О книге
Русский перевод тома IV учебника «Machine Learning Systems» (Physical AI Systems). Книга о машинах, в которых обученная модель предлагает действия, а независимый механизм решает, можно ли их выполнить: о каузальной границе, физических пределах, времени выполнения, оценке, выпуске в эксплуатацию и о том, что остается непроверенным.
Начните с предисловия. Структура книги — в оглавлении слева.
Условия использования и авторство описаны на страницах «Авторство и лицензия» и «Происхождение материалов».
Физический ИИ
Это действующий черновик. Физические системы ИИ начинаются там, где вычисления перестают быть символическими и становятся физической силой. Как только алгоритм дает команду двигателю, прощающие условности цифрового ПО уступают место механике, термодинамике и действиям, которые нельзя отменить.
Настоящий том закладывает системные основы для машин, в которых обученные модели действуют в физическом мире под ограничениями реального времени, пределами задержек и законами физики.
Чему вы научитесь
Книга начинается с введения, развивает свои положения в четырех частях и завершается заключением:
- Введение определяет каузальную границу — место, где разрешенная команда становится током, силой и движением, — и раскладывает машину на пять уровней, на которых строится вся остальная книга.
- Анатомия машины разрабатывает Тело, Мозг и Нервную систему, превращая необратимость физической работы в бюджеты времени, расстояния, момента, тепла и напряжения.
- Обучение машины развивает данные, обучение и оценку для систем, чьи собственные действия определяют, что они увидят дальше.
- Работа машины развивает восприятие, память, намерение, планирование, принудительное обеспечение и размещение на кремнии в масштабах времени, отделяющих рассуждение от управления моторами.
- Управление машиной развивает вмешательство, верификацию и выпуск в эксплуатацию, охватывая то, чего требует надежность, когда машина покидает лабораторию.
- Заключение возвращается к вопросу о том, что машина должна гарантировать до того, как обученное предложение станет физической работой, отвечает на него тем, что подтверждают свидетельства, и вносит каждую предпосылку, оставшуюся непроверенной, в реестр непроверенных утверждений.
Примечание о переводе. Настоящая книга — русский перевод тома IV «Physical AI: Machine Learning Systems That Sense and Act» профессора Виджая Джанапы Редди (Гарвардский университет). Библиографические ссылки и список литературы приведены на языке оригинала. Уведомление об авторстве и происхождение материалов — на страницах «Авторство и лицензия» и «Происхождение материалов».
Посвящение
Моим студентам, которые задают вопрос, о котором я еще не подумал, и исследователям и системным инженерам, принимающим вызов — дать машинам безопасные и умелые руки в открытом физическом мире.
Заметка автора
Когда сервер возвращает ошибку на запрос страницы, читатель может повторить попытку. Робот, приближающийся к препятствию, продолжает движение, пока его компьютер решает, тормозить ли. Перезапуск вычисления не может вернуть уже пройденное расстояние.
В традиционных вычислениях программное обеспечение работает за стеклом: необработанное исключение или запоздавший результат оставляют запись в журнале, потерянный кадр или кнопку повтора. В физическом ИИ программное обеспечение командует материей, импульсом и энергией. Единица инженерной работы — действие, пересекающее каузальную границу. Задержка оплачивается миллиметрами, а отказ оборачивается треснувшим композитом, сгоревшими обмотками двигателя или физическим вредом.
Чтобы построить машины, выживающие в этой реальности, мы должны отказаться от мысли, что высокоемкая сеть может напрямую управлять физическим объектом управления. В машине, которую строит эта книга, обученная модель предлагает; разрешает только путь разрешения, и только пока держатся его свидетельства.
Я пишу эти главы как действующий системный исследователь, изучающий, как законы вычислений пересекаются с законами ньютоновой механики, теплового рассеяния и функциональной безопасности. Конкретные системные задачи, аппаратные измерения и прикидки от первых принципов ведут наше продвижение; формальные выводы непрерывного управления и доказательный аппарат дают необязательную глубину в приложениях.
Эта книга — открытая рабочая тетрадь. Перешагните со мной через каузальную границу, и давайте исследовать, как проектировать машины, которые воспринимают, действуют и выживают в физическом мире.
— Vijay Janapa Reddi
Cambridge, Massachusetts
2026
Об авторе
Vijay Janapa Reddi (Виджай Джанапа Редди) — профессор Gordon McKay по электротехнике и компьютерной инженерии Гарвардского университета и приглашенный профессор ETH Zurich в Лаборатории интегрированных систем (Integrated Systems Laboratory, IIS), D-ITET. Он — соучредитель и вице-президент MLCommons и автор открытого справочного текста Machine Learning Systems.
Его исследования лежат на пересечении компьютерной архитектуры, систем машинного обучения и периферийной робототехники (edge robotics), фокусируясь на том, как вычислительное оборудование и обученное программное обеспечение совместно проектируются для взаимодействия с физическим миром. На протяжении последнего десятилетия его работа была сосредоточена на демократизации прикладных систем через открытое образование и воспроизводимые бенчмарки, напрямую связывающие кремниевые ограничения от первых принципов с доступным обучением, проверенным на стенде.
Зачем я пишу эту книгу: системная позиция от первых принципов
Каждый учебник отражает интеллектуальную родословную, предубеждения и оптику своего автора. Я хочу явно обозначить точку зрения, стоящую за этой книгой.
Я не классический теоретик управления и не специалист по механической кинематике и не притворяюсь им. Я приношу перспективу архитектора компьютерных систем и исследователя систем машинного обучения (MLSys), идущего к первым принципам.
Моя интуиция в этой области восходит к моему выпускному проекту по мехатронике. Будучи студентом электротехнической и компьютерной инженерии, в этом проекте я впервые должен был собрать все воедино — аналоговые схемы, обработку сигналов датчиков, микроконтроллеры, драйверы двигателей, механические передачи и встроенное программное обеспечение — в единую работающую машину. Именно тогда я осознал, что программное обеспечение нельзя проектировать в отрыве от физической реальности: обмотки двигателя нагреваются, силовые шины проседают при резком ускорении, а измерения датчиков стареют в тот самый миг, когда происходит физическое преобразование.
Более двадцати лет — от архитектуры производительности мобильных систем на кристалле (SoC) и периферийного ИИ-кремния в Google до соучреждения MLCommons/MLPerf для установления стандартов эмпирического бенчмаркинга ИИ-ускорителей и работа у истоков движения TinyML по сжатию нейронных сетей до микроваттных микроконтроллеров, — моя работа обитала на физической границе, где программные биты встречаются с физическим кремнием и энергетическими ограничениями.
Физический ИИ возвращает меня по кругу к тому мехатронному проекту, но с глубоким поворотом. В классической мехатронике мы замыкали контур с помощью составленной вручную детерминированной логики: ПИД-регуляторов, конечных автоматов и аналитических моделей. В физическом ИИ мы встраиваем высокоемкие стохастические нейронные сети — фундаментальные модели, диффузионные политики и обученные декодеры — в тот самый непрощающий контур. Инженерная задача уже не просто заставить машину двигаться; она в том, как безопасно замкнуть контур вокруг непроверенного стохастического мозга, используя детерминированные системы и принципы безопасности.
Этот бэкграунд формирует то, что я хочу, чтобы студенты поняли. Предложенное моделью действие должно пройти через вычислительную систему, прежде чем физическая машина сможет его выполнить. Я хочу, чтобы читатели проследили этот путь и спросили, что может помешать действию быть выполненным так, как задумано. Тайминг вычислений, возможности тела и предпосылки, лежащие в основе проверок команд, все важны для этой оценки. Пояснения должны сделать эти взаимодействия понятными до того, как потребуется специализированная математика или детали реализации.
Этот учебник — моя попытка поделиться этой фундаментальной системной перспективой с новым поколением инженеров, робототехников и компьютерных ученых. Это книга, которую я хотел бы дать своим собственным студентам, когда они мостят путь от систем машинного обучения к физическому миру.
Интеллектуальная родословная и системная траектория
Эта системная траектория от первых принципов охватывает три крупные эпохи:
- Кремниевая реальность и мобильная архитектура: Обоснована компьютерной архитектурой, маломощными микроархитектурами и проектированием мобильных систем на кристалле (SoC) (включая архитектуру производительности периферийного ИИ-кремния в Google). Эта работа обращалась к физическим реальностям вычислений: конкуренцию за шину памяти при высокопропускных камерных потоках, снижение частоты из-за перегрева в жестких огибающих рассеиваемой мощности и задержки прерываний при предельных сроках жесткого реального времени.
- Системы ML и движение TinyML: Мост между алгоритмическими абстракциями машинного обучения и исполнением на кремнии. Он соучредил MLPerf для установления глобального стандарта бенчмаркинга оборудования и программного обеспечения ML и стоял у истоков движения TinyML, разработав учебную программу Harvard CS249r и программу HarvardX TinyML (охватившую более 100 000 учащихся по всему миру), чтобы перенести глубокие нейронные модели на микроваттные микроконтроллеры.
- Замыкание контура восприятия и действия в физическом ИИ: Расширение этой системной перспективы на машины, чьи обученные модели предлагают физические действия. Фокус — на том, как взаимодействуют восприятие, вычисления и отклик тела, и на условиях, при которых предложенное действие может быть исполнено.
Разработка комплекта и лабораторных работ
Разработка практических лабораторных работ со стендом и опорной аппаратной платформы (Physical AI Kit на базе Arduino UNO Q Dual-Brain) ведется совместно с доктором Andrea Mattia Garavagno, постдокторским исследователем Лаборатории интегрированных систем (IIS), D-ITET при ETH Zurich.
Эта работа ставит целью перевести системные идеи книги в упражнения по прошивке и программному обеспечению, которые студенты и практики могут воспроизвести и изучить на стенде.
Руководство для читателя и необходимая подготовка
Системы физического ИИ написана как самостоятельный, самодостаточный учебник для старших студентов, аспирантов-исследователей и практикующих системных инженеров, которые хотят строить машины, безопасно связывающие обученный интеллект с физической материей и энергией.
Читатели придут с разными сильными сторонами в машинном обучении, встроенных системах или механике. Книга вводит концепции, необходимые для рассуждений об их взаимодействиях, не требуя специальной подготовки в каждой из сопутствующих дисциплин. Это руководство разграничивает общую стартовую базу и материал, вводимый в тексте, и подсказывает, где читателям с разным бэкграундом стоит сосредоточить внимание.
Технический минимум
Основной текст предполагает общую базу в программировании, машинном обучении и базовой математике. Следующая подготовка позволяет читать пояснения и следить за короткими расчетами:
- Программирование и системы: Читатель должен уметь читать и писать функции на Python, прослеживать данные через программу и осознавать, что исполнение занимает время и использует память. Знакомство с C или C++, указателями и выделением памяти полезно для необязательной работы по реализации.
- Интуиция машинного обучения: Читатель должен уловить разницу между обучением модели и ее использованием для предсказаний и знать массивы или тензоры как входы и выходы модели. Опыт с какой-либо конкретной библиотекой не требуется.
- Базовая физика и математика: Читателю должны быть удобны основы алгебры, векторы и матрицы и математический анализ одной переменной (скорости изменения). Физический ИИ прямо опирается на первокурсную ньютонову механику:
- Второй закон Ньютона для линейных и вращательных систем (, ).
- Прикидки кинетической энергии и остановочного пути (, ).
- Основы электрической мощности и нагрева (). Продвинутая дифференциальная геометрия, теория непрерывного управления на группах Ли и формальный анализ достижимости сознательно не требуются; их математические изложения собраны в приложениях тома.
Эта подготовка позволяет рассуждать о полной системе. Специализированная теория управления, детальная математика робототехники и владение низкоуровневыми реализациями не входят в стартовые требования для основного изложения.
Дисциплинарные маршруты чтения
Читатели подходят к физическому ИИ из разных инженерных традиций. Опубликованная последовательность развивает общую системную перспективу; читатели могут уделить дополнительное внимание тем взаимодействиям, которые менее всего знакомы им по их собственному бэкграунду:
- Практикам машинного обучения: Сосредоточьтесь на физических последствиях вычислений. Машина продолжает движение, пока ее модель обрабатывает наблюдение. Обратите особое внимание на раздел «Физическое тело» — ограничения движения и торможения, «Физические данные» и «Обучение политики» — эндогенную обратную связь и нарастающий дрейф (), «Оценка в замкнутом контуре» — реальность замкнутого контура, «Обеспечение безопасности» — проверку предложенных действий до исполнения, и «Размещение на кремнии» — вычислительные ресурсы, влияющие на тайминг.
- Архитекторам встроенных систем и кремния: Сосредоточьтесь на том, как обученные вычисления вносят вклад в решения, которые машина должна выполнить вовремя. Обратите особое внимание на раздел «Каузальная граница» — границу предложения, «Сенсорное восприятие» — как сенсорные наблюдения питают решения, «Пространственная память» — представления пространственной оценки, «Обоснованное намерение» и «Планирование траекторий» — синтез траекторий, и «Размещение на кремнии» — конкуренцию за шину памяти системы на кристалле (SoC) и тепловые пределы.
- Робототехникам и инженерам по управлению: Сосредоточьтесь на замыкании физического контура вокруг обученных моделей. Обратите особое внимание на раздел «Каузальная граница» — пределы того, что может командовать модель, «Нервная система» — тайминг и обмен между компонентами, «Вмешательство супервизора» — рукопожатия человеческих полномочий и передачу без разрыва, «Верификация» — внедрение отказов с аппаратурой в контуре, и «Выпуск в эксплуатацию» — структурированные свидетельства, нужные для суждения о готовности к выпуску.
Эти акценты дополняют последовательное чтение, а не заменяют его, потому что аргумент книги состоит в том, как каждая дисциплина связывается с остальной машиной.
Что вводит книга
Книга начинается с физических и вычислительных соотношений, необходимых для объяснения поведения системы. Специализированные концепции входят через задачи, которые они помогают решать, с явными предпосылками и пределами. Основной текст развивает следующие идеи из этой общей базы:
- Предложения и разрешение действовать: Текст объясняет, как обученная модель может предлагать действие, тогда как отдельный компонент определяет, может ли это действие дойти до тела.
- Проверки в условиях физических пределов: Пояснение связывает предложенные действия с доступным пространством и движением машины, формулируя предпосылки, при которых проверка может помочь.
- Тайминг между компонентами: Текст развивает то, как компоненты, работающие на разных частотах, обмениваются результатами и координируют работу, и почему задержки важны для физического отклика.
- Наблюдения и движение: Пояснение соотносит положения и направления, описываемые датчиками и моделями, с движениями тела, включая то, как внезапные изменения командуемого движения влияют на механический отклик.
- Свидетельства для выпуска: Текст объясняет, как связать утверждение о поведении системы с подтверждающими свидетельствами и определить, что эти свидетельства оставляют нерешенным.
Детальные доказательства, специализированные обозначения и схемы реализации дают необязательную глубину. Основное изложение сохраняет механизм, предпосылки и инженерное следствие, чтобы слежение за системным аргументом не зависело от преследования этих деталей.
Как читать числа
Каждое число в этой книге несет одну из пяти меток: четыре категории свидетельств и одну для проектных решений, и его метка определяет, для чего оно может быть использовано.
- Измеренное: Калиброванное наблюдение конкретной машины. Оно называет свой прибор, условия эксплуатации, число выборок и, для распределения, процентиль, который оно сообщает. Только измеренное число или число, выведенное из измеренных, может обосновать запас безопасности.
- Выведенное: Вычислено из измеренных чисел через заявленную физическую или статистическую модель. Оно несет предпосылки этой модели и распространенную неопределенность ее входов.
- По документации: Номинальное значение производителя в условиях производителя. Оно говорит, чего ожидать и что испытывать, и не является свидетельством об экземпляре на стенде.
- Иллюстративное: Выбрано, чтобы показать арифметику или масштабирование. Оно не обосновывает ни запас, ни тайм-аут, ни решение о выпуске.
Бюджет или требование, такие как длительность аренды или запас свободного расстояния, не относятся ни к одной из четырех категорий. Это проектное решение с меткой выбранное, и оно что-то значит, только когда сверено с измеренным или выведенным числом, в которое оно должно вписаться, подобно тому как выбранная аренда сверяется с выведенным потолком задержки до торможения.
Разобранный проект в этой книге показывает процедуру решения. Когда его входы иллюстративны, достигаемое им решение тоже иллюстративно. Оно показывает, как устанавливались бы скорость, аренда или вердикт машины, и связало бы реальную машину только после того, как названные им входы будут измерены.
Когда число что-то решает — например, ограничение скорости, тайм-аут или выпуск, — книга хранит его как протокол пределов с шестью элементами: значение или распределение; условия эксплуатации, в которых оно держится (груз, температура, напряжение питания, поверхность, сопутствующая нагрузка, прошивка); неопределенность измерения; инженерный запас между рабочей целью и порогом разрушения; детектор, улавливающий отклонение, пока машина работает; и его происхождение, то есть его метку и прибор или модель, которые его породили. Предел держится только в заявленных условиях. Когда износ, нагрев, новый груз или новая сборка меняют их, предел должен быть установлен заново до его повторного использования.
Разобранные примеры метят категорию каждого числа один раз, при первом использовании. Результат держится в пределах предпосылок, заявленных вместе с его примером, и больше нигде. Граница из конечного числа испытаний держится в пределах своих выборочных предпосылок и не доказывает ничего сверх них, а измеренный процентиль описывает испытанную нагрузку, а не худший случай. В аргументе выпуска каждая предпосылка также имеет статус: установленная (измеренная или выведенная), предполагаемая, решенная ответственным суждением, необоснованная или находящаяся вне модели угроз. Разделы «Выпуск в эксплуатацию» и «Эпистемическая граница» используют эти статусы.
Что мы сознательно опускаем
Книга фокусируется на том, как работают вместе обученные вычисления, физические механизмы и системы исполнения. Этот фокус ограничивает глубину рассмотрения в соседних областях:
- Исчерпывающие выводы робототехнической кинематики: Основной текст не развивает длинные выводы для каждой конфигурации манипулятора. Существенная системная забота — какие движения машина может совершать и какие физические пределы их ограничивают.
- Теория глубокого обучения: Книга не дает комплексного математического изложения ландшафтов функций потерь и оптимизации. Механизмы обучения важны здесь через поведение, которое они порождают, и требования, которые они предъявляют к физической системе.
- Руководства по библиотекам и инструментам: Книга не обучает каким-либо конкретным промежуточным системам робототехники, симуляторам или фреймворкам обучения. Программное обеспечение важно здесь через его влияние на тайминг, память и свидетельства.
Эти границы оставляют существенные механизмы и их следствия в системном аргументе. Они ограничивают исчерпывающее специалистское рассмотрение, не делая знакомство с ним предпосылкой для слежения за книгой.
Благодарности
ЗАГЛУШКА. Благодарности к этой книге еще будут написаны — в них будут названы люди, чья экспертиза, интервью и сотрудничество с индустрией сформировали ее развитие.
Заметка об использовании ИИ
Каждая глава этой книги исследована, написана и переписана мной. Я также пользовался инструментами ИИ на протяжении всей работы. Далее следует нечто большее, чем раскрытие информации, которого MIT Press требует от авторов, использующих ИИ. Это честное описание того, как я пользовался этими инструментами, образец того, как студенты и практики могут ответственно взаимодействовать с ними, и утверждение о том, что значит авторство, когда машинное обучение выступает одновременно усилителем силы и проверочным собеседником.
В моих предыдущих томах системы и вычислительная инфраструктура были моей родной интеллектуальной средой. Но Physical AI вытолкнул меня через каузальную границу на незнакомую территорию: классическая кинематика, нелинейные функции барьера управления, термодинамика обмоток двигателей и конкуренция высокочастотных шин реального времени. Самой трудной задачей при написании этой книги оказался не черновик прозы; ею стало исчерпывающее междисциплинарное обзорное исследование литературы и синтез областей, которые редко разговаривают друг с другом. Я широко использовал большие языковые модели как интерактивных исследовательских партнеров, чтобы обозреть разрозненную литературу, исследовать незнакомую динамику, мозговым штурмом набросать структурные рамки и дистиллировать фундаментальные первые принципы. Эти модели превосходны в дистилляции первых принципов — а именно так я естественно мыслю о компьютерных системах.
Однако дистилляция — лишь первоначальное предложение. Поскольку эти концепции обитают в физическом мире, где ошибки несут кинетические последствия, я сильно полагался на людей-экспертов — как академических исследователей в робототехнике и теории управления, так и практикующих инженеров в компаниях с автономными системами, — чтобы критиковать, проверять и оспаривать разработанные здесь архитектуры. Эта книга не претендует на то, чтобы быть окончательным, завершенным трудом; это действующая открытая итерация, развивающаяся вместе с быстро прогрессирующей дисциплиной.
Стандарт остается неукоснительной прослеживаемостью. Каждая выведенная метрика, временной бюджет и энергетический расчет в этих главах вычисляется непосредственно исполняемыми ячейками Python, исходный код которых поставляется с книгой. Количественные системные симуляции опираются на движок моделирования инфраструктуры MLSysIM. Непрерывный набор pre-commit-проверок верифицирует размерные единицы, целостность цитирования и якоря ссылок при каждом изменении. Инструменты ИИ сделали механически осуществимым прохождение крутой междисциплинарной кривой обучения; наша инфраструктура верификации делает эту работу воспроизводимой и аудируемой.
Авторство — это мышление. Решать, какие концепции принадлежат этому курсу, а какие нет; выстраивать главы так, чтобы каждая абстракция оправдывала свое место; определять, где студенты споткнутся, потому что я видел, как они спотыкаются в моей собственной аудитории, — это суждения, которых не может вынести никакой инструмент. Идеи и архитектурный синтез — мои; первоначальную прозу часто набрасывали, расширяли или перестраивали с помощью ИИ, после чего она подвергалась жесткому переписыванию и верификации.
Системы машинного обучения нельзя сертифицировать так, как традиционную детерминированную логику. Этот разрыв верификации с равной силой относится и к написанию текстов с помощью ИИ. Стандарт, которому я подчинил эту книгу, — это стандарт, которого мы должны требовать от каждой воплощенной машины, которую мы развертываем: инструмент может предлагать, инструмент может обучать, но только человек-инженер может утвердить и взять на себя ответственность.
Обозначения
Системы машинного обучения охватывают машинное обучение (информатику и статистику) и системы (архитектуру компьютеров и аппаратное обеспечение). Каждая область независимо развила собственную нотацию, и многие символы означают разное в разных сообществах и публикациях. Это столкновение создает реальную путаницу, когда дисциплины сливаются. Приведенные ниже соглашения устанавливают единую нотацию, устраняющую эту неоднозначность.
Рассмотрим простое утверждение: «Увеличение улучшает пропускную способность.» Для исследователя машинного обучения означает размер батча. Для аппаратного инженера означает пропускную способность. Оба прочтения верны в своих областях, но в системах машинного обучения нам нужны оба понятия в одном уравнении — отсюда необходимость в едином, непротиворечивом соглашении.
Железный закон систем машинного обучения
Для последовательно исполняемых фаз разложение производительности по железному закону имеет вид:
Каждая переменная выбрана осознанно, чтобы избежать столкновения со стандартной терминологией машинного обучения.
| Символ | Определение | Единица | Почему этот символ? |
|---|---|---|---|
| Время | seconds | Неоднозначности нет. Время по настенным часам для операции. | |
| Объем данных | bytes | Избегает столкновения с (размер набора данных). В законах масштабирования означает обучающие токены. Здесь нужны байты, перемещаемые через память. Индекс снимает неоднозначность. | |
| Пропускная способность | bytes/s | Избегает столкновения с (размер батча). В системной литературе часто означает пропускную способность, тогда как в литературе по машинному обучению часто означает размер батча. Нотация сохраняет соглашение машинного обучения. | |
| Операции | FLOPs | Полное число операций с плавающей запятой. Аккуратно в уравнениях (в отличие от «»). | |
| Пиковая производительность | FLOP/s | Избегает столкновения с (параметры). В материалах по roofline-модели часто означает производительность, тогда как в литературе по машинному обучению обычно означает число параметров. Нотация сохраняет соглашение машинного обучения. | |
| Эффективность | — | Использование оборудования . Избегает столкновения со скоростью обучения . | |
| Задержка | seconds | Избегает столкновения с (потери). Фиксированное накладное время (запуск ядра, сетевой RTT). Индекс отличает от функции потерь. |
Почему эти выборы важны
Без тщательной нотации предложения становятся неоднозначными:
«Уменьшение улучшает производительность.»
У этого предложения два возможных прочтения:
- Уменьшение размера набора данных (меньше обучающих сэмплов) может ускорить обучение, но способно снизить точность.
- Уменьшение перемещаемого объема данных (например, сжатием или квантизацией) может ускорить инференс, а влияние на точность зависит от метода и калибровки.
С нашей нотацией мы можем записать точно:
«Уменьшение квантизацией FP32-to-INT8 сокращает трафик параметров в памяти до одной четверти, тогда как (обучающие данные) остается неизменным.»
Наша нотация устраняет эту неоднозначность: « ограничивает пропускную способность» имеет лишь одно прочтение.
Варианты с индексами
Прямой корень называет величину, а индекс — какой именно ее экземпляр имеется в виду. Соглашение разводит тесно связанные измерения, вместо того чтобы схлопывать их в один символ:
- , , : пропускная способность в трех точках тракта данных
- , , , : слагаемые железного закона, каждое отведено от распространенного символа МО
- , , : один энергетический бюджет, разделенный на обмениваемые части
Таким образом, индекс несет часть утверждения. Пропускные способности диска и ускорителя различаются на порядки, поэтому величина воспроизводима лишь тогда, когда индекс указывает, где она была измерена.
Уравнение деградации
Уравнение деградации — подогнанная локальная модель. Одного расхождения недостаточно, чтобы определить направление изменения точности, поэтому оценивается по размеченным исходам. Некоторые символы ниже, такие как , встречаются в тексте глав, а не в уравнении.
| Символ | Определение | Единица/тип | Примечания |
|---|---|---|---|
| Точность в момент | Скаляр | Точность модели после того, как модель проработала в эксплуатации время . | |
| Начальная точность | Скаляр | Точность модели в момент развертывания. | |
| Подогнанная чувствительность | Скаляр | Локальный коэффициент, оцениваемый по исходам на заявленном диапазоне; не универсальная константа. (Не длина волны.) | |
| Текущее распределение | Распределение | Распределение данных в момент . (Не параметры — для числа параметров используйте .) | |
| Обучающее распределение | Распределение | Распределение данных в момент обучения. | |
| Статистическое расхождение | Скаляр | Измеряет, насколько дрейфовал от . Распространенные варианты: расхождение Кульбака–Лейблера, полная вариация, расстояние Вассерштейна. (Каллиграфическая буква, чтобы избежать столкновения с = размер набора данных.) | |
| Порог отклика | Scalar | Эксплуатационный порог для расследования; он не запускает переобучение автоматически. |
Энергетическое следствие
При заданных эффективных стоимостях на байт и на операцию энергия рабочей нагрузки приближенно равна:
| Символ | Определение | Единица | Примечания |
|---|---|---|---|
| Полная энергия | joules | Полная энергия, потребляемая рабочей нагрузкой машинного обучения, разложенная на слагаемые перемещения данных и вычислений. | |
| Энергия на перемещенный байт | joules/byte | Эффективная стоимость перемещения; полная энергия зависит также от числа перемещенных байтов и выполненных операций. | |
| Энергия на операцию | joules/FLOP | Энергетическая стоимость одной арифметической операции. |
Обозначения глубокого обучения
Эта книга следует стандартным соглашениям глубокого обучения Goodfellow et al., 2016 с явным разрешением неоднозначности для системных переменных.
| Символ | Определение | Размерность/тип |
|---|---|---|
| Размер батча | Целое число. Количество сэмплов, обрабатываемых параллельно. (Никогда не означает пропускную способность.) | |
| Параметры | Целое число. Полное число скалярных параметров модели, включая веса и смещения. (Никогда не означает пиковые FLOP/s.) | |
| Размер набора данных | Целое число. Число обучающих сэмплов или токенов. (Никогда не означает объем данных в байтах — используйте .) | |
| Длина последовательности | Целое число. Число токенов или шагов времени. | |
| Скрытая размерность | Целое число. Размер вектора скрытого состояния. | |
| Размерность головы внимания | Целое число. Скрытая размерность одной головы в слоях внимания. | |
| Число слоев | Целое число. Полное число слоев в сети. | |
| Число голов внимания | Целое число. Число голов внимания в слое многоголового внимания. | |
| Число голов ключ–значение | Целое число. Число голов ключ–значение в внимании с группированными запросами или многозапросном внимании. | |
| Индекс слоя | Целое число. Индекс слоя. Используйте вместо голой при индексации слоев, поскольку сталкивается с потерями и задержкой. | |
| Функция потерь | Скаляр. Целевая функция, минимизируемая в ходе обучения. | |
| Скорость обучения | Скаляр. Шаг оптимизатора. (Никогда не используйте голый символ для эффективности оборудования — используйте .) | |
| Параметры модели | Набор параметров, часто рассматриваемый как вектор. Множество всех обучаемых параметров. | |
| Распределение | Вероятностная масса/плотность случайной величины. Для общих распределений используйте строчную , чтобы избежать столкновения с (числом параметров). | |
| Условное распределение | Условная вероятность/плотность. Используйте эту форму для общих соотношений меток; и зарезервируйте за обучающим и текущим распределениями уравнения деградации. | |
| Вероятность события | Вероятность события . Используйте для утверждений о событиях, таких как ; для распределений используйте и . |
Латинские матрицы и векторы набираются жирным (, ); скаляры, размерности, индексы и отдельные элементы матриц остаются курсивными (, , , ). Общий символ параметров — единственное общепринятое исключение и остается курсивным. Локальная матричная алгебра следует тому же правилу жирного начертания: матричные операнды жирные (, , ), как в общем матричном умножении (GEMM) . Жирное начертание помечает матричный операнд и отличается от курсивного скалярного размера батча , который в скалярных контекстах остается размером батча.
Обозначения производительности, обслуживания и памяти
Повторно используемые величины производительности и обслуживания следуют тому же правилу избегания столкновений, что и железный закон. Для производительности используются или описательные греческие символы; число запросов обозначается , а не перегруженным ; загрузка очереди использует с индексом, чтобы голый оставался доступен для других моделей отношений.
| Символ | Определение | Единица/тип | Примечания |
|---|---|---|---|
| Арифметическая интенсивность | FLOP/byte | FLOPs рабочей нагрузки на перемещенный байт. В roofline-модели служит независимой переменной. | |
| Точка излома roofline-модели | FLOP/byte | . Предпочитайте эту явную форму звездочному сокращению, чтобы значение оставалось ясным в тексте. | |
| Достижимая производительность вычислений | FLOP/s | Граница roofline-модели: . Используется , а не , потому что эта величина представляет собой производительность. | |
| Использование FLOPs модели | Безразмерная | Полезные FLOP/s модели, деленные на доступные пиковые FLOP/s. Текстовый акроним избегает перегрузки . | |
| Коэффициент сжатия | Безразмерная | Несжатый размер, деленный на сжатый. Сжатая нагрузка занимает от несжатого размера; индекс избегает столкновений с голым . | |
| Конкурентность запросов | requests | Среднее число запросов в полете в стабильной системе обслуживания ( по закону Литтла). Избегает столкновения с как числом устройств в распределенных системах. | |
| Интенсивность поступления | requests/s | Интенсивность поступления запросов. Индекс избегает столкновения с как чувствительностью деградации или интенсивностью отказов. | |
| Время запроса в системе | seconds | Сквозная задержка очереди/обслуживания для закона Литтла. Отличается от — слагаемого фиксированной задержки в железном законе. | |
| Время обслуживания батча | seconds | Время обслуживания батча размера . | |
| Эффективная интенсивность обслуживания | requests/s | Батчевая интенсивность обслуживания, обычно . | |
| Загрузка при обслуживании | Безразмерная | Загрузка очереди/сервера. Используйте вместо голого , который зарезервирован за отношением связи к вычислениям в распределенных контекстах. | |
| Суммарный объем памяти | bytes | Сумма явных компонентов памяти; снимает неоднозначность голого . | |
| Память весов | bytes | Память, занятая параметрами модели. | |
| Память градиентов | bytes | Память, занятая сохраненными градиентами. | |
| Память состояния оптимизатора | bytes | Импульс, дисперсия, мастер-веса и связанные буферы оптимизатора. | |
| Память активаций | bytes | Сохраненные активации для обратного прохода или промежуточные данные обслуживания. | |
| Размер хранения элемента | bytes/element | Байтов на сохраненный элемент тензора. |
Единицы и точность
- Физические единицы: В этой книге повсеместно используются единицы СИ (метрическая система), включая метры, килограммы, секунды, ватты и °C, в соответствии со стандартной инженерной и научной практикой. Там, где исходные данные первоначально приводились в имперских единицах, книга пересчитывает их в СИ и приводит исходные значения в скобках. Между числом и единицей всегда ставится пробел (например, 100 ms, 2 TB/s).
- Данные и память: В этой книге используются только десятичные префиксы СИ: KB = bytes, MB = , GB = , TB = . Единицы с двоичными префиксами в тексте не встречаются; все емкости, пропускные способности и размеры моделей приводятся в десятичных единицах (например, 80 GB, 2 TB/s, 102 MB).
- Вычисления: Нотация различает число операций и производительность. Для суммарной работы используются FLOPs (например, GFLOPs, TFLOPs), тогда как для пропускной способности — FLOP/s с десятичными префиксами (например, GFLOP/s, TFLOP/s).
- 1 TFLOP = FLOPs
- 1 TFLOP/s = FLOPs в секунду
- Арифметическая интенсивность по соглашению использует FLOP/byte как отношение единиц (операции с плавающей запятой на перемещенный байт). Это отношение единиц, а не символ суммарной работы и не символ пропускной способности.
- Валюты: Денежные суммы используют знак доллара (
$); если не указано иное, затраты в долларах выражены в долларах США (USD). - Точность:
- FP64: двойная точность (8 bytes)
- FP32: одинарная точность (4 bytes)
- TF32: TensorFloat-32 (19-битный режим вычислений Tensor Core; входы и хранение остаются FP32)
- FP16: половинная точность (2 bytes, стандартный диапазон)
- BF16: Brain float (2 bytes, широкий динамический диапазон)
- FP8: восьмибитная точность (1 byte, формат E4M3 или E5M2)
- FP4: 4-битный формат с плавающей запятой
- INT8: 8-битное целое (1 byte)
- INT4: 4-битное целое; более низкие целые точности следуют тому же шаблону с заглавными
INTn(например, INT3, INT2)
Краткий справочник: разрешение столкновений
Распространенные точки столкновений в литературе по системам машинного обучения:
| Символ | Значение в машинном обучении | Значение в системах | Соглашение книги |
|---|---|---|---|
| Размер батча | Пропускная способность | Размер батча. Для пропускной способности используйте . | |
| Параметры | Пиковые FLOP/s | Параметры. Для пиковой производительности используйте . | |
| Размер набора данных | Объем данных | Размер набора данных. Для перемещаемых байтов используйте . | |
| Потери | Задержка | Потери . Для задержки используйте . | |
| Скорость обучения | Эффективность | Скорость обучения. Для эффективности используйте . |
Как общее правило, для одиночных букв приоритет имеют соглашения машинного обучения, тогда как системные концепции получают индексы или многосимвольные обозначения. Это отражает основную аудиторию (практиков машинного обучения, изучающих системы) и сохраняет совместимость с обширной литературой по машинному обучению.
Обозначения физического ИИ и воплощенных систем
Физический ИИ и воплощенные системы машинного обучения совмещают три различные технические традиции:
- Машинное обучение и глубокое обучение (статистическая оптимизация, трансформеры, диффузионные политики, обучение с подражанием, авторегрессия, Action Chunking with Transformers).
- Робототехника, механика и классическое управление (динамика многотельных систем, группы Ли , кинематика твердого тела, устойчивость по Ляпунову, функции барьера управления, механика контакта, физика привода актуатора).
- Встроенные системы и архитектуры реального времени (межсоединения системы на кристалле, конкуренция за кеш и шину памяти, аппаратная задержка прерываний, механизмы seqlock, CAN-FD/EtherCAT, аренды намерения, аварийные блокировки).
Поскольку каждая дисциплина десятилетиями независимо развивала свою математическую запись, их сочетание создает жесткие столкновения символов — «традиционные изъяны» киберфизической инженерии. Например, запись в ситуации, когда также обозначает углы шарниров, или запись для действия, когда обозначает декартово ускорение или ограничения барьера, смешивает пространственную механику с оптимизацией параметров и полномочиями исполнения управления.
Ниже мы формализуем междисциплинарный контракт разрешения неоднозначности, формулируем определяющие соотношения воплощенных систем и таблично представляем канонические символы, используемые на протяжении всей книги.
Междисциплинарное разрешение неоднозначности и традиционные изъяны
Когда динамика физического объекта управления встречается с глубокими нейронными сетями и встроенным аппаратным обеспечением реального времени, обычная математическая краткая запись перестает работать. Соглашения ниже систематически разрешают эти междоменные столкновения:
| Символ | Каноническое соглашение | Конфликтующее значение | Правило разрешения неоднозначности |
|---|---|---|---|
| Веса нейронной сети политики | Угол шарнира , полином траектории , тепловое сопротивление или курс | Строго резервируйте за нейронными параметрами. Конфигурации шарниров робота всегда записываются обобщенными координатами и . Полиномы траекторий — (никогда не ). Тепловое сопротивление — или (в ). Для курса или пространственных углов используются или матрицы поворота. | |
| vs. vs. vs. | Четырехступенчатая цепь полномочий () | Универсальный символ «действия», сталкивающийся с замедлением или нормалью барьера | Разводите полномочия исполнения: — непривилегированное действие политики (безразмерное/нормализованное); — предлагаемое задание управления объектом; — сертифицированная команда управления после фильтра CBF; — реализованный физический момент актуатора. Достоверное линейное замедление — (); ограничения барьера используют . |
| vs. | Вектор момента актуатора ( или ) | Постоянные времени (), задержки (), длительность аренды намерения () или порог отклика () | Реализованный момент всегда записывается жирным вектором или скалярным моментом шарнира / моментом компонента (). Временные интервалы и задержки используют латинскую или строчную (). Тепловые постоянные времени используют явно индексированные . Эксплуатационные пороги используют . Суммарная предтормозная задержка сохраняет греческую букву — соглашение теории управления для транспортной задержки, — а ее индекс отличает ее от момента. |
| vs. vs. vs. | Механическое состояние объекта управления | Состояние мира , 3D-положение или патч изображения ViT | Непрерывное механическое состояние объекта управления — жирный вектор . Истинное скрытое состояние мира — . 3D-декартово положение — вектор или точка в системе координат камеры . Вложения патчей трансформера зрения используют явно индексированные или скрытый признак . |
| Число параметров модели ( или ) | Мощность (), ковариация ошибки Риккати , интенсивность отказов или 3D-точка | Используйте для числа параметров. Электрическая/механическая мощность — (в ваттах); непрерывная ковариация ошибки Риккати/Калмана — жирная матрица ; статистическая вероятность или интенсивность отказов — строчная курсивная (); 3D-декартово положение — жирная строчная . | |
| Размер батча ( или ) | Пропускная способность (), система координат тела (), размер пачки шины () или входная матрица | Размер батча — ; непрерывная пропускная способность — (по железному закону); системы координат обозначаются каллиграфическим начертанием (); размеры транзакций шины используют или ; матрица входов управления в пространстве состояний — жирная заглавная . | |
| Размер набора данных ( в токенах или траекториях) | Объем данных (), свободное расстояние (), цикл нагрузки (), поле TSDF или матрица демпфирования | Размер обучающего набора данных — ; байты, перемещаемые по шинам, — ; остановочный путь — строчная , а свободное расстояние до границы — , чей индекс отличает его от размера набора данных; цикл нагрузки актуатора использует индексированный ; воксельные поля TSDF используют ; матрицы виртуального демпфирования записываются жирным . | |
| Функция сглаживания бесударного переключения | Затухание CBF (), значимость (), угловое ускорение (), температурный коэффициент меди () или расписание шума () | Передача полномочий использует скалярную функцию ; линейное затухание барьера — ; значимость статистической достоверности — ; угловое ускорение — жирный вектор (); температурный коэффициент сопротивления меди — ; диффузионные расписания шума используют индексированные . | |
| Матрица Кориолиса | Безопасное множество , матрица выходов пространства состояний , емкость (), центр масс или охват экрана | Силы Кориолиса/центробежные силы используют матричную функцию ; вперед-инвариантные безопасные множества используют каллиграфическую ; отображения выходов пространства состояний используют жирную ; электрическая/тепловая емкость использует курсивную ; центр масс — жирный вектор ; диагностический охват экрана безопасности использует . | |
| Матрица внутренней калибровки камеры | Жесткость контакта (), коэффициенты управления (), константы двигателя (), окно ансамблирования или шаг диффузии | Внутренние параметры камеры используют жирную матрицу ; жесткость контакта — строчный скаляр или (); коэффициенты управления по обратной связи используют скаляры с заглавной буквы ; константы момента и обратной ЭДС двигателя используют ; длина окна временного ансамблирования использует целое ; шаги шума диффузии используют строчный индекс . | |
| Матрица инерции сочлененной системы | Масса (), объем памяти () или размер парка () | Обобщенная масса/инерция сочлененной системы использует жирную матрицу ; физическая масса тела — строчная курсивная (); эффективная ударная масса — ; аппаратное хранение в памяти использует заглавную с описательным индексом (в байтах); размер парка роботов использует или . |
Определяющие соотношения
Воплощенный интеллект действует в условиях термодинамических, механических, кинематических и коммуникационных ограничений. Соотношения ниже формулируют эти ограничения символами, которые используют главы.
1. Бюджет задержки от восприятия до исполнения команды
Задержка превращается в ход еще до начала любой тормозящей силы. Суммарная предтормозная задержка идет от обнаружения до тормозящей силы, и остановка, которую она оставляет, должна уложиться в свободное расстояние:
Время инференса расходуется на стороне предложения границы предложения. Оно увеличивает возраст свидетельств, лежащих в основе предложения, которые путь разрешения сверяет с истечением предложения, но оно не является ни слагаемым , ни частью периода контура разрешения , поскольку резервирование не ждет инициатора.
| Символ | Определение | Единица | Примечания |
|---|---|---|---|
| Суммарная предтормозная задержка | Время от обнаружения опасности до начала тормозящей силы; машина проходит до начала торможения. | ||
| Возраст наблюдения | Возраст состояния, по которому действует путь разрешения, от середины экспозиции на датчике до решения; входит в . | ||
| Аренда пути разрешения | Наибольший интервал, в течение которого предложение может продолжать управлять актуаторами без обновления; входит в ; выбирается, а затем сверяется с потолком, который выводит бюджет остановки. | ||
| Период контура разрешения | Период контура разрешения; входит в , поскольку опасность может ждать проверки до одного периода. | ||
| Время транспорта команды | Время доставки по полевой шине от пути разрешения до привода; входит в . | ||
| Время отклика актуатора | Время от доставленной команды останова до тормозящей силы, включая управление затворами и нарастание тока; входит в . | ||
| Время интегрирования датчика | Половина длительности экспозиции (ее середина интегрирования), преобразование АЦП и задержка считывания датчика; вносит вклад в . | ||
| Время передачи по межсоединению | Потоковая передача по шине DMA, передача PCIe и задержка линии сериализатора-десериализатора (SerDes); вносит вклад в . | ||
| Время инференса инициатора | Время прямого прохода обученного инициатора; расходуется выше границы предложения и вне периода контура разрешения. |
2. Ритм потоковой передачи фрагмента действий
Когнитивные нейронные политики не способны исполняться на килогерцовых частотах из-за пределов пропускной способности памяти. Фрагментирование действий предсказывает траекторию действий горизонта на более низкой когнитивной частоте , тогда как путевые точки фрагмента потребляются с частотой . Задержка потоковой передачи памяти должна оставаться ограниченной окном исполнения фрагмента:
| Символ | Определение | Единица | Примечания |
|---|---|---|---|
| Горизонт фрагмента действий | Шаги по времени | Число смежных будущих шагов действий, генерируемых одним прямым проходом политики ( на мобильном манипуляторе; от 16 до 64 шагов в литературе). | |
| Объем памяти параметров модели | bytes | Полная память, необходимая для хранения весов политики (). | |
| Непрерывная пропускная способность памяти | bytes/s | Достижимая пропускная способность подсистемы памяти SoC или ускорителя (например, LPDDR5, HBM). | |
| Время потоковой передачи параметров | Время, необходимое для потоковой передачи нерезидентных весов модели в регистры исполнения. | ||
| Частота исполнения действий | Частота потребления путевых точек фрагмента вдоль планируемой траектории ( до ). |
3. Динамические инварианты остановки, торможения и безопасного множества
Прямая инвариантность безопасного множества требует, чтобы машина могла погасить все движение до достижения границы. Остановочный путь объединяет ход во время предтормозной задержки с тормозным путем, а его запасы добавляются в неравенство бюджета задержки выше:
| Символ | Определение | Единица | Примечания |
|---|---|---|---|
| Остановочный путь | Расстояние, необходимое для полной остановки объекта управления со скорости . | ||
| Свободное расстояние | Свободное расстояние от машины до границы, которую она не должна пересекать; индекс отличает его от размера набора данных . | ||
| Скорость в момент обнаружения | Скорость машины в момент обнаружения опасности. | ||
| Достоверное замедление | Проверенный низкий хвост замедления, которого машина достигает в заявленных условиях, а не пик из технического описания. | ||
| Эффективное замедление | Замедление, используемое в слагаемом торможения: при остановке с постоянным замедлением, когда резидентная остановка является стоп-суффиксом из уравнения «C² стоп-суффикс». | ||
| Граница ошибки локализации | Граница ошибки локализации и оценки состояния. | ||
| Защитный запас хода | Фиксированный ненулевой защитный запас хода между огибающей машины и границей. | ||
| Граница ошибки слежения | Граница отклонения между командованной и исполняемой траекторией, заявленная протоколом принудительного обеспечения. | ||
| Граница скорости ходьбы человека | Граница скорости ходьбы для человека, приближающегося к машине, используемая в форме, которую задает его стандарт безопасности. | ||
| Предел рывка | Максимальная скорость изменения замедления; встречается только в уточнениях слагаемого торможения с ограничением рывка, которые уравнения остановки книги опускают. |
4. Фазовый запас при дискретной выборке с удержанием нулевого порядка (ZOH)
Удержание дискретных команд управления неизменными в течение периода выборки вносит эффективную транспортную задержку в полпериода выборки, разъедая запасы устойчивости обратной связи:
| Символ | Определение | Единица | Примечания |
|---|---|---|---|
| Транспортная задержка ZOH | Эквивалентная непрерывная задержка, вносимая дискретной реконструкцией с удержанием нулевого порядка (). | ||
| Период и частота выборки | Период и частота выполнения дискретного контроллера (). | ||
| Частота среза разомкнутого контура | Частота, на которой коэффициент усиления разомкнутого контура (). | ||
| Ухудшение фазового запаздывания | / | Разъедание фазы (), истощающее запас устойчивости замкнутого контура. | |
| Чистый фазовый запас | Остаточный запас устойчивости (), предотвращающий дребезг контакта. |
5. Электромеханические инварианты актуатора и инварианты нагрева
Актуаторы ограничены нагревом медных обмоток, просадкой шины постоянного тока и магнитным насыщением. Поддерживаемый выходной момент определяется связанным электромеханическим балансом:
| Символ | Определение | Единица | Примечания |
|---|---|---|---|
| Константы момента и обратной ЭДС | Электромеханические константы связи двигателя ( в единицах СИ). | ||
| Сопротивление, зависящее от температуры | Масштабирование медного сопротивления статора: при . | ||
| Тепловое сопротивление () | Сосредоточенное тепловое сопротивление от обмоток статора до окружающей среды. | ||
| Тепловая емкость статора | Сосредоточенная теплоемкость сердечника двигателя, обмоток и заливочного компаунда. | ||
| Тепловая постоянная времени | Характеристическая постоянная времени нагрева актуатора (, обычно ). | ||
| Цикл нагрузки актуатора | Отношение длительности активного импульса к периоду цикла (), предотвращающее тепловой разгон. | ||
| Динамическая просадка шины постоянного тока | Переходное падение напряжения () при ступенчатых нагрузках тока двигателя. |
6. Архитектура защиты от опасностей и статистическая граница наработки
Интенсивности катастрофических отказов в воплощенных системах нельзя сертифицировать одним лишь стохастическим тестированием. Детерминированный защитный экран ограничивает суммарный риск системы, тогда как число испытаний без отказов следует правилу трех:
| Символ | Определение | Единица | Примечания |
|---|---|---|---|
| Суммарная интенсивность опасных отказов системы | Сертифицированная интенсивность опасных отказов интегрированной киберфизической машины. | ||
| Интенсивность дефектов нейронной политики | Эмпирическая частота незащищенных галлюцинаций, дрейфа распределения или ошибок политики. | ||
| Диагностический охват экрана | Безразмерная | Доля опасных нейронных команд, успешно перехваченных детерминированными QP/блокировками (). | |
| Целевой допуск по риску | Нормативное требование безопасности (например, для SIL 4 / DAL A). | ||
| Уровень статистической значимости | Безразмерная | Порог ошибки I рода (, например для 95 % доверия, где ). | |
| Наработка без отказов | Часы или циклы | Требуемая валидационная наработка без происшествий () для обоснования интенсивности отказов . |
1. Состояние физического объекта, исполнение команд и кинематическая топология
| Символ | Определение | Единица | Примечания |
|---|---|---|---|
| Истинное состояние физического мира | Смешанная | Истинное непрерывное состояние машины, среды и физических контактов в момент . | |
| Механическое состояние объекта управления | Обобщенный вектор состояния , содержащий положения и скорости. | ||
| Обобщенные координаты | or | Степени свободы, описывающие механическое сочленение (углы шарниров и выдвижения призматических звеньев). | |
| Обобщенные скорости | or | Первая производная обобщенных координат по времени. | |
| Обобщенные ускорения | or | Вторая производная обобщенных координат по времени. | |
| Вектор момента актуатора | or | Обобщенные силы и моменты, создаваемые актуаторами в механических шарнирах. | |
| Обобщенная матрица инерции | Симметричная положительно определенная матрица массы/инерции сочлененного многотельного объекта управления. | ||
| Матрица Кориолиса / центробежных сил | Матрица, удовлетворяющая кососимметричности (свойство пассивности). | ||
| Вектор гравитационного момента | Обобщенная гравитационная нагрузка на звенья как функция конфигурации. | ||
| Якобиан манипулятора | Смешанная | Линейное отображение скоростей шарниров в скорость рабочего пространства задачи. | |
| Манипулируемость по Йошикаве | Безразмерная | Мера близости к сингулярности , обращающаяся в нуль на кинематических сингулярных конфигурациях. | |
| Момент / обратная ЭДС двигателя | Электромеханические константы связи, связывающие ток обмотки с моментом вала ротора и напряжением обратной ЭДС. | ||
| Напряжение обратной ЭДС | Противодействующее напряжение , возникающее на катушках статора при вращении ротора. | ||
| Инерция ротора и нагрузки | Момент инерции вала ротора двигателя и сопряженной механической нагрузки. | ||
| Приведенная инерция ротора | Эффективная инерция , квадратично усиленная передаточным отношением редуктора. | ||
| Передаточное отношение редуктора | Безразмерная | Понижающее передаточное отношение () между ротором двигателя и выходным валом шарнира. | |
| Оптимальное отношение согласования инерций | Безразмерная | Отношение , максимизирующее угловое ускорение нагрузки при пиковом моменте. | |
| КПД передачи | Безразмерная | КПД передачи механической мощности (). | |
| Непрерывный / пиковый момент | Термически непрерывный удерживающий момент и переходный пиковый момент разгона. | ||
| Непрерывный / пиковый ток | Номиналы действующего тока, ограниченные классом изоляции обмоток и рассеянием MOSFET инвертора. |
2. Механика контакта твердого тела, конусы трения и центроидная динамика
| Символ | Определение | Единица | Примечания |
|---|---|---|---|
| Матрица выбора исполнения | Матрица | Матрица , проецирующая обобщенные силы на приводные шарниры в системах со свободным основанием. | |
| Вектор контактной силы | Физическая контактная сила, приложенная средой к контактному пятну (). | ||
| Якобиан точки контакта | Смешанная | Отображение скоростей шарниров в декартову линейную скорость контактного пятна: . | |
| Нормальная контактная сила | Односторонняя сжимающая сила (), перпендикулярная плоскости контакта. | ||
| Касательное контактное трение | Сила трения, касательная к плоскости контакта (). | ||
| Коэффициент трения Кулона | Безразмерная | Коэффициент трения покоя/скольжения, ограничивающий конус трения: . | |
| Центр масс (CoM) | Пространственные координаты центроида полной массы сочлененного тела (). | ||
| Центроидный линейный импульс | Полный линейный импульс объекта управления (), определяемый . | ||
| Центроидный момент импульса | Момент импульса относительно центра масс: . | ||
| Точка нулевого момента (ZMP) | Точка в плоскости опоры, где равнодействующий горизонтальный опрокидывающий момент обращается в нуль; должна находиться в . | ||
| Коэффициент восстановления | Безразмерная | Кинематическое отношение отскока скорости при негладком ударе (). | |
| Жесткость контакта | Упругая жесткость конструктивного окружения или биомеханических тканей человека. | ||
| Эффективная ударная масса | Кажущаяся масса движущихся кинематических звеньев вдоль траектории столкновения (). | ||
| Незаторможенная ударная сила | Пик переходной силы столкновения (), нормируемый ISO/TS 15066. | ||
| Допустимая энергия столкновения | Нормативный предел кинетической энергии () для переходных коллаборативных контактов. |
3. Геометрия, пространственные преобразования и проекции восприятия
| Символ | Определение | Единица | Примечания |
|---|---|---|---|
| Особая евклидова группа | Группа Ли | Группа пространственных преобразований 3D-твердого тела (переносы и повороты: ). | |
| Особая ортогональная группа | Группа Ли | Группа собственных ортогональных матриц поворота (). | |
| Опорные системы координат | Опорная система | Неподвижная мировая система координат (), базовая (тела) система координат мобильного робота () и система координат конечного эффектора (). | |
| Декартов 3D-перенос | Вектор переноса , выражающий относительные координаты точки. | ||
| Матрица направляющих косинусов | Матрица | Ортонормированная матрица , параметризующая пространственную ориентацию и положение. | |
| Единичный кватернион | Безразмерная | Гиперкомплексный вектор ориентации , удовлетворяющий . | |
| Однородное преобразование | Матрица | Матрица , отображающая координаты из системы в систему . | |
| Сопряженное представление | Матрица | Преобразующая матрица , отображающая пространственные скоростные и силовые винты между системами координат. | |
| Угловая скорость и ускорение | Векторы пространственной угловой скорости и углового ускорения твердого тела. | ||
| Вектор плеча датчика | Вектор смещения от начала вращения тела до смещенного положения датчика . | ||
| Внутренние параметры камеры-обскуры | Пиксели | Калибровочная матрица , параметризующая фокусные расстояния и главную точку. | |
| 3D-координата в системе камеры | Метрические координаты пространственной точки в оптической системе координат камеры ( — оптическая глубина). | ||
| Пиксельные координаты плоскости изображения | Пиксели | Дискретные пиксельные координаты датчика (, ). | |
| Считывание строки скользящего затвора | Разница во времени экспозиции между соседними строками развертки CMOS-датчика. | ||
| Искажение скользящего затвора | Кинематическое косое смещение , вызванное высокоскоростным движением платформы. | ||
| Усеченное знаковое расстояние | Нормализованное объемное расстояние вокселя до ближайшей поверхности. | ||
| Полоса усечения TSDF | Метрическая толщина полосы пространственного интерфейса поверхностей, хранимой в воксельной памяти. | ||
| Накопленный объем TSDF | Смешанная | Текущее взвешенное знаковое расстояние и накопленный вес видимости в вокселе . | |
| Ковариация глубины восприятия | Анизотропный 3D-эллипсоид неопределенности, связанный с подъемом глубины из стерео/лидара/датчика глубины. | ||
| Возраст наблюдения | Возраст наблюдения из бюджета задержки, разложенный на его слагаемые со стороны восприятия: середина экспозиции , считывание датчика, передача и обработка восприятия вплоть до решения. |
4. Классическое и современное управление (пространство состояний, наблюдатели, CBF-QP)
| Символ | Определение | Единица | Примечания |
|---|---|---|---|
| Линейные матрицы пространства состояний | Матрица | Непрерывный линейный стационарный объект управления: , наблюдаемый выход . | |
| Процессный и измерительный шум | Вектор | Векторы гауссова шума с нулевым средним и ковариационными матрицами и . | |
| Ковариация ошибки оценивания | Матрица | Симметричная положительно определенная матрица , эволюционирующая по матричному уравнению Риккати. | |
| Матрицы наблюдаемости | Матрица | Матрица наблюдаемости Калмана и нелинейная матрица Ли . | |
| Вперед-инвариантное безопасное множество | Множество | Подуровневое/надуровневое множество , в котором строго поддерживаются инварианты безопасности. | |
| Граница-многообразие безопасности | Граница | Нулевой уровень , отделяющий номинальную работу от необратимой опасности. | |
| Функция барьера управления (CBF) | Скаляр | Непрерывно дифференцируемая функция, надуровневое множество которой задает вперед-инвариантное множество . | |
| Производная Ли вдоль дрейфа | Направленная производная градиента вдоль свободной (неуправляемой) динамики объекта управления. | ||
| Производная Ли вдоль управления | Вектор | Направленный градиент эффективности управления . | |
| Относительная степень барьера | Целое число | Число дифференцирований, необходимых для появления управляющего входа (). | |
| Кинетическая функция барьера с врезкой | Скаляр | Барьер относительной степени 1: , учитывающий остановочный путь. | |
| Скорость линейного затухания барьера | Коэффициент линейного затухания расширенного класса в условии барьера . | ||
| Номинальная команда управления | / | Непроверенный кандидат управляющего воздействия, предлагаемый обученной политикой через каузальную границу. | |
| Сертифицированное управляющее воздействие | / | Привилегированная, отфильтрованная по безопасности команда управления, разрешаемая CBF-QP активного множества в реальном времени. | |
| Сглаживание бесударного переключения | Квинтический полином класса , плавно переключающий между предыдущим и кандидатным контроллерами. | ||
| Окно перехода сглаживания | Длительность бесударного переключения; ограничена . | ||
| Рывок задания управления | Производная по времени командованного ускорения объекта управления или момента актуатора при переходах между режимами. | ||
| Коэффициенты PID / обратной связи | Смешанная | Пропорциональный, дифференциальный и интегральный коэффициенты стабилизации ошибки на уровне шарниров или в рабочем пространстве. | |
| Виртуальное демпфирование и жесткость | Матрица | Целевые матрицы импеданса/податливости при податливом взаимодействии: . |
5. Глубокое обучение для робототехники (диффузионные политики, ACT, VLA)
| Символ | Определение | Единица | Примечания |
|---|---|---|---|
| Параметризованная нейронная политика | Распределение | Глубокая сеть политики, параметризованная весами , отображающая тензоры наблюдений в распределения действий. | |
| Мультимодальное наблюдение | Смешанная | Синхронизированный токенизированный пакет данных датчиков (RGB-изображения, скрытые представления глубины, энкодеры шарниров, тактильные массивы). | |
| Действие когнитивной политики | Нормированная | Непривилегированное действие, выдаваемое нейронной политикой (нормализованное изменение шарниров, целевая поза или команда захвата). | |
| Траектория фрагмента действий | Тензор | Смежная последовательность горизонта , предсказываемая одним прямым проходом. | |
| Горизонт предсказания фрагмента | Шаги по времени | Число будущих шагов действий, выдаваемых за цикл инференса (от 16 до 64 шагов в литературе). | |
| Длина окна ансамблирования | Шаги по времени | Число перекрывающихся прошлых фрагментов, смешиваемых при исполнении с убывающим горизонтом (). | |
| Вес временного ансамблирования | Скаляр | Весовой коэффициент экспоненциального затухания , применяемый к предсказаниям фрагмента со смещением . | |
| Скрытое вложение стиля / состояния | Безразмерная | Сжатое семантическое представление или скрытая переменная стиля CVAE в политиках ACT. | |
| Параметр расписания диффузии | Параметр расписания накопленной дисперсии шума на шаге диффузии . | ||
| Гауссов шум диффузии | Тензор | Стандартный нормальный гауссов шум, накладываемый на чистые траектории действий. | |
| Сеть предсказания шума | Тензор | Нейронная сеть, предсказывающая добавленный шум в шумоподавляющих диффузионных вероятностных моделях (DDPM). | |
| Функция потерь сопоставления диффузии | Скаляр | Целевая функция среднеквадратичной ошибки: , оптимизируемая по шагам шумоподавления. | |
| Вариационная цель ACT | Скаляр | Цель CVAE, сочетающая реконструкцию траектории с KL-регуляризацией скрытого представления . | |
| Распознающий кодировщик CVAE | Распределение | Вариационный кодировщик в Action Chunking with Transformers, параметризующий скрытое распределение . | |
| Ошибка подражания на одном шаге | Ограниченная вероятность ошибки политики без вмешательства на отдельном шаге исполнения. | ||
| Нарастающий ковариантный сдвиг | Граница ошибки | Квадратично нарастающий дрейф траектории при разомкнутых прогонах поведенческого клонирования горизонта . | |
| Проекция ViT и позиционное смещение | Матрица | Сверточная/линейная матрица проекции патчей и тензоры позиционных вложений пространственных координат. | |
| Слитый мультимодальный поток токенов | Тензор | Конкатенированная последовательность токенов , потребляемая воплощенными трансформерными бэкбонами. | |
| Объем памяти KV-кеша трансформера | bytes | Объем памяти авторегрессивного кеша ключ–значение (). | |
| Истекающая аренда намерения | Разрешение | Криптографически подписанная эксплуатационная аренда с ограниченным временем жизни, выдаваемая обученным политикам. |
6. Встроенные системы, кремниевое реальное время, тепловые вопросы и аппаратная безопасность
| Символ | Определение | Единица | Примечания |
|---|---|---|---|
| Действующий фазный ток двигателя | Электрический фазный ток, питающий обмотки статора в бесщеточных двигателях с постоянными магнитами (). | ||
| Сопротивление фазной обмотки | Сопротивление меди статора постоянному току при температуре (). | ||
| Сосредоточенное тепловое сопротивление | Тепловое сопротивление между внутренними точками нагрева и радиатором/окружающим корпусом. | ||
| Тепловая емкость статора | Теплоемкость сердечника статора, определяющая динамику нагрева (). | ||
| Джоулев нагрев | Стационарный или переходный рост температуры (). | ||
| Индуктивность / ESR питающей шины | Паразитная индуктивность жгута силовой проводки и эквивалентное последовательное сопротивление (ESR), питающие инверторы. | ||
| Суммарная емкость шины постоянного тока | Блок разделительных конденсаторов инвертора, сглаживающий переходное индуктивное падение напряжения. | ||
| Динамическая просадка напряжения шины | Переходной провал напряжения (), вызывающий сброс по пониженному напряжению. | ||
| Уязвимый интервал seqlock | Окно гонки () при межпроцессорных обменах общей SRAM без блокировок. | ||
| Вероятность повтора seqlock | Отношение | Вероятность того, что поток читателя увидит рваную телеметрию и должен будет повторить чтение. | |
| Задержка очереди шины памяти | Задержка конкуренции на общих кроссбарах SoC. | ||
| Конфликты портов межсоединения | Счетчик | Число одновременных столкновений доступа к каналам памяти DMA / GPU / CPU. | |
| Предельный срок свежести телеметрии | Максимально допустимый возраст сенсорной телеметрии до срабатывания блокировки: . | ||
| Тайм-аут аппаратного сторожевого таймера | Период аппаратного таймера, запускающий аварийное динамическое торможение при потере сигналов живости процессора. | ||
| Время немаскируемого прерывания | Детерминированное время отклика аппаратного прерывания на перегрузку двигателя по току или отказы управления затворами. | ||
| Рассинхронизация часов | Аппаратный дрейф кварца между часами прикладного процессора и микроконтроллера безопасности. | ||
| Пиковое фазовое дрожание между узлами | Накопленная неопределенность тайминга при выпадениях синхронизации шины. | ||
| Среднее время между небезопасными отказами | Часы | Часы работы между незамеченными опасными нарушениями безопасности: . | |
| Состояние монитора трихотомии | Перечисление | Трехзначная оценка монитора реального времени: . |
Предисловие
Кому эта книга
Этот учебник предназначен студентам компьютерных наук и инженерных специальностей, исследователям машинного обучения, инженерам-робототехникам и архитекторам встроенных систем, которые хотят строить воплощенные интеллектуальные системы, безопасно воспринимающие, рассуждающие и действующие в физическом мире.
Рекомендательная модель заканчивается на дисплее или человеческом решении, поэтому ее вычисление можно повторить или отменить до того, как что-либо за пределами компьютера отреагирует на результат. Ее ошибки все еще могут причинить вред, но только через того или то, кто или что отвечает на них.
В физическом ИИ программное обеспечение управляет материей, импульсом и энергией. Когда зрительно-языковая модель предлагает движение для мобильного основания или шарнирной роботизированной руки, исполнение пересекает каузальную границу в непрерывную ньютонову физику. Если команда исполнения превышает предел текучести редуктора или предел теплового рассеяния инвертора, физическое оборудование ломается. Как только кинетическая энергия высвобождена или материал поддается деформации, программное обеспечение не может отменить этот переход состояния.
Построение систем, выживающих в этой реальности, требует общей системной инженерной дисциплины, и читатели приходят к ней с трех направлений:
- Практики машинного обучения: Переход от точности на статическом тестовом наборе, оцениваемой на сохраненных датасетах. В физическом ИИ действия через замкнутый контур обратной связи меняют будущие сенсорные наблюдения (), поэтому политика уносится прочь от состояний, на которых ее обучали, а худший случай стоимости этого дрейфа растет с квадратом горизонта («Четыре фундаментальных закона»). Практики учатся формулировать политики непрерывных действий, оценивать выживаемость в замкнутом контуре и подавать непривилегированные предложения в независимый путь разрешения.
- Инженеры-робототехники и специалисты по управлению: Дополнение классических контуров обратной связи высокоемкими нейронными фундаментальными моделями. Современные модели зрение–язык–действие (VLA) обеспечивают семантическое понимание сцены с открытым словарем и мультимодальную генерализацию, но они суть обученные инициаторы, работающие на десятках герц с переменной задержкой, поэтому независимый путь разрешения, чья частота следует из бюджета остановки объекта управления, обязан проверять то, что они предлагают. Инженеры по управлению учатся строить этот путь, включая фильтры безопасности, такие как функции барьера управления, на кремнии реального времени.
- Архитекторы встроенных систем и кремния: Управление многотактным исполнением на гетерогенных платформах системы на кристалле (SoC). Архитекторы учатся изолировать высокопропускные нейронные ускорители от микроконтроллера безопасности, на котором работает путь разрешения, не допуская, чтобы конкуренция за коммутатор шины памяти, голодание прямого доступа к памяти (DMA) и просадка напряжения питания нарушали жесткие физические предельные сроки.
Зачем учебник по системам физического ИИ
Эта книга подходит к физическому ИИ с системной перспективы от первых принципов. Ее охват яснее всего виден рядом с двумя соседними видами книг, которыми она не является.
- Это не книга по классической теории управления: Мы не развиваем подробно преобразования Лапласа в непрерывном времени, контурные интегралы или доказательства устойчивости по Ляпунову. Формальные доказательства непрерывного управления и выводы достижимости собраны в приложениях тома для необязательного углубления.
- Это не традиционная книга по кинематике робототехники: Мы не разбираем параметрические матрицы Денавита–Хартенберга, каталоги передач прямой кинематики или специализированные эвристики механического проектирования.
Вместо этого мы рассуждаем от физических принципов (сохранение энергии и импульса, кинематика остановки, тепловое рассеяние и трение Кулона) и от архитектуры вычислительных систем (многотактные контуры исполнения, конкуренция за шину памяти, асинхронные очереди сообщений и пути разрешения, проверяющие обученные предложения).
Механизмы — до той глубины, которая меняет бюджет
Эта книга не рассматривает обученные модели или блоки управления как черные ящики, но и не обозревает их внутренности. Механизм появляется в основном тексте на той глубине, на которой он меняет число, которое машина должна закладывать в бюджет: задержку, след в памяти, запас хода или свидетельства, на которых может покоиться утверждение. Декодер фрагмента действий проявляется через горизонт, который он поставляет, и время, которое занимает новый фрагмент. Представление сцены проявляется через память, которую оно занимает, и возраст свидетельств, которые оно хранит. Барьерный фильтр проявляется через предпосылки, в которых нуждается его гарантия, и предельный срок, который он должен выдержать. Внутренние детали, не сдвигающие ни одного такого числа, включая арифметику патчевой токенизации и внимания, функции потерь декодера и методы восстановления поверхностей, вынесены в приложения по машинному обучению и управлению для желающих читателей.
Задержка — это расстояние
Машина продолжает движение, пока она воспринимает, принимает решения и ждет свои тормоза. Каждая миллисекунда между наблюдением и моментом, когда нарастает тормозная сила, расходуется как ход навстречу тому, чего машина не должна достигнуть, поэтому рабочая скорость, задержка, запас хода и тормозная способность образуют один бюджет, а не четыре отдельных спецификации. Книга строит этот бюджет для одной машины, добавляя каждое слагаемое в главе, которой оно принадлежит, начиная с остановочного пути тела в разделе «Кинетический импульс». Время вывода обученной модели попадает в бюджет только через возраст свидетельств, которые она передает дальше, потому что каждый такт решает, можно ли продолжать движение, путь разрешения, а не модель.
Что обещает эта книга
Эта книга не обещает машину, доказуемо безопасную. Никакая конечная кампания испытаний, фильтр времени выполнения или схема сертификации не дают этого для обученной системы в открытом мире, и главы говорят так всюду, где это важно. Книга учит нечто более узкое. Она показывает, как построить машину, чьи обученные предложения не могут санкционировать собственное движение, чей путь разрешения решает по свидетельствам известного возраста в пределах запаса, который задержка еще не израсходовала, и чья каждая гарантия записана вместе с предпосылками, на которых она покоится. Барьерный фильтр защищает объект управления, только пока держатся его модель, его оценка состояния, его полномочия актуатора и его предельный срок. Выпуск в эксплуатацию оправдан только для условий, которые покрывают его свидетельства. Предпосылка, которую свидетельства не могут урегулировать, ограничивает то, что машина может делать, вместо того чтобы быть выброшенной через предположение. Заключительная глава возвращается к вступительному вопросу с этим ответом. Гарантия условна, и инженерное дело — знать ее условия и фиксировать их.
Машина в пяти уровнях
Машина в этой книге имеет пять уровней. В Мозге обитают обученные инициаторы, которые пересматривают цели на нескольких герцах и выдают короткие последовательности действий на десятках герц. Ниже границы предложения Нервная система держит путь разрешения, который допускает, изменяет или отклоняет каждое предложение по свежему состоянию и владеет резервированием. Тело — это объект управления под его приводами, Граница — это место, где команды становятся током, а мир становится измерением, а Мир — это все, чем машина не владеет. Управление окружает все пять уровней как огибающая жизненного цикла, решая, кто может командовать машиной и какие свидетельства дают ей право работать. Мозг предлагает; разрешает только путь разрешения. Раздел «Машина в пяти уровнях» дает полную модель и ее частоты.
Три класса машин
Чтобы системные концепции оставались конкретными, этот учебник обосновывает свои принципы на трех классах машин из раздела «Три класса машин»:
- Класс 1 · Мобильность, доминируемая массой (AMR и квадрупеды): Плоские транспортные основания и ногопоходные платформы (такие как Spot от Boston Dynamics), навигирующие по открытым объектам и пересеченной местности. Управляются импульсом транспортного средства, трением Кулона шина — дорога и стопа — грунт, кинематическими огибающими остановочного пути и конвейерами восприятия с несколькими камерами / лидаром в условиях искажений скользящего затвора.
- Класс 2 · Манипуляция, доминируемая контактом: Многозвенные роботизированные руки, выполняющие сложные контактные задачи. Управляются нелинейной динамикой руки, приведенной инерцией ротора (), податливостью циклоидного редуктора и сдерживанием контактной силы.
- Класс 3 · Технологические и энергетические системы, доминируемые потоком: Высоконапорные гидравлические контуры, химические периодические реакторы и тепловые установки. Управляются энтальпийным обменом, динамикой жидкости в трубах, переходными процессами давления и необратимыми термодинамическими фазовыми переходами.
Сквозь всю книгу идет одна машина — складской мобильный манипулятор из раздела «Три класса машин», — и каждая глава добавляет в бюджеты этой машины то, чем она владеет. Каждая часть завершается проверкой своего закона на гуманоиде, который связывает все три класса на одном шасси.
Как читать эту книгу: последовательная дуга против модульного выбора
Этот учебник поддерживает два режима чтения:
Для последовательных читателей (накопительная учебная дуга)
Читатели, идущие от обложки до обложки, проходят введение, четыре части и заключение, и каждую часть ведет один из четырех законов книги. Раздел «Архитектура этой книги» прослеживает цепь протоколов, которые главы передают друг другу.
- Введение («Каузальная граница») спрашивает, что должна гарантировать машина, прежде чем предложение обученной модели превратится в физическую работу.
- Часть I: Анатомия машины превращает первый закон, необратимость, в бюджеты времени, расстояния, момента, тепла и напряжения.
- Часть II: Обучение машины спрашивает, на чем покоится компетенция обученного инициатора по второму закону, эндогенным данным, когда его собственные действия выбирают, что он увидит следующим.
- Часть III: Работа машины строит время выполнения вокруг третьего закона: предложение — не разрешение.
- Часть IV: Управление машиной применяет четвертый закон, свидетельства ограничивают полномочия, чтобы решить, кто может командовать машиной и при каких условиях она может работать.
- Заключение («Эпистемическая граница») отвечает на вступительный вопрос тем, что подтверждают свидетельства.
Для выборочного чтения и модульных курсов
Преподавателям и практикам часто нужно изучать одну тему изолированно, например конвейеры DMA датчиков, фрагментирование траекторий или функции барьера управления. Чтобы поддержать модульное использование без путаницы с необходимой подготовкой:
- Ориентация в начале каждой главы: Каждая глава начинается с раздела ориентации, который обрамляет основную проблему и формулирует ее физические ставки, а стек в начале каждой главы отмечает уровень, над которым работает глава.
- Явный базовый контекст: Всякий раз, когда глава опирается на ключевое понятие, установленное ранее (такое как граница предложения, бюджет остановки или три класса машин), текст дает немедленную встроенную пояснительную ориентацию и точную перекрестную ссылку на раздел.
- Самодостаточные разобранные примеры: Каждая глава содержит самостоятельные аналитические выводы, исполняемые расчеты на Python и промышленные разборы случаев, которые можно изучать независимо.
Стек упорядочен по частоте управления и полномочиям, а не только по программным зависимостям.
Стек без выделенного уровня обозначает главы об управлении, потому что управление — это огибающая вокруг всех пяти уровней, а не один из них.
Главы о теле, нервной системе и мозге выделяют свой уровень на стеке: «Физическое тело», «Нервная система» и «Когнитивный мозг».
Заметки на полях
На полях размещаются небольшие безнумерные визуальные заметки рядом с отрывком, где связь, разрыв масштаба или порог видны лучше всего. Это пособия для чтения, а не рисунки для цитирования, и они бывают пяти видов.
- Лестницы охватывают порядки величин (такие как частоты исполнения от переключения инвертора вниз до пересмотра моделью намерения или пропускные способности приема данных датчиков).
- Изломы порога отмечают точку, за которой тенденция перестает держаться (такую как приведенная инерция ротора, ограничивающая ускорение шарнира, рост силы с жесткостью контакта или рост хвостовой задержки с конкуренцией за шину памяти).
- Огибающие бюджета сопоставляют конкурирующие требования с предельным сроком (такие как времена шумоподавления диффузии против периодов управления или бюджеты цикла полевой шины).
- Полосы последовательности показывают многотактный тайминг (такой как рукопожатия полномочий, окна фрагментов скользящего горизонта или шаги, запечатывающие протокол).
- Каузальные цепи прослеживают, как распространяется отказ и как далеко он достигает (такое как путь от незамоделированного артефакта симулятора до поврежденной детали).
Золотая нить: сквозной форензический след
Чтобы связать абстрактные концепции всех семнадцати глав в связную инженерную реальность, эта книга протягивает сквозной реальный сценарий — Золотую нить — через четыре части и пять уровней машины:
- Часть I · Физический вызов (опасность объекта управления): Автономный мобильный робот (AMR) движется по промышленному проезду со скоростью . Без предупреждения на его пути появляется препятствие с ограниченным свободным расстоянием. Физическая тормозная способность объекта управления, трение Кулона шина — пол и задержка отклика актуатора диктуют жесткий бюджет остановки (), который не может обойти никакая программная оптимизация.
- Часть II · Разрыв обучения (сбой политики): Бортовая политика зрение–язык–действие (VLA), обученная на номинальных демонстрациях без внезапных вторжений, сталкивается с острым ковариантным сдвигом вне распределения (). Вместо торможения генеративный декодер фрагмента действий предлагает агрессивный увод, нарушающий кинематические пределы поворота и дестабилизирующий шасси.
- Часть III · Исполнение во время выполнения (узкое место кремния): Экспозиция камеры + транспорт SerDes + нейровывод съедают критические миллисекунды неуправляемого движения, прежде чем будет выдано предложение действия. Когда предложение достигает почтового ящика разделяемой памяти, гетерогенная конкуренция за шину памяти системы на кристалле угрожает предельному сроку реального времени.
- Часть IV · Щит безопасности (детерминированное вмешательство): Работая на изолированном микроконтроллере безопасности реального времени, высокочастотный рефлекторный путь вычисляет функцию барьера управления (). Вычислив, что предложенный увод нарушит допустимую огибающую остановки, квадратичная программа минимально проецирует предложение в допустимое тормозное ограничение, безопасно останавливая шасси до контакта, не полагаясь на оптимизм программного обеспечения.
