假设的 2 m/s² 低 14 percent 的满载减速度 也会将其耗尽。 对于输入未经测量的停止声明，无法证明其余量能够承受这些误差。
移动操作机器人的发布问题归结为三条有界准则：底座在净距内停止，机械臂在锁止限值内开门，且物品交接保持在接触准则之内。 没有任何一次计算单独解决其中任何一条，因为每条都继承了关于减速、延迟与接触的前提，而这些前提本身也必须得到证据支持；并且每条前提在服务过程中都可能失效，例如刹车磨损、地面污染与传感器漂移（节 1.5）。 将每一条主张连接到其前提，并将每一个前提连接到其证据，是安全论证（safety case）的工作。
安全论证与主张
对移动操作臂的任何检查都无法确认其负载底座会在到达料架末端的人员之前停下来。 该主张必须被分解，直到每个分支都落实到实际测量结果；安全论证就是记录这一分解过程的结构化论证。 在 Stephen Toulmin 的论证结构 (Toulmin 1958年)、目标结构化记法（GSN）3 (Kelly 1998年; Kelly 和 Weaver 2004年) 以及 UL 4600 自主性评估标准 (Koopman 2020年) 的基础上，本章构建了 1.1 的主张—论证—证据安全论证。 其根节点是一项主张，断言一个可测量的物理属性，例如底座在净距内停止。 由于该主张无法直接验证，策略会依据运行域、危害类别或子系统对其进行切分，每个子主张最终或归结为更细的子主张，或归结为证据，其成立范围受限于其关联所依赖的上下文与假设。
该结构的效力取决于区分证据与演示。 一个 演示 是任务在未经表征的测试分布上成功执行的记录，例如一连串干净的开门动作，门扣板始终处于其标称位置。 它衡量平均性能，但既不约束尾部，也不覆盖采样轨迹之外的失效模式。 证据是可证伪、经过校准的产物，并带有量化界限，例如来自硬件执行轨迹的最坏情况时延分布、跨越减速区间的加载停车试验，或驱动机器逼近其包络边界的故障注入试验。 缺少量化不确定性的产物，或从未测试边界的产物，仍然只是演示，无法支撑推断性关联。
将证据连接到主张需要一条 论证依据，即陈述数据为何支持该断言的推断规则。 对于学习得到的策略，论证依据是归纳性的，即从无失败测试集段推理至未来服务；而 物理试验极限 的暴露墙展示了为何该关联单独无法承载高后果主张。 没有任何零事件试验，无论在一台机器上还是在整个机队中，都能够在任何实际排程内达到这些主张所命名的风险率。 因此，论证必须补充一条架构性论证依据，将主张锚定在一条独立的授权路径 安全执行 上，该路径对执行器扭矩施加界限，并在学习得到的指令离开许可集合时撤回运动。 该论证只是收窄了主张，而非绕开这道墙，因为许可路径仅针对其能够检测到且能够及时制止的危险改变主张（该方法无法确立的内容）。
这种归纳式车队证据与安全性关键保障之间的张力，向加州机动车辆管理局报送的十年自动驾驶车辆脱手数据所体现（图 1）。 在 2015 至 2025 年间，开发者在加州道路上累计登记了数千万英里公开测试里程。 在这十年间，脱手里程（MPI）跨越三个不同的阶段：
- 第一时期：早期高速公路与郊区测试（2015–2018）：系统主要在标线清晰的主干道和高速公路上运行。 开发者建立了基线自动驾驶节奏，从每人类干预数百英里扩展到数千英里。
- 第二时期：密集城市核心区过渡（2018–2021）：车队迁入密集的大都会环境，最典型的是旧金山复杂的路网。 这一环境域偏移暴露出此前未被刻画好的边缘情况——行人从双排停放的车辆之间穿行、施工绕行手势、以及动态遮挡——使报告出的 MPI 暂时停滞或下滑（例如，Waymo 的指标从 2020 年的 \(29{,}945\) 英里降至 2021 年的 \(7{,}965\) 英里，随后才恢复）。
- 第三时期：商用无人驾驶规模化与分化（2021–2025）：车内安全员被取消，导致战略上出现急剧分化。 Waymo 将仅搭载乘客的商用运营规模扩大，2025 年每发生一次自动驾驶脱离事件的行驶里程超过 \(63{,}000\) 英里，测试里程超过五百万英里。 Aurora 将其加州乘用车业务转向德克萨斯州的商用 Class 8 货运走廊。 Apple 在 2024 年初取消了 Project Titan 项目，此前该项投入了数十亿美元的研发，且在早期介入敏感性方面一直存在困难。 最具启发性的是，Cruise 在加州申报文件中的每起脱手事件平均里程突破了 \(80{,}000\) 英里；此后不久，2023 年 10 月旧金山发生的一起拖拽行人碰撞导致其自动驾驶测试与部署许可被立即吊销。
《图 1》所揭示的根本性系统教训是：仅基于车队总里程归纳得出的论证，无法支撑“灾难性风险”这一主张。 较高的 MPI 表明系统在标称条件下具备运行成熟度，但它并不能约束未建模物理交互下尾事件失败的严重性或概率。 物理人工智能的安全论证必须将经验性暴露与在架构层面强制实施安全约束的确定性机制相结合，后者在所学策略遭遇新的分布偏移时依然有效。
工程安全论证并非存在于制度真空中。 在开发团队内部，主张—论证—证据树确立了物理风险受到约束的技术信心；在团队之外，它构成法定监管授权与法律责任的证据基础。 当自主系统从实验室走向商业部署时，其安全主张与三大主要治理支柱相互交织：
- 欧盟人工智能法案（高风险分类）： 根据欧盟《人工智能法案》，作为物理机械、协作机器人或自主运输的安全部件部署的人工智能系统，被归类为高风险人工智能系统。 法定合规要求一套可审计的风险管理系统，覆盖运行全生命周期，包括记录训练与评估分布的经验证的数据治理@sec-data-schema、具备实时干预能力的人类监督接口@sec-intervention-human-authority，以及可显露篡改痕迹的事件日志@sec-intervention-trustworthy-logs，以确保在发生任何异常接触后具备取证级可重构性。
- 领域专用法定认证： 除横向人工智能法规外，具身系统还必须满足行业特定的安全要求：美国 食品药品监督管理局（FDA） 上市前路径（510(k) 与 De Novo），适用于自主手术机器人，要求符合 ANSI/AAMI HE75 的人因验证以及 IEC 62304 的软件生命周期控制；美国联邦航空管理局（FAA） 适航认证（第 107/135 部），适用于自主空中物流；以及联合国欧洲经济委员会/美国国家公路交通安全管理局（UNECE/NHTSA）标准（如 UN R157 关于自动驾驶车辆转向），规范自动驾驶系统。
