认识论前沿
认识论前沿
目的
当证据无法确定机器安全所依赖的每一个前提时，机器究竟能持有多少权威？
开篇章节追问：在学习得到的提议支配物理做功之前，机器必须强制落实哪些保证。 前述章节给出了架构层面的答案：一条独立的实时授权路径，依据有界时效的证据作出决策，严格运行于未被延迟消耗的安全余量之内，并由经验证的停止回退支撑。 然而，每一项形式化保证都仍以未经测量的物理前提为条件。
制动证书假定存在一个最小表面摩擦系数，而车载传感器在接触之前无法测得；屏障滤波器假定状态估计未被污染、执行器扭矩处于标称状态；部署放行则假定环境边界已在有限的暴露时长内得到检验。 当罕见危害无法被经验观察捕捉时，工程完整性要求逐一指明每个未经验证的前提，并限制运行授权，而不是默认假定安全。 由于因果边界在证据耗尽时从不放宽，自主授权必须恰好在物理证据终止之处终止。
↰ 前置条件： 四条基石定律 中的四条法则，本章在此收束。
学习目标
- 评估哪些安全主张超出了针对某台具体物理机器可得证据的范围。
- 评估某个检测器能否在有效干预变得不可能之前识别出危险。
- 从一次发布的未决前提构造剩余安全主张登记表条目，每条包含一项限制、一个责任人和一项已确定规模的结项验证测试。
- 依据能够关闭该未决前提的缺失可观测、评估方法、理论或适用范围，对未决前提进行分类。
- 沿着一台陌生机器追溯四条基石定律，并说明证据为每条定律留下的未决前提。
认识论边界
每种工程方法都存在一个认识论边界，其形式保证在此处失效。 在物理人工智能中，这一边界不仅是算法层面的不足，而是计算延迟、感知可观测性与机械惯性之间的物理性冲突。 扩展基础模型的参数数量可以带来非凡的语义广度，却无法弯曲运动定律：随着网络规模增长，推理延迟会扩大反应走廊，以敏捷性换取深思熟虑的深度。
Definition 1.1: 具身延迟扩展定律
具身延迟扩展定律 是规定如下物理约束：除非推理延迟按比例下降，否则扩展神经策略参数数量所带来的运行安全收益将递减，因为物理反应距离 \(d_{\text{react}} = v \cdot (t_{\text{inference}} + t_{\text{actuation}}) + \frac{v^2}{2 a_{\max}}\) 随计算延迟线性增长。
- 意义：确立了一个观点，即物理系统中的智能无法仅靠增加模型参数来扩展，因为计算延迟会直接损害动态稳定性与停车空间净距。
- 区别：与静态语言建模中的算力扩展定律不同，在那里延迟只影响词元生成速度；而在具身场景中，延迟扩展直接耦合计算延迟与机械反应时间常数（\(t_{\text{react}} \ge t_{\text{inference}} + t_{\text{actuation}}\)）。
- 常见误区：将数十亿参数基础模型直接部署在闭环控制路径中，并假定更强的语义推理可以弥补未纳入预算的响应延迟。
这一张力，在 1.1 中得以确立，说明了为何仅靠参数扩展无法解决实时安全性问题。 此外，受 Ashby 的必要多样性定律 (Ashby 1956年) 支配，控制器无法调节其感知架构无法感知的扰动。 当未建模的扰动进入物理装置时，无论多少隐式计算都无法弥补缺失的物理证据。
一台液压管渗漏的托盘搬运车穿过仓库移动操作手所在作业场地中的一条通道，并在混凝土地面上留下一层透明的液膜。 该机器人的制动预算假设地面能够提供其可信减速所需的摩擦，而在干燥的混凝土地面上，它确实可以。 但在液膜之下，它未必能够提供；而且导航相机和激光雷达都无法将液膜与干燥地面区分开来。 许可路径可以满足每一个截止时间，分块租约可以按时到期，制动也可以按计划接合，而停车过程仍然会越过货架末端，因为失效的项是一个没有任何传感器会报告的假设。 缺失的证据是制动开始之前的局部摩擦下限。
安全论证与主张 的发布决策早已符合这一前提。 其主张 C3（制动牵引力）已依据本书自身的证据被否决，并作为开放前提交予本章。 机器的可信减速量为刹车所能提供的减速量与地面所能提供的减速量二者中的较小者，\(a = \min(a_{\text{brake}}, \mu g)\)。 实现 机械动量 所设定的 2 m/s² 可信减速度，需要摩擦系数至少为 0.204。 干燥混凝土在摩擦系数为 \(\mu\)（0.60）时能提供得多得多，因此制动器能力成为减速度的限制因素。 透明油膜在摩擦系数为 \(\mu\) = 0.05（两个系数均为示意值；参见读者指南）时，仅能提供 0.49 m/s²，因而摩擦成为减速度的限制因素。 在通道行驶速度为 1.3 m/s 时，仓库移动操作臂的停车预算 中已确定的停车距离预算从干燥地面上的 997.4 mm 增至油膜上的 2.95 m，而可用的无障碍距离为 1.10 m。 摩擦前提在油膜出现时并未成为开放问题。 停止包络 所选择的常规模式在每条通道上都以该摩擦下限为前提，包括干燥通道，而且也没有人在那里对它进行测量。
每一种工程方法都有一个边界，其保证在此处失效。 四条基石定律 的物理墙就是这样一个边界，因为更大的学习模型无法减少其自身延迟给机器带来的行程。 Ashby 的必要多样性定律 (Ashby 1956年) 指出了另一个边界，因为控制器无法调节其传感器无法感知的扰动。 对于移动操作臂，油膜是一种此类扰动。 操作臂的接触限位在门闩处建立于同一类前提之上：门闩在低于操作臂接触上限的每一个力下都能保持闭合；而腐蚀或磨损可使门闩的屈服力降至该上限以下，同时关节力矩传感器所读取的读数与在完好门闩下所读取的完全一致。 一个将管线上压力维持在限值以下的化学流量调节器，依赖于一个未发生漂移的压力传感器；而膜片上的沉积可使该参考值发生漂移，直至该回路依据一个虚假读数进行调节，而此时真实压力已超过限值。
在每种情况下，机器都可能脱离其假定条件，而其遥测数据仍显示为正常。 成功的试验无法弥合如此差距，因为由 物理试验极限 推导出的暴露墙将罕见危害率置于任何实际无故障试验活动所能达到的范围之外。 安全论证必须指出缺失的前提，在前提仍然悬而未决时限制运行，并说明何种证据可以关闭它。 对于每个开放的先决条件，该学科会追问机器能够测量什么、其执行器仍能防止什么，以及哪一项主张必须保持开放。
该方法无法确立的内容
移动操作臂在通道中运行的放行主张是一串链接，它需要哪些链接取决于所识别的危险与所选择防护。 论证必须确立运行域、实测执行器与制动界限、部件契约，以及对学习提案的独立授权（《五层机器》）。 由运行时检测控制的危险，同样需要实测检测器覆盖度与及时的监控。 由被动限值或运行限制控制的危险，则需要证据表明这些措施在声明的载荷、磨损与暴露包络范围内成立。 为一条关联生成大量证据，无法弥补另一条关联中缺乏支撑的前提。1