Смежные книги курса систем машинного обучения
Этот учебник входит в курс Machine Learning Systems. Introduction to Machine Learning Systems рассматривает, как модели используют вычисления и память на одной машине. Scaling Machine Learning Systems расширяет эту инженерную область до координации распределенного обучения и вывода на кластерных флотах.
Курс также обращается к системам, совершающим автономные действия. Agentic Machine Learning Systems фокусируется на состоятельных целенаправленных траекториях в цифровых программных средах, тогда как Системы физического ИИ рассматривает действия, порождающие силу, движение и термодинамические изменения в физическом мире. Каждый текст предлагает комплементарную перспективу, и эта книга самодостаточна, развивая физические, вычислительные и архитектурные принципы, необходимые для проектирования надежных воплощенных машин.
Каузальная граница
Назначение
Что должна гарантировать машина, прежде чем предложение обученной модели превратится в физическую работу?
Обученная политика может выбирать действия, которые машина не способна выполнить безопасно. Как только команда достигает двигателя, ток создает момент, а движущаяся масса несет импульс. Отмена вычисления не может отменить это движение. Пока программное обеспечение робота обрабатывает наблюдения, его физическое шасси продолжает двигаться по инерции к препятствию. Каждая миллисекунда вычислительной задержки потребляет физическое пространство, необратимо сужая доступную тормозную огибающую. Одной точности предсказания недостаточно, чтобы решить, следует ли выполнять действие: политика с точностью бенчмарка 99,9 % все равно командует катастрофические столкновения, когда ее масштабируют на тысячи часов работы в неконтролируемых физических средах.
Физический искусственный интеллект разрешает это противоречие, структурируя машину по пяти различным уровням работы. Высокоемкие обученные модели, обитающие в Мозге, предлагают кандидатные траектории, но между статистическими предложениями и физическим исполнением стоит каузальная граница: окончательный интерфейс, где цифровые биты командуют токами двигателей. Мозг обладает правом предложения, тогда как детерминированная Нервная система сохраняет полномочия исполнения команд в жестком реальном времени, чтобы проверять команды по измеренным кинематическим и тепловым пределам Тела. Если обученная политика сталкивается с хвостовой задержкой, исчерпанием памяти или семантической ошибкой, Нервная система останавливает движение с помощью проверенного стоп-суффикса до того, как машина исчерпает бюджет запаса хода.
↳ Далее: Пределы объекта управления за каузальной границей измеряются и фиксируются в разделе «Замер пределов машины».
Цели обучения
- Объяснить, почему команду, пересекшую каузальную границу, нельзя отозвать программными средствами
- Вычислить слепой ход задержки до торможения и сравнить его с тормозным путем
- Классифицировать физические машины по бюджету, который исчерпывается первым: запас хода, контактная сила или тепловой либо фазовый запас
- Применить тест охвата физического ИИ, чтобы отличить рекомендательные модели от автономных физических систем
- Найти границу предложения в пятиуровневой машине и объяснить, почему только путь разрешения может командовать актуаторами
- Диагностировать, как отказы по времени и полномочиям сочетаются в инциденте автономной машины
- Оценить, как необратимость, замкнутые данные и ограниченные свидетельства по отдельности делают независимый путь разрешения необходимым
- Объяснить, почему физические полномочия зависят от состояния, так что безопасность, защищенность и подотчетность сходятся на пути разрешения
Искусственный интеллект за стеклом
Подъезжая к открытому дверному проему, робот должен сделать больше, чем распознать портал в потоке изображений камеры. Он должен оценить, пройдет ли его физическое шасси через проем, выбрать осуществимую траекторию и непрерывно корректировать этот путь, пока импульс несет его вперед. Если внезапно появляется препятствие, отмена программного потока или выброс необработанного исключения не могут остановить импульс машины. Проектирование такого поведения требует проследить решение от сенсорных свидетельств вплоть до электромагнитного момента и механической работы. Этот полный замкнутый контур и есть область системной инженерии физического искусственного интеллекта.
В физической машине цифровые биты могут командовать электрическими токами через силовые инверторы, магнитный поток создает механический момент, а движущаяся масса накапливает импульс. Ошибочная команда может поэтому вызвать срез редуктора, просадку шины напряжения батареи или столкновение раньше, чем программное обеспечение успеет ее исправить.
Парадокс Моравека1 Moravec, 1988 объясняет, почему обученные модели вообще входят в этот контур: задачи, требующие интенсивных сознательных усилий человека, такие как игра в шахматы или доказательство теорем, требуют скромных вычислений, тогда как сенсомоторные навыки, выполняемые без усилий (например, идти по неровному гравию или схватить яйцо, не раздавив его), требуют огромных вычислительных и управляющих ресурсов. По мере того как высокоемкие нейронные сети развертывают для овладения этими сенсомоторными задачами, инженерные команды сталкиваются со стеной наработки, которую выводит раздел «Пределы физических испытаний». Точность офлайн-бенчмарков не может предсказать устойчивость замкнутого контура в открытом мире, и никакое осуществимое количество испытаний без отказов само по себе не способно продемонстрировать редкие частоты отказов, которых требует растущее физическое развертывание, поэтому аргументы безопасности должны покрывать накопленную наработку, а не только контролируемые демонстрации.
Когда цифровые модели командуют физическими актуаторами, они входят в замкнутые каузальные контуры обратной связи, впервые формализованные Норбертом Винером в кибернетике2 Wiener, 1948. Информация перестает быть разомкнутым потоком, завершающимся на дисплее. Вместо этого каждое физическое движение перемещает датчики машины, преобразуя последующие наблюдения по детерминированным законам классической механики. Построение такой машины опирается на четыре технические культуры (машинное обучение, компьютерные системы, классическая робототехника и встроенные кремниевые системы и безопасность), и команды, которые их связывают, обнаруживают, что каждая культура формулирует проблему на своем языке.
Перспектива машинного обучения сосредоточена на масштабировании числа параметров, трансформерных стеков и диффузионных политик на миллионах шагов симуляции, рассматривая развертывание в реальном мире как задачу более широких наборов демонстраций и охвата датасетов. Перспектива компьютерных систем сосредоточена на пропускной способности шины памяти, иерархии кэшей и процентилях хвостовой задержки, осознавая, что потоковая передача многогигабайтных нейронных весов на высоких частотах грозит насытить межсоединения памяти и оставить конвейеры прямого доступа к памяти камер без данных Williams et al., 2009. Перспектива классической робототехники опирается на динамику Ньютона–Эйлера для управления механическими силами и движением. Если нейронная сеть командует резкими изменениями движения (высокочастотный рывок), она может срезать редукторы или вызвать структурный резонанс, из-за чего классические запасы устойчивости становятся критически важными. Наконец, перспектива встроенных кремниевых систем и безопасности сосредоточена на обработчиках прерываний на «голом железе», аппаратных зонах аварийного отключения и стандартах функциональной безопасности (таких как ISO 26262 и UL 4600), гарантирующих, что неверифицированные статистические модели никогда не получают прямого доступа на запись к силовым каскадам приводов.
Каждая перспектива дает критически важную идею. Градиентный спуск не чинит разрушенную передачу и не предотвращает просадку напряжения питания, а ручной классический регулятор не обеспечивает семантического понимания сцены в открытом мире. Жизнеспособная архитектура систем физического ИИ должна объединить их обязанности, не возлагая всю проблему на какую-либо одну дисциплину.
↳ Далее: Разделение обученных предложений и полномочий исполнения команды отображается на изолированные кремниевые домены в разделе «Где проходит путь разрешения».
Физический искусственный интеллект
Физический искусственный интеллект — это инженерия замкнутых физических машин, в которых высокоемкие обученные модели предлагают действия, которые ограничивают классическая механика, термодинамика и кремниевые системы жесткого реального времени.
- Значение: Выходы рекомендательного ИИ не имеют прямых полномочий над актуаторами, хотя люди или нисходящие системы могут действовать по ним. Физический ИИ переходит в непрерывный объект управления, где цифровые биты командуют токами двигателей, накапливается кинетический импульс, а программные зависания могут приводить к механическим разрушениям, перегреву или столкновениям.
- Отличие: В отличие от классической робототехники (которая опирается на проектируемые вручную конечные автоматы и явные кинематические модели) или машинного обучения интернет-масштаба (которое работает на статических офлайн-датасетах), физический ИИ связывает высокоемкую статистическую генерализацию с детерминированными аппаратными фильтрами безопасности вдоль эндогенного замкнутого каузального контура.
- Типичная ловушка: Считать физические воплощения периферийными устройствами ввода-вывода для фундаментальных моделей. Законы масштабирования и точности бенчмарков не предотвращают просадку напряжения питания, срез редуктора или насыщение усилия актуатора; физическая безопасность требует асимметричной архитектуры, в которой независимая проверка реального времени может наложить вето на любое предложение обученной модели.
Глава следует за командой от вычисления к физической работе, сравнивает бюджеты трех классов машин, применяет тест охвата, чтобы решить, какие машины попадают в дисциплину, выстраивает машину в пять уровней и использует столкновение в Tempe, чтобы проверить границу между обученными предложениями и разрешением на исполнение команды. Заключительные разделы превращают этот анализ отказа в четыре закона, прослеживают, где сходятся безопасность, защищенность и подотчетность, и излагают архитектуру книги.
Каузальная граница
У рекомендательной модели, которая лишь показывает рекомендацию, нет прямого пути к двигателю или клапану. Пользователь может отклонить рекомендацию, а транзакцию базы данных можно откатить до того, как внешнее действие вступит в силу.3 Ни то ни другое свойство не делает цифровые ошибки безобидными: человек может последовать плохому совету, а автоматизированная торговая система — выполнить последовательный по последствиям ордер. Существенное различие состоит в том, может ли выход модели автоматически достичь физического актуатора.
Физический ИИ устраняет разрыв между выходом модели и актуатором. В физической машине последняя инструкция контура управления не записывается на экран и не заполняет веб-ответ. Для инженера систем машинного обучения, привыкшего писать action = policy(observation) в PyTorch, каузальная граница — это место, где тензоры с плавающей точкой встречаются с физическим кремнием. Тензор выхода политики, обычно фрагмент действий, предсказывающий последовательность ближайших путевых точек (положения шарниров, скорости или декартовы позы 6-DOF),4 нельзя выполнить напрямую на физических двигателях.
Между предложением обученной модели и командой актуатора должна стоять независимая проверка. Если проверка допускает предложение, его задания проходят через детерминированный каскад контуров привода, превращающий их в ток двигателя, и последний программный акт в этом каскаде — значение, записываемое в аппаратный регистр. В зависимости от архитектуры машины этот аппаратный регистр выступает защелкой цифро-аналогового преобразователя, удерживающей заданное опорное напряжение, регистром сравнения широтно-импульсной модуляции (PWM), задающим скважность инвертора, или последовательным управляющим словом, настраивающим затворный драйвер. Ровно по этому адресу памяти информационная абстракция заканчивается. Модуляция затворных напряжений силовых MOSFET-транзисторов тянет ток от высоковольтной шины постоянного тока в обмотки статора, создавая силы Лоренца, ускоряющие ротор против приведенной инерции нагрузки.
Каузальная граница
Каузальная граница — это физический и электрический интерфейс, на котором цифровые вычислительные биты превращаются в физические силы, токи или потоки.
- Значение: До исполнения команды предложение можно отклонить, не совершая физической работы. После исполнения действия могут изменить среду, рассеять тепло (омический нагрев , кинетическое трение) и преобразовать последующие сенсорные наблюдения.
- Отличие: В отличие от подготовленного цифрового предложения, которое можно отклонить до фиксации, приложенную силу нельзя отменить, а совершенная ею физическая работа остается в объекте управления.
- Типичная ловушка: Считать, что программные исключения или отмена потока могут остановить физический импульс. Как только регистр сравнения PWM защелкнут, ток течет и масса ускоряется; для остановки этого движения требуется выделенный остановочный путь () и фрикционное торможение.
Переход от цифрового состояния к физической силе разрушает допущение, центральное для офлайн-машинного обучения, что данные не зависят от выходов модели. В офлайн-зрении, обработке естественного языка и табличных предсказаниях сбор данных экзогенен: мир порождает распределение входов, и модель обрабатывает их, не меняя механизма, который их создал. В физической системе среда развивается в замкнутом каузальном контуре: следующее физическое состояние и сенсорное наблюдение зависят прямо от действия, порожденного предыдущим выводом модели.
Поток сенсорных входов эндогенен, он порождается собственными прошлыми действиями машины. Когда политика выдает ошибочную команду момента, шарнир поворачивается, платформа смещается, а установленные камеры или лидары разворачиваются в новые точки обзора. Машина сама въезжает в незнакомую область пространства состояний, где обучающие данные разрежены, повышая вероятность последующих ошибок вывода и наращивая расхождение с номинальной работой («Замкнутая каузальная петля»).
Замкнутая каузальная петля: Рекомендательный выход (вверху) заканчивается на информационном интерфейсе. В физическом ИИ (внизу) разрешенные предложения модели доходят до аппаратных регистров, где электрический ток создает силу и движение. Эти действия изменяют среду и последующие сенсорные наблюдения.
Поскольку физическая масса обладает инерцией, а вычисления занимают конечное время, задержка в физическом ИИ превращается прямо в физическое смещение. Как показано на автономном испытательном стенде в разделе «Прием данных лидара», реальные робототехнические системы опираются на плотные многомодальные сенсорные комплексы (вращающиеся лидары, камерные массивы и радиолокаторы), непрерывно передающие телеметрию с высокой пропускной способностью бортовым процессорам. Каждый этап этого конвейера, от экспозиции фотодиода и сериализации на сенсорной шине,5 до нейровычислений на кремнии ускорителя и передачи пакетов по детерминированным полевым шинам, потребляет миллисекунды.
В качестве конкретного примера рассмотрим колесное основание складского мобильного манипулятора (полностью представленного в разделе «Три класса машин»), движущегося по проезду с пределом привода 1.5 m/s (иллюстративно; см. руководство для читателя). Его задержка до торможения, которую последующие главы собирают слагаемое за слагаемым, составляет не более 133.6 ms — от захвата кадра камеры, на котором человек выходит из-за торца стеллажа, до начала тормозной силы. За это время основание проходит 200 mm без всякого отклика на то, что записал кадр. Человек, вышедший ближе этой точки, будет достигнут до начала торможения, и никакой объем модели не изменит этого исхода.
Этот компромисс между вычислительной задержкой и физическим запасом хода формализует кинематическая roofline-модель. В классической архитектуре компьютерных систем roofline-модель Williams et al., 2009 ограничивает достижимую пропускную способность меньшим из двух потолков: произведения пиковой пропускной способности памяти на арифметическую интенсивность (отношение арифметических операций к перемещаемым байтам, в ) и пиковой вычислительной производительности. В физическом ИИ кинематическая roofline-модель связывает задержку до торможения и скорость платформы , ограничивая физический запас остановки при допустимом тормозном замедлении , но складывает оба слагаемых, а не ограничивает одно другим.
При аварийном торможении полный остановочный путь равен сумме слепого хода за время задержки, растущего линейно с задержкой, и тормозного пути, растущего с квадратом скорости. Соотношение выводится в разделе «Кинетический импульс». Слепой ход неустраним. Во время задержки тормозную силу приложить нельзя: экспозиция датчика еще не прошла через восприятие и полевую шину до тормозов. Как показывает «Номограмма кинематической roofline-модели» для репрезентативных воплощенных платформ, доля задержки в остановке наибольшая для медленных маневренных платформ, тогда как абсолютный ход наибольший для быстрых транспортных средств.
Номограмма кинематической roofline-модели: Компромиссы запаса остановки для воплощенных платформ. В строке складского мобильного манипулятора используются его предел привода и допустимое замедление. Три колонки задержки — это классы задержки до торможения, а не задержка какой-либо одной платформы. Остановочные пути округлены до трех значащих цифр, а добавленный слепой ход приведен в сантиметрах с точностью до миллиметра. При задержке 200 ms автономный легковой автомобиль проезжает лишние 4 m — целую длину кузова — прежде чем включатся тормоза.
Точно так же, как архитектор не может устранить ограниченный памятью арифметический конвейер добавлением новых исполнительных устройств ALU, инженер систем автономного транспортного средства не может устранить нарушение запаса аварийной остановки добавлением параметров модели, если это удлиняет задержку до торможения. Более тяжелая фундаментальная модель, добавляющая 150 ms вычислений, съедает лишние 3 m физического хода на загородных скоростях — расстояние, которое не вернуть ни фрикционным тормозом, ни логикой предотвращения столкновений.
Физическая реальность этого компромисса прослежена на протяжении пяти десятилетий систем автономных транспортных средств («Каузальная граница»). Безопасная рабочая скорость любой платформы физического ИИ жестко ограничена кинематической roofline-моделью остановки: где — скорость транспортного средства, — сквозная задержка контура «восприятие — действие», — замедление аварийного торможения ( на сухом асфальте), а — эффективный горизонт восприятия датчиков.
В раннюю эпоху обдумывания (1970–1980) Shakey из SRI и Stanford Cart Моравека работали с задержками контура от до из-за узких мест вычислений на внешних мейнфреймах, ограничивая безопасные скорости ползания величиной ниже . К середине 1980-х и в 1990-х VaMoRs Эрнста Дикманса показал, что выполнение собственных алгоритмов 4D-динамического зрения на () открыло скорости шоссе на немецком автобане, доказав, что безопасную мобильность определяет темп контура управления, а не глубина когнитивного обдумывания. Во время соревнований DARPA Grand Challenge (2004–2007) Stanford Stanley и CMU Boss работали на (), двигаясь по пустынным тропам и городским перекресткам на . Сегодня серийные роботакси, такие как Waymo Driver, поддерживают задержки контура порядка , чтобы огибающие остановки оставались далеко внутри их сенсорных горизонтов на загородных скоростях (), тогда как автономные гоночные автомобили (такие как команда PoliMOVE серии Indy Autonomous Challenge) снижают задержки контура до (), чтобы безопасно работать на скоростях свыше .
Каузальная граница: задержка контура «восприятие — действие» против рабочей огибающей скорости транспортного средства (1970–2026): Эмпирические вехи пяти десятилетий автономных наземных транспортных средств, нанесенные на физические кинематические roofline-модели остановки при аварийном замедлении () для четырех сенсорных горизонтов ( до ). Транспортные средства выше потолка попадают в физически невосстановимый режим, где остановочный путь превышает дальность датчиков независимо от изобретательности нисходящих алгоритмов. Вехи: SRI Shakey (1970), Stanford Cart (1979), CMU Navlab 1 (1986), UniBwM VaMoRs (1987), CMU Navlab 5 (1995), Stanford Stanley (2005), CMU Boss (2007), Waymo Driver Gen 5/6 (2024) и Indy Autonomous Challenge PoliMOVE AV-24 (2024).
Как только цифровые команды переходят в механическую работу, изменение состояния становится термодинамически необратимым. Физический мир не дает механизма отката.6 Когда контроллер актуатора подает ток на двигатель, электрическая энергия переходит из батареи в кинетическую энергию механических звеньев или в тепловую энергию, рассеиваемую резистивным джоулевым нагревом () в обмотках статора. Если ошибочный момент шарнира вбивает манипулятор в жесткий стальной прижим, кинетическая энергия превращается в пластическую деформацию инструмента, механическое напряжение в зубьях редуктора и тепло. Никакое программное прерывание не может извлечь эту кинетическую энергию из разрушенной конструкции или вернуть срезанные зубья передачи к исходной геометрии.
↳ Далее: Негладкая механика контакта и пределы насыщения момента, определяющие необратимость двигателя, выводятся в разделе «Пределы передачи актуатора».
Прием данных лидара: 64-лучевой вращающийся лидар на автономном исследовательском испытательном стенде. В физическом ИИ сенсорные потоки, выдающие свыше 1,3 миллиона точек в секунду, должны сериализоваться через аппаратные интерфейсы реального времени, синхронизироваться по микросекундным меткам времени и обрабатываться нейронными стеками восприятия в пределах жестких предельных сроков задержки. (Источник: Steve Jurvetson, CC BY 2.0).
Физический ИИ наследует обученную модель рекомендательного машинного обучения и актуатор классического управления, а вместе с ними и сочетание режимов отказов, с которым ни одна из областей не сталкивается поодиночке («Матрица вычислительных парадигм по каузальной границе»).
| Архитектурная размерность | Цифровое машинное обучение (рекомендательное) | Классическая робототехника и управление | Физический искусственный интеллект (замкнутый контур) |
|---|---|---|---|
| Операционный субстрат | Разделенные буферы виртуальной памяти (GPU VRAM, DRAM, веб-эндпоинты) | Непрерывное аналоговое пространство состояний, описываемое дифференциальными уравнениями | Гибрид: многомерные нейронные представления, отображаемые на аналоговые физические актуаторы |
| Формализация модели | Высокоемкие статистические аппроксиматоры (LLM, ViT, диффузионные политики) | Аналитически заданные переходные функции и детерминированные матрицы пространства состояний | Фундаментальные политики в паре с детерминированными фильтрами безопасности времени выполнения |
| Динамика обратной связи | Экзогенная и статическая; независимые одинаково распределенные выборки | Непрерывная детерминированная обратная связь по состоянию с гауссовым шумом датчиков | Эндогенный нестационарный замкнутый контур; действия формируют будущие наблюдения |
| Темп исполнения | Пакетирование, оптимизированное под пропускную способность; мягкие или неограниченные бюджеты задержки | Однотактные контуры жесткого реального времени на микроконтроллерах (от 100 Гц до 1 кГц) | Многотактная: модель намерения (1–5 Hz) и политика фрагментов (10–50 Hz) предлагают; контур разрешения (в одной реализации — 1 kHz) допускает |
| Полномочия исполнения команды | Рекомендательные; изолированные API, буферы экрана или проверка человеком в контуре | Жестко заданная обратная связь, напрямую управляющая таймерами силовых инверторов и регистрами PWM | Предложения обученных моделей проверяются независимым путем до того, как любое из них дойдет до актуатора |
| Семантика отказов | Выходы можно отклонить, транзакции — отменить до внешнего действия; вред в дальнейшем остается возможен | Насыщение актуатора, ошибка слежения или потеря устойчивости | Необратимая термодинамическая работа, пластическая деформация, кинетическое столкновение или перегрев статора |
| Гарантия безопасности | Офлайн-минимизация статистической функции потерь на валидационных выборках | Формальные математические доказательства устойчивости (функции Ляпунова, запасы по усилению и фазе) | Многослойное принудительное обеспечение инвариантов во время выполнения, фильтры-барьеры с прямой инвариантностью и внедрение отказов |
Матрица вычислительных парадигм по каузальной границе: Рекомендательное цифровое машинное обучение (слева), классическая робототехника и теория управления (в центре) и физический искусственный интеллект (справа), сопоставленные по операционному субстрату, формализации модели, динамике обратной связи, темпу исполнения, полномочиям исполнения команды, семантике отказов и примитивам сертификации безопасности.
Строки «Семантика отказов» и «Полномочия исполнения команды» в правой колонке восходят к необратимости. Разрешенная команда доставляет работу, которую не может отозвать ни одно последующее программное действие, поэтому проверка должна завершиться раньше. Что эта работа повреждает первым и как быстро, зависит от того, что машина приводит в движение, и эта зависимость задает предельный срок, который проверка должна выдержать.
Три класса машин
Автономный доставочный дрон, летящий в турбулентных порывах ветра, кажется, не имеет ничего общего с шестиосевой роботизированной рукой, собирающей автомобильную коробку передач, и ни тот ни другой не связаны с контейнеризированной установкой управления батареями, регулирующей жидкий теплоноситель. Один учебный курс может охватить их все, не превращаясь в собрание ad hoc рецептов, только если он классифицирует их по чему-то более глубокому, чем их форма.
Ключ в том, чтобы смотреть сквозь косметические форм-факторы к лежащим в основе физическим законам сохранения. Каждая воплощенная система ИИ управляется одним или несколькими из трех фундаментальных физических классов, каждый из которых определяется законом сохранения, доминирующим над его актуаторами («Три класса машин», «Три класса машин в поле»): перемещением массы в пространстве, приложением силы через физический контакт или регулированием непрерывных потоков жидкости и тепла. Гуманоид связывает все три на одном шасси. Классификация машины таким образом позволяет системным архитекторам определить, какой бюджет ресурсов исчерпывается первым при зависании или аномалии программного обеспечения, и подогнать под него реакцию безопасности машины. «Ограничивающий бюджет по классам» сопоставляет эти бюджеты с отказом, которым каждый заканчивается, и привратником, который должен его перехватить.
Три класса машин: Три фундаментальных физических воплощения, классифицированных по их главным ограничивающим законам сохранения: (a) мобильность, доминируемая массой (класс 1), управляемая импульсом и пространственным запасом; (b) манипуляция, доминируемая контактом (класс 2), управляемая механическим импедансом и пределом текучести конструкции; и (c) технологические установки, доминируемые потоком (класс 3), управляемые теплоемкостью и транспортным запаздыванием.
| Класс | Примеры | Первый исчерпываемый бюджет | Режим отказа | Привратник безопасности |
|---|---|---|---|---|
| Доминируемый массой | AMR, AV, дроны, мобильные основания | Остановочный путь и задержка до торможения () | Кинетическое столкновение; превышение импульса | Независимая проверка торможения с частотой, заданной бюджетом остановки ( в одной реализации) |
| Доминируемый контактом | Манипуляторы, захваты, прессы | Ток актуатора и напряжение в редукторе | Срез зуба передачи; повреждение детали | Ограничение производной момента и предел -гладкой траектории (непрерывное ускорение) |
| Доминируемый потоком | Тепловые контуры, инверторы, биореакторы | Тепловой или фазовый запас | Тепловой разгон; пробой изоляции | Аппаратный тепловой наблюдатель и блокировка |
Ограничивающий бюджет по классам: Каждый класс при зависании программного обеспечения первым исчерпывает разный ресурс, и этот ресурс определяет механизм принудительного обеспечения, который машина должна нести. Привратники — это проектные ответы на режим отказа в той же строке, а не сертифицированные заявления о характеристиках.
Три класса машин в поле: Полевые развертывания, представляющие три фундаментальных режима физического сохранения: (a) мобильность, доминируемая массой, — квадрупед Spot от Boston Dynamics на неструктурированной местности; (b) манипуляция, доминируемая контактом, — совместная рука Franka Emika Panda, регулирующая точные контактные силы сборки; и (c) технологические установки, доминируемые потоком, — контейнеризированные системы накопления энергии на батареях коммунального масштаба (Tesvolt BESS), управляющие высокомощным тепловыделением и контурами жидкостного охлаждения. (Атрибуция: Wikimedia Commons, CC BY-SA 4.0).
Эта книга ведет одну машину от первой главы до последней. Складской мобильный манипулятор — это колесное основание, несущее руку с семью шарнирами, навигационную камеру и лидар, камеру на запястье и два компьютера. Прикладной процессор запускает его обученные модели, а отдельный микроконтроллер безопасности решает с фиксированным коротким периодом, может ли предложенное движение дойти до двигателей. Его политика фрагментов — это модель фрагментирования действий всего тела, которая предлагает скорость основания и целевые положения шарниров руки вместе, как это делают системы мобильной манипуляции этого класса Fu et al., 2024. Основание — это доминируемая массой машина класса 1, которая должна остановиться, не достигнув человека, вышедшего из-за торца стеллажа. Рука — это доминируемая контактом машина класса 2, которая должна открыть дверцу клетки с пружинным замком, поднять незнакомую кружку с движущегося конвейера и передать кружку коллеге на упаковочном посту, каждый раз не превышая контактной силы. Главы, которым принадлежит слагаемое бюджета остановки машины, добавляют это слагаемое по очереди, так что значение, которое вычисляет одна глава, использует следующая. Остальные главы занимаются инициатором, который тратит этот бюджет, и свидетельствами, которые решают, сколько из него инициатор может израсходовать. Технологическая установка класса 3 появляется в каждой части один раз как контраст.
Класс 1: системы мобильности
Машины класса 1 перемещают массу в пространстве, ограничиваемые сохранением импульса и рассеянием кинетической энергии («Три класса машин» a, «Три класса машин в поле» a). В автономных транспортных платформах, квадрупедах, преодолевающих пересеченную местность (таких как Spot от Boston Dynamics), мобильных манипуляторах и летающих дронах мост актуаторов прикладывает силу, чтобы перемещать или вращать тело массой со скоростью . Поскольку кинетическую энергию нельзя мгновенно уничтожить после того, как она доставлена шасси (ее необходимо снять через трение, аэродинамическое сопротивление или рекуперативное торможение), безопасность прежде всего измеряется как оставшийся пространственный запас. Остановочный путь из «Номограммы кинематической roofline-модели» — это бюджет этого класса, а первая граница, нарушаемая при зависании программного обеспечения или ошибке классификации модели, — это физическое расстояние до внешнего препятствия.
Чтобы увидеть, как масштабируются оба слагаемых этого бюджета, вернемся к складскому основанию, движущемуся с пределом привода 1.5 m/s к торцу стеллажа, откуда вышел человек. В груженом состоянии с тележкой для контейнеров его масса не превышает 368 kg, и оно несет 414 J кинетической энергии, которую торможение должно снять через сцепление колес с полом. При допустимом замедлении 2 m/s² одно только торможение требует 562.5 mm пола. Слепой ход 200 mm за задержку до торможения 133.6 ms предшествует всему этому торможению и добавляет 35,6 % к тормозному пути. «Номограмма кинематической roofline-модели» получает близкую величину для того же основания, 34.8%, другой мерой — ходом за его длинный класс задержки 200 ms как долей полной остановки. Оба слагаемых подчиняются разным проектным решениям. Более крупная модель, удлиняющая задержку, пропорционально удлиняет слепой ход, тогда как удвоение скорости движения учетверило бы и энергию, и тормозной путь.
Класс 2: системы манипуляции
Машины класса 2 прикладывают механическую силу через контакт, ограничиваемые насыщением момента актуатора, жесткостью среды и пропускной способностью контура тока, то есть тем, насколько быстро контроллер двигателя измеряет и регулирует ток для управления моментом («Три класса машин» b, «Три класса машин в поле» b). В шарнирных манипуляторах, прецизионных сборочных приспособлениях и обучающих ячейках роботов, выполняющих контактную вставку и захват, рабочий орган взаимодействует напрямую с жесткой или податливой деталью. В отличие от мобильной платформы, рука в контакте с поверхностью не может компенсировать неожиданное смещение движением вперед. Когда актуатор командует положение в жесткую границу, физическое смещение блокируется, и взаимодействие ведет себя как сжатая пружина, управляемая механическим импедансом. По закону Гука контактная сила, создаваемая ошибкой пространственного проникновения о среду с жесткостью , равна .7
Жесткость контакта может сделать удерживаемую команду движения дорогостоящей еще до возврата верхнеуровневого планировщика. Рассмотрим руку того же складского мобильного манипулятора, ведущую захват к ударной планке дверцы клетки со скоростью 0.10 m/s, и предположим, что его низкоуровневый контроллер продолжает выполнять эту команду, пока верхнеуровневый процесс зависает на 75 ms. Планка действует как пружина жесткостью 4.0 × 10⁵ N/m, замок допускает не более 100 N контактной силы, а руке предположительно хватает момента, чтобы продолжать движение через контакт. Тогда планка прогибается на 7.5 mm, и пружинная модель дает 3 000 N — в 30 раз больше предела. Насыщение двигателя, податливость в другом месте или регулятор, останавливающийся на устаревших командах, изменили бы этот результат. Для планки такой жесткости время, доступное для обнаружения контакта и приведения командуемого движения в пределы допуска, составляет миллисекунды — куда короче зависания, и раздел «Обучение политики» выводит этот бюджет для этой планки.
Класс 3: технологические и энергетические системы
Помимо движения звеньев и контактов, машины класса 3 регулируют непрерывные потоки жидкости, тепла или электроэнергии («Три класса машин» c, «Три класса машин в поле» c). Контур охлаждения должен отводить тепло так же быстро, как процесс его генерирует. При чистой тепловой мощности и теплоемкости остановившийся насос вызывает рост температуры до возобновления потока; транспортное запаздывание добавляет время, прежде чем новый теплоноситель достигнет горячего компонента. Для иллюстративной постоянной в 1 kW и в 10 kJ/K компонент нагревается на 0.1 K/s, так что запас 5 K дает около 50 s до предполагаемого предела. Сетевой инвертор сталкивается с другим бюджетом: в сети 60 Hz некомпенсированная задержка оценки фазы 1 ms соответствует ошибке фазы 21.6°. Вызовет ли эта ошибка недопустимый ток, зависит от импеданса инвертора и конструкции защиты; полупериод 8.33 ms сам по себе не является универсальным предельным сроком отказа. В каждой установке допустимая программная задержка следует из физического запаса и имеющейся защиты, а не только из периода тактовой частоты.
Гуманоид связывает все три
Гуманоидный робот не принадлежит одному классу машин. Все три физических режима действуют и конкурируют одновременно на его едином жестко ограниченном мобильном шасси:
- Динамика класса 1 в локомоции: Недоактуированное двуногое балансирование, динамическая постановка шагов, сохранение импульса () и проскальзывание контакта с землей при ходьбе и подъеме по лестнице требуют непрерывного пространственного запаса и управления кинетической энергией.
- Динамика класса 2 в манипуляции и контакте: Двуручные рабочие органы, многопалый захват и переходы к жесткому контакту с деталями среды подвергают кинематические цепи высоким ударным нагрузкам (), насыщению момента шарниров и пределу текучести передачи при физическом взаимодействии.
- Динамика класса 3 в исполнении команды и электропитании: Приведение в действие от 20 до 50 высокомоментных актуаторов одновременно от единого бортового блока батарей постоянного тока выталкивает тепловыделение инверторов () до пределов.
Гуманоидное горнило
Гуманоид связывает запас остановки, контактную силу и электроэнергию на одном шасси, так что запрос в одном режиме становится запросом в двух других в пределах одного шага. Когда рука принимает неожиданную нагрузку:
- Контакт становится импульсом (классы 1 и 2): Контактная сила возмущает центр масс, и робот должен поставить восстановительный шаг до опрокидывания, превращая контактную задачу в задачу торможения.
- Импульс становится теплом (классы 1 и 3): Восстановительный шаг тянет пиковый ток через приводы бедра и колена, и температура обмотки вынуждает приводы снижать момент именно тогда, когда баланс нуждается в нем больше всего.
- Ток становится просадкой питания (класс 3): Тот же переходный ток просаживает общую батарейную шину и может сбросить компьютер, исполняющий обученные модели, на середине шага, если его домен питания не разделен с приводами.
Каждая часть этой книги заканчивается проверкой своего закона на гуманоиде.
Тогда как машина одного класса (такая как колесный AMR или неподвижная промышленная рука) изолирует свой физический бюджет одним доминирующим законом сохранения, гуманоидный робот заставляет системного архитектора управлять связанной конкуренцией между классами, в которой ни один бюджет нельзя рассчитать без двух других («Целостность электропитания» количественно оценивает просадку шины).
Для любой системы физического ИИ проектирование независимой проверки начинается с определения, какой физический бюджет исчерпывается первым при отказе. В программных системах ограничения ресурсов сосредоточены на циклах процессора, выделении памяти и пропускной способности сети. В физических системах системный архитектор должен определить, создает ли критический предельный срок пространственный запас, конструкционное напряжение или отвод тепла. В высокоскоростном транспортном средстве или квадрупеде пространственный запас исчерпывается за доли секунды, тогда как температуры обмоток двигателей остаются уверенно ниже тепловых пределов. В сборочном прессе механическое напряжение превышает предел текучести конструктивных элементов за десятки миллисекунд — задолго до того, как шасси заметно сдвинется или нагреется. В химическом реакторе или батарейном блоке механическое напряжение незначительно, но накопленная тепловая энергия нарушает безопасные рабочие огибающие за несколько секунд. Наименьшее время до отказа по этим трем областям определяет детерминированный предельный срок исполнения, который независимая проверка должна выдерживать.
Принадлежность к одному из этих трех физических классов сама по себе не означает, что машина требует полной системной дисциплины физического ИИ. Классический гидравлический пресс или детерминированный PID-автопилот дрона манипулируют массой и контактной силой, но действуют целиком в рамках классической теории управления.
Тест охвата физического ИИ
Без границы охвата команды ошибаются в двух направлениях: помещают нейронные модели туда, где уже достаточно аналитического PID-управления, или наделяют стохастические модели неверифицированными полномочиями над приводами в контурах, критичных для безопасности.
Область физического ИИ определяется одновременным пересечением трех структурных критериев («Тест охвата физического ИИ»):
- Обученная статистическая модель (неспецифицируемая политика): Система опирается на политику, кодировщик восприятия или модель мира, полученные из данных (например, нейронные сети, фундаментальные модели, диффузионные политики Chi et al., 2024), чью входно-выходную переходную функцию нельзя записать аналитическими уравнениями в замкнутой форме и чьи худшие выходы нельзя математически ограничить офлайн.
- Физическая обратная связь с последствиями: Действия актуаторов изменяют материальное состояние физической среды, что в свою очередь прямо определяет, что датчики наблюдают дальше, по управляющим законам классической механики, термодинамики или электромагнетизма.
- Делегированные физические полномочия (исполнение команды на уровне системы): Обученный компонент поставляет актуальные предложения, которые автоматизированная система может выполнить без синхронного одобрения человеком. Обученной модели не нужно самой писать в регистр актуатора; система обладает физическими полномочиями, потому что принятое предложение может дойти до него.
Тест охвата физического ИИ: Физический ИИ сочетает обученный компонент, физическую обратную связь с последствиями и полномочия уровня системы выполнять принятые предложения без одобрения человеком. Независимое вето принадлежит этому пересечению, потому что принятые предложения все равно могут приводить объект управления в движение. Попарные пересечения размещают рекомендательные системы, цифровую автономию и классическое управление.
Замкнутый контур обратной связи необходим для физического взаимодействия, но одной обратной связи недостаточно, чтобы отнести машину к этой области. Классические пропорционально-интегрально-производные (PID) регуляторы работают на в авиации и промышленной автоматизации, регулируя положения клапанов и моменты двигателей через жесткую сенсорную обратную связь. Их контуры обратной связи непрерывны и физичны, но их законы управления задаются целиком фиксированными математическими формулами, чьи границы устойчивости можно доказать аналитически из переходных функций. Они обладают физическими полномочиями и испытывают физическую обратную связь, но у них нет обученной модели. Напротив, высокочастотные алгоритмические торговые системы исполняют автоматические биржевые ордера под управлением обученных предсказательных моделей за микросекунды. Они сочетают обученные политики с делегированными транзакционными полномочиями, но получаемая ими обратная связь чисто цифровая и информационная. Когда ордер исполняется, он изменяет электронную книгу заявок, а не импульс, трение или тепловую энергию. Необработанное зависание в алгоритмической торговле стоит финансового капитала, но не вызывает столкновения с конструктивным элементом под действием инерции.
Одной обученной модели недостаточно, чтобы определить область. Офлайн-нейронный оптимизатор траекторий может вычислять пути для манипулятора, но если инженер должен проверить и явно загрузить каждый путь перед выполнением, его выходы не имеют делегированных полномочий времени выполнения. Аналогично нейронная сеть, которая лишь регистрирует дефекты сборочной линии или выводит их на дисплей, остается рекомендательной, поскольку ее выход не может автоматически командовать линией.
Оставшаяся пара — обученная модель с физической обратной связью, но без полномочий — завершает границу. Монитор усталости водителя реального времени использует обученную модель компьютерного зрения для отслеживания движения век и положения автомобиля на полосе, получая непрерывную физическую обратную связь от состояния транспортного средства. Однако ему не хватает делегированных физических полномочий, поскольку его единственный выход — звуковой сигнал предупреждения. Если модель зрения полностью выходит из строя при тайм-ауте вывода или зависании конвейера, динамик просто не издает звука, но физическая рулевая рейка и тормозные суппорты остаются в безопасности под контролем человека.
Наиболее требовательные граничные случаи возникают при разделенной автономии, где физические полномочия динамически делятся между оператором-человеком и обученной моделью. В роботизированной хирургии или продвинутых системах помощи водителю оператор-человек обеспечивает непрерывное руление или управление инструментом, тогда как обученная политика вносит коррективы, чтобы фильтровать дрожь рук, избегать анатомических границ или компенсировать занос транспортного средства. Эти архитектуры удовлетворяют обоим критериям — и обученному компоненту, и физической обратной связи. Попадают ли они в область физического ИИ, строго зависит от временных полномочий, предоставленных модели. Если обученная политика может командовать даже усилием в или корректировать угол руления, не требуя подтверждения человеком в пределах человеческого рефлекторного интервала , модель обладает делегированными физическими полномочиями. В этом окне ошибочный выход модели или задержанный пакет вывода прикладывает реальные физические силы к миру, потенциально вызывая увод с курса или повреждение тканей, прежде чем нервно-мышечная система оператора сможет физически отреагировать и вмешаться.
Оценка неоднозначной машины означает проверку каждого критерия независимо, как это делает «Матрица решений теста охвата физического ИИ» для репрезентативных систем. Детерминированное вето не устраняет делегированные полномочия; обязательная проверка человеком офлайн-плана — устраняет. Когда все три теста пройдены, система действует как физический ИИ, и ее инженерия должна уважать каузальную границу, установленную в разделе «Каузальная граница».
| Кандидат в системы / случай | Критерий 1: обученная модель (неспецифицируемая политика) | Критерий 2: физическая обратная связь с последствиями | Критерий 3: делегированные физические полномочия (автоматическое исполнение через привратника) | Классификация охвата и дисциплина | Ограничивающая физика и критический режим отказа |
|---|---|---|---|---|---|
| Автономный складской AMR (класс 1) | Да (обученная навигационная политика / карта стоимости) | Да (кинетический импульс, инерция шасси и сцепление колес) | Да (принятые предложения доходят до управления приводами без одобрения человеком) | Физический ИИ | Кинетический удар; проскальзывание и потеря одометрии |
| Шарнирный контактный манипулятор (класс 2) | Да (трансформерное фрагментирование действий для сборки Zhao et al., 2023) | Да (механический контактный импеданс и силы реакции) | Да (предложения с привратником безопасности ведут активные команды шарниров) | Физический ИИ | Превышение предела текучести конструкции; срез зуба редуктора |
| Классический автопилот высокоскоростного дрона | Нет (аналитически настроенный PID / каскадный контур) | Да (аэродинамическая подъемная сила, сопротивление и гироскопическая динамика) | Да (прямое PWM-управление скоростью двигателей) | Классическая теория управления | Эрозия запаса управления; насыщение тяги ротора |
| Высокочастотный маркет-мейкер | Да (глубокий трансформерный предсказатель последовательностей) | Нет (цифровое состояние книги заявок; очереди памяти и сети) | Нет (нет физического исполнения команды; ордера исполняются автоматически) | Цифровое машинное обучение / финтех | Потеря финансового капитала; нарушение работы рынка |
| Рекомендательный монитор усталости водителя | Да (сетевая модель зрения по ориентирам лица) | Да (кинематика автомобиля и физиология водителя) | Нет (только звуковой сигнал и светодиод приборной панели) | Рекомендательная поддержка решений | Задержка восприятия-реакции человека; нулевые физические полномочия |
| Офлайн-оптимизатор траекторий | Да (глубокая нейронная сеть для поиска временно оптимального пути) | Нет (статическая CAD-модель ячейки; офлайн-пакетное выполнение) | Нет (план движения проверен и загружен инженером-человеком) | Инструмент офлайн-оптимизации | Численная несходимость; нулевая прямая связь с объектом управления во время выполнения |
| Хирургический ассистент с разделенной автономией | Да (обученный гаптический фильтр дрожи / виртуальные прижимы) | Да (податливость анатомических тканей и силы реакции) | Условно (модель вносит силы в пределах человеческого рефлекторного окна) | Пограничный / разделенный физический ИИ | Задержка нервно-мышечного рефлекса человека против скорости нарастания усилия инструмента |
Матрица решений теста охвата физического ИИ: Репрезентативные инженерные системы, проверенные по трем совместным критериям (обученная модель, физическая обратная связь с последствиями и делегированные физические полномочия), определяющие ведущую инженерную дисциплину, ограничивающие физические факторы и основные режимы отказа для каждого кандидата.
Ограничивающие бюджеты и тест охвата
Прежде чем рассматривать пятиуровневую машину, проверьте, что вы можете разместить незнакомую машину по ее ограничивающему бюджету и по тесту охвата:
- Слепой ход и торможение: Можете ли вы объяснить, почему задержка до торможения превращается в слепой ход , который не вернуть никаким торможением, и почему удвоение скорости учетверяет тормозной путь, но лишь удваивает слепой ход?
- Первый исчерпываемый бюджет: Можете ли вы назвать, какой бюджет исчерпывается первым и примерно на каком временном масштабе, для мобильного основания, для руки, давящей на жесткую планку замка, и для остановившегося контура охлаждения, и объяснить, почему гуманоид связывает все три?
- Тест охвата по трем критериям: Можете ли вы проверить автоматизированную систему на обученную модель, физическую обратную связь с последствиями и делегированные физические полномочия и объяснить, почему торговая система находится вне физического ИИ, тогда как хирургический инструмент с разделенной автономией попадает внутрь всякий раз, когда может приложить силу раньше, чем хирург успеет отреагировать?
Машина в пяти уровнях
Машине, проходящей тест охвата, нужна организация, которая не позволяет ее обученным моделям писать напрямую в актуаторы, которые они могут повредить, и при этом позволяет этим моделям управлять машиной.
Машина в этой книге имеет пять уровней, упорядоченных от обученных моделей вниз до физики, на которую они действуют, и разделенных одной линией полномочий. Частоты управления возрастают от Мозга к Телу; ниже Тела Граница синхронизируется событиями, а Мир работает непрерывно. Мозг содержит обученных инициаторов. Модель намерения пересматривает цели на 1 to 5 Hz, а политика фрагментов выдает короткие последовательности будущих заданий на 10 to 50 Hz; восприятие и память работают на той же стороне на сенсорных частотах.
Мозг может только предлагать. Под ним лежит граница предложения, а под ней — Нервная система, содержащая путь разрешения. Путь разрешения проверяет каждое предложение по свежему состоянию и запасу, который оставила задержка, допускает, изменяет или отклоняет его и владеет резервированием, которое не ждет инициатора. Контур 1 kHz на выделенном микроконтроллере — одна реализация; частота, которая машине действительно нужна, следует из ее бюджета остановки. Тело — это собственная физика машины под ее приводами, от контура тока, превращающего допущенное задание в момент на 10 to 25 kHz, до передач, обмоток и силовых шин, чьи пределы измеряет раздел «Физическое тело». Граница — это сама каузальная граница, преобразователи, обращенные в обе стороны. С одной стороны запись в регистр становится током в обмотке; с другой — свет или сила становится измерением со временем захвата. Мир — это все, чем машина не владеет, включая полы, грузы, контакт и людей, и он развивается непрерывно, независимо от того, следит ли за ним какой-либо уровень.
Управление — не шестой уровень. Это огибающая жизненного цикла вокруг всех пяти уровней, решающая, кто может командовать машиной, какие свидетельства дают ей право работать и когда это право истекает, и меняется она в масштабе времени вмешательств и выпусков, а не циклов управления.
↳ Далее: Передачи полномочий командования и вытеснение потока предложений управляются конечным автоматом супервизора в разделе «Переходы полномочий».
Граница предложения
Граница предложения — это линия между обученной моделью, которая может лишь предлагать действие, и путем разрешения, независимым механизмом с ограниченной задержкой, которую модель не может задержать или исказить и который один может разрешить действию дойти до актуатора. Путь разрешения проверяет каждое предложение по свежим свидетельствам, огибающей остановки и резервированию, осуществимому из текущего состояния, и отказывает, если любая проверка не проходит.
- Значение: Не позволяет выходам модели напрямую командовать актуаторами; защита действует, только пока восприятие пути разрешения, физические пределы и резервирование остаются действительными.
- Отличие: Политика, выдающая значения момента, все равно не имеет полномочий на запись в актуатор; ее выход является предложением, пока путь разрешения его не допустит.
- Типичная ловушка: Считать путь разрешения постобрабатывающим ограничителем выходов модели, а не независимым механизмом, который может отказать в выполнении, когда инициатор опаздывает, ошибается или молчит.
Стек, открывающий каждую главу, рисует те же пять уровней («Машина в пяти уровнях») и выделяет тот, над которым работает глава; раздел «Пять уровней и закрепленные частоты» закрепляет их частоты и перечисляет главы для каждого.
| Уровень | Что это | Закрепленная частота | Где книга над этим работает |
|---|---|---|---|
| Мозг | Обученные инициаторы и потребляемые ими свидетельства | Модель намерения 1–5 Hz; политика фрагментов 10–50 Hz; восприятие на сенсорной частоте | «Когнитивный мозг», «Обучение политики», «Сенсорное восприятие» до «Планирование траекторий» |
| Граница предложения | Выше можно только предлагать; ниже можно командовать | — | — |
| Нервная система | Путь разрешения: тайминг, аренда, допуск, резервирование и его кремний | 1 kHz как одна реализация; требуемая частота следует из бюджета остановки | «Нервная система», «Обеспечение безопасности», «Размещение на кремнии» |
| Тело | Объект управления под его приводами | Контур тока 10–25 kHz | «Физическое тело» |
| Граница | Запись в регистр актуатора и захват датчика | Синхронизация событиями | Эта глава; эпоха захвата в разделе «Сенсорное восприятие» |
| Мир | Контакт, трение, груз, люди и рабочая область | Непрерывно | «Физические данные», «Оценка в замкнутом контуре» |
| Огибающая управления | Кто может командовать, что дает право на работу и когда это право истекает | Жизненный цикл; нет частоты управления | «Вмешательство супервизора» до «Эпистемическая граница» |
Пять уровней и закрепленные частоты: Это единственные частоты, которые книга привязывает к уровню. Машина, которой нужна другая частота, выводит ее из собственных измеренных пределов, а не перепривязывает уровень.
Машина в пяти уровнях: Каждый слой несет свою закрепленную частоту и главы, которые над ним работают. Более широкий разрыв между Мозгом и Нервной системой отмечает границу предложения, выше которой компонент может только предлагать. Стек в начале главы без выделенного уровня обозначает главу об управлении. Показанная частота контура разрешения — одна реализация.
Эта организация воплощает принципы ситуативности и подчинения Родни Брукса Brooks, 1986; Brooks, 1991, в которых быстрые реактивные слои защищают объект управления прямо от сенсорной обратной связи, тогда как высокоуровневые цели обдумывания модулируют поведение через верифицированные границы контрактов. Для диагностики отказа декомпозиция «восприятие — планирование — действие» находит самый ранний нарушенный контракт; раздел «Диагностический справочник S·P·A» развивает ее как справочник.
Пять уровней охватывают пять порядков рабочей частоты и задержки («Задержки и частоты систем физического ИИ»). На вершине фундаментальные модели обдумывания планируют в масштабах человеческой реакции (1–5 Hz); внизу силовые электронные инверторы переключают токи статора с десятками — сотнями килогерц (50–200 kHz). Эти крайности связывает физическая реальность: задержка — это расстояние: каждая миллисекунда непроверенной задержки в машине, движущейся со скоростью , дает невосстановимого слепого хода.
| Уровень машины | Полоса частот | Период цикла | Слепой ход при 1 m/s | Архитектурная роль и доминирующее ограничение |
|---|---|---|---|---|
| Мозг (обдумывание) | 1–5 Hz | 200–1 000 ms | 200–1 000 mm | Мультимодальные рассуждения VLA; ограничен вычислениями и памятью |
| Мозг (фрагментирование действий) | 10–50 Hz | 20–100 ms | 20–100 mm | Реактивная генерация траекторий; пропускная способность амортизируется |
| Нервная система (разрешение) | 1 kHz | 1 ms | 1 mm | Барьерные сертификаты и огибающие остановки; жесткий предельный срок |
| Тело (контур тока) | 10–25 kHz | 40–100 µs | 40–100 µm | Управление током статора и моментом по FOC; индуктивный |
| Тело (переключение инвертора) | 50–200 kHz | 5–20 µs | 5–20 µm | Затворный драйвер MOSFET и мертвое время; просадка |
Задержки и частоты систем физического ИИ: Частоты, периоды циклов и кинетические скорости перемещения порядка величин для пяти уровней машины, определяющие физическую осуществимость. Охватывая пять частотных десятилетий — от субмикросекундного переключения MOSFET до обдумывания фундаментальных моделей в секундном масштабе, — эти физические ограничения определяют, как вычислительная задержка превращается в необратимое механическое движение. Для полного краткого справочника, включая тепловые постоянные времени, периферийные roofline-модели, дрожание шин и статистические границы безопасности, см. раздел «Числа, которые нужно знать о физическом ИИ».
↳ Далее: Зафиксированная траектория Мозга строится в разделе «Непрерывные траектории».
Когда граница отказывает
Физическое крушение может включать как неточное предсказание, так и отказ отреагировать, когда имеющиеся свидетельства уже требуют вмешательства. Расследование в Tempe показывает, как взаимодействовали отслеживание объектов, политика торможения, опора на оператора и утраченная резервность.
Столкновение автономного автомобиля в Tempe в 2018 году
Мартовской ночью 2018 года модифицированный Volvo XC90 с экспериментальной системой автоматизированного вождения (ADS) Uber Advanced Technologies Group сбил и смертельно ранил пешехода, катившего велосипед через дорогу в Tempe, штат Arizona National Transportation Safety Board, 2019.8
На автомобиле были установлены лидар, радиолокатор и камеры («Датчики испытательного автомобиля в Tempe»). ADS впервые обнаружила пешехода за до удара, но одного обнаружения недостаточно для корректного предсказания траектории National Transportation Safety Board, 2019.
Смены классификации и утраченная история отслеживания
Продолжая отслеживать обнаруженный объект, ADS не затормозила в ответ на него. В отчете NTSB зафиксированы смены классификации между автомобилем, велосипедом и «другим» до National Transportation Safety Board, 2019.
Когда классификация менялась, предсказатель траектории ADS не использовал прежние местоположения объекта; для объекта «другой» он мог предположить статический путь.9 Результативные предсказания траектории не помещали пешехода на полосу внедорожника до National Transportation Safety Board, 2019.
↳ Далее: Огибающие остановки в разделе «Огибающие остановки» ограничивают, во что может обойтись такая смена классификации, как в Tempe.
Подавление действия и утраченный запас остановки
В момент , когда автомобиль двигался со скоростью , ADS распознала аварийную ситуацию и вошла в свой односекундный период подавления действия. Конструкция удерживала торможение, пока проверяла опасность или ждала вмешательства оператора. В момент подавление закончилось. Затем ADS инициировала план плавного замедления и подала сигнал тревоги; аварийного торможения она не запрашивала. NTSB отмечает, что из-за задержки связи неясно, началось ли это замедление до того, как оператор отключил ADS в момент National Transportation Safety Board, 2019.
Кинематический бюджет остановки
- Задача: По данным о односекундном периоде подавления и скорости в его конце, могло ли идеализированное полное торможение, начавшееся в момент , остановить автомобиль до точки удара?
- Допущения: Приближенная скорость вблизи распознавания опасности —
19.2 m/s, скорость в момент —18.1 m/s(в отчете ), идеализированное постоянное тормозное замедление —8 m/s². Путь вычисляется при постоянной скорости.- Интервал подавления: За отчетные
1 sудержание постоянной дало бы19.2 m. Фактически автомобиль замедлялся для поворота, поэтому это не измеренный ход подавления.- Сравнение торможения: По округленной скорости в момент идеализированная остановка требует
20.5 m. Удержание этой скорости в оставшиеся дает лишь около3.6 mпути до удара. Даже немедленное полное торможение в этот поздний момент не могло остановить автомобиль до точки удара. Фактически ADS планировала плавное замедление, а не полное торможение National Transportation Safety Board, 2019.
Раздел «Хронология событий ADS в Tempe» наносит зафиксированные времена событий и это сравнение торможения на одну временную ось, помещая односекундный интервал подавления прямо напротив остановочного пути, который автомобилю был нужен в момент окончания подавления.
Хронология событий ADS в Tempe: NTSB зафиксировала первое обнаружение в , распознавание опасности и начало односекундного подавления действия в и план плавного замедления в . Нижнее сравнение предполагает постоянное замедление от зафиксированной скорости . Идеализированный остановочный путь в момент составляет около — далеко за пределами оставшихся примерно пути при постоянной скорости.
Датчики испытательного автомобиля в Tempe: На схеме NTSB указаны расположения лидара, камер, радиолокатора, вычислительных и телекоммуникационных систем автомобиля с экспериментальной ADS. (Источник: NTSB, общественное достояние).
Отключенный резерв безопасности (2018)
Контекст: 18 марта 2018 года экспериментальная ADS на Volvo XC90 2017 года сбила и убила пешехода, переходившего дорогу в Tempe, штат Arizona National Transportation Safety Board, 2019.
Механизм: Как прослежено выше, смены классификации отбрасывали историю отслеживания объекта, а односекундное подавление удерживало торможение, пока не был спланирован лишь плавный замедление. Конструкция не использовала максимальное торможение исключительно для смягчения неизбежного столкновения National Transportation Safety Board, 2019.
Последствия: Автомобиль сбил и смертельно ранил пешехода. Поздний план плавного замедления не смог вернуть утраченную возможность остановки.
Реакция: NTSB установил, что отключение систем предупреждения и торможения Volvo, которое Uber ATG выполнила из-за возможных помех радиолокатору, убрало слой резервности безопасности и рекомендовало усиленное управление рисками безопасности при испытаниях автоматизированных транспортных средств National Transportation Safety Board, 2019.
Системный урок: Неопределенность классификации, правило отложенной реакции и опора на невнимательного оператора могут сочетаться. Конструкции нужна своевременная оценка опасности и реакция, способная смягчить удар, когда избежать столкновения уже невозможно; расследование не предписывает какую-либо конкретную архитектуру процессора или почтовых ящиков.
Расследование поддерживает более широкое архитектурное требование. Экспериментальной ADS нужны резервность безопасности и своевременный путь смягчения даже при отказе восприятия или предсказания траектории, а приводимые NTSB испытания в симуляции от Volvo позволяют предположить, что штатное аварийное торможение могло бы предотвратить или смягчить это столкновение. Отчет не устанавливает, когда сработал бы отдельный путь разрешения и где он остановил бы автомобиль.10
Tempe иллюстрирует отказ до удара, где смены классификации и программная задержка подавления помешали своевременному торможению. Инцидент с роботакси Cruise в 2023 году Quinn Emanuel Urquhart and Sullivan, LLP, 2024 обозначает противоположный полюс — после удара: послестолкновительное резервирование, которое двинуло автомобиль, пока пешеход был зажат под ним («Лестница резервирования»).
Ни один из отказов не сводится к неточной модели. Первый израсходовал остановочный путь до начала торможения, и никакое последующее действие не могло его вернуть. Второй выбрал движение после удара. Вместе они показывают, что должно соблюдаться до того, как машина действует, и что резервирование может делать, когда вред уже начался, а четыре следующих закона формулируют эти требования для каждой машины.
Расследование отказов границы и полномочий
Прежде чем изучать четыре фундаментальных закона, проверьте понимание механизмов отказа, диагностированных в инциденте в Tempe:
- Смены классификации и предсказание траектории: Можете ли вы объяснить, как смены классификации привели к тому, что предсказатель траектории ADS опускал прежние местоположения объекта, несмотря на продолжение отслеживания?
- Программное подавление против кинематического запаса: Можете ли вы отличить момент распознавания от односекундного периода подавления и сравнить идеализированный остановочный путь с оставшимся ходом в момент ?
- Резервность безопасности: Можете ли вы объяснить, почему отключение штатных систем предупреждения о столкновении и аварийного торможения убрало слой защиты у экспериментальной ADS?
Четыре фундаментальных закона
Утраченная секунда в Tempe — это первый закон в действии. Этот закон и три других действуют для каждой машины, чьи обученные предложения могут дойти до актуатора, и каждый возглавляет часть этой книги. Вместе они превращают каузальную границу в требования.
Первый закон: необратимость. Физическую работу нельзя отозвать, поэтому каждая проверка должна завершиться до исполнения команды, внутри запаса, который задержка еще не израсходовала. Актуатор превращает электрическую энергию в движение, деформацию или тепло, и никакое последующее программное действие ее не убирает. Торможение может противостоять импульсу, только прикладывая силу во времени и на расстоянии, а деформированное приспособление остается деформированным, даже когда его задание меняется на обратное. Поскольку машина продолжает двигаться, пока вычисляет, задержка оплачивается расстоянием: каждая миллисекунда между захватом и откликом — это ход, которым остановка уже не сможет воспользоваться. Часть I превращает этот закон в бюджеты.
Второй закон: эндогенные данные. Действия физического агента выбирают его следующие наблюдения, поэтому компетентность действует только для состояний, покрытых испытанием в замкнутом контуре. В офлайн-бенчмарке предсказание не меняет следующий пример. В машине ошибочная команда двигает шарниры и камеры и доставляет политику в состояния, которых ее демонстрации никогда не показывали. При ограниченной стоимости шага худшая избыточная стоимость политики, обученной с подражанием, растет как на горизонте из шагов с расхождением на шаг Ross et al., 2011; граница развивается в разделе «Эндогенный опыт». Граница не предсказывает какую-либо конкретную частоту отказов, но показывает, почему точность одного шага не может сертифицировать замкнутый контур. Часть II спрашивает, на чем основана компетентность обученного инициатора.
Граница обучения с подражанием растет с квадратом горизонта по сравнению с линейным эталоном.
Третий закон: предложение — не разрешение. Обученная модель может предлагать; разрешать может только независимый путь, который модель не может задержать или исказить. Путь разрешения решает каждое действие по состоянию с известным возрастом, в предельный срок, заданный объектом управления, и владеет резервированием, которое может выполнить без инициатора. Отдельный кремний — один способ построить его. Аппаратная изоляция внутри одного кристалла — другой, при условии что граница отклика и локализация отказа продемонстрированы. Свежесть — часть проверки, потому что предложение, вычисленное по старому наблюдению, описывает машину, которая уже сдвинулась. Часть III строит время выполнения вокруг этого закона.
Четвертый закон: свидетельства ограничивают полномочия. Полномочия действовать даются на основании зафиксированных свидетельств; они истекают вместе с этими свидетельствами, а предпосылка, которую свидетельства не могут разрешить, должна ограничивать эксплуатацию. Средняя характеристика на конечных испытаниях не может сертифицировать хвост, чьи отказы механически, а демонстрация не является свидетельством безопасности. Кейс выпуска вместо этого ограничивает восприятие, ошибку модели, отклик актуатора, запас остановки и аппаратные отказы для заявленной области эксплуатации и называет то, что он оставляет открытым. Часть IV решает, кто может командовать машиной и в какие условия она может входить.
Третий закон — тот, которому служат три других. Необратимость делает разрешение необходимым, эндогенные данные оставляют компетентность инициатора частичной, а свидетельства ограничивают, сколько полномочий путь разрешения может дать. Масштабирование инициатора не ослабляет третий закон. «Горький урок» Ричарда Саттона Sutton, 2019 утверждает, что общие методы, использующие растущие вычисления, в конечном счете обгоняют инженерные эвристики. В машине этот урок встречается с тем, что эта книга называет физической стеной. Бортовые вычисления ограничены энергией батареи, отводом тепла, пропускной способностью памяти и целостностью шины питания, поэтому дополнительный размер модели оплачивается задержкой. Как только эта задержка обгоняет бюджет остановки, машина достигает препятствия раньше, чем завершится прямой проход. Раздел «Питание, свежесть и стена памяти» измеряет, что эта стена оставляет инициаторам машины. На языке аппаратных защитных колец обученная модель предлагает из непривилегированного домена, а путь разрешения отказывает из доверенного, с той разницей, что отказ должен также оставить машине физическое резервирование, потому что ни одна страничная ошибка не останавливает движущуюся массу.
Схождение безопасности
Безопасность проверяет, причинила ли машина вред. Защищенность рассматривает, вынудил ли ее внешний агент. Подотчетность оценивает, может ли аудитор установить, что произошло и почему. В программных сервисах эти заботы обитают в отдельных инженерных организациях и различных средах выполнения, разделенных прикладной логикой, сетевыми экранами и базами данных аудиторских журналов. В машине, которая двигает массу и командует током, все три сходятся на каузальной границе, где вопрос становится таким: обладает ли путь разрешения состоянием и полномочиями, чтобы отказать в записи в регистр до того, как команда станет моментом, действующим на объект управления.
Отказы безопасности возникают без противника. Объектив камеры накапливает пыль за работы, сдвигая распределение входов прочь от обучающей области, пока голова внимания не порождает рулевой момент вне распределения. Подшипник шарнира приобретает механический люфт, внося неучтенные люфт и податливость шарнира, которые превращают стабильную обученную траекторию положения в разрушительные колебания предельного цикла. Внезапное изменение трения поверхности также может опустить сцепление шин ниже коэффициента трения, предполагаемого обученной политикой. В каждом случае инициатор порождает действие, статистически правдоподобное для сети, но физически опасное для тела. Если у пути разрешения нет независимой кинематической модели или теплового бюджета для обнаружения превышения, неотклоненная команда записывается в регистры привода двигателя, высвобождая запасенную кинетическую энергию в рабочую зону.
Отказы защищенности вводят противника, который намеренно использует разрыв между статистическим выводом и физической реальностью. Атакующему не нужно компрометировать криптографические ключи или получать root-доступ в хостовой операционной системе, если он может манипулировать сенсорными входами. Проектируемый структурированный свет может обмануть датчик глубины, акустическая инъекция может ввести в резонанс микромеханические емкостные контрольные массы внутри MEMS-гироскопов на их собственных частотах, заставляя датчик сообщать фантомную угловую скорость,11 а узорные наклейки (враждебные визуальные возмущения) на полу цеха могут побудить модель зрение–язык–действие (обученную политику, отображающую изображения камер и языковую инструкцию в команды актуаторов) выдать максимальную скорость актуатора. На традиционном сервере атака инъекцией компрометирует конфиденциальность или целостность данных в абстрактном пространстве памяти. В физическом ИИ атака инъекцией командует физической работой, превращая невалидированный вывод в механическую силу. Периметр защищенности не может заканчиваться на сетевом интерфейсе или границе системных вызовов операционной системы. Он заканчивается на пути разрешения, который должен оценивать каждую кандидатную команду по физическим инвариантам независимо от того, действовал ли инициатор добросовестно или под враждебным контролем.
Традиционные модели программной авторизации дают сбой в физических машинах, потому что токены прав и списки контроля доступа предполагают дискретные безысторические транзакции. В веб-сервисе наличие действительных учетных данных дает разрешение записать запись в базу данных, а стоимость операции ограничена циклами вычислений и байтами хранения. В физическом пространстве разрешение не является статическим бинарным правом. В аналитическом роботизированном шарнире команда на приложение момента действительна, когда звено неподвижно в середине хода, но та же самая команда вызывает конструктивный предел текучести (разрушение вала или срез зуба передачи), если шарнир находится в от жесткого упора и движется со скоростью . Физические полномочия зависят от состояния, непрерывны и динамичны, ими управляют скорость, импульс, накопление тепла и пространственная занятость. Путь разрешения не может оценивать действие изолированно как безысторический удаленный вызов процедуры. Он должен интегрировать действие во времени относительно текущего физического состояния тела, проверяя, остается ли предложенное движение внутри валидированного восстановимого множества12 для объекта управления, нагрузки, ошибки оценки состояния и предельного срока отклика.
Подотчетность требует доказательства точной каузальной цепи, приведшей к исполнению команды, когда машина повреждает оборудование или нарушает огибающую. В стандартных вычислительных системах журналирование асинхронное, по мере возможностей и грубое, теряющее записи при давлении на буфер или записывающее метки времени с миллисекундным дрожанием. На каузальной границе подотчетность требует детерминированной телеметрии с высокой частотой, захватываемой синхронно с контуром управления. Если актуатор шарнира командует обновления на с предельным сроком , путь разрешения должен записывать исходный кандидатный вектор, предложенный моделью, оценку состояния, по которой он судил, примененный критерий и точный вектор, записанный в аппаратные регистры. Запечатывание этих записей в устойчивых к несанкционированным изменениям кольцевых буферах с добавлением только в конец в SRAM или FRAM с резервированием от батареи (память, переживающая внезапную потерю питания при срабатывании предохранителя) обеспечивает посленаступательное восстановление. При аномалии инженер может математически проверить, зародился ли отказ в искаженном показании датчика, деградировавшем предложении политики, ошибочном правиле разрешения или механическом компоненте, который не создал командуемый противодействующий момент.
Таким образом, безопасность, защищенность и подотчетность требуют от пути разрешения, охраняющего каузальную границу, одних и тех же трех вещей: состояния, достаточно свежего, чтобы судить о команде, полномочий отказать в ней, и записи того, что было предложено, что допущено и что записано. Построение этого пути и свидетельств того, что он делает то, о чем утверждает его запись, — работа остальной части книги.
Архитектура этой книги
Четыре части книги преследуют вопрос, с которого эта глава началась. Раздел «Что оставляют открытым четыре закона» отвечает на него в условной форме: каждая гарантия действует, только пока действуют ее предпосылки. Каждую часть возглавляет один из четырех законов, и каждая глава частей I–IV, кроме «Когнитивного мозга», заканчивается созданием записи, которую потребляет более поздняя глава («Костяк книги»). Читаемые по порядку, записи несут аргумент вперед: что может объект управления, что обученный инициатор показал, что он может, что он предлагает сейчас, что допускает путь разрешения и что разрешают свидетельства. Первые две из них идут одной нитью, а третья — другой, и две нити встречаются на решении о разрешении, которое есть третий закон в форме интерфейса.
Костяк книги: Каждую часть возглавляет один закон, и каждая глава частей I–IV, кроме «Когнитивного мозга», порождает запись, которую потребляет более поздняя глава. Что может объект управления и что инициатор показал, что он может, идут одной нитью, что инициатор предлагает сейчас — другой, и они встречаются на решении о разрешении.
Часть I, «Анатомия машины», возглавляется первым законом. Раздел «Физическое тело» измеряет бюджеты объекта управления и записывает каждый как протокол пределов — корень цепи. Раздел «Когнитивный мозг» излагает, что может поставить обученный инициатор и как быстро стареют его свидетельства. Раздел «Нервная система» выводит частоты и аренду пути разрешения из бюджета остановки и записывает каждую передачу в протокол передачи, который продолжает протокол пределов. Часть II, «Обучение машины», возглавляется вторым законом. Разделы «Физические данные», «Обучение политики» и «Оценка в замкнутом контуре» превращают демонстрации в протокол происхождения, манифест политики и протокол оценки, чьи утверждения остаются внутри заявленной области эксплуатации, а пробелы каталогизированы. Часть III, «Работа машины», возглавляется третьим законом. Разделы от «Сенсорного восприятия» до «Размещения на кремнии» следуют за одной командой от наблюдения с меткой времени до оценки состояния, аренды намерения, зафиксированной траектории, допущенной команды и кремния, который удерживает путь разрешения вовремя. Часть IV, «Управление машиной», возглавляется четвертым законом. Разделы «Вмешательство супервизора», «Верификация» и «Выпуск в эксплуатацию» решают, кто может командовать машиной, что установили тесты отказов и в какие условия машина может входить. Раздел «Эпистемическая граница» завершает книгу тем, что поддерживают записи, и реестром предпосылок, остающихся открытыми. Каждый протокол прорабатывается на одной машине — складском мобильном манипуляторе, представленном в разделе «Три класса машин».
Заблуждения и ловушки
Каждое из следующих заблуждений переносит допущение, верное для программного обеспечения, офлайн-обучения или классического управления, в машину, чьи обученные предложения могут дойти до актуатора. Первое предполагает, что обучение может выполнить работу пути разрешения, а три других — что человек может вмешаться мгновенно, что задержка лишь ухудшает характеристики или что физическую работу можно отменить.
Заблуждение и ловушка
Заблуждение: Ограничения безопасности можно внести в политику обучением.
Конвейеры обучения с подкреплением и с подражанием часто пытаются сделать политику безопасной, добавляя к ее целевой функции штрафные слагаемые, барьерные функции потерь или отрицательное формирование награды. Эти слагаемые направляют градиентный спуск и снижают частоту нежелательных состояний в обучающем распределении, но не ограничивают то, что выдает развернутая политика. При новом шуме датчика, закрытии объектива или сочетании состояний вне распределения ничто в офлайн-цели не предотвращает небезопасную команду. Обучающий стимул формирует вероятностное распределение, тогда как огибающая остановки требует границы, действующей в каждом цикле. Поэтому ограничение принадлежит нисходящему звену относительно модели — как привратник между выходом политики и регистрами актуатора, именно там, где третий закон помещает путь разрешения.
Заблуждение и ловушка
Ловушка: Считать вмешательство супервизора-человека мгновенным в системах с разделенной автономией.
Хирургический инструмент прикладывает гаптическую направляющую силовую обратную связь от обученной анатомической модели, пока хирург держит инструмент. Человеческий надзор не устраняет делегированные полномочия в интервале, пока хирург может отреагировать. Если актуатор наращивает усилие быстрее заявленного человеческого рефлекторного интервала , его команды могут деформировать ткани до того, как оператор их исправит. Инженерный вопрос: какое усилие система может приложить за этот интервал. Локальные пределы усилия, принудительно обеспечиваемые путем разрешения, должны ограничивать актуатор, не завися ни от своевременного нейронного предсказания, ни от немедленной человеческой реакции.
Заблуждение и ловушка
Ловушка: Считать, что программная задержка лишь плавно ухудшает характеристики.
Предположим, политика фрагментов машины зависает на
300 ms, пока ее подсистема памяти троттлится. Вычисление приостанавливается, но физический импульс гарантирует, что основание продолжает движение. Основание, продолжающее выполнять свое последнее предложение на1.5 m/s, прошло бы вслепую450 mmдо прихода следующей команды, и это смещение может израсходовать запас, нужный ему для остановки, если выйдет человек. Машина не допускает такого слепого хода. Аренда ограничивает, как долго основание может действовать по последнему предложению, и по ее истечении путь разрешения тормозит независимо от того, пришло ли новое предложение, так что огибающая остановки соблюдается, пока политика обдумывания недоступна. Раздел «Многотактные ритмы» подбирает размер этой аренды из бюджета остановки, а раздел «Полномочия на отказ» оценивает цену слишком долгой аренды.Физическую реальность этого ограничения определяет кинематическая roofline-модель: огибающая остановки при аварийном торможении («Каузальная граница»). За пятьдесят лет автономных систем каждое снижение задержки контура «восприятие — действие» на порядок открывало соответствующее расширение безопасной рабочей скорости — от обдумывания «остановись и спланируй» у Shakey () и Stanford Cart Moravec, 1988, через раннее нейронное зрение ALVINN Pomerleau, 1989, до современных автономных транспортных средств, работающих на загородных скоростях.
Каузальная граница: задержка контура «восприятие — действие» против безопасной рабочей скорости транспортного средства (1970–2026): Кинематическая roofline-модель диктует максимальную безопасную рабочую скорость как функцию полной задержки контура управления и аварийного замедления (, ) для четырех сенсорных горизонтов . Исторические вехи от SRI Shakey (1970) и Stanford Cart Moravec, 1988 через CMU Navlab Pomerleau, 1989, DARPA Grand Challenges и современные автономные флоты показывают, как снижение задержки прямо расширяет безопасную физическую рабочую огибающую.
Заблуждение и ловушка
Заблуждение: Считать, что физические действия можно откатывать, как транзакции баз данных.
Манипулятор прикладывает ошибочный момент к хрупкому приспособлению. Его монитор обнаруживает аномалию через и меняет команду двигателя на обратную. Смена команды на обратную не может восстановить приспособление, уже подвергшееся пластической деформации, или вернуть энергию, уже рассеянную как физическое тепло в обмотках двигателя (). Обнаружение может ограничить дальнейший ущерб, но не может стереть промежуточную физическую работу. Поэтому архитектура управления должна проверять команды по пределам силы и движения до выполнения. Восстановление остается необходимым, но дополняет превентивное принудительное обеспечение, а не заменяет его.
Итоги
Каузальная граница отмечает физический и электрический порог, где цифровые биты необратимо превращаются в кинетический импульс, контактную силу и джоулево тепло в отображаемых на память регистрах актуаторов. За этой границей вычислительная абстракция заканчивается. Задержка оплачивается неуправляемым физическим смещением, поэтому требования главы к таймингу и полномочиям помещают проверку до записи в регистр, а не после нее.
Инвариант каузальной границы
- Задержка оплачивается расстоянием: Разрешенная команда становится движением и теплом, которые не отзывает ни одно последующее программное действие, а движущаяся машина проходит до начала торможения. На складском мобильном манипуляторе на пределе привода этот слепой ход добавляет 35,6 % к тормозному пути.
- Ограничивающий бюджет задает предельный срок: Машины, доминируемые массой, первыми исчерпывают запас остановки; доминируемые контактом — силу; доминируемые потоком — тепловой или фазовый запас. Наименьшее время до отказа фиксирует предельный срок, который независимая проверка должна выдерживать, а гуманоид связывает все три.
- Охват требует всех трех критериев: Обученный компонент, физическая обратная связь с последствиями и делегированные полномочия вместе делают машину физическим ИИ. Независимое вето не устраняет делегированные полномочия; обязательное одобрение человеком каждого действия — устраняет.
- Предложение — не разрешение: В пятиуровневой машине обученные инициаторы Мозга могут только предлагать, а путь разрешения в Нервной системе допускает, изменяет или отклоняет каждое предложение по текущему состоянию и владеет резервированием, которое не ждет инициатора. Безопасность, защищенность и подотчетность сходятся на этом пути, который также записывает то, что он допустил.
- Физические отказы сочетаются: В Tempe смены классификации, спроектированное односекундное подавление торможения и опора на невнимательного оператора взаимодействовали, а штатное аварийное торможение, которое могло бы смягчить удар, было отключено. Точность одного компонента не объясняет исхода, поэтому требования ложатся на тайминг, реакцию и резервность.
- Четыре закона организуют книгу: Необратимость, эндогенные данные, «предложение — не разрешение» и «свидетельства ограничивают полномочия» возглавляют по одной части книги. Третий закон — тот, которому служат три других, а протоколы, которые порождают более поздние главы, несут каждый закон вперед на складском мобильном манипуляторе.
