Системы и оборудование

Это приложение собирает использованные во всей книге встроенные модели времени, памяти, питания и актуаторов вместе с байтовыми раскладками протоколов, пересекающих границу предложения. Каждая граница зависит от конкретного устройства, рабочей нагрузки и рабочей огибающей; уравнения указывают, что должно быть измерено до того, как может быть заявлен физический предельный срок.

Как пользоваться этим приложением

Обращайтесь к этому приложению при диагностике узких мест систем, дрожания тайминга, нестабильности питающих шин или границ аппаратных интерфейсов в главах этой книги:

Числа, которые нужно знать о физическом ИИ

Так же как «Latency Numbers Every Programmer Should Know» от Jeff Dean¹ сформировали распределенные системы, а классические системы машинного обучения связали производительность программного обеспечения с пропускной способностью памяти и арифметической интенсивностью, инженерам систем физического ИИ требуется соответствующая количественная интуиция, охватывающая вычисления, кинетику, теплоотвод и функциональную безопасность. В физическом ИИ задержка программного обеспечения — не просто время ожидания; она превращается прямо в необратимый кинетический импульс, непроверенное перемещение и накопление термодинамического тепла в статорах двигателей и вычислительном кремнии.

Этот раздел собирает основополагающие числа порядка величин, законы масштабирования и инженерные эмпирические правила, управляющие проектированием киберфизических машин. Все числа взяты из одного источника — mlsysim. Запомните зависимости; конкретные числа используйте как проверку на здравый смысл.

Три важнейших физических числа

• Кинетическая эквивалентность: $1\text{ ms}=1\text{ mm}$ (при $1\text{ m/s}$): При номинальной роботизированной скорости $1\text{ m/s}$ каждая отдельная миллисекунда задержки восприятия, инференса или полевой шины превращается ровно в $1\text{ mm}$ слепого хода до того, как может быть приложен замедляющий момент. На скорости шоссе ($30\text{ m/s}$) каждая миллисекунда — это $3\text{ cm}$. В физических системах задержка программного обеспечения — не время ожидания, а физическое смещение.
• Термическое расхождение: ${\tau }_{\text{silicon}}\sim 1\text{ ms}$ против ${\tau }_{\text{stator}}\sim 100\text{ s}$: Переходы полупроводников нагреваются адиабатически за миллисекунды во время всплесков глубоких нейронных сетей, влекущих просадку напряжения или термический троттлинг раньше, чем среагируют радиаторы. Напротив, электромагнитные обмотки статора нагреваются за десятки–сотни секунд, перенося кратковременную перегрузку по току при агрессивных маневрах, но накапливая тепловую энергию, которая в итоге ограничивает длительно отдаваемый момент.
• Стена наработки: $N=3/\lambda$: Доказательство сверхнизкой частоты катастрофических отказов $10^{-8}/\text{hour}$ (ISO 26262 ASIL D) требует $3\times 10^8$ часов работы без отказов по правилу трех Пуассона Hanley and Lippman-Hand, 1983. Статистическое эмпирическое тестирование обученных сквозных моделей не может преодолеть эту стену наработки без детерминированных огибающих разрешения времени выполнения и формальных фильтров безопасности.

Иерархия частот и задержек по уровням машины

Частоты управления в физическом ИИ круто возрастают от обдумывающего Мозга вниз к физическому Телу («Иерархия частот и задержек по уровням машины»). Обдумывающие мультимодальные модели (VLA) работают в масштабах человеческой реакции ($1\text{–}5\text{ Hz}$). Модели фрагментации действий выдают точки будущих траекторий на $10\text{–}50\text{ Hz}$. Под границей предложения путь разрешения принудительно обеспечивает барьеры безопасности на $1\text{ kHz}$. На нижних уровнях токовые контуры силовой электроники и ШИМ-переключение работают на десятках–сотнях килогерц для поддержания электромагнитного потока и момента привода. Планируемость таймеров реального времени и анализ времени отклика см. в разделе «Таймеры реального времени, сторожевые таймеры и планируемость»; переключение затворов инвертора и моделирование мертвого времени см. в разделе «Таймеры инверторов и управление затворами силовой электроники».

Иерархия частот и задержек по уровням машины: Охватывая пять частотных десятилетий — от субмикросекундного переключения затворов MOSFET до обдумывания фундаментальных моделей в секундном масштабе. Каждый частотный диапазон накладывает жесткий период цикла и непроверенное физическое расстояние перемещения при номинальной скорости ($1\text{ m/s}$).

Кинетический перенос и безопасные огибающие остановки

Полный остановочный путь $d_{\text{stop}}=v\cdot {\tau }_{\text{delay}}+v^2/(2a_{\text{brake}})$ объединяет линейный слепой ход, накопленный за время вычислительной задержки, и квадратичный механический тормозной путь («Кинетический перенос между архетипами платформ»). По мере роста скорости платформы абсолютный слепой ход быстро растет, съедая целые запасы свободного расстояния до начала замедления. Многокоординатные кинематические цепи, траектории с ограниченным рывком и выводы запаздывания по возрасту информации см. в разделе «Кинематические огибающие остановки и запаздывание информации».

Кинетический перенос между архетипами платформ: Задержка до торможения превращается в невозвратимое физическое перемещение до начала тормозной силы. Остановочный путь $d_{\text{stop}}=v\cdot {\tau }_{\text{delay}}+v^2/(2a_{\text{brake}})$ объединяет линейный слепой ход и квадратичный тормозной путь.

Пропускная способность памяти периферии и амортизация фрагментами действий

Большие мультимодальные фундаментальные модели на периферийных архитектурах системы на кристалле (SoC) при авторегрессионной генерации ограничены пропускной способностью памяти («Пропускная способность памяти периферии и фрагменты действий»). Потоковая передача модели с 7 миллиардами параметров через интерфейс LPDDR5 с устойчивыми $140\text{ GB/s}$ ограничивает одношаговую генерацию величиной $10\text{–}20\text{ Hz}$. Предсказание фрагментов действий длиной $H=16$ амортизирует потоковую передачу весов по множеству будущих шагов управления, поднимая эффективную полосу управления до сотен герц. Организация банков DRAM, штрафы конфликтов и арбитраж межсоединений при конкурирующем DMA-трафике см. в разделе «Конкуренция за DRAM и арбитраж межсоединений».

Пропускная способность памяти периферии и фрагменты действий: Авторегрессионное декодирование токенов на периферийных акселераторах (таких как Jetson AGX Orin при устойчивой пропускной способности DRAM $140\text{ GB/s}$) ограничено пропускной способностью памяти. Предсказание фрагментов действий ($H$ шагов) амортизирует передачу весов по множеству циклов исполнения, обеспечивая высокие эффективные частоты управления.

Тепловые постоянные времени вычислений и электромеханики

Теплоотвод следует экспоненциальному нарастанию $T(t)=T_{\text{amb}}+\Delta T_{\max }(1-e^{-t/{\tau }_{\text{th}}})$ с постоянными времени, охватывающими пять порядков величин («Тепловые постоянные времени подсистем»). Кремниевые переходы перегреваются за миллисекунды во время вычислительных всплесков, требуя DVFS в микросекундном масштабе и управления просадкой PDN. Напротив, электромагнитные обмотки статора нагреваются за минуты, допуская кратковременную перегрузку момента при ограничении тепловым сторожевым таймером $I^{2}t$. Тепловые дифференциальные уравнения первого порядка и пределы деградации обмоток статора см. в разделе «Электрическая и тепловая динамика актуаторов»; поглощение рекуперативной энергии на шинах постоянного тока см. в разделе «Распределение энергии шины постоянного тока и ее поглощение».

Тепловые постоянные времени подсистем: Тепловая инерция охватывает пять порядков величин. Адиабатический нагрев полупроводниковых переходов вызывает быстрое термическое снижение частоты за миллисекунды, тогда как медные обмотки двигателя интегрируют электрическую энергию за десятки–сотни секунд.

Статистические границы безопасности и стены наработки

По правилу трех Пуассона Hanley and Lippman-Hand, 1983, доказательство того, что физическая система достигает целевой частоты катастрофических отказов $\lambda$ с доверительной вероятностью 95 % без наблюдения единого отказа, требует испытаний в течение $N=3/\lambda$ часов работы («Стандарты безопасности и стены наработки испытаний»). Достижение сверхнадежных порогов, которых требует автомобильная функциональная безопасность (ISO 26262 ASIL D, $\lambda <10^{-8}/\text{hour}$ iso26262, 2018), требует 300 миллионов часов работы без отказов — масштаба, делающего сквозную статистическую валидацию «черным ящиком» математически невозможной без детерминированных огибающих разрешения времени выполнения. Форматы передачи предложений и манифестов, обслуживающие контракты безопасности времени выполнения, см. в разделе «Форматы передачи цепочки протоколов».

Стандарты безопасности и стены наработки испытаний: Требуемые часы работы без отказов для установления целей безопасности с доверительной вероятностью 95 % по правилу трех ($N=3/\lambda$). Чисто статистическое сквозное тестирование не может доказать катастрофическую безопасность без детерминированных гарантий времени выполнения.

Задержки шин, дрожание и детерминизм

Шины связи обнаруживают резкие различия по задержкам и дрожанию («Задержки, дрожание и детерминизм шин связи»). Промышленные полевые шины, такие как EtherCAT, достигают субмикросекундного дрожания за счет выделенной аппаратной обработки на лету. Напротив, недетерминированный арбитраж и общие беспроводные каналы вносят хвостовые задержки, превышающие предельные сроки реакции высокоскоростных электромеханических машин. Границы аппаратных меток времени PTP по IEEE 1588 см. в разделе «Синхронизация часов и сетевые метки времени»; приоритетный арбитраж CAN-FD и бюджеты циклов EtherCAT см. в разделе «Полевые шины реального времени и синхронизация без блокировок».

Задержки, дрожание и детерминизм шин связи: Сравнение бортовых полевых шин и беспроводных сетей. Управление жесткого реального времени требует субмикросекундного дрожания, тогда как беспроводная телеметрия демонстрирует многомиллисекундную хвостовую задержку, исключающую внеконтурное замкнутое вмешательство в целях безопасности.

Таймеры реального времени, сторожевые таймеры и планируемость

Во встроенных системах реального времени временная предсказуемость столь же важна, как вычислительная корректность. Запоздавшее управляющее действие не просто ухудшено; на физической аппаратуре оно неверно и потенциально разрушительно.