安全论证的每个前提都带有 Reader Guide 的五种状态之一（由测量或推导确立、假设、由问责判断决定、缺乏支撑，或超出威胁模型）。 包络三分法（包络三分法）将运行时监控器判定为已知为真、已知为假或未知的某个前提分别归入三类。 此处界定证据的前提，是当下任何在用监视器都无法核查的，因此没有一项能够成为“已知为真”，因此，必须由放行决策针对这些前提限制运行，而非由监视器来限制。 对于底座，停止距离这一主张依赖于一个假设的轮与地面之间的摩擦系数，该系数在制动开始之前无法测量。 对于机械臂，接触论证依赖于对闩锁强度及其所处理物体强度所声明的下限，该下限由关于结构屈服强度的工程判断决定，而闩锁的当前强度在证明试验之间始终处于未测量状态。 对于流量调节器，压力主张假设了一个零点未发生漂移的传感器，而这一前提本身无法由其读数加以核查。 将这些前提明确命名，并不会削弱放行记录。 它界定了放行结论所依据的物理包络，而在此包络之外，该结论便不再适用。
将测量与判断相分离，是系统工程纪律的根本。 经验测试与统计表征可以估计物理暴露、量化传感器噪声并限定参数不确定性，但没有任何测量能够选定可接受的残余风险，或决定运行环境中必须由哪些个体承担该风险。 这些选择属于可问责的人类判断，必须作为显式判断予以记录，而不能伪装成经验性发现。 同样地，威胁模型限定了该记录的有效性。 在标称机队运行与意外部件故障方面的经验测试，无法提供任何关于蓄意对抗性攻击的证据。 一条表明视觉流水线能够处理传感器噪声、镜头模糊和部分遮挡的安全记录，无法为关于对抗性光学投影、模型参数篡改，或内部通信总线上的蓄意拒绝服务所提出的韧性主张提供任何统计支持。
以一台示意性的系统目标 \(10^{-9}\text{ h}^{-1}\) 为准，其速率没有任何标准赋予，仅凭 物理试验极限 的暴露上限，单靠运行小时数无法加以证明。2 剩下的问题在于，当它作为 最小干预 的安全防护在提案与执行之间发挥作用时，许可路径能为该主张增添什么，以及它的哪些前提需要各自独立的证据。
防护论证是 条件性 的，而非施加于已观测系统事件上的乘法。 机队的事件计数不能替代提案速率，因为防护所阻止的危险提案从未出现在其中。 对于已定义的危险类别 \(h\)，令 \(\lambda_{\mathrm{proposal},h}\) 为许可前的危险提议动作速率，令 \(c_h=P(\mathrm{intercept}\mid\mathrm{hazardous\ proposal},h)\) 为该类别的实测拦截覆盖率。 在对硬件与共同原因的合并项 \(\lambda_{\mathrm{other}}\) 另行建立界限的情况下，模型可以采用 公式 1： \[\lambda_{\mathrm{system},h} \le \lambda_{\mathrm{proposal},h}(1-c_h)+\lambda_{\mathrm{other}} \tag{1}\] 该关系需要有效的提议预言机、及时的检测、执行器权限，以及对相关故障的合理处理。 它不会为屏蔽无法观测的油膜或减弱的闩锁记上任何功劳，并且在每个前提都得到证据支持之前，不得依据该计算结果予以安全放行。
Napkin Math 1.1: 一个条件屏蔽计算
提案速率上界: 在平稳泊松模型下，2.16 × 10⁵ 提案小时中零个危险提案，给出单侧 95% 上界为 1.387 × 10⁻⁵ \(\text{h}^{-1}\)。
残差：将硬件与共同原因残差设为零进行本计算，公式 1 给出 1.387 × 10⁻⁹ \(\text{h}^{-1}\)，高于 目标。 目标所要求的覆盖率至少为 0.9999279。
所需提案证据：在 \(c=0.9999\) 下，提案率上界必须降至 1 × 10⁻⁵ \(\text{h}^{-1}\)。 零经裁定危险提案随后需要 3.00 × 10⁵ 提案小时，或 100 台设备对应 124.822 天，34.8 超出周期天数。
系统洞见：防护罩仅对其能够及时检测并拦截的危险类别改变系统主张。 提案频率、条件拦截覆盖率、硬件故障与共同原因失效需要分别提供证据。 防护罩感知覆盖范围之外的油料或材料失效，保留在残余主张登记表中。
当经验机队暴露度无法突破天文暴露墙时，系统安全性无法仅靠退回到离线数学证明（图 1）来挽救。 形式化安全验证面临同样不容妥协的认识论极限：连续状态空间上的维数灾难。 经典哈密顿-雅可比（HJ）可达性分析在状态空间的离散化网格上求解一个等值面偏微分方程，从而给出精确的向后可达管与控制不变的安全集。 然而，其内存与计算复杂度随 \(\mathcal{O}(N^d)\) 呈指数增长，其中 \(N\) 表示每轴的网格分辨率，\(d\) 表示状态空间维数。 在 \(d > 6\) 下，HJ 可达性分析撞上不可逾越的“网格墙”：它可在数秒内可解地求解 3D Dubins 车或 4D 运动学车辆，却需要为 7D 动力学车辆、12D 四旋翼飞行器或 30D 移动操作臂耗费数百年的计算量与 EB 级内存。 基于采样的统计验证（如自适应压力测试与场景优化）突破了指数级网格墙，其复杂度随 \(\mathcal{O}(d^2)\) 呈多项式增长，最高可达 50 维甚至更高；然而，它通过放弃确定性安全保证来换取可解性，仅给出概率性的 Probably Approximately Correct（PAC）界 \(1 - \epsilon\)，该界本质上对测度为零的对抗性奇异点不可见。 尽管如此，通过分支定界验证工具（如 \(\alpha,\beta\)-CROWN）合成的现代神经障碍证书（NBCs）确立了一条有前景的中间前沿，借助凸松弛 \(\mathcal{O}(d^k)\) 验证 12D 至 30D 机器人系统的正向不变性。 即便如此，当状态维数增长到耦合的多机器人集群（\(d \ge 48\)）时，验证时间再次增长，趋向计算上难以处理的程度，这表明形式化方法以状态空间维数上限取代了暴露时间，而非消除认识论层面的局限。
这些前提中的每一条，从薄膜下的摩擦，到防护罩对某个它可能无法观测的危害类别所提供的覆盖，都以同一种方式结束：由发布材料点明，却未获其证据解决。 一个只止于命名这些前提的发布，仅仅罗列了它的保留意见。 它需要的是一份记录，将每一条这样的前提转化为带有责任人和可结束它的测试的限制。
残余主张登记表
拒绝主张 C3 并未从机器中移除摩擦前提；无论安全报告是否记录它，未获证实的前提依然存在。 遗留主张登记表 会消费 《发布清单》 的发布清单，从中取走发布所遗留的每一个未决前提或得不到支持的前提。 未关闭的条目在其预设的闭合测试通过之前，限制机器的行动权限。 该登记册将每一种此类前提以及每一个未受监控的不变量，映射到其缺失的物理可观测、其生效的约束或运行限制、一位可问责的人类责任人，以及一项预设的闭合测试。 缺少这四个组成部分时，一个未解决的前提只是一条未成文的风险，而非登记册中的一条条目。 登记册是原则 Evidence bounds authority 抵达那些证据无法判定的前提之处，在支撑证据缺失之处，使机器的行动权限始终受到限制。