От каузальной границы к физическим пределам
Теперь, когда есть пятиуровневая машина и четыре закона, часть I начинается с первого закона. Эта глава приняла скорость машины, тормозное замедление и жесткость контакта как данные, однако каждый предельный срок, который путь разрешения должен выдерживать, выводится из них. Раздел «Физическое тело» спрашивает, какие физические пределы действительно ограничивают машину, как каждый из них измеряется и при каких условиях он действует, и записывает каждый предел как протокол пределов — первую запись в цепи, которую продолжает остальная книга.
-
Парадокс Моравека: Наблюдение в области искусственного интеллекта Moravec, 1988, что высокий уровень рассуждений требует сравнительно малых вычислений, тогда как низкоуровневая сенсомоторная координация требует огромных перцептивных и вычислительных ресурсов. ↩
-
Кибернетические контуры обратной связи: В кибернетической схеме Норберта Винера Wiener, 1948 обратная связь означает корректировку будущих действий по прошлым результатам. ↩
-
Идемпотентность: Повторение идемпотентной операции дает тот же заданный результат, что и однократное выполнение. Команда задания двигателю может иметь идемпотентную семантику команды, но повторное выполнение все равно может рассеивать энергию. Идемпотентность не означает обратимости и безвредности. ↩
-
Представления фрагмента действий: В литературе по обучению роботов Zhao et al., 2023 фрагменты действий обычно представляют собой тензоры формы , где — размер батча, — горизонт предсказания планирования, а — размерность действия (такая как целевые положения шарниров или приращения 3D-декартовой позиции и ориентации). Формальная формулировка через группу Ли () отложена до раздела «Пространственные системы координат и кинематика плеча»; раздел «Когнитивный мозг» определяет фрагмент и его горизонт. ↩
-
Автомобильные последовательные/десериализаторы (SerDes): Высокоскоростные связи физического уровня (такие как FPD-Link или GMSL), передающие несжатые видеопотоки многогигабитной скорости с низкой задержкой по легким коаксиальным кабелям или экранированной витой паре. В сочетании с выделенными аппаратными линиями синхронизации интерфейсы SerDes обеспечивают захват затвора с микросекундной синхронизацией по всему сенсорному кольцу. Спецификации шин см. в разделе «Системы и оборудование». ↩
-
Термодинамические пределы вычислений: На фундаментальном уровне Landauer, 1961 установил, что стирание логических битов рассеивает не менее тепла на каждый стертый бит. Однако в системах физического ИИ доминирующая необратимость макроскопична: моторные инверторы тянут десятки ампер из батарейных блоков, рассеивая джоулево тепло () в киловаттных масштабах и передавая импульс движущимся звеньям. ↩
-
Механика жесткого контакта: Односторонний физический контакт по своей сути однонаправлен: рабочий орган может упираться в препятствие, но не может тянуть его без захвата. Математическое моделирование жесткого контакта приводит к линейным задачам дополнительности (LCP), где резкие столкновения создают импульсное дребезжание и негладкие силы. Физические системы реального времени избегают дребезжания через податливые модели импеданса (); полная математическая формулировка контактной дополнительности отложена до раздела «Механика контакта твердых тел». ↩
-
Столкновение автономного автомобиля в Tempe в 2018 году: Времена событий и детали конструкции в этом разделе взяты из отчета NTSB о дорожно-транспортном происшествии NTSB/HAR-19/03 National Transportation Safety Board, 2019. ↩
-
История отслеживания: Предсказатель траектории может оценивать движение по последовательным местоположениям объекта. В ADS из Tempe смена классификации приводила к тому, что предсказатель опускал прежние местоположения; в отчете NTSB не указано ни сброса фильтра Калмана, ни инициализации нулевой скорости National Transportation Safety Board, 2019. ↩
-
Стандарты, критичные для безопасности: Стандарты функциональной безопасности и предназначенной функциональности могут служить входом для кейса безопасности восприятия, исполнения команды и резервирования. Их применимость и требуемая реализация зависят от системы и юрисдикции; отчет NTSB по Tempe не предписывал архитектуру с изолированным микроконтроллером. ↩
-
Акустический резонанс MEMS: Резонансные акустические частоты () могут физически вибрировать микромеханические емкостные контрольные массы внутри MEMS-гироскопов, вызывая насыщение сигнала и ложные показания угловой скорости. Защита от акустического подделывания требует физических демпфирующих барьеров и кинематической перекрестной проверки в реальном времени на микроконтроллере. ↩
-
Восстановимые множества: Смоделированное множество физических состояний (положений, скоростей и температур), из которого допустимый регулятор может удерживать объект управления в заданных границах при заявленных возмущениях и пределах актуаторов Mitchell et al., 2005. Допуск по этому множеству имеет смысл, только пока эти предпосылки о состоянии, объекте управления и тайминге выполняются. ↩
Анатомия машины
Каждая система физического ИИ определяется физическим аппаратом, через который она действует. Первый закон раздела «Четыре фундаментальных закона» утверждает, что этот аппарат не может вернуть назад выполненную им работу, и Часть I превращает этот закон в числа. Она спрашивает, как далеко машина проходит до остановки, какой момент способны отдать ее приводы и какое нагревание обмоток и просадку напряжения шины они переносят до повреждения, насколько быстро устаревают ее свидетельства и какой из этих пределов срабатывает первым. Ответы приходят от объекта управления, обученного инициатора и пути разрешения — именно в таком порядке.
Закон необратимости
Инвариант: Когда разрешенная команда пересекает каузальную границу, доставленная ею энергия становится движением, деформацией или теплом, которое не отзовет ни одно программное действие. Во время задержки до торможения машина проходит до начала любой реакции, поэтому остановка требует , причем каждое слагаемое берется из измеренного предела этой машины в заявленных условиях («Кинетический импульс»).
Следствие: Каждая часть машины несет бюджеты во времени, расстоянии, моменте, тепле и напряжении. Каждая проверка, защищающая объект управления, должна завершиться до исполнения команды и внутри этих бюджетов, а проект допустим только тогда, когда он может сказать, какой бюджет ограничивает первым, как этот бюджет был установлен и что машина делает, когда он исчерпан.
- Физическое тело («Физическое тело»): Определяет, какой физический бюджет ограничивает первым и как было установлено его значение, и создает протокол пределов, от которого происходит каждый последующий протокол.
- Когнитивный мозг («Когнитивный мозг»): Определяет, что обученный инициатор способен выдать вовремя и сколько памяти и задержки это стоит; он не создает собственного протокола, а пределы его инициатора входят в протокол передачи в формате протокола пределов.
- Нервная система («Нервная система»): Определяет, как часто путь разрешения должен проверять и как долго предложение может управлять актуаторами, и создает протокол передачи вместе с заголовком, который несет каждое предложение.
Часть I передает дальше три вещи. Из раздела «Физическое тело» приходит протокол пределов — форма, в которой каждый бюджет, способный закончиться повреждением (остановочный путь, выданный момент, нагрев обмоток, напряжение шины и возраст измерений), заявляет свои условия и свою категорию. Глава заполняет эту форму на машине для двух пределов: достоверного замедления за остановочным путем и отключения общей шины управления. Из раздела «Когнитивный мозг» приходит снабжение инициатора: сколько будущих заданий покрывает один фрагмент, сколько времени занимает новый фрагмент и насколько быстро устаревают стоящие за ним свидетельства. Из раздела «Нервная система» приходит протокол передачи: аренда, которую путь разрешения выводит из бюджета остановки; такт, в котором он проверяет передачи между инициатором и путем разрешения; и один разобранный бюджет, который связывает все три главы на работающей машине.
Физическое тело
Цель
Какие физические пределы ограничивают обученную политику в тот момент, когда ее выходы командуют двигателями и движущейся массой?
Движущаяся машина не может приостановиться ради ПО. Во время инференса физический мир продолжает развиваться: положения меняются, контактные поверхности смещаются, а наблюдения устаревают. Остановить физическое движение можно лишь за конечное время обработки команды и на конечном расстоянии для рассеивания кинетической энергии. Электродвигатели и механические редукторы жестко ограничивают то, насколько быстро может нарастать момент, а токи обмоток и потери на переключение инвертора непрерывно нагревают электромагнитные катушки. Политики, игнорирующие эти ограничения, запрашивают невозможные силы, вызывают просадку напряжения питающей шины или срезают зубья передачи. Ускорение нейронного инференса помогает только внутри этой физической цепи; оно не способно устранить тормозной путь, механическую инерцию или тепловые пределы.
Физический искусственный интеллект требует, чтобы эти пределы измерялись на полностью собранной машине под рабочими нагрузками, а не переписывались из оптимистичных технических описаний компонентов. На каузальной границе Тело устанавливает жесткие физические бюджеты — свободное расстояние, пиковую силу и тепловой запас, — которыми должны делиться восприятие, планирование и управление. По первому фундаментальному закону каждый такой бюджет должен быть проверен до выдачи команды на действие. Охарактеризовав кривые момента и скорости механического объекта управления, конусы трения и скорости теплосъема, системные инженеры обосновывают обученные предложения безжалостной физикой этого объекта.
↰ Предварительное требование: Физический объект управления лежит в основе трех классов машин, определенных в разделе «Три класса машин».
Цели обучения
- Рассчитать пределы свежести измерений по возрасту измерения и допустимому движению машины
- Рассчитать остановочный путь и допустимый потолок скорости по задержке до торможения, достоверному замедлению и накладным расходам запаса хода
- Оценить выбор актуаторов и передач по пределам отклика и приведенной инерции
- Оценить допустимые циклы нагрузки двигателя по тепловыделению, охлаждению и условиям эксплуатации
- Спланировать запасы электропитания на одновременные исполнение команды, вычисления и рекуперативное торможение
- Определить элементы протокола пределов, который фиксирует условия измеренного предела, неопределенность, запас, детектор времени выполнения и категорию свидетельств
Пять физических бюджетов
Роботизированный манипулятор может разрушить свою передачу даже после получения команды аварийного останова до контакта. Команда останова проходит программные буферы, силовой инвертор переключает состояния, а двигатель развивает пиковый обратный момент. Однако если движущееся звено обладает кинетической энергией, превышающей механическую работу, которую актуаторы способны совершить на оставшемся запасе хода, столкновения не избежать. В чистом ПО отказавший поток может быть мгновенно уничтожен ядром операционной системы. В физической реальности движущаяся масса несет импульс, который нельзя перехватить обработчиком исключений, а силовой каскад не может отдать бесконечный ток без теплового разрушения или просадки напряжения. ПО не может отменить физику движущейся массы, тепла и тока.
Выше границы предложения обученная политика может предлагать любое движение, но физическое тело отдает лишь то, что позволяют механика, термодинамика и электромагнетизм. Это тело — объект управления из актуаторов, передач, кинематических звеньев, силовых шин и преобразователей, который воздействует на мир, и каждое задание, выдаваемое политикой, расходует пять его физических бюджетов:
- Свежесть измерений: Скорость изменения физической среды относительно возраста данных датчиков, доходящих до контроллера. Поскольку мир не приостанавливается ради вычислений, время, истекшее на связь и инференс, означает, что машина всегда действует по историческому состоянию.
- Кинетический импульс: Остановочный путь и тормозная сила, необходимые для рассеивания запасенной кинетической энергии () до столкновения с препятствиями или выхода за границы рабочей ячейки.
- Пропускная способность актуатора и приведенная инерция: Скорость, с которой могут меняться механический момент и скорость, пока индуктивность обмотки (), ограничения по току инвертора или инерция передачи () не душат механическое ускорение.
- Теплоемкость: Скорость накопления джоулева тепла в обмотках статора и силовых полупроводниках относительно скорости теплосъема шасси, ограничивающая длительные циклы нагрузки до вмешательства термического снижения номинала.
- Целостность электропитания: Переходная просадка напряжения, пиковая пропускная способность по току и всплески рекуперативной энергии на общей шине распределения постоянного тока при быстром разгоне и торможении.
Складской мобильный манипулятор, за которым следует эта книга, расходует все пять. С нагрузкой не более 368 kg и на пределе ходовой скорости 1.5 m/s (иллюстративно; см. Руководство для читателя) он несет 414 J кинетической энергии по проходам, которыми он делится с людьми.
Каждый бюджет превращается в предел, установленный на собранной машине в заявленных тепловых и электрических условиях. Первый из них — возраст измерения, на котором основана каждая команда; он отсчитывается от физического преобразования, до того как любой программный процесс получит данные.
Свежесть измерений
Программные бенчмарки часто сообщают задержку как время выполнения сети на акселераторе, но этот вычислительный срез — лишь один сегмент каузальной цепи раздела «Каузальная граница». Измерение устаревает с момента преобразования; важно его возраст в момент действия. Этот возраст охватывает интервал от момента, когда фотоны попадают на фотодиод или магнитный поток проходит через датчик Холла, до момента, когда обмотки двигателя создают момент, изменяющий ускорение звена. Если модель восприятия вычисляет положение препятствия за , но интегрирование камеры, считывание с датчика, транспорт, диспетчеризация очереди и время нарастания тока двигателя добавляют еще , физический возраст измерения в момент движения шарнира составляет . На протяжении всего этого окна физический мир продолжал развиваться.
↳ Ниже по потоку: Раздел «Оценка сквозь окклюзию» выводит, как долго сохраненная оценка остается действительной по мере устаревания ее измерения.
Отслеживание возраста измерения означает раскладку этого пути на восемь стадий («Задержки восприятие–исполнение и конвейер данных кремния»): экспозиция с отметкой времени в середине интегрирования; считывание с датчика по интерфейсу, подобному MIPI CSI-2; транспорт прямого доступа к памяти (DMA) в память хоста; буферизация ядром в очереди пользовательского пространства; вычисление модели; планирование операционной системы и межпроцессная диспетчеризация через границу процессоров; передача команды по полевой шине или почтовому ящику общей памяти; и отклик актуатора, когда привод создает поток в обмотках статора. В двухпроцессорной реализации путь идет от матрицы изображения через инференс на прикладном процессоре, почтовый ящик без блокировок и проверку разрешения на в микроконтроллере безопасности до переключения затворного драйвера и нарастания тока. Каждый этап потребляет срез общего бюджета времени.
Скорость изменения состояния мира определяет, как долго измерение остается действительным, прежде чем действие по нему внесет нетерпимую ошибку. Пусть — максимально допустимая ошибка отслеживаемого состояния, например угла шарнира или положения детали на конвейере, а — наибольшая достоверная скорость, с которой это состояние может меняться. Предельный срок свежести — верхняя граница возраста измерения, после которой управляющее действие на его основе становится недействительным; он задается неравенством
Для зрительного захватчика на сортировщике посылок, отслеживающего посылки с максимальной относительной скоростью при геометрическом допуске запаса , предельный срок свежести составляет . Если команда исполнения достигает двигателя по изображению, снятому назад, посылка сместилась на , превысив допуск по положению на и сорвав захват. Предельный срок относится к цели, которая продолжает двигаться, пока ее измерение устаревает, — например к посылке здесь или кружке на конвейере станции комплектации мобильного манипулятора. Для такой цели он ограничивает только вызванную движением ошибку, и только пока относительная скорость ограничена, а начальное наблюдение достоверно; ошибки сенсорики и оценки расходуют дополнительный допуск. Человек, стоящий в проходе, не двигается, пока наблюдение устаревает. База — двигается, поэтому возраст проявляется как расстояние, которое база проходит до торможения; раздел «Кинетический импульс» относит его на остановочный бюджет.
Задержки восприятие–исполнение и конвейер данных кремния: Восьмиступенчатая каузальная цепь от экспозиции до нарастания тока двигателя (панель a) и иллюстративный профиль задержки (панель b). Допуск сортировщика посылок при задает предельный срок возраста , поскольку неуправляемый ход превращает истекшее время в смещение со скоростью каретки. И медиана , и хвост уровня превышают его, что соответствует движению на и соответственно.
Инженеры часто вычисляют общую задержку, суммируя значения отдельных стадий, но квантиль суммы не равен сумме квантилей.1 Конкуренция за общую память и очереди ядра могут коррелировать задержки стадий, поэтому распределение полного возраста от восприятия до момента должно измеряться на интегрированной машине в заявленной нагрузке, и даже измеренный квантиль не является анализируемой границей, необходимой предельному сроку безопасности («Передача команд вовремя»).
Чтобы увидеть, как тайминг стадий отличается от сквозного возраста, рассмотрим профиль тайминга пути от камеры до шарнира под непрерывной нагрузкой инференса («Примерная декомпозиция задержки восприятие–исполнение»), оцененный относительно того же предельного срока .
| Стадия конвейера | Физический механизм / источник конкуренции | (ms) | (ms) | Max (ms) |
|---|---|---|---|---|
| 1–2. Экспозиция и считывание датчика | Экспозиция скользящего затвора с точкой отсчета в середине | |||
| 3–4. Транспорт на хост и DMA | Передача DMA по PCIe в память хоста | |||
| 5. Зрительный хребет и политика | Инференс на бортовом акселераторе (хвост из-за троттлинга памяти) | |||
| 6. Планирование ОС и IPC | Вытеснение ядром и диспетчеризация почтового ящика в микроконтроллер безопасности | |||
| 7. Передача по полевой шине | Детерминированный циклический обмен пакетами EtherCAT | |||
| 8. Нарастание тока актуатора | Переключение затворного драйвера и нарастание потока в статоре | |||
| Арифметическая сумма стадий | Сумма значений стадий в каждом столбце; не сквозной квантиль | 35.0 | 50.0 | 80.7 |
| Сквозной возраст | Системный профиль () | 35.0 | 46.2 | 80.7 |
Примерная декомпозиция задержки восприятие–исполнение: Тайминги на уровне стадий и системы показывают, почему арифметическая сумма квантилей стадий не является сквозным хвостом. в этом примере превышает предельный срок свежести сортировщика посылок .
Сумма по значениям стадий отличается от системного квантиля , и относительно предельного срока даже медиана оказалась бы поздней.
Действие по просроченным данным добавляет фазовое запаздывание в контур обратной связи и может возбудить дребезг, когда корректирующие моменты усиливают, а не гасят ошибки слежения,2 поэтому высокая частота инференса сама по себе не делает отклик своевременным. Система должна пронести аппаратную отметку времени от преобразования (используя IEEE 1588 gPTP3 или аппаратный захват строба на интерфейсе Ethernet PHY / MIPI CSI-24) через весь конвейер. Прежде чем применить команду политики, путь разрешения сравнивает возраст наблюдения с возрастом, который допускает его бюджет. Если возраст превышает этот предел, путь разрешения отклоняет устаревшее предложение и исполняет резервирование, чье торможение или удержание проверено в оставшемся физическом запасе Brooks, 1986.
На протяжении всего этого интервала восприятие–исполнение тело продолжает двигаться, неся импульс, который не может отменить ни одно программное прерывание.
Кинетический импульс
Загруженный мобильный манипулятор едет по проходу на пределе ходовой скорости 1.5 m/s. Человек выходит из-за торца стеллажа на расстоянии 1.10 m впереди и останавливается в проходе. ПО не может просто приостановить выполнение или мгновенно обнулить вектор скорости. База, манипулятор и ящики несут механический импульс, и для приведения этой массы в покой требуется рассеять кинетическую энергию на физическом расстоянии. Остановочный путь растет линейно с задержкой и квадратично со скоростью, и это различие задает ограничение скорости.
Расстояние от обнаружения опасности до нулевой скорости складывается из двух фаз: слепого хода и тормозного хода. Во время задержки до торможения машина проходит путь, описанный в разделе «Свежесть измерений». На протяжении этой задержки , которая длится от экспозиции кадра, показывающего опасность, до начала тормозной силы, актуаторы не прикладывают тормозной силы, и транспортное средство продолжает двигаться по прежней траектории со скоростью , которую оно имело в момент экспозиции кадра. Предполагая, что скорость остается постоянной в этом окне, слепой ход вычисляется как
Как только команда торможения доходит и актуаторы вступают в работу, тело входит в фазу торможения. Механическая работа тормозной силы на тормозном пути должна рассеять начальную кинетическую энергию машины, . Для машины массы , замедляющейся до покоя под действием постоянной тормозной силы , баланс работы и энергии дает Деля на массу и решая относительно расстояния, получаем кинематический тормозной ход Параметр — достоверное замедление, которое тело действительно способно развить против физической среды, а не теоретический пиковый номинал из технического описания актуатора. Это поддерживаемое отрицательное ускорение, которое механическая конструкция, шины и шестерни способны создать до потери сцепления (насыщение сдвигового проскальзывания шина–дорожное полотно), опрокидывания вперед или выхода силовой передачи в область пластической деформации.
Замкнутая форма предполагает постоянное замедление, мгновенное нарастание момента, нулевой уклон и жесткий контакт. Каждое из этих условий нарушается в железе: сила нарастает со временем, трение шины падает при проскальзывании, а конструкция деформируется, поэтому на уклонах или неуверенных полах модель недооценивает останов. Загруженные остановочные испытания в заявленных условиях дают консервативное низкохвостое замедление с неопределенностью и запасом, чтобы заменить идеализированный ; одна лишь выборочная квантиль не является жесткой нижней границей.
↳ Ниже по потоку: Неконтролируемый кинетический импульс прямо превращается в разрушающие ударные контактные нагрузки, анализируемые в разделе «Пределы передачи актуатора».
Разный характер слагаемых слепого хода и торможения делает скорость множителем пространственного риска («Остановочный путь складского манипулятора»); это масштабирование численно разбирает пример «Остановочный путь тела».
В неструктурированных средах машина не может отдать весь свой запас хода номинальной остановочной динамике. Отслеживание препятствий несет неопределенность оценки состояния, калибровка датчиков дрейфует со временем, а алгоритмы локализации вносят ошибку положения. Поэтому остановочный путь , который защищает система, должен включать границу неопределенности пространственной локализации и минимальный физический запас :5
Сумма — фиксированная пространственная накладная часть, которая должна оставаться незанятой, когда тело приходит в полный покой.
Динамический остановочный путь
Динамический остановочный путь () — минимальный физический запас, необходимый, чтобы привести движущуюся массу к полной останове из ее скорости в момент первой съемки опасности. Он складывается из хода во время задержки до торможения , которая длится от экспозиции кадра, показывающего опасность, до начала тормозной силы; тормозного хода под достоверным замедлением ; а также границы локализации и защитного запаса , как утверждает «остановочный путь тела».
- Значение: Количественно определяет неоспоримый физический пространственный запас, который программные предложения должны преодолеть до того, как может быть дано разрешение на движение.
- Отличие: В отличие от статического геометрического запаса до препятствия в классической кинематике, динамический остановочный путь растет квадратично со скоростью (), поэтому удвоение скорости учетверяет слагаемое торможения независимо от частоты контура управления.
- Типичная ловушка: Считать, что команда аварийного останова мгновенно останавливает машину, игнорируя, что движущаяся масса несет кинетическую энергию (), для рассеивания которой нужны конечные механическая работа и тормозной путь.
Остановочный путь складского манипулятора: Каждый столбец раскладывает останов на слепой ход во время задержки до торможения, тормозной ход под достоверным замедлением и фиксированную накладную часть границы локализации и защитного запаса относительно свободного расстояния до торца стеллажа 1.10 m. Случай 1 учитывает только слагаемые, принадлежащие телу, на пределе ходовой скорости 1.5 m/s и останавливается в пределах 742.5 mm. Случай 2 добавляет полную задержку до торможения 133.6 ms, которую собирают последующие главы: путь аренды раздела «Многотактные ритмы» плюс возраст наблюдения раздела «Сенсорное восприятие»; на 912.9 mm он еще помещается, хотя последующие главы добавят профиль остановки и границу слежения. Случай 3 поднимает скорость до гипотетических 2 m/s, выше предела хода, при той же задержке; тормозной ход растет на 77,8 %, и останов на 1 417.2 mm нарушает свободное расстояние.
Для неподвижного препятствия, обнаруженного на расстоянии , — например человека, стоящего у торца стеллажа, или упавшего ящика, — моделируемый остановочный путь должен помещаться в свободный проход, . Это условие, которое принцип «Закон необратимости» накладывает на каждую остановку, теперь с каждым слагаемым как пределом этой машины. При консервативных границах тайминга и торможения путь разрешения может решить это неравенство относительно потолка для новых предложений скорости . Положительный корень квадратного неравенства6 имеет вид: Когда дальность датчика ухудшается или препятствие входит в траекторию, сжимается и снижает потолок, если доступное расстояние остается неотрицательным. При нулевом доступном расстоянии потолок равен нулю. Однако если машина уже движется, нулевое задание не может убрать ее текущий остановочный путь; отрицательное доступное расстояние означает, что условие допуска уже нарушено и требуется аварийный отклик.
Остановочный путь тела
Задача: Складской мобильный манипулятор с нагрузкой не более
368 kgедет к торцу стеллажа на пределе ходовой скорости1.5 m/s, а человек стоит в проходе на свободном расстоянии1.10 m. Телу принадлежат три слагаемых в уравнении «остановочный путь тела»: тормозной ход под достоверным замедлением2 m/s²(загружено, сухой пол); фиксированная накладная часть границы локализации50 mmи защитного запаса100 mm; а также начало торможения20 ms, которое входит в . Какую часть свободного расстояния расходуют эти слагаемые, какую скорость они одни позволили бы, и как меняют ответ скорость и добавленная задержка?1. Тормозной ход: Масса сокращается в балансе работы и энергии, поэтому
414 Jкинетической энергии загруженной машины определяют, сколько тепла должны поглотить тормоза, но не то, как далеко проедет база:$$d_{\text{brake}} = \frac{v^2}{2 a_{\text{brake}}} = \frac{(1.5 m/s)^2}{2 \times 2 m/s²} = 562.5 mm$$Остановочный путь пока составляет562.5 mm.2. Фиксированная накладная часть:
$$\delta_{\text{loc}} + \delta_{\text{margin}} = 50 mm + 100 mm = 150 mm$$Текущий итог возрастает до712.5 mm.3. Начало торможения: Между командой торможения и первой тормозной силой база все еще движется на полной скорости:
$$v\,T_{\text{act}} = (1.5 m/s) \times (20 ms) = 30 mm$$$$d_{\text{stop}}\big|_{\text{body}} = 562.5 mm + 150 mm + 30 mm = 742.5 mm$$Собственные слагаемые тела оставляют357.5 mmиз1.10 mсвободного расстояния на задержки, которыми тело не владеет.4. Потолок только для тела: Решая «остановочный путь тела» относительно скорости при :
$$v_{\max} = -a_{\text{brake}} T_{\text{act}} + \sqrt{(a_{\text{brake}} T_{\text{act}})^2 + 2 a_{\text{brake}} (D_{\text{clear}} - \delta_{\text{loc}} - \delta_{\text{margin}})} \approx 1.91 m/s$$Одно тело позволило бы1.91 m/s, выше предела хода. Разделы «Нервная система» и «Сенсорное восприятие» добавляют слагаемые задержки, которые расходуют часть этого запаса.5. Скорость против задержки: При гипотетических
2 m/s, выше предела хода, одно только слагаемое торможения растет до1 000 mm, на 77,8 % больше, чем на пределе хода. На пределе хода каждые дополнительные100 msзадержки до торможения добавляют150 mm.Эмпирическое правило архитектора: Никогда не повышайте задание скорости, не решив заново квадратное уравнение запаса.
Регулятор динамического потолка скорости
Входы:
- : Расстояние до обнаруженного препятствия вдоль вектора движения .
- : Консервативно ограниченная задержка от восприятия до торможения, включая отклик актуатора .
- : Консервативная нижняя граница доступного тормозного замедления при заявленной нагрузке и покрытии .
- : Граница неопределенности локализации и физический запас .
- : Текущая скорость движения вперед .
- : Кандидатное задание скорости движения вперед, предлагаемое нейронной политикой .
Выход:
- : Ограниченный запрос скорости в пределах моделируемого потолка .
Проверка допуска (пока текущее состояние осуществимо):
- Моделируемый остановочный путь: для неподвижного препятствия.
- Неотрицательность: .
Шаги алгоритма:
Вычислить доступное физическое тормозное расстояние:
Если , отклонить предложение; удерживаться в нуле, если машина неподвижна, или запросить максимально доступный снижающий риск тормозной отклик, если она движется, и пометить потерю запаса. Иначе проверить до допуска следующего предложения. Если эта проверка не проходит, запросить тот же аварийный отклик и пометить потерю осуществимости. Нулевое задание скорости не способно немедленно остановить существующее движение.
Вычислить дискриминант квадратного уравнения:
Найти положительный физический корень как динамический потолок скорости:
Принудительно применить динамическое ограничение к предложению политики:
Вернуть .
Квадратное уравнение превращает фиксированное ограничение скорости в зависящий от запаса потолок для новых предложений, но этот потолок сохраняет осуществимость остановки лишь если машина входит в каждый цикл управления внутри осуществимого множества и способна приложить предполагаемую тормозную силу в пределах ограниченной задержки. Функции барьера управления (CBF-QP) Ames et al., 2019 распространяют эти рассуждения на более общие системы при корректной динамике, оценках состояния, границах тайминга и осуществимых полномочиях управления; одномерный корень здесь — упрощенная кинематическая проверка допуска. Если дальность ухудшается или задержка превышает свою границу, путь разрешения должен снизить скорость до исчерпания запаса или исполнить определенное снижающее риск резервирование.
Обеспечение этого ограничения скорости предполагает, что путь разрешения может потребовать замедления всякий раз, когда этого требует безопасность. Однако командование быстрым замедлением требует внезапного большого механического момента от приводных двигателей и редукторов. Если путь разрешения запросит ступень момента, превышающую допуск бюджета пропускной способности актуатора, механическое тело не сможет обеспечить требуемое замедление, что делает модельный потолок остановки недействительным и создает риск столкновения.
Пределы передачи актуатора
Электромеханический актуатор не возвращает ошибку. Когда политика командует ступень момента сверх того, что может создать магнитное поле, или разрывное ускорение, которое зубья передачи не способны выдержать, актуатор потребляет от силового каскада максимальный фазовый ток, крутит свои валы и нагружает зубья, в то время как регистры команд продолжают сообщать о номинальном исполнении. Актуатор может повредить себя, вместо того чтобы сообщить об ошибке.
Контракт актуатора нельзя задать в терминах цифровых заданий. Его необходимо записать на физическом интерфейсе в терминах отдаваемой силы, момента или массового расхода, задержки отклика, пределов скорости нарастания и ошибки выхода. Цифровое задание — всего лишь программный запрос; физическое действие ограничено индуктивностью обмотки, потолками напряжения шины, магнитным насыщением и упругостью передачи.
Задержка между командой момента и его отдачей начинается в обмотках статора. Поскольку катушки обладают индуктивностью, ток, а вместе с ним и момент нарастают по электрической постоянной времени двигателя, а не мгновенно (раздел «Системы и оборудование» выводит RL-отклик). Политика, предполагающая мгновенное появление момента, не учитывает это нарастание, поэтому возникает неуправляемый дрейф, пока манипулятор не сможет скорректировать курс или затормозить.
Векторное управление (FOC) синтезирует этот момент на выделенном кремнии привода с частотой .7 Момент пропорционален току (), но скорость нарастания тока ограничена запасом напряжения шины: По мере вращения ротора двигатель действует и как генератор, чья противо-ЭДС () противодействует источнику питания. На низкой скорости запас позволяет быстрое нарастание тока и полный пиковый момент. По мере приближения к базовому номиналу противо-ЭДС съедает запас, и инвертор больше не может протолкнуть ток через индуктивность обмотки при любом коэффициенте заполнения, поэтому политика, командующая резкое ускорение на высокой скорости, не получает запрошенной ступени момента.
Запас ограничивает скорость нарастания тока; электроника привода ограничивает то, сколько тока вообще может протекать. Силовые инверторы принудительно устанавливают максимальный потолок тока , чтобы защитить переключающие транзисторы от теплового разрушения и предотвратить ферромагнитное насыщение сердечника статора. Когда двигатель приводит механическую передачу с передаточным отношением и коэффициентом полезного действия , потолок отдаваемого выходного момента равен:
Ограничение отвечает на вопрос, оставленный открытым остановочным бюджетом: способны ли приводы отдать , когда этого требует путь разрешения, — и отвечает молча. Запрос торможения выше отсекается на силовом каскаде без какого-либо отчета выдавшему его ПО, поэтому база замедляется мягче, чем предполагал остановочный путь, и останавливается за расчетной границей. Таким образом, достоверное замедление действительно только при тех пределах тока привода, которые были настроены в момент его измерения, и изменение прошивки аннулирует его до повторного измерения; эту зависимость раздел «Замер пределов машины» записывает в условия своего протокола пределов.
Лишь часть этого ограниченного тока создает момент, и векторное управление выделяет ее сменой системы координат. В двигателе с поверхностными магнитами момент создает только ток статора, поле которого перпендикулярно потоку ротора, поэтому привод считывает угол ротора с энкодера и поворачивает три измеренных фазовых тока в связанную с ротором систему , где ток квадратурной оси создает момент, а ток прямой оси , выровненный по потоку, не создает его. Нажим вниз на педаль велосипеда в верхней точке хода ведет себя так же, нагружая шатун, но не вращая его. Контроллер регулирует по команде момента, удерживает около нуля ниже базовой скорости и записывает результирующее напряжение в таймеры инвертора с дополнительной широтно-импульсной модуляцией.8 Вне режима ослабления поля, где привод намеренно вводит отрицательный для компенсации противо-ЭДС выше базовой скорости, ток прямой оси нагревает обмотку, не двигая шарнир, и расходует тепловой запас («Тепловые циклы нагрузки») без всякого момента.
Передача добавляет механическую асимметрию. Шарниры с высоким передаточным отношением используют отношения от до , чтобы получить высокий момент от компактного двигателя; это увеличивает отдаваемый момент в раз, но вращает ротор в раз быстрее шарнира. Нагрузка, вращающая выход в обратном направлении, тоже должна вращать ротор в раз быстрее, а поскольку кинетическая энергия масштабируется как квадрат скорости (), инерция ротора противодействует ускорению шарнира, умноженной на квадрат передаточного отношения («Приведенная инерция ротора»).
Через передачу 100:1 ротор массой 50 g выглядит для шарнира как маховик массой 11.2 kg радиусом 10 cm Lynch and Park, 2017. Препятствие, ударяющее захват, должно разогнать этот маховик через зубья передачи, корни которых могут треснуть от удара («Ударный разлом зуба передачи»).
Приведенная инерция ротора
Приведенная инерция ротора () — кажущаяся инерция вращения ротора актуатора на выходе шарнира со стороны нагрузки, масштабируемая как квадрат передаточного отношения:
- Значение: В передачах с высоким отношением () она доминирует в кажущейся нагрузке, ограничивая ускорение шарнира и определяя ударные нагрузки.
- Отличие: В отличие от инерции ротора или инерции звена , она действует через жесткость и люфт передачи, поэтому обратное вращение со стороны среды встречает барьер .
- Типичная ловушка: Игнорирование приведенной инерции ротора при моделировании столкновений и контакта. При внезапном ударе препятствия приведенная кинетическая энергия вращающегося ротора концентрирует напряжение прямо на зубьях передачи раньше, чем ток привода может быть прерван.
Совместное уравнение движения для шарнира с передачей, вращающего инерцию нагрузки моментом двигателя , имеет вид: Дифференцирование по передаточному отношению показывает, что пик ускорения шарнира достигается при отношении согласования инерций: Ниже ускорение шарнира ограничено моментом. Выше него дополнительная передача уменьшает отдаваемое ускорение, поскольку двигатель тратит большую часть момента на разгон собственного ротора, а не звена.
Поскольку двигатель не может мгновенно отдать момент для разгона этой усиленной инерции, передача действует как механический фильтр нижних частот, размазывая резкую команду в запаздывающий отклик, чье запаздывание разъедает устойчивость обратной связи и возбуждает структурный резонанс. Поэтому путь управления формирует запрашиваемое движение квинтическими сплайнами или ограничителями скорости по S-кривой, чтобы удержать ускорение шарнира в пределах токовых ограничений и ограничений по напряжению железа Lynch and Park, 2017.
Передачи также вносят люфт и податливость, разъединяющие двигатель и нагрузку. При реверсе вал двигателя проходит механический зазор, прежде чем зубья вступят в зацепление с противоположной боковой стороной, а крутильная податливость зубьев и гибких венцов («Узел волновой передачи») превращает звено в упругую систему, а не жесткий стержень Spong, 1987; его модель гибкого шарнира выводит раздел «Динамика гибких шарниров и сингулярные возмущения». Разрывные ступени момента возбуждают эту упругость и могут привести передачу к дребезгу предельного цикла. Энкодер со стороны двигателя скрывает мертвую зону: двигатель вращается плавно, а выход стоит на месте, поэтому положение шарнира отклоняется от на зависящую от нагрузки ошибку . Контроллер видит непрерывное слежение, пока рабочий орган колеблется, а затем получает импульсный удар, когда зубья схлопываются; повторяющиеся удары заканчиваются усталостным разрушением («Ударный разлом зуба передачи»).
Импедансное управление для безопасности контакта
Если контроллер ведет манипулятор к целевой координате в жесткой среде (жесткость контакта ), ошибка положения поднимает контактную силу до за миллисекунды, пока инвертор гонит максимальный ток против препятствия. На мобильном манипуляторе захват, открывающий дверцу клетки с пружинным замком, встречает ударную планку жесткостью
4.0 × 10⁵ N/m, и с началом контакта сила растет как :12 N/msпри ограниченном сближении0.03 m/sи40 N/msпри0.10 m/s— против предела замка100 N.Импедансное управление Hogan, 1985 рассматривает контакт ни как чистое управление положением, ни как чистое управление силой. Среда ведет себя как проводимость, принимая силу и уступая движением, поэтому манипулятор управляется как импеданс, принимая отклонения движения и создавая податливую силу (). Приводной контроллер шарнира преобразует задания положения в виртуальную пружинно-демпферную систему: После этого шарнир ведет себя как программируемая подвеска с жесткостью и демпфированием , уступая при контакте и ограничивая силу достаточно долго, чтобы ПО более высокого уровня обнаружило контакт и перепланировало движение.
Узел волновой передачи: Комплект деталей роботизированной волновой передачи: (1) эллиптический волновой генератор с гибкими шарикоподшипниками, (2) гибкий чашечный венец с наружными зубьями, (3) жесткий круговой венец с внутренними зубьями и (4) инвариант систем передачи, определяющий приведенную инерцию ротора (). Упругая деформация обеспечивает нулевой начальный люфт при высоких передаточных отношениях ( до ), но вносит крутильную податливость, гистерезис и уязвимость зубьев к усталости при внезапных ударных нагрузках.
Ударный разлом зуба передачи при высокой приведенной инерции: Макроразрушение зуба высокомоментной передачи при циклических испытаниях в Исследовательском центре NASA Glenn: [①] целая боковая поверхность зуба, несущая непрерывный контакт привода; [②] концентрация напряжения в галтели корня зуба (), где циклическое растяжение инициирует микротрещины; [③] срезанный фрагмент зуба с зернистыми полосами усталости и внезапным сколом при ударной нагрузке; и [④] приведенная инерция ротора (). Высокое передаточное отношение снижает обратимость и может повысить напряжение в корне зуба при ударе; податливость и путь контакта определяют, сколько энергии приходится на каждый отдельный зуб.
Выбор передачи — это компромисс между непрерывной плотностью момента и обратимостью, и таблица «Компромиссы передачи актуатора» противопоставляет обратимый и высокоредукторный концы этого диапазона. Циклоидальные редукторы с отношениями от до находятся между этими концами и переносят удар лучше, чем волновая передача.
| Передача | Передаточное отношение () | Приведенная инерция () | Следствие для обученных политик |
|---|---|---|---|
| Квазипрямой привод (QDD) | () | (низкая) | Обратимый; ток двигателя ощущает контактный момент; переносит удар. Прямой привод () — его предел, с наименьшей плотностью момента. |
| Волновая передача (Harmonic Drive) | () | (экстремальная) | Нулевой начальный люфт и компактность; крутильно податлив и хрупок при внезапном сдвиге зубьев. |
Компромиссы передачи актуатора: Передаточное отношение (), масштабирование приведенной инерции ротора () и следствие для обученных управляющих политик на обратимом и высокоредукторном концах диапазона.
Этот архитектурный водораздел по передаточным отношениям определяет механическую прозрачность и огибающую удельного момента воплощения («Динамика актуатора»). В шарнирах с прямым приводом (), таких как новаторский CMU Direct Drive Arm Asada and Kanade, 1983, приведенная инерция ничтожна (), что устраняет люфт и обеспечивает совершенную механическую обратимость. Однако поскольку электродвигатели создают момент пропорционально объему меди статора и радиусу зазора, актуаторы с прямым приводом редко превышают непрерывной удельной плотности момента, нагружая манипуляторы тяжелыми, громоздкими звеньями. И наоборот, классические промышленные манипуляторы (такие как KUKA LBR iiwa или Universal Robots UR5) и высоконагруженное промышленное оборудование применяют высокоредукторные волновые или циклоидальные редукторы (). Высокая передача повышает удельную непрерывную плотность момента до , но накладывает экстремальный штраф приведенной инерции ротора (), делая шарниры практически необратимыми. При неожиданном контакте или столкновении с препятствием кинетическая энергия быстро вращающегося ротора не может провернуть двигатель; вместо этого напряжение концентрируется в галтели корня зуба, создавая риск катастрофического среза зуба раньше, чем цифровые контуры момента смогут вмешаться.
Современные динамичные платформы физического ИИ разрешают этот тупик через квазипрямой привод (QDD) Seok et al., 2015; Wensing et al., 2017; Katz et al., 2019. Сочетая бескаркасные вентильные двигатели с внешним ротором высокой плотности момента с низкими одноступенчатыми планетарными редукторами (), архитектуры QDD ограничивают множитель приведенной инерции величиной ниже . Это сохраняет механическую прозрачность, позволяя фазовым токам двигателя, измеряемым на инверторе, служить точными прокси контактной силы с низкой задержкой — свойству, именуемому проприоцептивным восприятием. Как показывают вехи четвероногих и гуманоидных платформ, включая MIT Cheetah 3, MIT Mini Cheetah, Unitree Go1/H1 и Boston Dynamics Electric Atlas, актуаторы QDD достигают пиковой прерывистой плотности момента до , безопасно поглощая ударные толчки при взрывных динамических маневрах.
Динамика актуатора: удельная плотность момента в зависимости от передаточного отношения в роботизированных телах: Компромисс между отдаваемой механической плотностью момента (непрерывный тепловой номинал против пикового прерывистого всплеска) и множителем приведенной инерции ротора (, правая ось, логарифмическая шкала) в разных режимах передачи. Режим I: прямой привод (, обратимый на 100 %, низкая плотность момента , например CMU Direct Drive Arm 1983, Maxon EC90). Режим II: квазипрямой привод (QDD) / оптимум проприоцепции (, , непрерывно , пик до , прозрачное сенсорное восприятие контакта по току двигателя, например MIT Cheetah 3, Mini Cheetah, Unitree Go1/H1, Boston Dynamics Electric Atlas). Режимы III и IV: высокоредукторные жесткие промышленные (Harmonic/Cycloidal) и последовательно-упругие актуаторы (, , необратимые, хрупкие к ударам, например UR5, Franka Emika Panda, KUKA LBR iiwa, ANYdrive, Nabtesco RV).
Манипулятор, доминирующий контактами, либо использует обратимые актуаторы квазипрямого привода (QDD) Seok et al., 2015; Wensing et al., 2017, либо остается за пределами ограничений момента реального времени и импедансного управления.
При любом выборе сенсорное восприятие положения или момента со стороны нагрузки вскрывает расхождение с энкодером двигателя, создаваемое люфтом или поврежденным зубом, и тогда путь разрешения может отклонить дальнейшие команды силы и войти в определенное резервирование.
↳ Ниже по потоку: Циклы усталости механического редуктора задают пределы эффективности выборки для обучения с подкреплением в разделе «Обучение пробами».
Работа вблизи токовых и моментных пределов имеет и термодинамическую цену. Каждый ампер, разгоняющий инерцию ротора или поддерживающий пиковый момент, рассеивает в меди, и это тепло накапливается в тепловой массе актуатора, ограничивая, как долго может длиться пиковый момент до разрушения изоляции.
Тепловые циклы нагрузки
Удержание неподвижной нагрузки на полном вылете создает обманчивые требования к сочлененному манипулятору, подобному манипулятору мобильного робота. Поддержание статической нагрузки против гравитации требует непрерывного фазового тока через обмотки статора, активно превращая электрическую энергию в накапливающееся тепло. Тепло приходит за секунды и уходит за минуты, делая цикл нагрузки первостепенной проектной переменной.
Импульс можно перенаправить, а поток гаснет за миллисекунды после размыкания ключа, но у тепла нет быстрого выхода. Теплоемкость интегрирует потери мощности во времени и задает два материальных порога («Пробой изоляции обмотки статора»). Изоляция обмоток классифицируется по IEC 60085: класс F — до непрерывной локальной температуры , класс H — до ; выше номинала эмаль размягчается, пока соседние витки не замкнут и не разрушат фазную обмотку. Магниты ротора из неодима, железа и бора () необратимо размагничиваются между и в сильных полях статора.
Пробой изоляции обмотки статора: Разрез поврежденного статора электродвигателя с показанными критическими тепловыми подсистемами: (1) медные фазовые обмотки (основной источник тепла ), (2) диэлектрические изоляторы пазов и порог пробоя изоляции Nomex (, класс F), (3) ламинированный железный сердечник статора ( и путь теплосъема ) и (4) воздушный зазор расточки ротора и тепловые пределы магнитов (). (Источник: Industrial Electromechanical Diagnostics Archive, CC BY 4.0).
Тепловыделение следует за током: джоулевы потери вкладывают в медь статора. Эта мощность делится между нагревом тепловой массы обмотки и теплопроводностью наружу — к корпусу и окружающему воздуху (раздел «Системы и оборудование» интегрирует тепловое уравнение и выводит стационарный режим).
Теплоемкость и тепловое сопротивление ведут себя как протекающее ведро. Джоулевы потери льются внутрь, тепловая масса меди и железа статора задает объем ведра, а — слив, причем большее сопротивление сужает его. Всплеск в несколько секунд быстро поднимает уровень, но переживается, пока он остается ниже номинала изоляции, тогда как длительный удерживающий момент поднимает уровень до равенства притока и оттока, и если это равновесие лежит выше номинала, эмаль выходит из строя. Поскольку тепловая постоянная времени имеет порядок минут, а нагрев действует за секунды, теплосъем фильтрует потери мощности как фильтр нижних частот, а стационарная температура определяется средними потерями и тепловым сопротивлением.
Политики, обученные в симуляции, оптимизируют награды, в которых момент — мгновенная бесплатная переменная, поэтому они могут неограниченно долго удерживать тяжелую нагрузку, ужесточать шарнир встречным моментом или дребезжать на границе контакта без последствий. На железе длительный ток нагревает обмотку с начальной скоростью до того, как теплопроводность установит какое-либо равновесие. Положительный температурный коэффициент меди () усугубляет цену. От 20 °C до инженерного потолка 140 °C сопротивление фазы возрастает на 47,2 % согласно , поэтому удержание того же момента () рассеивает на 47,2 % больше мощности именно тогда, когда охлаждение наименее эффективно, а добавленное тепло вновь повышает сопротивление.
Тепловые номиналы технических описаний оптимистичны, потому что измерены на двигателе в идеальных условиях, установленном на большой радиатор в свободном воздухе при или . Установленный в герметичном шасси рядом с силовой электроникой, аккумуляторными блоками и другими шарнирами, двигатель теряет конвективный поток воздуха, что повышает , а соседние нагрузки могут поднять его местную окружающую температуру до – прежде, чем его собственные катушки понесут ток. Поэтому тепловые запасы должны планироваться по постоянным нагрева и охлаждения, измеренным с закрытым кожухом и соседними нагрузками на уровне их потребления .
↳ Ниже по потоку: Телеметрия реального времени для бюджетов тепловой целостности и целостности электропитания передается детерминированными полевыми шинами, анализируемыми в разделе «Передача команд вовремя».
Поскольку теплоемкость интегрирует мощность во времени, номинал пикового момента9 или пикового тока бессмыслен без четырех параметров: начальной температуры обмотки , допустимой длительности , окружающей температуры и времени восстановления . Актуатор, способный создать троекратный непрерывный момент, удерживает его лишь пока интеграл остается в запасе ниже предела изоляции; от холодной обмотки это может длиться десятки секунд, а от прогретой — лишь часть этого времени («Переходное тепловое накопление: холодный против…»).
Переходное тепловое накопление: холодный против горячего пуска
Шарнир плеча манипулятора имеет сопротивление обмотки
1.2 Ω, сосредоточенную теплоемкость120 J/Kи установленное тепловое сопротивление2.5 K/W; он работает в закрытом объеме при40 °Cс изоляцией класса F, номинированной на155 °C. Тепловая постоянная времени равна300 s.Задача: Как начальная температура обмотки меняет длительность всплеска с троекратным номинальным током до достижения предела изоляции?
Расчет:
- Непрерывное равновесие: При
5 Aобмотка успокаивается на115 °C, ниже предела.- Пиковый всплеск: При
15 Aрассеяние возрастает в девять раз до270 W, чья асимптота715 °Cлежит далеко выше предела.- Горизонты выживания: При время достижения предела равно что дает
56.0 sот холодного пуска при окружающей температуре и20.7 sот прогретого пуска при .Результат: Прогретый шарнир удерживает всплеск на 63,1 % меньше, чем холодный, поэтому пиковый момент нельзя планировать без отслеживания тепловой истории.
Для повторяющихся циклов с периодом инженерный потолок 140 °C задает потолок циклово-средней мощности 40 W. При пиковом рассеянии в течение и нулевом в течение этот фильтр по средней мощности ограничивает коэффициент нагрузки условием
которое здесь равно 14,8 %, поэтому всплеск 3 s требует восстановления 17.3 s. Среднее не ограничивает самый горячий момент. В модели первого порядка с фиксированным сопротивлением периодический пик подчиняется соотношению
и отфильтрованный график достигает 142.7 °C, выше потолка, еще до того, как рост добавит свое. Фильтрация по средней мощности оптимистична, и график всплесков принимается только относительно переходной траектории локального перегрева. Раздел «Рабочая область момента и скорости двигателя» различает непрерывный режим и прерывистый периодический режим , чье пиковое ускорение зависит и от начальной температуры, и от времени охлаждения.
Рабочая область момента и скорости двигателя: Плоскость момент–скорость синхронного двигателя с постоянными магнитами, разделяющая непрерывный режим в тепловом равновесии и прерывистый периодический режим при пиковом ускорении, а рядом — траекторию экспоненциального теплового накопления при пиковых всплесках и проводящего охлаждения при восстановлении. Тепловые пределы обмотки ограничивают устойчивый цикл нагрузки, а не пиковый ток инвертора.
Поэтому микроконтроллер безопасности ведет тепловой наблюдатель, интегрирующий измеренный фазовый ток в оценку температуры локального перегрева. Когда оценка пересекает потолок, наблюдатель снижает номинал токовых пределов, а если предел нарушен, накладывает вето на политику тепловым отключением до диэлектрического пробоя. Статическое удержание показывает, почему наблюдатель должен моделировать обратную связь по сопротивлению меди («Удерживающий момент и термическое снижение номинала»).
Удерживающий момент и термическое снижение номинала
Локоть манипулятора удерживает
42.5 N·mв заторможенном состоянии () через циклоидальный редуктор50:1 (0.85). Его двигатель имеет0.10 N·m/A, холодное сопротивление0.80 Ωпри20 °Cи1.80 K/Wс пределом класса F155 °C, внутри невентилируемой конечности при40 °C.Задача: Поскольку сопротивление меди растет с температурой, на чем успокоится заторможенная обмотка и какой удерживающий момент термически устойчив?
Расчет:
- Ток при заторможенном роторе:
1 N·m, поэтому10 A, а холодное рассеяние равно80 W.- Тепловой разгон: При стационарный рост удовлетворяет условию что вычисляется как
155.320.5659, поэтому357.8 K, и обмотка установилась бы около397.8 °C, далеко за пределами своего номинала.- Снижение номинала: На пределе допустимый нагрев составляет
115 K, поэтому поддерживаемое рассеяние равно63.89 W. При горячем сопротивлении1.224 Ωэто позволяет7.22 Aи удержание30.7 N·m.Результат: При удержании без управления простой гонит обмотку к
397.8 °C, и соблюдение номинала изоляции требует снижения номинала на 27,8 % — с42.5 N·mдо30.7 N·m. Непрерывное удержание против гравитации — удел фрикционных тормозов или противовесов, а не тока заторможенного ротора.
Токовые импульсы, порождающие эти тепловые нагрузки, нагружают и вышестоящее электропитание, перенося бремя с тепла в меди на переходный ток силовой шины.
Целостность электропитания
Когда мобильный манипулятор резко уворачивается, чтобы избежать столкновения, каждый приводной двигатель, инвертор шарнира и ускоритель инференса одновременно требуют пикового тока от одной шины распределения постоянного тока. В симуляции ток течет от идеализированного источника. На железе отдача ограничена конечной емкостью, сопротивлением источника и стабильностью переходного напряжения. Машина, теряющая питание посреди движения, отказывает физически; электропитание — общий ресурс.
Просадка шины, рекуперативное перенапряжение и тепловое накопление — проявления одной ограниченной энергетической сети в разных масштабах времени. Из трех явлений напряжение меняется быстрее всего — за микросекунды или миллисекунды — всякий раз, когда потребность в токе превышает то, что источник способен отдать в этот момент. Вычисления, сенсорика и инверторы двигателей питаются от общей шины, поэтому когда политика командует согласованные ускорения нескольких шарниров, сумма их токов меняет напряжение, подаваемое на каждый узел машины.
Источник не может отдать произвольную ступень тока. Каждая шина имеет ненулевое сопротивление источника,10 равное сумме внутреннего сопротивления аккумулятора и сопротивлений жгутов, соединителей и защитных выключателей, а накопительные конденсаторы буферизуют только высокочастотные переходные процессы локально. Поэтому быстрая ступень суммарного тока просаживает шину сразу по трем каналам: через резистивное падение на , индуктивный выброс на индуктивности жгута и разряд локальных конденсаторов (раздел «Системы и оборудование» выводит переходную просадку). Если просадка пересекает порог блокировки по пониженному напряжению, супервизорная электроника выдает сброс по просадке питания и роняет машину посреди движения.
Этот сброс превращает электрический отказ в механический. Супервизоры напряжения тянут линию сброса микроконтроллеров и затворных драйверов, часы останавливаются, конфигурации регистров исчезают, а шины связи переходят в неопределенное состояние. Команда ускорения, выданная прямо перед сбросом, остается физически активной до коллапса каскада затворного драйвера. Если драйвер переходит в неопределенное состояние, фазовый ток прекращается, момент падает до нуля, и тело накатывается по гравитации и инерции на детали или жесткие упоры. Если же он замыкает нижние ключи для динамического торможения, противо-ЭДС () создает немедленный жестокий контрмомент, рвущий механику на пределах шарниров.
Снятие питания — неконтролируемый переход состояния, а не автоматический возврат к безопасности. Отключение питания оставляет актуатор в одном из трех обесточенных состояний: свободный накат, динамическое торможение замыканием фаз или механическое торможение с пружинным включением, и каждое принудительно обеспечивает различное механическое поведение. Электромеханическому фрикционному тормозу требуется от 30 ms до 80 ms, чтобы механическая пружина преодолела затухание магнитной катушки и ввела фрикционные накладки; все это время гравитация разгоняет поднятый манипулятор вниз. Динамическое торможение замыканием фаз действует как вязкое демпфирование жидкостью, создавая сопротивление пропорционально скорости, но давая нулевой удерживающий момент при нулевой скорости. Свободный накат просто позволяет гравитации разгонять неограниченные шарниры без всякого сопротивления. Траекторию, по которой машина идет после снятия питания, необходимо измерять под полной механической нагрузкой, а не выводить из электрических схем. Выбор того, в какое безопасное резервное состояние должна перейти машина, относится к архитектуре системной безопасности раздела «Обеспечение безопасности», но физическая динамика обесточенного шарнира — неизменяемые механические ограничения тела.
Замедление ведет шину к противоположной границе — перенапряжению, — поскольку запасенная в движущейся массе кинетическая энергия возвращается в нее. Торможение превращает механическую энергию в электрическую, которую сеть питания должна поглотить или рассеять. Если источник не способен принять обратный ток, рекуперативная энергия может зарядить локальное звено постоянного тока согласно (см. «Системы и оборудование»). Это соотношение дает конечную точку для чисто конденсаторного случая при идеализированных допущениях, а не форму кривой напряжения. Защита должна отвести энергию до того, как шина превысит номиналы инвертора и преобразователя.11
Целостность электропитания — архитектурное ограничение. Проект задает согласованные бюджеты мощности и пределы скорости нарастания тока для акселераторов и приводов, путь разрешения арбитрирует одновременные многоосевые ускорения так, чтобы их переходные процессы не накладывались, а тормозные шунты защищают инверторы от рекуперативной обратной связи при аварийных остановах. Пример «Просадка напряжения шины и перенапряжение рекуперации» разбирает обе половины этого бюджета — просадку шины и рекуперативный всплеск остановки — на аккумуляторной шине мобильного манипулятора.
Совместная ступень тока инференса и привода помещается в запас шины при полном заряде; от разряженного аккумулятора одно лишь устойчивое омическое падение пересекает отсечку регулятора.
Просадка напряжения шины и перенапряжение рекуперации
Аккумулятор мобильного манипулятора питает одну номинальную шину управления
24 V, на которой работают инверторы привода, приводы шарниров манипулятора и регуляторы точки нагрузки, питающие его прикладной процессор.Задача: При совпадающей ступени тока от всплеска инференса и приводных двигателей, а затем останове с предела хода, остается ли шина в пределах рабочих диапазонов регуляторов и инверторов двигателей?
Расчет:
- Параметры:
- Масса машины, скорость хода и достоверное замедление:
368 kg(верхняя граница, полный стеллаж ящиков),1.5 m/s,2 m/s²- Характеристики шины:
24 V, сопротивление жгута60 mΩ, паразитная индуктивность2 μH, емкость накопительного звена22 000 μF- Рабочие пределы: отсечка регулятора точки нагрузки
18 V, пробивное напряжение MOSFET инвертора40 V- Переходная просадка:
- В качестве иллюстративной совпадающей нагрузки два приводных двигателя и приводы шарниров манипулятора добавляют
66 A, а прикладной процессор добавляет4 Aна той же шине. Их суммарная ступень составляет70 Aза0.5 ms($dI/dt = 1.4 \times 10^{5}\,\text{A/s}$). Пример предполагает отсутствие отдельной поддержки вычислительной шины во время этой ступени.- Переходная просадка напряжения вычисляется по резистивному, индуктивному и емкостному слагаемым:
$$\Delta V_{\text{droop}} = 4.20 V + 0.28 V + 0.80 V = 5.28 V$$- Минимальное напряжение шины при полном заряде:
$$V_{\text{rail, min}} = 24 V - 5.28 V = 18.72 V$$- Запас до отсечки регуляторов составляет
6 V, и смоделированная просадка5.28 Vоставляет от него0.72 V. Индуктивное и емкостное слагаемые живут только во время нарастания, но омическое слагаемое сохраняется, пока держится нагрузка; к разряженному аккумулятору относится заблуждение об общей шине из раздела «Заблуждения и ловушки».- Рекуперативный всплеск:
- Во время останова с предела хода кинетическая энергия загруженной машины должна быть рассеяна:
$$E_k = \tfrac{1}{2} m v^2 = \tfrac{1}{2}\,(368 kg)(1.5 m/s)^2 = 414 J$$- Если система управления аккумулятором отключает зарядный вход, а иллюстративные 75 % кинетической энергии возвращаются в шину (
310.5 J), незащищенный чисто конденсаторный баланс энергии без потерь закончился бы на:$$V_{\text{final}} = \sqrt{V_{\text{rail, nom}}^2 + \frac{2 E_{\text{regen}}}{C_{\text{bus}}}} \approx 169.7 V$$- Механизм отказа: Задолго до этой конечной точки шина пересекла бы номинал ключа
40 V.- Расчет тормозного шунта:
- При постоянном замедлении рекуперативная мощность падает линейно от пика до нуля за останов, который длится
750 ms. Площадь под этим треугольником равна , поэтому конструкция с30 Vпринимает на себя пик:$$P_{\text{regen, peak}} \approx \frac{2 E_{\text{regen}}}{t_{\text{stop}}} = 828 W$$- Максимальное сопротивление шунта для отвода пиковой мощности:
$$R_{\text{brake}} \le \frac{V_{\text{clamp}}^2}{P_{\text{regen, peak}}} \approx 1.09 Ω$$- Отбор компонентов: Резистор
1 Ωс номинальным импульсным режимом1 kW— кандидат. Проверьте его запас по импульсной энергии310.5 Jи температуре, безопасную рабочую область ключа шунта и отклик ограничения для фактического профиля торможения, прежде чем считать путь поглощения защитным.Результат: При полном заряде совпадающая ступень оставляет шину на
18.72 V— всего на0.72 Vвыше отсечки регуляторов18 V, — поэтому разряженный аккумулятор стирает запас. Небуферизованное рекуперативное торможение загнало бы шину за номинал MOSFET40 V, что требует динамического тормозного шунта с резистором не более1.09 Ω, поглощающим пик828 W.Системный вывод: Механическое движение и электрическая мощность двусторонне связаны: ускорение требует конденсаторной поддержки для предотвращения просадок, а замедление — активного динамического торможения для предотвращения разрушения кремния перенапряжением.
Пять физических бюджетов
Прежде чем измерять эти пределы на собранной машине, проверьте свое понимание пяти бюджетов:
- Предельный срок свежести: Сможете ли вы рассчитать максимально допустимый возраст измерения для кружки на конвейере станции комплектации, движущейся со скоростью
0.20 m/s, при допуске захвата15 mm, из которого начальная оценка уже израсходовала3 mm, и объяснить, почему этот возраст отсчитывается от экспозиции на датчике, а не от начала инференса, и почему остановка базы для стоящего человека вместо этого относит возраст на слепой ход?- Потолок скорости: Сможете ли вы объяснить, почему удвоение задержки до торможения расширяет остановочный путь линейно, тогда как удвоение скорости хода расширяет слагаемое торможения квадратично, и почему допустимая скорость — это положительный корень ?
- Согласование инерций: Сможете ли вы объяснить, почему передаточное отношение, максимизирующее ускорение звена, уравнивает приведенную инерцию ротора и инерцию нагрузки (), и почему завышение редуктора под статический момент снижает динамическое ускорение шарнира?
- Тепловые горизонты и разгон: Сможете ли вы объяснить, почему актуатор способен развивать троекратный номинальный момент секундами, но разрушает изоляцию обмотки при удержании в течение минут, и как температурный коэффициент меди () превращает длительный простой в тепловой разгон?
- Просадка шины и рекуперация: Сможете ли вы объяснить, как совпадающая ступень тока вычислений и привода просаживает общую шину через сопротивление, индуктивность и разряд конденсаторов, и почему останов со скорости накачивает энергию обратно в шину, которую должен отвести тормозной шунт?
Замер пределов машины
Прежде чем актуатор будет интегрирован в шасси, его характеризуют на динамометрическом стенде («Динамометрический стенд электродвигателя»). ПО обращается с параметрами как с номинальными константами в файле конфигурации, но в системной инженерии физических систем измерение, которое не может назвать свой прибор, свою квантиль и размер своей выборки, не способно позже поддержать аргумент.
Измерение начинается с решения, которым оно будет управлять на пути разрешения; это решение фиксирует величину, точку наблюдения, полосу датчика, разрешение и опорные часы. Например, установление достоверного замедления мобильного манипулятора требует пикового фазового тока и траектории замедления с момента команды торможения, захваченных изолированным токовым пробником с частотой дискретизации и энкодерами колес на общей аппаратной временной базе; усредняющий настольный прибор не дает пригодного числа. Прибор, чья аналоговая полоса ниже электрического времени нарастания, ослабляет истинный переходный пик, и запасы, построенные на нем, опираются на артефакт измерения, а не на машину.
Динамометрический стенд электродвигателя: Стенд для высокополосных испытаний актуаторов в Исследовательском центре NASA Armstrong. Прямое эмпирическое измерение насыщения пикового момента, электрических постоянных времени (), непрерывного теплового подъема () и рекуперативной обратной связи мощности требует синхронизации многоканальных тензодатчиков, оптических энкодеров и изолированных токовых пробников на общей аппаратной временной базе, а не доверия каталожным номиналам производителя. (Источник: NASA, общественное достояние).
Каждый пробник также вмешивается в наблюдаемый им процесс. Пассивный пробник напряжения нагружает высокочастотные линии, последовательный токовый шунт просаживает шину достаточно, чтобы вызвать раннюю просадку питания, а термопара внутри корпуса двигателя меняет его тепловые пути. Поэтому неопределенность прибора — составной бюджет, а не один допуск из калибровочного листа; она объединяет нелинейность датчика, квантование, частотно-зависимое фазовое запаздывание, нагрузку пробника и дрейф часов между каналами сбора данных. Когда оптический энкодер с квантованием опрашивается на для вычисления скорости шарнира конечными обратными разностями, шум численного дифференцирования вносит дисперсию скорости в несколько градусов в секунду, которая существует целиком в измерительном конвейере, а не в механическом шарнире.
Предел ничего не значит без контекста своего испытания. Каждый записанный предел фиксирует нагрузку, температуру окружающей среды, напряжение питания, состояние кожуха, версию прошивки и сопутствующую вычислительную нагрузку прогона. Тепловая постоянная времени, измеренная на открытом стенде при , может отличаться на порядок от постоянной того же актуатора в герметичном обтекателе под солнцем при , а характеристика шины, не фиксирующая, работал ли во время торможения двигателей инференс зрительно-языковой модели Brohan et al., 2023; Brohan et al., 2023, описывает простаивающую плату, а не совокупное потребление полных вычислений и пикового момента.
Каждое число, управляющее машиной, — это прямое измерение, величина, выведенная из измерений через заявленную модель, номинал из технического описания или иллюстративный пример, и только первые два способны поддержать запас безопасности или тайм-аут. Бюджет, задаваемый проектировщиком, например защитный запас , напротив, выбирается, и он обязателен лишь после проверки относительно измеренного числа, в которое он должен вписаться (см. Руководство для читателя).
Отсутствие отказа во время испытаний статистически ограничивает частоту отказов; оно не устанавливает безопасность. Если мобильный манипулятор совершает 3 000 загруженных остановок без просадки питания или превышения, данные поддерживают лишь частоту отказов на одну остановку ниже примерно («Что устанавливают двадцать чистых прогонов»), около одной остановки на 1 000 при доверии 95 %, и только если прогоны независимы и стационарны. Обмотки, нагревающиеся от прогона к прогону, и изнашивающиеся шестерни делают последовательные прогоны коррелированными и нестационарными, поэтому те же остановки, выполненные прохладным утром, ничего не говорят о полудне, когда более горячая обмотка имеет большее сопротивление и меньший пиковый момент.
Поэтому характеристика — действующая запись, воссоздаваемая по мере старения машины, поскольку физические пределы дрейфуют за время эксплуатации — процесс, называемый деградацией жизненного цикла. Остекление фрикционных накладок и износ протектора шин ухудшают устойчивый предел замедления ; химическое старение литий-ионных аккумуляторных блоков увеличивает внутреннее сопротивление шины постоянного тока , усугубляя просадку напряжения () при динамических маневрах; а механический износ зубьев передачи расширяет зазор люфта .
Предел, нарушение которого может причинить ущерб, хранится не как голое число, а как протокол пределов из шести элементов; их определяет и заполняет для двух пределов мобильного манипулятора таблица «Протокол пределов мобильного манипулятора»: достоверного замедления, на котором основывается его остановочный путь, и отсечки регуляторов на его общей управляющей шине.
| Элемент | Что фиксирует запись | Достоверное замедление | Отсечка регуляторов управляющей шины |
|---|---|---|---|
| Значение | Значение или эмпирическое распределение с размером выборки и сообщаемыми квантилями хвоста | 2 m/s², принятое как достоверный низкий хвост загруженных остановок; выборок пока нет | 18 V на регуляторах точки нагрузки; выборок пока нет |
| Условия | Ранее перечисленный контекст, при котором он установлен, плюс покрытие для любого предела, зависящего от сцепления | Нагрузка не более 368 kg; сухой пол с 0.204; пределы тока привода в конфигурации; шины в износе на момент ввода в эксплуатацию | Действительно только пока путь разрешения работает на собственной изолированной шине с поддержкой — проектное решение раздела «Какой бюджет ограничивает первым», — так что пересечение сбрасывает только прикладной процессор; предполагается, что регуляторы на этой шине имеют ту же отсечку |
| Неопределенность | Измерительная неопределенность каждого прибора с его точкой наблюдения и полосой | Не установлена | Не установлена |
| Запас | Инженерный запас, отделяющий рабочую цель от порога разрушения | Отсутствует по значению; защитный запас 100 mm поглощает его ошибку | 0.72 V при полном заряде под совпадающей ступенью; отсутствует от разряженного аккумулятора |
| Детектор | Проверка времени выполнения, улавливающая выход за пределы во время работы машины, например датчик фазового тока, оптический прерыватель или монитор шины питания | Монитор замедления, сравнивающий заданное и измеренное замедление по энкодерам колес и инерциальному блоку Bosch BMI088 при каждой остановке | Монитор напряжения шины на общей шине; на его флаг пониженного напряжения путь разрешения отвечает остановом |
| Происхождение | Категория свидетельств и прибор или модель, породившие значение | Иллюстративное, из классового профиля базы; подлежит замене загруженными остановочными испытаниями | Иллюстративное, из профиля машины; подлежит замене характеристикой шины под совпадающей нагрузкой |
Протокол пределов мобильного манипулятора: Шесть элементов протокола пределов, заполненные для достоверного замедления, задающего остановочный путь, и отсечки регуляторов, ограничивающей общую управляющую шину. Ни одно из значений пока не имеет выборок или установленной неопределенности, а элемент происхождения называет измерение, которое заменило бы каждое.
Каждый механизм деградации выше меняет условия предела, поэтому выпущенная в эксплуатацию машина воссоздает свои записи периодической перекалибровкой, а не доверием значениям, измеренным при вводе в эксплуатацию. Длительность насыщения, по которой принимался инерциальный блок посадочного модуля Schiaparelli, была именно таким пределом, и гибель модуля в 2016 году показывает, к чему ведет превышение условий предела в эксплуатации, когда ничего ниже по потоку не проверяет результат.
Насыщение IMU посадочного модуля ExoMars Schiaparelli и обвал высоты (2016)
Контекст: 19 октября 2016 года посадочный модуль ExoMars Schiaparelli Европейского космического агентства выполнил вход в атмосферу и спуск к поверхности Марса, полагаясь на бортовой компьютер управления, навигации и ориентации (GNC), объединяющий данные гироскопов инерциального измерительного блока (IMU) с доплеровским радиовысотомером ESA Investigation Board, 2017.
Механизм: Примерно через три минуты после входа в атмосферу раскрылся парашют и привел модуль в колебания. IMU измерил угловую скорость тангажа большую ожидаемой и поднял флаг насыщения, который держался дольше 15 мс, принятых при приемке блока. Пока флаг был установлен, ПО GNC интегрировало пороговую скорость насыщения так, как если бы она была истинной скоростью, хотя модуль на самом деле колебался, и его оценка ориентации ушла в дрейф примерно на — почти вверх дном. Когда радиовысотомер позднее вернул действительные наклонные дальности, ПО спроецировало их на эту ориентацию и вычислило отрицательную высоту. Ни одна бортовая проверка не испытывала эту высоту на правдоподобие.
Последствия: Приняв отрицательную высоту за действительную оценку, логика наведения сбросила парашют и заднюю обтекательную крышку, включила тормозные двигатели на вместо запланированных и активировала системы посадки так, как если бы модуль приземлился. Модуль все еще находился примерно в над поверхностью. Он свободно падал около полминуты и ударился о землю на скорости около ().
Ответ: Комиссия по расследованию ESA рекомендовала надежные проверки правдоподобия в бортовом ПО, среди них — что высота не может быть отрицательной и не может измениться с до отрицательного значения за одну секунду, а также конструкцию, явно обрабатывающую насыщение IMU, например запретом входов IMU во время раскрытия парашюта.
Урок для систем: Физическое тело не может перешагнуть диапазоны насыщения своих сенсорных преобразователей. Когда физический предел датчика (потолок скорости гироскопа или динамический диапазон акселерометра) превышен, оценщик состояния, интегрирующий насыщенное измерение как действительное, уходит в дрейф от физического состояния. Длительность насыщения, по которой принимался IMU, была пределом с условиями, и когда спуск превысил их, ни один детектор не проверил оценку до того, как она выдала необратимую команду.
Измеренные и записанные по одному, пять пределов описывают тело бюджет за бюджетом, каждый в своих условиях. Что из них ограничивает первым, зависит от машины и команды.
Какой бюджет ограничивает первым
Единичная команда политики фрагментов на разгон загруженного мобильного манипулятора расходует все пять бюджетов одновременно. Она опирается на кадр камеры, который уже устаревает; добавляет кинетическую энергию, которую позже должны убрать тормоза; разгоняет приведенную инерцию ротора через редуктор привода; откладывает джоулево тепло в обмотки, сбрасывающие его лишь за минуты; и потребляет ток от шины, которая питает и прикладной процессор. Таблица «Межклассовая матрица физических ограничений» ставит пять бюджетов рядом: закон, управляющий каждым, допущение, которое делает о нем политика, обученная в ПО, класс машины, который он ограничивает первым, а также проектный отклик и инвариант времени выполнения, которые на него отвечают.
↳ Ниже по потоку: Деградированные пределы, записанные здесь, ограничивают пороги вмешательства супервизора, выводимые в разделе «Переходы полномочий».
Мобильный манипулятор несет на одном шасси два класса машин из раздела «Три класса машин»: базу класса 1, которую первым ограничивают импульс и остановочный путь, и манипулятор класса 2, который первым ограничивают приведенная инерция, жесткость контакта и тепло удержания.
Объект управления класса 3 ограничивается теплом, а не остановочным путем. Ячейка направленного энергетического осаждения, создающая металлическую деталь расплавлением подаваемого порошка лазером, гонит луч 5 kW в ванну расплава под контуром управления 1 kHz, так что каждый период управления доставляет в деталь 5 J тепла независимо от того, движется ли портальная балка. Ее предел — тепло, которое способны поглотить ванна расплава и окружающая деталь. Зависание контроллера на 100 ms при все еще включенном лазере доставляет 500 J — больше, чем 414 J кинетической энергии загруженного мобильного манипулятора на пределе хода, — и ни один тормоз не способен вернуть это тепло обратно. Для объектов с доминированием потоков выживание определяют теплосъем и целостность электропитания, а длинные тепловые постоянные времени () скрывают медленно накапливающееся тепло, пока небольшая длительная перегрузка уже не пересекла предел изоляции или материала.
| Физический бюджет / фактор | Управляющий первый принцип и закон масштабирования | Иллюзия ПО против аппаратной истины | Первичный ограничивающий класс | Вывод для системного архитектора и инвариант времени выполнения |
|---|---|---|---|---|
| 1. Свежесть и возраст измерений | ; сквозной возраст измеряется, а не суммируется из квантилей стадий | Иллюзия: Высокая частота инференса () гарантирует отклик реального времени. Истина: Возраст начинается с экспозиции; задержка конвейера вносит фазовое запаздывание (). | Классы 1 и 2: Разъедает запасы хода и дестабилизирует контактные контуры с высоким усилением. | Помечать кадры аппаратными отметками времени; принудительно обеспечивать бюджетированного возраста в регистрах двигателя; отбрасывать устаревшие команды. |
| 2. Импульс и остановочный путь | Иллюзия: Замедление можно скомандовать мгновенно. Истина: Тормозной путь масштабируется квадратично (); кинетическая энергия требует работы трения (). | Класс 1 (подвижность): Первичное ограничение. Удвоение скорости учетверяет слагаемое торможения. | Решать квадратное уравнение запаса на микроконтроллере безопасности с частотой, задаваемой остановочным бюджетом; ограничивать скорость политики. | |
| 3. Актуатор и приведенная инерция | ; ; | Иллюзия: Момент двигателя следует заданиям политики без механического сопротивления. Истина: Редуктор возводит в квадрат инерцию ротора (); индуктивность задерживает нарастание тока; ударные ступени срезают зубья. | Класс 2 (манипулирование): Первичное ограничение. Жесткие контакты создают экстремальные всплески силы и усталость передачи. | Принудительно обеспечивать пределы скорости траекторий -сплайном (S-кривой); опрашивать оптические энкодеры со стороны нагрузки; применять актуаторы квазипрямого привода (QDD). |
| 4. Тепловые пределы и цикл нагрузки | ; | Иллюзия: Двигатели непрерывно отдают пиковый каталожный момент. Истина: Джоулево тепло () имеет положительную тепловую обратную связь (); тепло накапливается в герметичных корпусах. | Класс 3 (тепловой) и класс 2: Статическое удержание потребляет ток заторможенного ротора, перегревая катушки за секунды. | Вести дискретные тепловые наблюдатели на микроконтроллере безопасности; динамически снижать номинал скорости и момента, когда модели локального перегрева приближаются к пределам. |
| 5. Целостность электропитания | ; | Иллюзия: Питающие шины ведут себя как бесконечные идеальные источники напряжения. Истина: Сопротивление шины обрушивает ее напряжение под совпадающими всплесками вычислений и двигателей; торможение дает перенапряжение. | Классы 1 и 3: Пиковое многоосевое ускорение вызывает сбросы микроконтроллера по просадке питания; рекуперативные всплески разрушают FET-ключи инвертора. | Принудительно обеспечивать согласованные бюджеты мощности вычислений и исполнения и пределы ; устанавливать динамические тормозные шунты; характеризовать обесточенные резервные состояния. |
Межклассовая матрица физических ограничений: Пять бюджетов, закон, управляющий каждым, допущение, которое делает о нем политика, обученная в ПО, класс, который он ограничивает первым, и инвариант времени выполнения, который на него отвечает.
Таблица разделяет бюджеты, но машина — нет, и запасы, вычисленные на мобильном манипуляторе, различаются тем, сколько может израсходовать одна команда. На общей управляющей шине запаса не осталось. От аккумулятора, разряженного до 21.5 V, совпадающая ступень примера «Просадка напряжения шины и перенапряжение рекуперации» просаживает ее до 17.3 V, ниже отсечки 18 V ее регуляторов, так что ее запас уже отрицателен. У прогретого шарнира манипулятора запас измеряется временем, поскольку длительный всплеск троекратного тока доводит его обмотку до предела изоляции за 20.7 s. Остановочный путь на пределе хода 1.5 m/s все еще сохраняет 357.5 mm свободного расстояния, которое расходует только добавленная задержка, а термически затроттленный прикладной процессор забрал бы из них 16.5 mm.