Планируемость задач реального времени и анализ времени отклика

Периодическая задача реального времени ${\tau }_i$ характеризуется худшим временем выполнения (WCET) $C_i$, относительным предельным сроком $D_i$ и периодом $T_i$. В одноядерной вытесняемой модели с фиксированными приоритетами, ограниченной блокировкой и без дрожания выпуска (такой как планирование с монотонными периодами Liu and Layland, 1973) планируемость проверяется по худшему времени отклика $R_i$: $$R_i=C_i+B_i+I_i\le D_i$$ где $B_i$ — максимальная длительность блокировки, создаваемая задачами с более низким приоритетом при доступе к общим ресурсам, а $I_i$ — помехи от задач с более высоким приоритетом. Время отклика вычисляется по рекуррентному соотношению с неподвижной точкой: $$R_i^{(k+1)}=C_i+B_i+\sum _{j\in hp(i)}\lceil \frac{R_i^{(k)}}{T_j}\rceil C_j$$ начиная с $R_i^{(0)}=C_i+B_i$ и итерируя до неподвижной точки или до превышения предельного срока. Конечная неподвижная точка с $R_i\le D_i$ для каждой задачи устанавливает планируемость при этих допущениях о планировании и помехах. WCET $C_i$ — одна из компонент времени отклика, а не сквозная задержка от датчика до актуатора.

Аппаратные сторожевые таймеры и отклик на отказ

Для обнаружения пропущенной контрольной точки исполнения встроенная конструкция может использовать аппаратный сторожевой таймер. Его часы и путь отклика должны быть достаточно независимы от наблюдаемой задачи для заявленного множества отказов; независимый кварц — одна из реализаций.

Таймер инициализируется пороговым значением $W_{\text{init}}$. Потоки исполнения программного обеспечения должны периодически обновлять (или «подкармливать») регистр до того, как отсчет дойдет до нуля. Если $W(t)$ обозначает отсчет регистра в физическое время $t$, а программное обеспечение выполняет обновление в момент $t_k$, регистр сбрасывается:² $$W(t_k)=W_{\text{init}}$$ Если программное обеспечение пропускает настроенное окно обновления, таймер истекает и поднимает настроенное прерывание, сброс или выход на внешний супервизор. Истечение лишь обнаруживает пропущенную контрольную точку. Кейс безопасности должен ограничить отклик от истечения до привода, смонтировать любое срабатывание по потере MCU независимо от отказавшего MCU и показать, что результирующие торможение или удержание, подобранные по состоянию, способны остановить объект управления в пределах его оставшегося запаса хода. Одна лишь команда сброса или безопасного снятия момента (STO) может оставить движущуюся нагрузку идти выбегом.

Таймеры инверторов и управление затворами силовой электроники

Двигательные приводы актуаторов используют трехфазные полумостовые инверторы для преобразования напряжения шины постоянного тока в переменные токи статора.

Вставка мертвого времени в таймерах микроконтроллера

Каждая фаза инвертора содержит силовой MOSFET верхнего плеча (или IGBT) и силовой MOSFET нижнего плеча, включенные через шину питания постоянного тока $V_{\text{bus}}$. Таймерная периферия микроконтроллера генерирует комплементарные сигналы управления с широтно-импульсной модуляцией (PWM) и аппаратно обеспечиваемой вставкой мертвого времени $t_{\text{dead}}$: $$t_{\text{dead}}\ge t_{\text{off, max}}+t_{\text{prop, skew}}-t_{\text{on, min}}$$ где $t_{\text{off, max}}$ — максимальное время выключения силового ключа, $t_{\text{on, min}}$ — минимальное время включения, а $t_{\text{prop, skew}}$ — разброс задержек распространения между драйверами затворов.³

Для указанного устройства и задержек управления затворами достаточное мертвое время уменьшает перекрытие проводимости верхнего и нижнего плеч. Если оба ключа проводят одновременно, сквозной пробой создает низкоомный путь через шину постоянного тока; ток и повреждения зависят от сопротивления шины, защиты и длительности события.

Индуктивная просадка и растяжение задержки вентилей

Когда акселераторы глубоких нейронных сетей (такие как матричные движки с систолическими массивами) переходят из простоя в полное исполнение, потребляемый ток возрастает на десятки ампер за наносекунды.

Сопротивление сети электропитания и просадка шины

Каждая сеть электропитания (PDN) имеет конечную паразитную индуктивность контура $L_{\text{PDN}}$ и эквивалентное последовательное сопротивление $R_{\text{PDN}}$ по дорожкам печатной платы, шарикам корпуса и соединительным проводникам. Когда исполнение на акселераторе вызывает переходную ступень тока $\Delta I$ с временем нарастания $t_r$ (что дает скорость нарастания тока $dI/dt\approx \Delta I/t_r$), закон электромагнитной индукции Фарадея предписывает мгновенное падение напряжения $\Delta V_{\text{droop}}$: $$\Delta V_{\text{droop}}=L_{\text{PDN}}\frac{dI}{dt}+\Delta I\cdot R_{\text{PDN}}$$ Если напряжение питания $V(t)=V_{\text{nom}}-\Delta V_{\text{droop}}$ приближается к охарактеризованному минимальному рабочему напряжению устройства $V_{\min }$, запас тайминга может сократиться или может сработать защита от просадки.

Задержка вентилей цифровой логики и альфа-степенной закон

В субмикронном CMOS-кремнии задержка распространения логических вентилей $t_{\text{prop}}$ подчиняется альфа-степенному закону Сакурая–Ньютона:⁴ $$t_{\text{prop}}(V)\propto \frac{C_L\cdot V}{(V-V_{\text{th}}{)}^{\alpha }}$$ где $C_L$ — емкость нагрузки вентиля, $V_{\text{th}}$ — пороговое напряжение транзистора, а $\alpha \in [1.2,1.5]$ — показатель насыщения скорости (в отличие от $\alpha =2.0$ в теории длинных каналов).

Когда напряжение шины просаживается с $V_{\text{nom}}$ до $V_{\text{droop}}$, задержка распространения растягивается согласно: $$\frac{t_{\text{prop}}(V_{\text{droop}})}{t_{\text{prop}}(V_{\text{nom}})}=\frac{V_{\text{droop}}}{V_{\text{nom}}}{\left(\frac{V_{\text{nom}}-V_{\text{th}}}{V_{\text{droop}}-V_{\text{th}}}\right)}^{\alpha }$$ В синхронном цифровом конвейере с периодом тактовой частоты $T_{\text{clk}}$, временем установки $t_{\text{setup}}$ и перекосом тактов $t_{\text{skew}}$ замыкание тайминга требует: $$t_{\text{prop}}+t_{\text{setup}}+t_{\text{skew}}\le T_{\text{clk}}$$ Растяжение $t_{\text{prop}}$ уменьшает запас установки. Сбой тайминга происходит лишь если измеренный путь пересекает свой предел запаса; сброс по просадке зависит от отдельно настроенного порога супервизора. Локальная развязка может уменьшить отклонение шины, в зависимости от ее сопротивления и размещения.

Конкуренция за DRAM и арбитраж межсоединений

На мультиядерных SoC-платформах с общей памятью передачи прямого доступа к памяти (DMA) и предвыборка зрения конкурируют с путем разрешения за очереди команд контроллера памяти и физические банки DRAM.

Организация банков DRAM и задержка конфликтов

Кристалл DRAM организован во множество независимых банков, каждый из которых имеет единственный буфер строки. Доступ к ячейкам памяти требует трех последовательных операций:

1. Активация строки ($t_{\text{RCD}}$): загружает строку ячеек памяти в буфер строки банка.
2. Доступ к столбцу ($t_{\text{CAS}}$): считывает или записывает данные из открытого буфера строки на шину данных.
3. Предзаряд строки ($t_{\text{RP}}$): восстанавливает заряд на накопительных конденсаторах и закрывает активную строку.

Когда последовательные операции обращаются к разным строкам одного банка (конфликт банков), контроллеру может потребоваться предзарядить и активировать строку перед доступом к столбцу, добавляя примерно $t_{\text{RP}}+t_{\text{RCD}}$. Каждый банк может иметь собственную открытую строку. Штраф и число переключений зависят от отображения адресов и расписания контроллера.⁵

Кроссбары межсоединений и конкуренция пакетных передач

Плитка акселератора разбивается на ограниченные шинные транзакции; это не одна атомарная AXI-пачка. Для иллюстративного FIFO-контроллера, допускающего все $K$ транзакций до запроса безопасности, без приоритетного обхода и новых поступлений, идеальная компонента передачи по шине равна $$t_{\text{queue,ideal}}=\frac{{\sum }_{k=1}^K{B}_k}{{\mathrm{BW}}_{\text{bus}}}.$$ Прибавьте штрафы переключения банков для реальной последовательности адресов, а затем собственные времена передачи и вычислений запроса безопасности. Это сконструированная модель планирования, а не переносимая граница худшего случая: регенерация, накладные расходы протокола, переупорядочивание контроллера и конкурирующий трафик могут увеличить задержку, тогда как квалифицированный QoS может обходить работу в очереди. Раздел «Конкуренция за общие ресурсы» приводит пересчитываемый случай. Локальный когерентно опубликованный снимок безопасности может обойти этот путь DDR, но емкость TCM сама по себе не дает снимок и не ограничивает время его передачи.

Синхронизация часов и сетевые метки времени

Распределенное восприятие должно преобразовывать метки времени датчиков в общую область часов с измеренной границей ошибки преобразования.

Обмен сообщениями протокола точного времени

Протокол точного времени IEEE 1588 (PTP) синхронизирует ведомые часы ($S$) с ведущими часами ($M$), обмениваясь четырьмя физическими метками времени через канал связи:

1. $t_1$: ведущий передает кадр Sync, записывая свою локальную метку времени передачи.
2. $t_2$: ведомый принимает кадр Sync, записывая свою локальную метку времени прибытия.
3. $t_3$: ведомый передает кадр Delay_Req, записывая свою локальную метку времени передачи.
4. $t_4$: ведущий принимает кадр Delay_Req, записывая свою локальную метку времени прибытия.

Предполагая стабильные часы во время обмена и симметричную задержку распространения в прямом и обратном направлениях ($D_{M\to S}=D_{S\to M}=D$), временные соотношения удовлетворяют: $$t_2=t_1+O+D$$ $$t_4=t_3-O+D$$ где $O$ — смещение часов ведомого относительно ведущего. При этих допущениях оцененное смещение равно: $$O=\frac{(t_2-t_1)-(t_4-t_3)}{2}$$ Односторонняя задержка распространения в сети равна: $$D=\frac{(t_2-t_1)+(t_4-t_3)}{2}$$ Ведомый оценивает отображение в область ведущего, вычитая $O$. Асимметрия задержки пути, дрейф осциллятора между обменами и ошибка метки времени оставляют остаток, который должен быть ограничен для проверок возраста свидетельств.

Аппаратные метки времени физического уровня

Программные метки времени включают диспетчеризацию операционной системой и разброс очередей, которые должны быть измерены для выбранного сетевого стека.