每条条目将缺乏支撑的论断连接到具体的不可测量物理可观测。 在一台移动质量的机器中，一个学习得到的策略无法判定一项安全属性，原因可能是传感器无法将相关的环境状态转换为测量信号，计算底层无法在控制时限内处理该测量，或者物理相互作用在接触发生之前无法被观测。 工程师必须用物理精度而非统计抽象来定义 缺失的可观测量。 将未知故障描述为“分布外隐状态”，无法为许可回路提供可执行的触发信号以发起物理干预。 相比之下，指明未测量的表面摩擦系数、相机镜头阵列上未被检测到的光学耀斑，或执行器外壳中不可观测的微裂纹，才能准确指出物理上的缺失。 命名缺失的可观测量，确立了学习推理终止与物理不确定性开始之间的边界。
油膜为移动操作臂提供了首个条目。 其前提是，每条货架通道地面都提供至少 0.204 的摩擦系数，即其可信减速所需的数值。 缺失的可观测量是透明油膜之下的摩擦，导航相机与激光雷达无法将其与干燥混凝土区分。 以该通道速度制动时，停车距离在干燥地面上不超过可用净空距离，在油膜上却会超过该净空距离，因此该条目施加的速度上限只能在摩擦已被测量或受控的路面上成立。
尚未关闭的条目需要运行响应。 对于车道，该条目最多允许的运行方式是在该场地检查制度之下的路面上采用受限模式运行1 m/s。 经检查的路面支持\(\mu \ge\) 0.12，由此给出可信的减速1.18 m/s² 和上限1.09 m/s，因此受限模式低于其上限。3 未被检查制度覆盖的路径被排除，或机器被禁止进入。
受限模式需要一位能够保持其物理前提为真的负责人。 站点运营通过其托盘搬运车路线的泄漏或洒落物处置程序负责本条目，该程序规定了检查间隔，并指明撤回许可的条件。 许可路径上经签署的速度限制强制实施该限制，但仅凭速度设定无法维持关于摩擦的断言。
每个条目在采集数据之前都必须先声明 条目关闭测试。 对于薄膜，测试必须对新的传感器进行合格性评定，因为相机或激光雷达的任何测量都无法排除透明油膜，且用它们进行更多试验也无法关闭该条目。 该测试针对地面油膜检测器，通过在预先布置的油膜上进行 2,995 次无失败试验，将其漏检率上限限定为 0.1 percent（物理试验极限）；在它通过之前，该限制始终成立。 一次规模较小的试验活动未能达到要求。 在 1,000 次独立试验中零次漏检，仅能以 95 percent 的置信度将漏检概率上限限定为 0.002991。 检测器还必须足够早地报告油膜，使得检测、放行与制动三者合在一起能够适应清空距离；并且试验分布、检测距离、延迟、误报以及检测后的摩擦必须在事先声明。 车轮打滑反射可以限制后续运动，但无法在车轮到达油膜之前确定摩擦。
同一条通道还载有第二个条目。 停止预算保护一个静态障碍物。 在整个停止过程中持续走向机器的人增加了预算从未计费的距离（遮挡下的信念），而 停止包络 发现，若对其进行计费，将使移动底座在该货架端部的速度上限远低于其通道速度。 前提是：停止期间没有人接近机架端部，而缺失的可观测量为机架所遮蔽的横通道中的存在。 该场站的穿越规则——地面标线穿越点加机架端部存在传感器——即该限制，且由场站运营方负责。 条目关闭测试采用相同的零失效试验样本量确定方法，对存在传感器进行合格性验证。
取货工位增加第三个条目，且这一项属于机械臂。 其前提是：机械臂所抓取的对象，以及稍后在 accept_item 操作下交给同事的对象（人类对执行机构的权威），就是任务所命名的对象。从请求到到期的几何提议 展示了该前提如何失效。 传送带上那只薄壁红玻璃罐紧邻红色马克杯，因而产生了高置信度的语义定位结果，而错误目标通过了规划器与授权路径施加的全部几何检查。 缺失的可观测信息是身份与易碎性，腕部相机与语义定位模型都无法在接触之前确定这两项。
本条限制包含两部分。 站点作业仅允许传送带上属于拣选站声明物品清单中的物品，而该清单不含易碎的外观相似物；且拣选站在拣选窗口中恰好只存在一个物体时才允许抓取，因此第二个物体将拒绝该意图，并将该物品转交同事进行人工拣选。 单件化使语义定位对其所允许的物品而言无歧义，但不提供任何身份信息；而单独到达的误投罐子仅由供料程序加以约束。 该残差正是条目保持开放的原因。 为最易碎的外观相似物设定的抓握力上限，需要掌握每种可能到达的物品的压碎限值，这本身又是一项未经测量的前提，因此该登记表并不依赖其中任何一项。 站点运营方与任务配置共同承担进料清单和单件化规则的责任。 条目关闭验证测试是在站点处进行的合格性身份核验，即读取标签或执行“称重—编码”核验，其误接受率受同一组 2,995 次无失败试验约束，置信度为 95 percent，目标误接受率上限为 0.1 percent，此处在预先布置的外观相似物上进行试验。
表 1 将三条条目并列呈现。 每一行都包含登记表所需的四个要素，因此任何条目都可以脱离上下文正文独立核查。
| 主张与缺失状态 | 危害机制 | 主动遏制与责任方 | 预声明的关闭测试 |
|---|---|---|---|
| 制动摩擦：每条通道地面均提供\(\mu \ge\) 0.204；透明薄膜下方的摩擦未被观测。 | 在\(\mu\) = 0.05 时，可信减速度降至0.49 m/s²，而在 1.3 m/s 的行驶速度下，完整停车距离预算增至 2.95 m，而可用的无障碍净空距离为 1.10 m。 | 在已巡检地面上以 1 m/s 的速度运行（\(\mu \ge\) 0.12，速度上限为 1.09 m/s）；未巡检的路线予以排除。责任方：现场运营，通过托盘搬运车路线的液体洒漏处置流程落实。 | 一台地面液膜检测器，经 2,995 次人为设置液膜的零失败试验验证，在 95% 的置信度下，其漏检率不超过 0.1%，并加上时序与净空测试；该限制在其通过之前持续有效。 |
| 行走人员：停止期间无人接近货架端；其在隐藏横通道内的存在未被观测。 | 若一人在整个停车期间持续以 1.6 m/s 的速度行走，则在货架端，移动底座的允许速度上限将远低于其通道行驶速度（停止包络）。 | 交叉规则：地面标线加货架端存在传感器。责任方：现场运营。 | 采用同样的基于零失败结果确定所需试验次数的统计方法，验证存在传感器是否合格，2,995 次无故障试验对应 0.1% 漏检界。 |
| 物体身份：被夹取的物体就是任务所命名的物体；接触前的身份与易碎性属于未观测量。 | 对红色马克杯旁一只薄壁玻璃罐的自信定位通过了全部几何检查，而陶瓷杯所需的握持力足以压碎玻璃。 | 进料控制仅允许该站点声明清单上的物品进入输送线，清单中不含任何外观相似的易碎物品；单件控制仅允许抓取窗口内有一个物体时进行抓取。 一件离清单物品单独到达时，仅由进料程序加以约束。归属：站点作业，与任务画像共同承担。 | 在站点的合格身份校验（读取标签或结合称重与代码进行核验），其误接受率不超过 0.1%，置信度为 95%，并来自 2,995 次人为混入外观相似物品的零失败试验；该限制在其通过之前持续有效。 |
发布流水线以固定模式记录每条条目，其字段、单位与不变量同其他记录布局一同出现在 Residual-claims register。