Поскольку шина ограничивает первой, проектный ответ — снять путь разрешения с нее. Микроконтроллер безопасности, логика привода и катушки пружинного тормоза работают на изолированной шине, которую локальный накопитель поддерживает в течение выбранных 2 s — достаточно долго, чтобы пережить самый долгий останов, который может скомандовать путь разрешения (раздел «Лестница резервирования» рассчитывает этот останов). Эти нагрузки потребляют 70 W, поэтому поддержке нужны 140 J, которые отдает накопитель 2.025 F между точкой разряда аккумулятора и отсечкой регуляторов. Тогда просадка общей шины сбрасывает прикладной процессор, а путь разрешения переживает ее, помечает пониженное напряжение и останавливает машину. Полная связь, в которой остановочный путь тела задает аренду, выдаваемую путем разрешения, а эта аренда задает то, что должен поставить Мозг, разобрана единожды для Части I в разделе «Единый связанный бюджет анатомии».
Заблуждения и ловушки
Физические пределы взаимодействуют через границы подсистем. Проект, удовлетворяющий бюджету каждого компонента, все равно может отказать, когда тепло, тайминг, питание и движение меняются вместе.
Заблуждение и ловушка
Заблуждение: Время инференса модели определяет задержку свежести измерений.
Команда квантизирует свой зрительный хребет и сокращает время инференса с до . Улучшение сокращает одну стадию, но контроллер все еще действует по измерениям, проходящим экспозицию, считывание, передачу и очереди операционной системы. Затем команды идут по сетевой полевой шине, прежде чем ток катушки двигателя нарастит для приложения силы. Всплеск транспорта в в другом месте этой цепи способен израсходовать запас хода, даже когда инференс укладывается в свой бенчмарк. Инженерный бюджет должен измерять истинное время от «фотона до момента» — от сенсорики до физического отклика — и ограничивать его хвост, а не объявлять контур реального времени по одному лишь времени выполнения модели.
Заблуждение и ловушка
Заблуждение: Программные ступенчатые команды доставляют мгновенный физический момент.
Симулированная политика выдает кусочно-постоянные задания на и предполагает, что актуатор немедленно следует каждому изменению. Физический шарнир, однако, отвечает через индуктивность статора () и приведенную инерцию ротора (). Резкая команда может превысить бюджет пропускной способности актуатора, насытив токовый предел инвертора и жестко нагрузив передачу прежде, чем шарнир достигнет запрошенного движения. Это физическое запаздывание меняет поведение обратной связи, выученное в симуляции. Формирование заданий и модель актуатора должны учитывать эти физические постоянные времени; частота обновления ПО не задает достижимый отклик шарнира.
Заблуждение и ловушка
Ловушка: Рассмотрение изолированных технических описаний компонентов как эксплуатационных гарантий системы.
Инженер использует номинал непрерывного момента двигателя, чтобы задать пределы планировщика. Номинал несет условия испытаний производителя в свободном воздухе («Тепловые циклы нагрузки»), а не условия герметичного шарнира рядом с вычислительным блоком, поэтому он завышает то, что способен выдержать установленный двигатель. Поскольку планировщик принимает этот номинал за свой предел момента, каждая генерируемая им траектория наследует ошибку, а отказ проявляется лишь после того, как кожух прогреется, далеко от проектного решения, его породившего. Пределы планирования должны выводиться из измерений на полностью собранной машине в ожидаемых условиях среды и охлаждения.
Заблуждение и ловушка
Ловушка: Рассмотрение динамического масштабирования напряжения и частоты (DVFS) как прозрачной программной оптимизации.
Приводные двигатели мобильного манипулятора нагревают общее шасси, пока его прикладной процессор не запускает динамическое масштабирование напряжения и частоты (DVFS), чтобы затроттлить частоты тактового генератора и избежать перегрева перехода. Это тепловое вмешательство растягивает зрительный хребет с
22 msдо33 ms. Дополнительные11 msвходят в возраст наблюдения , и на пределе хода1.5 m/sони добавляют16.5 mmхода к остановочному бюджету прежде, чем за увиденным камерой может последовать хоть какая-то команда торможения. Менеджер питания защитил кремний, но молча изменил тайминг, который предполагал остановочный бюджет. Ранее достаточный запас остановки может перестать быть достаточным. Поэтому телеметрия тепла должна информировать бюджет движения, снижая скорость хода, когда троттлинг процессора увеличивает время, необходимое для восприятия и отклика.
Заблуждение и ловушка
Ловушка: Масштабирование рабочей скорости без пересчета квадратичных тормозных путей и теплосъема.
Повторяющееся высокотоковое торможение нагревает обмотки двигателя, поэтому остановка, которую мобильный манипулятор переживает однажды на повышенной рабочей скорости, при повторении в течение смены может превысить допустимый тепловой цикл нагрузки (бюджет теплоемкости) — вдобавок к квадратичному росту тормозного хода, который показывает Случай 3 в разделе «Остановочный путь складского манипулятора» при
2 m/s. Более высокая рабочая скорость требует нового расчета остановочного пути и тепловой оценки повторяющихся маневров, прежде чем планировщик сможет безопасно считать эту скорость доступной.
Заблуждение и ловушка
Заблуждение: Вычислительные акселераторы и инверторы двигателей работают на независимых идеальных питающих шинах.
На мобильном манипуляторе тяжелый всплеск инференса совпадает с тем, что приводные двигатели толкают базу через порог дверцы клетки. Совокупный переходный процесс
70 Aчерез сопротивление жгута60 mΩобщей управляющей шины24 Vсоздает падение4.2 V. Когда аккумулятор уже разряжен до21.5 V, шина просаживается до17.3 V, ниже порога отсечки18 Vбортовых регуляторов точки нагрузки, и прикладной процессор сбрасывается. Если бы микроконтроллер безопасности делил эту шину, та же просадка сбросила бы и его, пока машина несла активный импульс, оставив базу и манипулятор в обесточенном состоянии (см. раздел «Целостность электропитания») вместо управляемого останова. Раздельные программные бюджеты вычислений и исполнения игнорируют их физическую зависимость от общего электропитания. Квалификация питания должна испытывать совпадающие пиковые нагрузки от разряженного аккумулятора, причем контроллер, останавливающий машину, работает на собственной шине с поддержкой («Какой бюджет ограничивает первым»).
Заблуждение и ловушка
Заблуждение: Прохождение изолированных однопеременных стендовых испытаний гарантирует физическое выживание под составной эксплуатационной нагрузкой.
Роботизированный манипулятор проходит испытание с максимальной нагрузкой в кондиционируемой лаборатории при и испытание с пустым захватом в термокамере при . Ни одно из испытаний не устанавливает его способность нести эту максимальную нагрузку в более горячей среде при работе от разряженного аккумулятора. В этих совокупных условиях тяжелая физическая нагрузка повышает резистивные потери обмотки, более горячее окружение снижает способность системы отводить это тепло, а пониженное напряжение питания оставляет меньше запаса над противо-ЭДС, ограничивая скорость и нарастание тока. Следовательно, каждая подсистема может приблизиться к своему пределу отказа значительно раньше, чем это показывают раздельные изолированные испытания. Поэтому квалификация должна испытывать реалистичные комбинации нагрузки, температуры и состояния аккумулятора на собранной машине, а не считать прохождение отдельных испытаний свидетельством о совокупных условиях.
Итоги
Тело задает бюджеты, которые расходует каждое обученное предложение, и ни один из них нельзя пересмотреть, пока машина работает. Движущаяся масса не может сбросить свою кинетическую энергию быстрее, чем позволяет ее достоверное замедление; обмотка не может увести тепло быстрее, чем позволяет ее тепловое сопротивление; а наблюдение не может быть моложе пути от преобразования до момента. Глава свела тело к пяти таким бюджетам, каждый из которых — величина, которую путь разрешения может проверить, прежде чем допустить команду, и каждый входит в этот путь как граница, а не типичное значение (различие между квантилью и границей из раздела «Передача команд вовремя»). Каждый физический предел зависит от заявленной рабочей конфигурации и теряет силу при ее изменении, поэтому глава хранит каждый из них как протокол пределов, называющий его условия, неопределенность, запас, детектор и происхождение. Остановочный путь или тепловая постоянная времени не могут быть перенесены из технического описания компонента в кейс безопасности, а изменение нагрузки, покрытия, охлаждения, напряжения питания или износа требует повторного измерения предела, прежде чем бюджет времени, силы или энергии снова его использует. Из запасов, вычисленных на машине, первой ограничивает общая управляющая шина, поэтому путь разрешения работает на собственной шине с поддержкой. На мобильном манипуляторе на пределе хода 1.5 m/s торможение, фиксированная накладная часть и начало торможения уже расходуют 742.5 mm из 1.10 m свободного расстояния, оставляя 357.5 mm на задержки сенсорики и вычислений, профиль остановки и границу слежения, которые добавят последующие главы.
Физическое тело и инвариантные бюджеты
- Возраст отсчитывается от преобразования: Возраст наблюдения начинается, когда датчик интегрирует свет или поток, а не с начала инференса, и сквозной хвост не равен сумме хвостов стадий. Путь разрешения сравнивает аппаратную отметку времени с возрастом, который допускает его бюджет, — для отслеживаемой движущейся цели это , — и отклоняет устаревшее предложение.
- Скорость задает огибающую остановки: Слепой ход растет линейно с задержкой до торможения, а тормозной ход — квадратично со скоростью, поэтому допустимая скорость — это положительный корень , пересчитываемый всякий раз, когда меняются запас или задержка.
- Передача меняет момент на отзывчивость: Передаточное отношение умножает приведенную инерцию ротора на . За отношением согласования инерций дополнительная передача дает меньше ускорения шарнира и концентрирует ударное напряжение в зубьях.
- Тепло — интегральное состояние: Джоулевы потери приходят за секунды и уходят за минуты, а температурный коэффициент меди замыкает обратную связь. Номинал пикового момента ничего не значит без начальной температуры, длительности, окружающей температуры и времени восстановления.
- Питающая шина общая: Приводы и прикладной процессор питаются от одной шины, поэтому совпадающая ступень тока от разряженного аккумулятора может пересечь отсечку ее регуляторов, а неограниченное рекуперативное торможение может разрушить инвертор, который тормозит. Поэтому контроллер, который должен остановить машину, работает на собственной шине, поддерживаемой достаточно долго, чтобы просадка общей шины не сбросила его до завершения останова.
- Предел — это запись, а не число: Предел управляет решением лишь вместе со своими условиями, неопределенностью, запасом, детектором и категорией свидетельств, и он утрачивает силу, когда износ, тепло, новая нагрузка или новая сборка меняют эти условия.
От пределов тела к предложениям Мозга
Протоколы пределов этой главы говорят, что способно отдать тело мобильного манипулятора и при каких условиях: каким старым может быть наблюдение, как далеко проезжает загруженная база до остановки и сколько момента, тепла и тока шины может израсходовать движение. Ни один из них не говорит, что машине делать дальше. Раздел «Когнитивный мозг» берется за Мозг — обученные модели, предлагающие следующее движение, — и спрашивает, что такая модель способна поставить в этих бюджетах: как далеко вперед достает один фрагмент заданий, сколько времени занимает вычисление нового фрагмента и как быстро стареют лежащие в его основе свидетельства. Раздел «Нервная система» затем выводит, как путь разрешения ниже границы предложения решает, какие из этих предложений тело может исполнить.
-
Свертка квантилей: В общем случае квантиль суммы задержек отличается от суммы квантилей стадий одного и того же уровня (). Одной лишь независимости недостаточно, чтобы их арифметическая сумма стала границей худшего случая. Корреляция от общих шин и очередей меняет сквозной хвост и должна характеризоваться на границе системы. ↩
-
Теорема задержки Боде и запас по фазе: Чистое транспортное запаздывание вносит непреклонное частотно-зависимое фазовое запаздывание радиан, не меняя амплитуды коэффициента передачи контура. В замкнутых системах обратной связи эта эрозия фазы ухудшает запас по фазе (); как только разъедает запас до нуля на частоте среза , полюса замкнутого контура пересекают в правую полуплоскость комплексной плоскости, приводя физический объект управления к разрушительным колебаниям предельного цикла. ↩
-
IEEE 1588 gPTP: Обобщенный протокол точного времени (gPTP) обеспечивает субмикросекундную синхронизацию часов по сетям Ethernet обменом пакетами с аппаратными отметками времени прямо на уровне сетевого чипа (MAC PHY). Захват отметки времени в железе не вносит джиттер планировщика операционной системы в измерение. ↩
-
MIPI CSI-2: Mobile Industry Processor Interface Camera Serial Interface 2 (MIPI CSI-2) — высокоскоростной дифференциальный протокол для передачи несжатых видеоданных непосредственно от матриц изображения к системам на кристалле (SoC) хоста с минимальной задержкой. ↩
-
Защитное расстояние разделения по ISO/TS 15066: ISO/TS 15066 (пункт 5.5.4), опираясь на ISO 13855, задает это защитное расстояние разделения для мониторинга скорости и разделения (SSM): , где — худшая задержка обработки, — тормозной ход, а — запас (). Для обученных политик, работающих в совместных с человеком рабочих пространствах, отсутствие ограничения хвостовой задержки вычислений напрямую раздувает , расширяя требуемую зону разделения и вынуждая преждевременные защитные остановы. ↩
-
Кинематический корень скорости: Группировка постоянных пространственных слагаемых в доступное физическое расстояние дает квадратное неравенство . Умножение на дает . Применение квадратичной формулы и выбор положительного физического корня определяют динамический потолок скорости. ↩
-
Контур тока векторного управления (FOC): Контур тока работает на собственном контроллере привода, а не на процессоре, исполняющем политику, поэтому ступень момента, выдаваемая политикой, достигает обмотки лишь как рампа, которую позволяют контур и запас шины. ↩
-
Мертвое время инвертора: Короткий аппаратно вставляемый интервал, в который оба ключа полумоста инвертора выключены, чтобы верхний и нижний ключи одного плеча никогда не проводили одновременно и не замыкали шину постоянного тока — отказ, называемый сквозным током. ↩
-
Пределы прерывистого режима актуатора: Технические описания робототехнических двигателей заметно рекламируют пиковый момент (), но этот номинал строго прерывистый, и как долго его можно удерживать зависит от начальной температуры обмотки. Длительное динамическое маневрирование должно планироваться по непрерывному среднеквадратичному моменту (), иначе агрессивные команды нейронной политики сработают на тепловую защиту и вызовут обрушение конечности посреди движения. ↩
-
Сопротивление шины распределения энергии: Сосредоточенное сопротивление источника шины постоянного тока воплощения равно — сумме сопротивлений ячейки аккумулятора, жгута с соединителями и включенного состояния защитного выключателя. Всплеск тока просаживает шину на . ↩
-
Цепь шунта динамического торможения: Силовой ключ и низкоиндуктивный тормозной резистор, включенные поперек шины постоянного тока. Когда рекуперативная энергия поднимает шину выше порога компаратора, ключ проводит ток, и резистор рассеивает избыток в виде тепла, удерживая шину ниже пробивного номинала кремния инвертора и преобразователя. ↩
Когнитивный мозг
Цель
Почему самая мощная модель на роботе способна пересматривать свой план лишь несколько раз в секунду?
Робот, работающий среди людей, должен интерпретировать динамическую среду и предлагать действия, далеко выходящие за жесткие сценарии классической автоматики. Объемные обученные модели обеспечивают это семантическое рассуждение, обосновывая мультимодальные сенсорные потоки в обширных представлениях, полученных при офлайн-обучении. Однако за эту выразительную силу расплачиваются высоким трафиком памяти и серьезной вычислительной задержкой. Каждый прямой проход сети с миллиардами параметров передает веса через межсоединение памяти с конечной пропускной способностью. Поэтому модель обдумывания, которая лучше всех понимает сцену открытого мира, неизбежно оказывается компонентом, реже всего пересматривающим свои решения.
Чтобы актуаторы непрерывно получали задания между обновлениями обдумывания, Мозг должен выдавать перспективные фрагменты действий — временные последовательности будущих заданий. Однако эти предлагаемые задания устаревают вместе с устаревшим наблюдением, их породившим, и предложение, пришедшее вовремя, все равно может оказаться физически катастрофическим. Высокая уверенность предсказания не дает статистической модели права командовать физической машиной. Мозг порождает кандидатов поведения по ту сторону границы предложения, тогда как детерминированная Нервная система оценивает каждый фрагмент по текущей телеметрии датчиков и огибающим безопасности, прежде чем позволить низкоуровневым командам пересечь каузальную границу.
↰ Предпосылка: обученное предложение остается непривилегированным, пока путь разрешения его не допустит, — третий закон раздела «Четыре фундаментальных закона».
Цели обучения
- Сравнить классические аналитические конвейеры и выученные представления по охвату, устойчивости и верифицируемости
- Вычислить ограничение пропускной способности на частоту свежих вычислений модели по ее объему весов и устойчивой пропускной способности памяти
- Оценить рост кеша ключ-значение от числа камер, токенов на шаг и сохраненной истории
- Объяснить, почему фрагментирование действий умножает снабжение заданиями, не делая предложения более свежими
- Применить период перепланирования, задержку вывода и дрейф цели для подбора размера фрагмента действий на движущуюся цель
- Диагностировать отказы инициатора, вызванные галлюцинацией, некалиброванной уверенностью, восприятийным дребезжанием и истекшим намерением
- Обосновать, почему эти пределы инициатора требуют пути разрешения, способного отвергнуть любое предложение
Воплощенный мозг
Складской мобильный манипулятор может укладываться во все электрические и тепловые бюджеты и все же провалить задачу столь обыденную, как взять незнакомую керамическую кружку с движущегося конвейера на станции комплектации и передать ее коллеге на станции упаковки. Приводы двигателей остаются далеко в пределах непрерывных номиналов момента, управляющая шина удерживает напряжение при полном заряде, а скорости шарниров не превышают физических пределов. И все же машина роняет объект или раздавливает керамический ободок, потому что низкоуровневая физика двигателя не может определить, что это за объект, где находятся его конструктивные аффордансы и как обойти загромождение. В отличие от рекомендательного дисплея, вывод которого можно проверить до того, как он повлияет на мир, когнитивное предложение здесь способно достичь движущейся массы без человека между ними. Ошибочное предложение может привести к небезопасной кинетической энергии, если путь исполнения его примет, поэтому разрешение должно проверяться независимо. Центральная дилемма воплощенного познания в том, что высокоемкие нейронные модели по своей природе стохастичны, вычислительно дороги и склонны выдумывать несуществующие объекты, однако им предстоит управлять физическими телами, столкновения которых невозможно отменить (первый закон, «Четыре фундаментальных закона»).
Поэтому Мозг — это движок обдумывания без привилегий, который может только предлагать («Граница предложения»). Это архитектурное разделение организует машину как архитектуру двухскоростного мозга («Архитектура двухскоростного мозга»). На уровне обдумывания высокоемкие фундаментальные модели ведут медленное познание на , разбирая мультимодальные потоки открытого мира и выдавая структурированные предложения. На уровне реального времени детерминированные мониторы безопасности работают на на изолированном кремнии безопасности, оценивая предложения-кандидаты по физическим пределам, прежде чем выдать разрешение на исполнение (), или фиксируя асинхронный отказ, запускающий ресинхронизацию состояния на уровне обдумывания. На мобильном манипуляторе находятся два обученных инициатора: модель намерения, пересматривающая цели на , и политика фрагментов, выдающая короткие последовательности будущих заданий на ; путь разрешения может отвергнуть все, что предложит любой из них. Эта защита действует, только пока остаются действительными пределы, оценка состояния и опирающееся на нее резервирование.
Архитектура двухскоростного мозга: непривилегированная область обдумывания, работающая на , и область реального времени, работающая на , разделенные границей привилегий предложение–разрешение. Независимый механизм принуждения проверяет воспринимаемое состояние и смоделированные пределы на каждом цикле управления, прежде чем выдать разрешение на исполнение; путь отказа возвращает ресинхронизацию состояния к обдумывающей политике.
Обученный инициатор заслуживает свое место, делая то, чего не может ручная геометрия. Он узнает объект, которого никто не моделировал, по инструкции с открытым словарем, переносит блики и загромождения, ломающие написанные вручную фильтры, и привязывает узнанное к метрическим координатам, достижимым для руки. Каждая из этих возможностей дается моделью, размер которой также определяет, как часто она может работать. «Режимы темпа» показывает это противоречие между классами нагрузок: модели с наибольшим числом параметров обновляются реже всех — намного ниже частот, на которых замыкаются контуры Тела. Поэтому вопрос главы в том, что обученный инициатор успевает выдать вовремя и какой ценой в памяти, задержке и свежести.
Режимы темпа: число параметров и примерные частоты обновления для разных нагрузок управления, зрения и воплощенных систем. Точки — иллюстративные режимы нагрузок, а не прогоны на одном устройстве, и само по себе число параметров не определяет частоту обновления.
«Классическая стена» показывает, почему конвейеры, построенные на ручной геометрии и конечных автоматах, теряют охват за пределами заводской ячейки, а «Выученные представления» — что выученные представления возвращают и чего они стоят в токенах и трафике памяти. «Питание, свежесть и стена памяти» превращает эту цену в числа машины: стена памяти, ограничивающая, как часто может работать ее модель намерения, фрагментирование действий, поддерживающее снабжение руки заданиями между вычислениями, и дрейф, ограничивающий, как долго каждый фрагмент остается истинным. «Когнитивные уязвимости» затем рассматривает способы, которыми предложение может прийти вовремя и все же быть неверным, — каждый оставляет пути разрешения предложение, которое он должен суметь отвергнуть.
Классическая стена
Почти столетие автоматическое управление и робототехника подходили к познанию как к явной задаче геометрии и аналитической физики Wiener, 1948; Kalman, 1960; Craig, 2005. В этой классической парадигме инженеры строили математические представления из первых принципов.
Инженеры использовали аналитическую кинематику и дифференциальную динамику, чтобы отображать желаемые движения конечного эффектора в моменты актуаторов с помощью уравнений в замкнутой форме.1 Восприятие опиралось на сопоставление созданных вручную трехмерных CAD-моделей с сенсорными облаками точек посредством алгоритмов геометрического совмещения, таких как итеративный ближайший сосед (ICP) или случайная выборка консенсуса (RANSAC). Логика верхнего уровня создавалась как явные булевы конечные автоматы, задававшие детерминированные переходы между рабочими фазами — приближением, выравниванием, захватом и отводом.
Промышленная ячейка точечной сварки: несколько шарнирных роботов с шестью степенями свободы выполняют предзапрограммированные траектории точечной сварки на штампованных автомобильных шасси на заводе BMW в Лейпциге. Работая в откалиброванной заводской среде с субмиллиметровыми повторяемыми приспособлениями и защитными блокировочными ограждениями, классические контроллеры обеспечивают детерминированный циклический тайминг и формальные доказательства устойчивости. (Источник: BMW Group / Wikimedia Commons, CC BY-SA 2.0 de).
Там, где рабочая среда жестко структурирована и ограничена («Промышленная ячейка точечной сварки»), классические методы могут обеспечить надежное поведение в пределах смоделированных условий. На автоматизированной автомобильной сборочной линии промышленный робот сваривает штампованные стальные панели, где каждая деталь приходит в точную координату с субмиллиметровыми допусками. Окружающее освещение жестко регулируется промышленными светильниками, а люди отстранены физическими блокировочными ограждениями. В пределах каузальной границы, определенной в разделе «Каузальная граница», этот контролируемый режим допускает явные модели, ограниченное время сервоприводов и анализ устойчивости при заявленных предположениях. Инженеры могут верифицировать отобранные ограничения траекторий и моментов и оценивать охват программного обеспечения контроллера по применимым стандартам, не собирая демонстраций задачи.
Однако, когда воплощенная машина покидает структурированную заводскую ячейку и работает в неструктурированной среде («Робот поиска и спасения в неструктурированной среде»), эта парадигма натыкается на классическую стену Brooks, 1991; Levine et al., 2018. Физический мир — не стерильный CAD-чертеж; он непрерывен, деформируем и бесконечно разнообразен.
Робот поиска и спасения в неструктурированной среде: гусеничный мобильный робот движется по полосе препятствий с неровными подъемами, рыхлым мусором и визуальными окклюзиями. В такой не нанесенной на карту среде заранее созданные геометрические модели и жесткие конечные автоматы могут потерять охват; выученные политики могут помочь выводить пространственные аффордансы и проходимость из сенсорных потоков. (Источник: TU Darmstadt Rescue Robotics / Wikimedia Commons, CC BY-SA 3.0).
Первый провал — комбинаторный взрыв геометрии. В коммерческом логистическом складе, обрабатывающем сотни тысяч розничных товаров, создание CAD-моделей, сеточных шаблонов и точек захвата для каждой бутылки, упакованного товара и гибкой одежды невозможно. Дискретизация ориентаций, фрикционных свойств и перестановок контактов для перекрывающихся деформируемых предметов создает комбинаторное пространство, которого ручные шаблоны покрыть не могут.
Второй провал проистекает из хрупкости восприятия. Созданный вручную конвейер выделения краев и сегментации может опираться на фильтры, углы Харриса или пороги нормалей поверхности. При изменении солнечного света, отражений или пыли необходимый признак может исчезнуть. В таком конвейере пропавший край может заставить планарную сегментацию объединить два объекта и предложить захват в пустом пространстве.
Третий провал — инженерное узкое место логики, написанной вручную. Рабочие возможности машины ограничены способностью инженера предвидеть каждый физический крайний случай. Когда происходит неожиданное отклонение — погнутый кронштейн, затертая этикетка или незнакомое препятствие, — в написанном вручную своде правил нет подходящей ветви, и машина останавливает, роняет груз или сталкивается.
Выученные представления отвечают на первые два провала напрямую и облегчают третий, поскольку черпают охват из данных, а не из созданных вручную моделей.
Выученные представления
Когда требуется взять незнакомую керамическую кружку с конвейера, классическому конвейеру нужны CAD-модель, порог признака и ветвь конечного автомата, которых никто для этого объекта не писал. Выученная модель, обученная на множестве объектов, пригодных для захвата, может предложить ручку как область захвата по пикселям и одной фразе инструкции. Физический ИИ расширяет классические конвейеры такими нейронными представлениями везде, где созданные вручную модели теряют охват, и этот сдвиг опирается на четыре столпа.
Первый столп — семантическая обобщаемость в открытом мире. Классические контроллеры геометрически точны, но семантически слепы: решатель обратной кинематики умеет безупречно довести конечный эффектор до координаты , однако не имеет ни малейшего представления о том, находится ли там прочная кружка или хрупкий стакан и как окружающие объекты связаны с человеческими задачами. Современные фундаментальные модели зрение–язык–действие (VLA) проецируют языковые инструкции с открытым словарем и высокоразрешающие потоки камер в общие семантические вложения Driess et al., 2023; Brohan et al., 2023; Brohan et al., 2023; Kim et al., 2024. Получив команду «вытри пролитый кофе со стола и убери кружку в сушилку», обученная модель может предложить ручку кружки и границу пролива как значимые для задачи области без новой CAD-модели.
Второй столп — эмпирическая сенсорная устойчивость. Созданные вручную визуальные пороги могут перевернуться при изменении освещения или текстуры. Выученные представления могут переносить часть таких изменений, когда обучение и тестирование их покрывают, но их отклики при сдвиге не обязательно гладки и ограничены.
Третий столп — способность работать со сложной многоконтактной и деформируемой динамикой. Многие задачи физического манипулирования (складывание текстиля, прокладка гибких жгутов проводов через дверные узлы автомобилей или зачерпывание сыпучих сред) включают не гладкую механику контакта, переменное трение и бесконечномерные деформации, которые нельзя смоделировать в дифференциальных уравнениях замкнутой формы. При подходящих богатых контактом демонстрациях и обратной связи нейронные политики могут выучить отклики с учетом податливости, снижающие силу при неожиданном сопротивлении.
Четвертый столп — эмпирическое масштабирование с данными и вычислениями, горький урок, который «Четыре фундаментальных закона» противопоставляет физической стене бортовой энергии, тепла и памяти. Обучение на разнообразных робототехнических демонстрациях («Двуручная ячейка телеуправления») и мультимодальных данных может улучшать производительность на испытанных задачах Zhao et al., 2023; Chi et al., 2024.
Каждый из этих выигрышей действует лишь там, где обучающие и тестовые данные покрывают рабочие условия, и ни один не ограничивает то, что модель предлагает вне этих условий. Именно этот предел объясняет, почему выученный выход достигает актуаторов только как кандидат, который путь разрешения может отвергнуть.
Двуручная ячейка телеуправления: установка телеуправления с двумя руками, включающая два ведомых манипулятора с шестью степенями свободы, два ведущих манипулятора для кинестетического телеуправления, камеры нескольких видов (над головой и на запястьях) и параллельные захваты, закрепленные на алюминиевой раме из профиля. Политика физического ИИ принимает синхронизированные потоки нескольких камер, чтобы предсказывать непрерывные траектории конечного эффектора, а путь разрешения обязан отвергнуть любое предложение, которое привело бы к самостолкновению или перегрузке по моменту при исполнении в замкнутом контуре. (Источник: Stanford University & Google DeepMind, CC-BY / Apache 2.0).
Таксономия воплощенных моделей: воплощенные фундаментальные модели, сгруппированные по перцептивному фронтенду (визуальные токены, облака точек, языковые подсказки), нейронному бэкбону (трансформеры, диффузионные головы, модели мира) и целевому пространству действий. Таксономия противопоставляет политики зрение–язык–навигация, декодирующие топологические путевые точки и семантические фронтиры, политикам зрение–язык–действие, выдающим фрагменты траекторий по шарнирам и в декартовых координатах для шарнирных манипуляторов. (На основе работы Ma et al. Ma et al., 2024).
Воплощенная архитектура зрение–язык–действие (VLA): репрезентативный поток данных. (1) Патчи кадров камер получают 2D-позицию изображения и идентификаторы камер наряду с токенами языка и состояния робота; метрическая глубина по-прежнему требует откалиброванных свидетельств. (2) Самовнимание перемешивает объединенную последовательность токенов; цветная сетка иллюстрирует внутренние веса внимания, а не проверенный аффорданс или позу захвата. (3) Дискретные авторегрессионные декодеры выдают токены последовательно, тогда как непрерывные декодеры порождают кандидатов многошаговых фрагментов () за один проход или итеративное шумоподавление. (4) Независимый путь разрешения проверяет кандидат движения по воспринимаемому состоянию и смоделированным пределам до исполнения команды. (Синтезировано по работам Brohan et al. Brohan et al., 2023; Brohan et al., 2023, Kim et al. Kim et al., 2024 и Octo Model Team Octo Model Team et al., 2024).
Воплощенная фундаментальная модель — это не непрозрачный монолит, а трехступенчатый нейронный конвейер («Таксономия воплощенных моделей», «Воплощенная архитектура зрение–язык–действие (VLA)»), преобразующий сенсорные входы в предложения-кандидаты движения; он заканчивается на границе, где этим предложениям все еще нужны кинематические проверки.
-
Прием сенсорных данных и пространственная токенизация (входы): Фронтенд трансформера зрения разрезает каждый кадр камеры на сетку патчей фиксированного размера и проецирует каждый патч в один токен, помеченный его позицией в изображении и, когда смонтировано несколько камер, выученным идентификатором камеры. Языковые указания и состояние шарниров робота проецируются в токены той же ширины, и три потока склеиваются в одну входную последовательность. Каждый патч становится токеном, по которому должен работать бэкбон и который должен удерживать кеш ключ-значение (KV), поэтому робот с тремя камерами (левое запястье, правое запястье, вид сверху) добавляет сотни визуальных токенов на кадр до прихода любого текста или проприоцепции («Стены памяти, питание и свежесть»). Позиция в изображении — это не метрическая глубина; для размещения захвата в 3D по-прежнему нужны свидетельства о глубине и откалиброванная геометрия.
-
Мультимодальное выравнивание и внимание (бэкбон): Объединенная последовательность проходит через десятки слоев трансформера, чье самовнимание взвешивает каждый токен против каждого другого, поэтому работа внимания растет как квадрат длины последовательности, а кеш KV, хранящий предыдущие состояния токенов, растет линейно с ней. Каждая добавленная камера или сохраненный кадр оплачиваются задержкой и трафиком памяти. То же попарное взвешивание не устанавливает геометрию, поэтому текстовый токен вроде «ручка» может сильно притягиваться к визуальному патчу, хотя этот вес не является проверенным местом захвата или метрической позой. Кеш KV также не отслеживает постоянство объекта; явный оценщик состояния обязан сопоставлять наблюдения между кадрами и наращивать неопределенность, пока кружка закрыта от взгляда. Уравнения вложения патчей, позиционного кодирования и внимания, лежащие за обеими ступенями, приведены в разделе «Токенизация патчей, внимание и метрический подъем в 3D».
-
Специализированные декодеры действий (выходы): Вместо порождения разговорного текста последний скрытый слой питает специфические для задачи декодеры действий. Если модели зрительно-языковой навигации (VLN) выдают топологические путевые точки или скорости курса («Топологическая зрительно-языковая навигация»), то модели манипулирования (VLA) резко расходятся в том, как они связывают семантические представления с физическим движением:
- Дискретная категориальная токенизация (RT-1, RT-2, OpenVLA): ранние VLA адаптируют авторегрессионное языковое моделирование прямо к робототехнике, дискретизируя непрерывные смещения по шарнирам или в декартовых координатах в равных интервалов на каждое измерение Brohan et al., 2023; Brohan et al., 2023; Kim et al., 2024:
Каждому интервалу сопоставляется дискретный токен (от
<act_000>до<act_255>) в языковом словаре. Хотя это изначально использует веб-масштабное предобучение зрение–язык, появляется системное узкое место: декодеру, выдающему по одному скалярному токену за раз, требуется семь последовательных предсказаний токенов для действия с 7 степенями свободы. Его задержка зависит от кеширования, аппаратуры и от того, пересматривает ли каждое предсказание весь бэкбон; семь последовательных шагов могут не уложиться в предельный срок управления. Скалярная дискретизация имеет разрешение примерно ; приведет ли это к дребезжанию контакта, зависит от сглаживания, диапазона действия и нижележащего контроллера. - Непрерывное порождающее фрагментирование действий (Octo, , ACT, Diffusion Policy): чтобы не платить полный прогон весов за каждое скалярное действие, современные универсальные политики связывают бэкбон трансформера с непрерывными порождающими декодерами, такими как головы диффузионной политики Chi et al., 2024; Octo Model Team et al., 2024 или эксперты действий на сопоставлении потоков Black et al., 2024. Вместо предсказания одного скаляра за прямой проход модель предсказывает целый непрерывный фрагмент траектории: Бэкбон может вычислить одно новое наблюдение камеры, затем более мелкий декодер может выполнить несколько итераций шумоподавления, чтобы предложить целый фрагмент путевых точек. Этот фрагмент — один кандидат горизонта, а не последовательность свежих наблюдений. Следующее вычисление бэкбона должно прийти до истечения принятого окна исполнения; нижележащая интерполяция и обратная связь работают в собственном темпе.
- Дискретная категориальная токенизация (RT-1, RT-2, OpenVLA): ранние VLA адаптируют авторегрессионное языковое моделирование прямо к робототехнике, дискретизируя непрерывные смещения по шарнирам или в декартовых координатах в равных интервалов на каждое измерение Brohan et al., 2023; Brohan et al., 2023; Kim et al., 2024:
Каждому интервалу сопоставляется дискретный токен (от
-
Граница предложения (изоляция от актуаторов): Независимо от того, является ли модель планировщиком мобильности VLN или политикой манипулирования VLA, ее выход — это предложение-кандидат () на непривилегированной стороне границы предложения («Граница предложения»). По модели машины из раздела «Машина в пяти уровнях» фундаментальная модель работает в пользовательском пространстве на прикладном процессоре и не имеет пути к регистрам широтно-импульсной модуляции (PWM) или к току в обмотках двигателя.
Правило проектирования для этой границы обдумывания: выученные модели, работающие в ритмах вывода Мозга (), предлагают кинематические задания ( или декартовы позы), но не подают напрямую на ключи инвертора разомкнутоконтурные моменты двигателя (). Момент двигателя связан с объектом управления через уравнение манипулятора из примечания по классической динамике в разделе «Классическая стена», плюс контактный член . Поскольку инерция и силы Кориолиса нелинейно зависят от мгновенной конфигурации и скоростей шарниров, подача разомкнутоконтурных моментов без высокочастотной обратной связи от нейронной модели, обновляющейся от силы в десятки герц, может дестабилизировать конечность, когда ошибка модели, трение или изменение нагрузки достаточно велики. Кинематические задания, напротив, задают предполагаемый пространственный путь и оставляют синтез моментов высокого усиления в замкнутом контуре приводам Тела, чьи контуры тока векторного управления работают на , — после того как путь разрешения допустил каждое задание. (Там, где специализированные политики обучения с подкреплением высокой частоты, работающие на , выдают моменты напрямую, им все равно требуется независимо проверенный высокочастотный путь разрешения, как утверждается в разделе «Проверка инвариантов»; проверки пассивности для таких потоков моментов выведены в разделе «Пассивность и энергетически ограниченное взаимодействие».)
↳ Далее: передача предложений между Мозгом и Нервной системой без копирования опирается на буферы без блокировок, рассмотренные в разделе «Многотактные ритмы».
Предложения достигают пути разрешения через передачу из раздела «Нервная система», и путь разрешения может отвергнуть галлюцинированное предложение, когда независимые измерения, смоделированные пределы и осуществимое резервирование поддерживают такое решение.2
Топологическая зрительно-языковая навигация: воплощенная архитектура навигации, выполняющая пространственные указания на естественном языке. Панорамные визуальные наблюдения кодируются в перцептивные токены, сопоставляются с вложениями подсказок и перекрестно сверяются с динамически обновляемым топологическим навигационным графом. Декодер действий отсекает недостижимые узлы и выдает метрические смещения путевых точек и задания курса, чтобы вести шасси вдоль проходимых семантических фронтиров, не требуя точной геометрической априорной карты. (На основе работы An et al. An et al., 2023).
Каждая нейронная ступень этого конвейера оплачивается трафиком памяти. По каждому патч-токену должно работать внимание и он должен удерживаться в кеше KV, а каждое вычисление бэкбона передает его веса из DRAM, поэтому возможности, описанные в этом разделе, приходят с частотой, которую задает прикладной процессор, а не та, которую выбирает задача. На мобильном манипуляторе эта частота для его крупнейшей модели оказывается куда ниже частоты, с которой его рука потребляет задания.
Питание, свежесть и стена памяти
На станции комплектации рука мобильного манипулятора потребляет новое задание каждые несколько десятков миллисекунд, а кружка, за которой она тянется, продолжает двигаться по конвейеру. Какая бы модель ни предлагала эти задания, она должна разрешить два вопроса. Первый: как часто она способна выдать предложение на том прикладном процессоре, который у машины действительно есть. Второй: как долго каждое предложение остается истинным, когда кружка сдвинулась. Ответы объясняют, почему машина несет двух обученных инициаторов, а не одного.
После приема (токенизации раздела «Выученные представления») четыре ступени превращают эти токены в предложения («Когнитивный поток физического ИИ»), и Часть III развивает каждую из них. Здесь они важны лишь тем, что каждая передает ниже по потоку и насколько быстро это устаревает. Восприятие обосновывает узнанное в метрических координатах относительно основания, так что кружка становится позой и пригодной для захвата ручкой, а не меткой;3 его выход стареет с момента захвата, и раздел «Сенсорное восприятие» превращает этот возраст в контракт. Память несет эти оценки сквозь окклюзию и должна позволять каждой истечь, когда истекают лежащие в ее основе свидетельства («Пространственная память»). Намерение раскладывает задачу вроде «снять керамическую кружку с конвейера и передать ее коллеге на станции упаковки» на подцели, и поскольку кружка движется, пока модель намерения обдумывает, она передает планировщику цель, которая истекает, — аренду намерения («Аренда намерения»). Планирование превращает эту цель в кандидатов заданий для основания и руки — предложения, которые будет судить путь разрешения («Планирование траекторий»). Эти ступени, а также предшествующий им прием работают на прикладном процессоре и черпают из одной шины памяти — там, где решается темп машины.
Когнитивный поток физического ИИ: информация последовательно течет от физических датчиков через Прием (токенизацию), Восприятие (пространственную геометрию и аффордансы), Память (устойчивую оценку модели мира), Намерение (обдумываемые аренды целей) и Планирование (многошаговое фрагментирование действий). Поток заканчивается на границе предложения, где путь разрешения оценивает каждое предложенное действие по ограничениям и ресурсам реального времени.
↳ Далее: ускорители нейронного вывода с высокой пропускной способностью изолируются от детерминированных ядер в разделе «Два пути на одном кристалле».
Стена памяти
Рассмотрим, что происходит, если робот пытается генерировать непрерывные моторные действия по одному дискретному шагу через авторегрессионную фундаментальную модель (например, VLA-модель с миллиардами параметров). Модель, чьи веса не помещаются на кристалл, должна передавать их через внешнюю шину DRAM один раз за вычисление, поэтому пропускная способность шины ограничивает частоту ее вычислений величиной до того, как токенизация, внимание или декодирование добавят хоть какое-то время. При одношаговом авторегрессионном декодировании каждый последующий токен может потребовать еще одного такого вычисления; реальный трафик зависит от кеширования и архитектуры декодера. Подробные выводы стены памяти и roofline-модели оборудования приведены в разделе «Системы и оборудование».
Эта стена памяти4 помещает потоковую передачу одиночных токенов глубоко в область roofline-модели, ограниченную памятью («Примерная воплощенная roofline-модель») Williams et al., 2009. На прикладном процессоре мобильного манипулятора она ограничивает частоту свежих вычислений модели намерения — до какой-либо работы зрения или декодирования — куда ниже частоты контроллера шарнира, запрашивающего новую команду каждую миллисекунду («Стены памяти, питание и свежесть»). Модель, обновляемая столь медленно, может сказать, куда должна идти рука, но не может замкнуть контур на движущейся массе, поэтому она предлагает путевые точки, а более быстрый контур ниже отслеживает их.
Это непрерывное перемещение данных несет и энергетический штраф. Извлечение весов из внекристальной DRAM потребляет на порядки больше энергии, чем сами арифметические вычисления. Эта энергия истощает запасы батареи, а оставляемое ею в шасси тепло поднимает местную температуру шарнирных актуаторов, сужая тепловые запасы обмоток раздела «Тепловые циклы нагрузки».
Примерная воплощенная roofline-модель: арифметическая интенсивность против достижимой пропускной способности для примера периферийного ускорителя. Потоковая передача весов одиночных токенов может быть ограничена памятью; повторное использование на фрагменте может повысить работу на байт. Отдельный контур реального времени исполняет принятые путевые точки между свежими обновлениями модели.
Фрагментирование действий
Чтобы обеспечить плотные путевые точки несмотря на медленный вывод полной модели, современные политики физического ИИ применяют фрагментирование действий («Временное фрагментирование действий») Zhao et al., 2023; Chi et al., 2024. Каждый фрагмент затем пересекает границу предложения одним пакетом — полезной нагрузкой фрагмента из раздела «Многотактные ритмы».
Политика фрагментирования (например, Action Chunking with Transformers [ACT], Diffusion Policy или сопоставление потоков) генерирует весь свой фрагмент из заданий за один проход бэкбона, за которым для итеративного декодера следуют, по допущению, шагов уточнения. Каждое уточнение заново вычисляет более мелкую голову действий, поэтому полная задержка равна , а не одному прогону весов. Новое наблюдение меняет план лишь после следующего прохода бэкбона и декодера; о порождающем механизме см. раздел «Машинное обучение: основы».
Временное фрагментирование действий
Временное фрагментирование действий — это формулировка политики, которая предсказывает весь горизонт из будущих непрерывных действий за одно нейронное вычисление или один диффузионный прокат, амортизируя переносы памяти параметров на протяженных окнах физического исполнения.
- Значение: на устройстве с ограниченной пропускной способностью повторение полного вычисления модели для каждого действия может быть слишком медленным для миллисекундного управления. Временное фрагментирование действий может повторно использовать вычисление бэкбона на нескольких путевых точках; оно не заставляет свежие наблюдения или решения политики приходить с частотой путевых точек. Нижележащий контроллер отслеживает принятую траекторию между обновлениями модели.
- Отличие: в отличие от одношаговых марковских политик , заново вычисляющих всю нейронную сеть на каждом шаге управления, фрагментирование действий сознательно генерирует многошаговые траектории подачи вперед, используя исполнение со скользящим горизонтом и смешивание на перекрывающихся фрагментах, чтобы согласовать медленное нейронное обдумывание с быстрым управлением в замкнутом контуре.
- Типичная ловушка: исполнение фрагментов действий разомкнутым контуром без непрерывного временного сглаживания или фильтрации безопасности времени выполнения. Без гладкого смешивания на перекрывающихся границах фрагментов переключение между независимо сгенерированными горизонтами вносит скачки ускорения и толчки момента, возбуждающие механические резонансы редуктора.
Например, когда канонический двуручный манипулятор продевает гибкий USB-кабель («Двуручная ячейка телеуправления»), он выполняет 32-шаговый фрагмент действий — более длинный фрагмент, чем использует мобильный манипулятор. Политика выдает согласованные задания по 14 шарнирам, плавно совмещая оба захвата, изгибая кабель и вставляя разъем без пауз между отдельными циклами управления.
Перекрывающиеся фрагменты действий смешивают предсказания поперек скользящих временных окон исполнения.
Однако фрагментирование действий вносит проблему непрерывности стыка фрагментов. Поскольку каждый фрагмент действий генерируется независимо из скользящих сенсорных наблюдений, хвост фрагмента и голова фрагмента могут проявлять легкие расхождения по положению и скорости. Если бы контроллер просто склеил эти фрагменты, возникающие ступенчатые разрывы ускорения внесли бы в физические звенья большой рывок (), вызывающий механический удар, акустическую вибрацию, износ циклоидных штифтов и отказы по перегрузке двигателя током.
Чтобы уменьшить разрывы между перекрывающимися фрагментами, системы могут реализовать временное ансамблирование, смешивая перекрывающиеся предсказания траекторий экспоненциально взвешенным усреднением:
где — действие, предсказанное для шага времени фрагментом действий, начатым в момент , а — настраиваемый временной коэффициент дисконтирования. Путь разрешения интерполирует смешанные путевые точки ниже границы предложения («Многотактные ритмы»). Ансамблирование усредняет задания, не обеспечивая непрерывности производных, поэтому стыку все еще может понадобиться -мост, который строит раздел «Кинодинамическая осуществимость».
Это операционное напряжение между мощностью нейронного обдумывания и задержкой физического управления задает центральный рубеж масштабирования современных роботехнических мозгов («Рубеж воплощенного мозга»). Между 2020 и 2023 годами пионерские модели зрение–язык–действие (VLA), такие как RT-1 Brohan et al., 2023, RT-2 Brohan et al., 2023 и OpenVLA Kim et al., 2024, токенизировали непрерывные действия в дискретные интервалы, предсказывая один шаг действия за авторегрессионный прямой проход. Однако поскольку каждый прямой проход требует потоковой передачи каждого параметра модели из DRAM через кремниевую шину памяти, частоты обновления политики рушились по мере роста емкости модели () — запирая модели с миллиардами параметров за непреодолимой «стеной обдумывания» (), которая была куда ниже порога замкнутого контура , необходимого для динамического контакта и реактивного манипулирования.
Фрагментирование действий радикально развязало обдумывание с частотой исполнения команды. Вместо передачи миллиардов параметров на каждое низкоуровневое задание архитектуры вроде ACT Zhao et al., 2023, Diffusion Policy Chi et al., 2024 и современных фундаментальных моделей на сопоставлении потоков (например, Physical Intelligence Black et al., 2024 и NVIDIA Project GR00T) периодически вычисляют свои большие перцептивные бэкбоны, чтобы порождать целые многошаговые траектории действий (). Компактные оптимизированные порождающие головы действий затем шумоподавляют или интегрируют эти траектории на , разбивая авторегрессионную стену памяти и согласуя семантическое рассуждение с миллиардами параметров с миллисекундным управлением в замкнутом контуре.
Рубеж воплощенного мозга: масштабирование параметров модели против частоты физических действий в робототехнических политиках (2020–2026): компромисс между емкостью параметров фундаментальной политики (, логарифмическая шкала, от до параметров) и частотой действий замкнутого контура на борту (, логарифмическая шкала, от до ). Дискретные авторегрессионные политики одиночных токенов (RT-1, RT-2-PaLM-E, RT-2-PaLI-X, OpenVLA Base) упираются в непреодолимую стену памяти (), ограниченную пропускной способностью потоковой передачи DRAM (), оставляя большие модели на . Непрерывное фрагментирование действий (ACT, Diffusion Policy) и двухсистемные архитектуры на сопоставлении потоков (Physical Intelligence , NVIDIA Project GR00T, двухмозговые SoC 2026 года) разбивают это узкое место: развязка многошаговой генерации фрагментов () от порождающих голов действий с низкой задержкой позволяет фундаментальным моделям с миллиардами параметров достигать реактивного управления реального времени.
Два инициатора машины
На собственном прикладном процессоре мобильного манипулятора стена памяти и амортизация, которую предлагает фрагментирование, решают, как машина делит работу предложений между своими моделями.
Стены памяти, питание и свежесть
Может ли фрагментирование действий позволить модели с миллиардами параметров на встроенном вычислительном модуле обновлять предложения так быстро, как их потребляет рука, или машине нужен второй, меньший инициатор?
1. Узкое место памяти при одиночном токене. Рассмотрим модель намерения мобильного манипулятора — VLA-модель
7B, хранимую с 16-битной точностью (FP16) в памяти LPDDR5 его прикладного процессора, встроенной периферийной системы на кристалле:
- Объем весов:
7Bпараметров2байта14 GB.- Теоретическая пропускная способность памяти:
204 GB/s.- Принятая устойчивая пропускная способность DRAM (
70процентов от пиковой с учетом диспетчеризации шины и накладных расходов памяти):142.8 GB/s.Минимальная задержка потоковой передачи, чтобы один раз получить веса из DRAM через кремниевую шину:
$$t_{\text{stream}} = \frac{14 GB}{142.8 GB/s} \approx 98.0 ms$$Верхняя граница частоты свежих вычислений, ограничиваемая только пропускной способностью, когда каждое вычисление передает все веса:
$$f_{\text{single}} = \frac{1}{t_{\text{stream}}} \approx \frac{1}{0.0980 s} \approx 10.2 Hz$$Помимо весов модели, авторегрессионные фундаментальные модели также наращивают кеш KV. Когда принимаются сенсорные потоки нескольких камер (например,
3потока RGB ), каждый видеокадр добавляет сотни визуальных патч-токенов (3256768токенов). В32-слойном трансформере модели намерения со скрытым измерением4096хранение состояний Key и Value в FP16 потребляет0.52 MBна токен:$$M_{\text{KV}} = 2 \times L \times d \times S \times \text{bytes} = 2 \times 32 \times 4096 \times S \times 2 \approx 0.52 MB \cdot S$$На визуальной подсказке в768токенов кеш KV расширяется на402.7 MBза кадр.2. Амортизация фрагментирования действий. Предположим, что сама модель намерения выдавала бы фрагмент действий из
16будущих заданий (20 ms, охватывая320 ms) с каждого прямого прохода, а не одно шаг действия на прогон весов через DRAM.
- Число прогонов весов через память: 1 прогон (
98.0 ms).- Фрагмент может повторно использовать одно вычисление бэкбона на будущих заданий.
- Амортизированное время прогона весов на задание (без всей остальной работы вывода):
$$\tau_{\text{step}} = \frac{t_{\text{stream}}}{H} = \frac{98.0 ms}{16\text{ setpoints}} \approx 6.1 ms\text{ per setpoint}$$3. Разделение труда в машине. Амортизация распределяет один прогон на большее число заданий, но не заставляет свежее предложение приходить раньше. Каждый новый фрагмент от модели намерения все равно ждал бы по меньшей мере один прогон
98.0 ms, плюс токенизацию, внимание и декодирование. Поэтому мобильный манипулятор делит работу между двумя моделями. Его модель намерения пересматривает цель на5 Hzс160 msвывода. Отдельная политика фрагментов на50Mпараметров, чьи0.10 GBвесов проносятся за0.70 ms, предлагает вместе скорость основания и цели по шарнирам руки на20 Hz, в пределах бюджета вывода40 msпо P99, включающего зрение. Прогон модели намерения слишком медленен, чтобы обновлять предложение каждые несколько десятков миллисекунд; прогон политики фрагментов — нет. «Нервная система» превращает эту разницу в аренду.
Прогон 98.0 ms из блока «Стены памяти, питание и свежесть» — это пол, достигаемый до начала работы зрения, внимания или декодера. Две альтернативы разделению труда в машине — пониженная точность весов и единая модель с быстрой головой — атаковали бы его, и ни одна не устраняет его дешево. Хранение в INT4 сократило бы номинальный объем весов до 3.5 GB, но требует проверки точности для контактных задач. Конструкция с одной моделью могла бы вместо этого обменять темп на плотность, не меняя точность весов. Она периодически вычисляла бы бэкбон 7B, пока легковесная диффузионная голова шумоподавляет кандидатов траекторий на кристалле, поставляя плотные кандидаты путевых точек от каждого более медленного полного вычисления модели. Ее частота новых наблюдений все равно ограничивалась бы полной задержкой вывода, включая работу зрения и декодера; поэтому мобильный манипулятор передает обновление отдельной политике фрагментов.
Сохраняемый контекст добавляет давление, которое начал измерять блок ноутбука. Учет языковых токенов и проприоцепции наряду с визуальными патчами поднимает каждый шаг до 800 токенов, и при 0.52 MB состояния ключ-значение FP16 на токен каждый шаг наблюдения добавляет 419.4 MB кеша KV. Сохранение необрезанного исторического окна контекста в 5 s на 10 Hz дает 21.0 GB кеша KV. Вместе с 14 GB весов модели намерения этот пример занимает 35.0 GB — около половины 68.7 GB прикладного процессора до накладных расходов времени выполнения, а эта память нужна также восприятию, картографированию и политике фрагментов. Даже там, где объем памяти позволяет, чтение большого кеша — это дополнительный трафик на той же шине («Конкуренция за общие ресурсы»). Поэтому воплощенные архитектуры должны избегать необрезанных авторегрессионных визуальных историй, полагаясь вместо этого на пространственное объединение, проекции признаков перекрестного внимания или фрагментирование действий с фиксированным горизонтом.
На станции комплектации рука мобильного манипулятора берет кружку с конвейера, движущегося со скоростью 0.20 m/s, и каждый фрагмент должен выполняться, не позволяя кружке уйти из достижимой области. Без слежения непрерывное движение ленты израсходовало бы запас между допуском захвата и начальной ошибкой оценки ручки в пределах предельного срока свежести из раздела «Свежесть измерений», где . Трекер, следящий за кружкой, убирает это постоянное движение, но остаточное проскальзывание может все еще разгонять цель со скоростью 0.50 m/s², так что сегмент, выполняемый разомкнутым контуром в течение времени , отклоняется на . Вместе с начальной ошибкой 3 mm () это отклонение достигает допуска захвата 15 mm после горизонта свидетельств со слежением 219 ms. Политика фрагментов перепланирует каждые 50 ms и тратит на это до 40 ms, поэтому, пока обновления приходят вовремя, рука выполняет не более 90 ms движения от одного наблюдения, что отклоняется лишь на 2.0 mm и прочно укладывается в горизонт свидетельств со слежением.
Этот разомкнутоконтурный интервал задает также минимальное снабжение, ибо фрагмент короче 5 заданий оставил бы руку в ожидании преемника. Фрагмент машины несет 16 заданий с шагом 20 ms — 320 ms движения, дольше горизонта свидетельств со слежением; выполняемый разомкнутым контуром до конца, он отклонился бы на 25.6 mm — за пределы допуска. Поэтому задания после следующего момента перепланирования — это буфер снабжения, потребляемый лишь когда обновления прекращаются, а аренда, выведенная в разделе «Многотактные ритмы», завершает исполнение задолго до исчерпания этого буфера. Перекрывающиеся фрагменты и временное ансамблирование затем смешивают исполняемое движение поперек каждого обновления.
↳ Далее: ограниченные предложения фрагментов действий фильтруются по вперед-инвариантным барьерам в разделе «Безопасные множества как условное разрешение».
Это пределы инициатора, которые Часть I передает дальше: один фрагмент покрывает 320 ms движения, новый фрагмент занимает до 40 ms, а свидетельства за ним остаются в допуске около 219 ms. Они ограничивают, когда приходит предложение и как долго оно остается истинным, и каждое входит в протокол передачи раздела «Нервная система» как протокол пределов в форме раздела «Замер пределов машины». Ни один из них не говорит, было ли предложение верным в момент его создания.
Пределы обдумывания на периферийном SoC: стены памяти, KV-кеш и динамический дрейф
Прежде чем рассматривать режимы отказов времени выполнения, проверьте свое понимание пределов обдумывания на периферии — по памяти и по времени:
- Ограничения потоковой передачи DRAM: при каких условиях ограничивает темп полной модели и почему фрагментирование действий снижает стоимость передачи на поставляемую путевую точку, не умножая частоту свежих решений политики?
- Расширение памяти кеша KV: можете ли вы описать, как токенизация нескольких камер ведет к линейному росту хранения KV с длиной последовательности (тогда как полный счет внимания может расти квадратично) на необрезанных историях наблюдений и почему чтение этого кеша конкурирует с передачами датчиков реального времени на той же шине?
- Размер горизонта фрагмента и динамический дрейф: можете ли вы объяснить, почему фрагмент должен покрывать период перепланирования плюс собственную задержку вывода, чтобы поддерживать снабжение руки, почему интервал, исполняемый от одного наблюдения, должен оставаться внутри горизонта свидетельств, задаваемого разомкнутоконтурным дрейфом (), и почему оставшиеся задания — это буфер, а не план?
Когнитивные уязвимости
Фрагмент, который политика мобильного манипулятора предлагает для кружки, может прийти в пределах бюджета 40 ms, с каждым заданием конечным и в пределах шарниров, и все же сомкнуть захват на ободке. Его тайминг безупречен, а содержание — нет, и режимы отказа выученных моделей живут в этом разрыве. Выученные фундаментальные модели расширяют охват задач, но затрудняют общее доказательство поведения интегрированного замкнутого контура; заданные компоненты и ограниченные рабочие области все еще могут анализироваться.5
Без проверенной области входов и границы чувствительности малые сенсорные изменения на входе обученного инициатора могут дать неожиданно большие изменения предлагаемого движения. Успех на эталонных тестах не устанавливает устойчивость замкнутого контура, временные границы или безопасность для невиданных условий; эти свойства требуют отдельных свидетельств для модели, времени выполнения и физического объекта управления.6
Режимы отказа обученного инициатора отличаются и от традиционных дефектов ПО. Классическая программа отказывает, выбрасывая исключение, зависая в бесконечном цикле или падая. Нейронная сеть напротив отказывает молча — как фрагмент для кружки, — с выходом, проходящим каждую проверку формата. Независимый путь разрешения обязан отвергнуть обнаруженное нарушение до того, как эти значения станут командами актуаторов. Системные архитекторы должны проектировать с оглядкой на четыре основные когнитивные уязвимости.
Семантические галлюцинации
На транспортном картоне за конвейером напечатана фотография кружки, и политика мобильного манипулятора предлагает захват за напечатанную ручку. Тензор траектории конечен и в пределах шарниров, однако объект, на который он нацелен, отсутствует. Его правдоподобие не может заменить независимую геометрическую проверку, которая обнаружила бы плоскую поверхность там, где политика увидела ручку.
Иллюзия softmax и переуверенность вне распределения
Интерфейсы развертывания часто путают математическую нормализацию с физической вероятностью. В глубоких нейронных сетях выходные логиты пропускаются через функцию softmax,7 выходы которой в сумме дают единицу при любом входе, поэтому воплощенные машины, сталкивающиеся с наблюдениями вне распределения (OOD) — новыми оптическими текстурами, глубокими тенями или каплями воды на объективе, — могут приписывать ошибочным классификациям оценки уверенности выше .
Оценка истинного отношения между заявленной уверенностью модели и эмпирическим физическим успехом требует измерения ожидаемой ошибки калибровки (ECE) — разрыва между тем, насколько уверенной считает себя модель, и тем, как часто физическая задача на самом деле преуспевает.8
Режимы в таблице «Примерные разрывы уверенность–успех при сдвиге распределения» показывают, как высокая заявленная уверенность может сосуществовать с низким успехом задачи при сдвиге. Разности в отдельных строках — это разрывы уверенность–успех, а не ECE; для вычисления ECE нужны интервалы по заданному оценочному набору. Сырые оценки не могут дать разрешение на исполнение без валидации и независимых физических проверок.
| Режим сдвига распределения | Физический и средовой триггер | Уверенность против успеха () | Разрыв уверенность–успех () | Реакция супервизора ниже по потоку |
|---|---|---|---|---|
| Внутри распределения (номинальный базовый уровень) | Чистая оптика, структурированное лабораторное освещение, номинальные текстуры деталей | Применить независимые пределы до номинального исполнения | ||
| Близкий OOD-сдвиг (ковариантный сдвиг) | Зеркальные блики, капли воды на объективе, динамические переходы теней | Запуск выборочного воздержания: ограничить скорость, начать разведочный тактильный зонд | ||
| Дальний OOD-сдвиг (семантический сдвиг) | Незанесенные в каталог деформируемые препятствия, вторжение конечности человека в рабочую область | Отвергнуть предложение; выполнить осуществимую контролируемую реакцию | ||
| Деградация датчиков (аппаратный дрейф) | Тепловой шум фотоприемника (), фокусное расфокусирование от вибрации | Запустить эксплуатационное понижение режима; ограничить кинематику сертифицированными пределами |
Примерные разрывы уверенность–успех при сдвиге распределения: уверенность и доли успеха задачи для четырех режимов работы с супервизорной реакцией, которую требует каждый разрыв.
Восприятийное дребезжание и ковариантный сдвиг
Неоднозначные изображения могут заставлять последовательные классификации объектов быстро меняться. Если планировщик движения считает каждую новую метку свежим физическим состоянием, он может отбросить полезную историю движения — как это сделала каждая переклассификация при столкновении в Tempe («Когда граница отказывает»). В физическом манипулировании восприятийное дребезжание вносит в планировщики траекторий высокочастотные развороты направления, а командуемые развороты требуют ступеней момента, которые должен поглощать привод, — колебаний, разрушающих редукторы. Временное сглаживание может помочь непрерывности движения, но не способно исправить ложную оценку препятствия; независимое обнаружение и осуществимая реакция остаются необходимыми.
Временное истечение намерения
Предложение остается действительным лишь пока действуют лежащие в его основе свидетельства — интервал, который пример с захватом с конвейера вычисляет как горизонт свидетельств . Если модели намерения мобильного манипулятора требуется 160 ms на обдумывание, то люди и тележки в проходе, сама рука и кружка на конвейере уже успели сдвинуться к моменту, когда план готов. Запаздывание в нижележащей связи или исполнении приводит к действию по истекшей аренде намерения («Аренда намерения») — к командованию физическим телом на основе устаревшего мысленного представления. Инициатор, попросту зависший, оставляет объект управления движущимся вовсе без плана, поэтому восстановление должно жить в локальном контроллере ниже него — требование, которое финальные испытания DARPA Robotics Challenge 2015 года возложили на шагающих участников, намеренно деградируя связь Krotkov et al., 2017.
Четыре уязвимости наряду со стеной памяти из раздела «Питание, свежесть и стена памяти» дают три независимых довода против наделения обученного инициатора полномочиями актуаторов. Стена памяти означает, что самая мощная модель не может обновлять предложение так быстро, как машина его потребляет. Галлюцинация, переуверенность и дребезжание означают, что предложение может быть неверным или неустойчивым, пока его заявленная уверенность остается высокой, — значит, уверенность не может его заверять. Истечение означает, что даже верное предложение перестает быть верным, как только мир сдвинулся. Таблица «Классические методы против выученных фундаментальных моделей» ставит пределы обученного инициатора рядом с пределами классических методов, с которых глава начала, и показывает, по какую сторону границы предложения находится каждая возможность.
| Системный аспект | Классические аналитические методы | Выученные фундаментальные модели | Архитектурный синтез физического ИИ |
|---|---|---|---|
| Основополагающий принцип | Аналитические дифференциальные уравнения, геометрия, CAD-модели, устойчивость по Ляпунову | Высокоемкие нейронные представления, подогнанные под эмпирические мультимодальные данные | Гибридная иерархия: выученные предложения намерения пропускаются через путь разрешения |
| Обобщаемость и восприятие | Зависит от модели: явная геометрия и признаки могут терять охват при сдвиге | Зависит от данных: обоснование с открытым словарем может улучшать охват, но давать сбой при сдвиге | Обдумывание без привилегий: фундаментальные модели синтезируют непрерывные семантические цели |
| Математическая верифицируемость | Условная: отдельные свойства могут быть доказаны в предположениях модели | Ограниченная: эмпирическое поведение требует отдельных границ и свидетельств времени выполнения | Граница предложения: пропускной пункт проверяет смоделированные пределы по независимым свидетельствам |
| Временной темп | Жесткое реальное время: детерминированные миллисекундные контуры исполнения () | Многотактность: полный вывод, обновление фрагментов и исполнение путевых точек идут с разными частотами | Разделенные инициаторы: малая политика фрагментов обновляет предложения, пока модель намерения пересматривает цели |
| Режимы отказа и резервирование | Аварии на булевых ветвях; отказ на незанесенных в каталог объектах; исчерпание правил | Семантические галлюцинации; переуверенность вне распределения; истекшее намерение | Условное резервирование: отвергать обнаруженные нарушения и выполнять осуществимую реакцию |
Классические методы против выученных фундаментальных моделей: компромиссы по обобщаемости, верифицируемости, темпу и резервированию и синтез, разделяющий способность предлагать и полномочия на исполнение.
Заблуждения и ловушки
Выученная способность полезна лишь тогда, когда машина может интерпретировать и ограничивать ее предложения. Следующие ошибки путают успех модели, ее уверенность или формат выхода с разрешением действовать.
Заблуждение и ловушка
Заблуждение: инженерная команда должна выбирать целиком между формальными классическими доказательствами безопасности и выученной эмпирической способностью.
Сборочный завод сравнивает классический контроллер жгутов проводов с выученной диффузионной политикой. Классическая конструкция раскрывает явные ограничения движения, но испытывает трудности с деформацией кабеля; выученная политика завершает 96 процентов пробных вставок, не устанавливая худших границ силы или скорости. Эти сильные стороны отвечают разным инженерным обязанностям. Выученная политика может предлагать адаптивные движения, пока детерминированный супервизор проверяет их по физическим пределам, используя функцию барьера управления там, где применимы ее предположения Ames et al., 2019 (подробно в разделе «Обеспечение безопасности»). Разделение способности и принудительного обеспечения позволяет команде оценивать производительность задачи и механизм защиты отдельно. Высокий эмпирический успех не устанавливает ни достаточность супервизора, ни безопасность интегрированной машины.
Заблуждение и ловушка
Ловушка: допущение того, что высокая уверенность нейронной модели обходит детерминированные геометрические границы.
Манипулятор чистой комнаты принимает блик на прозрачном барьере за открытое пространство и предлагает тянуться сквозь него с пробирками с реагентами. Предложение содержит конечные координаты в диапазоне и приходит в пределах своего предельного срока. Эти проверки устанавливают, что пакет пригоден, а не то, что его интерпретация сцены верна. Высокая уверенность не способна устранить ту же перцептивную ошибку, что породила траекторию. Прежде чем дать разрешение, путь разрешения обязан сопоставить предложение с независимо поддерживаемыми геометрическими границами (такими как жестко заданные запретные зоны или карты глубины реального времени).
Заблуждение и ловушка
Заблуждение: сырые вероятности softmax или предсказанные оценки уверенности отражают истинные доли физического успеха.
Политика комплектации из бункера сообщает для группы захватов, однако успешны лишь 64 из 100 физических попыток. Порог воздержания, основанный на заявленной оценке, стал бы поэтому принимать больше отказов, чем предполагает его численное значение. Расхождение касается калибровки: уверенность пока не совпадает с наблюдаемым успехом в рабочих условиях (как иллюстрирует таблица «Примерные разрывы уверенность–успех при сдвиге распределения»). Само по себе оно не устанавливает, правильно ли политика ранжирует кандидатов. Инженеры должны провалидировать отношение между оценками и исходами по всей предполагаемой области, прежде чем использовать уверенность для выбора между исполнением, еще одним наблюдением и помощью оператора. Независимые физические пределы по-прежнему действуют на принятые захваты.
Заблуждение и ловушка
Ловушка: непосредственное связывание высокочастотных семантических классификаций с заданиями двигателей без непрерывной фильтрации.
Робот-доставщик наблюдает светоотражающие тенты над дорожными конусами. При каждом обновлении восприятия его конвейер меняет классификацию между препятствием, подвижной драпировкой и свободным проходом. Если каждое изменение немедленно сбрасывает задания двигателей, неопределенность сцены превращается в повторяющиеся запросы на разворот направления. Приводные двигатели не могут выполнять эти запросы за пределами своих ограничений по скорости нарастания момента, и шасси дребезжит и содрогается. Архитектуре нужна непрерывность между меняющимися интерпретациями и физическими командами. Фильтрация или фрагментирование действий могут поддержать эту непрерывность, но результирующая траектория все равно должна соблюдать пределы движения тела, когда семантическая оценка меняется.
Заблуждение и ловушка
Заблуждение: численно корректный и гладкий фрагмент действий можно безопасно выполнять, когда бы он ни пришел.
Политика фрагментов мобильного манипулятора предлагает траекторию руки к кружке на конвейере. Диспетчеризация хоста задерживает доставку, тогда как остаточное проскальзывание ленты унесло кружку к краю допуска захвата. Траектория остается гладкой и численно корректной, но наблюдение, ее обосновавшее, больше не описывает, где находится кружка. Ее исполнение могло бы сомкнуть захват на ободке или сбить кружку с ленты. Как только задержка превысит аренду фрагмента из раздела «Многотактные ритмы», аренда прекращает полномочия зависшей политики, и рука вместо ожидания переходит в свою проверенную резервную остановку; когда же отложенная траектория наконец приходит, наблюдение, из которого она вычислена, слишком старо, чтобы путь разрешения мог его допустить. Гладкость описывает предлагаемую команду; временная действительность определяет, может ли машина еще действовать по ней.
Итоги
Выученные представления дают мобильному манипулятору то, чего не могла ручная геометрия, — способность найти ручку кружки, которую он никогда не видел. Цена платится трафиком памяти и временем. Крупнейшая модель вычисляется реже всех, и каждое задание, поставляемое любым из инициаторов, устаревает вместе с породившим его наблюдением.
Выученные инициаторы и их пределы обдумывания
- Трафик весов ограничивает частоту наблюдения модели: один прогон
14 GBвесов модели намерения занимает98.0 msна прикладном процессоре до начала зрения или декодирования, поэтому ее частота свежих вычислений не может превышать примерно10.2 Hzпри любом пике производительности.- Фрагментирование умножает снабжение, а не свежесть: фрагмент из
16заданий распределяет одно вычисление на320 msдвижения, но каждое задание так же старо, как и наблюдение за ним. Поэтому машина поручает обновление малой политике фрагментов на20 Hzв пределах40 ms.- Размер фрагмента — между голодом и дрейфом: период перепланирования плюс задержка вывода (
90 ms) задают минимальное снабжение, а дрейф цели — горизонт свидетельств (219 ms). Задания после следующего обновления — это буфер, который завершает аренда, а не план.- Сохраняемый контекст оплачивается дважды: удержание
5 sистории нескольких камер добавляет21.0 GBкеша ключ-значение, который вместе с весами занимает около половины памяти процессора, и каждое его чтение — трафик по шине, которой делятся передачи реального времени.- Уверенность — не калибровка: оценки softmax по построению дают в сумме единицу, поэтому заявленная уверенность может оставаться высокой, пока успех задачи рушится при сдвиге распределения. Лишь калибровка, измеренная по рабочей области, может оправдать порог воздержания.
- Предложение истинно лишь некоторое время: намерения и фрагменты истекают вместе с лежащими в их основе свидетельствами, и гладкое, в диапазоне, вовремя пришедшее предложение все равно может быть устаревшим или неверным.
Каждый предел, выведенный в этой главе, — предел снабжения или истинности, но никогда полномочий. Ни один из них не решает, может ли предложение достичь двигателей; путь разрешения принимает их как входы, когда принимает это решение.
От выученных предложений к пути разрешения
Как долго одно предложение может продолжать управлять машиной, если его преемник так и не придет? Политика фрагментов мобильного манипулятора обновляется каждые
50 ms, а его модель намерения — куда реже, и любая из них может зависнуть, прийти с опозданием или ошибиться насчет кружки. «Нервная система» задает, как часто путь разрешения проверяет каждое предложение, и выводит из бюджета остановки раздела «Физическое тело», как долго оно может управлять актуаторами, прежде чем машина перейдет к резервированию, и записывает и то и другое в протокол передачи наряду с установленными здесь пределами инициатора.
-
Формулировка динамики твердого тела: классическое управление вычисляет обобщенные моменты через стандартное уравнение манипулятора , где — положительно определенная матрица инерции, — члены Кориолиса и центробежные слагаемые, а учитывает силы тяжести. Эта аналитическая формулировка становится вычислительно неразрешимой и физически неточной, когда машины взаимодействуют с несмоделированными трением и контактами, сопротивлением среды или деформируемыми объектами. Выводы приведены в разделе «Управление и динамика». ↩
-
Граница предложения: рассмотрение нейронной политики как непривилегированного генератора предложений изолирует стохастический вывод от регистров актуаторов. Кандидаты заданий траектории проверяются на выделенном кремнии безопасности, поэтому предложения, нарушающие смоделированные пределы актуаторов или запретные зоны, могут быть отвергнуты до того, как любое из них дойдет до привода («Полномочия исполнения команды»). ↩
-
Метрическое пространственное обоснование: если невоплощенный ИИ оперирует дискретными семантическими токенами, физический ИИ обязан обосновывать эту семантику в специальной евклидовой группе , отображая сущности в метрические расстояния (метры) и пространственные ориентации (кватернионы) относительно системы координат основания робота. Неспособность удерживать это метрическое обоснование приводит к тому, что нейронные политики выдают кинематически невозможные декартовы пути, нарушающие границы рабочей области актуаторов. ↩
-
Насыщение пропускной способности DRAM при авторегрессии: последовательные токены действий могут вызывать повторный полный трафик весов модели, когда веса нерезидентны и декодер возвращается к бэкбону; поведение кеша и аппаратура определяют реальный потолок пропускной способности. Фрагментирование действий — один из способов сократить число полных вычислений политики на единицу физического времени. ↩
-
Коннекционистско-символическая дуальность: архитектуры физического ИИ согласуют статистический коннекционизм с детерминированными символьными вычислениями: высокоемкие нейронные сети синтезируют предложения поведения в открытом мире, тогда как формальная символьная логика и мониторы инвариантов проверяют кинематическую корректность до того, как заданиям будут дарованы полномочия на исполнение. ↩
-
Непрерывность по Липшицу в нейронных политиках: хотя нейронные сети с гладкими функциями активации непрерывны на компактных областях, граница должна быть установлена на заданной рабочей области. Если действительная граница существует, ошибка датчика влечет ; непроверенная не дает пригодной гарантии ошибки действия. Математические формулировки приведены в разделе «Машинное обучение: основы». ↩
-
Нормализация softmax и эпистемическая неопределенность: оператор softmax обеспечивает нормализацию по категориальному симплексу алгебраическим построением, а не байесовской эпистемической уверенностью. Высокая выходная уверенность отражает лишь относительное разделение логитов, что означает: модели приписывают вероятности, близкие к единице, даже оценивая входы полностью вне их обучающего распределения. Выводы приведены в разделе «Машинное обучение: основы». ↩
-
Формулировка ожидаемой ошибки калибровки: разбейте предсказанную уверенность на интервалы. В каждом интервале сравните наблюдаемую частоту успеха со средней заявленной уверенностью; усредните абсолютные разрывы с весами по доле выборки в интервале. Повышенная ECE показывает, что заявленная уверенность — плохое основание для дачи физического разрешения. Уравнение и определения интервалов приведены в разделе «Переуверенность softmax и ошибка калибровки». ↩
Нервная система
Цель
Что вынуждает независимую Нервную систему вставать между обдумыванием нейронных политик и физической мощностью актуаторов?
Кинетический импульс движущейся машины не может замирать, пока нейронная политика завершает обдумывание. Прямые соединения между высокоемкими фундаментальными моделями и силовыми каскадами двигателей подвергают актуаторы дрожанию планировщика операционной системы, остановкам сборки мусора и конкуренции за шину памяти. Пока программные потоки ожидают передач DMA, механические звенья накатываются под неуправляемой инерцией, магнитный поток обрушивается, а динамическое равновесие деградирует раньше, чем среда выполнения успевает поднять исключение. Приоритеты программных задач не могут вытеснить аппаратное насыщение памяти или механическую скорость; физическая стабильность требует циклово-детерминированного управления в реальном времени.
Нервная система разрешает это несоответствие, отделяя обдумывающее планирование от высокочастотной коммутации актуаторов. Выступая независимым циклово-детерминированным привратником, она непрерывно проверяет свежесть наблюдений и удерживает исключительные полномочия записи на силовые каскады инверторов. Переводя бюджет остановки физического объекта управления в жесткие временные аренды и ограничения барьера управления, Нервная система ограничивает, как долго любое предложение может вести движение до истечения срока. Если нейронная политика задерживается, отказывает или выдает небезопасную траекторию, Нервная система вмешивается, чтобы остановить движение до того, как машина нарушит свою безопасную огибающую.
↰ Предпосылка: аппаратная изоляция областей на кремнии физически обеспечивает каузальную границу, определенную в разделе «Каузальная граница».