Аппаратура с поддержкой PTP может ставить метки времени вблизи границы Ethernet PHY или уровня управления доступом к среде (MAC), уменьшая ошибку диспетчеризации хоста.⁶ Само по себе это не устанавливает субмикросекундную сквозную границу часов; должны быть охарактеризованы топология, асимметрия, интервал синхронизации, расположение меток времени и преобразование часов MCU.

Почтовые ящики гетерогенного SoC и барьеры памяти

Некоторые робототехнические SoC связывают прикладной процессор под Linux с ядром реального времени или микроконтроллером. Их контракт связи должен специфицировать владение памятью, поведение кеша, действительность сообщений и то, что делает сторона реального времени, когда новое сообщение не приходит.

Обмен сообщениями с удаленным процессором через общую SRAM

Иллюстративный почтовый ящик с общей памятью работает следующим образом:

1. Ядро A записывает полезную нагрузку сообщения в фиксированный буфер в общей SRAM.
2. Ядро A делает нагрузку видимой для ядра B, используя когерентное отображение платформы или явное обслуживание кеша и упорядочивание.
3. Ядро A вызывает межпроцессорное прерывание (IPI), записывая в аппаратный регистр почтового ящика ядра B.
4. Ядро B проверяет порядок публикации, целостность, возраст и разрешение до использования нагрузки.

Linux RPMsg — среда обмена сообщениями на основе virtio, которая может использовать общую память и специфичный для платформы сигнал запуска. Она не предписывает этот протокол с фиксированным буфером и не универсальную границу задержки.

Переупорядочивание конвейера процессора и барьеры памяти

Слабое упорядочение памяти и некогерентные кеши могут позволить получателю наблюдать уведомление без актуальной нагрузки, если только производитель и потребитель не следуют одному опубликованному протоколу:

// Core A (Application Processor); q_target and q_cmd are joint_target_t structs
shared_buffer->q_target = q_cmd; // Store 1: Payload (struct copy)
mailbox_doorbell = 1;            // Store 2: Interrupt trigger

Если процессор или межсоединение ставит Store 2 перед Store 1, ядро B получает прерывание до того, как новое задание шарниров зафиксировано в физической памяти, считывая устаревшие или недействительные данные.

Барьер памяти данных может упорядочить доступы в пределах выбранной им области совместного использования:⁷

shared_buffer->q_target = q_cmd; // Struct copy of the joint targets
__asm__ volatile("dmb ish" ::: "memory"); // Only if both peers share this domain
mailbox_doorbell = 1;

Барьер в этом примере достаточен лишь если оба ядра делят когерентную область внутреннего совместного использования, а колокольчик имеет заданное упорядочение памяти устройства. Он не сбрасывает некогерентный кеш и не делает данные видимыми для несвязанного DMA-мастера. В противном случае используйте подходящий барьер платформы и синхронизацию владения кешем при DMA, либо отобразите буфер когерентно, и проверьте acquire-сторону получателя. Читателю реального времени по-прежнему нужна ограниченная попытка валидации и резервирование, ограниченное арендой, на случай разорванной или устаревшей публикации.

Электрическая и тепловая динамика актуаторов

Актуаторы преобразуют электрическую энергию в механическую работу посредством электромагнитных сил Лоренца, подчиняясь связанным электрическим и тепловым ограничениям.

Электрическое время нарастания статора

Фазная обмотка бесщеточного двигателя постоянного тока (BLDC) имеет фазное сопротивление $R_{\text{phase}}$ и фазную индуктивность $L_{\text{phase}}$. Приложение напряжения на зажимах $V_{\text{terminal}}$ против противо-ЭДС $e_{\text{bemf}}=K_e{\omega }_m$ дает ОДУ первого порядка для тока статора: $$L_{\text{phase}}\frac{dI(t)}{dt}+R_{\text{phase}}I(t)=V_{\text{terminal}}-K_e{\omega }_m$$ Для ступени напряжения, поданной из состояния покоя (${\omega }_m=0$), фазный ток нарастает экспоненциально: $$I(t)=\frac{V_{\text{terminal}}}{R_{\text{phase}}}\left(1-e^{-t/{\tau }_e}\right),{\tau }_e=\frac{L_{\text{phase}}}{R_{\text{phase}}}$$ где ${\tau }_e$ — электрическая постоянная времени: в этой идеальной ступенчатой модели ток достигает примерно 63 % конечного значения за одну ${\tau }_e$. Момент ${\tau }_m=K_{t}I$ следует за этим током, лишь пока держатся магнитные допущения, допущения о напряжении и управления; команда — не мгновенное изменение момента.

Сосредоточенные тепловые сети и коэффициент заполнения

Ток, текущий через обмотки статора, рассеивает резистивный джоулев нагрев: $$P_{\text{loss}}(t)=I_{\text{rms}}^2(t)R_{\text{phase}}(T)$$ где сопротивление меди растет линейно с температурой: $$R_{\text{phase}}(T)=R_0\left[1+{\alpha }_{\text{Cu}}(T-T_0)\right]$$ с температурным коэффициентом ${\alpha }_{\text{Cu}}\approx 0.00393{\text{ K}}^{-1}$ для меди. В одноузловой сосредоточенной тепловой модели с тепловым сопротивлением к окружающей среде ${\theta }_{JA}$ (в $\text{K/W}$) и теплоемкостью $C_{\text{th}}$ (в $\text{J/K}$) повышение температуры $\Delta T(t)=T_{\text{winding}}(t)-T_{\text{ambient}}$ удовлетворяет:⁸ $$C_{\text{th}}\frac{d\Delta T(t)}{dt}=P_{\text{loss}}(t)-\frac{\Delta T(t)}{{\theta }_{JA}}$$ При постоянной мощности температура растет с тепловой постоянной времени ${\tau }_{\text{th}}={\theta }_{JA}{C}_{\text{th}}$: $$\Delta T(t)=P_{\text{loss}}{\theta }_{JA}\left(1-e^{-t/{\tau }_{\text{th}}}\right)$$ Длительная моментная способность ${\tau }_{\text{cont}}$ ограничена максимально допустимой температурой обмотки $\Delta T_{\max }$: $${\tau }_{\text{cont}}\le K_t\sqrt{\frac{\Delta T_{\max }}{{\theta }_{JA}{R}_{\text{phase}}}}$$ Момент выше длительного может допускаться кратковременно, если оценка температуры устройства и заданные пределы ток–время это позволяют. Интеграл ${\int }_0^t{I}^{2}dt$ — одна из возможных защитных мер, а не универсальный номинал двигателя.

Приведенная инерция ротора и пределы углового рывка

Электромагнитные актуаторы с редуктором усиливают отдаваемый момент двигателя, умножая инерцию ротора на выходе шарнира. Для передачи с передаточным отношением $N={\omega }_{\text{motor}}/{\omega }_{\text{joint}}$ сохранение кинетической энергии предписывает приведенную инерцию, действующую на выходное звено: $$E_k=\frac{1}{2}{J}_{\text{rotor}}{\omega }_{\text{motor}}^2+\frac{1}{2}{J}_{\text{load}}{\omega }_{\text{joint}}^2=\frac{1}{2}(J_{\text{load}}+N^2{J}_{\text{rotor}}){\dot{q}}^2$$ Эффективный момент инерции, видимый в координате шарнира $q$, равен: $$J_{\text{eff}}=J_{\text{load}}+N^2{J}_{\text{rotor}}$$ Уравнение движения шарнира под электромагнитным моментом двигателя ${\tau }_{\text{motor}}$ имеет вид: $$\ddot{q}=\frac{N{\tau }_{\text{motor}}-{\tau }_{\text{ext}}}{J_{\text{load}}+N^2{J}_{\text{rotor}}}$$ Дифференцирование $\ddot{q}$ по передаточному отношению $N$ при нулевой внешней нагрузке дает: $$\frac{\partial \ddot{q}}{\partial N}=\frac{{\tau }_{\text{motor}}(J_{\text{load}}-N^2{J}_{\text{rotor}})}{(J_{\text{load}}+N^2{J}_{\text{rotor}}{)}^2}$$ Приравнивание $\frac{\partial \ddot{q}}{\partial N}=0$ дает соотношение согласования инерций $N^{\ast }=\sqrt{J_{\text{load}}/J_{\text{rotor}}}$. Когда $N>N^{\ast }$, контринтуитивно, увеличение передаточного отношения уменьшает достигаемое ускорение шарнира, потому что двигатель тратит большую часть момента на разгон собственного ротора, а не звена.

Динамический угловой рывок и пределы скорости изменения момента

Угловой рывок $j_{\text{joint}}(t)=\stackrel{\dots }{q}(t)$ измеряет скорость изменения ускорения шарнира во времени: $$j_{\text{joint}}(t)=\frac{N}{J_{\text{load}}+N^2{J}_{\text{rotor}}}\frac{d{\tau }_{\text{motor}}(t)}{dt}$$ Электромагнитный момент связан с квадратурным током статора через постоянную момента $K_t$: ${\tau }_{\text{motor}}=K_t{I}_q$. Из электрической динамики статора этого раздела скорость нарастания тока ограничена индуктивностью обмотки $L_{\text{phase}}$: $$\frac{d{\tau }_{\text{motor}}}{dt}=K_t\frac{d{I}_q}{dt}=\frac{K_t}{L_{\text{phase}}}\left(V_{\text{terminal}}-K_e{\omega }_m-R_{\text{phase}}{I}_q\right)$$ При насыщении максимальным напряжением зажимов шины постоянного тока $V_{\max }$ физическая верхняя граница отдаваемого углового рывка равна: $$|j_{\max }|\le \frac{N{K}_t(V_{\max }-K_e{\omega }_m)}{L_{\text{phase}}(J_{\text{load}}+N^2{J}_{\text{rotor}})}$$ Когда непривилегированная нейронная политика выдает ступенчатый разрыв момента $\Delta \mathbf{\tau }$ между дискретными шагами, скомандированная производная $\frac{d\tau }{dt}\to \infty$ не может быть мгновенно отдана физическим кремнием. Инвертор входит в жесткое насыщение по напряжению, вызывая крутое нарастание тока ($dI/dt$), интенсивную тепловую нагрузку на силовые MOSFET и ударные нагрузки на контактных поверхностях зубьев (${\sigma }_b\propto W_t/(bmY)$). Синхронные инвариантные фильтры предварительной обработки вычисляют численные производные момента $(\mathbf{\tau }[k]-\mathbf{\tau }[k-1])/\Delta t$, чтобы запрошенные действия оставались в допустимых огибающих рывка до защелкивания силовых ступеней.

Распределение энергии шины постоянного тока и ее поглощение

Сеть электропитания роботизированной платформы должна снабжать всплески ускорения и поглощать энергию рекуперативного торможения через конечную емкость шины и сопротивление жгута.