- 法律责任的重新分配： 在机器人于互锁围栏内作业的经典工厂自动化场景（工业点焊工作站）中，物理事故主要依据 operator negligence（操作人过失）这一法律原则进行裁决——评估地面人员是否违反了安全规程或绕过了互锁装置。 当自主机器在没有物理围栏的情况下于共享的人类空间中作业时，法律责任会根本性地转向 制造商严格产品责任。 一次未被建模的感知失效或跟踪超调已不再是操作人错误；它属于设计、制造或未尽告知义务方面的所谓缺陷。 在这一法律体系中，一份经密码学签名的安全论证与发布清单不仅属于良好的工程实践——它更是确立工程团队在公开发布之前将残余风险限定于最先进水平标准的那份决定性证据记录。
/var/folders/7g/fkg91tq50f58kfmg7c65747r0000gn/T/ipykernel_92026/2303944659.py:189: UserWarning: FigureCanvasAgg is non-interactive, and thus cannot be shown
plt.show()每条链路也都依赖着上下文假设，而未言明的假设仅受其下游碰巧存在的某个检查的保护。 停止主张的论证依据除其他条件外，还假设通道始终保持足够明亮，以满足导航相机的标称曝光。 假如一条昏暗的通道将该曝光时间加倍，从 16 ms 延长到 32 ms。 由于图像的年龄自曝光中段起计时，每个观测到达时的实际年龄都比预算计入的年龄大 8 ms，若不加检查，会使基座以 1.3 m/s 的通道行驶速度额外行进 10.4 mm，该额外距离约占预算剩余余量 102.6 mm 的 10 percent。 许可路径的年龄检查反而拒绝这些帧，于是基座停在了案例假定它能够通过的通道中。 团队遇到的照明假设问题表现为原因不明的服务损失，也唯有那个从未与照明绑定的检查，才使它没有沦为通行余量的无声损失。 没有任何运行时检查会看到的那条假设，没有这样的兜底机制，正如复合故障中 节 1.7 的定位余量所示。 因此，一个可靠的论证会把每一条物理依赖都表述为带界定的上下文元素，并配备运行时监控器来检测其违反。
↳ 下游： 内嵌于安全论证保证中的认识论假设，在 认识论边界 中受到严格审视。
最薄弱环节支配着每一棵“主张—论证—证据”树。 安全论证并非一个聚合体，其中一个分支的超性能可以弥补另一分支的不足。 识别基准上的高准确率并不能抵消 CAN 总线上未表征的延迟尾部，同样，广泛的策略仿真也不能弥补缺失的制动磨损数据。 若基座停止论证可分解为制动、驱动器热防护(热工作占空比)与轨迹约束三项子主张，则任一分支上的论证失效都会使根主张失效。 负责裁定该案的评审者因此关注的不是支持性工件的数量，而是那个一旦失效便允许危害发生的唯一最薄弱环节。
将安全论证与机器相匹配。
对于移动操作机器人的手臂，ISO 10218-1 与 ISO 10218-2 界定机器人及集成评估，而 ISO/TS 15066 在论证指明接触部位区域、压力、几何形状与测量方法后，为协作接触情形提供依据 (ISO/TS 15066 2016年)。 关于基座的主张构成该案例的大部分，其论证依据是基座的实测制动预算与现场勘察。 道路车辆标准 ISO 26262 与 ISO 21448 为论证提供了其关于故障与预期功能极限的区分，但对本机不作出任何认证 (ISO 26262 2018年; ISO 21448 2022年)。
表 2 中的主张—论证—证据记分卡列出六项主张，并将每项物理依据与其在本书证据下的裁定配对。 主张 C3 展示了该决策：油膜可破坏制动牵引，因此标称模型精度不足以支撑无限制结论。 以这种方式使依据失效的物理可实现条件称为其 反例 ，而 节 1.7 将反例搜寻转化为评审方法。 主张 C6 仅以检验 《控制权限日志》 所交付的四条权限规则（A1–A4）的故障记录为依据。
| 主张 | 机器上的担保与运行假设 | 对本书证据的裁决 |
|---|---|---|
| C1. 接触与停止 | 基座：以 1.3 m/s 行驶时的停止预算为 997.4 mm（仓库移动操作臂的停车预算），停车所需距离小于到站在货架末端人员之间的 1.10 m 净空距离，载荷质量为 368 kg 时尚未经过测试，这仍是一个未验证的前提；门：在制动指令下的锁紧力为 39 N，机械臂在 0.15 mm（约 3 m/s²）的范围内进一步停止，满足 100 N 的限值；马克杯：在 1 m/s 的 TCP 速度限值下从传送带上抓取（基于已追踪的意图），并以 0.10 m/s 的速度交给同事，处于推导出的 0.118 m/s 上限之下，接触力为 42.4 N，满足 50 N 的判据，且被抓取的物体被认定为任务所命名的马克杯 | REFUSE：可信减速度、制动起始、跟踪与定位误差、臂减速与组织刚度均为示意值；语义落地前提未知。 |
| C2. 权限时序 | 制动起始不晚于最后一次有效续期后 82 ms；权限约束执行机制的最坏情况执行时间 250 μs 位于 400 μs 时限之内；声明的假设：该主张涵盖权限路径能够承受的故障，锁步诊断覆盖路径自身的故障（同一芯片上的两条路径），且回退梯子的抑制层级未配置预算（回退阶梯）。 | REFUSE：最坏情况执行时间是声明的，而非在负载下实测的。 |
| C3. 制动牵引力 | 每个通道至少 0.204 的地板摩擦系数；透明油膜是反驳条件 | REFUSE；开放前提传递至 残余主张登记表 |
| C4. 观测年龄 | 导航相机观测数据的时龄为 51.6 ms，在预算之内，并带有陈旧数据回退 | REFUSE：时龄链仅为示意 |
| C5. 权限独立性 | 部署记录中在负载下测得的最大执行时间保持在声明的 250 μs WCET 之内，因而低于截止期限，共因失效因素已进行测试（硬件分配） | REFUSE 直到放置测试台账存在 |
| C6. 权威移交 | 每个执行器通道对应一名写入者；没有任何信息源可以绕过更高权限层级或权限检查；未获确认的移交须在 权威权移交 中由净空距离推导出的 \(T_{\text{timeout}}\) 期限内回退（环内接管前降速至 1.2 m/s 时，接管时间界限为 174.7 ms；以 1.3 m/s 的速度行驶时发出请求所适用的超时期限为 78.9 ms）；无效的身份认证会使该通道锁定（《控制权限日志》） | 若 A1–A4 中任一者缺少 PASS 故障记录，则判为 REFUSE（故障清单）；若仅远程通道情形失败，则限制为本地操作 |
Checkpoint 1.1: 主张—论证—证据分解与归纳性保证