Цели обучения
- Определить частоты обновления управления из физической динамики и допустимой задержки отклика
- Оценить обмен предложениями по свежести и ограниченному времени передачи между обученным инициатором и путем разрешения
- Различать измеренные процентили задержки и обоснованные худшие границы выполнения в реальном времени
- Оценить аппаратную изоляцию, сохраняющую полномочия актуаторов при отказе обученных политик или связи
- Подобрать размер аренды предложения между периодом обновления инициатора и предтормозным временем, оставляемым бюджетом остановки
- Диагностировать отказ интерфейса как превышение бюджета предела на конкретной передаче, используя сопоставимые свидетельства
- Составлять записи протокола передачи, задающие каждому пределу интерфейса его условия, категорию свидетельств и вид границы
Многотактный мост
Складской мобильный манипулятор, за которым следует эта книга, регулирует ток в обмотках своих двигателей тысячи раз в секунду, тогда как обученным моделям, предложившим его захват кружки на конвейере в разделе «Когнитивный мозг», требуется на порядки больше времени, чтобы переварить каждый кадр камеры. Если обдумывающие рассуждения и регулирование двигателя разделяют блокирующий путь выполнения или неразделенную шину памяти, любая задержка нейронной сети лишает питания физическое управление. Физика движущейся массы и электромагнитных катушек создает строгое архитектурное требование: Мозгу нужно время на обдумывание, а Телу для выживания нужно непрерывное управление.
В стандартных компьютерных системах нагрузки делят процессоры, кеши и межсоединения памяти под общими операционными системами. Когда нейронная сеть передает многогигабайтные тензоры весов по общей шине памяти, она насыщает кроссбары прямого доступа к памяти,1 и никакой приоритет потока не может вытеснить аппаратную транзакцию, уже занимающую шину. Если пауза сборки мусора, отказ страницы или термическое снижение номинала останавливают нейронный движок, неразделенная система перестает посылать задания инверторам двигателей.
Раздел «Когнитивный мозг» установил, сколько времени требуется каждому обученному инициатору машины, чтобы превратить кадры камеры в предложение. Электромагнитная катушка двигателя имеет электрическую постоянную времени (), измеряемую долями миллисекунды, тогда как движущиеся звенья несут кинетическую энергию (). Поэтому задержка или неверный расчет команды тока могут исчерпать физический запас до завершения обдумывания. На мобильном манипуляторе несоответствие принимает две формы:
- Основание (класс 1) движется в крейсерском режиме до своего предела хода
1.5 m/s(иллюстративно; см. руководство для читателя), поэтому за один инференс политики фрагментов40 msоно проходит60 mm, а за один инференс модели намерения160 ms—240 mm, и ничто не тормозит его за это время, если за этим не следит какой-то иной процесс, кроме инициатора. - Рука (класс 2) несет приведенную инерцию ротора () через свои редукторы; если ее высокочастотные контуры импеданса прерываются, пока захват находится на дверной ручке или кружке, эта инерция уводит силу контакта за предел.
Программная дисциплина, приоритеты потоков ОС и обработчики исключений среды выполнения не могут сами по себе уберечь объект управления. Безопасность требует явной детерминированной ткани вычислений, памяти и связи. Эта ткань — Нервная система пятиуровневой машины (раздел «Машина в пяти уровнях»), и в ней находится путь разрешения.
Каждый сигнал, пересекающий границу между обдумыванием и физическим исполнением команды, ограничен пятью пределами интерфейса, которые раздел «Матрица передач» раскладывает передача за передачей. Их согласование требует архитектуры, которая доставляет микросекундный цикловой детерминизм ( до ), чтобы сохранить фазовый запас регулятора; поддерживает неблокирующее асинхронное разделение, не позволяющее медленному нейронному инференсу блокировать внутренние контуры управления; изолирует записи актуаторов от сбоев хоста; ограничивает привилегию исполнения команды путем разрешения; и запрашивает локализованный проверенный отклик, когда аренда фрагмента предложения истекает.
Первое решение — где выполняются две эти нагрузки. Разделение в разделе «Где проходит путь разрешения» держит инференс вне хронометрируемого пути актуаторов. Затем проект в разделе «Многотактные ритмы» закладывает бюджет их обмена и подбирает размер аренды, завершающей полномочия устаревшего предложения; раздел «Передача команд вовремя» ограничивает время, за которое команда доходит до приводов. Остальные разделы размещают полномочия актуаторов, изоляцию отказов и проверки инвариантов и закрывают Часть I протоколом передачи и единым бюджетом, связывающим аренду этой главы с пределами разделов «Физическое тело» и «Когнитивный мозг». Каждый механизм должен оставлять физическому объекту управления измеренный осуществимый отклик, когда инициатор приостанавливается.
Где проходит путь разрешения
В системе физического ИИ встречаются два режима вычислений, и у них почти нет ничего общего. Первый режим — обдумывание, где обученные модели оценивают сенсорный контекст, выводят состояние среды и предлагают планы будущих действий. Второй режим — реактивное принудительное обеспечение, где детерминированная логика управления опрашивает шарниры, проверяет кинематические пределы, интерполирует команды движения и регулирует электрические токи в двигателях.
Обдумывающей работе свойственны глубокие вычислительные графы, большие объемы памяти и переменные времена выполнения. Модель зрение–язык–действие (VLA), обрабатывающая видеопотоки нескольких камер, тактильные истории и текстовые подсказки, требует миллиардов операций умножения-накопления на сотнях слоев нейронной сети. Хранение параметров и промежуточных тензоров активаций требует гигабайтов высокополосной памяти. Чтобы достичь приемлемой арифметической производительности, обдумывающие вычисления выполняются на массово-параллельных акселераторах, таких как графические процессоры (GPU) или специализированные нейропроцессоры (NPU). Эти процессоры максимизируют суммарную производительность через широкие векторные регистры и пакетные конвейеры памяти — прямой ценой детерминированной задержки. Остановки доступа к памяти, динамический выбор тензорных ядер, передачи по шине и управление памятью во время выполнения разбрасывают времена инференса по широкому распределению. Если обдумывающая модель испытывает временную задержку, отказ мягкий: конвейер планирования выдает запаздывающее предложение или устаревшую траекторию, которую можно удержать или отбросить, пока путь разрешения поддерживает стабильное равновесие.
Реактивная работа живет под обратными ограничениями. Внутренний контур управления, вычисляющий обратную динамику, контроль пределов шарниров или векторное управление (FOC) двигателем, требует нескольких тысяч арифметических операций на обновление. Его объем памяти статичен и измеряется килобайтами, а не гигабайтами: каждая переменная размещается во время компиляции в тесно связанной статической памяти на кристалле. Реактивные подпрограммы выполняются на микроконтроллерах с подсчетом циклов или программируемых логических матрицах (FPGA), спроектированных под ограниченное выполнение, а не под максимальную параллельную производительность. Предельные сроки этой работы — жесткие требования реального времени, диктуемые механической инерцией и электрической индуктивностью физической системы; обычно они работают на частотах от до с бюджетами обновления от до . Если реактивный контур пропускает свой предельный срок выполнения, отказ жесткий: утраченное регулирование тока вызывает сильную пульсацию момента, насыщение актуатора или механическое столкновение.
Среды выполнения обученного инференса зависят от режимов доступа к памяти, резидентности кеша, динамических форм тензоров и аппаратной предвыборки, из-за чего времена выполнения стохастичны. Конвейер инференса может укладываться в средний предельный срок и все равно пропускать отдельные сроки в своем хвосте задержек. При десятках запросов в секунду даже вероятность превышения меньше процента дает множество промахов в час, каждый из которых — интервал, в котором актуаторы двигателей не получают обновленной команды, если разрыв не закрывает независимый детерминированный процесс.2
Универсальные операционные системы и патчи ядра реального времени (PREEMPT_RT) не способны согласовать эти два профиля выполнения на общем процессоре. Хотя расширения реального времени допускают статические приоритеты задач и вытесняемое ядро, они не устраняют общих микроархитектурных ресурсов. Когда поток, выполняющий обученную модель, передает гигабайты матриц весов по шине памяти, он вытесняет кеш-линии, принадлежащие высокоприоритетным задачам управления. Если обдумывающая среда выполнения запускает принудительную инвалидацию буфера трансляции адресов (TLB),3 входит в спинлокс уровня драйвера или насыщает кроссбар шины памяти запросами прямого доступа к памяти (DMA), аппаратный конвейер останавливается.4 Прерывание высокого приоритета реального времени может вытеснить программное выполнение, но оно не может вытеснить аппаратную пакетную транзакцию в полете, уже занимающую общий кроссбар памяти. Более того, регуляторы динамического масштабирования напряжения и частоты (DVFS) подстраивают частоты ядер по тепловыделению и загрузке процессора, динамически меняя циклы инструкций (раздел «Заблуждения и ловушки» оценивает связанный с этим расход хода машины). Результирующее дрожание составляет от десятков микросекунд до нескольких миллисекунд — легко превышая весь временной бюджет контура управления . Раздел «Конкуренция за общие ресурсы» измеряет досягаемость каждого из этих каналов на общем кристалле.
Аппаратура интерфейсов по обе стороны делает разделение конкретным. Хост-процессор с акселератором взаимодействует через топологии шин с высокой задержкой, такие как PCIe или кроссбары системной ткани, где передачи DMA требуют синхронизации кольцевых буферов, служебных обработчиков прерываний хоста и рукопожатий когерентности кеша, потребляющих от до на транзакцию. Напротив, встроенный микроконтроллер или специализированная интегральная схема контроллера двигателя реального времени (раздел «Кремний контроллера привода двигателя») взаимодействует напрямую с приемопередатчиками датчиков и силовыми каскадами через регистры с отображением в память, входы и выходы за один цикл и тесно связанную статическую память без циклов ожидания. Чтение абсолютного энкодера шарнира через последовательный периферийный интерфейс (SPI) или обновление счетчика широтно-импульсной модуляции (PWM) векторного управления занимает меньше ограниченного времени выполнения,5 изолированного от конкуренции за системную шину.
Кремний контроллера привода двигателя: макросъемка встроенного интегрального контроллера привода двигателя с прецизионными шунтовыми резисторами измерения тока (R110), многослойной силовой разводкой и прямыми выходами управления затворами. Выделенный кремний реального времени выполняет циклово-детерминированные контуры коммутации тока без планировщиков операционной системы, иерархий кеша и конкуренции за шину. (Источник: Wikimedia Commons, CC BY-SA 4.0).
В двухпроцессорной реализации (раздел «Двухпроцессорная реализация») обдумывающее планирование и реактивное принудительное обеспечение не разделяют ядро процессора, иерархию кеша или общую шину памяти. Медленный стохастический путь работает на параллельном оборудовании (прикладные процессоры Linux и тензорные акселераторы), оптимизированном под чистую производительность на широких потоках данных, тогда как быстрый детерминированный путь работает на изолированном оборудовании (микроконтроллеры без ОС или ядра FPGA), оптимизированном под худшее время выполнения и подсчитываемую по циклам предсказуемость. На мобильном манипуляторе путь разрешения работает на микроконтроллере безопасности (MCU). Отдельные чипы — одна из реализаций; путь разрешения может размещаться и на одном кристалле, если показано, что его граница отклика и сдерживание отказов сохраняются (раздел «Два пути на одном кристалле»).
Двухпроцессорная реализация: прикладной процессор публикует обученные предложения в общий почтовый ящик. Независимо планируемый микроконтроллер, на котором работает путь разрешения, проверяет свежесть и физические пределы, прежде чем командовать током двигателя, и выполняет определенное резервирование при устаревших или небезопасных предложениях.
Безопасность в физическом ИИ — это архитектурное разделение на кремнии, а не приоритет планировщика операционной системы. Высокопроизводительный обдумывающий движок действует строго как ненадежный клиент, тогда как выделенный кремний реального времени выступает аппаратным привратником. Разделение определяет, где работает каждая нагрузка, но оставляет две стороны на разных часах с частотами, различающимися на порядки, и каждое предложение должно по-прежнему пересекать границу между ними, не заставляя ни одну сторону ждать другую.
Многотактные ритмы
Приводы мобильного манипулятора регулируют ток обмотки каждые , тогда как его политике фрагментов требуется 40 ms на P99, чтобы превратить кадры камеры в один фрагмент действий. Ни одна частота выполнения не обслуживает одновременно физическую динамику тела и стоимость восприятия и инференса, поэтому машина физического ИИ ведет несколько связанных ритмов (раздел «Многотактный ритм и обмен буферами»), каждый задается своим физическим процессом. Мобильный манипулятор ведет четыре ритма. Контур тока в приводах работает на ; такт разрешения на микроконтроллере безопасности работает на и несет контур шарнира и оценку допущенного сплайна; политика фрагментов работает на 20 Hz, питаясь восприятием на частотах своих датчиков; а модель намерения пересматривает цели на 5 Hz. Последние два ритма лежат в пределах частот инференса Мозга (раздел «Выученные представления»).
↰ Предпосылка: требования микросекундной задержки прерываний опираются на границы свежести датчиков, введенные в разделе «Пять физических бюджетов».
Частота внутреннего контура определяется физическими постоянными времени актуатора и структурным резонансом машины. Для актуатора с электрической постоянной времени ток обмотки статора откликается на приложенное напряжение за этот интервал. Для иллюстративной обмотки с выбор десяти выборок тока на электрическую постоянную времени дает , или . Вывод обмотки см. в разделе «Системы и оборудование». На уровне шарнира механическая постоянная времени и структурная жесткость диктуют требуемую полосу замкнутого контура, а дискретный контур выборки с удержанием вносит фазовое запаздывание, пропорциональное задержке вычислений и интервалу выборки.6 При предполагаемой частоте среза контура шарнира интервал выборки с удержанием дает вклад фазового запаздывания. Если допустимая эрозия выборки составляет , интервал должен быть меньше примерно ; — один из осуществимых вариантов до добавления задержек вычислений и передачи.
Медленные контуры управления разрушают фазовый запас контура обратной связи. Накопленное фазовое запаздывание заставляет корректирующие моменты приходить в противофазе с движением механического звена, превращая стабилизацию отрицательной обратной связью в усиление положительной. При той же частоте среза контур добавляет около запаздывания удержания — выше допуска .
Восприятие, питающее политику фрагментов, выполняется на промежуточной частоте, задаваемой физикой сбора фотонов, окнами экспозиции и скоростью цели относительно поля зрения датчика. В иллюстративной сцене с экспозицией 15 ms основание на пределе хода 1.5 m/s проходит 22.5 mm за время экспозиции; размытие плоскости изображения дополнительно зависит от глубины, оптики и движения камеры. Отношение сигнал/шум экспозиции, это смещение и время обработки совместно ограничивают полезную частоту восприятия для задачи.
Частота политики фрагментов выбирается в пределах задержки обновления, которую раздел «Питание, свежесть и стена памяти» измеряет на прикладном процессоре. На мобильном манипуляторе обновление 20 Hz и фрагмент из 16 путевых точек — горизонт фрагмента политик фрагментирования действий Zhao et al., 2023 — мостят частоты наблюдений и исполнения команды.
Поскольку эти ритмы выполняются на изолированных аппаратных областях с разными частотами, обмен данными через границы частот должен быть асинхронным, неблокирующим и без копирования (раздел «Многотактный ритм и обмен буферами»). Если контур управления ждет мьютекс, удерживаемый средой выполнения нейронной сети на , единственная задержка планировщика в операционной системе немедленно приводит к тому, что контроллер реального времени пропускает свой предельный срок.
Многотактный ритм и обмен буферами: (a) Репрезентативные частоты восприятия, политики и такта разрешения; такт разрешения удерживает последний действительный сплайн при переработке политики только до предела своей свежести. (b) Концептуальный почтовый ящик с тремя слотами; в тексте описан более простой однослотовый базовый вариант seqlock. Промышленному трехслотовому варианту дополнительно нужны атомарная публикация и владение слотом читателя (синтезировано по Slotine & Li Slotine and Li, 1991 и ARM Architecture Reference Manual).
Базовый неблокирующий обмен использует почтовый ящик seqlock с одним писателем и одним читателем (SPSC) в общей статической памяти.
Буфер seqlock без блокировок
Буфер seqlock без блокировок — неблокируемый механизм синхронизации общей памяти, сочетающий атомарный счетчик последовательности с явными аппаратными барьерами памяти, что позволяет непривилегированному писателю публиковать многобайтовые нагрузки траекторий без блокировки и позволяет параллельным читателям проверять целостность нагрузки проверками четности счетчика: где нечетное значение счетчика сигнализирует об активной мутации писателя, а идентичная четная пара счетчиков подтверждает неповрежденное чтение нагрузки без гонок.
- Значение: разделяет высокочастотные контуры управления реального времени () и процессы нейронной политики с переменной задержкой () без мьютексов, предотвращая инверсию приоритетов операционной системы, приводящую к промахам предельных сроков жесткого реального времени.
- Отличие: в отличие от мьютексов или семафоров, приостанавливающих выполнение потока при конкуренции, читатель seqlock никогда не блокируется; если обнаружена коллизия или разорванное чтение, читатель сохраняет ранее проверенный сплайн траектории в рамках ограниченного бюджета выполнения (время ).
- Типичная ловушка: пропуск двунаправленных аппаратных барьеров памяти (
DMB OSH/DMB OSHLDна ARM) вокруг доступов к нагрузке, что позволяет конвейерам процессора с неупорядоченным выполнением спекулировать или поднимать загрузки памяти выше начальной проверки счетчика последовательности.
Писатель — ненадежный прикладной процессор — делает счетчик нечетным, копирует полное предложение в общий слот, делает нагрузку видимой через межсоединение, а затем делает счетчик четным с упорядочением release. Читатель — путь разрешения — делает одну ограниченную попытку копирования на такт. Он отклоняет попытку, если счетчик был нечетным или изменился во время копирования; иначе копия возводится в активный сплайн только после прохождения проверок контрольной суммы и свежести, так что отклоненное чтение оставляет активный сплайн неизменным, а читатель никогда не ждет писателя. Поскольку писатель — вытесняемый процесс пользовательского пространства, а не поток ядра, писатель, остановленный посреди записи, может неопределенно долго оставлять счетчик нечетным; тогда читатель сохраняет свой последний проверенный сплайн только до истечения аренды этого сплайна. Трехслотовый вариант публикации, набросанный в разделе «Многотактный ритм и обмен буферами», удерживает полностью опубликованный слот доступным, пока писатель подготовляет другой, ценой атомарной публикации слота и владения слотом читателя. Полный однослотовый протокол, включая барьеры памяти, которых требует процессор со слабым упорядочением, приведен в разделе «Полевые шины реального времени и синхронизация без блокировок».
Собственные коллизии почтового ящика редки и дешевы. Чтение сталкивается только при перекрытии с записью, а запись занимает слот на микросекунды один раз за период фрагмента. Если часы писателя и читателя дрейфуют друг относительно друга, сталкивается лишь малая доля чтений; если они фиксируются на неблагоприятной фазе, одно чтение может сталкиваться с каждой записью. В любом случае запись, значительно короче одного такта читателя, не может перекрыть два соседних чтения, поэтому обнаруженный нечетный или изменившийся счетчик заставляет читателя отбросить одну попытку и сохранить последний проверенный сплайн. Таким образом, коллизия стоит одного такта свежести.
То, как долго может длиться аренда сплайна, — вопрос об объекте управления, а не о почтовом ящике. По закону необратимости (принцип «Закон необратимости») каждая миллисекунда, которую зависшее предложение сохраняет свои полномочия, — это ход, которого не вернет никакая последующая проверка, поэтому аренда должна оплачиваться из бюджета остановки.
Размер аренды из бюджета остановки
Задача: складской мобильный манипулятор движется по проезду на пределе хода
1.5 m/sк человеку, вышедшему из-за торца стеллажа и остановившемуся в1.10 mвпереди. Его политика фрагментов в последний раз обновляет предложение и затем зависает. Сколько времени остается до начала торможения и какую его часть тратит аренда фрагмента?1. Что оставил раздел «Кинетический импульс»:
- Торможение с достоверным замедлением
2 m/s²требует562.5 mm— слагаемое тормозного пути раздела «остановочный путь тела»; локализация и защитный запас, , занимают150 mm; начало торможения,20 ms, —30 mm.- Бюджет остановки поэтому составляет
742.5 mmиз свободного расстояния1.10 m.2. Предтормозной потолок:
- Все, что происходит до начала тормозной силы, должно помещаться во время, которое оставляют расстояние слагаемого торможения и накладные расходы при скорости : Здесь правая часть равна
258.3 ms, и начало торможения уже израсходовало20 msиз нее.3. Путь аренды (строка 4 бюджета остановки):
- Зависшее предложение сохраняет полномочия в течение выбранной аренды фрагмента,
60 ms. Путь разрешения замечает истечение на своем следующем такте,1 ms, и команда останова доходит до приводов один шинный цикл спустя,1 ms. Каждое из трех входит в . Фазовый запас контура шарнира задает такт; при1.5 mmза миллисекунду бюджет остановки может его позволить.- Строка добавляет — расстояние, пройденное за
62 msпри1.5 m/s, то есть93 mm. Текущий итог растет с742.5 mmдо835.5 mm, оставляя264.5 mm.- От последнего действительного обновления до начала торможения машина тратит
82 ms, и176.3 msпотолка остаются на слагаемые, которые добавят последующие главы.- У аренды есть и пол, и потолок. Политика фрагментов публикует свежий фрагмент каждые
50 ms, и с допуском5 msна дрожание обновления любая аренда короче55 msпозволила бы истекать собственным фрагментам здорового инициатора. Выбранные60 msлежат чуть выше этого пола.Системный вывод: аренда фрагмента — слагаемое бюджета остановки, а не таймаут, выбранный для удобства. Каждая добавленная миллисекунда стоит
1.5 mmсвободного расстояния на пределе хода — расстояния, которое понадобится возрасту наблюдения и профилю остановки планировщика.
Худший случай — инициатор, который обновляет аренду по кадру накануне появления человека, а затем зависает, пока его сигнал живости остается активным. Ничто не читает кадр, показывающий человека, и торможение начинается только по истечении аренды, плюс один такт, один шинный цикл и начало торможения; собственный возраст кадра, который измеряет раздел «Сенсорное восприятие», добавляется к этому. Путь разрешения может ограничить этот случай, не видя человека, ибо механизм принуждения — контур проверки пути разрешения — читает энкодеры, ИМУ и время свидетельства с меткой в заголовке предложения, а не сырое наблюдение.
Обмен охраняют три таймера, и каждый отвечает на свой вопрос. Аренда фрагмента ограничивает, как долго допущенное предложение может управлять актуаторами; ее обновляет только свежее предложение, а ее длина исходит из бюджета остановки — здесь выбранные 60 ms между полом обновления и предтормозным потолком раздела «Размер аренды из бюджета остановки». Сигнал живости сообщает, что прикладной процессор жив. Он работает на 100 Hz с тайм-аутом 30 ms, быстрее инициатора, и его молчание отзывает предложение, не дожидаясь аренды. Он никогда не обновляет аренду фрагмента, ибо живой процесс все равно может не публиковать ничего допустимого, так что именно аренда ограничивает хост, остающийся живым, но переставший публиковать допустимые фрагменты. Собственный сторожевой таймер удостоверяет, что сам путь разрешения завершает свои проверки; контур разрешения подкармливает его только после завершенного такта, и он срабатывает после 5 ms без подкормки, так что зависший механизм принуждения вызывает его срабатывание, даже когда его таймерные прерывания продолжают работать (раздел «Аппаратная изоляция»).
Аренда обеспечивается через заголовок предложения — часть каждого предложения, позволяющая пути разрешения судить о нем, не доверяя его автору. По смыслу заголовок несет номер последовательности, время свидетельства наблюдения, из которого вычислено предложение, вместе с ошибкой пересчета этого времени, время выпуска, срок действия, ссылку на родительскую запись, из которой выведено предложение, систему координат, вид нагрузки и контрольную сумму. Минимальная нагрузка за ним — фрагмент — несет число путевых точек и, для каждой точки, положения и скорости шарниров. Она не несет моментов, ибо обученное предложение задает кинематические задания (раздел «Выученные представления»), а момент — это то, что трекер на стороне разрешения вычисляет из них. Предельный срок свидетельства предложения — это его время свидетельства плюс наибольший возраст свидетельства, который принимает путь разрешения и который закладывает раздел «Сенсорное восприятие». Предложение управляет актуаторами только до более раннего из своих срока действия и предельного срока свидетельства — независимо от того, приходит ли какая-либо отмена.
↳ Раскладка по байтам: поля, типы и смещения заголовка предложения и нагрузки фрагмента приведены в разделе «Заголовок предложения и нагрузка фрагмента».
Каждая запись, пересекающая границу предложения, несет свои времена на часах микроконтроллера безопасности. Производитель на других часах пересчитывает их по версионированному соответствию и несет границу ошибки этого соответствия, которую потребитель добавляет к каждому проверяемому возрасту. Календарное время появляется только в журналах и в сроке действия вердикта выпуска — никогда в тесте возраста.
Запись, пересекающая границу, защищена от трех разных отказов тремя разными полями. Контрольная сумма по заголовку и нагрузке обнаруживает случайную порчу; она ничего не доказывает о том, кто писал байты. Дайджест записи, из которой она выведена, устанавливает происхождение; он тоже не аутентификатор. Тег с ключом появляется только там, где сама личность отправителя дает полномочия: на командах оператора, приходящих по сети (раздел «Аутентификация вмешательства»), на судебно-медицинском журнале (раздел «Достоверные операционные журналы»), а также на офлайн-свидетельствах и артефактах выпуска (разделы «Манифест отказов», «Манифест выпуска»). Предложения обученной модели не несут тега с ключом, ибо путь разрешения допускает по содержимому, а не по происхождению, и ключ, удерживаемый скомпрометированным инициатором, не аутентифицировал бы ничего.
Возможные отказы читателя делятся на четыре класса (раздел «Отказы контракта границы и матрица резервирования»), и ни один из них не позволяет отказавшему производителю заставить путь разрешения ждать. Классы не дают обмену блокироваться; сами по себе они не сдерживают объект управления, ибо выбираемое каждым из них резервирование все еще требует ограниченного тайминга и проверенного останова.
| Класс отказа | Условие обнаружения читателем | Действие резервирования физической системы | Ограниченный отклик |
|---|---|---|---|
| Разорванный / В полете | Нечетный или изменившийся | Отклонить текущий снимок; использовать допустимый предыдущий фрагмент или резервирование | Одна ограниченная попытка; измерить длительность |
| Некорректный | Не проходит контрольная сумма или настроенная граница команды | Отклонить предложение; использовать независимо проверенное резервирование | Измерить проверку и отклик |
| Устаревший | Прошел срок действия предложения или предельный срок свидетельства (местные часы) | Завершить полномочия слежения; войти в резервирование по состоянию | Предельный срок из бюджета объекта управления |
| Отсутствующий | Разрыв в последовательности | Записать пробел аудита; оценить текущую запись по ее собственным данным | Один такт на флаг |
Отказы контракта границы и матрица резервирования: сбои обмена через границу предложения по классам и выбираемое каждым резервирование. Пути резервирования выбираются без ожидания восстановления хоста.
Несоответствие частот вносит три режима отказа: накопление фазового запаздывания, наложение частот и голодание буферов. При преобразовании из дискретного в непрерывное удержание нулевого порядка (ZOH) удерживает задания постоянными на всем периоде планирования , доставляя кусочно-постоянные ступени положения вместо гладкой траектории. Эта ступенчатая квантованность вносит внутреннее фазовое запаздывание в полвыборки . Прямая подача сырых путевых точек планировщика во внутренние контуры двигателя на влечет некомпенсированной фазовой задержки, разрушая запасы слежения и возбуждая несмоделированные механические резонансы. Через зафиксированный стык путевых точек механизм принуждения реального времени может использовать квинтический мост, увязывающий положение, скорость и ускорение на обоих концах. Именно эти шесть граничных условий, а не частота такта, придают стыку непрерывность , а оценка допущенного моста на поставляет соответствующие задания скорости и ускорения подачи.
↰ Предпосылка: высокочастотная интерполяция шарниров фрагментов действий опирается на генератор предложений в разделе «Питание, свежесть и стена памяти».
Наложение частот возникает, когда высокочастотный шум датчиков складывается в низкочастотные оценщики; система предотвращает его аналоговыми противонакладывающими фильтрами и цифровой децимацией7 в области высокочастотного микроконтроллера. Классические гарантии устойчивости Slotine and Li, 1991 предполагают, что дрожание выполнения внутреннего контура остается строго ограниченным, а задания приходят до опустошения буфера траектории. Путь разрешения обеспечивает эти условия через циклово-детерминированные прерывания микроконтроллера и отслеживание глубины буфера. Если планировщик зависает и буфер доходит до своей последней действительной путевой точки, путь разрешения отклоняет устаревшие предложения и запрашивает свое проверенное локальное замедление или удержание.
Переработка означает разное на каждом из четырех ритмов. Контур тока работает в приводах с бюджетом дрожания в микросекунды, и обнаруженный там отказ снимает момент аппаратно. На такте разрешения 1 ms переработка — это отказ, выбирающий проверенный локальный останов, и сплайн действует только в пределах своей аренды и запаса остановки. Время инференса 40 ms политики фрагментов на мобильном манипуляторе — это P99, статистическая величина, а не худшая граница, и этот ритм удерживает аренду фрагмента 60 ms лишь потому, что обновляется каждые 50 ms, внутри аренды; переработка, откладывающая обновление за пределы аренды, позволяет ей истечь. Когда перерабатывает модель намерения, ее цели истекают, и машина входит в резервирование по состоянию, удерживаясь или останавливаясь из текущего состояния объекта управления.
Каждый хронометрируемый ритм — это предельный срок, и бюджет аренды предполагает, что такт, шинный цикл и начало торможения укладываются в свои на каждом цикле. Это предположение требует худшей границы на каждый шаг между проверкой механизма принуждения и приводами, и ни более быстрый процессор, ни более долгое измерение задержки ее не дают.
Передача команд вовремя
Наблюдаемые распределения задержек не устанавливают худших временных границ. В статистическом анализе производительности инженер измеряет десять миллионов выполнений задачи, фиксирует, что девяносто девятый процентиль () задержки равен , а максимальная наблюдаемая задержка — , и заключает, что вычисление свободно помещается внутри предельного срока управления . Это заключение не следует. Эмпирическое распределение фиксирует то, что происходило в ходе конечных испытаний, тогда как граница жесткого реального времени должна выполняться в каждом аппаратном состоянии, допускаемом анализом. Когда платформа выполнения включает конвейеры с неупорядоченным выполнением, общие иерархии кеша, спекулятивные предвыборщики и одновременный трафик прямого доступа к памяти, конечная выборка задержек не может установить верхнюю границу. Отсутствующие хвостовые события не исчезают; они проявляются при редких микроархитектурных коллизиях — например, когда одновременные пакетные передачи DMA и вытеснение кеш-линий совпадают с критическим прерыванием, — которые проявляются под производственной нагрузкой.
Установление худшего времени отклика требует ограничить каждое слагаемое, вносящее вклад во время отклика задачи: базовое время вычислений, время блокировки в ожидании общих критических секций и время помех от прерываний высокого приоритета или конкуренции за шину памяти.8 Если хоть одному из этих трех слагаемых не хватает проанализированной верхней границы, у системы нет границы худшего времени отклика — как бы мала ни казалась средняя задержка в бенчмарках.
↳ Далее: границы дрожания детерминированных полевых шин задают базовое выполнение для гетерогенного размещения в разделе «Конкуренция за общие ресурсы».
Ограничение этих слагаемых начинается с сортировки каждого источника вариации выполнения по тому, можно ли вообще ограничить его худший случай. Ограниченные источники допускают точные верхние границы: среди них инструкции фиксированного конвейера, арбитраж шины по кругу, тесно связанная память без циклов ожидания и векторная диспетчеризация прерываний на микроконтроллере без ОС. Экспериментально охарактеризованные источники — такие как промахи кеша последнего уровня при блокировке линий, опорожнение буфера записи, обновление DRAM и термическое снижение номинала при активном охлаждении — не могут быть ограничены из первых принципов, но могут быть охвачены стрессовым профилированием при зафиксированной аппаратной конфигурации. Неограниченные источники не имеют конечного худшего случая. К ним относятся отказы страниц при страничной подкачке, вытесняющее планирование потоков без наследования приоритетов (история из практики «Инверсия приоритетов Mars Pathfinder (1997)»), выделение из кучи по фрагментированным свободным спискам и незапланированный трафик DMA; путь безопасности жесткого реального времени должен устранить каждый из них.
Инверсия приоритетов Mars Pathfinder (1997)
Контекст: в июле 1997 года, вскоре после посадки на Марс, бортовой компьютер космического аппарата Mars Pathfinder работал под операционной системой реального времени VxWorks с вытесняющим планированием по приоритетам между задачами миссии Reeves, 1997.
Механизм: поток высокого приоритета (
bc_dist) распределял критическую телеметрию бортовой шины, а поток низкого приоритета (ASI/MET) собирал данные метеорологических датчиков через общую трубу, защищенную мьютексом. ПокаASI/METдержал мьютекс, его вытесняли задачи среднего приоритета. Поскольку они превосходили метеорологический поток, они не давали ему работать, аbc_distблокировался в ожидании мьютекса, который тот держал, — неограниченная инверсия приоритетов.Последствия: задача распределения по шине высокого приоритета пропустила свой предельный срок. Когда задача
bc_schedначинала следующий цикл шины и находилаbc_distнезавершенным, полетное программное обеспечение сбрасывало компьютер. Уже собранные данные переживали каждый сброс, но сбросы повторялись, пока программное обеспечение не изменили.Реакция: инженеры воспроизвели сброс на наземной реплике аппарата со средствами трассировки событий VxWorks, затем загрузили патч, включивший наследование приоритетов Sha et al., 1990 на семафоре-мьютексе.
Системный урок: задачи среднего приоритета не давали работать держателю мьютекса низкого приоритета, поэтому высокоприоритетная задача шины не могла продвигаться. Наследование приоритетов позволило держателю завершиться и освободить мьютекс. В пути управления двигателем инженеры обязаны ограничивать такое время блокировки () или убирать общий замок из циклово-критичного обмена.
Та же классификация решает судьбу динамической памяти, которая не запрещена категорически на жестком временном пути. Универсальный аллокатор кучи (malloc/free), обходящий фрагментированные свободные списки, имеет время поиска, зависящее от истории выделений, поэтому оно неограничено. Пул блоков фиксированного размера или аллокатор двухуровневой раздельной подгонки (TLSF) имеет границы постоянного времени и может находиться на пути реального времени. Самый строгий проект для пути разрешения — статическая архитектура без выделений, в которой каждый буфер, кольцевая очередь и переменная состояния размещаются во время компиляции, а управление памятью не работает вовсе.
Шина, несущая команду, вносит вклад в слагаемое помех и слагаемое блокировки худшего времени отклика. Герман Копец проводит различие, решающее, есть ли у этих слагаемых граница, — между событийно-инициируемой и временно-инициируемой связью Kopetz, 2011. В событийно-инициируемой связи, такой как стандартный CAN, узлы передают при изменении своего локального состояния, поэтому загрузка шины непредсказуема, а единственный неисправный узел может затопить общую среду ложным трафиком — отказ «болтливый идиот». Временно-инициируемая архитектура (TTA) синхронизирует глобальные часы и отводит каждому узлу собственный слот в расписании с разделением по времени (TDMA), что ограничивает помехи передачи после верификации синхронизации часов, поведения при отказах и полного расписания. Промышленные роботы реализуют этот детерминированный слой на специализированном оборудовании полевой шины (раздел «Промышленный контроллер с модульным вводом-выводом»), связывающем контроллеры реального времени с клеммами ввода-вывода и приводов через кадры Ethernet, синхронизированные аппаратными распределенными часами (Distributed Clocks, DC).9
Промышленный контроллер с модульным вводом-выводом: контроллер Beckhoff CX5120 на DIN-рейке и соседние клеммы ввода-вывода. Контроллер — одна из аппаратных подложек распределенного управления. (Фото: Oleg Yunakov, Wikimedia Commons, CC BY-SA 4.0).
На мобильном манипуляторе кандидатные линии связи сортируются по месту размещения. SPI несет трафик платы уровня шарниров: энкодеров шарниров, преобразователей измерения тока и драйверов затворов, и его тайминг ограничен при фиксированном графике передач. CAN-FD подходит для трафика шасси и управления батареей, где арбитраж и повторные передачи должны входить в границу времени отклика при заявленных моделях трафика и отказов. EtherCAT пересылает один циклический кадр через каждый сервоузел, а TSN Ethernet подходит для магистрали, соединяющей видеопотоки с трафиком управления. Ни одна из этих границ не принадлежит имени протокола. Каждая зависит от настроенных устройств, монтажа и расписания, так что вопрос, на который надо ответить: укладываются ли сервооси пути разрешения в его шинный цикл.
Сериализация полевой шины до планируемости
Практический инженерный вопрос: путь разрешения мобильного манипулятора командует
9сервоосями —7шарнирами руки и2приводными колесами — один раз за1 msшинный цикл. Какую часть этого цикла занимают перечисленные кадры CAN-FD или один кадр EtherCAT, не считая задержек контроллера и устройств?1. Сериализация и задержка арбитража CAN-FD (
9осей, нагрузка 64 байта на ось):
- Скорость передачи: на фазе арбитража, на фазе данных.
- Число бит кадра: 32 бита накладных расходов арбитража/CRC на (), 512 бит нагрузки на (), плюс межкадровый интервал .
- Время передачи на ось:
140.4 μs.- Для
9осей при циклическом опросе:9140.4 μs1263.6 μs(1.264 ms).- Результат: загрузка шины превышает 100 % (
126.4), поэтому такой график из9кадров не помещается в1 msшинный цикл даже до обработки. Если нагрузка сокращена до 32 байт (89.2 μs), суммарное время шины —802.8 μs(80.3загрузки). Эта сокращенная нагрузка все еще требует арбитража, допусков на ошибки и повторные передачи, конкурирующих кадров и анализа времени отклика; универсального порога загрузки в 70 %, устанавливающего планируемость, не существует.2. Обработка EtherCAT на лету (
9осей, кольцо гирлянды):
- Скорость передачи: полнодуплексный Fast Ethernet ().
- Один стандартный кадр Ethernet несет все
9команд шарниров и возвраты датчиков за один проход.- Время сериализации кадра:
28.2 μs.- Задержка пересылки узла:
9переходов по специализированным интегральным схемам (ASIC) ведомых устройств по на переход5.4 μs.- Моделируемая сериализация кадра плюс
9переходов пересылки:28.2 μs5.4 μs33.6 μs.- Результат: эти моделируемые слагаемые шины занимают
3.36процента цикла, оставляя966.4 μs, не выделенных этим расчетом шины. Обработка мастера и ведомых, распространение, синхронизация часов, повторы, вычисления приложения и отклик актуатора по-прежнему расходуют сквозной предельный срок.Системный вывод: для
9осей машины при 64 байтах на ось одна лишь сериализация CAN-FD не укладывается в1 msшинный цикл, тогда как кадр EtherCAT и его пересылка оставляют место для прочей работы. TSN Ethernet способен нести гигабитные видеопотоки и микросекундные сервокадры по одной физической линии, но только если его очереди с временным шлюзом настроены и проверены на каждом коммутаторе так, чтобы всплески видео не сталкивались с критичными по времени слотами управления.
Надежность реального времени нельзя достичь покупкой более высоких тактовых частот или измерением статистических процентилей задержки на свободном стенде. Надежность требует структурного анализа пути выполнения: устранения всех неограниченных источников вариации (), ограничения блокировок на общем оборудовании (), принудительного обеспечения статических раскладок памяти без выделений и выбора полевых шин с циклово-детерминированными распределенными часами (раздел «Рубеж нервной системы»).
Пока пропускная способность определяет, сколько байт может пересечь шину за данный интервал, дрожание синхронизации () — худшее временное отклонение момента, когда распределенные узлы опрашивают датчики и применяют задания актуаторов, — определяет, способны ли многотактные физические системы поддерживать стабильный динамический контакт. В многотактных роботизированных манипуляторах и двуногих гуманоидах векторное управление (FOC) переключает затворы широтно-импульсной модуляции (PWM) инверторов на , требуя субмикросекундной фазовой синхронизации () между всеми приводами шарниров для предотвращения искажения фазы, слышимого акустического резонанса и разрушительной пульсации момента.
Как нанесено на четыре десятилетия стандартов связи в разделе «Рубеж нервной системы», унаследованные последовательные протоколы (Modbus RTU) и шины с арбитражом приоритета по несущей (CAN 2.0B, CAN-FD) проявляют миллисекунды недетерминированного дрожания очередей под тяжелой загрузкой шины, что ограничивает их низкочастотной телеметрией и супервизорными командами. Достижение субмикросекундной синхронизации, которой требует динамический физический ИИ, требует временно-инициируемых архитектур с аппаратным расписанием: либо промышленного Ethernet с обработкой на лету и аппаратными распределенными часами (EtherCAT, EtherCAT G), либо сетей с чувствительностью ко времени IEEE 802.1AS/Qbv (TSN).10 Эти архитектуры закрепляют выравнивание часов в аппаратных метках времени PHY, достигая дрожания менее 100 нс на десятках согласованных актуаторов и напрямую мостя высокополосные нейронные политики с инверторами двигателей жесткого реального времени.
Для 9 сервоосей машины кадр EtherCAT и время переходов занимают 3.36 процента шинного цикла.
Рубеж нервной системы: пропускная способность полевых шин против дрожания синхронизации часов в промышленных робототехнических протоколах (1979–2026): компромисс между чистой пропускной способностью передачи (логарифмическая шкала, от до ) и худшим дрожанием синхронизации (логарифмическая шкала, от до ). Режим I (верхний): недетерминированные протоколы мягкого реального времени (Modbus RTU, CAN 2.0B, CAN-FD), подверженные арбитражу столкновений CSMA/CR и неуправляемому дрожанию очередей (). Режим II (средний): согласованные многотактные контуры шарнирных сервоприводов (, дрожание ), использующие коммутируемый Ethernet и статический TDMA (FlexRay, PROFINET RT). Режим III (нижний): субмикросекундный рубеж синхронизации инверторов двигателей и физического ИИ (EtherCAT, EtherCAT G, IEEE TSN 802.1AS/Qbv), достигающий выравнивания часов лучше 100 нс за счет аппаратных распределенных часов и пересылки с обработкой на лету для устранения пульсаций момента при ШИМ-векторном управлении.
Ограниченный путь доставляет каждую команду к приводам в пределах своего цикла, но ему безразлично, какие команды он несет. Какой процессор может помещать команду на этот путь и что этот процессор обязан проверить прежде, — вопрос полномочий, а не тайминга.
Полномочия исполнения команды
Полномочия на мобильном манипуляторе — это способность писать в регистры приводов, питающие обмотки его основания и руки и доставляющие механическую мощность. В правильно структурированной машине эти полномочия сосредоточены исключительно в детерминированном механизме принуждения реального времени (раздел «Аппаратная граница предложения»).
Аппаратная граница предложения: (a) Разделенный механизм принуждения на изолированном микроконтроллере безопасности с исключительной привилегией записи в регистры приводов двигателя, тогда как хост-процессор предлагает траектории через связь с общей памятью. (b) Схлопнутая небезопасная архитектура, где непроверенное программное обеспечение хоста пишет в регистры актуаторов напрямую, создавая единый домен отказа.
Обученная фундаментальная модель или планировщик траекторий на прикладном процессоре не имеют никаких физических полномочий писать в регистры таймеров PWM, задавать опорные токи драйверов затворов или переключать разрешающие выводы моста двигателя, управляющие подачей тока в обмотки статора. Вместо этого высокоуровневое программное обеспечение генерирует непривилегированные предложения траекторий (). Эти предложения проходят через интерфейс транспорта памяти к микроконтроллеру безопасности, который функционирует как строгий аппаратный привратник.
↳ Далее: маскирующие регистры переопределения актуаторов реализуют аппаратные уровни вытеснения, сформулированные в разделе «Журнал полномочий».
Микроконтроллер непрерывно оценивает физические инварианты безопасности: проверяя, что заданные положения шарниров лежат в пределах физической досягаемости, что скорости шарниров не превышают сертифицированных пределов и что проектируемые замедления остаются в безопасных пределах динамического запаса остановки (). Если предложение удовлетворяет всем инвариантам, микроконтроллер выдает разрешение на исполнение, интерполирует путевые точки в высокочастотные опорные токи () и пишет в физические регистры драйверов затворов. Если предложение недействительно или истекло, механизм принуждения отзывает разрешение () и запрашивает контролируемое замедление или удержание. Отдельная аппаратная зона аварийного срабатывания может снять момент привода при отказе; размыкание ключей само по себе не тормозит движущуюся массу.11
Отказ имеет собственную физическую цену. Если механизм принуждения отклоняет недействительное предложение и командует динамическое торможение быстро движущегося шарнира, тормозной путь должен иметь достаточно момента, свободного расстояния и тепловой мощности, чтобы остановить массу.12 На протяжении тормозного интервала в сотни миллисекунд сопротивление обмотки, тормозной резистор или трение, образующие этот путь, должны поглотить кинетическую энергию шарнира в пределах тепловых ограничений раздела «Тепловые циклы нагрузки», не повреждая изоляцию обмотки и не позволяя массе накатиться за свой запас хода.
Силой каузальной границы, установленной в разделе «Каузальная граница», механизм принуждения считает происхождение аномального предложения несущественным. Удаленная эксплуатация памяти в демоне операционной системы, враждебная камера, вызывающая галлюцинацию модели, и арифметическое переполнение в нейронном матричном умножителе порождают одно и то же пограничное событие — недействительный пакет предложения. Поскольку механизм принуждения оценивает границы инвариантов по физической обратной связи датчиков с оптических энкодеров и токовых шунтов, а не исследуя веса нейронной сети, ему не нужна модель того, почему предложение оказалось неверным, а хост, который не может писать в регистры актуаторов напрямую, не имеет пути мимо него. Защита от скомпрометированного хоста все еще зависит от независимых измерений, корректной модели пределов, возможностей актуаторов и осуществимого резервирования.
Для защиты от внутренних аппаратных отказов или залипаний микроконтроллера в самом механизме принуждения система включает надзорные каналы вне полосы и физические разъединители. Эти каналы состоят из непрограммируемых аналоговых схем, жестко смонтированных грибовидных кнопок аварийного останова и двухканальных реле безопасности, разрывающих питание мостов инверторов двигателей независимо от всей цифровой логики через Safe Torque Off (раздел «Примерная внешняя блокировка и путь STO», IEC 61800-5-2), физически прерывающего смещение драйверов затворов для предотвращения создающего момент тока статора.13 Эти разъединители обходятся ценой доступности. Повторное включение сработавшей высоковольтной шины постоянного тока требует предзаряда фильтрующих конденсаторов инвертора через токоограничивающие резисторы, ибо включение контактора на пустые конденсаторы дает пусковой ток, достаточный, чтобы приварить его контакты, а предзаряд занимает сотни миллисекунд, прежде чем управление двигателем может возобновиться. Разъединитель поэтому меняет доступность и активное управление на отклик на отказ, чьи механические последствия зависят от тормозов, нагрузки и запасенной энергии, и он может сработать при отказе основного контроллера, только если не разделяет с ним скрытых часов, шины питания или кремния.
Примерная внешняя блокировка и путь STO: двухканальный аварийный выключатель и контролируемые реле убирают создающее момент смещение затворов; показан отдельный пружинный удерживающий тормоз. Эта схема описывает аппаратный путь отклика, а не сертифицированный уровень целостности или доказательство остановочного пути (синтезировано по ISO 13849-1 и IEC 61800-5-2).
Инвариант аппаратных полномочий
Если непроверенная обученная политика имеет прямой доступ к записи через отображение памяти в регистры управления затворами актуаторов, у машины нет слоя безопасности, и ее следующий вход вне распределения доходит до двигателей без проверки.
Привилегия записи поэтому — физический факт о проводах и регистрах, а не программное разрешение, и Мозг не владеет ничем из этого. Эта привилегия защищает объект управления только пока механизм принуждения остается независимым от процессора, чьи предложения он отвергает. Если двое разделяют часы, шину или шину памяти, отказ инициатора может замолчать механизм принуждения, ни разу не записав в привод.
Аппаратная изоляция
Независимость между прикладным процессором и путем разрешения — это утверждение, часто проваливающее свою первую верификацию. Системные архитектуры регулярно помечают их как изолированные, потому что программные задачи выполняются в отдельных процессах, контейнерах или разделах гипервизора. Верификация утверждения означает проверку четырех путей общей причины: независимого кремния выполнения с частными конвейерами инструкций, отдельных опорных тактов от разделенных кварцевых генераторов, изолированных шин питания от независимых стабилизаторов и разделенных областей памяти без общих чипов динамической памяти с произвольным доступом или шин арбитража межсоединений.14 Любая общая подложка требует анализа отказов, показывающего, что она не способна сорвать независимый путь разрешения в заявленной модели отказов.
Общая электрическая и физическая инфраструктура создает междоменные режимы отказа, обходящие все программные средства контроля доступа. На мобильном манипуляторе прикладной процессор и путь разрешения разделяют батарею, но не шину. Путь разрешения работает на изолированной шине раздела «Какой бюджет ограничивает первым» с временем поддержки 2 s, поэтому просадка общей управляющей шины 24 V ниже отсечки 18 V ее стабилизаторов (раздел «Целостность электропитания») доходит до него лишь как флаг пониженного напряжения. На общем корпусе кристалла или общем тепловом радиаторе длительная вычислительная нагрузка на прикладной процессор поднимает температуры переходов выше , вызывая термическое снижение номинала или отключение кремния на соседних ядрах реального времени. Когда связь опирается на арбитрируемый интерфейс, такой как общее периферийное межсоединение или шина памяти, высокополосный зрительный конвейер или ненадлежаще ведущий себя контроллер прямого доступа к памяти могут насытить пропускную способность шины, лишив путь разрешения обратной связи энкодеров и телеметрии датчиков. Даже общий тактовый генератор создает незапланированную единую точку отказа, где тепловой дрейф, механическая вибрация или разрушение кварца рассинхронизируют обе области в один и тот же момент.
Переходный процесс на общей шине доходит до каждой нагрузки, питающейся от нее; путь разрешения переживает его на собственной изолированной шине с поддержкой.
Путь разрешения должен различать два режима отказа инициатора: неотзывчивость и порчу. Неотзывчивость возникает, когда конвейер инференса зависает, пропущен предельный срок планировщика или фрагментация памяти операционной системы блокирует выполнение, не производя выхода. Путь разрешения обнаруживает ее по сигналу живости раздела «Многотактные ритмы», который прикладной процессор обязан доставить по изолированному каналу до своего тайм-аута.
Порча возникает, когда инициатор остается полностью активным и укладывается в предельный срок сигнала живости, но генерирует кинематически невозможные задания, разрывные запросы скоростей или числовые бесконечности, проистекающие от визуальных входов вне распределения или переполнения матриц. Механизм принуждения отвечает на два отказа через отдельные механизмы. Отсутствие свежего фрагмента или пропущенный сигнал живости отзывают предложение по истечении их таймера, тогда как порча вызывает немедленный отказ по инварианту при приходе некорректного пакета предложения.
Аренда фрагмента отличается от сигнала живости хоста. Когда прикладной процессор остается живым, но перестает публиковать допустимые фрагменты, приводы продолжали бы отслеживать последние допущенные задания, а машина продолжала бы двигаться по предложению, которое никто не обновил, пока механизм принуждения не обнаружит истечение и не начнет замедление. Принудительное обеспечение аренды на каузальной границе (раздел «Каузальная граница») ограничивает этот интервал. На мобильном манипуляторе раздел «Многотактные ритмы» подобрал этот интервал как слагаемое бюджета остановки и отнес его на предтормозной потолок.15 Сигнал живости может сообщить, что процесс жив, но он не может обновить истекший фрагмент, и его период независим от периода инициатора. Только политика фрагментов обновляет достаточно часто, чтобы удерживать аренду, а раздел «Единый связанный бюджет анатомии» показывает, почему модель намерения не может этого.
Подкормка таймера доказывает лишь, что путь подкормки отработал. В деле Bookout v. Toyota (2013) эксперт истца утверждал, что прерывание такта таймера продолжало обслуживать сторожевой таймер, пока другие задачи могли погибать Barr, 2013; это механизм, озвученный в судебном процессе, а не вывод о том, что электронные отказы вызывали непреднамеренное ускорение в каждом расследованном автомобиле.
Когда аренда истекает или механизм принуждения отклоняет испорченное предложение, путь разрешения выполняет явную стратегию деградации, а не безусловное отключение питания, ибо отключение питания передает движущийся актуатор в то обесточенное состояние, в которое падает его привод (раздел «Целостность электропитания»), и ни одно из этих состояний не является контролируемым остановом. Деградация следует детерминированной иерархии состояний, вычисляемой в пути разрешения. Краткое продолжение последней проверенной траектории допустимо только пока ее аренда фрагмента остается действительной, а ее запас остановки осуществим. После истечения любое дальнейшее удержание или инерциальное прокладывание входит в и должно помещаться в 176.3 ms предтормозного потолка, которые оставляют путь аренды и начало торможения на пределе хода (раздел «Размер аренды из бюджета остановки»); механизм принуждения обязан начать торможение раньше, если измеренные границы остальных слагаемых не помещаются. Если связь не возобновляется в пределах этого бюджета, путь разрешения запрашивает контролируемое замедление, используя доступный момент и тепловой бюджет, установленные в разделе «Пределы передачи актуатора». Он достигает покоя, только если свободного расстояния и тормозной способности остается достаточно. Рука под нагрузкой тяжести может потребовать номинального механического удерживающего тормоза после остановки движения.
Как только физический объект управления приведен к полной неподвижной остановке, архитектура выполняет рукопожатие восстановления перед возвращением автономных полномочий предложения. Микроконтроллер безопасности устанавливает персистентный фиксатор FAULT_HELD в принадлежащем ему слове состояния и сообщает точную физическую позу покоя . Прикладной процессор обязан вытеснить свои устаревшие фрагменты действий, очистить кеш внимания авторегрессионных пар ключ-значение (KV), заново принять свежие оптические наблюдения с новыми аппаратными метками времени и опубликовать ресинхронизированное предложение фрагмента. Микроконтроллер проверяет, что начальная путевая точка нового предложения совпадает с физическим состоянием покоя в пределах строгого пространственного эпсилон (), прежде чем снять фиксатор отказа и повторно подать широтно-импульсную модуляцию (PWM) на приводы двигателей.
↳ Далее: автоматы состояний восстановления после отказа на реальной полевой шине верифицируются внедрением отказов на аппаратуре в разделе «Внедрение отказов на аппаратуре».
Верификация того, что эти границы изоляции работают как спроектировано, требует физической фальсификации на испытательном стенде. Против физического прототипа должны быть выполнены четыре конкретных режима внедрения отказов: испытания просадки шин питания (внедрение ступеней тока с максимальной скоростью нарастания для проверки меньше шумов перекрестной связи шин), сбои тактового сигнала (проверка, что независимые временные области удерживают стабильные счетчики циклов при дрейфе частоты), затопление шины связи (насыщение линий для проверки, что телеметрия сигнала живости сохраняет детерминированные слоты передачи),16 и числовое внедрение отказов (передача синтетических предложений, содержащих NaN и бесконечные числа с плавающей точкой, для проверки отклонения за один цикл без остановок выполнения).
Независимость поэтому валидируется против идентифицированных отказов общей причины, а не считывается с блок-схемы, и аренда, ограничивающая остановленного инициатора, исходит из запаса остановки, остающегося после задержек обнаружения и исполнения команды. Оба средства защиты ограничивают инициатора, который останавливается или отказывает; открытым остается вопрос, нужна ли отдельная проверка инициатору, работающему на собственной частоте механизма принуждения.
Проверка инвариантов
Политики локомоции и компактные зрительно-моторные модели, скомпилированные для периферийных акселераторов, могут выдавать новую команду актуатора каждые , что соблазняет проектировщиков позволить политике писать в регистры двигателей напрямую. Согласование частот не дает полномочий. Нейронная сеть, выдающая моменты на , управляется той же статистической неопределенностью, что и большая модель, порождающая путевые точки на , и даже когда политика и механизм принуждения разделяют один период , выход сети остается предложением, которое должно пройти границу предложения раздела «Машина в пяти уровнях», прежде чем изменит ток в обмотке. Размещение непроверенной политики внутри быстрого контура подвергает объект управления трем режимам отказа. Недовычисление возникает, когда дрожание уводит инференс за предельный срок исполнения команды и оставляет силовой каскад без действительного задания. Всплески момента вне распределения возникают, когда вход, которого сеть никогда не видела, производит разрывный разворот момента в пределах одного цикла. Структурные предельные циклы возникают, когда несмоделированная податливость или запаздывание датчика связываются с политикой в резонанс. Путь разрешения встречает каждый проверкой, помещающейся в его собственный предельный срок: тайм-аут для недовычисления, предел момента и его скорости изменения относительно предыдущего цикла для всплеска и энергетический бюджет для предельного цикла (раздел «Пассивность и энергетически ограниченное взаимодействие»). Проекция, допускающая или изменяющая кандидатную команду, принадлежит разделу «Безопасные множества как условное разрешение», где она может быть построена на функции барьера управления.
Те же рассуждения покрывают единственного инициатора, который не является обученным. Удаленный оператор — третий инициатор. Его команды проходят тот же путь разрешения, и задержка сети тратит тот же предтормозной бюджет (раздел «Человеческие полномочия над исполнением команды»). Ни скорость, ни человеческое происхождение не дают предложению полномочий; их дает только прохождение проверок пути разрешения, и каждая проверка тратит часть бюджета, который следующий раздел раскладывает передача за передачей.
Аппаратная изоляция и проверка инвариантов
Прежде чем перейти к передачам между инициатором и актуатором, проверьте свое понимание обмена, аппаратной изоляции и защиты инвариантами до исполнения команды:
- Неблокирующий обмен: Сможете ли вы объяснить, как читатель seqlock обнаруживает разорванное чтение за одну ограниченную попытку, и почему писатель, остановленный посреди записи, оставляет активный сплайн действительным лишь до истечения его аренды?
- Четыре измерения физической изоляции: Сможете ли вы перечислить четыре физические границы (конвейеры кремния, тактовые кварцевые генераторы, шины питания, шины памяти), которые должна покрывать проверка независимости доменов отказов, и объяснить, какой валидации потребовали бы общие пути?
- Физический вывод аренд фрагментов: Сможете ли вы объяснить, почему аренда фрагмента должна подбираться из остановочного пути и свободного расстояния, а не выбираться как программный таймаут, и почему сигнал живости никогда ее не обновляет?
- Согласование частот и полномочия: Сможете ли вы объяснить, почему политика, работающая на собственной частоте объекта управления, все равно производит только предложения, и какая проверка отвечает на каждый из ее трех режимов отказа?
Матрица передач
Когда мобильный манипулятор превышает останов, диагностика начинается с локализации отказа на одной из пяти канонических передач между фотонами, которые собирают его камеры, и током, который доставляют его приводы. Выше по потоку сенсорика передает сырые сигналы преобразователей конвейерам восприятия. Восприятие дает промежуточные представления, сливающиеся в оценочное состояние мира. Состояние питает обученную политику для производства плана действий. План подает кандидатные траектории механизму принуждения безопасности. Наконец, одобренная команда переходит от механизма принуждения к физическим актуаторам. Через каждую границу осуществимость определяют пять пределов интерфейса: задержка (), пропускная способность (), энергия и тепло (), детерминизм () и изоляция домена отказов (). Пять передач и пять пределов интерфейса образуют матрицу пять на пять, сопоставляющую каждый путь сигнала физическим бюджетам машины. Пределы отличаются от пяти бюджетов тела раздела «Пять физических бюджетов», которые входят в матрицу главным образом через ее колонки задержки и энергии. Запись, которую производит этот раздел, — протокол передачи — потребляет протоколы пределов раздела «Замер пределов машины», включая пределы инициатора, которые раздел «Когнитивный мозг» излагает в том же формате.
Примерное распределение в разделе «Сводная сетка передач по пределам» отмечает, какие пределы являются определяющими для проектирования на каждой передаче, а его числа — выбранные бюджеты, а не измерения. Матрица собирает бюджеты всех трех глав Части I вместе с захватом датчиков, который раздел «Машина в пяти уровнях» помещает на Границу. В строке Границы (), где мир становится измерением, первыми ограничивают пропускная способность и задержка, ибо сырые пиксели нескольких камер текут по линиям SerDes, а окно экспозиции задает пол возраста изображения до начала сериализации. Строки Мозга (, ) первыми ограничиваются энергией и задержкой — стоимостью инференса, установленной разделом «Когнитивный мозг». Строка Тела () первыми ограничивается детерминизмом и теплом, ибо контуры тока раздела «Физическое тело» должны работать вовремя, и каждый ампер, который они доставляют, нагревает обмотки и силовой каскад.
Строка Нервной системы () — архитектурный мост, связывающий Мозг и Тело. Граница предложения (раздел «Машина в пяти уровнях») между обученным планировщиком и механизмом принуждения несет предложение действия (), которое состоит из компактной параметризации сплайна или фрагмента путевых точек. Для компактной нагрузки, предполагаемой в этой сетке, закладывается , поэтому пропускная способность не ограничивает на этой границе; ограничивают задержка, детерминизм () и изоляция домена отказов (). Путь разрешения изолирует стохастические предложения неблокирующими почтовыми ящиками и истекающими арендами. На мобильном манипуляторе предел задержки — аренда фрагмента, которая берет 60 ms из 258.3 ms предтормозного потолка на пределе хода (раздел «Многотактные ритмы»), и каждый фрагмент допускается или отвергается в пределах одного такта разрешения 1 ms. Изоляция опирается на частную шину, отдельный генератор и изолированную шину с поддержкой раздела «Аппаратная изоляция».
С точки зрения каузальной границы, очерченной в разделе «Каузальная граница», когда система физического ИИ отказывает, поломка проявляется как незапланированное пересечение предела в конкретной ячейке передачи, а не как абстрактный дефицит обученного интеллекта. Диагностика передачи должна сопоставлять сопоставимые свидетельства. Для пути оценки состояния предположим, что инженеры выделяют бюджет задержки и измеряют на базовом прогоне моделирования с аппаратурой в контуре — выборочный запас . После термического снижения номинала измеренные дают относительно этого проектного бюджета. Решение — сократить или перераспределить нагрузку и сохранить независимое принудительное обеспечение на время повторной валидации. Выборка диагностирует регрессию; она не является доказательством худшего случая тайминга.
| Каноническая граница передачи | Предел задержки () | Предел пропускной способности () | Предел энергии и тепла () | Предел детерминизма () | Изоляция домена отказов () |
|---|---|---|---|---|---|
| : Сенсорика Восприятие (Граница) | ОГРАНИЧИВАЕТ (экспозиция и считывание задают возраст датчика) | ОГРАНИЧИВАЕТ (несжатые потоки нескольких камер 4K) | Не ограничивает (рассеяние сенсорной головки изолировано) | ОГРАНИЧИВАЕТ (триггеры синхронизации кадров предотвращают сдвиг) | Не ограничивает Защищено аппаратурой SerDes и кольцевыми буферами DMA |
| : Восприятие Состояние (Мозг) | ОГРАНИЧИВАЕТ (визуально-инерциальная одометрия и окно признаков) | Не ограничивает (сжатые ключевые точки и воксели) | ОГРАНИЧИВАЕТ (огибающая акселератора периферийного зрительного бэкбона) | Не ограничивает Защищено буферами оценщика состояния со скользящим окном | ОГРАНИЧИВАЕТ Изоляция пространственной памяти: MPU предотвращают порчу памяти |
| : Состояние План (Мозг) | ОГРАНИЧИВАЕТ (авторегрессионная токенизация и горизонт диффузии) | Не ограничивает (маломерное состояние и вложения подсказок) | ОГРАНИЧИВАЕТ (матричные акселераторы трансформеров/диффузии) | Не ограничивает Защищено фрагментированием со скользящим горизонтом и буферами сплайнов | ОГРАНИЧИВАЕТ Контейнер политики в песочнице предотвращает остановку телеметрии при панике хоста |
| : План Механизм принуждения (Нервная система) | ОГРАНИЧИВАЕТ аренда фрагмента 60 ms (выбрана внутри пределов, выведенных из бюджета остановки); допуск на каждом такте в пределах каждого 1 ms такта | Не ограничивает Защищено компактными параметризованными сплайнами () | Не ограничивает (вычисление ограничений с фиксированной точкой на MCU) | ОГРАНИЧИВАЕТ (циклово-детерминированный прием пакетов на MCU) | ОГРАНИЧИВАЕТ Аппаратная граница: частная шина, отдельный генератор, изолированная шина с поддержкой |
| : Механизм принуждения Актуатор (Тело) | ОГРАНИЧИВАЕТ (сервоинтервал ; контур PWM ) | Не ограничивает (циклические PDO по детерминированной полевой шине) | ОГРАНИЧИВАЕТ потери в медной обмотке, коммутационные потери MOSFET | ОГРАНИЧИВАЕТ (жесткое реальное время: выравнивание фаз PWM и FOC) | ОГРАНИЧИВАЕТ Гальваническая изоляция, аналоговые E-stop вне полосы, цепи STO |
Сводная сетка передач по пределам: матрица пять на пять, сопоставляющая пять канонических передач сигнала () через Границу («Машина в пяти уровнях»), Мозг («Когнитивный мозг»), Тело («Физическое тело») и Нервную систему («Нервная система») пяти физическим пределам (). Ячейки, отмеченные ОГРАНИЧИВАЕТ, — это бюджеты, определяющие выбор; Не ограничивает означает, что бюджет сценария покрывает это измерение с запасом. Матрица — диагностическая шкала для Части I, в которой безопасность и детерминизм выступают свойствами изолированных аппаратных границ, а не программных условностей.
Чтобы эти бюджеты пережили жизненный цикл машины, каждое граничное условие в сетке записывается как протокол передачи — верифицируемый контракт между проектировщиками оборудования, системными инженерами и разработчиками моделей. Каждая запись несет шесть элементов протокола пределов (раздел «Замер пределов машины») и добавляет поля, размещающие предел на передаче и указывающие, что за вид границы это есть (раздел «Концептуальные поля протокола передачи»).
| Имя поля | Физические единицы СИ | Структурный инвариант и описание |
|---|---|---|
signal_id | безразмерный | Уникальный буквенно-цифровой идентификатор (например, SIG_VIO_01, SIG_TRQ_AX1). |
source_subsystem | безразмерный | Исходный аппаратный или программный модуль (Camera_SerDes, Planner_VLA). |
destination_subsystem | безразмерный | Принимающий аппаратный или программный модуль (State_Estimator, Safety_MCU). |
handoff | безразмерный | Передача, которую пересекает сигнал ( до ). |
physical_dimension | безразмерный | Категория целевого предела (, , , , ). |
value | единицы СИ (, , , ) | Выделенный бюджет или измеренное распределение, против которого он проверяется; для — аренда фрагмента, выведенная из бюджета остановки. |
conditions | как записано | Нагрузка, температура, напряжение питания, сборка прошивки и одновременная нагрузка, при которых величина действует; при их изменении величина утрачивает силу. |
uncertainty | как у value | Граница ошибки прибора или модели, породившей величину. |
margin | как у value | Инженерный запас между рабочей целью и порогом отказа. |
detector | безразмерный | Монитор времени выполнения, фиксирующий выход за пределы (например, таймер аренды, монитор напряжения шины или датчик фазового тока). |
provenance | безразмерный | Источник величины, включая ее категорию свидетельств (измерено, выведено, справочные данные или иллюстративно). |
bound_kind | безразмерный | requirement, proven bound или measured distribution; только доказанная граница может заменять худший случай. |
clock_domain | безразмерный | Часы, в которых выражено каждое поле со временем; передача, питающая путь разрешения, использует часы микроконтроллера безопасности. |
verification_timestamp | метка времени UTC | Дата фальсификации на стенде и подписания; поле журнала, никогда — вход теста возраста. |
Концептуальные поля протокола передачи: шесть элементов протокола пределов из раздела «Замер пределов машины», дополненные передачей, видом границы и доменом часов, которые размещают предел в машине и указывают, какие свидетельства его поддерживают.
Единый связанный бюджет анатомии
Три главы Части I каждая задают слагаемые одного бюджета, и аренда фрагмента — то место, где они встречаются. Раздел «Кинетический импульс» закрепил сторону расстояния. На пределе хода 1.5 m/s груженая машина должна остановиться в пределах свободного расстояния 1.10 m у торца стеллажа, а слагаемое торможения и фиксированные накладные расходы оставляют 258.3 ms на все, что происходит до начала тормозной силы. Раздел «Многотактные ритмы» израсходовал часть этого времени. Зависший инициатор сохраняет полномочия в течение одной аренды, останов доходит до приводов один такт и один шинный цикл спустя, и бюджет остановки составляет 835.5 mm.
Аренду нельзя сделать столь короткой, как хотел бы бюджет, ибо ее должен обновлять инициатор. Раздел «Питание, свежесть и стена памяти» установил, что может поставить каждый обученный инициатор. Веса модели намерения требуют 98.0 ms, чтобы один раз перетечь из памяти, до всякой работы зрения, а полный инференс занимает 160 ms, поэтому на 5 Hz она не может обновлять предложение каждые несколько десятков миллисекунд. Веса политики фрагментов перетекают за 0.70 ms, и на 20 Hz она публикует свежий фрагмент каждые 50 ms, каждый в пределах своего времени инференса P99 40 ms, поэтому она может.
Эти факты закрепляют правило аренды для этой машины. Аренда должна переживать один период фрагмента плюс допуск на дрожание обновления, которые вместе задают пол 55 ms раздела «Размер аренды из бюджета остановки». Она должна также помещаться в предтормозной потолок после резервирования такта, шинного цикла и начала торможения, что оставляет 236.3 ms за вычетом возраста наблюдения, который измеряет раздел «Сенсорное восприятие». Выбранные 60 ms лежат чуть выше нижнего предела, ибо каждая миллисекунда аренды стоит 1.5 mm на пределе хода, а последующие главы добавляют слагаемые, которым нужно это расстояние.
Каждый фрагмент несет вместе скорость основания и целевые положения шарниров руки, так что одна аренда управляет обоими телами, и по ее истечении каждое тело входит в собственный останов. Аренда подобрана по предтормозному потолку основания 258.3 ms, ибо этот потолок жестче предела, задаваемого обязательством руки. Та же аренда ограничивает руку, а раздел «Что передает планирование» выводит предел руки и проверяет ее путь аренды и потолок относительно собственного запаса хода. Горизонт свидетельств руки ограничивает другую аренду — аренду намерения, — которая задает, как долго допущенная цель модели намерения остается действительной, и более медленные цели модели намерения истекают под ней (раздел «Аренда намерения»).
Строка раздела «Сводная сетка передач по пределам» — это заполненный протокол передачи этой главы, первое звено после протокола пределов в цепи записей, которую продолжает остальная книга. Его величина — аренда фрагмента 60 ms, передаваемая от политики фрагментов пути разрешения, requirement, выбранный внутри пределов, выведенных из бюджета остановки и действительный вплоть до предела хода 1.5 m/s, груженой машиной, на сухом полу, при указанном выше периоде фрагмента; его запас — промежуток между полом обновления и верхним пределом от потолка за вычетом возраста наблюдения, а его детектор — таймер аренды на микроконтроллере безопасности, отсчитываемый на собственных часах этого процессора.
Матрица передач и физические бюджеты
Прежде чем испытать аренду на гуманоиде и разобрать инженерные заблуждения, проверьте свое понимание системных интерфейсных контрактов:
- Классификация передач сигналов: Сможете ли вы определить пять канонических передач (), мостящих механику физического объекта управления с высокоуровневым обдумывающим рассуждением?
- Связывающие физические ограничения: Сможете ли вы объяснить, почему сенсорные передачи первыми ограничиваются пропускной способностью и задержкой экспозиции, тогда как передачи исполнения команды — детерминизмом и теплом?
- Происхождение протокола передачи: Сможете ли вы описать, почему каждый числовой предел в автономной системе должен фиксировать свою категорию свидетельств, условия эксплуатации, вид границы и статус верификации?
- Правило аренды: Сможете ли вы сформулировать два ограничения аренды фрагмента — одно периодом обновления инициатора, другое предтормозным потолком — и объяснить, почему политика фрагментов может обновлять аренду, а модель намерения — нет?
Предельный срок, заданный падением
Вопрос: сохраняется ли разделение между инициатором, арендой и путем разрешения, когда предельный срок задается падением, а не остановом?
Двуногая машина в вертикальном положении уходит от равновесия на масштабе времени , где — высота ее центра масс, около
303 msдля центра масс на высоте бедра. Разделение сохраняется, и меняется предельный срок, на который отвечают его слагаемые:
- Аренда подбирается по предельному сроку шага. Аренда, такт, шинный цикл и возраст наблюдения должны помещаться во время до момента, когда должен начаться восстановительный шаг, а резервирование, выбираемое истекшей арендой, — проверенный шаг, а не торможение.
- Модель намерения по-прежнему дисквалифицирована. Один лишь ее период обновления израсходует большую часть масштаба времени падения и не оставит места такту, шинному циклу и самому шагу, поэтому только политика фрагментов способна обновить аренду к этому предельному сроку.
- Тепло и просадка питания ограничивают шаг. Восстановительный шаг потребляет пиковый ток в обеих ногах одновременно, нагревая обмотки и просаживая питание (раздел «Целостность электропитания»), поэтому путь разрешения должен допускать лишь шаг, который питание и обмотки способны выдать в этот момент.
Заблуждения и ловушки
Блок-схема проводит логическую черту между высокуровневым обдумыванием и низкоуровневым принудительным обеспечением, но физическое оборудование часто незаметно связывает их через общие шины питания, линии прерываний или диагностические интерфейсы обратного канала. Эти физические связи определяют, устоит ли контур разрешения при отказе сложной подсистемы.
Заблуждение и ловушка
Ловушка: Обслуживание сторожевого таймера безопасности внутри прерывания таймера высокого приоритета вместо проверенного приложением контура безопасности.
Собственный сторожевой таймер мобильного манипулятора убирает питание приводов через путь Safe Torque Off раздела «Полномочия исполнения команды», если не получает подкормки в течение
5 ms, ибо механизм принуждения, переставший завершать свои проверки, больше не способен командовать контролируемым остановом. Допустим, инженеры обновляют его из прерывания таймера высокого приоритета, а задача принудительного обеспечения более низкого приоритета входит в тупик. Прерывание продолжает срабатывать каждый такт1 ms, хотя задача замерла и перестала проверять пределы момента, свободное расстояние и аренды фрагментов. Сторожевой таймер поэтому остается подкормленным, тогда как механизм принуждения молча утратил свою функцию безопасности. Его импульс обслуживания должен зависеть от успешного последовательного завершения требуемых проверок принудительного обеспечения (оконное подкармливание сторожевого таймера, обусловленное токеном завершения задачи). Независимый такт таймера устанавливает лишь то, что аппаратные прерывания все еще циклятся, а не то, что контроллер безопасно оценил физическое состояние машины (раздел «Аппаратная изоляция»).
Заблуждение и ловушка
Ловушка: Оставление вспомогательных диагностических или калибровочных интерфейсов без посредничества в производственной эксплуатации.
Допустим, мобильный манипулятор проверяет предложения скорости основания через свой путь разрешения, однако его приводы двигателей приводных колес сохраняют неконтролируемый последовательный калибровочный интерфейс. Диагностический демон использует этот интерфейс, чтобы записать тестовое значение прямо в регистр инвертора. Почтовый ящик предложений все еще содержит нулевую скорость, поэтому проверка этого ящика не обнаруживает обходной команды. Приводные колеса могут тогда создавать момент, которого никогда не видела и не одобряла ни одна проверка движения. Истинные полномочия исполнения команды включают каждый физический провод или цифровой интерфейс, способный изменить регистр силового каскада. Сервисные интерфейсы поэтому требуют эксплуатационных блокировок или эквивалентного принудительного обеспечения, не позволяющего калибровочным записям обходить контроллер в нормальной работе.
Заблуждение и ловушка
Заблуждение: Оценка инвариантов барьера безопасности по заданным заданиям траектории эквивалентна оценке физического состояния объекта управления.
Допустим, рука машины оценивает функцию барьера управления Ames et al., 2019 по заданным положениям шарниров вместо измерений энкодеров со стороны нагрузки, чтобы сократить трафик шины. Когда ломается передача и звено уходит от заданной траектории, интерполятор продолжает производить действительные задания. Механизм принуждения все еще вычисляет, что все безопасно (), даже когда физическое звено входит в запрещенную область. Более быстрое вычисление неверного входа не может его исправить. Обеспечение безопасности принадлежит каузальной границе (раздел «Каузальная граница»), поэтому оно должно оценивать измерения физического состояния через надежный сенсорный канал и учитывать их ограничения; исследование потока команд лишь устанавливает, что замышлял планировщик, а не где тяжелая машина находится на самом деле.
Заблуждение и ловушка
Заблуждение: Номинальные журналы работы без отказов достаточны, чтобы доказать физическую архитектурную изоляцию.
Мобильный манипулятор завершает нормальные испытания без пропуска предельного срока принудительного обеспечения. Эти журналы показывают поведение под нагрузкой без отказов; они не обнажают скрытых физических связей, проявляющихся лишь при отказах. Квалификация поэтому внедряет переходные процессы питания, затопляет шины связи, портит память политики и блокирует вал на динамометрическом стенде. Каждый эксперимент должен проверять явную границу отклика — например, ограничивает ли обнаружение заклинивания ротора ток в пределах , — а не считать отсутствие краха успехом. Свидетельства изоляции появляются из проработки заявленных границ отказов и измерения продолжения принудительного обеспечения или требуемого безопасного перехода.
Итоги
Раздел «Физическое тело» измерил, как далеко проходит груженая машина, прежде чем способна остановиться, а раздел «Когнитивный мозг» — что может поставить каждый обученный инициатор и как быстро стареют его свидетельства. Эта глава задала частоту проверок пути разрешения из фазового запаса контура шарнира и превратила эти два измерения во время, в течение которого предложение может управлять актуаторами. Результат на мобильном манипуляторе — аренда фрагмента, достаточно длинная, чтобы пережить одно обновление политики фрагментов, и достаточно короткая, чтобы поместиться в предтормозной потолок, а протокол передачи несет эту аренду с ее условиями и ее свидетельствами в каждую последующую главу. Аренда и каждый другой механизм этой главы остаются утверждениями, пока не проработаны при вычислительных задержках, отказах шин, плохих предложениях, ошибках датчиков и утрате тормозной способности. Часть I открывалась законом необратимости (принцип «Закон необратимости»), а аренда закрывает Часть I как правило о полномочиях, ибо движение, которого не вернуть, может быть заказано лишь на столько времени, на сколько бюджет остановки может оплатить его ход.