三项条目都仅通过合格探测器闭环：第一项为地板膜探测器，第二项为机架末端存在传感器，第三项为站点处的身份核验。 因此，每项闭环测试都必须表明：合格探测器能够及时报告，用于通道的两个探测器足够早地发出报告，以便权限路径让机器停止，以及身份核验在站点允许抓取之前完成；而这一时序要求本身具有其自身的物理上限。
无探测器的失败
运行时探测器本身也是一个物理子系统。 要作为实用检测器运行，它必须满足三个耦合参数：对失效分布的全面覆盖、有界的虚警率，以及严格短于物理系统致害时间的检测延迟。 在 1.3 m/s 的通道行驶速度下，扣除 仓库移动操作臂的停车预算 中的完整停车距离预算后，移动操作臂的净空距离还剩 102.6 mm，机器驶过这段剩余距离所需的时间为 78.9 ms（权威权移交）。 一个为货架末端的人而设的检测器，若其在观测路径中增加的延迟超过上述时间预算，便不是针对该风险的检测器。 地面薄膜检测器面临的是同一测试的更严格形式。 其检测距离减去自身延迟期间的行进距离，必须足以让机器在干燥地面上完成制动停车，最迟停在液膜边缘，因为一旦车轮驶上薄膜才发出的报告，会留下2.95 m的制动距离，而可用距离为1.10 m。 延迟报告的检测器属于事后记录机制。 越过不可逆阈值后生成准确的分类标签，可产生诊断证据，但不能充当运行时保障。
运行时检测的根本极限源于观测不可区分性。 考虑世界的两个物理状态，\(S_A\) 与 \(S_B\)。 在状态 \(S_A\) 中，受控执行器轨迹 \(u(t)\) 是安全的。 在状态 \(S_B\) 中，相同的轨迹 \(u(t)\) 会导致结构损坏或人身伤害，需要许可路径介入并下达停止指令。 物体动力学施加了一个硬性截止期限 \(t_{\text{deadline}}\)，由执行器响应时间和系统动量决定；在此之后，无法阻止物理接触或机械屈服。 若机载仪表提供的遥测历史 \(y(t)\) 在整段区间 \(t \le t_{\text{deadline}}\) 内对 \(S_A\) 与 \(S_B\) 完全相同，那么任何基于这些观测运行的算法都无法可靠地区分良性状态与危险状态。 相同的遥测记录使系统无法在该截止时刻之前针对特定状态做出差异化响应。 为两种状态共同选择的保守动作，或被动机械限位，只要其自身的余度与力假设成立，仍可能保护它们。
相同的接触前遥测使得软件无法在不可逆物理损伤发生之前介入。
Definition 1.2: 观测不可区分性
观测不可区分性 是指这样一种物理条件：两个不同的世界状态，一个是标称状态（\(S_A\)），一个是危险状态（\(S_B\)），直至系统物理动作截止时刻（\(t_{\text{deadline}} = t_{\text{harm}} - t_{\text{act}}\)），产生的致害前传感器遥测数据完全相同（\(y_A(t) \equiv y_B(t)\)）。
- 意义：若在动作截止时刻之前不存在携带状态区分信息的物理能量，则及时地进行算法层面的区分在物理上和数学上都是不可能的。 扩大神经模型参数规模、增加数据集规模或加快推理计算，都无法分离在造成伤害时间之前发出零区分物理能量的状态。
- 区别：与认识论不确定性或高分类器熵（后者表示模型知道自身证据不足）不同，观测不可区分性往往与高输出置信度和接近零的熵相伴出现，因为神经网络将受损观测映射到了标称隐变量流形中。
- 常见误区：依赖软件异常检测器或 VAE 重建损失来捕捉无检测器式退化。 当传感器物理使换能器致盲（如压阻晶体的蠕变），或危险状态位于被感知路径之外（如弱化闩锁对关节通道的作用）时，异常检测器会消耗不含故障痕迹的遥测数据，并发生静默失败。
在学习得到的感知-动作策略中，这一限制表现为捷径学习。 一个视觉-语言-动作（VLA）模型(Brohan, Brown, Carbajal, Chebotar, Dabis, 等 2023年; Brohan, Brown, Carbajal, Chebotar, Chen, 等 2023年)或模仿策略(Zhao 等 2023年)会以其演示中存在的任何相关性来最小化损失；当摩擦、材料强度或载荷惯性未被观测到时，它可以学习出非因果的视觉特征，例如地面高亮或光照角度，作为这些量的代理。 在分布偏移下，这些代理会失效，但编码器仍可将不熟悉观测映射到它已知的潜空间区域，因此策略以高置信度、低集成不一致地行动。 由该同一潜表示计算出的不确定性估计，无论是马氏距离、dropout 方差还是重建残差，都继承了同样的盲目性，因而无法充当独立的检测器。 Brain 无法检测自身的捷径失效，这正是物理约束依赖提案边界以下的许可路径、而非依赖模型自评的原因。
传感硬件在更长的时间尺度上表现出同样的限制。 流量调节器的压力变送器会随沉积物在其膜片上累积而漂移；而零点漂移偏低的变送器，会报告出一条与真正处于较低压力下的管线相同的趋势。 单个通道只报告一个标量，在该信号上没有任何算法能够区分过程已发生变化与校准已劣化。 若无独立的参考变送器，或对零点进行一次校验测试，则该漂移在运行时无法被检出。4
弱化的门闩是机械臂遭遇同一极限的一个实例，而且这一实例的失效发生得更快。 在门闩发生屈服之前，关节扭矩传感器对弱化门闩与完好门闩读出相同的扭矩，因为两者承受相同的接触力，而通道中没有任何痕迹表明剩余强度。 屈服是不可逆的，屈服之后发出的任何指令都无法恢复门闩，因此关节扭矩通道上更快的分类器保护不了任何东西。 可辩护的响应提供了该通道所欠缺的内容。 证明试验在声明的间隔内确立闩锁的强度；只有当腐蚀与磨损无法将屈服力在两试验之间带到接触上限以下时，该试验才覆盖该间隔，而这一速率必须由维护记录而非扭矩通道来支撑。 腕部采用被动柔性元件，则可在机械行程受限的范围内将接触力保持在闩锁强度的声明下限以下，因此前提不再依赖闩锁的状态。公式 2 给出该元件的刚度上限，其中 \(F_{\text{allow}}\) 由声明的下限决定；该结论仅在元件承担全部接触载荷、行程不能越过其止挡、且磨损与冲击试验支持该模型时成立。5 \[k_{\text{spring}} \le \frac{F_{\text{allow}}-F_{\text{preload}}}{\Delta x_{\text{stall}}} \tag{2}\]
↰ 前置条件： 感官遥测无法检测到的故障会挑战 观测契约 中制定的观测契约。
深水地平线井喷的失效方式与 当边界失效时 的坦佩碰撞完全相反：传感器检测到了行人，但一套设计好的抑制机制扣留了该状态所要求的制动。 在井喷中，保护装置确实发挥了作用，但它作用的状态没有任何传感器报告。 更快的触发条件或更宽的授权范围都不会改变结果，因为没有一次测量能把保护所获准的状态与实际状态区分开来。 更及时的响应规则与恢复的冗余制动通道，可以针对坦佩式这样的失效。 只有当获准与感知都覆盖保护可能遇到的每一种状态时，才能修复另一种失效，即本节所述的无检测器失效，以及油膜在通道上造成的那种失效。
War Story 1.1: 深水地平线盲剪切闸板失效（2010 年）