在提交待裁决的安全性论证之前，先检验其结构：
三种裁决
每一行 表 2 都以裁定收尾，发布决定将整个决策树归结为三种结论之一：无条件运行、有条件运行，以及拒绝运行。 第一种结论，即无条件运行，授予签署发布案例中所列明的完整包络，前提是其常设条件仍然成立。 该案例中的每一项风险主张都需要针对指定的机组、载荷、运行设计域和故障集提供证据，且制动热容量、停车净空距离和跟踪误差界限须通过针对该运行包络的合格性验证（热工作占空比），同时在已学提案可能触及执行器之处设置独立的授权检查（因果边界）。 裁定并不消除残余风险或新发现的风险；它授权在经评估的主张下运行，并要求在其前提失效时予以撤销。
第二种结论，即有条件运行，适用于证据表明该机器在受限运行子集内是安全的，但缺少支撑完整运行包络的论证依据的情形。 此时，放行方案须落实物理、运动学或环境边界，以排除未经验证的危险状态，例如降额后的关节速度、受限的照明范围，或把人挡在机械臂工作范围之外的护栏。 当共存的未分离情况无法对接触力给出界限时，受限情形可能需要评估围栏并验证访问联锁（图 2），并通过测试确认保护性停止在人员到达危险工作区之前完成。
附加于放行判定（release verdict）的每一项条件都是一份具有约束力的契约，且每一项都指定了许可路径所强制执行的数值，而非物理所允许的上限。 物品交接展示了这一差异。 该契约签署的 TCP 速度低于接触准则在 公式 1 下所容许的上限，而这两个速度之间的差值，就是监视器在其采样瞬间无法观测到的余量：采样之间的速度增长、编码器误差，以及驱动器对速度钳制指令的响应。 以上限签署的契约无法为这些条款留出余地，因此放行情形需要在签署速度成立之前，先对每一项测得一个上界。
↰ 前置条件： 支持条件放行判定的确定性回退覆盖，建立在 回退阶梯 之上。
受检地面条件遵循同一规则。 当该场地的检查体系仅认证出 0.12 的摩擦系数时，可信的减速能力仅能达到该摩擦所能支撑的水平，而允许在已勘察地面上使用 1.39 m/s 的预算，仅能容纳 1.09 m/s。 该合同仅在前提成立时具有约束力。
第三种结论——拒绝运行——是安全论证中存在缺失的论证依据、未表征的尾部延迟、不完整的故障注入覆盖，或未监控的失效模式时，必须得出的结论。 如果执行方在部署负载下的最坏情况从未针对其 400 μs 期限接受测量，或者故障集遗漏了部署所指定的共因测试，则该风险仍未量化，因而无法支撑发布。 当测量结果与预算项背后的模型相矛盾时，同样需要拒绝，例如带载停车试验的减速度低于预算所假设的 2 m/s²。
拒绝判定是一项工程交付物，而非行政性失败。 它通过将论证树中失效的环节隔离出来，把关于进度与安全之间的争议转化为证据问题。 若因加载状态下的制动试验与制动项相矛盾而拒绝放行，团队便不争论风险容忍度，而是在加载质量下重复试验，直至已知减速度的低尾端，再依据该低尾端重新推导制动项，并仅在通道预算按实测值闭合时返回重新裁定。 拒绝判定界定了重新裁定发生前必须通过的精确证据检验。
放行决策的责任必须归属于一个可识别的 首席系统裁定人，而非分散于各开发团队。 当视觉团队对检测分数签字放行、执行器供应商对扭矩曲线签字放行、学习团队对策略收敛性签字放行时，各方都假定另一层提供了余量。 裁决者单独证明该集成系统满足安全论证，且该证明将结论绑定为一组不可变技术工件，包括已验证策略权重的密码学哈希、机械臂接触力传感的标定日志、制动起始试验，以及单独论证的最坏响应界，和带载质量下的制动试验，后者确立了可信的减速度。 签署记录的是裁决者针对该证据与规定运行域所作的有界判断。
裁决者在 表 3 中的三个决定之一上签名。 条件性结论需要单独有证据支持的受限包络；名义论证中已知的缺口不能简单改称为安全限制。 没有任何结论会移动提案边界。 在 UNCOND 与 COND 两种情形下，策略都只提出动作，而许可强制执行机制仍然逐一审核准入每个动作，正如原则 Proposal is not permission 所要求的那样；因此，放行所设定的包络由许可路径强制执行，放行也绝不会赋予策略独立的许可权。
| 签署结论 | 所需证据 | 权限与运行时限制 | 失效或拒绝触发条件 |
|---|---|---|---|
UNCOND |
完整运行包络声明、实测装置与时间边界、独立验证的权限与回退 | 策略在完整的 经签署确认的 任务包络内提出动作；每个动作均须通过许可强制执行机制的审核 | 证据、配置、校准或既有前提失效 |
COND |
受限运行包络声明及其自身的证据、限值与故障覆盖 | 策略仅在经签署确认的缩减限值范围内提出动作；每个动作均须通过许可强制执行机制的审核 | 任何受限前提变为假或未知 |
REFUSE |
关键证据缺失、相互矛盾、已过期或未通过认证 | 没有自主跟踪许可；执行所评估的停止或保持动作，即放行论证为受控装置验证的回退阶梯中的相应一级（回退阶梯） | 依据修复后的证据重新裁定 |
三项结论中没有任何一项是永久授权。 连杆会产生间隙，摩擦面会磨损，镜头表面会积累附着膜层，环境分布也会变化，因此，在 UNCOND 或 COND 条件下运行，须承担整个部署周期的义务。 如果制动磨损使带载减速度下降的幅度恰好耗尽通道预算的余量（节 1.2），预算就无法再容纳任何其他输入误差。 这种磨损必须在机器重新进入通道之前使一项常设条件检验（一次定期制停试验或一次已验证的制动自检）判定不通过，因为若等到运行中制停才发现问题，首次暴露它的位置就会是货架端部。 每一项此类义务都由前提、检测器与响应配对而成，因此它属于裁决所承载的常设条件之一。
“裁决”的常设条件
一次放行结论取决于具有不同观测节奏的物理前提。 移动操作臂的制动主张依赖于至少为 0.204 的地面摩擦系数，干燥混凝土的摩擦系数约为 0.60，高于这一最低要求，但一次性巡检无法覆盖液体洒漏或表面磨损。 该情形需要地面巡检计划，以及污染发生后的停止或排除规则，如配备车载牵引力监测装置，则须对其另行规定。 操作臂的接触力标定按已记录的时间间隔重新建立。 每个前提都必须在其物理失效模式所要求的节奏下持续有效。 依据原则 Evidence bounds authority，该结论按运行工况授予授权，而该授权仅在支撑各前提的证据保持时效时才有效。
每个受监控的前提条件，既需要确定性的运行时检测器，也需要预先分配好的响应。 如果案例声称导航相机的观测年龄始终不超过预算中已计入的限值 51.6 ms，但软件缺少用于逐帧测量该年龄的硬件时间戳比较器，那么该前提条件就并未受到监控。 它已经悄然退化为一种假设。 托架负载受其 50 kg 容量上限约束，仅在机械臂放置或移除托箱时才会发生变化，因此每次抓取检查一次就足够了；而速度与租约有效性则在每次 1 ms 权限心跳时进行检查。