Индуктивная просадка и емкостная развязка

Когда разгоняются несколько актуаторов, сопротивление и индуктивность жгута препятствуют току источника, тогда как локальная емкость покрывает разницу. Для заданной формы волны резистивное и индуктивное слагаемые равны $\Delta I_{\text{source}}{R}_{\text{bus}}$ и $L_{\text{bus}}d{I}_{\text{source}}/dt$; разряд конденсатора подчиняется $$\Delta V_C(t)=\frac{1}{C_{\text{bus}}}{\int }_0^t(I_{\text{load}}(s)-I_{\text{source}}(s))ds.$$ Эти слагаемые нельзя просто складывать как одновременные пики без модели цепи и формы волны. Если результирующее напряжение достаточно долго пересекает настроенный порог блокировки по пониженному напряжению (UVLO), источник может отключиться или сброситься; порог, фильтрация и последствие для объекта управления требуют измерения.

Всплески рекуперативного торможения и подбор чоппера

При управляемом рекуперативном замедлении часть механической кинетической энергии $E_k=\frac{1}{2}m{v}^2$ (поступательной) или $E_k=\frac{1}{2}{J}_{\text{load}}{\dot{q}}_0^2$ (вращательной) может возвращаться через инвертор. Если аккумулятор не способен ее принять, а предполагаемая доля ${\eta }_{\text{regen}}$ доходит до локального конденсатора шины $C_{\text{bus}}$ прежде, чем сработает другой сток, идеальное соотношение для конденсатора имеет вид: $$\Delta E_C=\frac{1}{2}{C}_{\text{bus}}\left(V_{\text{final}}^2-V_{\text{initial}}^2\right)={\eta }_{\text{regen}}{E}_k$$ $$V_{\text{final}}=\sqrt{V_{\text{initial}}^2+\frac{2{\eta }_{\text{regen}}{E}_k}{C_{\text{bus}}}}$$ Для реализации с активным тормозным чоппером резистор и ключ должны поглощать смоделированную пиковую мощность и энергию импульса, когда $V_{\text{bus}}\ge V_{\text{clamp}}$:⁹ $$R_{\text{brake}}\le \frac{V_{\text{clamp}}^2}{P_{\text{regen, peak}}}$$ $$P_{\text{regen, peak}}\approx {\eta }_{\text{regen}}\cdot {\tau }_{\text{brake}}\cdot {\omega }_{\max }$$ Неравенство для резистора — лишь проверка подбора по пиковой мощности; минимальное сопротивление по току ключа, энергии импульса и тепловому восстановлению накладывают дополнительные ограничения.

Полевые шины реального времени и синхронизация без блокировок

Координация распределенных приводов требует измеренного сетевого расписания и ограниченного локального протокола публикации.

Сериализация полевой шины и планируемость

На общей последовательной шине $N_{\text{axes}}$ приводов циклически передают телеметрию и принимают задания. Время сериализации зависит от полного кадра, физических скоростей передачи в битах и любого запаса на стаффинг или повторную передачу.

CAN FD использует неразрушающий приоритетный арбитраж на своей номинальной скорости в битах; победивший кадр затем передает свою фазу данных на настроенной скорости данных. Оценка сериализации без ошибок для кадра $i$ равна $$t_{\text{frame},i}\approx \frac{B_{\text{arb},i}}{R_{\text{nom}}}+\frac{B_{\text{data},i}}{R_{\text{data}}}+t_{\text{stuff},i}+t_{\text{interframe},i}.$$ Эта оценка — не граница времени отклика. Кадр с более низким приоритетом, уже передающийся, может блокировать только что готовый кадр с высоким приоритетом до конца этой передачи; проигравшие арбитраж откладываются и повторяются без ошибки. Ограничьте задержки в очереди и дрожание выпуска каждого сообщения с учетом реального набора приоритетов, длин кадров, допущений об ошибках и нагрузки шины; описание CAN FD от Bosch различает фазы арбитража и данных.

EtherCAT обрабатывает данные по мере прохождения кадров через ведомые контроллеры. Для заданной топологии бюджет цикла включает сериализацию каждого настроенного кадра, пересылку ведущим и ведомыми, распространение по PHY и кабелю, обработку и запас на дрожание и восстановление после ошибок: $$T_{\text{cycle}}\ge \sum _f\frac{B_f}{R_{\text{link}}}+t_{\text{master}}+\sum _s{t}_{\text{slave},s}+t_{\text{prop}}+t_{\text{guard}}.$$ Достижимый период цикла зависит от конфигурации; короткие заявленные периоды не устанавливают предельный срок для конкретной машины. Группа EtherCAT Technology Group описывает метод обработки и настраиваемые технологические данные.

Seqlock-протоколы без блокировок для многотактной общей памяти

Когда производитель обновляет многословное состояние, читаемое механизмом принуждения с предельным сроком, ожидание мьютекса, удерживаемого производителем, может нарушить предельный срок читателя. Однослотовый почтовый ящик в алгоритме ниже использует счетчик последовательности для обнаружения разорванного снимка.

Счетчик последовательности помечает идущую публикацию единственного писателя нечетным значением, а завершенную публикацию — четным:

1. Протокол писателя:
   • Опубликуйте нечетное значение последовательности, запишите нагрузку и сделайте ее видимой через когерентный или поддерживаемый обслуживанием кеша контракт памяти платформы.
   • Опубликуйте следующее четное значение с упорядочением release.
2. Протокол читателя:
   • Считайте $S_1$ с упорядочением acquire. Если оно нечетно, отклоните эту публикацию, не ожидая.
   • Выполните одну ограниченную копию в буфер-черновик с требуемым платформой упорядочением загрузок, затем считайте $S_2$.
   • Примите только если $S_1=S_2$ и оба четны, а скопированный кадр проходит проверки целостности, метки времени и аренды. В противном случае сохраняйте последнюю проверенную локальную команду лишь пока позволяют ее аренда и запас остановки; затем перейдите в резервирование, подобранное по состоянию.

Время исполнения одной попытки читателя может быть ограничено на целевой аппаратуре; вероятность успеха зависит от расписания писателя и не выводится из одного лишь размера нагрузки. Обычные читатели seqlock в Linux могут повторять попытки, как показывает документация ядра, но контур разрешения реального времени не может использовать неограниченный цикл повторов.

\begin{algorithm}
\caption{Однослотовый базовый вариант seqlock для траектории}
\begin{algorithmic}
\Require предложение $P$ (заголовок предложения с $\text{sequence\_id}$, $\text{t\_evidence\_ns}$, $\text{sync\_error\_ns}$, $\text{t\_expire\_ns}$; точки $\mathbf{w}_{1..K}$; $\text{crc32}$), буфер-черновик $B_{\text{scratch}}$ и ранее проверенный активный сплайн $B_{\text{active}}$ в статической SRAM, общий SRAM-почтовый ящик $(c_{\text{seq}}, \text{Slot}_{\text{shared}})$, текущее время $t_{\text{now}}$ и бюджет возраста свидетельств $t_{\text{age,max}}$ (наибольшее допустимое $t_{\text{age}}$), оба — по часам микроконтроллера безопасности
\Ensure фрагмент, возведенный после проверки, в $B_{\text{active}}$ либо отклонение при неизменном $B_{\text{active}}$
\Statex
\Function{PublishActionChunk}{$P$}
    \State $c_{\text{curr}} \gets \Call{AtomicLoadExplicit}{c_{\text{seq}}, \text{memory\_order\_relaxed}}$
    \State $\Call{AtomicStoreExplicit}{c_{\text{seq}}, c_{\text{curr}} + 1, \text{memory\_order\_relaxed}}$ \Comment{пометить нечетным: запись идет}
    \State $\Call{HardwareMemoryBarrier}{\text{DMB\_OSHST}}$ \Comment{барьер записи с внешним совместным использованием проталкивает счетчик}
    \State $\Call{CopyMemory}{\text{Slot}_{\text{shared}}.\text{payload}, P, \text{sizeof}(P)}$ \Comment{копирование многословной траектории}
    \State $\Call{HardwareMemoryBarrier}{\text{DMB\_OSH}}$ \Comment{полный барьер с внешним совместным использованием: нагрузка видима}
    \State $\Call{AtomicStoreExplicit}{c_{\text{seq}}, c_{\text{curr}} + 2, \text{memory\_order\_release}}$ \Comment{пометить четным: публикация зафиксирована}
\EndFunction
\Statex
\Function{LatchLatestActionChunk}{$B_{\text{scratch}}, B_{\text{active}}, t_{\text{now}}$}
    \State $c_{\text{start}} \gets \Call{AtomicLoadExplicit}{c_{\text{seq}}, \text{memory\_order\_acquire}}$ \Comment{загрузить начальный счетчик (ARM LDAR, acquire)}
    \If{$c_{\text{start}}$ нечетно}
        \State \Return $\text{STATUS\_WRITER\_ACTIVE}$ \Comment{писатель активен; сохранить прежний сплайн}
    \EndIf
    \State $\Call{HardwareMemoryBarrier}{\text{DMB\_OSHLD}}$ \Comment{явный барьер: не дать чтениям нагрузки подняться выше счетчика}
    \State $\Call{CopyMemory}{B_{\text{scratch}}, \text{Slot}_{\text{shared}}.\text{payload}, \text{sizeof}(\text{Payload})}$ \Comment{предварительная копия; активный сплайн не изменяется}
    \State $\Call{HardwareMemoryBarrier}{\text{DMB\_OSHLD}}$ \Comment{LDAR не может удержать предыдущие чтения от опускания; DMB заставляет чтения нагрузки идти до $c_{\text{end}}$}
    \State $c_{\text{end}} \gets \Call{AtomicLoadExplicit}{c_{\text{seq}}, \text{memory\_order\_acquire}}$ \Comment{перечитать счетчик последовательности}
    \If{$c_{\text{start}} \ne c_{\text{end}}$}
        \State \Return $\text{STATUS\_TORN\_READ}$ \Comment{обнаружена одновременная запись}
    \EndIf
    \If{$\Call{ComputeCrc32}{B_{\text{scratch}}} \ne B_{\text{scratch}}.\text{crc32}$}
        \State \Return $\text{STATUS\_CHECKSUM\_INVALID}$
    \EndIf
    \If{$t_{\text{now}} \ge B_{\text{scratch}}.\text{t\_expire\_ns}$}
        \State \Return $\text{STATUS\_LEASE\_EXPIRED}$ \Comment{истечение абсолютно; читатель может его лишь сократить}
    \EndIf
    \If{$t_{\text{now}} - B_{\text{scratch}}.\text{t\_evidence\_ns} + B_{\text{scratch}}.\text{sync\_error\_ns} > t_{\text{age,max}}$}
        \State \Return $\text{STATUS\_EVIDENCE\_STALE}$ \Comment{ошибка преобразования прибавляется к каждому возрасту}
    \EndIf
    \State $B_{\text{active}} \gets B_{\text{scratch}}$ \Comment{возводить лишь после проверок последовательности, CRC, истечения и возраста свидетельств}
    \State \Return $\text{STATUS\_VALID\_LATCHED}$
\EndFunction
\end{algorithmic}
\end{algorithm}

Раздел «Многотактные ритмы» обменивается заголовком предложения и его нагрузкой фрагмента через этот почтовый ящик; раздел «Заголовок предложения и нагрузка фрагмента» дает их байтовую раскладку.