Путь разрешения и детерминизм
- Предложение — не разрешение: высокоуровневые обученные модели действуют строго как непривилегированные движки предложений (). Физическая привилегия записи в регистры приводов двигателя зарезервирована исключительно за детерминированным механизмом принуждения реального времени — на кремнии, чья изоляция от инициатора была продемонстрирована.
- Ритм диктует физика, а не программное обеспечение: примерные частоты ( регулирования тока, проверок шарниров, фрагментирования действий и более медленное обдумывание) выбираются по постоянным времени обмотки, фазовому запасу, экспозиции, нагрузке и бюджетам отклика.
- Обмен никогда не ждет, и каждое предложение истекает: путь разрешения читает почтовый ящик за одну ограниченную попытку на такт и сохраняет свой последний проверенный фрагмент при коллизии, а время свидетельства и срок действия в заголовке предложения завершают полномочия этого фрагмента независимо от того, приходит ли какая-либо отмена.
- Границы худшего случая выше эмпирических распределений: статистический процентиль задержки () не может доказать безопасность реального времени. Детерминированная сертификация требует аналитического анализа времени отклика (), устраняющего неограниченную конкуренцию за шину и выделения памяти из пути безопасности.
- Вето независимо ровно настолько, насколько независимо то, что оно разделяет: путь разрешения, разделяющий часы, шину питания, шину памяти или кремний с инициатором, может быть замолчан отказами инициатора, поэтому независимость — утверждение, которое должно продемонстрировать внедрение отказов, а не свойство отдельных процессов.
- Динамика остановки задает размер аренды фрагмента: на мобильном манипуляторе на пределе хода предтормозной потолок равен
258.3 ms. Выбранные60 msаренды лежат чуть выше кратчайшей аренды, которую способна обновить политика фрагментов, а путь от ее последнего обновления до начала торможения тратит82 ms, доводя бюджет остановки до835.5 mmиз свободного расстояния1.10 m.- Отказ — это превышение бюджета предела на одной передаче: протокол передачи помещает каждый предел на одну из пяти передач с его условиями, категорией свидетельств и видом границы, так что регрессия диагностируется против выделенного бюджета сопоставимыми свидетельствами.
От анатомии машины к замкнутоконтурному физическому обучению
Теперь, когда Тело (раздел «Физическое тело»), Мозг (раздел «Когнитивный мозг») и Нервная система этой главы определены, Часть I (Анатомия машины) собрала пятиуровневую машину и протокол передачи, задающий ее хронометраж. Сборка контейнера не дает операционной компетентности. Обученные модели мобильного манипулятора приходят, не умея открывать клетку с пружинным замком и не умея восстанавливаться, когда захват соскальзывает с ручки, и каждая демонстрация, способная их научить, проходит через путь разрешения, построенный этой главой, который может подрезать, изменить или отвергнуть то, что приказал оператор. В Части II (Обучение машины) раздел «Физические данные» поэтому начинается с разрыва между запрошенным действием и движением, которое доставило тело, и спрашивает, что должна сохранять запись демонстрации, чтобы обученная на ней политика выучила задачу, а не причуды машины, которая ее собирала.
-
Конкуренция за кроссбар межсоединения: когда акселератор передает многогигабайтные веса фундаментальной модели через общие кроссбары AXI или PCIe, плотные пакетные транзакции насыщают банки динамической RAM и очереди арбитража. Совместно размещенные ядра процессора реального времени, пытающиеся читать регистры энкодеров двигателя, сталкиваются с незапланированными аппаратными циклами ожидания, которые программные приоритеты не могут вытеснить. Поэтому поддержание микросекундной устойчивости управления требует выделенных физических каналов памяти или изолированной статической SRAM на кристалле для области реального времени. ↩
-
Распределение задержки инференса: логнормальное и сдвинутое распределение Вейбулла — распространенные описания измеренных хвостов инференса. Одних медианы и недостаточно, чтобы зафиксировать вероятность превышения на заданном предельном сроке; ее следует измерить или смоделировать отдельно. Формальный вывод вероятностей превышения задержки в инференсе реального времени см. в разделе «Машинное обучение: основы». ↩
-
Инвалидация TLB: когда операционная система изменяет таблицы страниц, она рассылает межпроцессорные прерывания (IPI) для инвалидации устаревших записей буфера трансляции адресов (TLB) на всех активных ядрах. Принимающие ядра должны приостановить выполнение потока и сбросить затронутые записи, внося незапланированные задержки в несколько микросекунд. В архитектурах с общим кремнием эти непредсказуемые паузы синхронизации разрушают цикловой детерминизм, которого требуют внутренние контуры регулирования двигателя. ↩
-
Когерентность кеша при DMA: передачи прямого доступа к памяти обходят иерархии кеша процессора, требуя явной инвалидации кеш-линий или операций обратной записи для поддержания согласованности памяти между периферией и ядрами. Без аппаратной фильтрации просмотра или явных барьеров процессоры читают устаревшие кадры датчиков или перезаписывают ожидающие команды актуаторов. Эти операции обслуживания вносят переменные штрафы задержки в высокочастотные подпрограммы управления, если только для передач периферии не выделены статические области SRAM без буферов. ↩
-
Задержка мертвого времени: специализированные таймеры широтно-импульсной модуляции (TI
ePWM, STM32TIM1) вносят аппаратно принудительные задержки мертвого времени () между комплементарными сигналами затворов верхнего и нижнего ключей (TIMx_BDTR,DBRED). Эта задержка гарантирует, что проводящий силовой ключ полностью выключится до того, как включится его противоположный ключ, предотвращая сквозные короткие замыкания через высоковольтные шины постоянного тока. Поскольку мертвое время слегка искажает приложенное фазовое напряжение, прошивка управления двигателем включает онлайн-компенсацию вольт-секунд для поддержания плавной генерации момента. ↩ -
Фазовое запаздывание удержания нулевого порядка: удержание дискретной команды управления постоянной на интервале выборки вносит эффективную задержку , давая линейное снижение фазы . В высокополосных робототехнических актуаторах эта эрозия фазы прямо снижает фазовый запас разомкнутого контура, уводя слабозатухающие механические моды в резонанс. Формальный частотный вывод эрозии фазы дискретной выборки см. в разделе «Управление и динамика». ↩
-
Фазовое запаздывание при сглаживании скользящим средним: усреднение шумной обратной связи актуатора фильтром с конечной импульсной характеристикой на отсчетов (FIR) вносит групповую задержку периодов выборки. В позиционном управлении с высоким усилением эта искусственная транспортная задержка поглощает фазовый запас, превращая стабилизирующую обратную связь в положительную, которая уводит актуатор в самовозбуждающиеся предельные циклы. ↩
-
Планирование с монотонным приоритетом по периодам: Liu and Layland, 1973 показали, что статическое планирование с монотонным приоритетом по периодам гарантирует планируемость периодических задач, когда суммарная загрузка процессора удовлетворяет , стремясь к при больших . В распределенных робототехнических архитектурах с произвольными предельными сроками выполнения и блокировками на общих ресурсах системные инженеры применяют точный анализ времени отклика () для верификации детерминированной планируемости. Формальный математический вывод рекуррентных соотношений времени отклика см. в разделе «Системы и оборудование». ↩
-
Распределенные часы: по IEC 61158-4-12 распределенные часы EtherCAT (Distributed Clocks, DC) синхронизируют распределенные узлы сервоприводов с опорными часами мастера, измеряя задержки распространения по физической топологии кольца. Аппаратура распределенных часов может генерировать синхронизированные импульсы
SYNC0. Достигаемая ошибка часов и дрожание выборки приложения зависят от выбранных устройств, конфигурации и измерений; одно лишь выравнивание часов не ограничивает полный цикл управления. ↩ -
Сети с чувствительностью ко времени (TSN): IEEE 802.1Qbv Time-Sensitive Networking устанавливает детерминированную связь Ethernet, настраивая временно-чувствительные формирователи трафика на сетевых коммутаторах. Высокоприоритетные кадры управления выполняются в выделенных, заранее запланированных окнах передачи, тогда как асинхронные высокополосные нагрузки (например, несжатые видеопотоки) временно закрываются шлюзом. Такое плановое разделение по времени позволяет сосуществовать видеотелеметрии и микросекундным сервокомандам по единой физической линии без столкновений пакетов и раздувания буферов. ↩
-
Аппаратная зона аварийного срабатывания: аппаратные зоны аварийного срабатывания микроконтроллера (такие как TI
EPWM_TZFRCили входы Break STM32TIMx_BDTR) напрямую связывают аналоговые компараторы перегрузки по току и перенапряжения с логикой выходов таймера. При обнаружении отказа настроенная логика срабатывания может перевести сигналы затворов в высокоимпедантное состояние или активировать проверенный режим торможения. Их механические последствия различны: снятие момента может оставить объект управления накатом, тогда как динамическое торможение требует номинального энергетического пути. ↩ -
Динамика торможения: остановка шарнира манипулятора с высокой инерцией передает кинетическую энергию в реализованный тормозной путь: потери в обмотке и силовой электронике, номинальный тормозной резистор или механическое трение. Траектория должна удовлетворять запасу хода для остановки () и импульсным и тепловым пределам каждого компонента; учитывает долю обмотки при резистивном электродинамическом торможении двигателя. Полный вывод кинематических огибающих остановки и переходного тепловыделения см. в разделе «Управление и динамика». ↩
-
Безопасное отключение момента (Safe Torque Off, STO): реализация STO убирает сигналы привода, создающие момент, через аппаратную блокировку. Категория целостности по IEC 61800-5-2 зависит от фактических устройств, диагностического охвата, монтажа и валидации, а не от одной лишь схемы. ↩
-
Свобода от помех (Freedom from Interference, FFI): ISO 26262-9 и IEC 61508 формализуют свободу от помех (FFI) как отсутствие каскадных отказов между программными элементами с разными уровнями целостности безопасности. Непроверенные нейронные политики, разделяющие кремний или ткани шин с критичными для безопасности задачами, требуют от архитекторов продемонстрировать пространственную (защиту памяти), временную (независимое планирование и таймеры) и электрическую изоляцию (независимые шины питания). Общие ресурсы требуют свидетельств, что помехи не могут сорвать заданные предельные сроки принудительного обеспечения и отклик на отказ. ↩
-
Граница аренды фрагмента: для приближения с постоянной скоростью аренда фрагмента, такт, шинный цикл и начало торможения должны удовлетворять предтормозному неравенству раздела «Многотактные ритмы», как только возраст наблюдения присоединяется к ним слева, а удержание после истечения также добавляется к этой стороне. Правая часть — предтормозной потолок, а не аренда, которую можно израсходовать целиком. Полный алгебраический вывод границ аренды при ограниченном замедлении см. в разделе «Аренды сторожевого таймера и границы задержки телеуправления». ↩
-
Арбитраж CAN: протоколы Controller Area Network разрешают конкуренцию за шину на физическом уровне с помощью линейного И с доминантной (‘0’) и рецессивной (‘1’) сигнализацией. Если неисправный приемопередатчик непрерывно удерживает доминантное состояние (отказ «болтливый идиот»), он монополизирует общую физическую шину и блокирует всю связь более высоких уровней. Аппаратные сторожи шины и схемы ограничения доминантного времени контролируют длительность передачи, физически отключая болтливые узлы, чтобы сохранить доступность сети для остальных участников безопасности. ↩
Обучение машины
В офлайн-бенчмарке машинного обучения датасет фиксируется до оценки. Классификатор читает отложенные примеры, взятые из заданного распределения данных (); его предсказание не меняет следующий сохраненный пример. Это полезное допущение тестирования ничего не говорит о развернутой модели, чьи выходы влияют на людей, последующие данные или физическое состояние.
Эндогенные данные
Инвариант: Действия физического агента выбирают его последующие наблюдения (), поэтому состояния, которые посещает развернутая политика, не обязаны быть состояниями, на которых она обучалась или тестировалась. Для обучения с подражанием худшая стоимость такого дрейфа может расти как квадрат горизонта Ross et al., 2011, как утверждает «квадратичный дрейф данных».
Следствие: Компетентность обученного инициатора — это утверждение о заявленной области состояний, установленное в замкнутом контуре с работающим путем разрешения. Состояния, которых данные никогда не касались, фиксируются как отсутствующие, а не предполагаются покрытыми, и конечные испытания за утверждением ограничивают его, а не доказывают.
Часть II следует за обученным инициатором — политикой, которая открывает дверь клетки с пружинной защелкой у складского мобильного манипулятора, — от демонстраций, записанных через путь разрешения в доменах часов протокола передачи, который построила Часть I, до свидетельств того, что она работает. Каждая глава сужает то, что может утверждать следующая.
- Физические данные («Физические данные»): Определяют, какие условия поддерживают демонстрации и сколько стоит их сбор, и создают протокол происхождения демонстраций, который перечисляет условия, не покрытые данными, как известные отсутствия.
- Обучение политики («Обучение политики»): Определяет, какой режим обучения подходит поддержке данных и какую область эксплуатационного назначения (ODD) может заявить полученная политика, и создает манифест политики.
- Оценка в замкнутом контуре («Оценка в замкнутом контуре»): Определяет, что конечный набор испытаний в замкнутом контуре поддерживает об инициаторе, и создает протокол оценки, чье утверждение остается внутри целевой ODD.
Часть II передает дальше протокол оценки: утверждение об обученном инициаторе, ограниченное целевой ODD, границу конечной выборки, которая его поддерживает, каталог не покрытых условий и мониторы времени выполнения, которые должна поставлять остальная машина. Этот протокол опирается на манифест политики из раздела «Обучение политики», чья заявленная ODD не может превышать поддержку, которую показывает протокол происхождения из раздела «Физические данные». Часть III доверяет инициатору не дальше, чем позволяет этот протокол, а ее путь разрешения построен для состояний, не покрытых оценкой.
Физические данные
Цель
Что физическая машина, собравшая датасет, неизгладимо впечатывает в политику, которая на нем обучается?
Траектория робота отражает физическую машину, которая ее породила. Геометрия шарниров, люфт редуктора и трение в контакте формируют каждое движение, а тайминг датчиков определяет, какое наблюдение сопровождает каждую команду. Что принципиально, исходные действия меняются между предложением и исполнением: сначала они отображаются в дискретные задания, а затем допускаются, ограничиваются по скорости или насыщаются путем разрешения реального времени под границей предложения. Политика, обученная на этих записях, неизбежно усваивает условия сбора вперемешку с номинальной задачей. Успешные демонстрации также не содержат поведения восстановления, необходимого после того, как ошибка уводит машину с траектории, оставляя политику неподготовленной к отказным состояниям, которые порождают ее собственные ошибки.
Каждая физическая демонстрация расходует конечный ресурс актуаторов, механический износ и рабочее время реального оборудования. Поскольку одинаковые команды дают расходящуюся динамику на разных физических объектах управления, воплощенные датасеты плохо переносятся без явной калибровки. Модели большой емкости не могут преодолеть систематические пробелы записи одним лишь объемом; автономной политике нужны данные, обнажающие границу между номинальной работой и неучтенным возмущением. Физический датасет — это поэтому свидетельство взаимодействия одного конкретного объекта управления через каузальную границу. Ему можно доверять только тогда, когда его происхождение фиксирует, что было запрошено, что было допущено, что исполнило тело и какие эксплуатационные огибающие не исследовались никогда.
Цели обучения
- Оценить выход пригодных демонстраций из времени сбора и накладных расходов на сбросы сцены и заложить в бюджет механический износ, который расходует кампания
- Проанализировать, как политика сбора ограничивает охват датасета и последующее поведение восстановления
- Разделить неудавшиеся автономные действия и траектории человеческого восстановления в записях вмешательств с метками времени
- Оценить, переносятся ли механические и сенсорные предпосылки датасета на другую машину
- Спроектировать протокол происхождения, связывающий каждое наблюдение с запрошенным, отображенным, обеспеченным и измеренным действиями и с собирающим объектом управления
- Проверить, поддерживает ли датасет заявленную область эксплуатации, сопоставив его заполненность с реестром сценариев
Эндогенный опыт
Политика, обученная на сохраненных демонстрациях кампании открывания двери — чистых телеуправляемых открываниях клеточной двери складского мобильного манипулятора с пружинной защелкой, — все равно может дать сбой на защелке при первой автономной попытке. Одна из возможных причин — сдвиг, который создают собственные действия машины.1 В фиксированном офлайн-датасете зрения предсказание модели не меняет следующий сохраненный пример. Здесь исполненное действие меняет траекторию тела, положение камеры и контакты, а значит — и последующие наблюдения ().
Эндогенный ковариантный сдвиг
Эндогенный ковариантный сдвиг — расхождение распределений в замкнутом контуре, при котором исполненные действия воплощенного агента изменяют его последующие физические состояния и сенсорные наблюдения (), уводя систему в области пространства состояний, не обеспеченные обучающими демонстрациями.
- Значение: Объясняет, как офлайн-обучение с подражанием может дать сбой при исполнении в замкнутом физическом контуре: возмущение способно увести систему в состояния, для которых у политики нет обучающей поддержки.
- Отличие: В отличие от экзогенного сдвига датасета, вызванного изменением окружающего освещения или сезонной погодой, эндогенный сдвиг активно порождается собственными действиями агента в замкнутом контуре, изменяющими его последующее распределение наблюдений.
- Распространенная ловушка: Попытка исправить отказ политики в замкнутом контуре сбором дополнительных номинальных демонстраций эксперта — это лишь увеличивает плотность данных вдоль многообразия успеха, не давая корректирующих данных восстановления, необходимых для выхода из вылазок за границу.
Этот сдвиг — обращенная к сбору данных сторона принципа «Эндогенные данные». Он превращает архив безупречных исполнений без траекторий восстановления в обузу, потому что первая ошибка политики выносит робота за пределы продемонстрированных состояний. Пусть — обученная политика, — эксперт, — ожидаемая накопленная стоимость задачи за шагов, а — вероятность расхождения на посещенных экспертом состояниях при 0–1 потере на действия. Если стоимость задачи на шаг лежит в , обучение с подражанием допускает худший случай границы («квадратичный дрейф данных»):2
Сбор физического опыта тоже дорог. Каждая записанная секунда расходует усталостный ресурс актуаторов, нагревает обмотки двигателей, циклирует зубья редуктора и разряжает батарею.3 Отдых оператора, калибровка, сбросы сцены и неудачные или отвергнутые попытки оставляют меньше четверти планового времени ячейки в виде валидированных данных демонстраций («Стоимость демонстраций телеуправления»). Физические данные демонстраций поэтому дефицитны, и при наивной записи они вводят обучение в заблуждение.
↰ Предпосылка: Теплоотдача актуатора () и пределы повреждения обмотки выведены в разделе «Тепловые циклы нагрузки».
Физическая команда также меняет смысл на пути к актуаторам. В машине, разделенной границей предложения,4 запрос оператора или политики отображается в задание, допускается или изменяется путем разрешения, и на него отвечает объект управления измеренным откликом. Запись только запроса обучает политику требованиям, которые объект управления никогда не смог бы исполнить, а запись только отклика учит ее структурному прогибу и люфту редуктора так, будто это осознанное мастерство человека.
Кампания сбора поэтому принимает два решения прежде, чем что-либо записать: какой источник будет выбирать действия и какую из четырех форм каждого действия датасет сохранит как метку.
Откуда берутся физические данные
Физический датасет нельзя найти в готовом виде или извлечь из интернета. Каждый переход в архиве потребовал перемещать массу против трения на реальной машине. Трудность обучения по таким записям была видна на примере ALVINN (Autonomous Land Vehicle in a Neural Network) — системы Dean Pomerleau Pomerleau, 1989, учившейся рулить по камерным изображениям человеческой езды. Поскольку водители-люди редко ошибались, в датасете не было восстановлений от края полосы, а малые ошибки исполнения накапливались в замкнутом контуре.
Источники физических данных различаются по тому, кто выбирает действие:
- При кинестетическом обучении демонстратор, находящийся рядом с машиной, физически захватывает и перемещает обесточенные или компенсированные по гравитации шарниры механизма.
- При телеуправлении удаленный оператор ведет входное устройство — такое как ведущее плечо, многоосевая спейс-мышь или отслеживаемый ручной контроллер, — передавая команды через программный интерфейс ведомому роботу.5
- При программном сборе инженер исполняет детерминированную управляющую процедуру, например конечный автомат, следящий за интерполированными сплайнами или примитивами с порогом по силе.
- При исследовательском сборе активная политика выбирает действия, оптимизируя информационно-теоретическую цель, исследуя пространство состояний или максимизируя сигнал вознаграждения.
- При автономном журналировании в ходе эксплуатации производственная политика командует актуаторами, выполняя работу на заводе или складе, и сохраняет входящие потоки датчиков на месте.
Поскольку источник определяет, как машина подходит к миру, эти источники занимают непересекающиеся области состояний-действий даже на одной задаче. Рассмотрим освобождение защелки клеточной двери. Демонстратор, находящийся рядом и ведущий манипулятор, чувствует, как защелка заедает, и корректирует движение в запястье. Телеоператор, наблюдающий за видео, такого ощущения не имеет и тычет в ответную планку короткими движениями с паузами. Программный контроллер подходит вдоль одной запрограммированной траектории с постоянной скоростью, порождая один и тот же скачок силы о планку при каждой попытке. Частично обученная политика блуждает, заклинивая защелку под косыми углами, пока контактный порог срабатывания не обрывает попытку. Эти журналы — не зашумленные выборки одной траектории. Это выходы различных динамических систем с разными пропускными способностями, задержками и податливостями.
⇄ Контраст: Задержка дисплея и реакции оператора, задающая ритм движениям «шаг и ожидание» телеоператора («Стоимость демонстраций телеуправления»), противопоставляется такту разрешения в , на котором проверяется каждая команда («Многотактные ритмы»).
Считать каждый записанный управляющий шаг независимым опытом — распространенная ошибка. Регистратор, работающий на высокой частоте управления, порождает огромное число шагов, но соседние шаги почти идентичны: два кадра, отстоящие друг от друга на несколько десятков миллисекунд, различаются лишь субмиллиметровыми смещениями и шумом датчиков. Охват растет с числом независимых эпизодов и различных физических конфигураций, а не с тактовой частотой дискретизации, поэтому скромный архив, охватывающий сотни положений детали и условий освещения, поддерживает куда больше, чем запись в десять раз длиннее на одной позиции стенда.
Симуляция избавляет от счета за износ и рассматривается в разделе «Обучение политики». Когда синтетические траектории смешиваются с физическими журналами, каждая запись должна нести свой источник. Модель, обученная на недифференцированной смеси, наследует ошибки контакта физического движка там, где доминируют синтетические данные, и люфт и шум оборудования — там, где доминируют физические данные, и позднее никто не сможет сказать, что именно вызвало отказ на роботе. Запись, называющая свой источник, закрыла первое из двух решений кампании, и ей все еще предстоит указать, какую форму каждого действия она сохранила.
Какое действие становится меткой
Когда захват касается ответной планки защелки клеточной двери, движение руки оператора уже превратилось в четыре разных сигнала, и то, какой из них датасет сохраняет как метку, определяет, чему обученная модель будет подражать. Машина разделяет свой путь управления между двумя процессорами («Кортеж четырехпоточного отбора действий»), поэтому метку можно снять в двух вычислительных доменах:
- Непривилегированный прикладной процессор захватывает потоки камер, выполняет отображение входа телеуправления или прямой проход политики и отображает координаты.
- На стороне разрешения границы предложения («Машина в пяти уровнях») микроконтроллер (MCU) безопасности работает на на «голом железе», выполняя импедансное управление, функции барьеров безопасности, ограничения скорости и ограничения тока.6
Кортеж четырехпоточного отбора действий: Четыре места, где может регистрироваться команда, — от исходного намерения политики на прикладном процессоре до измеренного отклика объекта управления. Какой отбор фиксирует датасет, определяет, чему модель учится подражать. Источник: архитектурный дизайн адаптирован из Zhao et al., 2023 и Wu et al., 2024.
Четыре точки отбора на этом пути управления фиксируют принципиально разную физическую семантику:
- Запрошенное действие (): исходный вход оператора или предложение политики, снабженные тегами представления, единиц, системы координат и времени выдачи.
- Отображенная команда (): переадресованное декартово или шарнирное задание, снабженное тегами нового представления, единиц, системы координат и времени отображения.
- Обеспеченная команда (): то же типизированное задание после того, как независимый путь безопасности допустил, изменил или отверг предложение.
- Измеренный отклик (): соответствующая измеренная позиция или скорость за заявленный интервал выборки; показания энкодеров и ток двигателя — отдельные сенсорные каналы, а не взаимозаменяемые координаты действия.
Только полный кортеж, записанный через границу между прикладным процессором и MCU, разделяет то, о чем просил оператор, и то, что позволил путь разрешения.
Четырехпоточный отбор действий
Четырехпоточный отбор действий — синхронизированный по времени многоуровневый телеметрический протокол, фиксирующий сигнал действия на всех четырех стадиях каузальных преобразований: непривилегированное намерение оператора или политики (), кинематически переадресованное задание (), команда под управлением безопасности () и отклик физического объекта управления ().
- Значение: Обучение политик подражания на исходных запрошенных действиях () вносит динамически неосуществимые команды, которые при развертывании вызывают срабатывания безопасности. Наоборот, обучение на измеренных откликах () заставляет модель подражать механической податливости, люфту и внешним возмущениям, а не целенаправленному управлению. Запись всех четырех потоков позволяет отличить управляющее намерение от вмешательства пути разрешения.
- Отличие: В отличие от классических журналов телеметрии робота, фиксирующих лишь конечные состояния энкодеров двигателей или исходные входы джойстика телеуправления, четырехпоточный отбор сохраняет точные стадии каузальной фильтрации, примененные промежуточным ПО и аппаратурой безопасности.
- Распространенная ловушка: Запись потоков без меток времени, синхронизированных в оборудовании по IEEE 1588 Precision Time Protocol (PTP), обозначаемых . Даже несколько миллисекунд расхождения часов между прикладным процессором и MCU разрушают временное выравнивание между визуальными наблюдениями и соответствующими действиями по моменту.
Запись правильной точки отбора не отвечает на вопрос, когда каждое записанное значение было истинным. Камеры интегрируют фотоны в окне экспозиции длительностью в десятки миллисекунд до считывания и передачи, датчики силы опрашиваются с частотой порядка сотни герц, шарнирные энкодеры и контуры тока работают на килогерцевом такте MCU, а контур действия выдает команды с частотой в десятки герц. Загрузчик данных, захватывающий последнюю доступную выборку, сопоставляет каждое действие с кадром камеры, экспозиция которого была центрирована за до того, как кадр достиг памяти хоста, и политика учится отображать прошлые состояния в настоящие действия, с фазовым запаздыванием, впечатанным в ее веса. Регистраторы предотвращают это в три шага:
- Метка времени середины экспозиции: Каждый кадр получает метку в середине своей экспозиции («Свежесть измерений»), фиксируемую на аппаратных триггерах, синхронизированных по PTP, или на внешних линиях синхронизации TTL, так что каждое наблюдение камеры несет время, когда оно было истинным.
- Кинематическая интерполяция: Конфигурация шарниров на оптической метке времени камеры интерполируется между двумя ближайшими записями энкодеров MCU (форма сплайна приведена в разделе «Гладкие траектории и безударная передача»).
- Выравнивание перед сериализацией: Такие контейнеры, как MCAP, LeRobot Cadene et al., 2024 и RLDS Open X-Embodiment Collaboration et al., 2024, хранят многотактные потоки с теми метками времени, которые им даны, поэтому выравнивание по середине экспозиции должно происходить до записи пар состояние-действие.
↰ Предпосылка: Субмикросекундная синхронизация часов PTP через распределенные контроллеры шин установлена в разделе «Передача команд вовремя».
Точка отбора и метка времени хороши ровно настолько, насколько хорош породивший их контур. В телеуправлении — до сих пор стандартном способе сбора высококачественных физических траекторий — этот контур проходит через человека, и интерфейс между человеком и машиной формирует записываемую динамику задолго до того, как данные достигнут модели.
Стоимость демонстраций телеуправления
Телеуправление замыкает контур обратной связи через оператора, входное устройство, шину, контроллер двигателя и среду («Кинематически изоморфные стенды телеуправления»). Камера захватывает рабочую область и передает ее потоком на дисплей; оператор видит сцену, принимает решение о коррекции и приводит в движение входное устройство; рабочая станция отображает это движение в задание и отправляет его на приводы двигателей; актуаторы разгоняют манипулятор против инерции, трения и контакта, а изменившаяся сцена достигает камеры на следующем цикле.
Кинематически изоморфные стенды телеуправления: Запись демонстраций на трех стендах «ведущий–ведомый», где ведущие устройства повторяют кинематику ведомых Wu et al., 2024. Поскольку ведущее устройство разделяет шарнирную структуру ведомого, интерфейсу не нужна обратная кинематика и он не наследует ее сингулярностей (математических мертвых зон, где шарниры выстраиваются в линию и теряют подвижность), сохраняя прямую координацию оператора на уровне шарниров. Тем не менее задержка непрерывных коррекций оператора все равно попадает в запись как фазовое запаздывание, так что демонстрация несет задержку оператора, словно она является политикой.
Каждая стадия этого контура вносит задержку, влияющую на момент коррекции. В эталонной конфигурации с высокоскоростной камерой и проводной локальной сетью (иллюстративно; см. руководство читателю) обработка дисплея требует на экспозицию, декодирование H.264 и обновление монитора. Зрительное восприятие человека и нейромышечная передача добавляют задержку реакции оператора для непрерывных коррекций траектории. Квантование команды, ее пакетирование и транспорт по шине к контроллеру робота добавляют . Нарастание момента актуатора и инерция конструкции накладывают механическую задержку отклика до того, как робот достигнет заданного ускорения. Круговая задержка телеуправления — время от события контакта до корректирующего отклика актуатора — равна их сумме:
Когда в момент возникает смещение в контакте, оператор видит его в , дает команду на коррекцию в , и манипулятор противодействует в , пока сам манипулятор продолжает движение под действием импульса и контактных сил. Регистратор, сопоставляющий наблюдение с командой, выданной в тот же момент, соединяет состояние с действием, выбранным для состояния на старше. Политика учится этой задержке как осознанному поведению и перекорректирует или колеблется, работая автономно на частоте управления. Круговая задержка — поэтому свойство датасета, а не только стенда, поскольку она попадает в каждую демонстрацию как фазовое запаздывание, определяемое собственным временем реакции оператора.
Когда контактная сила отражается обратно в руку оператора при двустороннем телеуправлении, та же задержка становится угрозой устойчивости. Anderson и Spong показали, что задержка передачи превращает пассивное звено в источник энергии Anderson and Spong, 1989. Запаздывающая сила реакции приходит в противофазе с рукой оператора, толкая ее по направлению движения и вводя ведущее и ведомое устройства в предельные циклы о жесткий контакт («Пассивность и энергетически ограниченное взаимодействие»). Контроллеры пассивности во временной области и преобразования волновых переменных стравливают эту энергию виртуальным демпфированием, а демпфирование фильтрует низкими частотами движение оператора, ослабляя именно те контактные сигналы, ради которых демонстрация и затевалась.
Таким образом, интерфейс фильтрует то, что демонстрация способна выразить. Ведущее устройство с отражением силы позволяет оператору чувствовать заедание; визуальный регулятор скорости побуждает к коротким движениям и паузам, пока оператор проверяет видео. Ведущее шарнирное устройство с обратным приводом, такое как ALOHA, записываемое на Zhao et al., 2023, занимает промежуточное положение, передавая механическое ощущение ведущего устройства без силы ведомого. С любым из этих интерфейсов операторы замедляются возле контакта, потому что контур с высоким усилением, замкнутый вокруг , потерял бы фазовый запас. Раздел «Интерфейсы телеуправления для сбора демонстраций» перечисляет эти поведения как артефакты, которые следует проверять на данном стенде, а не как универсальные диапазоны.
| Интерфейс и обратная связь | Отображение команд | Контактная информация, доступная оператору | Возможный артефакт сбора, который следует проверить |
|---|---|---|---|
| Двустороннее ведущее устройство с отражением силы | Движение ведущего устройства отображается в шарниры ведомого; измеренная сила ведомого отражается в ведущее устройство | Зрение и физическая контактная сила, с учетом задержки канала и его точности | Контактные коррекции и колебания, когда запаздывающее отражение силы теряет пассивность |
| Ведущее шарнирное устройство с обратным приводом (ALOHA) Zhao et al., 2023 | Положения шарниров ведущего устройства копируются в ведомый; демонстрация записывается на | Зрение и механическое ощущение ведущего устройства, без активного отражения силы ведомого | Предпочтения по позам в шарнирном пространстве и ненаблюдаемые контактные силы ведомого |
| Регулятор скорости на 3D-мыши | Отклонение устройства отображается в декартову скорость, затем следует обратная кинематика | Преимущественно визуальная обратная связь, если нет отдельного гаптического канала | Движение «шаг и ожидание» и паузы с нулевой скоростью при запаздывающей обратной связи |
| Отслеживаемый пространственный контроллер | Отслеживаемая поза руки отображается в позу инструмента со сцеплением и масштабированием | Визуальная обратная связь; опциональная вибрация не является направленным отражением силы | Разрывы при сцеплении и провалы в отслеживании позы |
| Оснащенный датчиками экзоскелет | Движение шарниров носимого устройства переадресуется в шарниры робота | Зависит от того, установлено ли активное отражение силы | Биомеханическая калибровка и смещение при переадресации |
Интерфейсы телеуправления для сбора демонстраций: Отображение и обратная связь определяют, что оператор способен продемонстрировать, а последний столбец называет артефакт, который следует проверять на данном стенде, задаче и операторе.
Какой бы интерфейс ни держал оператор, стенд обязан записывать каждый поток, который порождает сеанс, включая все четыре точки отбора действия определения «Четырехпоточный отбор действий», и эта запись имеет собственный бюджет пропускной способности и хранения.
Бюджеты приема и хранения для нескольких камер
Вопрос: Какую непрерывную скорость приема и какой объем хранения порождает один телеуправляемый сеанс открывания двери на складском мобильном манипуляторе, если каждая камера и каждая ось записываются в необработанном виде?
Параметры (геометрия камеры — из технического описания; форматы записи выбраны):
- Навигационная камера:
4056на3040пикс при60 Hz, записывается как 24-битный RGB ().- Камера запястья:
1440на1080пикс при60 Hz, записывается так же.- Внешние камеры:
2RGB-D камеры, наблюдающие дверь, цвет —1920на1080пикс при30 Hz, глубина выровнена по цветному кадру как необработанные миллиметры в форматеuint16().- Кинематика:
9осей (два колеса базы, семь шарниров манипулятора) записываются на1 kHz. Каждый шаг хранит для каждой оси позицию и скорость (измеренный отклик ), измеренный момент и запрошенные, отображенные и обеспеченные команды как 32-битные значения, плюс одну 64-битную метку времени, — итого224байта на шаг.Расчет:
- Пропускная способность необработанного видео: навигационная камера выдает поток
2219.44 MB/s, камера запястья —279.94 MB/s. Внешняя пара добавляет373.25 MB/sцвета и248.83 MB/sглубины, всего622.08 MB/s.- Пропускная способность кинематики:
224байта на шаг при1 kHz— это0.22 MB/s.- Суммарная непрерывная скорость приема: потоки дают
3121.68 MB/s, около3.12 GB/s.- Расход хранилища за час и за смену: несжатая телеметрия накапливается со скоростью
11.24 TBв час, или89.9 TBза8-часовую смену сбора на одной машине.Системный вывод: Одна лишь навигационная камера записывает
4.0×того, что выдерживает SATA SSD (550 MB/s). Весь сеанс укладывается в7 GB/sнакопителя Gen4 NVMe, но лишь ценой расхода хранилища11.24 TBв час. Внутрикадровое сжатие видео с иллюстративным коэффициентом8×снижает скорость примерно до390.2 MB/s(1.40 TBв час) ценой задержки кодировщика и артефактов в кадрах, на которых будет обучаться политика. Кинематический поток, несущий все четыре точки отбора действия, составляет0.007процента байт. Запись, сохраняющая каузальную цепь, — самый дешевый поток для записи, поэтому регистратор, сбрасывающий данные под давлением буфера, никогда не должен сбрасывать ее первой.
Хранилище ограничивает объем записи сеанса; выход ограничивает долю данных, на которых стоит обучать. Выход демонстраций () — число сохраненных записей траекторий, которое дает запланированный сеанс после того, как запуск, калибровка, отдых оператора, сбросы и фильтрация качества забрали свою долю. Рассмотрим один иллюстративный сеанс кампании защелки, объявленной длительностью . Запуск, калибровка и отдых оператора оставляют активное окно . Каждая попытка — одно телеуправляемое открывание за с последующим повторным защелкиванием двери ее фиксатором за (), так что в сеанс помещается 52 попытки. Отказы в ходе попыток (20 %) и последующая фильтрация (15 %) дают долю сохранения 0.68, и сеанс дает 35.36 сохраненных эпизодов, 14.73 min валидированных данных. Это чистая доля сеанса — валидированное время траектории к плановому времени ячейки — составляет 24.6 процента. Цель в 5 000 сохраненных демонстраций поэтому стоит 7 353 попыток и 141.4 h планового времени ячейки, 4.07× демонстрационного времени, которое кампания сохраняет («Бюджет сбора физических демонстраций за 60-минутный сеанс»). Кампания закладывается в бюджет в валидированном времени траекторий, никогда — в часах работы площадки.
Износ накапливается за циклы, а не за часы. В иллюстративной модели износа запястья манипулятора волновая передача рассчитана на циклов напряжения, а внутренний жгут кабелей — на циклов изгиба. Поиск ручки, освобождение защелки и распахивание двери добавляют около реверсов момента и циклов изгиба на каждое открывание, а обратный ход при повторном защелкивании добавляет еще два цикла изгиба. Неудачные попытки изнашивают шарнир не меньше сохраненных, поэтому счет предъявляется ко всем 7 353 попыткам: 102 942 циклов напряжения передачи, 2.1 процента расчетного ресурса, и 58 824 изгиба кабеля, 29.4 процента расчетного ресурса, за одну кампанию. График замены задает кабель, а не передача. Три кампании на одной машине израсходовали бы большую часть расчетного ресурса кабеля, а перемежающийся обрыв проводника портит именно те потоки датчиков, которые и записываются.
| Этап сеанса / активность | Выделенная длительность () | Доля фактического времени (%) | Физическая операция и состояние управления | Механизм нагрузки и износа оборудования | Чистый выход траекторий ( / ) |
|---|---|---|---|---|---|
| Запуск ячейки и синхронизация шины | () | Синхронизация шины (EtherCAT/CANopen), проверка сторожевого таймера безопасности, оптический возврат в исходное положение | Пусковой бросок тока; тепловой прогрев обмоток двигателей и сенсорных мостов | , выход | |
| Калибровка и обнуление датчиков | () | Прогон внутренних и внешних параметров камеры, обнуление смещения момента в шарнирах, возврат энкодеров в исходное положение | Статический удерживающий момент; тепловая стабилизация сенсорных мостов; нулевой динамический износ передачи | , выход | |
| Отдых оператора и эргономика | () | Обязательные перерывы оператора для смягчения зрительного утомления, когнитивного насыщения и дрейфа тремора | Пассивное ожидание; включенные электромагнитные тормоза или удерживающий ток при нулевой скорости | , выход | |
| Физические сбросы сцены | () | Дверь закрывается и повторно защелкивается своим фиксатором, обратный ход манипулятора () | ; нулевая контактная нагрузка | , выход | |
| Активные телеуправляемые попытки | () | Телеуправление человеком в реальном времени, ведущее подход к ручке, освобождение защелки и распахивание двери () | на волновой передаче; ; контактные нагрузки ниже 15 N | , суммарного движения | |
| Отказы в ходе попыток (с метками) | () | Срыв ручки, заедание защелки, контактный порог срабатывания выше 15 N (потеря ) | Высокосиловые контактные переходные процессы; абразивный износ силиконовых накладок захвата | от выхода успеха; валидные журналы сохранены | |
| Фильтрация контроля качества после сбора | () | Офлайн-фильтрация: задержка канала , визуальная окклюзия, колебания оператора (потеря ) | Нулевой износ оборудования (офлайн-вычислительный проход валидации) | отброшено | |
| Чистый выход валидированного датасета | () | Высококачественные синхронизированные мультимодальные траектории (), допущенные в обучающий буфер | Расходует ресурса передачи запястья и ресурса внутреннего гибкого кабеля на кампанию в | эпизодов |
Бюджет сбора физических демонстраций за 60-минутный сеанс: Время площадки, потери выхода и износ компонентов по этапам для одного сеанса кампании защелки ( попыток по , сброс ). Оставшиеся после последнего полного цикла 20 s активного времени простаивают и не имеют строки. Меньше четверти часа сохраняется в виде сохраненных данных демонстраций.
Телеуправляемые демонстрации ограничены тем, что оператор способен воспринять через дисплей, скоординировать через интерфейс и стабилизировать вопреки задержке контура, поэтому датасет отражает составную систему «человек–интерфейс», а не неограниченную выборку динамики объекта управления, и это смещение задает охват датасета («Охват политики сбора»).
Охват политики сбора
Физический датасет порождается исполнением действий на оборудовании и записью возникающих переходов. Записанные выборки определяют эмпирическое распределение заполненности состояний-действий Spencer et al., 2021 , а обучение с подражанием минимизирует ошибку предсказания, взвешенную им, так что обученная политика тренируется только на состояниях, где . Датасет — не выборка физического пространства состояний. Это область, прочерченная политикой сбора под ее управляющими смещениями, задержками интерфейса и толерантностью к риску.
Рассмотрим иллюстративную контактную задачу — совмещение захвата с кромкой детали, — для эксплуатации которой требуются углы контакта в и нормальные силы до . При разбиении по и это сетка из 600 ячеек. Два коллектора записывают по переходов одинаковыми датчиками. Осторожный телеоператор удерживает контакт в пределах от перпендикуляра под – и заполняет 8 ячеек, оставляя 98,7 % сетки пустыми. Исследовательская политика подходит во всем диапазоне углов, проскальзывает и нагружает контакт между и , заполняя 510 ячеек и оставляя 15,0 % пустыми. Числа байт идентичны; вопросы, на которые способны ответить два датасета, — нет.
Метка действия существует лишь потому, что политика сбора посетила это состояние и выдала команду. В состоянии с нулевым числом посещений датасет не содержит ни предпочтительного действия, ни свидетельства того, что его нет, и функция потерь не отличает неустойчивую конфигурацию от безопасной, но непосещенной, или от разрушительной. Политика может обобщиться там, дать сбой или быть остановлена отдельным предохранителем, и один датасет не может сказать, какое именно; только целевой сбор, перемаркировка экспертом или отказ в автономных полномочиях закрывают ячейку. Допустим, политика, обученная на осторожных данных, возмущением трения сдвинута к , вне ее 8 продемонстрированных ячеек. Ее сеть теперь вычисляет вход, который ни одна демонстрация не ограничивает, и невалидированное действие несет ее к при один управляющий шаг спустя — состоянию, для которого в архиве нет коррекции. Каждое следующее действие уводит ее все дальше от коридора, пока захват не заклинит о фиксатор. Это эндогенный ковариантный сдвиг («Эндогенный ковариантный сдвиг»), действующий на разрыв охвата.
Измерять охват по крайним значениям собранных величин — значит ходить по кругу. Коллектор, записывающий силы только между и , отчитается о полном охвате этого интервала. Охват должен оцениваться по внешнему реестру сценариев — таблице условий, требуемых при эксплуатации, разбитой на ячейки. Реестр сценариев — это записанная область эксплуатационного назначения (ODD): позы объекта, состояния поверхностей, нагрузки, скорости и возмущения, в которых машине предстоит работать. Датасет поддерживает ту часть ODD, которую покрывает стыковка его заполненности; остальное — его известное отсутствие.
Неподдерживаемые области находятся реляционной стыковкой с огибающей поддержки, сопоставляющей эмпирическую заполненность (где машина бывала) с реестром сценариев (где ей нужно бывать). Для каждой ячейки реестра стыковка сообщает число переходов и тем самым разбивает ODD на поддерживаемые режимы (), зоны переходов с высокой дисперсией и слепые зоны нулевой поддержки (). В слепой зоне нет обучающего надзора, поэтому путь разрешения должен решить, может ли политика там работать вообще; ячейки с малым числом посещений требуют проверок неопределенности и специфичных для сценария.
Потери валидации не обнаруживают дефицит. Отложенная выборка из тех же траекторий разделяет заполненность , поэтому осторожный датасет может достигнуть почти нулевых потерь валидации, тогда как 98,7 % ячеек, требуемых ODD, не содержат примеров («Метрики охвата и потерь валидации по сценарным корзинам», «Стыковка охвата и сценариев коллектора»). Только отношение поддерживаемых ячеек реестра к требуемым, вычисленное до развертывания, измеряет охват.
| Метрика | Осторожное телеуправление () | Исследовательская политика () | Системное следствие |
|---|---|---|---|
| Записанные переходы | переходов () | переходов () | Эквивалентный масштаб датасета |
| Охват эксплуатационной сетки | корзин () | корзин () | Поддерживаемые ячейки ODD |
| Слепые зоны с нулевым счетчиком () | корзин () | корзин () | Немониторируемый объем риска |
| Потери валидации на отложенной выборке () | Потери валидации не диагностичны | ||
| Нарастающий дрейф в замкнутом контуре | Расхождение за пределами | Ограниченное восстановление в пределах | Стабильность физической политики |
| Допуск к обучению | Отказать (требовать целевого сбора) | Допустить (слепые зоны остаются в каталоге) | Аудиторский шлюз реестра сценариев |
Метрики охвата и потерь валидации по сценарным корзинам: Метрики реляционной стыковки, сравнивающие осторожное телеуправление и охват исследовательской политики.
Стыковка охвата и сценариев коллектора: Посещаемость состояний-действий осторожным телеоператором против исследовательской политики, сопоставленная с реестром сценариев, который требуется при эксплуатации. Осторожный коллектор концентрирует переходы в узком кластере и оставляет 98,7 % требуемых ячеек непосещенными, отчитываясь о почти нулевых потерях валидации, — это показывает, что статистическая сходимость ничего не говорит о физическом охвате. Реляционная стыковка разбивает ODD на поддерживаемые режимы, зоны переходов с высокой дисперсией и слепые зоны нулевой поддержки, где автономные управляющие полномочия должны быть отвергнуты.
Кампания защелки показывает стыковку на работающей машине. Каждый сохраненный эпизод подходит к ответной планке с охраняемой скоростью 0.03 m/s, отклоняясь от номинального положения планки в пределах 0.5 mm, и каждый сохраненный успех остается ниже порога срабатывания 15 N. По реестру, содержащему только номинальную планку на охраняемой скорости, датасет выглядит полным. По реестру, который нужен двери, — три положения планки (номинальное и 3 mm) в сочетании с двумя скоростями подхода (0.03 m/s и 0.10 m/s) — те же данные заполняют одну ячейку из 6, а каждая смещенная планка и каждый подход с 0.10 m/s не содержат ни одной демонстрации. Внутри датасета ничто не различает два ответа; различает их только внешний реестр. Поэтому 5 пустых ячеек следуют вместе с датасетом в раздел «Обучение политики» как его известные отсутствия, и пока целевой сбор не заполнит их, машина должна этим условиям отказ, а не догадку.
Эмпирическая заполненность и стыковки с реестром сценариев
Прежде чем оценивать охват политики в области эксплуатационного назначения, проверьте свое понимание заполненности датасета и учета реестра сценариев:
- Эмпирическая поддержка против потерь валидации: Можете ли вы объяснить, почему политика подражания способна достичь почти нулевых потерь валидации на отложенных тестовых данных, оставляя при этом 98 процентов требуемых ODD ячеек неподдержанными?
- Неподдерживаемые состояния: Что может установить непосещенная ячейка сценария о поведении политики и какое дополнительное свидетельство или решение об отказе необходимо?
- Реляционные стыковки с реестром сценариев: Умеете ли вы различать поддерживаемые номинальные режимы, зоны переходов с высокой дисперсией и слепые зоны нулевой поддержки при стыковке телеметрии с операционным реестром сценариев?
Запись дополнительных номинальных демонстраций вдоль коридора не может заполнить слепую зону. Для достижения пограничных состояний нужны супервизорные перехваты или намеренное возмущение, и данные, которые они порождают, создают собственные каузальные проблемы («Данные вмешательств и восстановления»).
Данные вмешательств и восстановления
Когда опасное или пограничное состояние не встречается в обучающем датасете, инженер не может заключить, что физическая система естественным образом избегает этого состояния. Отсутствующее состояние в эмпирическом журнале соответствует одному из четырех различных физических механизмов в ходе сбора данных:
- Непосещенный номинальный путь: Политика сбора никогда не посещала это состояние, потому что номинальные прогоны оставались целиком в пределах основного коридора задачи. Это отсутствие означает немониторируемую номинальную работу и обнаруживается сопоставлением журналов траекторий с реестром сценариев.
- Перехват путем разрешения: Активный барьер безопасности или детерминированный рефлекс на пути разрешения обнаружил надвигающееся нарушение границы и оборвал движение до достижения состояния — так контактный порог срабатывания
15 Nпоступает с попыткой открыть защелку. Это отсутствие обнаруживается непосредственно в журналах пути разрешения, фиксирующих срабатывание барьера. - Перехват супервизором-человеком: Оператор безопасности увидел развивающуюся опасность и отключил автономную политику до контакта. Это отсутствие обнаруживается по флагу отключения перехвата на шине транспортного средства или манипулятора.
- Цензура после сбора: Машина действительно вошла в опасное состояние, столкнулась с препятствием или заклинила шарнир, но автоматизированный скрипт последующей обработки отбросил эпизод как испорченный или неполный. Это отсутствие не обнаруживается при инспекции датасета, поскольку переходы отказа были удалены до записи обучающих массивов на диск.
Каждый механизм порождает идентичный нулевой счетчик в ячейке сценария, однако одинаковое обращение с ними ведет к неверным выводам об устойчивости политики.
Человеческие перехваты и автоматические отключения вносят в данные флота ловушку отбора. Вмешательство происходит именно тогда, когда автономная политика вошла в область пространства состояний, с которой она справляется плохо, из-за чего ошибка слежения или неопределенность модели превышают эксплуатационный порог. Поскольку отключения запускаются неудачными прогонами, собранные данные вмешательств не взяты из номинального распределения состояний задачи. Траектория, записанная после такого перехвата, фиксирует эксперта, восстанавливающегося после возмущения краевого случая. Распределение состояний, посещенных при этих спасениях, обозначаемое , обусловлено отказом политики, а не стандартным исполнением задачи. Обращение с журналами вмешательств так, будто они взяты из номинального распределения , искажает обучающее распределение в сторону состояний, которые существуют лишь потому, что предыдущая политика дала сбой.
Прямое добавление спасенного эпизода в датасет обучения с подражанием может придать небезопасным командам политики вид демонстраций эксперта. До перехвата обученная политика может выдавать команды, увеличивающие ошибку курса или контактную силу; после перехвата эксперт выдает корректирующие команды из состояний, которые посещал обучающийся. Эти состояния дрейфа ценны для корректирующей агрегации, когда эксперт способен разметить там безопасное действие.
Чтобы разделить эти метки, необходимо локализовать точку расхождения, где автономная политика покинула номинальный путь (развитие раздела «Многотактный мост»), а не считать перехват первой ошибкой. Супервизорный перехват вне контура (его задержку закладывает раздел «Человеческие полномочия над исполнением команды») занимает больше времени, чем непрерывная коррекция контура телеуправления («Стоимость демонстраций телеуправления»); при иллюстративных эта задержка охватывает много управляющих циклов, и все они записаны под полномочиями обучающегося.
Обнаружение в офлайн-конвейерах приема требует поиска назад во времени от метки времени физического перехвата по синхронизированному телеметрическому буферу до триггера: Конвейер просматривает заявленное окно ретроспективы (здесь ) в поисках первого пересечения порога, используя калиброванные остатки слежения и, если доступна, неопределенность политики. Пороги специфичны для сценария.
Отбор вмешательств разделяет команды обучающегося, метки эксперта на состояниях, посещенных обучающимся, и восстановление после перехвата по меткам времени расхождения и перехвата. Команды обучающегося между расхождением и перехватом он сохраняет в аудиторском журнале с их истинными полномочиями и флагами безопасности, но никогда — как цели подражания для эксперта; состояния, которых они достигли, допускает к корректирующей агрегации только тогда, когда квалифицированный эксперт способен разметить там безопасное действие; а восстановление после перехвата записывает как отдельную экспертную последовательность. Состояния, обнажающие разрыв охвата политики, никогда не стираются.
Состояния между расхождением и перехватом — это место, где принцип «Эндогенные данные» становится конкретным. Их избрали собственные действия обучающегося, ни одна демонстрация их не посещает, и это те состояния, в которые политика обучения с подражанием попадает после первой ошибки, — поэтому их отсутствие дорого обходится. Подражание одним лишь состояниям эксперта допускает лишь квадратичную границу худшего случая «квадратичный дрейф данных», .
При корректирующей агрегации, такой как DAgger Ross et al., 2011, эксперт размечает состояния, посещенные обучающимся, включая допустимые состояния дрейфа до перехвата. Обученная политика способна достичь границы стоимости, линейной по горизонту и по ее потере на состояниях, посещенных обучающимся, .7
Для шагов ( при ) и выражения и иллюстрируют разную зависимость от горизонта. Поскольку оба члена опускают константы и опираются на разные допущения об ошибках, их отношение не есть улучшение в . Поскольку стоимость на шаг не превышает единицы, накопленная стоимость задачи в этом примере сама не может превысить 500 («Ковариантный сдвиг и отбор вмешательств»).
Ковариантный сдвиг и отбор вмешательств: Левая панель противопоставляет порядки границ стоимости условного обучения с подражанием и DAgger, а не измеренный дрейф траекторий. Правая панель показывает состояния, посещенные обучающимся, между расхождением и перехватом. Сохраняйте эти состояния для перемаркировки экспертом, когда она доступна; исключайте небезопасные команды обучающегося из целей «действия эксперта» и записывайте восстановление после перехвата отдельно. Основано на Ross et al., 2011 и Spencer et al., 2021.
Обучение последующих поколений политики на командах обучающегося из окна дрейфа, ошибочно размеченных как действия эксперта, может создать каскад переобучения:
- Поколение 1: Политика работает с небольшой ошибкой калибровки, из-за чего манипулятор дрейфует к пределу момента шарнира, пока оператор-человек не схватывается за пульт перехвата.
- Поколение 2: Если команды из окна дрейфа представлены как метки эксперта, политика учится повторять их в подобных неноминальных состояниях. На этом стенде это может усилить вылазки к пределу момента до коррекции.
- Поколение 3: Операторы могут затем вмешиваться раньше. Частота вмешательств способна расти, тогда как потери валидации на ошибочно размеченном архиве падают, и офлайн-метрика выглядит лучше по мере ухудшения физической работы.
Чтобы обнаружить такой каскад, путь разрешения порождает протокол вмешательства на каждый перехват или срабатывание барьера,8 — обращенную к обучению сторону криминалистического протокола полномочий, который выстраивает раздел «Журнал полномочий». Протоколу вмешательства нужно больше, чем бинарный флаг на видео: буфер до триггера, достаточно длинный для заявленной ретроспективы (две секунды в этом примере), синхронизированные наблюдения и точки отбора действия, монотонная метка времени перехвата и идентификатор полномочий, а также последующая последовательность восстановления. Без свидетельств до триггера конвейер не может надежно локализовать или отделить небезопасные команды обучающегося от состояний, допустимых к перемаркировке экспертом.
Отбор вмешательств и границы нарастающей ошибки
Прежде чем отбирать журналы человеческих вмешательств для переобучения политики, проверьте свое понимание динамики нарастающей ошибки и атрибуции меток времени:
- Метки времени перехвата против меток времени расхождения: Почему состояния дрейфа, посещенные обучающимся, сохраняются для возможной перемаркировки экспертом, а их небезопасные команды обучающегося исключаются из целей подражания эксперту?
- Прогрессирование каскада переобучения: Можете ли вы описать, как обучение последующих поколений политики на необработанных журналах вмешательств ускоряет деградацию политики, несмотря на улучшение обучающих метрик?
- Условные границы ошибки: Какие допущения отличают квадратичную границу худшего случая стоимости обучения с подражанием от результата DAgger, линейного по горизонту?
Даже с метками эксперта на состояниях, посещенных обучающимся, результирующий архив демонстраций остается привязанным к кинематике и динамике собирающей машины. Объединение демонстраций от разных манипуляторов, баз и эффекторов поднимает вопросы переноса между воплощениями из раздела «Перенос между воплощениями».
Перенос между воплощениями
Данные одной физической машины не представляют задачу. Каждая записанная траектория впечатывает физические характеристики собирающего оборудования в свои числовые значения, включая длины звеньев, пределы скоростей шарниров, оптические тракты датчиков, задержки связи и податливости контактных поверхностей. Когда инженер сохраняет след наблюдение-действие , запись фиксирует не абстрактный навык манипулирования. Она фиксирует контракт воплощения, установленный между этой конкретной машиной и ее средой. Этот контракт охватывает геометрию датчиков и оптическую калибровку, период выборки и задержку транспорта шины восприятия, системы координат и кинематические пределы актуаторов, кривые насыщения момент-скорость двигателей (включая приведенную инерцию ротора в редукторных передачах, как установлено в разделе «Пределы передачи актуатора»), а также трение и податливость контактного интерфейса. Изменение любого параметра этого контракта меняет отображение между заданными входами и физическими переходами состояния.
Если контракт воплощения описывает одну машину, то контракт совместимости воплощений решает, могут ли записи, сделанные под одним контрактом воплощения, управлять другой машиной. Это формальная геометрическая, динамическая и временная спецификация (такая как та, что лежит в основе датасетов Open X-Embodiment Open X-Embodiment Collaboration et al., 2024 и DROID Khazatsky et al., 2024), которая не дает профилю силы или пространственной скорости, выученным на тяжелом промышленном манипуляторе, добраться до легкого настольного робота без масштабирования. Она определяет отображение прямой кинематики, нормализацию частоты управления () и пределы усилия актуаторов, необходимые до того, как многороботные траектории можно перенести на целевой физический объект управления.
Проектирование конвейера повторного использования данных требует отделить инварианты уровня задачи от специфичных для воплощения реализаций. Инвариант уровня задачи — это геометрическое или динамическое условие, требуемое средой, например приведение податливого щупа в контакт с клеммной площадкой под углом в пределах от нормали к поверхности при удержании нормальной силы между и . Реализация, специфичная для воплощения, — это последовательность отсчетов шарнирных энкодеров, скважностей широтно-импульсной модуляции, задержек транспорта по шине и пиксельных растров камеры, которая достигла этого условия на конкретном испытательном стенде. Хотя контактная цель существует в мировых координатах, записанный датасет содержит лишь реализацию. Нисходящая модель, обученная прямо на этих необработанных записях, усваивает специфическую динамику исходного стенда, включая его структурный прогиб, люфт привода и вибрацию крепления камеры.
В иллюстративном примере рассмотрим перенос датасета, записанного на машине A, на машину B для идентичной задачи касания и захвата:
- Машина A использует захват с параллельными губками с диапазоном хода , частотой команд (период ), непрерывным пределом силы и камерой запястья, смещенной на за центр инструмента, с задержкой транспорта .
- Машина B использует компактный захват с диапазоном хода , частотой команд (период ), непрерывным пределом силы и камерой запястья, смещенной на за центр инструмента, с задержкой транспорта .
Отображение датасета с машины A через пределы машины B обнажает точки, где перенос механически терпит неудачу. Для объекта шириной машина A раскрывается до — команда, превышающая механический ход машины B на и прижимающая ее ходовой винт к физическому концевому упору. В фазе удержания машина A прикладывает силу зажима . Та же команда превышает непрерывный номинал машины B в вдвое, вводя усилитель двигателя в насыщение по току. Во временной области понижающая дискретизация траектории с на шину машины B с вызывает наложение частот высокочастотных переходов контакта и вносит фазовое запаздывание удержания нулевого порядка в («Дискретная выборка и фазовое запаздывание нулевого порядка»). В сочетании с ростом задержки транспорта камеры на () машина B воспринимает события контакта на позднее, чем машина A. При скорости подхода эта добавленная задержка от датчика до исполнения уносит захват на за предполагаемую плоскость контакта прежде, чем можно выдать первую корректирующую команду, а расхождение в креплении камер вносит визуальный параллакс, смещающий кажущееся положение границы детали в кадре.
Стандартные конвейеры машинного обучения сводят эти физические расхождения нормализацией каналов наблюдений и действий к или . Нормализация создает косметическое выравнивание числовых диапазонов, оставляя физическую несовместимость нетронутой. Если команда раскрытия нормализуется делением на максимальный ход, нормализованная команда соответствует на машине A, что проходит объект в . На машине B та же нормализованная команда задает раскрытие (), из-за чего пальцы сталкиваются с объектом на траектории подхода. Нормализация пересчитывает числа, но она не может расширить ход актуатора, не может снизить электрическое сопротивление и не может устранить задержку транспорта. Когда распределения данных обоих воплощений вычерчены в нормализованном пространстве, траектории демонстраций выглядят идентичными, однако исполнить на целевом оборудовании без насыщения или ударных повреждений способно лишь подмножество, лежащее внутри физического пересечения (раскрытия менее , силы менее и пропускные способности команд менее ).
Объединенные корпуса поднимают эти вопросы в масштабе. Если наращивание объема демонстраций внутри одной узкой ячейки дает быстрое насыщение внутри распределения ( успеха за 15 часов на ALOHA Zhao et al., 2023), то обобщение вне распределения (OOD) на новые сцены, отвлекающие визуальные текстуры и неучтенные вариации объектов остается слабым (, создавая огибающую хрупкости в 66 процентных пунктов). Преодоление этого отказа требует выйти за пределы захвата одной ячейки к сбору в естественных условиях и множественных сценах (такому как 564 кухонных и бытовых окружения в DROID Khazatsky et al., 2024 или межучрежденческий BridgeData v2 Walke et al., 2023) и объединению гетерогенной кинематики между воплощениями (такому как 22 робототехнические платформы в Open X-Embodiment Open X-Embodiment Collaboration et al., 2024 и фундаментальные VLA, подобные Black et al., 2024). Как показано на рисунке «Рубеж масштабирования данных робототехники», наращивание часов многосценных и межвоплощенных демонстраций систематически сжимает этот разрыв обобщения с 66 процентных пунктов до 13 процентных пунктов.
Рубеж масштабирования данных робототехники: Часы реальных демонстраций против доли успеха в физических задачах манипулирования по трем эмпирическим режимам. Успех внутри распределения (ID) быстро насыщается внутри узких ячеек (Фаза I, режим запоминания), оставляя огибающую хрупкости в 66 процентных пунктов при новом освещении или положениях объектов (ALOHA Zhao et al., 2023). Сбор в разнообразных окружениях (Фаза II, BridgeData v2 Walke et al., 2023 и DROID Khazatsky et al., 2024) и объединение гетерогенных робототехнических воплощений (Фаза III, Open X-Embodiment Open X-Embodiment Collaboration et al., 2024 и фундаментальные VLA Black et al., 2024) сжимают разрыв обобщения до 13 процентных пунктов на 10 000 часов демонстраций.
Расхождения по ходу, силе, частоте и точке обзора возникают в любом объединении ровно так же, как в примере с двумя захватами. Еще два расхождения возникают лишь тогда, когда объединение смешивает кинематические топологии:
- Несовместимость пространства действий: Манипулятор с 7 степенями свободы записывает положения шарниров , двуручная рабочая станция — , а мобильная база ведет журнал планарных скоростей . Поскольку метки шарнирного пространства не переносятся между топологиями, межвоплощенные модели обычно проецируют действия в декартову дельту эффектора: Дельта стандартизирует геометрию и отбрасывает динамику актуаторов. Смещение, тривиальное для промышленного манипулятора возле его номинальной конфигурации, способно унести легкий манипулятор через кинематическую сингулярность («Прямая кинематика и сингулярности»), где требуемые скорости шарниров растут неограниченно и срабатывает защита от перегрузки по току.
- Проекция на нуль-пространство: Отображение манипулятора с 7 степенями свободы в декартову дельту с 6 степенями свободы проецирует прочь одномерное нуль-пространство — угол поворота локтя . На целевой машине решатель обратной кинематики разрешает эту избыточность по собственному критерию, например избеганию пределов шарниров или манипулируемости. Без позы локтя демонстратора целевой манипулятор может дрейфовать в пределы шарниров или размахивать локтем по фиксаторам при движениях, которые в исходных данных были свободны от столкновений.
Повторное использование физических данных между воплощениями требует формальной проверки совместимости на границе приема до того, как любая выборка войдет в обучающий буфер. Конвейер приема должен преобразовать записанный след через прямую кинематику, чтобы оценить согласованность координат Lynch and Park, 2017, проверить, что все заданные скорости и ускорения шарниров лежат в пределах динамических ограничений целевой машины Tedrake, 2023, и проверить, что перцептивные признаки соответствуют полю зрения и разрешению целевого датчика. Действия, превышающие кинематическую достижимость или пределы усилия актуаторов, нельзя просто насыщать в момент исполнения; насыщение искажает профиль скорости и разрывает каузальную связь между наблюдаемыми ошибками и корректирующими движениями. Выборки, прошедшие проверку совместимости, допускаются; выборки, которые можно геометрически переадресовать через обратную кинематику, перемаркируются; а выборки, требующие недоступных физических полномочий или ненаблюдаемых состояний, отклоняются. Непроверенный конвейер приема через границу воплощения впрыскивает недействительную динамику в обучающее распределение модели. Результирующая политика отказывает не потому, что нейросеть недообучила функцию потерь. Она отказывает потому, что обучающий датасет содержал действия, физически корректные лишь на машине, которая их собрала.
Проверка совместимости охраняет одну границу, но данные, собранные на самой машине, могут испортиться и без пересечения воплощения. Дрейф оператора, сдвиги калибровки, несоответствие стендов и ошибочно классифицированные отказы портят физические данные, не трогая размерности тензоров («Как датасеты дают сбой»).
Как датасеты дают сбой
Помимо отсутствий, которые объявляет реестр защелки (более быстрый подход и смещенная планка), более трудные отказы лежат внутри единственной поддерживаемой ячейки, где сохраненные демонстрации могут быть неверны способами, которых не видит ни одна тензорная проверка, ведь любая метрика, вычисленная на датасете, оценивает только содержащиеся в нем состояния.
Первый — дрейф оператора. За 141.4 h планового времени ячейки кампании оператор, начинавший двигаться осознанно, с корректирующими поддвижениями и паузами у ответной планки, набирает мышечную память и начинает срезать углы и распахивать дверь по инерции. Поздние демонстрации опираются на тайминг, который машина не может воспроизвести под задержкой замкнутого контура при развертывании. Дрейф обнаруживается разбиением датасета на временные окна и сравнением длительности эпизодов, числа корректирующих рывков, величины команд и частоты вмешательств между ними. Объединение сдвинутых окон как одной одинаково распределенной выборки обучает политику, которая колеблется или бросается вперед в зависимости от того, с каким этапом кривой обучения оператора ей случилось подражать.
Второй — изменение машины между прогонами записи. Файловые контейнеры вроде HDF5, Zarr или Parquet обеспечивают согласованность табличной схемы и скрывают все остальное. Манипулятор, выключенный на ночь, перекалиброванный или задетый техником, меняет нулевые смещения энкодеров или внешние параметры камеры, а крепление камеры, сдвинутое на , перемещает деталь в кадре, пока массив сохраняет свою форму и тип. Синхронизация часов способна дрейфовать между контроллерами тем же образом, смещая пары «что манипулятор видит» и «что он чувствует» на десятки миллисекунд («Передача команд вовремя»).9 Рисунок «Верификация внешней калибровки камер» показывает визуальную половину проверки, в которой кинематическая модель робота, отрисованная по его шарнирным энкодерам, проецируется поверх каждого потока камеры, так что сдвиг внешних параметров проявляется как зазор между каркасом и манипулятором. Записываемая половина сопоставляет каждый эпизод с аудиторским следом идентификаторов калибровки и метрик здоровья часов, поскольку датасет, чьи траектории не разделяют одну действительную калибровку, заставляет обучающегося подгонять конфликтующие отображения в одних и тех же координатах.
Верификация внешней калибровки камер: Шесть сцен сбора DROID с URDF-сеткой робота, отрисованной по шарнирным энкодерам прямо поверх потока камеры Khazatsky et al., 2024. Наложение превращает невидимый отказ в видимый: кронштейн, сдвинутый на несколько миллиметров, проявляется как расхождение между каркасом и манипулятором еще до того, как любая испорченная траектория достигнет обучающего конвейера. Именно неизменяемые хэши калибровки в записи датасета делают эту проверку аудируемой постфактум.
Третий — несоответствие между номинально идентичными стендами, с которым флот сталкивается, как только второй мобильный манипулятор записывает демонстрации защелки для обучения первого. Два манипулятора одной модели могут различаться износом редуктора, тепловым поведением или фильтрами прошивки. В иллюстративном сравнении новый манипулятор показывает люфт , а изношенный — с запаздыванием отклика момента , и демонстрации изношенного манипулятора несут компенсирующий упреждающий сигнал и усиление, которые колеблются на новом. Запись контракта воплощения каждого манипулятора (кинематика, серийные номера актуаторов, версии прошивок и динамическая модель), привязанная к каждому файлу, позволяет приему исключать траектории, не проходящие контракт совместимости цели.
Четвертый — смешение неудачных попыток с неудачными записями. Неудачная попытка — это полная физическая последовательность, не достигшая цели; ее отбрасывание создает смещение выживаемости и лишает датасет отказных состояний, необходимых стабилизирующей политике. Неудачная запись — это отказ журналирования, такой как потерянный пакет, испорченный кадр или переполнение буфера; ее сохранение без учета выдает нерегулярные периоды выборки за постоянный интервал управления. Прием поэтому относит каждую попытку к одной из трех категорий: сохраненный успех, сохраненный отказ или исключенная запись с ее кодом ошибки. В кампании защелки попытка, оборванная контактным порогом срабатывания, — неудачная попытка, и она остается в архиве, тогда как запись, чей силовой канал терял пакеты, покидает его с кодом ошибки.
Контракт единиц может дать сбой столь же безмолвно, и ни одна проверка формата этого не заметит («Несовпадение единиц Mars Climate Orbiter (1999)»).
Несовпадение единиц Mars Climate Orbiter (1999)
Контекст: Во время девятимесячного перелета к Марсу в 1998 и 1999 годах Mars Climate Orbiter включал малые двигатели для разгрузки своих маховиков, а наземная навигационная группа вкладывала возникшие изменения скорости в траекторные модели, использовавшиеся для планирования каждого корректирующего маневра Stephenson and others, 1999.
Механизм: Наземный программный файл (называемый «Small Forces» в расследовании) сообщал импульс двигателя в фунт-силах-секундах (), тогда как траекторные модели, его потреблявшие, предполагали ньютон-секунды (), как требовала спецификация интерфейса. Поскольку , каждое событие разгрузки попадало в модели, заниженным в раза. Значения были хорошо сформированы, в диапазоне и ожидаемого типа, так что никакая проверка схемы не могла их отметить.
Последствия: Накопленная ошибка так и не была устранена за время перелета. При вводе на орбиту аппарат прошел примерно в над поверхностью вместо запланированных и был потерян.
Реакция: Совет по расследованию происшествия проследил потерю до отсутствующего преобразования единиц в наземном файле и рекомендовал проекту Mars Polar Lander проверить согласованность единиц во всем проектировании и эксплуатации и провести аудит всех данных, передаваемых между JPL и Lockheed Martin Astronautics, на соответствие спецификации интерфейса, а также усилить навигационную проверку и эскалацию аномалий.
Системный урок: Число несет свой смысл только вместе со своими единицами и своей системой координат. Датасет робота подвержен тому же риску в каждой точке отбора действия и каждой калибровке. Запись, хранящая значение без единиц, системы координат и идентификатора калибровки, в которых оно было получено, пропускает несоответствующий стенд через любую тензорную проверку, поэтому протокол происхождения из раздела «Схема датасета» связывает с ними каждую точку отбора.
Помимо безмолвных несоответствий координат и единиц, происходит еще более опасный отказ, когда автономная политика встречает ситуацию, полностью отсутствующую в ее обучающем распределении. Если программное несоответствие единиц накапливает численную ошибку, то непосещенное состояние вынуждает обученную политику интерполировать или выбирать номинальные примитивы вне своей огибающей поддержки. Когда сенсорная окклюзия делает истинное физическое состояние ненаблюдаемым, результирующее исполнение способно превратить переживаемый инцидент в физическую катастрофу («Протаскивание пешехода роботакси Cruise (2023)»).
Протаскивание пешехода роботакси Cruise (2023)
Контекст: 2 октября 2023 года в Сан-Франциско автономное роботакси, эксплуатируемое Cruise LLC, двигалось по городской полосе, когда соседний автомобиль под управлением человека сбил пешехода, швырнув ее через разделитель полос прямо на пути роботакси National Highway Traffic Safety Administration, Office of Defects Investigation, 2023; Cruise LLC, 2023; Quinn Emanuel Urquhart and Sullivan, LLP, 2024.
Механизм: Роботакси выполнило быстрый аварийный останов за при , остановившись над пешеходом, зажатым под шасси. Однако система обнаружения столкновений ошибочно классифицировала событие как боковое скользящее касание, а не как столкновение с препятствием под транспортным средством. Поскольку установленный на крыше лидар и периметральные камеры имели острую физическую слепую зону под полом, пешеход стал ненаблюдаемым. Обученная политика вождения, обученная на номинальных демонстрациях флота, где съезд с проезжей части после инцидента является стандартной практикой, выбрала номинальный примитив съезда с полосы, чтобы освободить проезжую часть. Обучающее распределение содержало ноль демонстраций послестолкновенных состояний с людьми, зажатыми под шасси ().
Последствия: Исполняя необоснованный примитив съезда вне своей огибающей обучающей поддержки, роботакси разогналось вперед и протащило зажатого пешехода на () со скоростью до (), причинив тяжелые вторичные травмы, прежде чем окончательно остановиться.
Реакция: Регулирующие органы немедленно приостановили разрешения на коммерческое развертывание. Компания приземлила весь свой флот, переработала программное обеспечение восприятия и безопасности и ввела жесткие физические ограничители, требующие явных блокировок после столкновения и подтверждения телеуправления перед повторным включением любого транспортного средства.
Системный урок: Инцидент Cruise («Отказ слепой зоны шасси Cruise») демонстрирует смертельную опасность отсутствия поддержки в датасетах физического ИИ. Вне эмпирической огибающей поддержки продемонстрированных состояний политики не отказывают в безопасную пассивность — они интерполируют номинальные примитивы, превращающие переживаемый инцидент в фатальное взаимодействие. Датасеты должны ограничивать свои явные сценарные оболочки поддержки, а архитектуры — принудительно обеспечивать детерминированный отказ управления, когда сенсорные окклюзии и неопределенность после удара нарушают границы поддержки.
Отказ слепой зоны шасси Cruise: Датчики испытательного автомобиля на крыше обозревают периметр на уровне бампера и выше, оставляя слепую зону под полом, и последовавшая за этим каскадная цепь отказов. Первый останов сработал, остановив машину за при . Восстановление превратило столкновение в протаскивание: состояние было ошибочно классифицировано как боковое касание, включился номинальный примитив съезда с полосы, и момент привода был подан заново без какой-либо явной проверки зазора под шасси.
Когда координатный отказ или ненаблюдаемая слепая зона сценария проходят прием, кривые потерь его не обнаруживают. Сеть усредняет конфликтующие демонстрации или галлюцинирует действия вне своей обучающей поддержки, сходясь по функции потерь обучения и порождая при этом опасные физические поведения при развертывании. Никакая операция над тензором не способна проверить, была ли откалибрована машина, не дрейфовал ли оператор и безопасны ли непосещенные области, поэтому история сбора должна записываться столь же строго, как признаки, — по схеме раздела «Схема датасета».
Схема датасета
Рассмотрим иллюстративный аудит двух файлов кампании защелки, каждый из которых содержит одинаковое число пар состояние-действие с одинаковой частотой записи. Файл A получен от четырех авторизованных операторов в течение нескольких дней, не сообщает об ограничениях пути разрешения и показывает одни и те же накладки на кончиках пальцев на всем протяжении. Файл B получен от одного оператора, регистрирует 620 шагов, где предел скорости шарнира ограничил запрошенное движение, и охватывает переобнуление датчика силы в середине сеанса без перекалибровки внешних параметров камеры. Скрипт валидации, проверяющий формы тензоров и диапазоны значений, принимает оба, однако файл A способен поддержать утверждение о поддерживаемой ячейке, а файл B смешивает намерение оператора с действием пути разрешения через незафиксированное изменение в теле. Ничто в массивах не отличает одно от другого, поэтому различие должно жить в записи о том, как собирался каждый файл.
Протокол происхождения демонстраций — и есть эта запись: она связывает каждую демонстрацию с телом и условиями, ее породившими, и заявляет охват как стыковку датасета с реестром сценариев, никогда — как диапазон значений, который коллектору случилось записать. Она потребляет протокол передачи раздела «Матрица передач», сохраняя эксплуатационные условия и домены часов, в которых держатся бюджеты собирающей машины, и добавляет собственные поля: идентичность, калибровку и контактный износ отдельного объекта управления, породившего каждую демонстрацию, сеанс и его тайминг, четыре точки отбора действия, знаменатели сбора, дайджест реестра сценариев, по которому собирались данные, а также поддерживаемые ячейки реестра и известные отсутствия.