在运行时评估受监控的前提条件，会揭示 包络归属 (1.2) 中的三态结构。 二元检查假定没有故障标志时即为正常运行，但包络归属存在三种状态：已知为真、已知为假，以及未知。 当遥测经验核验、时间戳满足其时限、且估计器以有界协方差收敛时，状态属于已知为真。 当物理极限被突破，例如基座跟踪误差超出 40 mm 界限，而停止包络正是按该界限向内收缩的时，状态属于已知为假。 当光学编码器通信中断、相机帧出现循环冗余校验（CRC）不匹配，或扩展卡尔曼滤波发散时，机器无法判断自身处于其经签署确认的运行包络之内还是之外。 当存在运动质量时，未知状态被当作位于包络之外，因为在认知缺口 期间假定安全、而机器处于盲目运动，会使动能在未受测量的情况下累积。
Definition 1.2: 包络三分法
包络三态分类 是对信息物理系统健康状态相对于其认证运行包络的三态认识论分类：已知为真（包络边界内具有有界遥测协方差的已验证状态），已知为假（已验证的边界违规，触发确定性硬件拒绝），以及未知（由于传感器信号中断、帧损坏或估计器发散而产生的认识论状态不确定性）。
- 意义：未知状态并非边界违规的证据，但也同样不支持继续跟踪。 授权决策在未知与已知假两种状态下均为拒绝；所记录的原因保持区分，而响应取决于被控对象的经验证停止或保持能力。
- 区别：与二值布尔状态检查（
is_safe == true）不同，包络三分类将认识论盲区与主动违规隔离开来，确保遥测丢失永远不会被误判为安全放行。 - 常见误区：在通信失败时默认采用“故障时仍放行”策略或保持最后已知指令。 在存在未建模动力学时，冻结的指令会迅速导致机械碰撞。
同样的三种状态支配着每个前提背后的证据。 在 故障预言机与验收 中标记为 UNOBSERVABLE 或 INVALID 的试验不提供任何证据，因此其本应检验的前提仍然未知；而未知前提会拒绝依赖它的那条主张；只有 PASS 记录计入裁决，而 FAIL 记录使该前提成为已知为假。
对不可评估前提的回应，源于继续运动而无遥测的物理后果，而非严重性标签。 当移动机械臂满载托盘架以 1.3 m/s 的速度通过通道时，其 368 kg 满载总质量携带 311 J 的动能。 若其激光雷达停止发送更新，则每毫秒的盲行都会使机器 1.3 mm 更接近一个未建图的障碍物。 安全论证预先确定了三种应对。 其中两种仅存在于经签署的安全论证所覆盖的范围之内：一种 降级模式，在冗余传感器仍约束位置不确定性时继续运行，例如回退到车轮里程推算并将通道速度减半至 0.65 m/s；另一种是 COND 判定 的受限模式，它会钳制扭矩或将提议限制在预计算通道内。 第三种，即回退梯子的 STOP 环节（回退阶梯），无需此类覆盖，在可观测性丧失时采用配置的驱动与制动序列；其能否在净空范围内停下，取决于当前速度、响应延迟和实测制动能力。
即使所有受监控前提始终已知为真、且周期性重新校准均通过，放行判定 仍带有有效期时间戳与周期预算。 运行小时数与机械循环次数可能以运行时遥测无法完全观测的方式改变设备状态。 齿轮齿面可能产生点蚀，4 弹性体密封件会变硬，结构紧固件会丧失夹紧预紧力。 载荷特定的疲劳数据与检验方案确定了签署的运行小时数与循环限值；达到任一限值时，须重新裁定，方可继续运动。
影响运动的常设条件需要一条具备经实测的检测与响应时间预算的强制路径。 在 安全执行 的架构中，独立的强制器 先检查提案与受监控前提，再签发执行器许可5。该机器许可路径的决策以 1 ms 为节拍。 其 82 ms 时限自最后一次有效续期覆盖到制动启动，涵盖一个停止续期的提案者。 对于强制器自身监控的前提，只需节拍、总线传输与制动启动三项，22 ms 计入预算，且放行安全论证必须分别测量这三项。 当前提未知或为假时，强制器撤销跟踪并命令适配于装置状态的回退梯级 回退阶梯，带签名的放行安全论证必须包含该停止选择及其实测时序。
因此，一个裁决只有在它的全部常设条件均为已知为真、按其失效模式设定的节奏进行检查、并由该案例已测得的响应时序支撑时，才成立。 在定义主张、裁决以及撤销它们的条件之后，裁决者可以逐一处理移动操作手的六项主张，并依据本书所持有的证据决定是否准予其运行。
完整展开的一个案例
裁判者逐一考察 表 2 中的六项主张，找出支撑其论证依据的前提，并追问是什么类型的数值支持该前提。 C1 的门分支完整展示了这一过程。
机械臂以受保护的接近速度 0.03 m/s 接触刚度为 4.0 × 10⁵ N/m 的挡板时，接触力随挡板压缩而增大，直至 15 N 绊线触发；随后 2 ms 接触环路的响应又进一步增加了压缩量，直到制动指令开始（意图交出什么）： \[F_{\text{cmd}} = F_{\text{trip}} + k_{\text{latch}}\,v_{\text{latch}}\,T_c \tag{2}\] 对 公式 2 求值，得到制动指令下的 39 N，明显位于 100 N 闩锁限值之内。 限值仍然约束着随后的停车，因为挡板仍在继续压缩，而摆臂正在减速： \[x_{\max} = \frac{F_{\text{cmd}}}{k_{\text{latch}}} + \frac{v_{\text{latch}}^2}{2a_{\text{arm}}} \le \frac{F_{\text{lim}}}{k_{\text{latch}}} \tag{3}\] 公式 3 中的制动项忽略了本会缩短摆臂行程的弹簧做功，因而该界限是保守的。 低于该极限，板件最多只能再压缩 0.15 mm，因此机械臂必须以约 3 m/s² 的减速度减速，并在约 10 ms 内停止。6 在缺乏证据支持的 0.10 m/s 接近速度下，同样的两个方程给出发出制动指令时的接触力 95 N，并要求 400 m/s²。 该需求与操作包络 表 1 仅允许受保护接近方式的两个原因相一致。 在更快的速度下，接触截止时间仅略大于接触回路的响应时间 策略综合，且演示中没有任何实例（《数据集为何出错》）。
两个结果在算术上都没有疑问。 门分支在其前提上失败。 机械臂带着其接近动量，能否在不到一毫米的行程内达到该减速，取决于其驱动与制动机构，而本书中的任何记录都没有测量它。 该减速是示意性的，因此前提未知，该分支被拒绝。