Проективная геометрия камеры и распространение ковариации

Конвейеры восприятия отображают непрерывные евклидовы 3D-сцены на дискретные 2D-сетки фотоэлементов камеры.

Матрица внутренней проекции и радиальные искажения

В стандартной модели камеры-отверстия 3D-точка ${\mathbf{p}}_c=[x_c,y_c,z_c{]}^{\top }$ в координатах камеры проецируется в пиксельные координаты $\mathbf{u}=[u,v{]}^{\top }$ через матрицу внутренней калибровки $\mathbf{K}$:¹⁰ $$\tilde{\mathbf{u}}=\left[\begin{array}{c}u\\ v\\ 1\end{array}\right]=\frac{1}{z_c}\mathbf{K}{\mathbf{p}}_c=\frac{1}{z_c}\left[\begin{array}{ccc}{f}_x& 0& c_x\\ 0& f_y& c_y\\ 0& 0& 1\end{array}\right]\left[\begin{array}{c}{x}_c\\ y_c\\ z_c\end{array}\right]$$ где $(f_x,f_y)$ — фокусные расстояния в пиксельных единицах, а $(c_x,c_y)$ — главная точка. Нелинейные радиальные искажения объектива моделируются коэффициентами искажений $(k_1,k_2)$: $$r^2=x_n^2+y_n^2,x_d=x_n(1+k_1{r}^2+k_2{r}^4),y_d=y_n(1+k_1{r}^2+k_2{r}^4)$$ где $(x_n,y_n)=(x_c/z_c,y_c/z_c)$ — нормализованные координаты изображения.

Метрическая обратная проекция и распространение пространственной ковариации

При обратной проекции 2D-пиксельного наблюдения $\mathbf{u}$ с измеренной глубиной $z$ в 3D-координаты камеры шум измерения фотоэлементов ${\mathbf{\Sigma }}_{\text{meas}}=\text{diag}({\sigma }_u^2,{\sigma }_v^2,{\sigma }_z^2)$ распространяется через якобиан обратной проекции ${\mathbf{J}}_{\text{unproj}}$: $${\mathbf{p}}_c=\left[\begin{array}{c}(u-c_x)z/f_x\\ (v-c_y)z/f_y\\ z\end{array}\right],{\mathbf{\Sigma }}_c={\mathbf{J}}_{\text{unproj}}{\mathbf{\Sigma }}_{\text{meas}}{\mathbf{J}}_{\text{unproj}}^{\top }$$ Преобразование этой 3D-точки в систему координат тела робота через жесткое внешнее преобразование ${\mathbf{T}}_{bc}=[{\mathbf{R}}_{bc},{\mathbf{p}}_{bc};0^{\top },1]$ дает пространственную ковариацию тела: $${\mathbf{\Sigma }}_b={\mathbf{R}}_{bc}{\mathbf{\Sigma }}_c{\mathbf{R}}_{bc}^{\top }+{\mathbf{\Sigma }}_{\text{ext}}$$ где ${\mathbf{\Sigma }}_{\text{ext}}$ моделирует независимую внешнюю неопределенность в этом приближении первого порядка; корреляции требуют соответствующих перекрестных слагаемых. Вероятностный буфер свободного расстояния может масштабироваться с $\sqrt{{\lambda }_{\max }({\mathbf{\Sigma }}_b)}$ при заявленном хвостовом риске. Детерминированная проверка разрешения вместо этого нуждается в обоснованной огибающей ограниченной ошибки; одна ковариация не дает границы худшего случая.

Планарная гомография Чжана и калибровка камеры

Техника калибровки Чжана вычисляет матрицу внутренних параметров камеры $\mathbf{K}$ по наблюдению планарного калибровочного узла (например, шахматного узора) в $N\ge 3$ различных ориентациях Zhang, 2000. Без ограничения общности предположим, что модельная плоскость лежит на $Z=0$ в мировых координатах. 3D-модельная точка $\mathbf{M}=[X,Y,0,1{]}^{\top }$ отображается в 2D-точку изображения $\tilde{\mathbf{u}}=[u,v,1{]}^{\top }$ через матрицу планарной гомографии $3\times 3$, $\mathbf{H}$: $$s\left[\begin{array}{c}u\\ v\\ 1\end{array}\right]=\mathbf{K}\left[\begin{array}{cccc}{\mathbf{r}}_1& {\mathbf{r}}_2& {\mathbf{r}}_3& \mathbf{t}\end{array}\right]\left[\begin{array}{c}X\\ Y\\ 0\\ 1\end{array}\right]=\mathbf{K}\left[\begin{array}{ccc}{\mathbf{r}}_1& {\mathbf{r}}_2& \mathbf{t}\end{array}\right]\left[\begin{array}{c}X\\ Y\\ 1\end{array}\right]=\mathbf{H}\left[\begin{array}{c}X\\ Y\\ 1\end{array}\right]$$ где $\mathbf{H}=[{\mathbf{h}}_1{\mathbf{h}}_2{\mathbf{h}}_3]=\lambda \mathbf{K}[{\mathbf{r}}_1{\mathbf{r}}_2\mathbf{t}]$ с произвольным ненулевым скаляром $\lambda$.

Ортогональные ограничения на абсолютную конику

Поскольку векторы поворота ${\mathbf{r}}_1$ и ${\mathbf{r}}_2$ — ортонормированные столбцы матрицы $SO(3)$ (${\mathbf{r}}_1^{\top }{\mathbf{r}}_2=0$ и $\Vert {\mathbf{r}}_1\Vert =\Vert {\mathbf{r}}_2\Vert =1$), инвертирование $\mathbf{K}$ дает: $${\mathbf{r}}_1=\frac{1}{\lambda }{\mathbf{K}}^{-1}{\mathbf{h}}_1,{\mathbf{r}}_2=\frac{1}{\lambda }{\mathbf{K}}^{-1}{\mathbf{h}}_2$$ Наложение ортонормированности на ${\mathbf{r}}_1$ и ${\mathbf{r}}_2$ задает два фундаментальных алгебраических ограничения на каждую гомографию: $${\mathbf{h}}_1^{\top }{\mathbf{K}}^{-\top }{\mathbf{K}}^{-1}{\mathbf{h}}_2=0$$ $${\mathbf{h}}_1^{\top }{\mathbf{K}}^{-\top }{\mathbf{K}}^{-1}{\mathbf{h}}_1-{\mathbf{h}}_2^{\top }{\mathbf{K}}^{-\top }{\mathbf{K}}^{-1}{\mathbf{h}}_2=0$$ Симметричная матрица $\mathbf{B}={\mathbf{K}}^{-\top }{\mathbf{K}}^{-1}$ представляет образ абсолютной коники (IAC): $$\mathbf{B}=\left[\begin{array}{ccc}{B}_{11}& B_{12}& B_{13}\\ B_{12}& B_{22}& B_{23}\\ B_{13}& B_{23}& B_{33}\end{array}\right]$$ Задав 6-вектор $\mathbf{b}=[B_{11},B_{12},B_{22},B_{13},B_{23},B_{33}{]}^{\top }$, каждый квадратичный член ${\mathbf{h}}_i^{\top }\mathbf{B}{\mathbf{h}}_j$ можно переписать как линейное скалярное произведение ${\mathbf{v}}_{ij}^{\top }\mathbf{b}$, где: $${\mathbf{v}}_{ij}=\left[\begin{array}{c}{h}_{i1}{h}_{j1}\\ h_{i1}{h}_{j2}+h_{i2}{h}_{j1}\\ h_{i2}{h}_{j2}\\ h_{i3}{h}_{j1}+h_{i1}{h}_{j3}\\ h_{i3}{h}_{j2}+h_{i2}{h}_{j3}\\ h_{i3}{h}_{j3}\end{array}\right]$$ Два ограничения на каждую наблюдаемую ориентацию становятся линейной системой: $$\left[\begin{array}{c}{\mathbf{v}}_{12}^{\top }\\ ({\mathbf{v}}_{11}-{\mathbf{v}}_{22}{)}^{\top }\end{array}\right]\mathbf{b}=0$$ Складывание $N\ge 3$ изображений образует однородную систему $\mathbf{Vb}=0$, где $\mathbf{V}\in {\mathbb{R}}^{2N\times 6}$. Правый сингулярный вектор $\mathbf{V}$, соответствующий наименьшему сингулярному значению, дает $\mathbf{b}$ с точностью до множителя масштаба. Внутренние параметры $(f_x,f_y,c_x,c_y)$ и скошение $\gamma$ затем однозначно извлекаются через разложение Холецкого матрицы $\mathbf{B}$. Это линейное решение в замкнутой форме инициализирует нелинейную оптимизацию Левенберга–Марквардта, минимизирующую невязки репроекции по всем наблюдаемым опорным углам.

Кинематические огибающие остановки и запаздывание информации

Остановка воплощенной машины, транспортирующей массу $m$ со скоростью $v$, требует баланса между свежестью сенсомоторной информации и механическим тормозным замедлением.

Возраст сенсомоторной информации и расстояние запаздывания

Для заданного детектора опасности и пути остановки пусть ${\tau }_{\text{delay}}$ ограничивает время от физического состояния, представленного свидетельствами, до начала проверенного тормозного замедления: $${\tau }_{\text{delay}}=t_{\text{age}}+t_{\text{detect}}+t_{\text{compute}}+T_{\text{bus}}+T_{\text{act}}$$ где:

• $t_{\text{age}}$ преобразует метку времени свидетельств в часы контроллера и включает экспозицию/считывание и ошибку часов.
• $t_{\text{detect}}$ ограничивает распознавание или обнаружение истечения аренды.
• $t_{\text{compute}}$ — допущенное решение об остановке, включая любую требуемую передачу входа.
• $T_{\text{bus}}$ ограничивает диспетчеризацию команды и постановку в очередь в сети.
• $T_{\text{act}}$ заканчивается, когда измеренный актуатор начинает отдавать заданное замедление, а не когда записывается регистр команды.