Каждая траектория в обучающем корпусе должна идентифицировать свой источник сбора, политику коллектора и полномочия исполнения. Когда данные происходят от человеческого телеуправления, запись фиксирует идентификатор оператора, аппаратуру интерфейса и тайминг транспорта, например ведущее плечо с 6 степенями свободы, дискретизированное на с дрожанием входа . Когда данные происходят от автономного или смешанного контроллера, запись хранит точный чекпоинт политики, версию планировщика и активную конфигурацию принудительного обеспечения, включая декартовы ограничивающие прямоугольники, пределы скоростей шарниров и пороги ограничения контактной силы. Траектории должны также фиксировать активное правило сохранения, документируя, был ли эпизод зафиксирован автоматически по завершении задачи, сохранен после явной проверки оператором или помечен для включения как поучительное восстановление после отказа.
Физическую машину нельзя идентифицировать общим названием модели. Запись данных специфицирует отдельный объект управления через внешние и внутренние калибровки датчиков, контракт действия, ревизии прошивок приводов двигателей и состояние износа компонентов. Заменяемые контактные поверхности меняют определяющую динамику. Захват, оснащенный податливыми силиконовыми накладками твердости , дает иную контактную податливость и трение, чем тот же захват с изношенными полиуретановыми накладками при идентичных командах шарниров. Вехи обслуживания — такие как перетяжка кабелей, замена приводных ремней, замена редукторов и повторный монтаж камер, — записываются непосредственно в протокол состояния машины. Если манипулятор прошел перекалибровку шарниров между утренней и дневной сменами сбора, датасет должен обнажить эту границу, чтобы нисходящее обучение не пыталось свести два конфликтующих кинематических отображения в единую политику.
Учет объема датасета требует явных знаменателей и по времени, и по числу попыток, потому что счет сохраненных кадров или успешных эпизодов скрывает выход породившего их процесса. Запись поэтому отслеживает плановое время ячейки, время активного движения, предпринятые эпизоды, сохраненные успехи, сохраненные задачные отказы, исключенные записи и число независимых физических конфигураций задачи, так чтобы каждая попытка сводилась с сохраненным или исключенным эпизодом, а время, потраченное на сброс физической сцены, оставалось видимым.
Единственный столбец действия в датасете скрывает фильтрацию между запросом и откликом, поэтому запись сохраняет все четыре точки отбора действия определения «Четырехпоточный отбор действий» на каждом управляющем шаге. Записанные в паре с булевыми флагами перехвата, маркерами обрыва и числовыми кодами исключения, точки отбора показывают, где вмешивался путь разрешения и где запаздывание слежения разделяло команду и исполнение. Отбрасывание промежуточных представлений оставляет обучающий конвейер неспособным отличить осознанную человеческую демонстрацию от действия, сильно измененного путем разрешения.
Каждый физический датасет поддерживает лишь часть ODD, поэтому запись каталогизирует и поддерживаемые ячейки, и известные отсутствия, а указание того, чего нет, удерживает инженера от трактовки отсутствия обучающих отказов как свидетельства компетентности политики. Нисходящая верификация считает небезопасным любое отсутствие, оставленное записью вне каталога. Заполненная для кампании защелки, с каждой группой полей и поддерживаемой ею проверкой допуска, перечисленными в разделе «Схема происхождения датасета демонстраций», запись выглядит так:
- Знаменатели:
52попытки на запланированный сеанс при чистой доле сохранения0.68, так что5 000сохраненных успешных демонстраций стоят7 353попыток и141.4 hпланового времени ячейки. - Правило сохранения: попытка, чья контактная сила пересекает порог срабатывания
15 N, обрывается на этом и сохраняется как отказ с меткой, вне счета демонстраций, если ее телеметрия валидна; запись, не прошедшая фильтрацию качества, исключается вместе со своим кодом исключения. - Реестр сценариев: смещение планки (номинальное, +
3 mm, −3 mm) в сочетании со скоростью подхода (0.03 m/s,0.10 m/s),6ячеек, хранящихся в записи как дайджест, а не как копия. supported_cells: номинальная планка при0.03 m/s— единственная ячейка, которую занимают сохраненные демонстрации.known_absences: остальные5ячеек — каждая смещенная планка и каждый подход с0.10 m/s.
| Запись происхождения | Сохраняемые свидетельства | Решение о допуске |
|---|---|---|
| Сеанс | Коллектор, оператор, версия политики, частота дискретизации и дрожание тайминга. | Проверить авторизацию оператора и бюджет дрожания сеанса. |
| Воплощение | Идентичность робота, геометрия, передачи, люфт и прошивка. | Проверить достижимость, динамику и пределы шарниров на целевом объекте управления. |
| Калибровка датчиков | Геометрия камеры, синхронизация часов и смещение силы/момента. | Проверить возраст калибровки и ошибку временной базы. |
| Контактный износ | Материал, твердость, трение, циклы изгиба и история обслуживания эффектора. | Повторно валидировать контактные данные после изменений материала или податливости. |
| Четыре точки отбора действия | Запрошенные, отображенные, обеспеченные и измеренные значения, каждое со своими единицами и системой координат, плюс коды перехвата и ограничения. | Сравнивать однотипные выровненные значения; исключать действия пути разрешения из меток. |
| Тайминг перехода | Времена середины экспозиции, выдачи действия, отображения, принудительного обеспечения, начала и конца отклика, с идентификаторами часов и ошибками синхронизации. | Проверить каузальный порядок и заявленное окно отклика. |
| Знаменатели сбора | Плановое время ячейки, время движения, попытки, сохраненные успехи и отказы, исключенные записи и конфигурации задачи. | Свести попытки с сохраненными и исключенными эпизодами. |
| Сценарная поддержка | Дайджест реестра сценариев, поддерживаемые ячейки стыковки и известные отсутствия. | Отклонять запросы эксплуатации вне поддерживаемых ячеек впредь до появления свидетельств. |
Схема происхождения датасета демонстраций: Сохраняемые свидетельства и проверка допуска, применяемая к каждой группе полей протокола происхождения демонстраций; группы воплощения, калибровки датчиков и контактного износа связывают отдельный объект управления, собравший данные.
Следующая запись в цепи — манифест политики из раздела «Манифест политики», который цитирует эту запись по дайджесту и может объявить ODD не шире перечисленных здесь поддерживаемых ячеек. За пределами обучения нисходящие стадии жизненного цикла потребляют запись данных для различных инженерных решений:
- Происхождение человеческих действий и перехватов напрямую питает супервизорный аудит раздела «Вмешательство супервизора», где инженеры по безопасности оценивают согласованность демонстратора, хвосты задержек телеуправления и частоту вмешательств пути разрешения, чтобы оценить надежность человека.
- Границы охвата, реестры исключений и истории калибровки воплощения передаются в раздел «Выпуск в эксплуатацию», где они формируют эмпирическую базовую линию кейса безопасности, проверяя, что обучающее распределение покрывает ODD, заявляемый выпуском, прежде чем обученной политике будут дарованы полномочия исполнения на физической машине.
Связывая траектории физических движений с проверяемыми метаданными воплощения, многопоточными кортежами действий и границами поддержки, схема происхождения делает видимой любую экстраполяцию в режимы, которых объект управления никогда не посещал, — чтобы нисходящие стадии могли ее отвергнуть.
↳ Нисходящие стадии: Известные отсутствия и схема границ ODD питают формальные утверждения кейса безопасности в разделе «Кейсы безопасности и утверждения».
Заблуждения и ловушки
Чистый датасет может опускать состояния, с которыми развернутой машине приходится иметь дело. Охват зависит от политики сбора (оператора-человека или автоматизированного скрипта, порождающих движения), физического стенда и решений по отбору, определяющих, какие опыты выживают в архиве.
Заблуждение и ловушка
Заблуждение: Огромный объем выборки компенсирует недостаток охвата эксплуатационного пространства состояний.
Задача слежения за поверхностью требует данных по 500 комбинациям силы, трения и угла контакта, но архив покрывает лишь 45. Еще один сеанс добавляет управляющих шагов повторением номинальных движений в заполненных ячейках пространства состояний. Отчет о приеме конвейера показывает огромный рост данных с нулем потерянных пакетов, но физический охват остается неизменным. Плотно расположенные выборки описывают тот же ограниченный физический опыт более плотно; они не добавляют свидетельств о недостающих условиях трения или контакта. Приемка датасета должна поэтому измерять добавленный охват по операционному реестру сценариев. Дополнительные демонстрации окупают свой сбор, когда они закрывают недостающий режим или выявленную слабость, а не просто расширяют архив.
Заблуждение и ловушка
Ловушка: Полагать, что метки физических демонстраций переживают механическое обслуживание или обслуживание контактного оборудования.
Техник по обслуживанию заменяет податливые кончики пальцев захвата на более жесткие накладки и регулирует его камерный кронштейн. Архивированные демонстрации все еще проходят проверки структурной схемы (типы данных и формы массивов остаются вполне корректными), но физическая реальность сместилась. Известная коррекция положения камеры может поддержать координатную перепроекцию данных зрения. Однако эта геометрическая коррекция не может установить, как новые, более жесткие кончики ведут себя в контакте — где они проскальзывают при меньших порогах силы, чем податливые. Исторические измерения силы и осязания остаются записями старого тела, поэтому их пригодность в качестве обучающих целей требует повторной валидации. Происхождение датасета должно идентифицировать механическое и калибровочное состояние стенда сбора, позволяя изменениям обслуживания запускать надлежащую проверку или повторный сбор.
Заблуждение и ловушка
Ловушка: Отфильтровывать прерванные вмешательства безопасности, чтобы «очистить» датасет демонстраций.
Датасет вставки содержит 1000 попыток, включая 180 неноминальных прогонов, где контактные силы достигали или превышали пороговые пределы (такие как срабатывание безопасности ), оставляя 820 номинальных успехов (выход задачного успеха 82 процента). Скрипт отбора вырезает 180 прерванных или восстановительных прогонов, оставляя лишь 820 безупречных эпизодов, чьи контактные силы оставались ниже . Когда возмущения при эксплуатации позднее подталкивают контактную силу робота к , политика мгновенно оказывается вне сохраненного опыта, хотя аппаратный предел еще и не достигнут. Внешне более чистый обучающий набор стер решающие моменты приближения к физической границе и последовавшие вмешательства восстановления. Сохранение и идентификация этих эпизодов сохраняют свидетельства об отказе и восстановлении; их удаление за неуспешность создает вводящее в заблуждение представление о задаче.
Заблуждение и ловушка
Ловушка: Объединять демонстрации, собранные через кинематически асимметричные ведущие интерфейсы.
Два оператора собирают демонстрации защелкивания, используя разные ведущие устройства (ручные контроллеры, которыми кукловодят робота). Один интерфейс допускает лишь две позиции крена запястья (); другой механически ограничивает крен диапазоном . Объединение их 4000 эпизодов увеличивает объем, но ни один интерфейс не поставляет требуемых промежуточных ориентаций между и . Политика, обученная на объединенном архиве, по-прежнему не имеет демонстраций для этих возмущений. Агрегация не может устранить слепую зону, общую для интерфейсов сбора. Команда должна вычертить записанные ориентации против требований задачи и проверить, способны ли ведущие устройства выразить недостающие движения, прежде чем выделять дополнительные часы сбора.
Заблуждение и ловушка
Заблуждение: Сбор физических данных масштабируется линейно с часами труда, так же как интернет-скрейпинг масштабируется с вычислениями.
Команда проецирует бюджет своего двуручного датасета от начальной скорости 50 успешных эпизодов на час работы оператора. По мере продолжения сбора повторные физические удары повреждают редукторы, дрейф датчиков обесценивает некоторые демонстрации (по мере того как незакалиброванные углы шарниров постепенно разъезжаются с физической истиной), а утомление оператора меняет тайминг человеческих движений. Скорость сохраненных эпизодов падает, хотя запланированные часы труда неизменны. Короткий номинальный пробный прогон поэтому завышает устойчивую пропускную способность сбора. Планирование должно включать обслуживание, проверки калибровки, отдых и отвергнутые данные наряду со временем оператора. Полезная производственная мера — принятый опыт в задокументированных условиях, поскольку механически деградированные или плохо выровненные записи могут увеличивать хранилище, не увеличивая ценности датасета.
Итоги
Сбор физических данных превращает механическую работу и усталость оборудования в поддерживаемые ячейки ODD робота. Сеанс сохраняет меньше четверти своего планового времени в виде валидированных демонстраций, и каждая попытка, сохраненная или нет, расходует расчетный усталостный ресурс запястья, поэтому архив дефицитен прежде, чем встанет вопрос о его качестве. Поскольку политика сбора выбирает собственные следующие наблюдения (принцип «Эндогенные данные»), охват — факт о том, как собирался архив, а не о том, что он содержит. Потери валидации, взятые из той же заполненности, не могут обнажить этот факт после окончания кампании, поэтому его приходится записывать, пока сбор еще наблюдаем, — как стыковку с объявленным реестром и как поля происхождения, фиксируемые на каждом шаге. Поддерживаемые ячейки, а не размер архива, ограничивают то, чему обученной на данных политике можно доверять, потому что функция потерь не может учесть физические отклики, с которыми робот никогда не сталкивался. Протокол происхождения демонстраций делает эту границу явной, связывая каждую демонстрацию с ее объектом управления, ее точками отбора действия и ячейками, которые она покрывает и пропускает.
Сбор физических данных и происхождение
- Охват считает конфигурации, а не выборки: Повторные номинальные движения добавляют строки, не добавляя ячеек сценариев, а соседние управляющие шаги — почти дубликаты. Досягаемость датасета — это его стыковка с реестром сценариев, охватывающим ODD, никогда — его число выборок или крайние значения, которые ему случилось записать.
- Потери валидации не видят разрыва охвата: Отложенная выборка разделяет заполненность коллектора, поэтому почти нулевые потери валидации могут сосуществовать с пустотой большинства требуемых ячеек. Лишь стыковка с внешним реестром обнажает разрыв.
- Каждая точка отбора действия — разный сигнал: Запрос, отображенное задание, обеспеченная команда и измеренный отклик различаются везде, где вмешивается путь разрешения или тело. Датасет, сохраняющий один из них, обучает на неосуществимых требованиях или на люфте, принятом за мастерство, и скрывает каждое вмешательство.
- Сохраняйте отказы и перехваты с правильной атрибуцией: Цензура прерванных прогонов стирает состояния, ближайшие к границе. Команды обучающегося до перехвата остаются в записи для аудита и перемаркировки экспертом, но никогда — как метки эксперта, а восстановление после него есть отдельная экспертная последовательность.
- Данные остаются привязанными к собравшему их телу: Геометрию камер можно перепроецировать, но контактный износ, податливость и люфт впечатаны в силовые и тактильные метки. Данные от измененного или иного тела требуют повторной валидации, а нормализация диапазона скрывает несоответствие, а не устраняет его.
- Отсутствия следуют вместе с датасетом: Обучение не может синтезировать физику, которую сбор опустил, поэтому протокол происхождения перечисляет свои поддерживаемые ячейки и свои известные отсутствия. Политика, обученная на данных, позднее может объявить область эксплуатации не шире этих поддерживаемых ячеек.
От демонстраций к политикам
Какой источник опыта способен научить политику восстановлениям, которых ее демонстрации никогда не показывали? Протокол происхождения кампании защелки поддерживает лишь номинальную ответную планку при охраняемом подходе и перечисляет каждую другую ячейку как известное отсутствие. Раздел «Обучение политики» подхватывает этот разрыв, сравнивая подражание, офлайн-обучение, симуляцию и тонкую настройку на машине по тому, какое восстановление каждое из них может поставить и какую динамику актуаторов каждое может спрятать, и фиксирует результат в манифесте политики, чей объявленный ODD не может превышать поддерживаемые ячейки.
-
Каузальная граница: Каузальная граница между вычислениями и физикой установлена в разделе «Каузальная граница». Поскольку эволюция состояния зависит от исполнения команды двигателем, действия политики возмущают распределение будущих наблюдений, что нарушает предположение о независимых и одинаково распределенных (i.i.d.) данных, лежащее в основе невоплощенного машинного обучения. ↩
-
Граница обучения с подражанием: Граница, выведенная в Ross et al., 2011, — это худший случай для ожидаемой накопленной стоимости, а не прогноз ошибки слежения; фактический дрейф зависит от объекта управления, задачи, политики и предохранителей. Раздел «Обучение с подражанием и нарастающий ковариантный сдвиг» выводит эту границу и формулирует ее допущения о потере и ограниченной стоимости. ↩
-
Усталостный ресурс оборудования: Тепловые пределы актуаторов и износ редуктора, подробно рассмотренные в разделах «Пределы передачи актуатора» и «Тепловые циклы нагрузки», меняют трение в шарнирах по ходу кампании, поэтому конвейер, предполагающий стационарную динамику объекта управления, встречается с дрейфом по мере старения собирающей машины. ↩
-
Граница предложения: Граница предложения, определенная в разделе «Машина в пяти уровнях», разделяет обученные предложения и путь разрешения, который один только и может допустить их к актуаторам («Обеспечение безопасности»). Запись действия по обе стороны от нее удерживает вмешательства пути разрешения вне меток демонстратора. ↩
-
Родословная двустороннего телеуправления: Raymond Goertz создал первые двусторонние телеманипуляторы со схемой «ведущий–ведомый» в национальной лаборатории Argonne в конце 1940-х и в 1950-х годах для обращения с радиоактивными материалами. Его звенья отражали силу через физический барьер, потому что операторы без кинестетического сопротивления заклинивали удаленный механизм. ↩
-
Аппаратное прерывание таймера: На MCU реального времени отсчеты энкодеров и показания шунтов тока фиксируются аппаратными таймерами и прямым доступом к памяти (Direct Memory Access, DMA), что удерживает дрожание выборки в пределах микросекунд и не позволяет дрожанию меток времени попасть в численное дифференцирование скорости и ускорения. ↩
-
Граница ошибки корректирующей агрегации: DAgger Ross et al., 2011 запрашивает эксперта о состояниях, посещенных обучающимся, и агрегирует эти размеченные состояния. Ее результат, линейный по горизонту, зависит от оракула-эксперта, регрета онлайн-обучения, ограниченной стоимости и измеренной потери результирующей политики. См. раздел «Обучение с подражанием и нарастающий ковариантный сдвиг». ↩
-
Журналирование событий отказа: Эта конструкция сбора сохраняет состояние до триггера, полномочия действия, коды отказов и образцы тока актуаторов при перехвате, с проверками целостности сохраненной записи. Такая телеметрия помогает отличить дрейф политики от отказов оборудования или среды. ↩
-
Метки времени, назначаемые хостом: В отличие от Ethernet с синхронизацией PTP, шины без аппаратной метки времени, такие как USB и классический CAN, предоставляют хосту назначать время прибытия, что добавляет задержку драйвера и дрожание планирования к каждой выборке. ↩
Обучение политики
Цель
Почему политика, преуспевающая в каждом симулированном прогоне, может сломать оборудование при первом реальном контакте?
Физические пробы и ошибки потребляют не только вычисления, но и само оборудование. Исследовательское действие способно перегреть обмотку двигателя, обрушить напряжение батареи или перегрузить передачу прежде, чем политика получит осмысленный сигнал награды. Поэтому синтез физических политик преимущественно смещается к офлайн-демонстрациям и высокоэмулируемым физическим симуляторам. Однако каждый источник опыта оставляет в обученных нейронных весах различные несмоделированные индуктивные смещения. Демонстрации покрывают лишь номинальные посещенные траектории, наивные функции потерь регрессии усредняют различные мультимодальные решения в нежизнеспособные интерполированные действия, а решатели симуляции вознаграждают нефизические контактные обходы, которые оборудование мгновенно наказывает.
Ни одно из этих расхождений не проявляется в офлайн-метриках обучения, но все они вместе с весами попадают на машину. Безопасное развертывание обученных политик требует выбора режимов обучения, соответствующих охвату датасета, измерения того, где численные решатели расходятся с реальной динамикой объекта управления по трению, податливости и задержкам, и строгого ограничения области, где политика остается корректной. Любое несмоделированное предположение, оставленное без проверки в ПО, в конечном итоге решается на каузальной границе, где команды доставляют электромагнитную энергию и необратимую механическую работу, которую ПО никогда не может отозвать.
Цели обучения
- Сравнивать режимы обучения по зависимости, которую каждый оставляет в весах, и отказу, который он порождает на оборудовании
- Объяснять, почему малые ошибки клонированной политики накапливаются, как только она покидает продемонстрированные состояния
- Объяснять, как функция потерь с квадратичной ошибкой превращает две допустимые демонстрации в действие, которого не совершал ни один демонстратор
- Диагностировать отказ переноса, локализовав его в канале динамики, восприятия, внешнего вида или тайминга разрыва sim-to-real
- Оценивать прогон тонкой настройки на реальной машине по наносимому им износу и аннулируемым прежним свидетельствам
- Строить манифест политики, объявленная область эксплуатации которого исключает каждое состояние, не поддержанное данными или не смоделированное симулятором
Синтез политик
Два обученных контроллера могут преуспевать в одной и той же задаче в номинальных условиях и все же отказывать на одной машине по разным причинам. Задача с защелкой клеточной двери из раздела «Физические данные» имеет два таких контроллера. Первая политика защелки, latch-bc-01, была клонирована из демонстраций телеуправляемого открывания двери кампании защелки. Вторая, latch-sim-02, стартовала от latch-bc-01 и была уточнена обучением с подкреплением в физическом симуляторе.
При номинальной ответной планке и охраняемой скорости подхода 0.03 m/s (условно; см. руководство для читателя) обе политики открывают дверь. Их режимы отказа расходятся, как только условия покидают эту точку. Когда дверь просела и ее ответная планка стоит на несколько миллиметров вне номинала, первая коррекция клонированной политики попадает в состояние, которого ее демонстрации никогда не посещали, потому что кампания демонстраций не записывала смещенную планку. Каждая последующая команда, выдаваемая с выбранным периодом заданий 20 ms, накапливает ошибку, пока захват не заклинит о край планки. Симулированная политика отказывает на номинальной планке. Ее симулятор моделировал контакт как мягкую штрафную пружину, поэтому оптимизатор обнаружил, что подход на 0.10 m/s ничего не стоит. На реальной планке контактная сила растет пропорционально скорости подхода и времени, и на этой скорости она достигает предела защелки 100 N через 2.5 ms после касания — лишь немного дольше, чем отклик контактного контура 2 ms (скорость, предел и время отклика условны). Это оставляет слишком мало времени на сброс скорости подхода, поэтому нырок перегружает защелку. Режим сбора данных определил, что видела политика, а симулятор сформировал ее предположения о физическом мире.
Оба отказа защелки разделяют одну структуру. Каждый режим обучения оставил в весах зависимость. Клонированная политика зависела от состояний, которые случайным образом покрыли ее демонстрации, а симулированная — от модели контакта, более мягкой, чем планка; в обоих случаях условие развертывания, нарушившее зависимость, произвело отказ, которого не показывал ни один обучающий балл. Практический выбор поэтому состоит в том, какой источник опыта учит необходимому восстановлению, не пряча динамику актуаторов, и какие физические свидетельства должны предшествовать полномочиям над актуаторами. Ответ путешествует с контрольной точкой в виде записи состояний, в которые она может входить. При любом режиме контрольная точка лишь предлагает фрагменты пути разрешения («Машина в пяти уровнях»), а обучение, никогда не моделировавшее этот путь, дает политику, чьи всплески момента путь разрешения обязан отклонять, или чьи предложения непрерывно задевают его пределы.
Режимы синтеза политик
Задача защелки могла опираться на четыре источника опыта: телеуправляемые открывания двери из раздела «Физические данные», журнал несовершенных или сценарных прогонов с дверью, симулятор клеточной двери и само плечо. Каждый покупает разную способность по разной физической цене, и «Матрица компромиссов режимов синтеза политик» ставит их рядом с отказом, за который каждый известен, и проверкой, которая его перехватывает.
| Режим синтеза политики | Основная покупаемая способность | Бюджет данных и вычислений | Эффективность выборки и масштаб | Риски безопасности оборудования и износа | Доминирующий режим отказа и перехватчик |
|---|---|---|---|---|---|
| Поведенческое клонирование (BC) | Прямое подражание продемонстрированным траекториям без проектирования награды или идентификации системы | – траекторий телеуправления (данные –); вычисления | Контролируемое по демонстрациям эксперта; фиксированная пропускная способность данных реального времени | Минимальный риск исследования при записи; ноль исследования на оборудовании при оптимизации | Квадратичное нарастание ошибки () через ковариантный сдвиг. Перехватчик: мониторы плотности на ядрах/Махаланобиса, ограничители на границе выпуклой оболочки |
| Офлайн-/пакетное RL | Управляемая ценностью оптимизация политики по фиксированным гетерогенным неоптимальным журналам; сшивает переходы разных траекторий | – записанных переходов с охватом состояние–действие; вычисления – | Офлайн по статическим датасетам; эффективно по выборке, но требует высокого перекрытия состояние–действие | Ноль рисков активного исследования при офлайн-обучении; запись требует клеточных стендов или безопасных сценарных контроллеров | Экстраполяция действий вне распределения и переоценка Q-ценности. Перехватчик: штрафные границы консервативного Q-обучения (CQL), фильтры поддержки действий |
| Обучение с подкреплением sim-to-real | Открытие динамической незахватывающей манипуляции и подвижной локомоции через миллиарды неограниченных прогонов | Ноль физических данных; – симулированных переходов в – GPU-средах; – | Низкая алгоритмическая эффективность выборки (– шагов), компенсируемая ускорением симуляции – | Ноль износа оборудования и повреждений при столкновениях во время обучения; серьезный риск развертывания при расхождении динамики объекта управления | Использование артефактов численного решателя (контактное взаимопроникновение, нулевая задержка). Перехватчик: бюджеты расхождения парных трасс, ограничители производной силы () |
| Остаточное RL и тонкая настройка на реальной машине | Прямая коррекция политики против физической податливости контакта, гистерезиса редуктора и истинного шума датчиков | – физических шагов (– времени по часам); вычисления | Требуется высокая эффективность выборки (SAC/TD3 или формулировка остаточного delta-действия); строго реального времени | Высокая физическая наработка; повторяющиеся ударные нагрузки разрушают редукторы; исследовательская дрожь тока поднимает температуру обмотки | Катастрофическое забывание номинальной устойчивости транзита, локальный коллапс политики. Перехватчик: границы дрейфа параметров (), замороженные регрессионные наборы, тепловые ограничители |
Матрица компромиссов режимов синтеза политик: Сравниваемые четыре режима — поведенческое клонирование, офлайн-обучение с подкреплением, обучение с подкреплением sim-to-real и остаточное RL с тонкой настройкой. Колонки детализируют основную эксплуатационную способность, покупаемую в ходе обучения, репрезентативные бюджеты данных и вычислений, границы эффективности выборки, риски безопасности при сборе данных и доминирующие сигнатуры отказов с соответствующими перехватчиками пути разрешения.
Из четырех поведенческое клонирование — самый дешевый путь к работающей политике и тот, чей режим отказа изучен лучше всего. Оно формулирует синтез политики как контролируемую регрессию или классификацию по собранному датасету пар состояние–действие эксперта . Следуя отборам действий из раздела «Какое действие становится меткой», датасет демонстраций сопоставляет наблюдения либо с отображенными заданиями оператора, либо с заданиями, допущенными путем разрешения: Клонирование отображенных заданий () — намерения оператора в собственных координатах робота до того, как действует путь разрешения, — обучает модель демонстрационному намерению, тогда как клонирование заданий, допущенных путем разрешения (), впечатывает его профили барьерного замедления прямо в веса сети, и политика наследует замедления, настроенные под пределы именно этого пути. В стандартной формулировке целевая функция оптимизации минимизирует многошаговую потерю предсказания по непрерывным последовательностям действий, взятым из траекторий демонстраций (классические формулировки регрессии см. в разделе «Усреднение по модам и декодеры без него»).1 Поскольку эта потеря штрафует лишь расхождение между командованным действием и записанной демонстрацией в наблюдаемых состояниях, обучающая цель не оценивает выполнение задачи, конечную стоимость или устойчивость замкнутой динамической системы. Она лишь подгоняет действия к наблюдениям.
↰ Предпосылка: Кортеж четырехпоточного отбора действий, разделяющий намерение и принудительное обеспечение, сформулирован в разделе «Какое действие становится меткой».
Сбой мультимодальности и усреднение по модам
Когда человеческие демонстраторы выполняют физическую задачу, их стратегия часто мультимодальна. Рассмотрим сценарий обхода препятствия, в котором мобильное основание или роботизированное плечо должно обойти центральный столб. Человек-демонстратор может в половине демонстраций проходить мимо столба слева, а в оставшейся половине — справа. Истинные данные демонстраций содержат различные допустимые выборы, но ноль примеров езды прямо посередине.
Детерминированная политика поведенческого клонирования с точечной регрессией не способна представить оба выбора для одного и того же наблюдения. Под функцией потерь с квадратичной ошибкой ее оптимальный выход — условное среднее (вывод см. в разделе «Усреднение по модам и декодеры без него»),2 здесь — середина между командами «повернуть налево» и «повернуть направо». Политика выдает нулевую боковую скорость, веля машине ехать прямо в препятствие — действие, которого никогда не было в датасете демонстраций.
Технологический объект управления показывает, что для усреднения мод не нужна геометрия. Допустим, демонстрации регулятора расхода чередуются между двумя иллюстративными режимами задвижки — байпасным режимом при 10 % открытия и режимом основной подачи при 90 % — в равных долях. Клонирование с квадратичной ошибкой выдает их среднее — 50 % открытия, — расход, которого не требует ни один режим и под который объект управления никогда не калибровали. Этот промежуточный расход может вызвать кавитацию подающего насоса и сорвать тепловой срок, на который был настроен каждый режим. Препятствие здесь ни при чем, поэтому никакая геометрическая проверка предложения его не поймает; его ловит только проверка по продемонстрированным режимам.
Граница мод также порождает отказ тайминга — временную несогласованность в высокочастотном одношаговом контроллере. В иллюстративном контроллере шум датчиков сдвигает последовательные наблюдения через эту границу, и политика, отображающая лишь , чередует запросы и . Возбуждает ли это чередование резонанс, износ или нагрев обмотки, зависит от привода и нагрузки, поэтому это режим отказа, который следует проверять, а не свойство каждой одношаговой политики.
Усреднение мод — отказ на единичном наблюдении. У поведенческого клонирования есть второй отказ, проявляющийся только когда политика работает в замкнутом контуре. Ее собственные ошибки уводят машину с состояний, которые покрывают ее демонстрации, где функция потерь не подавала обучающего сигнала, — так latch-bc-01 заклинивает на просевшей двери. По принципу «Эндогенные данные» собственные действия политики выбирают, какие состояния она посетит следующими, поэтому фиксированный архив не может их предвидеть, а для клонирования одним экспертом худший случай стоимости растет как квадрат горизонта («квадратичный дрейф данных», развито в разделе «Эндогенный опыт»). Низкая валидационная потеря на отложенных демонстрациях поэтому измеряет точность лишь на состояниях, посещенных демонстратором; она ничего не говорит о том, как политика возвращается после смещения. Корректирующая агрегация размечает собственные состояния обучающегося и, при своих предположениях о разметке экспертом, снижает этот рост до линейного («Данные вмешательств и восстановления»), но на физической машине эти состояния достигаются запуском непроверенной политики, которая может ударить по фиксатору или повредить передачу до вмешательства супервизора.
Нарастающая ошибка прогона
Нарастающая ошибка прогона — квадратичное накопление дрейфа слежения замкнутого контура, возникающее, когда политика разомкнутого контура с контролируемым обучением исполняется последовательно на физической динамической системе; в ожидании она ограничена выражением: где — горизонт выполнения задачи, а — частота одношаговых ошибок политики на распределении демонстраций .
- Значение: Доказывает, что минимизация одношаговой ошибки предсказания на офлайн-демонстрациях фундаментально недостаточна для устойчивости замкнутого контура; любая ненулевая частота ошибок в конечном счете выносит физическое состояние за пределы продемонстрированной поддержки.
- Отличие: В отличие от статического контролируемого обучения, где валидационная ошибка масштабируется линейно с числом образцов, нарастающая ошибка прогона связывает ошибки политики с физикой среды, превращая малые начальные отклонения траектории в необратимое расхождение состояния.
- Распространенная ловушка: Предположение, будто низкая офлайн-валидационная потеря на отложенных сплитах демонстраций превращается в высокую долю успеха задачи в замкнутом контуре, с игнорированием того, что офлайн-датасеты не содержат ни одного примера возврата к номинальной поддержке после возмущения.
Что меняет фрагментация действий — и что остается нерешенным
Фрагментация действий («Временное фрагментирование действий») способна улучшить временную согласованность и снизить частоту предложений в генеративных архитектурах, таких как диффузионные политики и Action Chunking with Transformers (ACT). Она также может устранить чередование из примера с границей мод выше. Политика фрагментации, предсказывающая будущих действий разом, улучшает исполнение тремя механизмами:
- Временная и динамическая согласованность: Вместо того чтобы порождать разрозненные одношаговые предсказания, которые дребезжат, модель предсказывает всю согласованную траекторию целиком.
- Сохранение выбранной моды: Одношаговые марковские политики склонны к каузальной путанице, принимая мимолетные ложные корреляции за намерение задачи. Обусловливание историей траектории и предложение фрагмента помогают удержать выбранную моду в смежных действиях.
- Перепланирование на убывающем горизонте и временное ансамблирование: Развернутая политика запрашивает свежий фрагмент каждые несколько шагов и смешивает перекрывающиеся предсказания («Питание, свежесть и стена памяти»), что допускает периодическую обратную связь при сохранении многошагового предложения.
Ни один из этих механизмов не меняет границу поддержки поведенческого клонирования . Как продемонстрировано теоретически и эмпирически в разделе «Нарастающий ковариантный сдвиг при обучении с подражанием», одношаговое поведенческое клонирование переживает крутое падение выживания задачи по мере роста горизонта прогона , попадая в огибающую катастрофического вмешательства ( survival) в пределах 250 шагов управления при . Хотя временные архитектуры вроде BC-RNN отодвигают начало расхождения, их квадратичное нарастание ошибки асимптотически остается тем же. Напротив, интерактивная агрегация на политике (DAgger Ross et al., 2011) ограничивает рост ошибки линейно до , собирая обратную связь эксперта на состояниях, посещенных обучающимся. Без интерактивных супервизоров современные генеративные политики противостоят накапливающемуся дрейфу через фрагментацию действий (), сокращающую эффективный горизонт исполнения до (ACT Zhao et al., 2023), и непрерывную диффузионную перепланировку на убывающем горизонте Chi et al., 2024, удерживая выживание задачи выше на протяженных 500-шаговых горизонтах манипулирования.
Нарастающий ковариантный сдвиг при обучении с подражанием: Выживание задачи и доля внутри огибающей в зависимости от горизонта прогона замкнутого контура при (). Одношаговое поведенческое клонирование страдает от квадратичного нарастания ошибки Ross et al., 2011, падая в огибающую катастрофического отказа в пределах 250 шагов. DAgger ограничивает накопление ошибки линейно через интерактивную перемаркировку на политике. Современная фрагментация действий (ACT Zhao et al., 2023) сокращает эффективный горизонт нарастания на , тогда как Diffusion Policy на убывающем горизонте Chi et al., 2024 достигает выживания выше 80 % на 500 шагах исполнения.
Увеличение размера датасета, емкости модели или настройка способны снизить одношаговую частоту ошибок на оцениваемых наблюдениях и тем самым уменьшить вероятность первой ошибки политики за фиксированный горизонт. Это улучшение не характеризует происходящее после ошибки. Внешнее возмущение, неоткалиброванная полезная нагрузка или просадка напряжения тоже могут увести машину в слабо обеспеченные состояния без расхождения политики. Восстановительные данные, измеренная динамика и независимые пределы времени выполнения решают, остается ли любое из этих событий внутри физической огибающей.
Дрейф с продемонстрированных состояний не поднимает собственной тревоги, поэтому обнаружить его до физического контакта нельзя на офлайн-обучающей функции потерь. Нужна телеметрия времени выполнения, отслеживающая поддержку пространства состояний напрямую: измеряющая расстояние Махаланобиса в пространстве признаков, оценивающая эпистемическую неопределенность модели или обеспечивающая явный монитор огибающей на пути разрешения, срабатывающий, когда траектории состояний покидают выпуклую оболочку датасета демонстраций.
Что стоит выбор декодера во время выполнения
Точечный регрессионный декодер усредняет различные допустимые действия в недопустимую команду, и несколько семейств декодеров избегают среднего: сети смеси плотностей, неявное клонирование на энергии, условная диффузия и сопоставление потоков, фрагментация со скрытыми переменными, такая как ACT, и дискретные токены действий в моделях зрение–язык–действие (VLA). Разделы «Усреднение по модам и декодеры без него» и «Непрерывная диффузия траекторий и сопоставление потоков» развивают их функции потерь и процедуры выборки. Ни один из них не поставляет отсутствующих состояний восстановления. Что выбор меняет для машины, — это его цена во время выполнения, потому что закрепленный на момент обучения декодер задает, сколько вычислений сети требует каждый фрагмент.
Шаги шумоподавления задают время вывода фрагмента, и лишь малократный сэмплер синхронно укладывается в период заданий.
Число шагов — это цена, которая достигает предельного срока управления. Диффузионный декодер порождает каждый фрагмент повторным шумоподавлением, и каждый шаг — полное вычисление предсказывающего шум действия выхода сети, поэтому время вывода масштабируется с числом шагов (член уточнения задержки фрагмента в разделе «Питание, свежесть и стена памяти»). При числах шагов и времени на шаг, принятых в разделе «Непрерывная диффузия траекторий и сопоставление потоков», многократный сэмплер неявной модели диффузионного шумоподавления (DDIM) превышает период заданий 20 ms при синхронном запуске, тогда как малократный сэмплер сопоставления потоков укладывается в него, лишь бы эти немногие шаги удовлетворяли критерию качества действий задачи. Декодер, который не может уложиться в период синхронно, работает асинхронно. Прикладной процессор обновляет буфер фрагментов с меньшей частотой, а путь разрешения читает новейший фрагмент со своей частотой, проверяет его свежесть и переходит на резерв, когда тот истекает, так что исполнение команды никогда не ждет инициатора. Собственная политика фрагментов машины — именно этот асинхронный случай. Она возобновляет фрагмент каждые 50 ms, поэтому ее предельный срок вывода — этот период фрагмента, а период заданий 20 ms лишь задает темп воспроизведения заданий внутри фрагмента.
Как описано в разделах «Архитектура диффузионной политики» и «Непрерывная диффузия траекторий и сопоставление потоков», политика обусловливается историей наблюдений изображений и состояний шарниров, чтобы итеративно шумоподавлять фрагмент действий из чистого гауссова шума. Вместо исполнения всего горизонта предсказания машина отправляет горизонт исполнения микроконтроллеру реального времени до наступления перепланировки на убывающем горизонте. Формальный двухтактный конвейер — связывающий асинхронное обратное диффузирование на хосте с детерминированной сплайн-интерполяцией, ограничением частоты и безопасными ограничениями на микроконтроллере — изложен в разделе «Непрерывная диффузия траекторий и сопоставление потоков».
↳ Далее: Аппаратное размещение многотактных буферов фрагментов действий между прикладным процессором и микроконтроллером безопасности разработано в разделе «Два пути на одном кристалле».
Офлайн-обучение с подкреплением и сдвиг распределения действий
Когда физические датасеты демонстраций содержат гетерогенные или неоптимальные траектории (например, смесь телеуправления, сценарных программ и исследовательской игры человека), поведенческое клонирование испытывает трудности, потому что относится ко всем демонстрациям с одинаковым контролируемым весом. В классическом обучении с подкреплением, формулируемом через марковские процессы принятия решений (MDP) Sutton and Barto, 2018, агент оптимизирует политику для максимизации ожидаемой дисконтированной кумулятивной награды . Офлайн-обучение с подкреплением (пакетное RL) стремится оптимизировать политику напрямую из журналов записанных переходов без активного исследования на оборудовании, используя сигналы награды, чтобы сшить высокоэффективные составные траектории из разрозненных несовершенных демонстраций Kumar et al., 2020.
Однако применение стандартного Q-обучения к статическим офлайн-датасетам запускает режим отказа, известный как переоценка действий вне распределения (OOD). В стандартном обучении с подкреплением алгоритм оценивает ценность будущих состояний, прося свою сеть ценности предсказать наивысшую возможную награду со следующего шага (формальные уравнения Беллмана см. в разделе «Функции ценности и обоснование аффордансов»). Этот максимум берется по всему непрерывному пространству действий. Для действий, никогда не исполненных в записывающем датасете, сеть не получала обучающего сигнала и часто выдает ошибочно большие оценки ценности из-за дисперсии обобщения, предсказывая высокую награду за непробованное физическое действие. Алгоритм жадно выбирает эти ложные пики, распространяя чрезмерно оптимистичные ошибки ценности назад. При развертывании политика выбирает эти необеспеченные действия и способна командовать движениями, которые заклинивают шарнир или бьют в границу.
Чтобы уменьшить переоценку ценности без запросов к физической среде, консервативное Q-обучение (CQL) добавляет регуляризатор к офлайн-цели Беллмана.3 Оно штрафует высокие ценности для действий, выбранных обученной политикой, относительно действий из записанных данных. Ограниченный охват состояние–действие и ошибка аппроксимации остаются, поэтому путь разрешения по-прежнему проверяет то, что предлагает итоговая политика.
Клонирование, фрагментация и офлайн-обучение ценности остаются внутри поддержки записанных данных, а консервативное Q-обучение делает офлайн-политику более осторожной, не расширяя эту поддержку. Когда в записанных переходах нет высокоэффективных траекторий или восстановительных маневров, которые требуются динамическому манипулированию или подвижной локомоции, система должна собирать новый опыт через пробы в замкнутом контуре.
Обучение пробами
Клонированная политика защелки отказала на смещенной планке, потому что ни одна демонстрация никогда ее не показывала. Обучение пробами закрывает эту слепую зону, позволяя политике в замкнутом контуре порождать собственные траектории состояние–действие. Такие алгоритмы, как Q-обучение или градиенты политики, настраивают политику по наградам, зарабатываемым ее собственными действиями, поэтому исследовательское действие, толкающее захват с его номинального пути, вынуждает оптимизатора оценивать восстановление именно из этого возмущенного состояния, включая почти-столкновения и неустойчивые контакты, которых оператор никогда не проявляет. Выбирая переходы из распределения состояний, порождаемого текущими весами, обучение по пробам тренируется на состояниях, которых политика действительно достигает, что устраняет ковариантный сдвиг, лежащий за квадратичным ростом ошибки клонирования в худшем случае.
Исследование в замкнутом контуре на оборудовании оплачивается сначала календарным временем, которое зависит от того, сколько прогонов нужно алгоритму, сколько длится каждый прогон, сколько занимает сброс и сколько машин работает параллельно. Рассмотрим саму задачу открывания двери, в которой плечо регулирует контактные силы на активном горизонте = 8 s — автономной контактной фазе открывания, а не полной попытки телеуправления. Обучение с подкреплением на высокоразмерных сенсорных входах может потребовать порядка прогонов, чтобы обнаружить согласованные профили силы–скорости, — масштаб кампании захватов с «Фермы обучения политик на физике». На одной физической машине с чистое время исполнения составляет уже 8.0 × 10⁶ s, примерно 92.6 days непрерывной круглосуточной работы, не считая накладных расходов на сбросы.
Учет фазы сброса обнажает истинное узкое место физического эксперимента во времени. Если специализированный автоматический фиксатор, более быстрый, чем повторная постановка защелки на стенде сбора («Стоимость демонстраций телеуправления»), снова ставит защелку на дверь и возвращает плечо в исходную позу за = 4 s, общее время сбора миллиона прогонов разрастается до 1.2 × 10⁷ s, или 138.9 days. Когда исследовательские траектории заклинивают кулачок защелки или вызывают срабатывания по перегрузке шарниров током, автоматический сброс становится невозможным, и оператору-человеку приходится освобождать защелку, заново ставить дверь и переиндексировать плечо. Если же каждый прогон требует ручного сброса в среднем = 30 s, потребность во времени по часам вырастает до 439.8 days. Масштабирование физического параллелизма до кластеров из синхронизированных стендов («Ферма обучения политик на физике») сжимает календарную длительность до нескольких недель Levine et al., 2018, но пропорционально умножает физическую площадь, капитальные вложения, электропитание и надзорный труд человека.
Ферма обучения политик на физике: Четырнадцать манипуляторов собрали более 800 000 физических попыток захвата за несколько месяцев Levine et al., 2018. Аппаратный параллелизм делит календарное время, но не стоимость, поскольку каждая станция добавляет капитал, износ редуктора и подшипников, тепловую нагрузку на обмотки двигателей и долю надзорного труда, необходимую для уборки упавших предметов и расклинивания. Источник: Levine et al., 2018.
Время часто не является связывающим ограничением; им является износ. Каждое открывание двери нагружает каждый шарнир плеча примерно через двунаправленных реверса нагрузки, поэтому прогонов накапливают 4.0 × 10⁶ таких реверсов в трансмиссии.4 Те же миллион контактных событий изнашивают кулачок защелки и ответную планку, раздавливают податливые прокладки захвата и циклируют проводку плеча к усталостному разрушению.
В чисто вычислительной среде исследовательская ветвь, ставшая численно неустойчивой, ничего не стоит, кроме отброшенного буфера. На работающей машине исследование необратимо. Неограниченный исследовательский момент вбивает захват в жесткие фиксаторы, гнет гибкие элементы тензодатчика, срывает зубья волновой передачи и нагревает статоры двигателей за порог изоляции класса F .5
↰ Предпосылка: Тепловые пределы обмоток двигателей и кривые термического снижения номинала по моменту и скорости выведены в разделе «Тепловые циклы нагрузки».
Более того, физическая деградация меняет объект управления прямо в процессе обучения. По мере того как контактные поверхности полируются, люфт редуктора растет (увеличивая механический люфт или мертвую зону между зубьями), а конструкционные крепления ослабевают под повторяющейся вибрацией, физическое распределение переходов на прогоне заметно отличается от первозданной динамики на прогоне . Управляемая машина мутирует под физической ценой сбора собственных обучающих данных.
Функция награды добавляет вторую хрупкость. В обучении по пробам скалярная награда — это спецификация интерфейса между намерением инженера и оптимизатором, и любое ограничение, которое она не измеряет и не штрафует, является свободной степенью свободы, которую оптимизатор будет использовать. Награда за быстрое слежение за заданием без штрафа за рывок или температуру обмотки сходится к двухпозиционному переключению между максимальным прямым и обратным усилием, которое вибрирует кронштейны и перегревает электронику привода. Когда контактная сила не измеряется, политика может научиться упираться шарниром с максимальным током в жесткий упор, потому что это убирает дрожание слежения. Сеть удовлетворяет предъявленной ей формуле, а не невысказанному здравому смыслу проектировщика.
Для систем с низкой размерностью, тривиальными сбросами, пренебрежимым износом и широкими запасами обучение с подкреплением прямо на оборудовании остается жизнеспособным. Симуляция становится обязательной там, где требуемое число образцов превышает время, бюджет, ресурс конструкции или допуск на риск аппаратуры, а – переходов, нужных сложной политике мотора, переезжают в физический движок, параллельно работающий на вычислительном кластере.
Подмена меняет контракт между обучением и реальностью. Политика, обученная в симуляторе, не гнет никаких звеньев во время исследования, но наследует упущения награды и модели механики симулятора, и каждый несмоделированный разрыв трения, идеализированный контактный импульс и неохарактеризованная задержка становятся предположением, на которое она опирается. На физической машине эти неточности возвращаются как несмоделированные возмущения и отказы слежения.
Симулятор как компонент системы
Считать симулятор внешним инструментом разработки — архитектурная ошибка. Компилятор производит машинные инструкции из исходного кода, но полученный двоичный файл не сохраняет скрытой зависимости от внутреннего аллокатора памяти компилятора, когда исполняется на стандартном оборудовании. Симулятор ведет себя иначе. Это восходящий компонент производства политик, чьи физические предположения, численные аппроксимации и упрощения границ навсегда впечатываются в параметры политики. Когда обученная нейронная сеть копируется на целевую машину, симулятор отсутствует в пути исполнения, однако политика действует так, будто каждая несмоделированная динамика этого симулятора остается истинной. Симулятор — активный компонент системной архитектуры со своей спецификацией, допусками и режимами отказа.
Вектор разрыва реальности sim-to-real
Вектор разрыва реальности sim-to-real — связанная многоканальная декомпозиция физических расхождений между симулированной и аппаратной средами, охватывающая механику контакта (), преобразование датчиков и шум (), визуальный внешний вид () и асинхронные транспортные задержки и дрожание ().
- Значение: Обращение с «разрывом реальности» как со скалярной метрикой сложности или чисто визуальным несовпадением областей заставляет инженеров упускать динамические и временные расхождения. Расхождения в противо-ЭДС актуаторов, податливости редуктора или дрожании шины истощают запас по фазе до того, как политика завершит свой первый физический шаг управления.
- Отличие: Неточное значение параметра (например, ошибка в 10 % массы звена) сохраняет каузальные дифференциальные уравнения движения, тогда как опущенный механизм (например, связь с нулевой задержкой или несмоделированное кулоновское прилипание–проскальзывание) полностью разрывает пути физической обратной связи, приводя политики к использованию нефизических артефактов симулятора.
- Распространенная ловушка: Полагаться исключительно на экстремальную рандомизацию области для перекрытия больших разрывов. Рандомизация параметров в нефизических диапазонах разбавляет емкость политики, приводя к излишне консервативному, вялому поведению, неспособному решать точные задачи на реальном оборудовании.
Как и любая аппаратная подсистема, симулятор требует формального контракта интерфейса, выраженного в величинах, которые можно измерить и заложить в бюджет. Этот контракт задает размерности наблюдений, границы действий, шаг времени симуляции , транспортную задержку между выдачей команды и физическим исполнением команды, пределы момента и тока актуаторов, распределения шума датчиков, распределения сброса и условия завершения. Если симулятор задает контур наблюдений, работающий на с предполагаемым каналом датчика нулевой задержки и гауссовым шумом дисперсии , политика учит коэффициенты обратной связи, настроенные под эту точную статистику сигнала, а несмоделированная задержка транспорта по шине на физической машине аннулирует их. Двойник Dactyl («Схема переноса sim-to-real») не мог в точности повторить свою физическую руку, поэтому его симулятор был откалиброван по реальной руке, а затем рандомизирован вокруг откалиброванных значений, и политика встретила несовпавший остаток как вариативность, против которой уже обучалась Andrychowicz et al., 2020.
Контракт интерфейса тем важнее, чем больше роль симуляции. «Примеры пропускной способности симуляции» показывает пропускную способность прогонов, которую достигают некоторые параллельные ускорители, и для политик, требующих многих прогонов, симуляция способна стать основным источником обучающего опыта.
Схема переноса sim-to-real: Установка OpenAI Dactyl — 24-степенная Shadow Hand внутри клетки захвата движения рядом с цифровым двойником MuJoCo, в котором она обучалась Andrychowicz et al., 2020. Перенос покупается рандомизацией области по трению, демпфированию, усилениям актуаторов, массам, размерам и освещению вместе со смоделированными люфтом и задержкой действия, и работает это за счет того, что политика вынуждена считать несмоделированную физическую вариативность шумом, а не за счет повышения точности симулятора. Источник: Andrychowicz et al., 2020.
Разрушение аппаратуры при переносе sim-to-real (2018)
Контекст: OpenAI обучила политику с подкреплением целиком в рандомизированной симуляции MuJoCo, чтобы переориентировать блок в 24-степенной Shadow Dexterous Hand, чьи шарниры приводятся через сухожилия двигателями в ее основании Andrychowicz et al., 2020.
Механизм: Симулированная рука прикладывала момент прямо к своим шарнирам, тогда как физическая рука приводится сухожилиями и имеет значительный люфт. Авторы сглаживали каждое действие экспоненциальным скользящим средним — и в симуляции, и на роботе, — чтобы избежать резких изменений сигнала действия, способных повредить физическую руку.
Последствия: Авторы сообщают о поломках робота во время физических экспериментов, чаще всего в вертикальном шарнире запястья, вероятно потому, что он несет наибольшую нагрузку. Каждый ремонт занимал время и часто менял аспекты системы, поэтому физические результаты собирались в разное время, и авторы относят поломки оборудования к ключевым трудностям работы.
Ответ: Команда также обучила вторую политику с заблокированным шарниром крена запястья, и она перенеслась на физическую руку лучше.
Урок для систем: Симулятор, который не изнашивается и не ломается, не способен заложить в награду цену физической наработки. Пределы, защитившие руку, — фильтр действия и заблокированный шарнир, — были наложены вне обученной политики, и каждый ремонт менял объект управления, на котором оценивалась политика.
Примеры пропускной способности симуляции: Иллюстративные значения шагов в секунду для различных симуляторов, задач, оборудования и настроек исполнения. Точки показывают, почему параллельные конструкции ускорителей способны поддерживать большие бюджеты прогонов; это не контролируемый продольный бенчмарк и не универсальный закон масштабирования.
Когда симулятор использует неточную инерцию ротора, задавая вместо истинных , уравнения движения все равно вычисляют зависящий от ускорения инерционный момент. Ошибка параметра меняет величину отклика, но каузальная структура остается целой. Когда же симулятор опускает целый физический механизм — люфт трансмиссии, конструкционную податливость или дрожание межканальной связи, — он не просто зануляет соответствующий параметр. Он не предоставляет каузального механизма вовсе. Опущенная задержка или податливость представляют несмоделированную физическую степень свободы.6 Симулятор, опускающий податливость шарниров, допускает мгновенные реверсы момента, которые реальная трансмиссия превращает в нагружение зубьев шестерен и возбуждение структурных резонансов.
Наиболее существенные упущения проистекают из того, как симуляторы обращаются с контактом. Жесткий контакт не гладок. Нормальная сила равна нулю, пока тела расходятся, и принимает любое сжимающее значение, препятствующее взаимопроникновению, как только они касаются, а скорость прыгает при ударе. Трение подчиняется кулоновскому конусу, и жесткие тела под кулоновским трением могут не иметь единственного решения вперед (парадокс Пенлеве). Физические движки идут по одному из двух численных путей («Механика контакта твердых тел»). Комплементарные решатели сохраняют строгое невзаимопроникновение ценой, круто растущей с числом контактов, и могут зависать, когда геометрии защемляются. Штрафные и выпуклые релаксации заменяют жесткое ограничение виртуальным демпфером пружины, который быстро сходится на высоких частотах кадров, но позволяет твердым телам слегка взаимопроникать. Симулятор защелки идет вторым путем, и именно его мягкость latch-sim-02 научился использовать.
Контактная эксплуатация sim-to-real
Обучение с подкреплением оптимизируется против физики, которую представляет решатель, а не против физики объекта управления. В симуляторах, реализующих мягкие контактные релаксации или штрафные пружины, оптимизатор обнаруживает, что «погружение» в поверхность на (отрицательный знаковый зазор между контактирующими поверхностями) дает два нефизических аффорданса:
- Искусственная реакция демпфера пружины действует как мгновенный сток энергии, гася нисходящий импульс за один интеграционный шаг без отскока или пластической деформации.
- Взаимопроникновение увеличивает эффективную площадь контактной поверхности в решателе, порождая нефизические боковые силы тяги, препятствующие проскальзыванию при агрессивных маневрах.
Плечо вбивает защелку в ее ответную планку с эффективной массой на стороне робота 12 kg в центре инструмента. Допустим, штрафной контакт симулятора позволяет захвату погрузиться на иллюстративные 2.4 mm в планку при быстром подходе 0.10 m/s. Приравнивание кинетической энергии подхода к энергии пружины в пике сжатия дает пиковую силу , которая для симулированной пружины сводится к , или 50 N, — ниже предела защелки 100 N. Оптимизатор обучения с подкреплением фиксирует ноль штрафа за повреждения, высокую скорость задачи и максимальную награду и учится нырять в планку без торможения.
Когда политика переезжает на машину, реальная ответная планка не дает такой податливости. Ее контактная жесткость — иллюстративные 4.0 × 10⁵ N/m, и тот же нырок достигает пика 219.1 N, что в 4.4× больше симулированной силы и в 2.2× больше предела защелки. Способен ли путь разрешения предотвратить этот пик — вопрос времени. Контактная сила подчиняется («Пределы передачи актуатора»), и поскольку планка сжимается со скоростью подхода, и сила растет как с момента касания. При быстром подходе предел защелки наступает через 2.5 ms после касания — едва больше тех 2 ms, которые нужны контактному контуру для отклика, тогда как при охраняемом подходе 0.03 m/s он наступает через 8.3 ms. Отклик, начинающийся с запасом 0.5 ms, не способен замедлить плечо до пересечения силой предела, и нырок продолжается к этому пику. Предотвращение поэтому должно действовать до контакта. Независимо обеспечиваемая огибающая скорости подхода, например , где — оставшееся расстояние до планки, а — валидированное замедление, ограничивает скорость касания, а контактный порог способен ограничить последующую нагрузку, лишь если его восприятие, отклик торможения и оставшееся сжатие валидированы. Именно контактный предельный срок, а не обучающая награда, ограничивает объявленный ODD политики защелки охраняемым подходом («Манифест политики»).
Точность симулятора для контакта поэтому закладывается в бюджет в наблюдаемых механических величинах — тайминге начала контакта, пиковой нормальной силе, переданном импульсе, расстоянии проскальзывания и задержке раскрытия, — а не во внутренностях решателя. Расхождение может иметь и противоположный знак. Штрафной движок, разрешающий столкновение за один интеграционный шаг, концентрирует передачу импульса в резкий всплеск, тогда как деформация прокладки и конструкционная податливость на оборудовании растягивают ее на много миллисекунд. Интегрированный импульс может тогда почти совпадать, тогда как пиковая сила различается в несколько раз, и политика, научившаяся определять начало контакта по симулированному всплеску, никогда не видит этот всплеск на машине, поэтому продолжает давить, пока привод не достигнет предела по току.
Инвариант точности контакта
Никогда не доверяйте симулированной политике контакта, успех которой зависит от мгновенного поглощения импульса или сцепления трения с нулевой задержкой; политика, полагающаяся на проникновение в цифровую поверхность, нагружает физическую деталь такой силой, которую симулятор никогда не показывал.
Какие упущения важны, зависит от задачи. Политика, движущаяся только на высокой непрерывной скорости, может переносить грубую модель трения, потому что никогда не задерживается у порога статического трения, тогда как политика, регулирующая силу при удержании статического контакта, впадет в неконтролируемые колебания предельного цикла, если из симулятора опущены статическое трение, переходы прилипание–проскальзывание и мертвые зоны актуаторов.
⇄ Сопоставление:
2.4 mmпроникновения штрафной пружины — податливость, которую решатель выдумывает, тогда как люфт и кручение реальной трансмиссии, разобранные в разделе «Пределы передачи актуатора», — податливость, которую решатель твердого тела опускает.
Установление корректности компонента-симулятора требует парного зондирования. Инженер подает идентичные последовательности команд разомкнутого контура и симулятору, и физическому оборудованию, измеряя разницу между результирующими траекториями состояний относительно явных бюджетов ошибок. Для защелки это означает гнать одну и ту же команду подхода в симулированную и в реальную планку и сравнивать названные выше контактные величины, так чтобы расхождение закладывалось в бюджет в миллисекундах и ньютонах. Когда измеренная разница превышает допуск для эксплуатационной огибающей, симулятор дефектен для этой обучающей задачи.
Поскольку структурные предположения симулятора замораживаются в весах нейронной сети в ходе оптимизации, спецификация симулятора образует неизменяемый элемент конфигурации и идентичности политики. Каждый обученный артефакт политики обязан документировать полное происхождение от симулятора — поле simulation_provenance манифеста политики («Манифест политики»). Развертывание политики без него — все равно что поставка прошивки без записи целевой архитектуры, для которой она компилировалась. Аудит этого происхождения требует большего, чем агрегированная доля прохождения; он требует декомпозиции разрыва реальности на каналы динамики, восприятия, внешнего вида и тайминга, которые раздел «Из чего состоит разрыв» оценивает по одному.
Из чего состоит разрыв
Симулятор защелки отклоняется от реальной клеточной двери двумя несвязанными способами: штрафной пружиной, куда более мягкой, чем ответная планка, и трактом команды без транспортной задержки, — а единая дистанция между симулированными и реальными траекториями смешала бы их в число, которое не называет ни того, ни другого. Ошибки в разных физических каналах несут разные единицы, распространяются по разным путям в замкнутом контуре и производят разные отказы, поэтому несовпадение есть вектор связанных компонентов, охватывающий динамику, восприятие, внешний вид и тайминг. Его оценивание — учет физических ошибок относительно допусков задачи по парным трассам команды–отклика, записанным при идентичных возбуждениях, и каждый канал требует собственного перехватчика. «Многомерная таксономия разрыва реальности sim-to-real» перечисляет перехватчики для динамики, которую она делит на строки актуатора и контакта, и для восприятия и тайминга; внешний вид оценивается в тексте ниже и на панели (d) раздела «Вектор разрыва реальности sim-to-real».
Расхождение динамики измеряет различия между командованным усилием актуатора и результирующим физическим движением или контактной силой по всей эксплуатационной огибающей. Симулятор, моделирующий жесткое звено с нулевым люфтом и мгновенной контактной жесткостью, предсказывает более быстрый рост силы, чем трансмиссия, чьи податливость редуктора и задержка привода добавляют фазовое запаздывание, и политика, привязавшая начало контакта к симулированному нарастанию, продолжает давить на машину — расхождение контакта противоположного знака по сравнению с разделом «Симулятор как компонент системы».
Расхождение восприятия измеряет несоответствия между истинным физическим состоянием и вектором наблюдений, доставляемым в сеть политики. Симулированный дальномер чист и равномерно квантован; физический несет смещение калибровки, шум, термический дрейф и пачки выпадений при зеркальных отражениях. Смещение сдвигает точку, в которой контроллер переключается с подхода на регулирование силы, а пачка выпадений ослепляет политику к поверхности во время снижения.
Расхождение внешнего вида — не среднеквадратичная ошибка, вычисленная по сырым пикселям камеры. Различия изображений между фотореалистичным рендерингом и физическими кадрами камеры доминируются высокочастотными фоновыми текстурами и мелкими паттернами шума датчика, которые могут не влиять на действие политики. Расхождение внешнего вида оценивается измерением отклонения в релевантных для политики перцептивных выходах — таких как оцененные нормали поверхности, ключевые точки объектов или активации пространственных признаков — при согласованных физических геометрии, освещении, материалах и настройках экспозиции камеры.
Расхождение тайминга управляет временным выравниванием захвата наблюдений, вычисления политики и исполнения команды. Идентичные переходы состояния, происходящие в различные моменты физического времени, не производят эквивалентной динамики замкнутого контура. Симулятор, мгновенно исполняющий наблюдение, вывод и исполнение команды в начале каждого дискретного шага, опускает экспозицию камеры, сериализацию по шине, хвостовую задержку вывода и транспорт по шине двигателя, а также их цикл-к-циклу дрожание. Каждая миллисекунда этой опущенной задержки — путь, который механизм проходит необслюдимым до начала корректирующего действия, и она разъедает демпфирование и запас по фазе замкнутого контура.
«Вектор разрыва реальности sim-to-real» показывает все четыре канала, расходящиеся на иллюстративном линейном приводе, отдельном от мобильного манипулятора, который подходит к жесткой поверхности на 0.20 m/s и регулирует контактную силу до 10 N. Несмоделированная задержка привода и более мягкая поверхность режут рост силы с 500 N/s до 250 N/s, так что целевая сила достигается за 40 ms, а не 20 ms, и привод перехлестывает на до отключения по пределу тока. Смещение дальномера начинает регулирование силы слишком рано, а четырехкадровое зеркальное выпадение ослепляет снижение. Разница в 5,5 % сырых пикселей прячет сдвиг оценки контактного пятна на — больше, чем допуск фаски , — а исполнение команды, приходящее с опозданием до 49.5 ms на , уносит привод на 5.9 mm дальше того, что учел 20 ms жесткий такт симулятора, до начала коррекции. Ни одно из этих расхождений не зафиксировалось бы в скалярной функции потерь.
Вектор разрыва реальности sim-to-real: Разрыв sim-to-real, декомпозированный по четырем физическим каналам — динамике (a), восприятию (c), внешнему виду как сдвигу перцептивных признаков (d) и таймингу (b), — каждый измеренный по парным трассам, а не по агрегированной функции потерь. Суть именно в декомпозиции, потому что четыре канала отказывают по-разному, а скалярная функция потерь усредняет их в число, которое не называет ни один. Расхождение в 5,5 % пикселей, выглядящее пустячным, маскирует пространственный сдвиг , превышающий допуск сборки.
| Измерение разрыва реальности | Несмоделированный физический механизм | Номинальная спецификация симуляции против реального оборудования | Скрытое использование политики / поведенческий отказ | Диагностическая метрика парных трасс и допуск | Аппаратный перехватчик и перехватчик пути разрешения |
|---|---|---|---|---|---|
| Динамика актуатора и трансмиссии | Гармоническая податливость редуктора, кулоновское статическое трение, зависящее от скорости трение Стрибека и насыщение напряжения противо-ЭДС | Идеализированный источник прямого момента (, ) против физической волновой передачи (, люфт , задержка шины ) | Политика командирует высокочастотные двухпозиционные реверсы момента (), вызывая механическую дребезгу, усталость шестерен и обмотки, перегруженные за порог термического снижения номинала | Расхождение отклика на ступенчатый момент: фазовое запаздывание на ; расхождение времени установления ; перерегулирование | Фильтрация действия нижних частот (), тепловые оценщики среднеквадратичного тока двигателя и ограничители скорости нарастания момента актуатора () |
| Механика контакта и податливость | Вязкоупругая деформация поверхности, контактный гистерезис, негладкие переходы прилипание–проскальзывание и конечная фаза восстановления | Жесткий контакт точечной массы через LCP/штрафную пружину (, восстановление ) против физической контактной площадки (, интервал деформации ) | Политика привязывает начало контакта к резкому симулированному всплеску силы, никогда не видит этот всплеск на более медленном реальном нарастании и продолжает давить, пока привод не достигнет предела по току | Ошибка контактного импульса ; расхождение пиковой контактной силы ; ошибка времени нарастания начала контакта | Регулятор огибающей скорости подхода (), ограничитель производной силы (), податливые механические гибкие элементы |
| Преобразование датчиков и профили шума | Оптические выпадения при зеркальном отражении, искажения скользящего затвора CMOS, зависящий от освещенности шум и термический дрейг тензодатчика силы–момента | Синтетическое RGB-D с гауссовым шумом без смещения (, ноль выпадений) против физической глубины структурированного света (смещение , пачки выпадений в 4 кадра, дрейф ) | Политика вызывает преждевременное замедление над поверхностью или остается слепой при многокадровых выпадениях, уводя исполнительный орган за жесткие границы фиксатора к перегрузке по току при блокировке | Расстояние Колмогорова–Смирнова распределений датчика ; ошибка центроида активации пространственных признаков ; ноль устойчивых кадров выпадений () | Мультисенсорное слияние (IMU/энкодеры + зрение), фильтры удержания при оптических выпадениях, автокалибровка термического дрейфа, независимые оптические барьеры близости |
| Временные задержки и асинхронность шин | Переменные времена экспозиции камеры, сериализация по шинам PCIe/EtherCAT, хвостовая задержка нейронного вывода () и недетерминированное планирование ОС | Синхронный дискретный жесткий такт (, нулевая транспортная задержка) против асинхронного физического конвейера ( на , на , дрожание ) | Сильная эрозия запаса по фазе (потеря ); политика переживает недемпфированные колебания, циклы охоты и ненаблюдаемое перемещение во время всплесков задержки ( на за пределами симулированного жесткого такта) | Дрожание задержки команда–отклик от конца до конца ; возраст наблюдения в худшем случае ; ноль превышений предельного срока на | Планирование реального времени PREEMPT_RT / Xenomai, внедрение очереди задержки буфера действий в симуляцию, кинематическая экстраполяция (предиктор Смита) |
Многомерная таксономия разрыва реальности sim-to-real: Декомпозиция каналов динамики, восприятия и тайминга разрыва реальности, где динамика разделена на строки актуатора и контакта; внешний вид оценивается в тексте и на панели (d) раздела «Вектор разрыва реальности sim-to-real». Колонки указывают несмоделированное физическое явление, репрезентативное количественное расхождение, скрытый управляющий обход, используемый оптимизатором, метрики верификации парных трасс, а также аппаратные меры и меры пути разрешения.
Рандомизацию области часто считают методом стирания разрыва sim-to-real, но рандомизация параметров действует в жестких структурных пределах.7 Выборка коэффициентов трения по равномерному распределению от до или масс звеньев в пределах % расширяет охват обучения по механизмам, которые симулятор уже представляет. Она не способна синтезировать опущенный физический механизм, отсутствующую корреляцию состояний или несмоделированное редкое событие. Если дифференциальные уравнения симулятора опускают люфт редуктора, тепловое сопротивление в обмотках двигателя или вытеснение потоков в операционной системе, никакое распределение по массе звеньев не заставит политику выучить компенсацию этой динамики. Добавление неструктурированного гауссова шума к симулированным наблюдениям для маскировки несмоделированных эффектов способно ухудшить производительность, обучая политику снижать управляющие усиления и сужать эксплуатационную полосу, чтобы избегать действий, возбуждающих несмоделированные моды.
В пределах механизмов, которые симулятор все же моделирует, у рандомизации есть полезная ширина — коридор рандомизации области. Слишком узкое распределение делает политику хрупкой к вариативности, которую реально показывает объект управления, что рискует механическим ударом или тепловым срабатыванием, а слишком широкое толкает ее к консервативному управлению с низким усилением, отдающему пропускную способность. Удержание рандомизации внутри этого коридора, а не ее настройка пробами, требует фиксированного порядка работ. Идентификация системы на физическом стенде сначала измеряет номинальные массы, постоянные момента, задержки и трение. Затем границы рандомизации обосновываются механизмами, которые двигают эти параметры, — температурой обмотки для постоянной момента и состоянием поверхности для трения, — а не эвристическими интервалами. Обучение начинается в узкой полосе вокруг номинальных значений и расширяет ее лишь по мере того, как политика достигает объявленного порога успеха, — расписание, известное как адаптивная рандомизация области. Наконец, парные трассы аудируют каждый канал относительно его допуска, а расхождение сверх бюджета возвращает симулятор на доработку до развертывания любой политики, обученной на нем.
Того, чего рандомизация не достает, обязан ограничить путь разрешения. Каждое предложение проходит путь разрешения («Машина в пяти уровнях»), прежде чем достигнуть актуатора, и там ограничители скорости нарастания силы, пределы нарастания момента и регуляторы скорости удерживают его в рамках того, что покрывают валидированные предположения о восприятии и остановке.
↳ Далее: Субмиллисекундные барьерные фильтры (CBF), ограничивающие непроверенные предложения политики, сформулированы в разделе «Минимальное вмешательство».
Декомпозиция разрыва на составляющие физические каналы дает два конкретных инженерных артефакта, а именно поддерживаемую область и явный остаточный список несовпадений. Поддерживаемая область — множество условий, в которых физическое оборудование соответствует симуляции в пределах валидированных допусков. Остаточный список несовпадений перечисляет каждую незакрытую разницу, остающуюся вне распределения обучения. Для симулятора защелки парные зонды еще не закрыли контактную жесткость ответной планки, которую его штрафная пружина задает куда мягче самой планки, и транспортную задержку актуатора, поэтому обе стоят во главе его остаточного списка, а поддерживаемая область исключает контактные состояния, которыми управляют эти два отклонения. Каждая запись остаточного списка определяет явное требование к мониторам времени выполнения и фильтрам безопасности, которые обязаны обнаруживать, когда физическое исполнение уходит за границу, где симулированная политика остается корректной. Оба артефакта переходят в манифест политики раздела «Манифест политики»: остаточный список попадает в его журнал упущений, а каждое состояние вне поддерживаемой области вносится туда как исключение.
Даже при тщательной рандомизации области и калибровке контакта остаточные расхождения сохраняются в высокоточных, контактно-насыщенных режимах, и остаточный список симулятора защелки еще не пуст. Некоторые локальные несовпадения дешевле поглотить на развернутом объекте управления, чем смоделировать, — ценой износа и утраченных свидетельств.
Точная настройка на реальной машине
Реальная клеточная дверь несет свою ответную планку с небольшим конструкционным смещением крепления от того места, куда поместил ее симулятор, — отклонение, которое симулятор не моделирует. Именно такое локальное измеримое несовпадение способна поглотить тонкая настройка на физическом оборудовании. Градиентные обновления, вычисленные по физическим прогонам, адаптируют политику к истинной податливости, контактной динамике и задержкам шин машины, но они не измеряют ни один из этих механизмов, поэтому два других отклонения симулятора — мягкая контактная пружина и отсутствующая транспортная задержка — остаются в журнале упущений, пока их не закроют парные зонды. У адаптации есть и физическая цена. В симуляторе выборка состояний у границы устойчивости стоит лишь вычислительных циклов, тогда как на оборудовании каждый образец расходует ресурс компонентов и рискует загнать машину в невосстановимое контактное состояние.
Стоимость обновления параметров политики на физическом оборудовании накапливается, потому что градиентные шаги, решающие локализованные контактные ошибки, одновременно потребляют конечный механический усталостный ресурс, нагревают обмотки двигателей и рискуют катастрофическим забыванием предварительно верифицированной номинальной устойчивости транзита.
Рассмотрим плечо складского мобильного манипулятора, адаптирующее latch-sim-02 в latch-res-03 — остаточного кандидата, добавляющего управляемую обученную коррекцию к замороженному выходу latch-sim-02, потому что реальная планка стоит в 1.5 mm от того места, куда поместил ее симулятор. Захват ведет пружинную защелку мимо ее ответной планки, где негладкое кулоновское трение, геометрия поверхности кулачка и преднатяг пружины порождают резкие переходы прилипание–проскальзывание. Задания политики приходят каждые 20 ms (50 Hz). Чтобы адаптировать ее параметры к контактной динамике ответной планки, рутина тонкой настройки на роботе собирает иллюстративные 20 000 шагов взаимодействия, представляющих 400 s активной контактной и около-контактной работы. Поскольку политика должна исследовать, чтобы улучшаться, стохастические возмущения действий порождают непредсказуемые силовые переходные процессы прежде, чем низкоуровневые контроллеры безопасности смогут вмешаться. Если 1,5 % исследовательских шагов пробиваются мимо контактного порога 15 N и бьют в жесткое плечо ответной планки до того, как путь разрешения ограничит команду, прогон тонкой настройки вносит 300 ударных нагрузок в трансмиссию.
Каждый из этих ударов рассеивает кинетическую энергию плеча в зубьях шестерен и подшипниках, и отнесение их к доле срока службы требует специфичной для привода модели спектра нагрузок и ресурса («Пределы передачи актуатора»). Второе ограничение — тепло. Исследовательская дрожь поднимает среднеквадратичный ток через обмотки двигателя, и это джоулево нагревание способно довести обмотку до порога термического снижения номинала («Тепловые циклы нагрузки») за считанные минуты, если расписание обучения не закладывает интервалы охлаждения.
Помимо механического износа, адаптация в реальном мире подрывает статистическую верификацию, установленную при предварительном тестировании. В симуляции политику можно подвергнуть валидационных эпизодов при рандомизированных возмущениях, установив ограниченные ошибки слежения и хвостовое поведение вплоть до 99,9-го перцентиля (). Как только обновления весов применены на оборудовании, каждое статистическое утверждение, обусловленное исходным вектором параметров , недействительно. Обновленная политика может устранить стационарную ошибку силы против целевого фиксатора, однако градиентные шаги способны одновременно ухудшить точность слежения в свободном пространстве, снизить запасы по фазе (уменьшая запасы устойчивости) при высокоскоростном транзите или исказить профили отклика при аварийных остановах. Поскольку пропускная способность оборудования ограничена физическим временем, машина не может выполнить миллионы физических прогонов, чтобы заново установить эти доверительные границы. Адаптированная политика входит в производство с более узкой базой эмпирических свидетельств, чем замененная ею симулированная основа.
Тонкая настройка на развернутой машине поэтому превращает политику из квалифицированного замороженного компонента в эволюционирующее состояние. Квалификация зависит от контроля конфигурации, где точный хэш параметров соответствует документированному кейсу безопасности, поэтому каждое онлайн-обновление весов вновь открывает эту запись. Бремя предотвращения отказа переходит к детерминированным мониторам пути разрешения, которые обязаны перехватывать ошибки базовой политики и промежуточные поведения, порождаемые оптимизатором, пока он обновляется против физической обратной связи.
Остаточные архитектуры политик и ограниченные полномочия
Остаточная политика способна локализовать адаптацию, не меняя замороженные веса базовой политики. Предлагаемый управляющий вход равен где — квалифицированный номинальный контроллер, — обученная контактная коррекция, а независимо проверяемый затвор равен единице лишь внутри валидированной контактной области. Затвор устанавливает остаточную составляющую в точности в ноль в свободном пространстве и вне этой области; отсутствующий градиент награды так не сделал бы. Путь разрешения проверяет измеренное состояние и предложенную комбинированную команду до исполнения команды.
Ограничение величины ограничивает один аспект полномочий. Тот же путь обязан принудительно обеспечивать ограничения скорости коррекции и состояния, осуществимость на актуаторах и резерв, когда восприятие или предложение истекает. Допустимое множество остаточной составляющей должно вписываться в валидированный запас робастности комбинированного контроллера по всей заявленной эксплуатационной области; сопоставления произвольной величины момента с пассивностью или запасом по фазе недостаточно. Для стенда защелки мы допускали бы коррекцию только в фазе измеренного контакта, с нулевым выходом затвора свободного пространства и ограниченным нарастанием момента. После каждого обновления весов контактные и регрессионные тесты в свободном пространстве обязаны заново проверять слежение, остановку, тепловую нагрузку и ударную наработку прежде, чем новая контрольная точка получит полномочия. Обрезанная остаточная составляющая все еще способна возбудить колебания или насытить привод, если эти условия не выполняются.
Ограниченные остаточные полномочия ограничивают предлагаемую коррекцию, но сами по себе не могут предотвратить повреждение оборудования или устранить скрытые режимы отказа от более ранних обучающих решений. Каждая стадия синтеза политики — от приема демонстраций через контактный решатель симуляции до остаточных обновлений — оставляет собственную сигнатуру отказа в поведении замкнутого контура контроллера, и каждая сигнатура прослеживается назад до породившего ее обучающего предположения.