其余分支以同样的方式失败。 基座继承的 997.4 mm 预算采用了可信减速、制动启动、跟踪误差和定位的示意值，而其 102.6 mm 余量相对于其中任何一项的合理误差都显得很小。 C1 的杯体分支基于两条前提被否决。 其交接力仅在采用示意性组织刚度时满足该判据，而其对象指称对应前提——即机械臂握持的物体是任务所命名的杯子——是未知的，因为将对象指称高置信度地对应到同色玻璃罐通过了全部几何检查(从请求到到期的几何提议)，而本书中没有任何记录确定机械臂握持的是哪个物体。 C2 的授权时序依赖于声明为 250 μs 的 WCET，同时给出的空载计时值为 135 μs，但从未在该部署的最坏负载条件下测量。 C4 的 51.6 ms 观测年龄由数据手册给出的读出耗时与示意性流水线时间项相加得到。 C5 与 C6 引用了本书描述但不包含的记录：部署测试台账，以及 A1–A4 各自的 PASS 记录。 C3 在性质上有所不同。 其前提——每条通道至少 0.204 的地板摩擦——可在干燥地板上检验，但透明的油膜在摄像头看来如同干燥混凝土，而机器上的任何测量都无法将其排除。
因此，每一项主张都至少依赖一个该书证据无法确定的前提，裁决者据此签署 REFUSE。 该裁决并未认定机器不安全。 其输入具有示意性，因此该决策同样具有示意性。 它展示了将如何对本次机器放行作出裁决，但不能为该机器背书。 依据第四条法则（四条基石定律），证据无法判定的前提必须限制运行；就本证据而言，每一项主张都携带一个这样的前提。 拒绝本身也是本章最有用的成果，因为它指出了能够改变它的测量。表 4 列出了这些测量，并说明每项所解决的先决条件，以及一项支持性结果所能解除的限制。
COND 方向移动的测量：每一行都指明该测量能在仓库移动操作机器人上判定的前提，以及所支持的结果将解除的限制；推理轨迹仅涉及服务可用性。
| 测量 | 它所解决的先决条件（本书中的取值） | 主张 | 支持性结果所能解除的限制 |
|---|---|---|---|
| 在承载质量条件下进行停止试验 | 低尾可信减速(2 m/s²) | C1 | 底座的预算及其1.39 m/s上限，因此可以签发通道速度 |
| 制动起始试验 | 制动起始(20 ms) | C1、C2 | 从最近一次有效续期到制动启动之间的 82 ms 边界 |
| 端到端年龄轨迹 | 观测年龄（51.6 ms） | C4 | 预算的年龄项与陈旧数据阈值 |
| 跟踪误差与定位误差尾部 | 跟踪界 (40 mm) 与定位界 (50 mm) | C1 | 预算的内缩量项与额外开销项 |
| 现场勘测 | 机架端净距 (1.10 m) | C1 | 每个勘测机架端处经签署批准的速度 |
| 地面勘测 | 干燥地面的摩擦系数（0.60）与所需值（0.204） | C3 | 仅限已勘测通道；油膜仍不可观测，因此在受检地面上、速度低于 1.09 m/s 上限时，通道结论最多可达 COND |
| 推理轨迹 | 第 99 百分位处的分块推理（40 ms） | 无 | 服务可用性：每个分块在其 60 ms 租约期内续期；无需它，C2 界仍成立 |
| 负载下的强制执行组件计时 | 强制执行组件最坏情况执行时间（250 μs，声明值） | C2、C5 | 该部署的最坏负载下的 400 μs 期限 |
| 机械臂停止试验 | 机械臂从受保护接近的减速（约需 3 m/s²） | C1 | 以受保护的接近速度开门 |
| 交接力试验 | 交接速度下的峰值接触力（42.4 N 推导；组织刚度为示意值） | C1 | 以 0.10 m/s 的速度、在 accept_item 条件下将咖啡杯递给同事 |
| 操作员试验 | 接管与授权移交时序 | C6 | 远程接管：仅在 A1–A4 各自拥有一条 PASS 记录时可行；否则仅限本地操作。 |
一个 COND 情形需要表中除仅涉及可用性的推理轨迹和操作人员试验之外的每一行，并且它只能通过在本地保留权限来省去操作人员试验，因为远程信道的权限情形并不存在。 本地操作若要行使每一种权限情形，仍需 PASS 记录；C5 仍需包含共因试验的部署测试台账。 两者都不是表中的一行。
即便所有证据都支持其前提，结果所能支持的至多也只是运行包络中明确指定的一部分。 底座可在受限的 1 m/s 下沿通道行驶，仅在已检查的地面上行驶，且行驶速度低于 1.09 m/s 这一受检地面速度上限，强制执行组件处于受限构型 执行记录，每个货架端点均适用通行规则。 机械臂可以受保护的接近速度打开门，此时挡板处于其标称位置、底座处于停止状态；它可取走杯子，并在 accept_item 条件下以 0.10 m/s 的速度完成交接，同时该站点的供料被限制在其声明的物品清单内，并具备单件拣选窗口。 该对象指称对应前提根本没有对应行，因为用机器当前的传感器无法通过任何试验加以判定，而供料清单与单件化约束只是限制了它，并未闭合它。 无论结果如何， 1.3 m/s 的正常模式都保持未签署状态，因为油膜使其摩擦前提仍然开放。 承载这些前提的限制，以及能够闭合它们的证据，都归属于 残余主张登记表 的剩余主张登记册（ 1.2 ）。
Checkpoint 1.2: 拒绝与有条件放行之路
在批准对某台机器进行条件性放行之前，先核实你理解的是：一个前提（而非一次计算）如何决定了一个论断：
对抗性评审
假设 表 4 的测量结果到来并支持移动操作臂的 COND 情形。 在裁决者签署之前，该情形必须经受一位以推翻它为己任的评审者的检验。 一次对抗性评审 是一种结构化审计，它将安全论证视为需要被攻击的论证，而非部署说明书。 确认偏倚会使论证自身的证据采集偏向于所学模型表现良好的条件，而评审者则反转这一姿态，寻找缺乏支撑的推理依据、未表征的物理过渡，以及破坏发布契约的边缘条件。 一项在对抗者试图迫使发生物理违规时于纸面上失败的论证，没有理由让人预期机器能够经受住服役。
评审以四项探针评估论证树中的每一个证据节点。 首个挑战是经验充分性，即试验是否覆盖了运行包络的物理极限。 在干燥混凝土上以加载后的底座停止试验，摩擦接近 0.60，支持底座在该处达到其可信减速度的这一推理依据。 然而，受限模式允许在该场站巡检规程仅能认证其摩擦水平达到 0.12 的地面上运行，例如经车辆碾压抛光的车道，底座可按 运行包络 规定的受限速度 1 m/s 运行，低于 1.09 m/s 的上限。 若试验集不包含在此类地面上以该速度进行的满载制动停车试验，则受限模式的依据不成立，而覆盖度审计会在复核中发现该缺口——即服务本应会在货架末端发现之处。 油膜不属于本探针的任何部分，因为包络直接拒绝它，而 C3 将其视为反驳者。 第二个探针考察 域迁移 ，即仿真替代硬件测量的情形 。 人员检测器可能在渲染出的通道上表现良好，却仍会漏掉在场地自身照明下被缠绕膜托盘部分遮挡的人员。 其基准召回率只是 代理指标，用于对精选帧打分，而非从漏检人员到发出停车指令的链路；因此，评审者要求提供来自真实货架末端、成对硬件在环试验中该链路的证据。