При явном упрощающем допущении, что скорость не может расти до начала торможения, слепой ход ограничен величиной $d_{\text{blind}}=v{\tau }_{\text{delay}}$. Если движитель или уклон могут увеличить скорость, вместо этого используйте проверенную границу ускорения для этого интервала.

Динамика торможения и пределы трения

Трение шин о пол и момент актуатора накладывают верхние пределы на достижимое замедление; $a\le \mu g$ не устанавливает, какое торможение выдаст машина. Пусть $a_{\text{brake}}>0$ — проверенная нижняя граница достигаемого замедления на протяжении всей остановки для заявленных нагрузки, температуры, уклона, состояния тормозов и поверхности. Обоснованный минимум трения ${\mu }_{\text{floor}}$ может поддерживать эту границу, но не заменяет тормозные испытания. При постоянном или более сильном торможении после начала, границе локализации ${\delta }_{\text{loc}}$, фиксированном защитном запасе ${\delta }_{\text{margin}}$ и границе ошибки слежения ${ϵ}_{\text{track}}$, $$d_{\text{stop}}(v)=v{\tau }_{\text{delay}}+\frac{v^2}{2a_{\text{brake}}}+{\delta }_{\text{loc}}+{\delta }_{\text{margin}}+{ϵ}_{\text{track}}.$$ Движение допускается только когда $d_{\text{stop}}(v)\le D_{\text{clear}}$, где $D_{\text{clear}}$ принимается как проверенная нижняя граница доступного свободного расстояния по пути. Это остановочный путь с врезкой, который защищает раздел «Огибающие остановки». Дискретизированный контроллер должен зарезервировать перемещение между отсчетами и остановку, подобранную по состоянию, до того, как будет потеряна область осуществимости.

Снижение номинала кинетической энергии и обвал трения

В идеальной модели, ограниченной трением, снижение $\mu$ с ${\mu }_{\text{nom}}$ до положительного ${\mu }_{\text{fault}}$ меняет отношение тормозных путей на ${\mu }_{\text{nom}}/{\mu }_{\text{fault}}$. Это отношение иллюстративно; фактическое замедление может ограничиваться также тормозной аппаратурой или управлением. Если трение поверхности не считывается вовремя, выведите $a_{\text{brake}}$ из контролируемого состояния поверхности и графика осмотров, исключите деградировавшие поверхности или воздержитесь от движения. Для приведенной выше модели постоянной скорости до торможения решение неравенства по свободному расстоянию дает $$v_{\text{clamp}}=-a_{\text{brake}}{\tau }_{\text{delay}}+\sqrt{(a_{\text{brake}}{\tau }_{\text{delay}}{)}^2+2a_{\text{brake}}\left(D_{\text{clear}}-{\delta }_{\text{loc}}-{\delta }_{\text{margin}}-{ϵ}_{\text{track}}\right)}.$$ Это ограничение действует лишь когда $D_{\text{clear}}$ превышает три фиксированные накладные величины, выполняются нижние границы торможения и тайминга, а ограничение скорости принудительно обеспечивается до входа в коридор опасности. Положительного ограничения не следует, если доступный минимум замедления неизвестен или равен нулю.

Форматы передачи цепочки протоколов

Главы называют поля каждого протокола по смыслу и указывают инвариант, который протокол обеспечивает. Этот раздел дает байтовые раскладки протоколов, которые должны помещаться в почтовый ящик или журнал фиксированного размера, и канонический порядок полей для офлайн-протоколов, которые хранятся и связываются дайджестом. Каждое абсолютное время — беззнаковый 64-битный отсчет наносекунд по монотонным часам микроконтроллера безопасности, каждая длительность — беззнаковый отсчет наносекунд, а sync_error_ns несет границу преобразования для свидетельств, захваченных на других часах. Сами политики часов и целостности принадлежат разделу «Многотактные ритмы»; раскладки здесь фиксируют алгоритм для каждой задачи целостности. Обнаружение порчи использует CRC-32 (IEEE 802.3) по заголовку и нагрузке, происхождение — дайджест SHA-256 потребляемого протокола, а полномочия — HMAC-SHA-256 на командах оператора, ключевую хеш-цепочку на криминалистическом журнале и подписи Ed25519 на протоколах отказов и артефактах выпуска. За протоколами полномочий, отказов и выпуска следует протокол, который их пишет или проверяет.

Фиксированные раскладки используют прямой порядок байтов (little-endian) и упакованы в указанном порядке. Смещения — шестнадцатеричные байтовые позиции от начала протокола, и каждое многобайтовое поле располагается на своем естественном выравнивании, так что ни одно поле не требует скрытого заполнения. Поле, чья длина зависит от счетчика, идет после всех фиксированных полей, и его смещение записывается через этот счетчик. Сам протокол несет $K$ точек, $N_j$ командных шарниров, $K_b$ ограничений барьеров и $K_a$ каналов приближения; статический манифест полномочий фиксирует $N_c$ компонент команды и $N_s$ компонент состояния. Офлайн-протоколы (размещения, отказов, выпуска) идентифицируются дайджестом SHA-256 их канонического кодирования, а протокол, который один из них потребляет, сохраняет этот дайджест под именем потребляемого протокола.

Заголовок предложения и нагрузка фрагмента

Каждое предложение, пересекающее границу предложения, начинается с одинакового заголовка, а payload_kind выбирает нагрузку, следующую на 0x50. Таблица «Заголовок предложения и нагрузка фрагмента» размечает заголовок с минимальной нагрузкой фрагмента раздела «Многотактные ритмы». Фрагмент несет только кинематические задания. Момент вычисляется на стороне разрешения, где трекер выводит его из допущенной ссылки, поэтому обученное предложение никогда не называет момент двигателя.

Заголовок предложения и нагрузка фрагмента: Смещения полей, скалярные типы, единицы и инварианты для предложения фрагмента, обмениваемого через seqlock-почтовый ящик (см. алгоритм выше). Заголовок занимает 0x00–0x4F в каждом предложении; остальные раскладки нагрузок этого раздела начинаются с 0x50.

Полезная нагрузка намерения

Аренда намерения из раздела «Аренда намерения» следует под заголовком предложения с payload_kind, установленным в INTENT («Полезная нагрузка намерения»). Три поля заголовка приобретают специфические значения. t_evidence_ns — это эпоха свидетельств родительского протокола оценки состояния, никогда не эпоха его оценки; parent_digest — дайджест этого протокола оценки, который путь разрешения сверяет с сохраненной записью; а t_expire_ns — запрошенное истечение, которое путь разрешения сокращает до наименьшего из горизонта свидетельств, своего настроенного потолка аренды и предельного срока остановки. Шесть значений bounds — это три консервативные огибающие ошибки положения и три допуска задачи в системе координат основания, названной frame_id. Это не кодирование ковариации, и производитель обязан обосновать любое преобразование из своей оценки ковариации, включая смещение калибровки и заявленный хвостовой риск.

Полезная нагрузка намерения: Аренда намерения как нагрузка заголовка предложения. Допуски ориентации и правила режимов контакта приходят из независимо утвержденного профиля задачи; кватернион — лишь предлагаемая ориентация.

Полезная нагрузка траектории

Протокол траектории из раздела «Контракт траектории» заменяет фрагмент на работающей машине и следует под тем же заголовком предложения с payload_kind, установленным в TRAJECTORY, и parent_digest, установленным в дайджест активной аренды намерения («Полезная нагрузка траектории»). t_expire_ns заголовка несет аренду фрагмента; собственное истечение намерения приходит из аренды, которую идентифицирует parent_digest. Отсчеты заданий и приложение допущений следуют вне этой фиксированной части. Путь разрешения проверяет sidecar_digest по обоим, валидирует полного кандидата в промежуточной памяти и защелкивает допущенные задания и стоп-суффикс в защищенной памяти до начала слежения.

Полезная нагрузка траектории: Протокол траектории как нагрузка заголовка предложения. Четыре предельных срока — абсолютные времена по часам микроконтроллера безопасности; переменные по длине отсчеты заданий и приложение допущений связываются sidecar_digest и валидируются до активации.

Протокол принудительного обеспечения

Протокол принудительного обеспечения из раздела «Протокол принудительного обеспечения» — это конфигурация, а не предложение, поэтому он не несет заголовка предложения («Протокол принудительного обеспечения»). Три дайджеста называют то, на чем опирается протокол: протокол оценки, протоколы пределов за огибающей остановки и область действительности. Каждый порог называет ступень лестницы резервирования, которую выбирает не пройденная проверка. Там, где ступень зависит от того, движется ли тело, строка называет обе: STOP в движении и HOLD в покое. Отклоненное предложение, пока действует активная аренда, не выбирает ступени, ибо уже допущенные задания остаются в силе до истечения этой аренды.

Протокол принудительного обеспечения: Пороги пути разрешения со ступенью лестницы резервирования, которую выбирает каждая не пройденная проверка, и дайджесты протокола оценки, протоколов пределов и области действительности, на которых покоятся пороги. Протокол — это конфигурация и телеметрия; он не добавляет ни одного пакета в поток предложений.

Протокол размещения

Протокол размещения из раздела «Распределение аппаратных ресурсов» — офлайн-свидетельство с фиксированным заголовком и связанным журналом испытаний («Заголовок протокола размещения»). Он не несет собственной подписи; подписанный манифест выпуска связывает его через placement_record_digest. enforcement_record_digest называет протокол принудительного обеспечения, чей deadline_ns испытывался, а test_ledger_digest идентифицирует внешний журнал, который указывает заявленное худшее время выполнения, не превышаемое загруженным испытанием, вместе с распределениями, числом выборок, условиями испытаний, мерами устранения и непроверенными состояниями. Не измеренный максимум хранится как все единицы, никогда как ноль, — то же соглашение о недоступном значении, которым пользуется протокол отказа.

Заголовок протокола размещения: Конфигурационные значения и наблюдаемые максимумы с дайджестами, связывающими испытанный протокол принудительного обеспечения и внешний журнал испытаний. Один заголовок не устанавливает свободу от помех.

Протокол полномочий и полезная нагрузка оператора

Протокол полномочий из раздела «Журнал полномочий» имеет две раскладки времени выполнения. Команда сетевого оператора — это нагрузка заголовка предложения («Полезная нагрузка оператора»), и это единственное предложение, чья идентичность отправителя наделяет полномочиями, поэтому оно несет метку HMAC-SHA-256 под ключом роли оператора. Статический манифест полномочий фиксирует выдачу каналов каждой роли, счетчик компонент команды, порядок и единицы, а также хранение ключей.

Полезная нагрузка оператора: Команда сетевого оператора под заголовком предложения. Метка аутентифицирует роль; путь разрешения тем не менее допускает команду по ее содержимому.