机制：爆炸很可能触发了 BOP 的自动死手系统，该系统本应关闭盲剪切闸板、剪断钻杆并封住井口。 到那时，BOP 内部的钻杆已经发生偏心屈曲。 管道内部与外部之间的压力差使其处于有效受压状态，这是一种此前调查尚未识别出的屈曲机制。 BOP 并非为切断偏心管道而设计。 闸板穿透并部分切断了管道，但无法完全关闭并密封井口。
影响：穿洞后的管道流量迅速恢复。 11 名船员死亡，钻井平台在爆炸约 36 小时后沉没，约 500 万桶石油泄漏到墨西哥湾 (U.S. Chemical Safety and Hazard Investigation Board 2014年)。
应对措施：美国 化学安全委员会 建议对井控器（BOP）的设计、测试与监管作出相应改进。 调查还发现，盲剪切闸板的控制系统存在两起错接线和两起备用电池失效。
系统课：管道在 BOP 内部的位置是一个没有任何传感器报告的状态，而液压装置仍然对它作出了反应（对于居中的管道和屈曲的管道，\(y_A(t) \equiv y_B(t)\)）。 其经认证的切割几何形状并未覆盖实际工况。 保护能力必须在它可能遇到的每一种物理状态（包括管道位置）以及 CSB 记录的各项独立控制故障上，都经过充分验证。
当某种失效模式缺乏实用的检测器时，剩余应对手段包括：依据经验证的力或间隙模型限制执行器权限、限制运行域、增加独立感知，或安排证明性测试。 力限制建立在该已验证模型之上，因为 ISO 10218 与 ISO/TS 15066 仅适用于其工业机器人范围，并未为这台机器提供普适的力限制。 主动感知本身即是一种执行。 对车轮施加小幅抖动、以主动探针探测薄膜，只能测量车轮当前位置处的牵引力，因而无法闭合摩擦这一条目。 由于探针不得滑出预留间隙，独立许可路径必须仅准许处于经单独验证的能量、接触、间隙与时间包络内的每条探针指令，并在所需界限不可用时选择状态匹配的回退方案。 若上述各项措施均无法支撑该主张，则必须中止运行。
安全论证必须记录这些缺口。图 2 标示论证走到尽头的地方。 剩余主张登记表记录了探测器的盲区，即产生不可区分观测的物理状态集合，以及物理验证测试之间允许的最大暴露时长。 将不可探测的失效视为已解决的运行时问题，会削弱安全论证的有效性。 保留感知失效的精确边界，迫使工程组织依赖物理约束，而非软件乐观假设。
每种无检测器模式仍然留有可辩护的响应，表 2 将其中四种并列呈现。6
| 失效与状态缺失 | 现有通道为何会漏掉它 | 截止或证据不足 | 可辩护的响应 |
|---|---|---|---|
| 压力传感器漂移：随老化或沉积产生的零偏变化。 | 单通道无法将真实压力变化与其自身的零偏漂移区分开来。 | 漂移可能持续存在，直到该过程达到其压力限值；没有第二个参考点，就无法为探测器记功。 | 独立的校准压力通道、验证试验与额定泄放路径。 |
| 闩锁强度损失：腐蚀或磨损使闩锁的屈服力低于接触上限。 | 关节扭矩传感器对减弱的闩锁与完好的闩锁读出相同的接触力。 | 闩锁强度在两次验证试验之间未被测量，且屈服不可逆，因此后续指令无法恢复闩锁。 | 由@eq-frontier-passive-compliance 按闩锁强度的声明下限进行定尺的被动柔性元件，或对闩锁进行验证试验。 |
| 转子磁通损失：交付扭矩与基于电流的估计值不一致。 | 仅凭定子电流无法测量磁体损伤后的扭矩常数。 | 重力加载的轴可能在可用扭矩丧失后几乎没有时间被制动。 | 测量扭矩或转子状态，在已测试的限幅内降额，并验证保持或受控停车路径。 |
| 学习到的感知偏移：一种光学伪影被误认为已知场景。 | 即使物理场景已经不同，模型置信度仍可能保持很高。 | 仅凭置信度或重建损失，都无法约束净空或制动响应。 | 独立的距离/净空检查与经许可的运动包络，并记录残余盲区。 |
每一行都未能通过实用检测器测试，因为现有通道对安全与危险状态给出完全相同的观测，这种情况一直持续到时限已过。 每一种可辩护的响应都提供了该通道所缺少的内容：第二参考量、被动负载限制、直接扭矩测量，或独立的距离检查。 那个缺失要素是什么、以及它能否被构建出来，决定了每条登记条目所记录的是何种缺口。
什么会改变这些答案
移动机械臂残余主张登记表中的三条条目缺少同一要素，即一个针对“任何在役传感器都不报告的状态”的合格检测器。 按照“缺失什么”对每条已记录的缺口排序，便把登记表从一份免责声明清单转化为工程议程；每条已记录的缺口都归入四类之一，由缺失要素定义。 它源于未测量可观测量：当真实物理状态（例如一处隐藏的内部缺陷）在行动截止时间之前无法依据传感器数据加以辨别；源于评估缺口：当失败尾概率无法被界定，因为这些罕见事件需要不可行的物理暴露；源于理论缺口：当所学策略在训练条件与执行稳定性之间缺乏有界的关联；或者源于范围不匹配：当目标主张超出系统架构在物理上所能支撑的范围。 机器这三条条目都属于第一类。 在取件站上增加语义落地模型试验，或在干燥地面上增加停车运行试验，都会把它们视为评估缺陷，而它们并非如此。 指出缺失的能力，即精确定义会解除该条目所要求的物理或数学条件。
要弥合来自未测量可观测量的差距，就需要一项新的物理测量，以在权限路径的时限内区分此前不可区分的状态。 对于薄膜，运行于导航相机和激光雷达上的软件滤波或学习估计器都不能充当该测量，因为它消耗的是同样无法区分薄膜与干燥地面的观测。 地面-薄膜检测器必须通过独立的物理通道对薄膜作出响应，并且只有在其满足 节 1.4 的时序要求、具有有界的虚警率，并且独立于相机失效时，才关闭该条目。
要消除评估缺陷，就必须以偏倚和方差能够解析有界的估计器替换原始样本计数。 记录更多未受扰动的运行，或运行尾端保真度未经验证的模拟回合，都无法为尾部失效事件的发生率给出界。 重要性采样 或自适应压力测试 方案可以，前提是它在答案已知、基准分布上给出保守估计，并报告有效的独立暴露量而非原始试验次数。 一万条模拟轨迹若只探索碰撞面中的一个吸引域，对其他吸引域几无信息，因此有效样本量必须从权重及其相关性中估计（关于高分位数尾界与极值建模，参见@sec-appendix-ml-evt）。
弥合理论缺口需要一条有界的分析性论断，并配有一个检查其前提的运行时机制。 对于通过模仿学习或强化学习训练的策略，缺口在于缺乏分布偏移下输出有界的任何保证；无论是渐近收敛性，还是依赖不可验证 Lipschitz 常数的界，都无法弥合它。 理论必须陈述它所保证的不变性，以及该不变性成立所依托的支持集，机器必须配备一个监视器，在其状态离开该支持集时发出标记，并具备有界的估计误差与决策延迟，以及经过验证的状态匹配停止。
为防止研究乐观情绪腐蚀安全性论证，每一项候选进展都必须接受预声明的闭合测试评估。 该测试界定缺失的论证链、充分性所需的数值阈值，以及验证缺失的论证环节已得到充分补足所必需的独立证据。 若一项进展仅仅将某个假设转移到系统内更不显眼的层次，则该进展未通过测试。 用控制屏障函数替换神经网络控制器，而其证书假定动力学完全已知且为线性，并不能弥合理论上的缺口。 它只是把未被建模的动力学从不透明的网络权重转移到了屏障的导数上。 若某项候选进展的验证依赖它原本旨在证明的那些尚未验证的性质，则该进展在能够改变安全结论之前即被中止。