第三项探针针对结构独立性、，追问学习得到的模型与安全执行器是否共享某个资源7，其争用可能延迟传感器数据的送达。 对于这种移动操作机器人，这样的延迟会进入 C4 的 51.6 ms 观测年龄链中，而没有任何单个组件的时序测试能够显现它。 必须在该部署方案的最恶劣负载条件下进行压力测试与时序分析，以确立干扰上界；空闲总线单元测试做不到。 第四项探针识别出未被监控的状态漂移、。 磨损可能改变减速器8的柔度，以及电机电流与连杆运动之间的响应关系。 因此，评审人要求在接受 C1 门分支的臂停前提(节 1.6)之前，提供成对的磨损状态制动与接触轨迹。 仅电机电流跳闸本身，并不能确立磨损后的被控对象仍处于该安全论证中经测量确定的力限值和停车限值之内。
评审者通过将每个论据的显式反驳构造出来，将这些漏洞操作化为可执行的形式。 最难察觉的反驳条件由多个各自仍处于自身容差带内的轻微异常组合而成，即 推导故障清单 从共同原因推导出的复合故障。
考虑移动机械臂的导航相机：镜头上有一层薄薄灰尘，安装座在紧固件松弛后发生了容许范围内的位移，如今当基座越过地面接缝时便会抖动；还有一条线束，在越过这些接缝时发生挠曲，使其串行器/解串行器（SerDes）链路的误码率升高。 每一项检查读数都正常。 相机报告可见度充足，安装座检查读数落在容差范围内，SerDes 误码计数器 仍低于告警阈值。 这些异常无法在时序上叠加，因为权限路径会拒绝任何上界年龄超过预算年龄加时钟换算界（观测契约）的观测；因此，因重传而延迟超过该阈值的帧损失的是可用性，而非放行。 它们在位置维度上叠加。 降低对比度会使特征匹配器在较弱的匹配上工作。 抖动中的安装座会模糊它所匹配的帧，并以标定仍然接受的某个角度偏移每一处匹配。 线束因重传而损失的帧会延长两次定位之间的间隔，其间里程计漂移不断累积。 每个误差都保持在各自的容差之内，但三者都落在制动预算中那一项定位余量之内，而没有任何运行时检查直接测量该余量。 该余量依据定位误差的实测尾部（表 4）来设定，而非各贡献因素容差的最坏情况之和；后者会在每个贡献者同时处于其容差带边缘时，为覆盖全部贡献者而降低经签署批准的运行速度。 试验使用洁净镜头、紧固安装座和完好的线束 时，从未采样到这种巧合，因此三项误差合起来可以超过该余量。 超出的部分来自余量中的富余（节 1.2），于是基座继续驶向机架末端，其余量小于已签署的安全论证所假设的水平，而每一项诊断都报告正常运行。
⇄ 对比： 算法能力主张与 执行器传动限制 中确立的物理执行器饱和限幅相互对照。
评审还审计了权限路径的执行完整性，即推理或后台服务能否绕过、损坏或饿死执行器 安全执行 或人工覆盖 监督性干预，后者由 表 2 的 C6 覆盖。 在提案边界 《五层机器》 之下，安全执行机制与人工覆盖两者都保持高于学习模型的不可抢占优先权，而对抗方则追问：失控的策略线程、加速器运行时异常或遥测洪泛，能否使内存通道饱和、锁死内核自旋锁，或使某条供电轨陷入欠压状态。 评审接受 权限路径 的独立性，以及移动操作臂上为该路径供电且具有供电保持能力的电源轨，但仅限于物理故障注入，包括总线饱和、馈电移除和提案任务被终止（F1），因为 C2 只声称权限路径能够承受这些故障。 这些试验是故障账本中的条目，即 故障清单 的经签署确认的故障记录集合。 若权限路径以用户态软件实现，而非隔离的硬实时线程和专用硬件中断线，则评审将链路标记为已断开。
当攻击成功时，无法通过修改声明描述或插入任意裕量来挽救该案例。 失效的推理依据可追溯至其系统失效，即未表征的物理边界、不充分的数据集或未建模的延迟，缺陷随之返回至所属子系统。 在齿轮箱柔性下失效的电机电流观测器，返回机械规范，表现为磨损极限与运行时柔度估计；而导致安全执行机制延迟的总线争用问题，则交回计算架构处理，表现为内存划分与实时调度。 该案例连同其已明确指出的失效推理依据返回工程团队，只有边界更新、重新推导的制动距离以及重启的验证，才能重新开启仲裁。
复核也必须反复进行，因为一个曾被接受的案例可能在服务过程中逐渐侵蚀，而没有任何一次会触发新复核的单独变更。 偏差常态化 指称的就是这种侵蚀：那些不会造成危害的异常，最终被解读为可接受的操作噪声，而非反驳安全论证依据的证据(Leveson 2011年; Vaughan 1996年)（1.1）。9 在移动操作臂上，它会呈现为上文复合反驳在数月间蔓延：定位残差逐渐逼近其容差边缘，因时效问题而拒绝运行被当作扰人的停机而忽视，停机时长略长于试验，以及约束强制执行机制触发在没有追溯复核的情况下被清除。 当阈值被放宽、为吞吐量而削减余量、并在尚未出问题时抑制告警时，签署包络与机器行为之间的差距会不断拉大，直至一次常规扰动耗尽了剩余余量。
War Story 1.1: 挑战者号与经验作为边界（1986 年）
机制: 发射时的环境温度为 \(36^\circ\text{F}\)，比任何一次此前的发射低 15 华氏度。 O 形环的回弹能力随温度降低而下降，而冷态 O 形环恢复形状的速度过慢，无法跟上点火压力张开时接头间隙的变化。 发射前夕，该发动机承包商莫顿·索科洛（Morton Thiokol）的工程师建议，不要低于 \(53^\circ\text{F}\) 的温度发射，该温度是此前最冷一次飞行中 O 形环的温度，其接头迄今表现出最严重的泄漏。 这一限值来自飞行经验，而非经过验证的定量界限。 NASA 管理者则援引适用于推进剂整体温度而非密封件温度的鉴定温度条件予以反驳。
影响：右助推器后部现场装配接头发生燃烧气体泄漏，始于点火或点火稍后，削弱或穿透了外部贮箱。 飞行器在发射约 73 秒后解体，七名机组人员全部遇难。
响应：委员会将失败归因于“一项对若干因素不可接受地敏感的有缺陷设计”，温度头位列于这些因素之首。 它建议更换该接头，并要求新设计通过“覆盖全部运行条件（包括温度）”的试验予以认证。
系统教训：Thiokol 管理层在 NASA 马歇尔航天飞行中心（Marshall Space Flight Center）的敦促下，推翻了其工程师的建议。 Thiokol 工程副总裁作证称：“我们必须向他们证明我们尚未做好准备。”举证责任已从在证据范围内证明接头安全，转移到在证据范围外证明其不安全，而那里并无数据存在。 发布裁决将举证责任保留在包络三分法所置之处。 证据范围之外的条件，例如低于全部飞行经验的密封温度，属于未知，而裁决拒绝它。