Криминалистический протокол полномочий («Протокол полномочий для расследования») — журнал, записываемый один раз за такт, а не пакет. Его время — по часам микроконтроллера безопасности; отображение, связывающее его с PTP и календарным временем, с границей ошибки, живет в статическом манифесте вместе с длинами векторов, единицами и порядком компонент. chain_link каждой записи — HMAC-SHA-256 под ключом журнала по ссылке предыдущей записи и предыдущим полям этой записи, так что измененная или удаленная запись разрывает каждую более позднюю ссылку.

Протокол полномочий для расследования: Одна запись на такт контура разрешения. Отсутствующая запись — пробел в цепочке, никогда не подразумеваемое одобрение, и запись — это выборочная трассировка решения, а не доказательство отданной силы или контакта.

Протокол передачи полномочий

Используется в разделах «Переходы полномочий» и «Передача без разрыва». Протокол выполняется в контуре $1\text{ kHz}$ механизма принуждения на микроконтроллере безопасности, где четырехфазное рукопожатие, предсмещение интегратора и квинтическое смешивание $C^2$ становятся одной последовательностью шагов по состояниям. Каждый такт пишет криминалистический протокол полномочий из таблицы «Протокол полномочий для расследования» под именами состояний, используемыми ниже.

Ритм и инварианты.

• Ритм исполнения: периодическое таймерное прерывание жесткого реального времени ($f=1\text{ kHz}$, период $T_{\text{loop}}=1.0\text{ ms}$, аппаратное дрожание тайминга $<1.0\mu \text{s}$).
• Инвариант памяти: нулевое динамическое выделение кучи (malloc/free запрещены; все переменные состояния, почтовые ящики и кольцевые буферы журнала статически предварительно выделены в DTCM SRAM).
• Аппаратные полномочия: исключительная запись допущенных заданий, подготовленных для следующего кадра EtherCAT, к приводам, и аппаратных отсечек безопасного снятия момента (STO).

Протокол исполнения.

1. Отберите и провалидируйте состояние объекта управления, доступный резерв остановки, независимые защитные входы и текущую аренду полномочий. Независимый защитный вход выбирает свой проверенный путь остановки, подобранный по состоянию, из раздела «Лестница резервирования».
2. В AUTO ручной запрос или запрос передачи политике переходит в PEND; политика может предлагать, лишь пока действует ее существующее разрешение. Установите $T_{\text{timeout}}$ на меньшее из потолка протокола и предельного срока, выводимого из свободного расстояния. Не позже последнего такта разрешения до $T_{\text{timeout}}$ передайте управление резервированию, подобранному по состоянию. Недействительный сетевой пакет отклоняется и журналируется, а не интерпретируется как запрос остановки.
3. В PEND проверьте учетные данные оператора, nonce, разрешающий вход, свежесть цели, пределы актуаторов и полный запас передачи плюс остановки. По ACK на следующем квалифицированном такте Commit отзовите токен исполнения политики на маскированных каналах, защелкните ${\mathbf{u}}_0$ как ее последнюю допущенную команду, защелкните проверенную человеческую цель ${\mathbf{u}}_1$ и установите BLEND. Механизм принуждения остается единственным писателем актуаторов. Если допуск не удался, сохраните или перейдите в независимо проверенное резервирование.
4. В BLEND вычислите $s=\min (1,(t-t_0)/T)$ и $\alpha (s)=6s^5-15s^4+10s^3$. Механизм принуждения предлагает ${\mathbf{u}}_{\text{blend}}=(1-\alpha ){\mathbf{u}}_0+\alpha {\mathbf{u}}_1$, затем проверяет этого кандидата по текущему состоянию, моменту и скорости изменения и пределам остановки до диспетчеризации. Это защелкнутые конечные точки, а не одновременные живые потоки политики и человеческого актуатора. Если аренда, свободное расстояние или допущение слежения не выполняются, используйте резервирование, подобранное по состоянию. При $s=1$ с действующей ручной арендой установите MAN и подтвердите это состояние оператору.
5. В MAN механизм принуждения проверяет каждое живое человеческое предложение. Истечение аренды или потеря разрешающего устройства отзывает ручные предложения и передает управление проверенному резервированию. Отдельно журналируйте запрос, ACK, фиксацию, кандидата, допущенную команду, измеренный отклик и неопределенность часов; ограниченная высокочастотная запись не должна блокировать такт управления.

Протокол отказа

Протокол отказа из раздела «Манифест отказов» — офлайн-свидетельство, фиксированный заголовок, подписанный Ed25519, который связывается с сохраненным пакетом свидетельств по дайджесту («Заголовок протокола отказа»). Корень журнала отказов, который связывает манифест выпуска, вычисляется по каноническим кодированиям этих заголовков. envelope_point имеет свое определение для каждой машины в версионированном манифесте классов отказов; для мобильного манипулятора его четыре значения — скорость в проходе (м/с), нагрузка (кг), коэффициент трения пола и температура окружающей среды (K).

Заголовок протокола отказа: Фиксированная часть одного испытания с внедрением отказа. Связанный пакет свидетельств несет длительность отказа, идентификаторы сборок аппаратуры и программного обеспечения, ссылки на необработанные трассировки и области часов, идентичность детектора, каждое значение запаса и его масштаб, измеренный физический исход, вторичные аномалии и частичные трассировки для вердиктов, отличных от успешных.

Для испытания, прерванного до внедрения, время детектора, время перехвата и запас робастности недоступны, а не равны нулю. Раскладка хранит все единицы (0xFFFFFFFF) в недоступном временном слоте uint32_t и канонический тихий NaN в недоступном слоте запаса float32, а подписанный пакет свидетельств записывает флаг действительности для каждого измеренного поля и причину его отсутствия. Оракул проверяет эти флаги и вердикт до выполнения арифметики и исключает недоступные слоты из счетчиков успеха и из статистик задержек или запасов. Версионированный манифест фиксирует битовый шаблон NaN, чтобы хеширование оставалось воспроизводимым.

Протокол внедрения отказов

Используется в разделе «Внедрение отказов на аппаратуре». Протокол выполняет одно испытание с аппаратурой в контуре на целевом кремнии, от аудита предусловий до подписанного заголовка из таблицы «Заголовок протокола отказа», и каждый выход, который он берет, устанавливает одно значение verdict_status этого заголовка.

Подложка и инварианты.

• Подложка исполнения: стенд объекта управления на программируемой вентильной матрице (FPGA) жесткого реального времени и оркестратор испытательного стенда ($f=1\text{ kHz}$, дрожание аппаратных меток времени $<500\text{ ns}$).
• Инвариант памяти: предварительно выделенные статические DMA-буферы в хост-оркестраторе испытаний; нулевое динамическое выделение кучи во время выполнения на микроконтроллере безопасности.
• Полномочия защитной блокировки: независимые оптические или лазерные эталонные датчики, подключенные к аппаратным реле-шунтам (crowbar), способным обесточить целевой актуатор в пределах $2.0\text{ ms}$ после нарушения физической огибающей.

Протокол исполнения.

1. Аудит предусловий (стадия 1). Отберите базовые датчики окружающей среды через ${\mathcal{I}}_{\text{truth}}$ (температуру, напряжение шины и скорость колеса). Сопоставьте каждое измерение с его заявленным допуском в тех же единицах; не берите одну норму по кельвинам, вольтам и метрам в секунду. Если какое-либо предусловие не выполнено, запишите ERR_PRECONDITION_OUT_OF_SPEC, установите вердикт INVALID и прервите.

2. Синхронизация и взведение стационарного режима (стадия 2). Взведите симулятор объекта управления на FPGA, запитайте целевую двухпроцессорную систему и запустите периодический контур управления ($1\text{ kHz}$). Установите синхронизированные опорные часы для логического анализатора, объекта на FPGA и эталонных преобразователей через часы PXI $10\text{ MHz}$. Дайте физическому состоянию объекта $\mathbf{x}(t)$ стабилизироваться в номинальной рабочей огибающей в течение $t_{\text{settle}}=2.000\text{ s}$. Если базовая ошибка слежения $\Vert e_{\text{track}}\Vert >{ϵ}_{\text{nom}}$, поднимите ERR_BENCH_INSTABILITY, установите вердикт INVALID и прервите.

3. Триггер внедрения отказа (стадия 3). В монотонный момент испытания $t_{\text{inject}}$ аппаратный оркестратор испытаний поднимает линию триггера к встроенному стенду внедрения:

   • Зависание инициатора (F1): оркестратор убивает задачу политики фрагментов через один такт после продления аренды.
   • Задержка или смещение датчика (F2): перехватчик на FPGA защелкивает кадр навигационной камеры или удерживает устаревшую нагрузку энкодера, сохраняя его действительную аппаратную метку времени.
   • Потеря кадров (F3): узел возмущения полевой шины теряет или портит кадры EtherCAT на ведомом порту привода.
   • Просадка управляющей шины (F4a): программируемая электронная нагрузка снимает переходный процесс F4a из таблицы «Классы аппаратных и киберфизических отказов» с общей управляющей шины в точке разряженного аккумулятора в течение $\Delta t_{\text{duration}}=5.0\text{ ms}$, пока независимый преобразователь записывает шину разрешения и сигнал живости пути разрешения.
   • Потеря питания шины разрешения (F4b): твердотельный ключ разрывает питание шины разрешения в момент начала резидентной остановки с потолка обследованного пола.
   • Механическое заклинивание актуатора: четырехквадрантный динамометр прикладывает ступень противодействующего момента ${\tau }_{\text{stall}}=3.5\times {\tau }_{\text{rated}}$.

   Запишите метку времени внедрения $t_{\text{fault\_start}}\leftarrow t_{\text{now}}$ в наносекундах по опорным часам.

4. Отклик механизма принуждения и аудит перехвата (стадия 4). Наблюдайте через изолированный логический анализатор выводы механизма принуждения безопасности целевого MCU, телеметрию шины CAN и ШИМ-линии драйверов затворов:

   • Обнаружьте срабатывание немаскируемого прерывания (NMI) или диагностического флага: $t_{\text{det}}\leftarrow t_{\text{now}}⟹\Delta t_{\text{det}}=t_{\text{det}}-t_{\text{fault\_start}}$.
   • Обнаружьте аппаратное вытеснение мультиплексором драйвера двигателя: $t_{\text{takeover}}\leftarrow t_{\text{now}}⟹\Delta t_{\text{takeover}}=t_{\text{takeover}}-t_{\text{fault\_start}}$.
   • Обнаружьте переход физического объекта управления в безопасный ограниченный режим: $t_{\text{bounded}}\leftarrow t_{\text{now}}⟹\Delta t_{\text{bounded}}=t_{\text{bounded}}-t_{\text{fault\_start}}$.

   Если внешний стенд сдерживания срабатывает на нарушении конструктивной огибающей, аппаратный шунт обесточивает актуатор; поднимите ERR_PHYSICAL_BREACH и доведите испытание до стадии 5, где нарушенный предикат сдерживания возвращает FAIL.