物理机器学习中的研究方向，必须仅依据它们是否将一条开放的残余主张转化为能够改变运行结论的已验证证据来评判。 基准排行榜上的普遍改进，例如平均跟踪误差降低 3 %，或标准任务套件上的更高奖励，均不构成关闭一条缺乏支撑的安全关联的任何证据。 只有当某研究项目的成果针对主张登记表中的特定条目，无论是提供缺失的换能器、限定尾部估计器，还是提供运行时校验的稳定性证明，该项目才与物理部署相关。 若某项进展改善了平均性能，却未改变检测器的盲区或尾部不确定性，则该机器的权限边界仍与原来完全相同。
某些缺口无法通过任何已知传感器、采样机制或数学框架予以关闭。 当物理定律、计算极限或经济约束使得必要的测量或证明无法实现时，安全论证不能悬置在期待未来发现之上。 缩小执行器的物理权限、限制运行设计域（ODD），或者拒绝操作该机器，都不构成研究失败的自认。 而是工程上的解决之道。 经典容错设计 得出了同样的结论：可靠的运行来自能够抑制故障的自监测阈值 与结构隔离，而非消除一切扰动。 一只腕部具有柔性约束的机械臂，其接触力低于锁紧强度所声明的下限，因此无需检测被削弱的锁紧机构即可使其保持完好。 残余主张登记表记录可验证知识的边界，而许可路径与机器的被动极限则强制施加约束，以限定未知部分所能产生的后果。
主张登记表、实用检测器测试与四类缺口，迄今为止仅应用于已有记录的设备。 该方法也必须适用于尚无记录的设备，此时工程师必须决定测量哪些前提、限制哪些前提、以及保留哪些前提开放。
推广到非熟悉系统
为从未被检查过的机器而依次应用，四条基石定律 的四条定律会在其通电之前隔离出它的危险。 考虑一个为预制餐食设计的自动化包装单元。 该机器沿直线轨道移动刚性塑料托盘，将加热的密封头压到托盘边缘以粘合塑料阻隔膜，并向产品腔体注入加压蒸汽，以便在密封之前立即对配料进行焯烫。 该单元将 三类机器 的三类机器全部耦合在同一个外壳内：托盘作为运动质量，密封头作为接触力，蒸汽作为热流。
第一条定律追问该单元无法撤销什么，因此评估首先通过编目该单元能够产生的不可逆状态变化 以及支配它们的物理边界 开始。 载有食物的托盘沿直线传送轨移动，因而具有动量。 当托盘撞击障碍物时，动能通过容器的塑性变形和框架的结构挠曲耗散，这是一种无法通过反向驱动电机指令来逆转的状态跃迁。 密封机构引入了第二道不可逆边界。 执行器驱动温度为 \(180^\circ\text{C}\) 的铝制密封头 抵住托盘法兰，以熔化聚合物粘结层。 若执行器施加的力超过容器壁的压缩屈服强度，法兰将发生屈曲，破坏气密几何结构。 蒸汽子系统通过焓交换引入第三道不可逆边界。 以 \(120^\circ\text{C}\) 供给的蒸汽向产品输送热量；产品区温度只能依据实测的热传递与停留时间模型保持更低。 当蛋白质因过度热暴露而变性、细胞壁破裂后，冷却腔室无法恢复产品质地。
由于托盘的动量已经确定，许可路径必须在车体消耗完其净距之前采取行动。 以下数值均为示例值。 考虑一个质量为 \(m_{\text{carriage}} = 12.0\text{ kg}\) 的线性车体，以标称速度 \(v_{\text{nom}} = 1.50\text{ m/s}\) 运输载有货物的托盘，驶向一个光学检测工位，该工位的机械闸门在接触刚性框架止挡前提供 \(D_{\text{clear}} = 60.0\text{ mm}\) 的物理净距余量。 一套顶部视觉系统检测到正在关闭的检测闸门。 控制器指令一个电磁轨道制动，其可信减速度为 \(a_{\text{brake}} = 15.0\text{ m/s}^2\)，该取值假设闸片与导轨的摩擦保持测试状态。 要确定车载视觉系统能否在撞击前使车体停下，需要计算制动前的延迟 \(\tau_{\text{delay}}\)，该延迟覆盖从观察到制动的完整路径：光学曝光与滚动快门积分（\(t_{\text{exp}} = 16.0\text{ ms}\)）、直接内存访问（DMA）传输与神经检测推理（\(t_{\text{inf}} = 36.0\text{ ms}\)）、CAN-FD 安全仲裁总线延迟（\(t_{\text{bus}} = 2.0\text{ ms}\)）以及制动电磁铁磁通建立上升时间（\(t_{\text{sol}} = 10.0\text{ ms}\)），合计为 \(\tau_{\text{delay}} = 16.0 + 36.0 + 2.0 + 10.0 = 64.0\text{ ms} = 0.064\text{ s}\)。
在这段延迟期间，载具在盲行距离 \(d_{\text{blind}} = v_{\text{nom}} \tau_{\text{delay}} = 1.50\text{ m/s} \times 0.064\text{ s} = 96.0\text{ mm}\) 内行驶，该距离本身已超过 \(60.0\text{ mm}\) 净空距离，因此在制动开始之前，物理时限即告错过。 当电磁线圈建立磁通、机械制动片接合后，减速过程额外消耗距离 \(d_{\text{brake}} = \frac{v_{\text{nom}}^2}{2 a_{\text{brake}}} = \frac{(1.50\text{ m/s})^2}{2 \times 15.0\text{ m/s}^2} = 75.0\text{ mm}\)。 机械动量 中所述的停止距离是两者之和：盲行距离随速度线性增长，制动距离随其平方增长，因此 \(d_{\text{stop}} = d_{\text{blind}} + d_{\text{brake}} = 96.0\text{ mm} + 75.0\text{ mm} = 171.0\text{ mm}\)。 该停车距离超出物理净空 \(\Delta d = d_{\text{stop}} - D_{\text{clear}} = 111.0\text{ mm}\)，机器无法仅依靠这条视觉路径在当前速度下于建模门之前停下。
第二定律追问的是：该单元学到的提议者究竟展示了它们能够做什么。 其中三个在此处提议动作，每个领域各一个。 一个视觉模型推断托盘内容，以提出输送速度；一个多模态网络估计包装膜厚度，以提出封口力与停留时长；一个热估计器根据来料温度提出蒸汽阀脉冲宽度。 每个提议者的动作都会部分决定它下一次观测到什么(内生经验)。 输送速度变慢会改变视觉模型所看到的帧的运动模糊与时间信息，更长的停留时长会改变下一个厚度估计所读取的膜，蒸汽脉冲则会改变热估计器接收的产品温度。 他们的能力因此仅覆盖闭环评估所覆盖的状态，本单元的问题在于：其评估记录中的目标 ODD(评估日志)是否包含操作将被允许进入的状态。 训练后施加的限制本身就是一种运行条件的改变。 若演示是在标称输送速度下采集的，那么单元放行主张所要求的降额模式，会将视觉模型带入其评估从未采样的条件，因此缩短停机的限制，同时也打开了一个没有证据支撑的工况。 评估要么在放行前采样受限模式，要么放行声明将该工况记录为未决前提。