Tempe 的接管前提（当边界失效时）属于同一种条件，而 交接出错 提出了它所引发的操作者监控问题。 依赖此类前提的发布，必须将其响应（拒绝或采用受限案例）与其经过测试的物理极限绑定在一起。
《发布清单》
发布裁决需要一份签署的制品，记录该决定、物理条件与有效期。 该制品即 发布清单，是不可变记录，它将验证账本绑定到首席系统裁决者的签署裁决，并在运行镜像或证据与其摘要不再一致时拒绝运动。10 它通过根摘要消费故障账本，并将三条进一步记录作为签署论证图的证据叶：《控制权限日志》 的权威记录、硬件分配 的部署记录，以及 评估日志 的评估记录。 除此之外，它还加入主张根、论证摘要、镜像摘要、校准参考、裁决、其持续条件、漂移预算与有效期。 镜像摘要涵盖策略权重、约束强制执行机制在其两种执行记录配置（普通配置与 COND 情形下加载的受限配置）（执行记录）中的逻辑，以及实时内核。 运行小时数与循环次数的生命周期预算与日历到期日并列，裁决者的签名覆盖整条记录。 证据链接必须在授予权限之前解析到已审查的记录版本。
↳ 字节布局： 发布清单的字段、类型与摘要见 Release manifest。
图 3 将认证与物理状态检查置于任何运行许可之前，并在电机驱动功率级通电前以固定顺序执行这些检查。 每项检查都只能拒绝。 它首先验证裁决者的密钥链（由硬件根锚定）及其撤销状态，然后验证清单签名、有效期与生命周期预算，以及每个活动镜像的摘要，因此任何被修改的权重文件或约束强制执行机制的比特流都会拒绝授权。 它接着对完整的故障账本进行认证，该账本中逐条签名的记录以单一根摘要进入清单，同时还包括校准参考。 仅凭摘要既不能确立记录有效性，也不能确立测试充分性，因此该门控还会逐一核验各条记录的签名，以及账本相对于已复核证据索引的完整性。 常设条件排在最后：已知为假的或未知的前提，会像签名不良一样坚决拒绝，同时保留其自身记录的成因。 只有当所有检查全部通过时，门控才会加载已签署的运行包络；即便如此，约束强制执行机制仍会逐一检查每个拟议动作。表 5 给出了结果。 校准过期是区分二者的情形，因为它拒绝整个用例，而仅在另有单独签署的受限用例恰好覆盖该状态时，才支持 COND。
↳ 协议： 门控的分步授权协议见 Release-gate protocol。
每个证据叶节点都需要标识符，用于其原始轨迹、仪器、校准、配置和测试脚本。 测得的时序尾部以分位数形式进入，而硬性响应主张需要单独论证的 按时移动指令 界限。 同事的交接准则需要针对指定人体区域代理与几何的载荷传感器时间序列。 关联记录使审计者能够重复测试，并识别出主张停止适用的位置。
发布清单指明其结论所适用的配置与物理极限。 变更后的策略权重文件、实时优先级、驱动器或未经验证的组件修订，都需要新的安全论证，或经明确批准的等效论证。 对于移动操作臂，关节间隙与制动衬片厚度的经签署的磨损限值，来自实测的制动与载荷证据。 运行包络的拒绝条件包括超出其容量的托架负载，由托架载荷传感器监测；以及未经勘察的地面，由现场程序强制(表 1)。 清单还将权限路径的隔离、保持供电的电源轨作为常设条件签署，其尺寸依据 回退阶梯 给出，并以保持供电存储的容量自检在每次上电时门控放行。 当实测条件越过经签署的限值时，权限路径在其规定的检测与响应时间内撤销跟踪，并下达评估后的回退指令。
现场遥测记录扭矩残差、回路时序与安全约束强制执行机制的保护触发，用于漂移审查；而权限路径按工厂要求的节奏检查经签署的实时阈值。 在计划检查中测得的制动响应超出已签署的安全净空距离预算，或校准数据过期，都会撤销当前结论；重新安装较早的已签署映像也无法恢复磨损的制动。 除非另有单独签署的 COND 案例覆盖该物理状态，否则工厂采用其评估出的停车结果，并等待维护与重新裁决（表 5）。
↳ 下游： 发布清单中尚未解决的前提，会成为 残余主张登记表 的残余主张登记册中的条目。
本章中的每一次拒绝都以评估出的停车告终，而这预设了“停车的机器是安全的”，这一预设对一台在停车时坠落的机器（1.1）而言并不成立。
Systems Perspective 1.1: 当移除扭矩导致损害时
问题：当移除扭矩导致损害时，适用哪一结论？
静止的制动底座不储存任何可能传递到同事处的能量，而直立的人形机器人则把危险藏在自己的姿态里。 没有任何结论——甚至不是 REFUSE——能在不声称其坠落防护响应有效的前提下，代表该人形机器人。
- 直立双足机器人上的安全力矩关闭，本身就是一次坠落。 移除电机力矩的驱动系统功能（执行权限）会使机器人的质量从站立高度坠落，因此没有任何经签署的结论可以将其力矩移除认定为该人形机器人的评估停止。
- 坠落防护响应本身就是一种执行动作。 下蹲、迈步，或在动力驱动下将机器人降至地面，都属于需要自身主张、自身证据，并在故障集合中占有一席之地的指令运动。 一个
REFUSE结论仍然依赖于使机器人保持站立的那部分机器。 - 磨损撤销了行走许可。 鞋底摩擦与关节间隙漂移超出了坠落防护证据所假定的限值，而跨越经签署的磨损限值会在该许可所依赖的防护响应失效之前，先行撤回行走许可。
Checkpoint 1.3: 从你自己的测量中推导结论
表 4 不含任何实测值，因为本书没有。 填入你自己的数值，来自你可以测试的机器上的试验，或来自你选定的数字，并推导它们所支持的结论：
谬误与陷阱
谬误：统计覆盖度替代了确定性的架构依据。
一个团队以数百万模拟小时和数千次无事故循环作为其发布论据。 该记录提供了关于受测条件的证据，但要证明发布主张所命名的灾难性故障率，可能需要超过任何排期所能提供的物理暴露量（物理试验极限）。 模拟还保留了其物理模型的假设，例如理想化的库仑摩擦或无限刚性的齿轮箱。 发布论证必须说明架构性强制（例如一条独立的权限路径，用于撤销运动并命令经校验的停止）如何约束有害的策略行为，并且必须为该机制在其所声明的假设下提供证据。 经验性能与架构性保证回答的是不同问题；较大的试验次数无法替代连接执行器权限与物理极限之间缺失的论证。
谬误：发布裁决是对安全性的永久认证。
机器通过验证并在签署的安全论证下进入生产。 随着时间的推移，刹车片磨损使制动距离变长，运动学标定因热循环而漂移，光学污染会劣化感知。 软件可以保持不变，而支撑该发布的物理假设却失效。 发布清单需要维护要求和失效触发条件，并与相关生命周期计数器或实测漂移绑定，并规定这些条件失效时的限制。 签名记录了对一次有界发布决策的责任；它并不使被测对象的硬件能力永久有效。