5. Оценка робастности и сериализация в журнал (стадия 5). Считайте эталонную траекторию ${\mathbf{x}}_{\text{obs}}(t)$ от независимой измерительной аппаратуры в пределах заявленного окна испытания. Если требуемые эталонные кадры отсутствуют, установите вердикт UNOBSERVABLE и сохраните частичную трассировку. Для наблюдаемого испытания вычислите знаковый запас каждого предварительно зафиксированного предиката в его собственной единице, как его определяет STL-робастность из раздела «Сигнальная временная логика и непрерывная робастность». Возвращайте PASS только когда каждый требуемый запас неотрицателен и оба измеренных времени — от отказа до обнаружения и от отказа до перехвата привода — удовлетворяют своим заявленным границам; иначе возвращайте FAIL. Безразмерный агрегат может вычисляться лишь после предварительно объявленной нормировки по каждому предикату. Свяжите фиксированный заголовок протокола отказа с пакетом свидетельств переменной длины по дайджесту, подпишите заголовок по указанной схеме хранения и сохраните оба.

Манифест выпуска

Манифест выпуска из раздела «Манифест выпуска» — подписанный офлайн-артефакт, а не запись почтового ящика, поэтому он имеет каноническое кодирование вместо фиксированных смещений. Поля идут в порядке, который перечисляет таблица «Манифест выпуска», каждое поле переменной длины несет префикс длины, а подпись арбитра Ed25519 покрывает кодирование каждого предыдущего поля. Каждый дайджест — SHA-256. Истечение — единственное календарное время в цепочке протоколов, и оно проверяется по защищенным от несанкционированного доступа часам реального времени, а не по монотонным часам микроконтроллера безопасности.

Манифест выпуска: Канонический порядок полей подписанного артефакта выпуска. Новая подписанная версия может заменить манифест лишь после проверки текущих физических условий, а аппаратный корень закрепляет ключи, а не хранит изменяемые дайджесты.

Протокол ворот выпуска

Используется в разделе «Манифест выпуска». Прежде чем силовые ступени двигателей получат питание, ворота выпуска свидетельствуют состояние кремния, проверяют манифест из таблицы «Манифест выпуска» и дайджесты его образов и аудируют постоянные условия в указанном ниже порядке.

Подложка и подпись. Аппаратный корень доверия закрепляет авторизованную, отзывную цепочку ключей проверки арбитра. Защищенное хранилище держит подписанный манифест и подписанный граф свидетельств. Подпись покрывает каждое версионированное поле манифеста, включая идентичность подписывающего ключа, а проверяющий сверяет цепочку ключей и ее состояние отзыва до доверия подписи. Индивидуально подписанные протоколы отказов из раздела «Протокол отказа» входят в манифест как один дайджест по полному журналу в его заявленном порядке. Проверяющий сверяет подпись каждой записи, упорядоченность, полноту и этот корень с рассмотренным индексом свидетельств. Один дайджест не устанавливает ни действительности записи, ни достаточности испытаний.

Авторизация с отказом в сторону блокировки. Начните с Permit_gate = 0 и физического объекта управления в его оцененном нерабочем состоянии. Все возвращаемые решения используют подписанный перечислимый тип UNCOND, COND или REFUSE; реализация может отдельно журналировать код причины.

1. Проверьте цепочку ключей арбитра и состояние отзыва, подпись манифеста, истечение, подписанные бюджеты рабочих часов и циклов и каждый активный дайджест образа. Любая недействительная, отсутствующая или истекшая позиция возвращает REFUSE. Другой программный банк требует собственного подписанного варианта и новой проверки физических условий.
2. Аутентифицируйте полный журнал отказов и ссылки на калибровку по подписанному графу. Отсутствующий журнал, плохая подпись записи или несовпадение корня возвращает REFUSE, даже если манифест говорит UNCOND. Устаревшая калибровка также возвращает REFUSE в полном варианте. Она может поддерживать COND лишь когда отдельно подписанный ограниченный вариант явно покрывает это состояние калибровки и все его свидетельства и пределы по-прежнему валидны.
3. Проверьте зависящие от состояния постоянные условия, включая тормозное испытание, разделение, базу времени и здоровье мониторинга. И KNOWN_FALSE и UNKNOWN возвращают REFUSE, сохраняя различные журналируемые причины. Примените утвержденные остановку или удержание, подобранные по состоянию, из раздела «Лестница резервирования».
4. Если все проверки пройдены и подписанный вердикт UNCOND, загрузите подписанную полную огибающую и верните UNCOND. Если все ограниченные условия выполняются в подписанном варианте COND, загрузите его подписанную сокращенную огибающую и верните COND. Подписанный вариант REFUSE или любое другое состояние возвращает REFUSE. В обоих режимах работа обученная политика лишь предлагает действия; независимый механизм принуждения проверяет каждого кандидата и контролирует разрешение актуаторов. Пороги срабатывания по силе должны включать измеренный запас обнаружения и отклика ниже контактного критерия.

Реестр остаточных утверждений

Реестр остаточных утверждений из раздела «Реестр остаточных утверждений» отслеживает каждую физическую предпосылку, на которой покоится выпуск, но которую он не наблюдает, так что открытое утверждение переносится через развертывания программного обеспечения и ревизии аппаратуры. Как и манифест выпуска, это офлайн-артефакт, чьи обязательные поля («Эпистемический реестр остаточных утверждений») следуют каноническому порядку, а не фиксированным смещениям.

Эпистемический реестр остаточных утверждений: Канонический порядок полей реестра. Заголовок связывает его с одной платформой, сборкой и рабочим окном; каждая запись должна нести свое утверждение, недостающее наблюдение, опасность и время до вреда, сдерживание, действующее в ожидании, и предварительно объявленное испытание, которое закрыло бы его.

Для дальнейшего чтения

Для более глубокого основополагающего понимания встроенных архитектур, операционных систем реального времени и силовой электроники обратитесь к следующим авторитетным источникам:

• Computer Organization and Design: The Hardware/Software Interface Hennessy and Patterson, 2019 дает исчерпающее изложение архитектур процессоров, иерархий кеша и компромиссов подсистем памяти.
• Scheduling Algorithms for Multiprogramming in a Hard-Real-Time Environment Liu and Layland, 1973 устанавливает математические основы планирования с монотонными периодами и планируемости задач реального времени.
• Modern Operating Systems авторов Andrew S. Tanenbaum и Herbert Bos дает исчерпающий охват межпроцессорного взаимодействия, синхронизации без блокировок и управления памятью.
• Real-Time Systems автора Jane W. S. Liu дает авторитетную математическую формулировку алгоритмов планирования реального времени, инверсии приоритетов и анализа времени отклика.

1. Jeff Dean: Google Senior Fellow и системный архитектор. Его числа задержек, впервые представленные вместе с Peter Norvig около 2010 года, установили каноническую иерархию задержек между уровнями хранения, памяти и сети Scott, 2012. Физический ИИ распространяет эту иерархию вниз, на электромеханические актуаторы, кинематику остановки и тепловые постоянные времени. ↩

2. Аппаратные сторожевые таймеры с обратным отсчетом: Настроенный сторожевой таймер истекает, когда ожидаемое обслуживание не происходит. Его осциллятор, тайм-аут, коммутация выхода и отклик объекта управления различаются от устройства к устройству. Простая подкормка из несвязанного прерывания не доказывает, что наблюдаемое вычисление управления продвигалось; сброс, питаемый прошивкой, также не обязан подавать сигнал приводу. Поведение сброса см. в Linux watchdog API, а выбор остановки — в разделе «Лестница резервирования». ↩

3. Вставка мертвого времени в инверторе: Мертвое время таймера выбирается по временным характеристикам ключей и драйверов в диапазоне температур и нагрузок, затем проверяется по фактическим волнам затворов. Перекрытие может создать разрушительное короткое замыкание шины; численный исход по току или предохранителю требует сопротивления цепи и отклика защиты. ↩

4. Моделирование задержки по Сакураю–Ньютону: Альфа-степенной закон моделирует зависящую от напряжения задержку вентиля; его параметры зависят от технологии. Модель предсказывает уменьшение запаса установки при просадке, тогда как пропуск предельного срока, ошибка регистра или сброс должны устанавливаться по измеренному запасу пути и порогам устройства. ↩

5. Штрафы конфликтов банков DRAM: Смена строки в одном банке может добавить время предзаряда и активации. Видео-DMA также может ставить транзакции в очередь перед чтением безопасности. Результирующая задержка должна быть ограничена для конкретного отображения адресов, политики арбитража и рабочей нагрузки; фиксированный штраф за запрос обычно не обоснован. ↩

6. Аппаратные метки времени: Совместимый PHY или MAC ставит метки на кадры ближе к линии, чем программный обработчик прерываний. Аппаратные метки времени устраняют один источник разброса диспетчеризации, тогда как асимметрия пути и преобразование часов остаются. Неопределенность метки времени принадлежит физическому протоколу оценки состояния и бюджету разрешения. ↩

7. Аппаратные барьеры памяти: Барьеры упорядочивают доступы только в пределах своего заданного контракта совместного использования и атрибутов памяти. На некогерентном маршруте также требуются операции очистки/инвалидации кеша или когерентные отображения. Руководство Arm по упорядочению памяти отличает упорядочение от когерентности. ↩

8. Тепловые постоянные времени статора: Резистивный джоулев нагрев повышает температуру фазных обмоток двигателя при длительных маневрах с высоким моментом. Поскольку удельное электрическое сопротивление меди растет линейно с температурой, горячие обмотки имеют большее сопротивление, уменьшая отдачу момента при насыщении напряжения на зажимах. Превышение пределов температуры изоляции обмоток разрушает диэлектрические покрытия, вызывая межвитковые короткие замыкания и необратимое разрушение актуатора. ↩

9. Тормозные чопперы динамического торможения: Квалифицированный чоппер способен рассеивать возвращенную энергию, когда аккумулятор недоступен как сток. Его порог, номиналы ключа и резистора, длительность импульса и тепловое восстановление должны быть испытаны. Рекуперация и работа чоппера не присущи каждой аварийной остановке; безопасное снятие момента может вместо этого оставить двигатель идти выбегом. ↩

10. Внутренняя проекция отверстия: Модель отверстия проецирует 3D-точки на 2D-датчик через откалиброванные внутренние параметры. При фиксированном шуме пикселей боковая дисперсия после обратной проекции по глубине растет с квадратом расстояния; слагаемые ошибки глубины и калибровки подчиняются собственным моделям. Некалиброванные внутренние параметры могут смещать оценку свободного расстояния и должны входить в ее огибающую ошибки. ↩