第三条法则将这些提议置于一种提议者无法拖延或篡改的权威分割之下。 许可路径阻止提议直接作用于执行器。 其独立的运动学检查以\(1\text{ kHz}\)的频率沿轨道监测光学编码器，仅在测距覆盖、实测门架净空和经校验的停车路径支持包络时，才放行车厢速度。 对于密封头，机械力限制器将传递力限制在选定的\(220\text{ N}\)，该上限仅在限制器标定有效时才成立。 对于蒸汽输送系统，一条独立的温度路径在感测到的产品区温度达到\(105^\circ\text{C}\)或停留时间达到\(400\text{ ms}\)时关闭蒸汽阀。 学到的策略仍保有在这些边界内优化吞吐量和密封质量的权限，但许可路径保有准许物理执行的唯一权限。
第四条法则把证据支持的内容转化为放行主张，并指明它留下的开放之处。 证据记录 在测距覆盖、闸门净空和制动测试之后，可以支持一项受限的运动能力主张。 固件速度钳位值依据同一停止距离确定。 要求停车距离在物理净空内并留出 \(d_{\text{margin}} \ge 15.0\text{ mm}\) 的安全余量，施加了约束 \(d_{\text{stop}}(v) \le 45.0\text{ mm}\)。 降低运行速度会同时缩短这两项，而将速度降为原来的三分之一，即从 \(v_{\text{nom}} = 1.50\text{ m/s}\) 降至固件钳位 \(v_{\text{clamp}} \le 0.50\text{ m/s}\)，会使盲行距离从 \(96.0\text{ mm}\) 线性压缩至 \(d_{\text{blind}} = 0.50\text{ m/s} \times 0.064\text{ s} = 32.0\text{ mm}\)，而制动距离则从 \(75.0\text{ mm}\) 降至原来的九分之一 \(d_{\text{brake}} = \frac{(0.50\text{ m/s})^2}{2 \times 15.0\text{ m/s}^2} \approx 8.3\text{ mm}\)。 复合制动 \(d_{\text{stop}} = 40.3\text{ mm}\) 位于 \(45.0\text{ mm}\) 阈值之内，保留了 \(19.7\text{ mm}\) 的物理余量。 同时，车体动能 \(E_k = \frac{1}{2} m v^2\) 随速度的平方减小，总降幅为 88.9%，由 \(13.5\text{ J}\) 降至 \(1.50\text{ J}\)。
整理证据记录的同时，也暴露出一些仍缺乏支撑的论断。 为评估密封件的密封性，工程团队评估了一个视觉模型，该模型检查蒸汽腔中的光学散射，以检测密封膜上的微裂纹。 在腔体内部，局部蒸汽冷凝会形成光学折射图案，这些图案模仿膜缺陷，同时掩盖了真实的穿孔。 由于在密集蒸汽条件下，单元内不存在独立的物理传感器来实时测量膜密封完整性，因此该论断没有实用的检测器。 在论断登记表中将这一关联标记为无检测器且缺乏支撑，并非文档上的疏漏，而是对证据能够支撑的结论的准确表述。
因此，降额后的停止支持一种 候选受限模式 的运输，速度为 \(0.50\text{ m/s}\)，前提是 64 ms 端到端延迟、\(15\text{ m/s}^2\) 可信减速和 \(60\text{ mm}\) 净空被共同验证。 密封与热处理仍以对力限制器、切断、材料极限和独立故障路径的测试为条件。 由于蒸汽可能遮蔽现有视觉传感器可观测到的薄膜缺陷，且该示例未能独立建立密封完整性，因此自动化的包件签核被拒绝。 该链路可通过冷却后泄漏或真空衰减检测、已验证的材料工艺论证、自指示薄膜，或强制下游检测予以关闭。 吞吐量模型无法取代该物理证据。
该单元的评价并未从模型架构、训练损失或基准分数开始。 它始于物理本体，其中质量、力与能量产生不可逆的状态变化，并止于一份证据记录，该记录标注其未闭合的环节，并将权限限定为证据所能支持的内容。 预测安全停车高概率的神经网络，在制动无法于可用净空耗尽前生效的情况下仍会发生碰撞。
四定律留下的开放问题
运行中的机器以拒绝的姿态结束了全书。 依据本书的证据，裁决者 完整展开的一个案例 对全部六项主张签署 REFUSE，因为每一项都建立在一个记录只能说明为示意性或未知的预设之上。 对 那些会使结论朝 `COND` 方向移动的测量 的测量只会使该结论部分改变。 一旦它们支撑起前提并使其确定，一次放行最多只能对运行包络的某个具名部分签署 COND，涵盖在经过检查的地面上以 1 m/s 受限模式进行的通道行进、受保护入口处的门，以及向同事的交接。 1.3 m/s 正常模式仍将不获签署放行，因为它依赖的摩擦下限因油膜而仍未得到确认。 表 1 的三个条目在任一结论下都保持开启，各自带有其归属者与闭合测试，且三者都是只有合格探测器才能闭合的未测量可观测量：地板膜探测器、合格的机架端存在传感器，以及取料站处的合格身份校验。 它们都不属于范围错配或理论缺陷。 机器的权限止步于论断登记表所声明之处。
该结论是四定律应用于同一台机器，而包装单元则携带同样的定律，穿越了书中未曾考察过的机器。 每一定律也都对应本书的一个部分，而每个部分又向前移交了陈述其自身条件的记录。 这些记录承载着本书开篇提出的问题之答案，同时也标出了该答案的边界。图 3 勾勒出它们所保护的回路。 脑提出提议，许可路径依据最新状态接纳或拒绝每一条提议，而身体将获准的指令经边界交付至一个无论是否有层级在观测都会持续演化的世界。
表 3 将每条定律与其承载该定律的记录配对，与其证据未必能始终判定的前提配对，以及在该前提保持开放期间成立的限制。 每行所需的数值来自特定的机器及其限幅记录，而非来自该表。
| 定律 | 部分 | 承载它的记录 | 证据无法始终裁决的前提 | 前提尚未确定期间，哪些措施限制运行 |
|---|---|---|---|---|
| 不可逆性 | I (物理身体, 认知脑, 神经系统) | 限制记录（物理身体）；提议者的限制（认知脑），它们进入交接记录（神经系统） | 每条实测限制，例如地面摩擦、载荷、制动触发或观测年龄，在当前条件下仍然成立 | 由可信限值确定的速度或力上限，由制动预算导出的租期，以及由当前状态可达的兜底方案 |
| 内生数据 | II（物理数据、策略训练、闭环评估） | 演示溯源记录、策略清单、评估记录 | 机器进入的状态位于闭环评估采样的目标 ODD 之内 | 操作被限制在目标 ODD 内，并对每个可监控的边界设置运行时监控器 |