陷阱：依赖未明确陈述的环境假设来支撑安全主张。
团队在光线充足的通道、洁净的地面上验证了移动底座的制动性能，其安全论证说明了地面的摩擦系数，却从未说明照明条件。 昏暗通道则会因运行时检查恰好看到的图像陈旧度（节 1.3）而损失服务，又因定位误差未被任何检查捕捉的较弱特征匹配而损失安全余量，相对于由光线充足条件下的试验所确定的余量（节 1.7）。 机械制动完全按测试表现，所有诊断读数均正常，而制动距离预算中的剩余余量却在缩小。 安全论证必须说明其主张所依赖的环境条件，并解释运行如何始终处于这些条件之内。 当监控能够检出违规时，必须触发已定义的限制或回退；未声明的假设既不提供可测试的放行条件，也不提供可用的运行时边界。
摘要
生产性发布将 主张—论证—证据安全论证 与实测运行包络、签名化配置以及可撤销运动权限的路径绑定在一起。 签名确立了经授权的安全论证；运行时检查则判定其物理前提是否仍然成立。
要点回顾: 部署发布与可辩护的安全论证
- 包络限定了主张的范围： 发布主张仅涵盖已收集证据所对应的速度、载荷、地面、净空和接触情形；并且，包络的每一个维度都需要一个运行时监控器，或一套使机器保持在包络之内的现场规程。
- 最弱的分支决定结论： 主张—论证—证据树并非取平均。 单一分支的高精度无法抵消另一分支缺失的论证依据，因此裁决者寻找的是：其失效将允许危害发生的唯一前提。
- 未知前提会被拒绝： 未知的包络归属被视为包络之外，而标记为
INVALID或UNOBSERVABLE的试验不提供任何证据。 在本书的示例输入中，每个主张都带有此类前提，因此移动操作臂的裁决结果为REFUSE。 - 拒绝是一项可交付成果： 拒绝会指明能够解除该拒绝的测量，例如带载停车试验和最不利负载下的强制约束机制时序，以及每项结果所留下的限制，包括机器上没有任何测量能够闭合的润滑油膜。
- 没有任何结论会移动提案边界： 在
UNCOND和COND下，策略只提出动作，强制约束机制才准入每个动作。 受限模式需要其自身经签署的安全论证，绝不以未签署降级替代。 - 清单随其证据一同失效： 发布清单通过摘要绑定评估、部署、授权和故障记录，任何一处不匹配即拒绝运动。 磨损与漂移会撤销该授权，而软件回滚无法恢复已改变的被控对象。
第四条法则（四条基石定律），以原则 Evidence bounds authority 表述，依据已记录证据授予授权，并使其随该证据一同失效，而现行条件正是该失效转化为机制之处。 每项持续有效条件都将一个前提与一个检测器、一项检查频率和一项响应措施配套，因此，可能支持对移动操作臂作出有条件裁决的带载制动试验，一旦签署，便成为授权所依据的证据，而该证据失效将终止该裁决的效力。 在这本书的记录中，授予从未到来，因为六项主张中的每一项都建立在一个仍属示例性或未知的前提上。 手动操作授权租约使操作者的权限受其所依据证据的时效约束（权威权移交），而预先承诺则将一次试验的结论绑定到证据到来之前确定的规则（故障预言机与验收）。 发布是本书给予的最宽授权，即便如此，准入仍低于提案边界。
后续内容: 从被拒绝的发布，到证据所支持的内容
脚注
ISO/TS 15066 生物力学限值: 该规范给出与身体区域和接触类型相关的力与压强数据 (ISO/TS 15066 2016年)。 现场评估必须选定适用的身体区域、接触几何形状和测量方法。 此处采用的交接判据是保守情形判据，而非通用的 ISO/TS 15066 阈值或伤害边界。↩︎
接触力学力模型: 弹性动力学模型将平动动能、有效运动惯量与接触界面刚度耦合起来，以确定未缓解碰撞过程中的瞬态峰值撞击力。 撞击刚性边界会将储存的动能集中为亚毫秒级的冲量，并产生严重的力放大；而弹性顺应性则延长变形时间，并在更长的行程中耗散能量。 关于形式化的弹性动力学推导和单侧接触公式，参见 Rigid Body Contact Mechanics。↩︎
Goal Structuring Notation：由约克大学 Tim Kelly 开发，GSN 为构建与审计安全保证论证提供了明确的图形语法(Kelly 1998年; Kelly 和 Weaver 2004年)。 该记号将顶层安全目标分解为语境性子主张、论证策略，以及基于测试工件的解决方案。↩︎
机械疲劳预算：Miner 规则之类的累积损伤模型（\(\sum_i n_i/N_i\)）可将实测载荷谱与部件特定的疲劳数据组织起来；它只是一种近似，而非普遍失效期限。 评估载荷、不确定性、检验证据与停机后果，共同决定任何签署的载荷降额与循环限值。 一项已失效的限值撤销适用的放行安全论证，而不是静默地延长服务。↩︎
硬件看门狗互锁: 看门狗可以检测错过的配置心跳。 一条独立接线的监督器随后请求已验证的驱动器停止；检测器、接线、驱动器、制动器和负载响应全部进入时序与故障分析。↩︎
反射转子转动惯量于碰撞动力学：齿轮关节可将转子转动惯量近似地以 \(N^2J_{\rm rotor}\) 的形式反射到关节坐标。 其在接触点的贡献还取决于连杆几何与柔顺性。 理想的一维计算排除了该贡献与制动扭矩上升；机器放行案例在将其力结果视为物理最大值之前，需要先给出实测或建模的界限。↩︎
片上系统资源共享: 片上系统（SoC）将处理器核心、加速器、内存控制器和外围总线集成在一块芯片上，因此共享其互连与缓存的神经推理与实时监控器会相互争夺这些资源，除非通过布局分区将它们分开。↩︎
摆线轮系动力学: 摆线减速器利用偏心凸轮和滚动销，以很小的背隙实现高减速比。 滚动接触磨损会提高其扭转柔度，并在电机与连杆之间引入相位滞后，从而延迟制动响应并抬高峰值接触力。↩︎
反复侵蚀被接受为风险: 总统航天飞机挑战者号事故调查委员会 (Presidential Commission on the Space Shuttle Challenger Accident 1986年) 发现，O 型环侵蚀和燃气窜漏现象在更早的飞行中已经反复出现，并且 NASA 与发动机承包商“接受了不断升级的风险，似乎是因为他们‘上次没有为此付出代价’”。↩︎
密码学清单与硅片认证：OTP/eFuse 存储可以锚定验证密钥或其摘要。 可变签名清单与镜像哈希位于受保护存储中；TPM PCRs 累积实测启动状态，而非直接存储结论。 验证失败时，撤销授权并执行已评估的停止。 第二个软件存储分区仅在具备其自身有效签名、发布案例和当前物理状态条件时，才是合格的备用方案。↩︎