| 提案并非许可 | III (传感器感知, 空间记忆, 立足物理世界的意图, 轨迹规划, 安全执行, 硅片布局) | 观测契约、信念记录、意图租赁、轨迹记录、执行记录、部署记录 | 许可路径能看到新鲜且可区分的状态，并在负载下满足其截止时间 | 拒绝与回退阶梯；过期的租约或陈旧的证据会在无需等待提议者的情况下移除权限 |
| 证据界定权限 | IV (监督性干预, 对抗性验证, 部署发布) | 权限记录、故障记录、放行清单以及本章的残余论断登记表 | 放行论断的前提在放行后依然成立 | 一项附带持续条件的条件性裁决，以及一条在其闭合测试通过前限制权限的登记册条目 |
四项决定使表格最后一列的限制得以落实。 其一，在预定的关闭测试提供证据之前，将每条开放条目在各次模型更新中保持开放。 其二，将学习得到的输出作为建议保留，并维护一条经过独立验证的授权与备用路径，其处理器、调度周期、传感器覆盖范围和执行器响应均遵循被控对象的实测时限。 其三，仅在载荷路径、行程、磨损和制动后果经过测试之处，才使用被动限制。 其四，要求具名的工程与运行负责人签署放行条件，并定义撤回授权的测量。 在这一列中，每一条法则都以相同方式结束：以证据将其解除为前提而持续有效的限制，而非无论证据如何都持续有效的保证。
谬误与陷阱
有些危害无法通过现有传感器观测，有些主张所需暴露量超过设计能够积累的量。 这两项限制都必须塑造运行授权，而不能消散进置信度分数。
↰ 前置条件： 已验证模型与未建模摩擦之间的差距，对 安全论证与主张 中的安全性论证构成挑战。
陷阱：仅依赖基于视觉的感知，而物理危害在观测上无法区分。
移动操作机器人接近一层透明液压液膜，其导航相机与激光雷达无法将其与干燥混凝土区分，从而产生观测不可区分性。 当车轮驶入液膜并在失去抓地力后空转时，滑移才会在减速——即原先假定停车所依赖的减速——消失之后，才显露出已改变的路面。 一条视觉上清晰的轨迹，并不能说明被允许的行驶速度所需的摩擦。 运行包络必须通过可辩护的速度限制或独立验证的感知，来涵盖这一未被观测到的条件。 未决安全性主张登记册必须保留摩擦假设及其约束措施，而不是把缺失的视觉证据当作抓地力的证据。
谬误：定子温度与电流测量足以检测转子磁通退化。
转子磁通行中的 表 2 已经指出了这一缺口。 扭矩遵循\(\tau = K_t I\)（物理身体），因此当磁体损伤导致\(K_t\)下降时，驱动器仍报告其指令电流和预期的焦耳热，而关节输出的扭矩低于该电流所隐含的扭矩。 正常的电流读数并不能证明扭矩能力，因此验证必须独立地核实扭矩能力，保持路径也不得沿用原有的扭矩假设。
谬误：大规模云端仿真可以替代物理暴露，用于认证开放世界安全性。
一个团队在云端运行数十亿小时的模拟，以规避物理暴露的成本。 模拟证据仅对该仿真器自身的模型@sec-evaluation-evidence-regimes 成立，而采用经检查混凝土摩擦特性的模拟地面，对于透明液膜@sec-evaluation-limits 而言毫无意义。 该封闭模型内部的重复运行，并不能为其所忽略的物理提供任何证据，因而无法验证 sim-to-real保真度是否符合部署条件。 仿真仍对逻辑校验和回归测试有用，而物理安全性主张同样需要测量数据或经验证的运行包络。 放行论证必须区分仿真证据与“其假设在物理系统上成立”的证据。
摘要
在因果边界（因果边界），一个计算决策成为持续且不可逆的物理过程的一部分。 本书贯穿发展的架构将这种物理不可逆性连接到经测量确定的预算、显式接口、独立执行以及可问责的发布决策。 前沿性在于那些机制仍然依赖、却无法完全观测或验证的前提。 在运行中的机器上，停止预算的算术从未因油膜的出现而改变，但其中一项一直搁置在没有任何东西测量的地板上，不可逆性使这一未被测量的项与任何被测量的项一样具有约束力。 工程记录必须暴露此类限制，并让其在机器运行的整个过程中限制运行，而不仅是在发布签署的那一天。 工程化的具身智能，要求知道何时现有证据足以行动、何时不足以行动。
要点回顾: 认识论前沿与法则留下的开放问题
- 开放的先验前提限制了授权： 未决安全性主张登记册接收发布清单留下的每个开放前提，并为其赋予一个缺失的可观测量、一项限制、一个责任人和一项事先声明的闭合检验。 在通道上，摩擦条目将任何放行均限定为在经检查的地面上以受限模式运行，直到地面液膜检测器通过该项检验。
- 一个延迟过大的检测器只是记录器： 只有当它的延迟落在停止动作所留下的余量之内时，检测器才针对该风险提供保护。 当安全状态与危险状态在动作截止前给出完全相同的遥测时，没有任何算法能在时间上区分二者，因此该主张必须由被动柔顺性、受限包络，或第二条物理通道来支撑。
- 试验无法达到罕见风险率： 暴露上限 物理试验极限 使罕见风险率超出任何可行的零失败试验活动。 位于提案与执行之间的防护层，只有在其能够及时观测并拦截的风险类别上才获得信用；其提案率、覆盖率和共因项各自都需要独立的证据。
- 研究在关闭某条条目时才算数： 一个新传感器、估计器或证明，只有当它通过补充缺失的可观测量、约束尾部或在其运行时检查自身前提，从而关闭某条具名登记条目时，才对部署有意义。 没有任何东西可以关闭的条目，只能通过收窄授权或暂停运行来解决，而不是等待。
- 每一条法则都留下一个未定的前提： 不可逆性依托于仍然成立的实测极限；内生数据依托于覆盖机器进入状态的靶标 ODD；提议并非许可，依托于新鲜且可区分的状态；证据则约束运行授权，依托于发布后仍然成立的前提。 运行授权止步于该证据所能支持的范围。
后续内容: 从物理人工智能到系统学科
教授 Vijay Janapa Reddi，哈佛大学
脚注
波普尔式证伪：卡尔·波普尔形式化了经验归纳的不对称性：任何有限的“安全”观察序列都无法证明普遍安全，而单个反例即可推翻它。 运行机队小时数所确立的存活率，严格限于所观察到的平稳条件，而非分布外保证。 将观察到的零起事件外推至无界环境，会产生一种虚假的安全感，一旦遇到未建模的边缘情况便不攻自破。↩︎
跨更新的证据 ：更新后的模型可能改变提案分布。 早期数据只有在具备合理的配置等价性与暴露论证时才能合并；更新并不会自动抹去所有观测。 暴露上限的恒定速率模型同样需要一套可辩护的共享机队条件与相关故障的处理方式。↩︎
速度动能降额：\(E_k=mv^2/2\) 随速度平方减小。 制动距离仍取决于经验证可信的减速度与总响应延迟；仅靠速度档位无法补偿任意低的摩擦系数。↩︎
压阻式传感器漂移: 机械应力松弛、表面氧化和温度循环会在长期运行过程中改变硅应变片的压阻系数。 单片式软件滤波器无法将缓慢的基线电压漂移与真实的工艺压力增量区分开，从而产生不可观测的状态跃迁。 因此，防止过压必须依靠独立的物理零点标定试验，或采用双非相似传感架构。↩︎
接触边界: 刚性冲击与摩擦过渡可能使光滑自由运动模型失效。 峰值接触力与部件损伤需要实测的刚度、阻尼、几何与执行器响应；仅靠控制器或被动部件中的任何一项，都无法提供普适的界。↩︎
电机热状态：绕组电阻与磁通会随温度变化。 该制动权限是否随之改变，取决于驱动方式、电流限制、负载以及实测热模型；重力加载轴可能需要一条独立的保持路径。↩︎