Как выбор при обучении дает сбой
Физический отказ обученной политики редко бывает произвольным. Команда, вбивающая захват в ответную планку, была произведена оптимизацией по конкретным датасету, функции потерь и симулятору, и предположения этой оптимизации оставляют структурный след, который можно проследить до запуска машины. Цепочка вывода уязвимостей политики делает трассировку явной в пяти звеньях (). Обучающая наработка устанавливает обученную зависимость, условие развертывания ее нарушает, нарушение порождает сигнатуру в командах или объекте управления, а сигнатура называет перехватчик, который требуется пути разрешения. Каждая из трех контрольных точек защелки прогоняет цепочку один раз.
Для latch-bc-01 наработка — телеуправляемые открывания двери из раздела «Физические данные», а зависимость — поддержка этих демонстраций, которая покрывает лишь номинальную ответную планку при охраняемом подходе и ни одного из неноминальных состояний, которых достигала неудавшаяся попытка, потому что целями подражания политики были сохраненные успешные открывания (отказы по порогу остаются в архиве как отказы с меткой, а не как цели), а кампания никогда не смещала планку. Просевшая дверь ее нарушает. Сигнатура — нарастающий ковариантный сдвиг. Каждая коррекция, выдаваемая каждые 20 ms, попадает все дальше от продемонстрированных состояний, однако каждая команда остается кинематически правдоподобной, поэтому предложение выглядит нормально, пока захват не заклинит о край планки. Политика не способна обнаружить собственное отклонение, поэтому перехватчиком должен быть монитор поддержки на входе пути разрешения, сопоставляющий измеренное состояние с поддерживаемыми ячейками и отклоняющий полномочия политики вне их. Без этого монитора отказ впервые становится видимым на контакте. Тест перед развертыванием следует из зависимости. Стендовые прогоны на намеренно смещенной планке — семействе состояний, которое соединение по заполненности кампании защелки уже перечисляет как известное отсутствие («Охват политики сбора»), — показывают, срабатывает ли монитор до заклинивания захвата.
Для latch-sim-02 наработка — симулированные открывания двери против штрафной контактной пружины без задержки команды, а зависимость — то, что быстрый нырок ничего не стоит, потому что мягкая пружина поглощает подход при симулированном пике 50 N. Реальная планка ее нарушает. При подходе 0.10 m/s жесткая планка гонит силу мимо контактного порога 15 N почти мгновенно и далее к пределу защелки внутри контактного предельного срока, выведенного в разделе «Симулятор как компонент системы», к пику 219.1 N. Сигнатура — чрезмерный силовой переходный процесс, которого обучающая награда никогда не записывала. Порог его обнаруживает, но срабатывает внутри окна, которое плечо не может использовать, поэтому перехватчик — огибающая скорости подхода до контакта, а зависимость обнаруживается до развертывания парными контактными тестами, а не срабатыванием на машине.
Для latch-res-03 наработка — узкий срез контактных шагов, собранных на одном стенде, а зависимость — перевес этих недавних переходов. Любое состояние, выпавшее из среза, ее нарушает, например транзит в свободном пространстве перед дверью или подход вне оси стенда. Сигнатура — регрессия, утраченная устойчивость в состояниях, смежных с настроенным контактом, и поскольку сеть присваивает допустимые выходы повсюду, ничего в ее командах не объявляет об утрате. Перехватчик отчасти процедурный, отчасти работает во время выполнения. Замороженный набор контактной и свободно-пространственной регрессии должен пройти прежде, чем новые веса получат полномочия, а остаточный затвор удерживает коррекцию в нуле вне фазы измеренного контакта. Исследование на стенде оставляет вторую сигнатуру, которую не записывает ни одна награда задачи, — удар и нагрев обмотки из раздела «Точная настройка на реальной машине», — поэтому путь разрешения обязан также следить за наблюдаемыми величинами, которые награда опустила, — такими как температура обмотки, спектры тока и энергия акселерометра.
Родословная от latch-bc-01 до latch-res-03 не списывает эти отказы со счетов; она перемещает доминирующий. Уточнение клонированной политики в симуляции обменяло дрейф на использование решателя, а настройка результата на стенде подавляет эту эксплуатацию на контакте, рискуя забыванием вышестоящих навыков. Более ранние механизмы остаются скрытыми в весах и возвращаются всякий раз, когда условия покидают огибающую, настроенную последней стадией.
Каждая цепочка поэтому оставляет три обязательства. Каждой зависимости нужен тест перед развертыванием, нагружающий границу, где обучение отклонилось от объекта управления. Каждой сигнатуре, проявляющейся в измеримой механической величине, нужен детектор времени выполнения на пути разрешения на частоте контура — будь то отклонение слежения, скорость нарастания силы или спектры тока. Там, где политика не способна обнаружить собственный отказ, как latch-bc-01 вне своих продемонстрированных состояний, пути разрешения нужен монитор поддержки, манифест обязан исключить из своего объявленного ODD состояния, которых этот монитор не покрывает, а детерминированные блокировки должны отказывать политике в полномочиях там. Выполнение этих обязательств требует точной записи того, как была построена контрольная точка, — от исходных данных и динамики симулятора до членов награды и каждого последующего изменения. Эта запись и есть манифест политики.
Манифест политики
Обученная политика дает сбой на стыках, где ее режим обучения, исходные демонстрации или симулятор отклоняются от физической реальности, и три цепи защелки только что локализовали по одному стыку на контрольную точку. Запись, которую обученная контрольная точка несет в оценку, должна зафиксировать все три.
Манифест политики записывает, как была произведена контрольная точка: ее обучающие стадии, поддержку данных, которую она наследует из записей происхождения, версии ее симуляторов и журнал упущений механизмов, которые они оставляют за бортом, и несовпадений, не закрытых парными зондами, износ, понесенный при адаптации, и объявляемую ею область эксплуатации («Схема манифеста политики»).
Манифест отделяет результаты оптимизации от условий, в которых у политики могут попросить работать. Объявленный ODD — та часть ODD из раздела «Охват политики сбора», на которую претендует манифест политики: поддерживаемые ячейки соединения данных минус каждое состояние, которое исключает журнал упущений. Высокая обучающая награда или низкая офлайн-потеря не показывают, что политика безопасна вне его, поэтому объявленный ODD вычисляется из соединения и журнала, никогда из обучающей кривой, а сходящаяся метрика не может заменить запас по режимам, которые никто не характеризовал.
| Поле схемы записи | Физическая / вычислительная модальность данных | Гарантия происхождения и неизменяемости | Нисходящий верификатор и применение |
|---|---|---|---|
regime_sequence | Массив стадий оптимизации (), формулы потерь, веса награды и хэши критериев остановки | SHA коммита Git, UUID контрольных точек PyTorch/JAX, хэш параметров | Прослеживание, какой режим ввел скрытые режимы отказа или дребезгу с высоким усилением |
data_support_ledger | Дайджесты потребленных записей происхождения и сценарного журнала, относительно которого они измерялись; supported_cells и known_absences их соединения по заполненности | Цитирует каждую запись происхождения по дайджесту; ни одно поле датасета не копируется | Верхняя граница объявленного ODD; параметризует мониторы поддержки вне распределения |
negative_event_registry | Записи вмешательств («Данные вмешательств и восстановления») из прогонов обучения и адаптации | Цитирует каждую запись вмешательства по дайджесту; ее трасса до триггера не копируется | Изоляция физических границ отказа и предотвращение обучения на испорченных прогонах дрейфа |
simulation_provenance | Сборка физического движка, метод интегрирования, шаг времени , штрафные параметры решателя контакта и диапазоны рандомизации области | Хэш бинарного файла физического движка, хэш дерева ассетов URDF/MJCF | Воспроизведение физики обучения и аудит бюджетов парных трасс |
omission_log | Механизмы, которые каждый симулятор оставляет за бортом (люфт, податливость, транспортная задержка), и остаточные несовпадения, не закрытые парными зондами, с состояниями, на которые каждое из них влияет | Привязан к описываемой им сборке симулятора; запись закрывается только свидетельствами парных трасс | Удаляет затрагиваемые состояния из объявленного ODD; переносится в пробелы охвата оценки и список отказов |
adaptation_wear_ledger | Сериализованные идентификаторы оборудования, счетчики контактных ударов, тепловые журналы среднеквадратичного тока двигателя, индексы измененных слоев и хэш регрессионного набора | Хэши сертификатов калибровки, журналы усталости за срок службы оборудования | Повторное открытие формальных кейсов квалификации и предотвращение молчаливой регрессии номинальных способностей |
declared_odd_boundary | Объявленный ODD: поддерживаемые ячейки минус состояния, исключаемые журналом упущений (для политики защелки — номинальная ответная планка при охраняемой скорости подхода) | Никогда не превышает поддерживаемые ячейки data_support_ledger | Ограничивает целевую ODD, которую может выборочно оценивать оценка, и область, в которой путь разрешения допускает предложения политики |
Схема манифеста политики: Поля, которые манифест политики добавляет к потребляемым им записям происхождения, фиксирующие стадии синтеза политики, поддержку данных по дайджестам, спецификации физического движка и их журнал упущений, износ при тонкой настройке оборудования и объявленный ODD.
Для защелки клеточной двери складского мобильного манипулятора компактный манифест связывает поля в одно решение:
regime_sequence: контрольная точка демонстрацийlatch-bc-01→ симулированное уточнение контактаlatch-sim-02→ управляемый остаточный кандидатlatch-res-03; сохранить хэш каждой контрольной точки, спецификацию потери или награды и правило остановки.data_support_ledger: цитировать по дайджестам записи происхождения кампании защелки и ее сценарный журнал; их соединение поддерживает номинальную ответную планку при охраняемом подходе и перечисляет смещенную планку и более быстрый подход, чьи ячейки не содержат демонстраций, как известные отсутствия без метки восстановления.simulation_provenance: записать фактическую сборку решателя и контактные параметры.omission_log: симулятор примера моделирует контакт с ответной планкой штрафной пружиной, куда более мягкой, чем планка, и опускает транспортную задержку актуатора, поэтому контактные состояния, которыми управляют эти два отклонения, неверифицированы для контрольных точек, обученных в симуляции.negative_event_registry: цитировать по дайджесту запись вмешательства с ее трассой кольцевого буфера до триггера для каждого удара о плечо фиксатора, вето оператора или ограничения пути разрешения как свидетельство отказа с меткой, не считая небезопасные команды целями эксперта, и отмечать эпизоды, прерванные оператором, чтобы обновление не оценивало прерванную команду как успех.adaptation_wear_ledger: связатьlatch-res-03с конкретным стендом, кумулятивными контактными ударами, историей тока двигателя, измененными остаточными весами и результатом регрессии в свободном пространстве.declared_odd_boundary: поддерживаемые ячейки минус состояния, исключаемые журналом упущений, здесь — номинальная планка при охраняемом подходе0.03 m/s. Контактные состояния, которыми управляют два упущения, остаются вне объявленного ODD для каждой уточненной в симуляции контрольной точки — какlatch-sim-02, так иlatch-res-03, — пока парные зонды их не закроют. Смещенная планка и подход0.10 m/sлежат вне его, и быстрый подход остался бы вне даже с демонстрациями, потому что его контактный предельный срок («Симулятор как компонент системы») почти ничего не оставляет сверх отклика контактного контура; там путь разрешения обязан навязать охраняемый подход или отказать политике в полномочиях.
Проверка выпуска отклонила бы latch-res-03, пока парные контактные зонды не количественно оценят ошибку контактной жесткости и опущенную задержку, а комбинированный контроллер не пройдет контактные, свободно-пространственные, остановочные тесты и тесты бюджета износа. То же правило оставляет latch-bc-01 единственной контрольной точкой, которую может выборочно оценивать оценка, при условии что монитор поддержки ее цепи отказывает политике в полномочиях вне номинальной планки («Как выбор при обучении дает сбой»). Обученная без симулятора, она не несет исключений журнала упущений, поэтому ее объявленный ODD удерживает контактные состояния двери на номинальной планке и охраняемом подходе. Манифест фиксирует это решение и его свидетельства, а не превращает обучающий балл в разрешение.
Для поддержки данных манифест оставляет коллектор, экземпляр объекта управления, калибровку и отборы действий в записи происхождения раздела «Схема датасета» и цитирует каждую запись по дайджесту, а не копирует ее. Он также цитирует дайджест сценарного журнала, относительно которого измерялся охват, и переносит результат их соединения по заполненности («Охват политики сбора»), а именно поддерживаемые ячейки и известные отсутствия. Поскольку цитирование идет по дайджесту, изменение любого датасета меняет соединение, и манифест, называющий вытесненный дайджест, больше не описывает свою контрольную точку. Состояние вне поддерживаемых ячеек, такое как смещенная планка защелки, тогда видно в записи как необеспеченная экстраполяция, а не продемонстрированная компетентность.
Когда веса политики оптимизируются в симуляции, манифест фиксирует хэш сборки физического движка, контракт интерфейса между политикой и симулятором, формулировку награды, метод численного интегрирования и шаг времени решателя,8 например фиксированный шаг на . Он документирует распределения рандомизации области, примененные к массам звеньев, коэффициентам трения поверхностей, задержкам отклика актуаторов и профилям шума датчиков. Известные физические упущения, большинство которых выкинуто из графа симуляции ради сохранения пропускной способности обучения, попадают в журнал упущений наряду с любыми несовпадениями, которые парные зонды еще не закрыли («Из чего состоит разрыв»). Опираясь на динамику актуаторов, установленную в разделе «Пределы передачи актуатора», если симулятор твердого тела опускает податливость волновой передачи, конструкционный прогиб под полезной нагрузкой или изменения теплового сопротивления в обмотках двигателей, запись перечисляет эти упущения как неверифицированные динамические предположения. Когда итоговая политика проявляет колебания предельного цикла при высоконагруженном контакте на физическом стенде, журнал упущений направляет диагноз к податливости шарниров, а не к необоснованному дрейфу параметров. Журнал ведется отдельно от описания симулятора, потому что каждая запись имеет нисходящее следствие: удаляет затрагиваемые состояния из объявленного ODD и становится пробелом охвата, который обязаны адресовать оценка и внедрение отказов.
Нисходящие инженерные команды потребляют манифест на протяжении всего жизненного цикла проектирования, оценки и выпуска. Протокол оценки из раздела «Журналы оценки» потребляет его напрямую. Его целевая ODD выбирается изнутри объявленного ODD, а каталог пробелов охвата наследует известные отсутствия и журнал упущений, поэтому оценочные наборы проверяют конкретные режимы отказа, которые предсказывает каждый режим обучения. Путь разрешения из раздела «Обеспечение безопасности» берет объявленный ODD как внешний предел области, в которой он допускает предложения политики, и использует записанную поддержку, чтобы параметризовать детекторы вне распределения. Верификация в разделе «Верификация» и кейс безопасности в разделе «Выпуск в эксплуатацию» черпают из манифеста происхождение каждого обновления параметров и подтверждение того, что каждое упущение ограничено независимой физической блокировкой.
↳ Далее: Журнал упущений манифеста политики параметризует состязательные стенды внедрения отказов в разделе «Вывод списка отказов».
Манифесты политики и объявленные ODD
Перед выпуском обученной контрольной точки политики на физическую верификацию проверьте понимание манифеста политики, его журнала упущений и объявленного ODD:
- Заполните запись защелки: Удар о плечо фиксатора произошел после того, как
latch-res-03была обучена с мягким штрафным контактом и без задержки актуатора. Какой опущенный механизм должен попасть вomission_log, и какой парный зонд и решение о допуске должна записать манифест?- Ограничение объявленного ODD: Допустим, демонстрации собирались на быстром подходе и каждая запись журнала упущений закрыта парными зондами. Почему объявленный ODD политики защелки все равно исключал бы быстрый подход, какое сравнение тайминга это решает и что путь разрешения обязан навязать предложению, приходящему с этой скоростью?
- Журналирование негативных событий: Почему манифест хранит трассу до триггера вето оператора или удара о фиксатор как свидетельство отказа с меткой, а не как цель подражания?
- Объявленные эксплуатационные границы:
latch-bc-01предлагает открыть дверь, пока ответная планка смещена от своего номинального крепления. Как путь разрешения использует журнал поддержки данных, чтобы классифицировать это состояние как необеспеченную экстраполяцию, а не продемонстрированную компетентность, и почему уверенный выход политики не меняет классификацию?
Манифест превращает историю обучения в утверждение с заявленными ограничениями, и запись защелки показывает решение, которое это утверждение поддерживает, отправляя latch-bc-01 на оценку и удерживая latch-res-03 вне службы, пока парные зонды не закроют ее упущения. Типичные способы, которыми это решение дает сбой, все допускают, чтобы обучающий балл заменял эти свидетельства.
Заблуждения и ловушки
Минимизация потери на офлайн-сплите демонстраций или максимизация симулированного возврата измеряет соответствие обучающей среде, а не компетентность на машине. Когда цель вознаграждает поведение, эксплуатирующее курирование данных или аппроксимации симулятора, ранжирование кандидатных политик, установленное при обучении, переворачивается при развертывании («Инверсия ранжирования политик на аппаратуре»), потому что виртуальная среда прощает маневры, которых не прощает реальное оборудование. Прежде чем обученная политика получит полномочия над актуаторами, каузальные предположения, связывающие ее обучающие метрики с физическими исходами, должны быть подвергнуты стресс-тесту.
Инверсия ранжирования политик на аппаратуре: (a) Наклонный график параллельных координат, иллюстрирующий инверсию ранжирования между баллом симулированного бенчмарка и выходом годных на физическом оборудовании: эксплуатирующая политика набирает наивысший балл в симуляции, играя на несмоделированных явлениях, но разваливается на оборудовании, тогда как робастная политика сохраняет физический выход. (b) Каузальные механизмы отказа, ведущие к переворотам ранжирования: дрейф вне распределения из-за санитарной обработки данных (), всплески силы удара от жестких решателей контакта () и резонансная дребезга момента актуатора ().
Заблуждение и ловушка
Ловушка: Санитарная обработка эпизодов восстановления ради более низкой офлайн-валидационной потери.
Допустим, архив защелки также хранил прогоны восстановления, и две политики защелки клеточной двери обучаются на разных его версиях. Одна сохраняет прогоны восстановления, в которых оператор отводил захват и заново ставил его после того, как кулачок защелки цеплялся за ответную планку; другая удаляет их и достигает более низкой потери на собственном отложенном сплите. Когда кулачок цепляется на машине, первая политика отводит и переставляет, а вторая продолжает давить вдоль продемонстрированного пути, пока контактный порог пути разрешения не остановит плечо. Поскольку в санитарно обработанном датасете нет примеров коррекции после ошибок, более низкая потеря лишь отражает искусственно упрощенный тестовый набор, а не лучшую обработку физических возмущений. Вычистка восстановительных данных сделала математическую задачу предсказания проще прямой ценой удаления корректирующего поведения, в котором развернутый контроллер физически нуждается. Кандидатные политики должны встретить одни и те же эксплуатационные возмущения прежде, чем их обучающие баллы смогут поддержать выбор развертывания.
Заблуждение и ловушка
Заблуждение: Переход от человеческих демонстраций к обучению с подкреплением в симуляции устраняет отказы, которые обучение оставило в политике.
Сборочная команда заменяет поведенческое клонирование обучением с подкреплением в симуляции, чтобы исправить боковой дрейф при посадке прокладки. Новая политика устраняет дрейф, но вызывает дребезг момента , который допускает предположение симулятора о безмассовом роторе, поскольку оно игнорирует инерцию, которую двигатель должен реверсировать. На физической машине дребезга возбуждает резонанс трансмиссии и нагревает обмотки статора до порога термического снижения номинала через потери («Тепловые циклы нагрузки»), поэтому приводы снижают номинал и большинство посадок не завершается. Изменение обучения адресовало один механизм отказа и обнажило другой, поэтому оценка должна прослеживать полную задачу через контакт и повторные операции и проверять предположения, введенные новым режимом, так же тщательно, как замененные им ограничения данных.
Итоги
Каждый режим обучения покупает способность и оставляет зависимость в весах. Поведенческое клонирование зависит от состояний, которые случайно посещали его демонстраторы, и с точечным декодером усредняет сделанный ими выбор; симуляция зависит от ее модели контакта, ее тайминга и опущенных механизмов; тонкая настройка на машине зависит от узкого среза недавнего опыта и аннулирует свидетельства, собранные для замененных им весов. Ни одна из этих зависимостей не проявляется в обучающем балле. Каждая всплывает как предсказуемая сигнатура отказа, когда развертывание ее нарушает, поэтому обучение заканчивается записью, а не метрикой — манифестом политики, объявленный ODD которого не способна расширить ни одна обучающая кривая. Принцип «Эндогенные данные» уже требует, чтобы эта запись помечала состояния, которых достигают собственные коррекции клонированной политики без демонстраций, а симуляция добавляет второй вид отсутствий — механизмы, которые решатель опускает и которые не способна поставить никакая оптимизация против этого решателя.
Синтез политик и перенос sim-to-real
- Каждый режим оставляет зависимость, не видимую ни в одном обучающем балле: Офлайн-потеря и симулированный возврат вознаграждают соответствие данным и решателю. Ранжирование кандидатов поэтому способно перевернуться на оборудовании, а условие развертывания, нарушающее зависимость, производит предсказуемую сигнатуру отказа, которая называет детектор, нужный пути разрешения.
- Клонирование отказывает вне продемонстрированных состояний и между продемонстрированными модами: Малые ошибки уносят машину в состояния, которых демонстрации никогда не посещали, где дрейф решают восстановительные данные или верифицированный монитор поддержки, а не фрагментация действий. Функция потерь с квадратичной ошибкой выдает условное среднее, которое может вести между двумя допустимыми путями прямо в препятствие, которого оба избегали; декодеры, представляющие моды, избегают среднего, но число шагов диффузионного декодера задает его время вывода относительно предельного срока, который его фрагменты обязаны соблюдать.
- Рандомизация покрывает параметры, а не отсутствующие механизмы: Рандомизация области расширяет обучение по динамике, которую симулятор уже моделирует, а парные зонды оценивают оставшийся разрыв канал за каналом. Опущенные люфт, податливость или транспортная задержка остаются опущенными и попадают в журнал упущений.
- Тонкая настройка на оборудовании тратит износ и свидетельства: Градиентные шаги на физических прогонах поглощают локальные контактные ошибки, потребляя ресурс компонентов и аннулируя каждое статистическое утверждение, сделанное для прежних весов. Они не закрывают упущение, и замороженный регрессионный набор должен пройти прежде, чем новая контрольная точка получит полномочия.
- Объявленный ODD никогда не превышает поддержку данных: Манифест политики цитирует свои данные по дайджесту, держит журнал упущений собственным полем и объявляет лишь поддерживаемые ячейки минус исключения журнала, как бы хорошо политика ни набрала в обучении.
От манифеста политики к свидетельствам замкнутого контура
Сколько способна установить конечная серия чистых прогонов о контрольной точке, чей манифест уже ограничивает, где ей можно доверять? Раздел «Оценка в замкнутом контуре» принимает манифест политики на вход. Прошитая в мобильный манипулятор
latch-bc-01— контрольная точка, которую манифест допускает к оценке, — затем завершает двадцать последовательных прогонов с дверью, и вопрос становится: что эти прогоны показывают о машине и сколько еще их потребовалось бы для заявленной частоты отказов.
-
Искажение перспективы дороги в ALVINN: Система Pomerleau Autonomous Land Vehicle in a Neural Network (ALVINN) Pomerleau, 1989, о которой рассказано в разделе «Откуда берутся физические данные», дрейфовала к краю полосы, потому что ее водители-люди никогда не демонстрировали восстановления от него. Чтобы поставить примеры восстановления без небезопасной езды, Pomerleau применил синтетическое искажение перспективы, отрисовывая сдвинутые вбок и повернутые изображения дороги в паре с преобразованными коррекциями руления, — ранний случай дополнения демонстраций восстановительными данными вне номинальной траектории. ↩
-
Усреднение мод при -потере: При регрессионной потере ожидаемый риск строго выпукл по . Дифференцирование по и приравнивание градиента к нулю дает . Для нелинейного объекта управления величина обычно отличается от ; равенство может выполняться в отдельных распределениях. Для выпуклой стоимости действия неравенство Йенсена дает , но оно не устанавливает физической безопасности усредненного действия. В примере с препятствием среднее лежит вне продемонстрированного множества допустимых путей. ↩
-
Область действия границы CQL: При своих предположениях о покрытии данных, оптимизации и аппроксимации функций CQL строит консервативную оценку, чья ожидаемая величина для политики является нижней границей истинной величины этой политики Kumar et al., 2020. Это не поточечная граница для каждой пары состояние–действие или каждого датасета, и ожидаемый возврат не удостоверяет физическую безопасность. ↩
-
Ресурс подшипника против реверсов команд: ISO 281 оценивает усталостный ресурс качения подшипника при заданных нагрузке и скорости. Каталог редукторного блока может выражать подшипника волнового генератора в часах работы при номинальных условиях; ни одно из этих чисел не переводит командные реверсы в израсходованные редукторы без модели цикла нагрузки, специфичной для блока. ↩
-
Предел температуры обмотки: Раздел «Тепловые циклы нагрузки» дает класс нагревостойкости F по IEC 60085, лежащий в основе этого порога. Двухпозиционные (bang-bang) команды момента от нерегуляризованных функций награды способны удерживать ток достаточно высоким, чтобы быстро состарить изоляцию. ↩
-
Рандомизация области OpenAI Dactyl: На физической руке Andrychowicz et al., 2020 обнаружили, что политики, обученные без рандомизации физики или без добавленных моделей эффектов, которые симулятор опускает, — таких как люфт и задержка действия, — достигали куда меньшего числа последовательных вращений, чем политика, обученная со всеми ними. ↩
-
Ограниченная поддержка рандомизации области: Рандомизация области оптимизирует ожидаемый возврат по вариациям параметров . Любое утверждение об обобщении распространяется лишь на поддержку и ничего не говорит о динамике, опущенной в уравнениях движения симулятора. На механизме с несмоделированной податливостью передачи или дрожанием шины политика воспринимает эту динамику как необъясненный шум и может попасть в высокочастотный предельный цикл. ↩
-
Выбор шага времени для штрафного контакта: Нужный размер шага зависит от эффективной контактной массы, штрафной жесткости и демпфирования, интегратора и допусков решателя. Характерная временная шкала контакта меняется примерно как ; уточняйте шаг времени, пока начало контакта, пиковая сила и импульс не сойдутся к точности, требуемой задачей. ↩
Оценка в замкнутом контуре
Цель
Почему двадцать подряд физических испытаний без отказа говорят удивительно мало о том, безопасно ли выпускать машину в эксплуатацию?
Двадцать подряд безошибочных прогонов показывают, что происходило в рамках конкретного протокола испытаний, а не как система ведет себя при вариативности открытого мира. Ограниченное число прогонов не обладает статистической мощностью, достаточной, чтобы наблюдать редкие хвостовые отказы, а испытания в номинальных условиях ничего не говорят о поведении при измененном трении, деградации датчиков или неожиданном вмешательстве человека. Офлайн-оценки бенчмарков лишь усиливают эту слепую зону, выставляя баллы по статическим журналам. При физическом развертывании действия замкнутого контура меняют будущие состояния и последующие наблюдения датчиков, порождая каскадный дрейф, в котором начальная микроошибка уводит систему в несмоделированную динамику.
Строгая физическая оценка должна отслеживать поведение замкнутого контура на интегрированной машине и количественно определять эмпирическую уверенность, поддерживающую каждое утверждение о надежности. Важно также, чтобы оценка очерчивала границу, где заканчиваются статистические свидетельства. Поскольку катастрофические физические отказы невозможно откатить назад, кампании испытаний вынужденно цензурируются на границе безопасной эксплуатации. Одними испытаниями нельзя продемонстрировать частоты отказов с тяжелыми последствиями; эмпирическая оценка служит системе тем, что жестко ограничивает утверждения выборочно исследованными областями эксплуатации, оставляя непроверенные пограничные состояния детерминированным мониторам времени выполнения, охраняющим каузальную границу.
Цели обучения
- Интерпретировать физические показатели успеха как условные свидетельства о заданной машине, среде и протоколе испытаний
- Сравнивать точность предсказаний разомкнутого контура с поведением замкнутого контура, формируемым собственными действиями политики
- Выбирать режим свидетельств (воспроизведение, симуляция, работа в тени или ограниченные физические испытания), способный ответить на данный вопрос оценки
- Вычислять число прогонов и время испытаний, необходимые для поддержки заявленной цели надежности
- Оценивать, какие редкие отказы остаются неподтвержденными осуществимыми испытаниями и имеющимися статистическими предположениями
- Проектировать заранее объявленный протокол испытаний с фиксированными правилами исходов и полным учетом знаменателя для вмешательств и прерываний
- Строить протокол оценки, который ограничивает утверждение целевой областью эксплуатации и относит непокрытые условия к мониторам времени выполнения
Что устанавливают двадцать чистых прогонов
Сразу после офлайн-конвейера обучения latch-bc-01 прошивается в складской мобильный манипулятор; это единственная контрольная точка, которую манифест политики из раздела «Манифест политики» объявляет пригодной для оценки. На первичной валидации машина завершает двадцать подряд прогонов своей задачи с дверью. Каждый прогон начинается с основания, отстоящего на 2 m (условно; см. руководство для читателя) от двери клетки с пружинным замком; основание заезжает и останавливается, и, когда основание покоится, манипулятор снимает замок и открывает дверь на охраняемом подходе со скоростью 0.03 m/s — без пересечения контактного порога и без вмешательства человека. Его эмпирическая выборочная доля успеха равна (100 %). В тестировании ПО чистое прохождение фиксированного набора тестов часто служит достаточным свидетельством для выпуска. В системной инженерии физического ИИ такой протокол оставляет решение о развертывании неразрешенным: двадцать чистых прогонов устанавливают лишь ограниченную статистическую нижнюю границу и оставляют существенную неопределенность в отношении ненаблюдавшихся отказов.
Привычный интервал Вальда () не может описать эту неопределенность, потому что при нуле отказов его дисперсионный член обращается в ноль и интервал вырождается в — утверждение о достоверной надежности. Точная граница, напротив, обращает биномиальное распределение. Эта односторонняя граница Клоппера–Пирсона Clopper and Pearson, 1934 справедлива при любом объеме выборки, а ее приближенная форма — правило трех Hanley and Lippman-Hand, 1983: если независимых прогонов проходят без единого отказа, верхняя 95-процентная доверительная граница вероятности отказа приблизительно равна . Для двадцати прогонов с дверью («правило трех»),
Точный расчет в блоке «Вывод нижней границы для 20 прогонов» сужает ее до верхнего предела отказов 13.9 %, что все равно не демонстрирует надежности 95 %. Политика, которая отказывает один раз на каждые 8 прогонов, все же завершает двадцать подряд прогонов в 6.9 % случаев.
Вывод нижней границы для 20 прогонов
Задача: Мобильный манипулятор выполняет
20физических прогонов открывания двери без единого пересечения контактного порога и без вмешательства человека (20). Чему равна точная односторонняя нижняя доверительная граница95% для истинной вероятности успеха в эксплуатации ?Математический вывод: Для независимых одинаково распределенных испытаний Бернулли из объявленного эксплуатационного распределения испытаний есть вероятность успеха, при которой
20последовательных успехов имеют вероятность . Таким образом, односторонний нижний доверительный предел 95 % равен0.861(86.1%); соответствующий верхний доверительный предел вероятности отказа составляет13.9%.Системный вывод: Наблюдение «
20из20прошли» дает доверительный предел при этих предположениях о выборке, а не наблюдаемую частоту отказов, не средний интервал между отказами и не разрешение на развертывание. Обращение границы дает число прогонов, необходимое цели, , так что для нижнего предела успеха % требуются2 995последовательных прогонов без отказов, взятые из целевого распределения.
↰ Предпосылки: Физические границы отказов автономных мобильных роботов и манипуляторов установлены в разделе «Какой бюджет ограничивает первым».
Оценка замыкает контур обучения Части II. Оценивание двадцати чистых прогонов, открывших эту главу, превращает опыт, зафиксированный в разделе «Физические данные», и веса, обученные в разделе «Обучение политики», в конкретное решение о том, какое физическое утверждение могут поддержать эти прогоны. Каждый прогон измеряет всю машину, а не одну только политику. Он фиксирует предложения политики, решения пути разрешения и реакцию Тела — включая то, какие предложения вне распределения путь разрешения отклоняет, какие пропускает и сколько остается остановочного запаса.1
Результат двадцати прогонов оставляет три вопроса открытыми: какой исход был выбран, что способен выявить каждый режим испытаний и какие опасности остаются вне свидетельств. Конечные прогоны ограничивают только то распределение, из которого они взяты, поэтому оценка полна лишь тогда, когда она также называет условия, которые не покрыла, и мониторы времени выполнения, которые нужны пути разрешения для этих условий. Доля успеха не значит ничего, пока не записана совокупность, из которой она извлечена.
Что измеряет доля успеха
Оценочный бенчмарк обычно сообщает одну сводную статистику, например долю успеха 85 % на задаче обхода препятствий. В машинном обучении это число считают внутренней оценкой обученных весов модели, подобной точности top-one на статических датасетах классификации изображений. Для физической машины такая интерпретация неверна. У обученной политики нет независимой физической производительности. Бенчмарк измерял исполнение в замкнутом контуре всей физической системы на конкретной последовательности дней и состояний среды. Доля успеха — эмпирическое свойство связанной системы, включающей политику, механический объект управления, вычислительное оборудование, эксплуатационную среду и протокол испытаний.
Чтобы оценить политику, инженерная команда выполняет последовательность дискретных физических прогонов. Отдельный прогон полностью определен лишь тогда, когда каждая переменная, способная изменить траекторию физического состояния, зафиксирована или явно выбрана. Формально условие одного прогона задается кортежом , взятым из эксплуатационного распределения испытаний . Вектор представляет начальное состояние машины, включая позу SE(3), линейные и угловые скорости и позиции энкодеров шарниров. Вектор среды охватывает внешние переменные, такие как трение пола, освещенность окружающей среды, геометрия препятствий и температура окружающего воздуха. Состояние машины фиксирует физические и аппаратные свойства, включая заряд батареи, массу полезной нагрузки, износ шин, механический люфт в трансмиссии и параметры калибровки датчиков. Вычислительная конфигурация охватывает замороженные веса политики , квантизацию вывода, предельные сроки диспетчеризации и версии ПО. Наконец, протокол завершения определяет предел времени выполнения , пространственную область цели и бинарную оценочную функцию , отображающую полученную траекторию в конечный исход .
Истинная вероятность успеха по этому протоколу оценки — это математическое ожидание бинарного исхода задачи, усредненное по совместному распределению условий прогона, (формальный интеграл приведен в разделе «Распределения траекторий и оцениваемые величины»). Здесь — непрерывная физическая траектория, которая возникает, когда политика исполняется в физической среде и состоянии оборудования, заданных . Эта зависимость показывает, почему вероятность успеха нельзя считать измерением одного лишь . Веса модели составляют лишь один параметр внутри вектора условий . Если изменится распределение трения пола или распределение начального заряда батареи, ожидаемая доля успеха изменится, оставаясь при неизменном . Протокол выборки — не внешний прибор, измеряющий изолированную модель; он часть той математической величины, которую оценивают.
Оцениваемая величина замкнутого контура
Оцениваемая величина замкнутого контура — это ожидаемый исход физической задачи , определенный на совместном распределении начальных состояний, износа механического объекта управления, физики среды, замороженных весов политики и оценочных предикатов: а не внутреннее свойство весов нейронной политики, оцениваемых в изоляции.
- Значение: В статическом машинном обучении точность на отложенной выборке считают свойством модели . В физическом ИИ замена изношенной шины, просадка напряжения батареи или изменение освещенности среды меняют функцию перехода физического состояния, не меняя ни одного веса. Распределение выборки эксплуатационных условий — неразрывная часть оцениваемой величины.
- Отличие: В отличие от метрик валидации разомкнутого контура (таких как функция потерь на валидации или среднеквадратичная ошибка траектории), которые оценивают предсказания по замороженным записанным состояниям, оцениваемая величина замкнутого контура интегрируется по эндогенной петле обратной связи, в которой прошлые действия физически перемещают машину, прямо меняя будущие наблюдения датчиков, которые она получит.
- Типичная ловушка: Сообщение единственного процента успеха без заранее объявленных носителя, плотности и экологических границ тестового распределения . Любую физическую политику можно сделать сколь угодно успешной, испытывая ее исключительно в благоприятных невозмущенных состояниях.
Физические механизмы, меняющие между прогонами, действуют независимо от политики, и мобильный манипулятор проявляет каждый из них. По мере разряда батареи приводы теряют запас напряжения против противо-ЭДС, поэтому доступный на скорости момент падает вдоль кривой момент–скорость. Перемещающийся по площадке дневной свет удлиняет выдержку навигационной камеры и смазывает кадры при поворотах. Пыль на полу прохода снижает трение, которым могут воспользоваться тормоза. В манипуляторе повторные открывания двери нагревают обмотки шарниров () и греют редукторы волновой передачи, что меняет их демпфирование и, поскольку звенья расширяются, смещает калибровку точки инструмента, так что захват встречает замок в несколько иной точке в дневном прогоне, чем в холодном утреннем. Веса во всех случаях идентичны, однако траектория может уйти от успеха к отказу.
Процедура сброса также сдвигает . Оператор, который переустанавливает основание после трудного прогона, может невольно облегчить старт, а автоматический сброс, повторяющий один и тот же путь, циклически нагревает обмотки. Оператор, который перехватывает неудачный прогон и списывает его как сброс, стирает самый трудный отказ из выборки.
Поэтому статистическая оценка должна различать вариацию выборки и изменение оцениваемой величины. Когда прогонов взяты из фиксированного , выборочная доля колеблется вокруг , и стандартные оценщики ограничивают этот шум. Загрузка тележки или смещение ответной планки двери меняет эксперимент на другое распределение со своей , и объединение двух выборок смешивает наблюдения от двух разных машин.
Поскольку вероятность успеха определена лишь относительно конкретного совместного распределения , предполагаемая область эксплуатации должна быть объявлена до отбора прогонов. Целевая область эксплуатационного назначения (ODD) — это часть объявленной ODD («Манифест политики»), которую покрывает оценка; ее веса выборки определяют , и ни одно утверждение оценки не выходит за ее пределы. Если инженерная команда выполняет пятьдесят физических прогонов по произвольным траекториям и сообщает долю прохождения 90 %, знаменатель соответствует неопределенной совокупности. Измеренная доля успеха поддерживает утверждение о целевом распределении лишь тогда, когда носитель и веса выборки заданы заранее, устанавливая явные границы для освещенности, диапазонов полезной нагрузки, коэффициентов трения поверхности и допустимых смещений начального состояния.
Извлечение корректных доверительных границ из эмпирических прогонов требует трех эксплуатационных условий:
- Независимая одинаково распределенная выборка: Прогоны должны быть независимыми реализациями, взятыми из . Если тепловое накопление в обмотках двигателей или прогрессирующий механический износ снижают эффективность оборудования от прогона к прогону, исходы дрейфуют вместе с порядком прогонов, так что последовательные прогоны не являются ни независимыми, ни одинаково распределенными.
- Фиксированные предикаты исходов: Бинарная оценочная функция и критерии завершения должны оставаться неизменными в течение всей кампании. Изменение временного горизонта или корректировка пространственного допуска области цели посреди испытаний меняет определение успеха.
- Полный учет знаменателя: Каждый начатый прогон, прерванный из-за аппаратных отказов, тайм-аутов связи или аварийных остановов с функцией безопасности (например, превышения пределов мощности и усилия коллаборативного робота по ISO 10218 / ISO/TS 15066), должен быть записан как отказ (). Отбрасывание прерванных прогонов подменяет истинную эксплуатационную надежность машины мерой условного исполнения на уцелевшем оборудовании.
Когда эти условия выполняются, физические прогоны дают несмещенную выборочную среднюю для системы замкнутого контура при . Физические прогоны также медленны, поэтому рабочие процессы оценки часто подменяют их офлайн-оценкой разомкнутого контура по записанным датасетам, которая измеряет, насколько точно кандидат воспроизводит записанные действия эксперта. Эта подмена предполагает, что точное предсказание продемонстрированных действий переносится на случай, когда собственные действия политики выбирают ее следующее состояние, и проверить это способен только замкнутый контур.
Динамика замкнутого контура
Навигационная политика может почти в точности воспроизводить записанные прогоны по проходу и все же израсходовать запас основания до стеллажа раньше, чем пройдет треть прохода. Разница в том, что каждый вид теста возвращает в политику обратной связью. При оценке разомкнутого контура кандидата политики оценивают по статическому датасету записанных демонстраций . На каждом дискретном шаге политика получает записанное состояние демонстратора и выдает предсказанное действие . Метрика ошибки, такая как среднеквадратичная ошибка или перекрестная энтропия, измеряет расстояние между и записанным действием эксперта . На шаге конвейер оценки подает из датасета следующее записанное состояние . Действие , произведенное политикой, отбрасывается без исполнения на оборудовании, сохраняя последовательность входных состояний независимой от прошлых выходов политики. При оценке замкнутого контура политика предлагает ; путь разрешения проверяет это предложение по измеренному состоянию и ограничениям, применяет (или резервный вариант), а объект управления эволюционирует как . Примененная команда меняет физическое состояние и последующие наблюдения, пересекая каузальную границу из раздела «Каузальная граница».
Оценка разомкнутого контура испытывает действия вдоль траектории состояний демонстратора; политика с малой офлайн-ошибкой предсказания может отказывать, когда ее смещенные предложения допускаются до физического движения, потому что собственные действия уводят ее с состояний, на которых она обучалась. Это принцип эндогенных данных («Эндогенные данные»); раздел «Эндогенный опыт» разработал его следствие для данных, а оценка должна измерить его на машине. Дверная кампания не может показать этот эффект, поскольку ее основание стоит на месте, пока работает манипулятор, поэтому пример взят из навигационного стека той же машины, а не из политики замка, находящейся под оценкой. Основание проезжает проход длиной 30 m на пределе хода 1.5 m/s (оба значения условны), а номинальная демонстрация эксперта следует по осевой линии с курсом и боковым смещением . Предположим, кандидат навигационной политики имеет систематическое смещение курса (0.01745 rad) на каждом шаге, и путь разрешения допускает каждое из этих предложений, поскольку ни одно из них само по себе неосуществимо, пока есть запас хода.
При оценке разомкнутого контура политика получает на каждом шаге состояние демонстратора и предсказывает поступательную скорость со смещением руления . Офлайн-конвейер оценки фиксирует среднюю абсолютную угловую ошибку (0.01745 rad) и чрезвычайно низкую среднеквадратичную ошибку $\text{MSE}_\theta = (0.01745)^2 \approx 3.05 \times 10^{-4}\text{ rad}^2$.2 Однако при исполнении в замкнутом контуре, поскольку машина физически перемещается по ранее допущенным командам, нескорректированные ошибки курса непрерывно накапливаются во времени. При плоской кинематике одноколесной модели () этот постоянный угловой сдвиг интегрируется в кумулятивное боковое смещение:
Основание имеет ширину 100 cm в проходе шириной 130 cm, что оставляет 15 cm бокового запаса до стеллажа с каждой стороны, и дрейф израсходует этот запас за
что на пределе хода составляет 5.7 s, после 8.6 m пути и менее чем на трети прохода («Расхождение разомкнутого и замкнутого контуров»).3 Либо проверка запаса хода в пути разрешения останавливает основание вплотную к стеллажу, либо, без этой проверки, основание в него врезается. Оба исхода — неудачный прогон, который офлайн-оценка оценила как почти безупречный.
Слепота разомкнутого контура
Потеря разомкнутого контура измеряет подражание датасету; динамика замкнутого контура решает физическое выживание. Малая офлайн-ошибка предсказания все еще может дать большой физический вылет, если смещение сохраняется и путь разрешения его допускает.
Пример с проходом показывает обе причины, по которым оценка разомкнутого контура развязывается с выживанием в замкнутом контуре. Во-первых, статическая оценка не может интегрировать постоянную ошибку в смещение. Она возвращает машину в состояние эксперта на каждом такте часов, маскируя накопление ошибок интегрирования, тогда как в замкнутом контуре состояние с индексом — это развернутая композиция всех предыдущих действий: Постоянному смещению курса не нужен программный сбой: его создают дифференциальный износ шин, вибрация мачты камеры или уклон пола. Во-вторых, статическая оценка не может проследить за машиной в незнакомые состояния, к которым уводят ее ранние ошибки. Первое допущенное ошибочное действие перемещает основание из продемонстрированного состояния в непосещенное состояние , и, отклонившись на несколько сантиметров от осевой линии, оно занимает состояния, отсутствующие в . Офлайн-метрика, вычисляемая только там, где , не содержит свидетельств о при , и политика, которой никогда не показывали восстановление из смещенных состояний, может давать там большие ошибки, ускоряя расхождение, которое раздел «Режимы синтеза политик» проследил для обучения с подражанием.
Манипулятор показывает тот же разрыв в контакте. Ошибка позиции конечного эффектора в доли миллиметра за шаг офлайн оценивается как пренебрежимая декартова ошибка, но на замке этот сдвиг действует как клин. Жесткость замка превращает боковое смещение в реакцию (), которая поднимается выше контактного порога 15 N и обрывает попытку прежде, чем дверь откроется.4
Офлайн-оценки могут вводить в заблуждение и в пессимистичную сторону, когда задача допускает несколько допустимых действий. Если демонстратор обошел препятствие слева, оценка разомкнутого контура штрафует кандидата, который проходит справа (двухмодовый случай из раздела «Режимы синтеза политик»), хотя в замкнутом контуре оба достигают цели. Ошибка на уровне действий измеряет расхождение с одной записью, а не выполнение задачи.
⇄ Сопоставление: Потеря предсказания разомкнутого контура противопоставляется границам возраста информации от фотона до исполнения команды, разобранным в разделе «Цена приема данных».
Расхождение разомкнутого и замкнутого контуров: Постоянный сдвиг курса дает угловую среднеквадратичную ошибку $3.05 \times 10^{-4}\text{ rad}^2$ на записанных состояниях осевой линии. В проходе мобильного манипулятора допущенное движение навигационного стека с этим фиксированным смещением курса дрейфует линейно и достигает бокового запаса 0.15 m через 5.7 s на пределе хода 1.5 m/s. Пример относится к навигационному стеку, а не к политике замка, находящейся под оценкой.
Тот же разрыв отделяет каждую офлайн-метрику, обычно сообщаемую для обученной политики, от отказа машины, который она скрывает, и таблица «Офлайн-метрики и скрываемые ими отказы» сопоставляет каждую с мерой замкнутого контура, которая его выявляет; среди них — время до вмешательства , измеряемое от начала полномочий политики до первого перехвата пути разрешения (путь разрешения отклоняет предложение и применяет свой резервный вариант) или перехвата оператором.
| Офлайн-метрика | Предположение разомкнутого контура | Почему это ломается в замкнутом контуре | Отказ на машине | Мера замкнутого контура |
|---|---|---|---|---|
| Среднеквадратичная ошибка действия | Малые остатки дают малые отклонения пути | Постоянное смещение интегрируется в дрейф и уводит машину с продемонстрированных состояний | Основание израсходует запас до стеллажа (остановка или удар) | Пиковое отклонение от опорной траектории; время до вмешательства () |
| Точность дискретных действий | Правильные метки на журнальных состояниях дают идентичное исполнение | Безобидные альтернативы и пограничные вылеты стоят того же; ошибки, коррелированные во времени, невидимы | Дребезг команд и перегрузка шарниров по моменту | Пиковый рывок; соблюдение пределов момента актуаторов |
| Косинусная близость | Коллинеарные предложения дают стабильные траектории | Величина игнорируется, поэтому недобор исполнения вязнет на статическом трении, а перебор — проскальзывает | Основание буксует или пробуксовывает; манипулятор вязнет, не дойдя до замка | Коэффициент проскальзывания и демпфирование («Проскальзывание колеса и границы трения») |
| Отрицательное логарифмическое правдоподобие | Правдоподобие в действии эксперта ухватывает распределение действий | Допустимые альтернативы, например обход препятствия с другой стороны, штрафуются | Допустимые политики отклоняются; шум демонстратора имитируется как дрожание | Успех задачи в замкнутом контуре при случайных стартах |
| Потеря реконструкции или Шамфера | Точное предсказание сцены дает безопасные планы | Пиксели фона перевешивают тонкие препятствия и контактную геометрию | Фантомное торможение; задев кабеля или стеклянной перегородки | Измеренный запас хода; инвариантность условия барьера |
Офлайн-метрики и скрываемые ими отказы: Каждая метрика разомкнутого контура предполагает, что распределение состояний демонстратора не затронуто ошибкой политики; на машине смещения интегрируются в дрейф, допустимые альтернативы штрафуются, а сдвинутые состояния порождают нарушения границ.
Разрыв проходит и через границу предложения из раздела «Машина в пяти уровнях». В двухпроцессорной реализации офлайн-воспроизведение трассы на прикладном процессоре измеряет только то, укладывается ли нейронный вывод в бюджеты памяти и вычислений. При физическом исполнении в замкнутом контуре каждое кандидатное предложение переходит к микроконтроллеру, на котором работает путь разрешения. Если предложения политики дрейфуют от цели или дребезжат, путь разрешения обнаруживает нарушение пространственной границы или истекшую аренду, отклоняет предложения и отдает команду на управляемую остановку. Оценивать политику офлайн, без физического объекта управления и пути разрешения в контуре, — значит оценивать тензорную арифметику, а не выживание машины; только замкнутый контур измеряет вылет траектории, тайминг вмешательства и измеренные характеристики пути разрешения.
↳ Далее: Детерминированный привратник и огибающие остановки для непроверенных нейронных политик выведены в разделе «Огибающие остановки».
Оценки разомкнутого контура не могут сертифицировать замкнутый контур, поэтому свидетельства об инициаторе должны исходить от исполнений, условия которых известны и записаны. Любая среда, в которой может исполняться политика, меняет какую-то часть контура — будь то объект управления, поток данных датчиков или полномочия над актуаторами, — и раздел «Режимы свидетельств» упорядочивает эти среды по тому, что каждая может и чего не может показать.
Режимы свидетельств
До своих двадцати прогонов с дверью политику замка можно было бы оценить по ее записанным демонстрациям, прогнать против смоделированной двери, запустить в тени, пока валидированный контроллер удерживает манипулятор, или испытать на настоящей двери со взведенным контактным порогом. Эти четыре среды — режимы свидетельств рисунка «Режимы свидетельств оценки» и таблицы «Сравнение режимов свидетельств оценки», а именно: воспроизведение записей, симуляция замкнутого контура, работа в тени и ограниченные физические испытания. Каждый устанавливает разное отношение между политикой, ее сенсорными входами и состоянием машины, поэтому каждый поддерживает ограниченное утверждение. Ни один из четырех не устанавливает, как ведет себя неподдерживаемая политика при неограниченном физическом развертывании, поскольку каждый режим меняет либо каузальную обратную связь контура управления, либо распределение состояний, с которыми сталкивается машина.
Режимы свидетельств оценки: Режимы различаются по каузальной обратной связи (разомкнутый против замкнутого контура) и физической достоверности (записанное или синтетическое против живого оборудования). Воспроизведение не может наблюдать накапливающийся дрейф, симуляция оставляет разрыв реальности открытым, работа в тени запирает траекторию на базовом контроллере, а ограниченные испытания обрывают отказы на границе ограничения . Ни один режим не испытывает развертывание за этой границей.
При воспроизведении записей политика исполняется как прямой (feedforward) расчет по сохраненным буферам датчиков. Среда не реагирует на выходы политики, и последовательность состояний остается прикрепленной к траектории, записанной при сборе данных. Этот режим поддерживает утверждения о вычислительной пропускной способности, распределении памяти и потере по журнальному датасету — например, укладывается ли вывод в бюджет задержки на бортовом ускорителе и совпадают ли его числовые выходы с записанными действиями. Он не может поддержать ни одного утверждения о стабильности замкнутого контура, потому что предсказанное действие никогда не меняет следующего наблюдения; если политика выдает резкий поворот налево, следующий записанный кадр все равно показывает основание, едущее прямо.
Симуляция замкнутого контура восстанавливает петлю каузальной обратной связи, подменяя физическую машину и ее окружение явной математической моделью . Когда политика предлагает действие, а смоделированный путь разрешения выбирает , симуляция интегрирует уравнения движения, обновляет сцену и рендерит синтетические входы датчиков для следующего цикла с индексом . Этот режим поддерживает утверждения о поведении политики при смоделированной динамике — например, восстанавливается ли основание после начального смещения или избегает ли манипулятор самостолкновения во всем рабочем пространстве, — и тысячи экземпляров могут работать параллельно. Свидетельства справедливы только для ; несмоделированные люфт, проскальзывание шин, переходы трения контакта и освещение исключены по построению, так что стабилизация пока ничего не говорит об оборудовании.
Работа в тени устанавливает кандидатную политику на действующую физическую машину, пока валидированный базовый контроллер или оператор-человек сохраняет полномочия над актуаторами. Кандидатная политика получает живые кадры датчиков, выполняет бортовой вывод под реальной механической вибрацией и трафиком шин и вычисляет кандидатные действия .5 Эти кандидатные действия журналируются, но никогда не отправляются в приводы двигателей. Работа в тени поддерживает утверждения о тайминге исполнения — например, удерживает ли политика замка выбранный темп фрагмента 20 Hz при эксплуатационной тепловой нагрузке, — и о том, как часто расходится с базовым действием больше чем на заданный порог. Она разделяет ограничение воспроизведения, поскольку базовый контроллер удерживает машину на своей траектории; действие, которое завело бы основание в стеллаж, никогда его не двигает, и поток данных датчиков никогда не показывает отказ кандидата.
Ограниченные физические испытания замыкают каузальную петлю на реальном оборудовании, позволяя кандидатным предложениям доходить до актуаторов внутри ограниченной огибающей. Границы принимают форму физических тросов, ограничителей скорости, мягких испытательных клеток или самого пути разрешения («Машина в пяти уровнях»), который отклоняет небезопасные команды с валидированной скоростью отклика. Этот режим поддерживает утверждения о динамике контакта, насыщении актуаторов и шуме датчиков внутри испытанной огибающей — поэтому двадцать прогонов с дверью относятся к нему. Он не может установить хвостовое поведение политики в открытом развертывании, потому что каждое вмешательство троса или перехвата пути разрешения обрывает траекторию. Данные измеряют объединенную политику и путь разрешения внутри границы ограничения, а не неподдерживаемую политику.
Некоторые свойства переносятся через границы режимов. Числовые выходы для идентичных входных тензоров переносятся, как и алгоритмические инварианты, поэтому переполнение, насыщающее выход в симуляции, насытит его и на оборудовании при том же входе; измеренные тайминги и давление на память должны быть перепроверены под шинной, тепловой и диспетчерской нагрузкой каждого режима. Распределение состояний не переносится. В тот момент, когда модель среды меняется с на , или меняется испытываемый путь разрешения, последовательность состояний расходится.
Смотреть на эти режимы как на лестницу достоверности — ловушка. Переход от воспроизведения к симуляции, к теневому режиму и к ограниченным испытаниям не усиливает одно утверждение об уверенности; каждый шаг меняет одно искажение на другое. Симуляция покупает каузальность замкнутого контура ценой реального восприятия и контакта, теневой режим меняет каузальность обратно на реальные потоки датчиков и аппаратный тайминг, а ограниченные испытания восстанавливают и то и другое, но цензурируют состояния за своей границей безопасности. Ноль вмешательств на сотне ограниченных прогонов показывает, что траектории оставались там, где ограничения не вступали в силу, а не то, что частота отказов вне огибающей мала. Каждый вопрос принадлежит режиму, способному на него ответить («Сравнение режимов свидетельств оценки»). Для политики замка вопрос, укладывается ли вывод в период фрагмента, относится к воспроизведению, а затем к работе в тени на целевом оборудовании; вопрос, восстанавливается ли манипулятор после неверно поставленного первого контакта, относится к симуляции, где тысячи смещений не стоят износа; а вопрос, удерживают ли пружина двери и податливость захвата силу контакта ниже предела, — только к ограниченным физическим испытаниям. Каждый режим слеп к отказам, свойственным другим режимам.
| Режим свидетельств оценки | Связь каузальной обратной связи | Обоснованность динамики среды | Поддерживаемые эмпирические свидетельства | Маскируемый режим отказа / искажение границы |
|---|---|---|---|---|
| Воспроизведение записей | Разомкнутый контур () | Статические буферы демонстраций | Бюджет задержки, объем DRAM, числовая точность | Ковариантный сдвиг; ошибки никогда не меняют последующих наблюдений |
| Симуляция замкнутого контура | Замкнутый контур () | Оператор синтетической физики | Кинематическая достижимость, большие параллельные наборы испытаний | Разрыв sim-to-real; несмоделированные нелинейности контакта и проскальзывание шин |
| Работа в теневом режиме | Разомкнутый контур для кандидата (действия заглушены) | Физическая машина | Конкуренция за шину, термическое троттлинг, реальный шум датчиков | Запирание траектории; состояния привязаны к базовому контроллеру |
| Ограниченные физические испытания | Замкнутый контур с вето во время выполнения () | Физическая машина внутри огибающей | Динамика контакта, податливость, трение, пределы актуаторов | Цензура состояний; перехваты пути разрешения и тросы обрывают хвосты отказов |
Сравнение режимов свидетельств оценки: Компромиссы между связью каузальной обратной связи, достоверностью среды, поддерживаемыми эмпирическими утверждениями и экспериментальными искажениями границ в четырех режимах испытаний. Ни одна среда не оценивает открытое развертывание; строгая сертификация требует сочетания взаимодополняющих режимов, а не предположения о линейной лестнице достоверности.
Количественную связь между смоделированными прокси-бенчмарками и производительностью робота в реальном мире определяет закон прокси-переноса sim-to-real («Закон прокси-переноса sim-to-real»). Если офлайн-метрики разомкнутого контура (такие как среднеквадратичная ошибка действия) не способны предсказывать исходы замкнутого контура (; они дают тяжелые инверсии ранжирования, как подробно показано в таблице «Офлайн-метрики и скрываемые ими отказы»), то бенчмарки симуляции замкнутого контура, такие как SIMPLER Li et al., 2024, демонстрируют сильное линейное соответствие с успехом физической манипуляции через разные воплощения (, Pearson , ; ранговая корреляция Спирмена ).
Что принципиально, линейный закон переноса () надежно выполняется только внутри номинальных зрительных и кинематических огибающих. Перенос катастрофически ломается в трех различных режимах физического разрыва:
- Разрыв зрительной области: Некалиброванное зеркальное освещение или расхождения рендеринга могут нарушать работу токенизаторов трансформеров зрения. Например, ненастроенные визуальные текстуры в Octo-Base обрушили смоделированную долю решений до , несмотря на достигнутые успеха задачи в реальном мире.
- Разрыв механики контакта: Физические движки твердых тел (такие как стандартные решатели ODE или Bullet) идеализируют динамику контакта многих тел и опускают нелинейное кулоновское сцепление. Политика RT-1-X при оценке открывания верхнего ящика достигла в симуляции, но упала до на реальном оборудовании из-за механического заклинивания направляющих.
- Разрыв тактильности и усилий: Точная манипуляция (такая как субмиллиметровая вставка штыря) дает высокие зрительные доли решений в симуляции (), но обрушивается в реальности (), где одно лишь зрение не может обнаружить заклинивание контактного усилия.
Следовательно, хотя симуляция замкнутого контура служит эффективным фильтром предварительного отбора кандидатов политик, пределы физических испытаний остаются высшей инстанцией воплощенной компетентности.
Закон прокси-переноса sim-to-real: доля решений бенчмарка симуляции против доли успеха физического робота: Парные эмпирические оценки через воплощения Google Robot (Everyday Robots) и WidowX из бенчмарка SIMPLER Li et al., 2024. Номинальные политики демонстрируют плотный линейный перенос (, Pearson , ранг Спирмена , MMRV ), что резко контрастирует с офлайн-среднеквадратичной ошибкой действия при обучении с учителем (). Три отмеченных диагностических выброса иллюстрируют режимы отказа разрыва реальности: некалиброванный рендеринг зрения (квадрат), заклинивание трения контакта (треугольник) и отсутствие тактильного усилия (ромб).
Компромиссы между режимами свидетельств
Прежде чем оценивать пределы физических испытаний, проверьте свое понимание режимов свидетельств и компромиссов достоверности:
- Компромиссы каузальности режимов: Можете ли вы противопоставить свойства каузальной обратной связи воспроизведения записанной трассы симуляции замкнутого контура?
- Запирание траектории в теневом режиме: Можете ли вы объяснить, почему оценка в теневом режиме на работающей машине не может испытывать маневры восстановления кандидатной политики?
- Перенос между режимами: Можете ли вы описать, какие свойства надежно переносятся между режимами, а какое остается позади?
Пределы физических испытаний
За утверждение о надежности платят прогонами. Выбор режима решает, что может показать тест, но на физической машине стоимость каждого прогона замкнутого контура задает объект управления, а не вычислительный бюджет, и статистика задает, сколько прогонов требует утверждение. Вместе эти две величины отделяют аргумент квалификации от анекдота.
Сколько стоит физический прогон
Физический прогон потребляет больше, чем смоделированный шаг или время воспроизведения журнала. Он расходует календарное время, нагружает механические звенья, греет обмотки двигателей и рискует физически повредить оборудование. Дверная кампания показывает, как накапливается стоимость. В одном прогоне основание заезжает со своего отстояния 2 m и останавливается, затем манипулятор снимает замок на охраняемом подходе со скоростью 0.03 m/s и распахивает дверь, что вместе занимает 25 s испытательной клетки (условно). Сброс, делающий следующий прогон независимой выборкой, снова запирает дверь, возвращает основание на отстояние и сбрасывает телеметрию прогона, добавляя 15 s (условно), так что каждый прогон стоит 40 s.6 При таком цикле двадцать чистых прогонов, открывших главу, заняли 13.3 min, а кампания, которую требует нижний предел успеха 99.9 % («Статистическое масштабирование гарантий»), идет куда дольше, даже до того как обмотки манипулятора получат какой-либо тепловой отдых («Тепловые циклы нагрузки»).
Объект управления также меняется, пока накапливаются прогоны. Доверительная граница предполагает независимые выборки из стационарного процесса, а износ нарушает стационарность: люфт редуктора, радиус колеса, трение шин и демпфирование шарниров дрейфуют со скоростями, которые должны быть измерены на испытательном оборудовании. Объединение тысячи прогонов тогда обращается с прогрессией деградирующих машин как с повторными испытаниями одной, и поздний отказ может отражать изношенный объект управления, а не политику.
Цензура, встроенная в ограниченные испытания («Режимы свидетельств»), усиливает дрейф. Поскольку неудачный физический прогон нельзя отозвать (первый закон из раздела «Четыре фундаментальных закона»), механизмы безопасности вмешиваются до завершения отказа, и свидетельства обрываются там, где они вмешались. Состояния, которые команде важнее всего оценить — такие как потеря сцепления на скорости или столкновение, которого основание не может избежать, — это состояния, в которые она не может позволить машине войти, потому что занос в стеллаж повреждает шасси и сенсорную оснастку и выводит испытательную клетку из строя для ремонта. Клетки, геозоны и операторы с аварийными остановами обрезают каждый прогон на консервативной огибающей. Прогон фиксирует вмешательство, тогда как последствие выхода политики остается ненаблюдаемым; вмешательство остается в знаменателе, а последствие — неизвестным.
Для физического выживания среднее — неадекватное описание пика. Замку угрожает пиковая сила контакта прогона относительно предела повреждения 100 N, как бы ни был скромен средний показатель, а длинная задержка шины может израсходовать остановочный запас, какова бы ни была малой средняя задержка. Теория экстремальных значений (EVT) предлагает кандидатные модели для максимумов, но семейство Гумбеля, Фреше или Вейбулла должно быть подогнано к определенной выборке блочных максимумов или превышений порога, проверено против альтернатив и сообщено вместе с его неопределенностью; один лишь физический механизм не выбирает семейство.7 Без этих данных таблица «Свидетельства пиковых возмущений и защита» указывает, что измерять и какую защиту валидировать, вместо предсказания частот редких событий.
| Канал возмущений | Пиковая величина и выборочный протокол | Физическое последствие для испытания | Кандидатная защита для валидации |
|---|---|---|---|
| Вычислительная и шинная задержка | Полный возраст за цикл и пропуски предельных сроков | Устаревшие предложения разъедают тормозной запас | Аренда свежести и независимо таймированный резервный вариант |
| Удар контакта | Кривая усилие–время, импульс и пик на пути нагрузки | Пластичность или перегрузка до того, как вступит в силу реактивная команда | Пассивная податливость и предел скорости до контакта; реактивные ограничения работают с последующей нагрузкой |
| Низкое сцепление | Локальная оценка трения и остановочный отклик | Проскальзывание удлиняет остановочный путь | Консервативный потолок скорости и испытанный резервный вариант на поверхностях с низким сцеплением |
| Оптический блик | Длительность насыщения и пропуски восприятия | Ложный запас хода или потеря оценки состояния | Резервное восприятие и независимые физические ограничения |
Свидетельства пиковых возмущений и защита: Механизмы указывают измерения и средства защиты, а не семейство EVT или частоту событий. Любое количественное утверждение о хвосте требует определенной совокупности, подогнанной модели, проверок качества подгонки и неопределенности.
Замок показывает, почему строка удара контакта сопоставляет измерение с защитой. Каждый прогон с дверью вносит один блочный максимум — пиковое усилие на замке, — а двадцати максимумов чересчур мало, чтобы подогнать хвост, предсказывающий, как часто прогон пересекает 100 N. Монитор усилия, реагирующий только после контакта, тоже не может отменить первый пик; его измеренное обнаружение и отклик актуатора могут ограничить последующую нагрузку, тогда как охраняемый подход со скоростью 0.03 m/s, предел скорости до контакта, резервирует запас для начального удара.
Распределение прогонов по парку машин не покупает независимость. Десять машин, испытываемых одновременно на одном складе, делят производственную партию, покрытие пола, систему вентиляции и операторов, обученных по одному протоколу, поэтому аномалия, отсутствующая на объекте, — такая как глазурь пола или блик под низким углом, — не достигает ни одной из них. Десять тысяч часов парка на одном объекте — это десять параллельных наблюдений одного узкого распределения, а не десять тысяч часов независимой наработки. Стандартизированные испытательные приспособления, такие как на рисунке «Стандартизированный полигон оценки роботов», покупают воспроизводимость, ограничивая пространство состояний приспособлением.
Стандартизированный полигон оценки роботов: Испытательные боксы роботов-спасателей NIST, снятые в 2013 году (Linda Joy/NIST) и впоследствии описанные в ASTM E54.08. Прогон без отказов по стандартизированным боксам устанавливает компетентность внутри полигона и ничего не говорит о бликах, загрязнителях поверхности или препятствиях вне его.
Прогоны на утверждение
Размер кампании без отказов задается обращением точной границы из раздела «Что устанавливают двадцать чистых прогонов» относительно числа прогонов, так что сколько прогонов должна выдать испытательная клетка, определяет утверждение, а не бюджет испытаний (см. рисунок «Доверительные границы и бюджеты испытаний» и таблицу «Доверительные пределы после нуля отказов»; выводы — в разделе «Испытания без отказов и стена наработки»).
Статистическое масштабирование гарантий
Задача: Предположим, цель оценки требует одностороннего нижнего предела успеха при доверительной вероятности 95 % (). Если каждый прогон с дверью требует
40 s, сколько прогонов без отказов и сколько календарного времени испытаний потребуется?Расчеты: Обращение границы из блока «Вывод нижней границы для 20 прогонов» дает последовательных прогонов без отказов. При
40 sна прогон это требует2 99540 s33.3 h(1.4 days) непрерывных испытаний. С протоколом безопасности на2оператора это потребляет66.6 hоператорского времени, или более8восьмичасовых смен.Системный вывод: Даже при цикле столь коротком, как у двери, нижний предел 99.9 % стоит
1.4 daysнепрерывной занятости испытательной клетки, а более длинный цикл масштабирует это пропорционально. Замена компонента в ходе кампании может потребовать нового определения совокупности, а не объединения несовместимых прогонов.
Когда требование надежности задано как частота отказов на час эксплуатации, число прогонов превращается во время наработки. Стена наработки — это наработка без отказов, необходимая тесту без событий, прежде чем он сможет ограничить интенсивность опасности. При модели постоянной интенсивности и доверительной вероятности 95 % : цель в час требует $3.0 \times 10^{6}$ часов без отказов (342 машинных года), а в час — $3.0 \times 10^{9}$.
Батлер и Финелли вывели из этой арифметики проектный вывод Butler and Finelli, 1993 («Пределы испытаний сверхнадежности»). Парк машин не спасает тест, поскольку 100 стендов, работающих непрерывно, все равно потребовали бы около 3 420 календарных лет при в час. Пробег дорожных транспортных средств упирается в ту же стену («Дефицит масштабирования автономных миль»), а симулированные мили не добавляют к нему физической наработки. Поэтому утверждение высокой гарантии опирается на независимо валидированные ограничения времени выполнения и структурированное внедрение отказов («Вывод списка отказов»).8
Пределы испытаний сверхнадежности
Результат: Батлер и Финелли утверждали, что валидация требований сверхвысокой надежности для киберфизических систем, критичных для жизни (таких как коммерческое ПО дистанционного управления полетом, требующее частоты катастрофических отказов ), одними лишь эксплуатационными испытаниями невозможна Butler and Finelli, 1993.
Дефицит масштабирования автономных миль: Сконструированные ряды физического и симулированного пробега на фоне таблицы 1 RAND Kalra and Paddock, 2016, которая дает 275 миллионов физических миль без отказов для верхней доверительной границы 95 % на уровне человеческой смертности и 8,8 миллиарда миль для точности ±20 %. Симулированные мили не добавляют физической наработки.
Стена наработки действует даже при требовании объекта куда более мягком, чем эти уровни. Предположим, складской мобильный манипулятор должен продемонстрировать частоту критических отказов (среднее время между критическими отказами ) при статистической уверенности 95 % (). Каждая миссия отбора занимает 360 s (0.10 h) и покрывает 540 m на пределе хода 1.5 m/s. Автоматическая перезарядка на док-станции и сброс телеметрии добавляют 120 s, итого 480 s на цикл прогона. Диаметр ведущего колеса 0.20 m, а на ведущий редуктор приходится условный ресурс усталости подшипника в $5.0 \times 10^{7}$ оборотов.
По стене наработки эта цель требует 29 957 часов без отказов (3.42 года) непрерывной наработки. Дискретизация этого требования в миссии с бюджетом отказов на прогон $1.0 \times 10^{-5}$ требует , или 299 572 последовательных прогонов без отказов. Это обращает границу нуля отказов из раздела «Что устанавливают двадцать чистых прогонов» для цели, далеко выходящей за практические бюджеты в десятки–тысячи прогонов. На единственном физическом стенде исполнение этих прогонов по 480 s на цикл потребляет 39 943 часа (4.56 года) и накапливает $2.57 \times 10^{8}$ оборотов колеса.
Суммарное число оборотов колеса в 5.15 раза превышает номинал редуктора , однако сравнение правомочно лишь после того, как передаточное отношение трансмиссии отобразит обороты колеса в обороты подшипника, причем — статистика ресурса совокупности при заданной нагрузке и скорости, а не срок разрушения. Кампания такой длины должна поэтому планировать обслуживание и замену компонентов и фиксировать каждую из них, прежде чем сможет объединять прогоны.
Доверительные границы и бюджеты испытаний: Односторонние нижние пределы успеха Клоппера–Пирсона после нуля отказов при доверительной вероятности 90, 95 и 99 %. При 95 % 20 независимых одинаково распределенных прогонов дают 86.1 %; для 99.9 % нужны 2 995 прогонов, или 33.3 h при цикле двери 40 s.
| Прогоны без отказов | 90 % нижний предел успеха | 95 % нижний предел успеха | 99 % нижний предел успеха | 95 % верхний предел отказа | Время испытания при цикле двери | Интерпретация при независимых одинаково распределенных выборках |
|---|---|---|---|---|---|---|
| 10 | 79.43% | 74.11% | 63.10% | 25.89% | 0.1 h | Широкая неопределенность; отказов не наблюдалось |
| 20 | 89.13% | 86.09% | 79.43% | 13.91% | 0.2 h | Граница применима только к выборочному распределению |
| 50 | 95.50% | 94.18% | 91.20% | 5.82% | 0.6 h | Больше свидетельств; остаются непроверенные условия |
| 100 | 97.72% | 97.05% | 95.50% | 2.95% | 1.1 h | Из интервала не следует разрешение на развертывание |
| 250 | 99.08% | 98.81% | 98.17% | 1.19% | 2.8 h | Проверьте оборудование и стационарность выборки |
| 500 | 99.54% | 99.40% | 99.08% | 0.60% | 5.6 h | Граница остается привязанной к объявленным условиям |
| 1 000 | 99.77% | 99.70% | 99.54% | 0.30% | 11.1 h | Ниже цели нижнего предела 99.9 % |
| 2 995 | 99.92% | 99.90% | 99.85% | 0.10% | 33.3 h | Достигает этой статистической цели, если предположения выполняются |
Односторонние биномиальные доверительные пределы после нуля отказов: Нижние пределы успеха равны , а соответствующий верхний предел отказа — . Времена испытаний используют цикл двери 40 s.
Эти потолки ведут к архитектурному выводу. Безопасность физического ИИ не может опираться на статистическую уверенность в обученных весах, а классическое управление не предлагает аналитической замены инициатору.
Классический контроллер сертифицируется функцией Ляпунова с на заданной области, а не подсчетом прогонов, а при возмущениях аргумент входно-состоятельной устойчивости (input-to-state stability) ограничивает ошибку состояния величиной входа при собственных модельных предположениях. Обученный инициатор не несет такого сертификата устойчивости. Проверка условия убывания через его негладкие активации — неконвексный поиск по миллионам параметров, его скрытые входы не несут физических единиц, на которых можно построить , а разрывы контакта нарушают гладкость, которую предполагают доказательства. Вне своего обучающего распределения обученная политика может также резко менять выход, так что тень или блик камеры переворачивают направление предложенного движения. Поэтому бремя доказательства переносится с инициатора на низкоразмерную проверку на изолированном микроконтроллере. Две стратегии несут это бремя: одна во время выполнения, другая на стенде:
- Ограничение во время выполнения: Ограничение физических полномочий обученной политики передачей пути разрешения пределов усилия коллаборативного робота, кинематических пределов ускорения и аварийных остановов — независимого детерминированного механизма ниже границы предложения из раздела «Машина в пяти уровнях». Утверждение о защите тогда опирается на путь разрешения и его резервный вариант, чьи оценки состояния, модели объекта управления и актуаторов, тайминг отклика и зарезервированный остановочный запас должны быть валидированы отдельно от политики.
- Внедрение отказов на физических стендах: Вместо того чтобы ждать, пока ударят пассивные возмущения, инженеры внедряют их сами. Внедренные прогоны следуют методу внедрения отказов из раздела «Вывод списка отказов»; эта глава требует лишь, чтобы они попадали в тот же журнал полного знаменателя.
Размер выборки и целевое свидетельство MTBF
Прежде чем двигаться дальше, проверьте свое понимание масштабирования размера выборки и пределов физических испытаний:
- Стена наработки: При стационарной пуассоновской модели отказов почему односторонний верхний предел интенсивности 95 %, соответствующий цели MTBF , требует
29 957часов физической наработки без отказов?- Исчерпание механической усталости: Можете ли вы объяснить, почему обороты колеса нельзя сравнивать напрямую с номиналом подшипника без отображения через трансмиссию и условий нагрузки?
- Архитектурное ограничение против статистической выборки: Можете ли вы объяснить, почему системы физического ИИ с высокой гарантией подменяют эмпирическое накопление черного ящика прогонов детерминированными мониторами времени выполнения?
Даже при строгих протоколах квалификации и автоматизированных испытательных клетках одной статистической выборки недостаточно, чтобы установить сверхнадежную автономность. То, что остается вне любой конечной кампании, и те мониторы времени выполнения, которые протокол должен для этого назначить, решают, насколько далеко свидетельства смогут унести решение о выпуске.
Что оценка не может установить
Пределы оценки следуют из эндогенной петли раздела «Динамика замкнутого контура». Состояния, которые посещает физическая кампания, зависят от команд, допущенных путем разрешения, поэтому ни один фиксированный датасет не соответствует распределению состояний замкнутого контура кандидата, а симулятор подменяет собственную модель переходов моделью объекта управления (формальные распределения траекторий — в разделе «Распределения траекторий и оцениваемые величины»). Симулятор, который моделирует пол прохода с трением чистого, инспектированного бетона, не может показать, что основание делает на прозрачной масляной пленке, а тот, чьи актуаторы отвечают мгновенно, не может показать запаздывание реальной электрической постоянной времени статора; физическая траектория отклоняется от смоделированной, и отклонения накапливаются в состояния, которых не посещал ни один симулированный прогон. Поэтому тест ограничивает только то распределение, которое он действительно выбрал.
Следовательно, самое сильное заключение, которое может поддержать эмпирическая оценка, узко и условно. Дверная кампания устанавливает, что одна сборка ПО на одной ревизии оборудования, от выборочных начальных условий и внутри среды, присутствовавшей во время прогонов, отказывала с вероятностью ниже 13.9 % при доверительной вероятности 95 %. Она ничего не говорит о более холодном утре, снижающем номинал шарниров, о редукторе, чья податливость и люфт выросли со временем, или о смещенной ответной планке. Дополнительные прогоны на номинальной планке снижают выборочную неопределенность и ужимают границу («Доверительные пределы после нуля отказов»), но они не могут уменьшить структурную неопределенность в отношении несмоделированной физики или непосещенных условий; еще две тысячи прогонов измерили бы ту же ячейку с более высокой точностью и оставили бы ячейки со смещенной планкой, нагруженную машину и несмоделированную динамику, такую как дрожание шины, ровно такими же неподтвержденными, как прежде.
Поскольку оценка не может установить, как политика ведет себя вне выборочного распределения, каждая наблюдаемая граница утверждения нуждается в сигнале времени выполнения, пороге и испытанном отклике, а путь разрешения обязан принудительно обеспечивать независимые физические ограничения. Носитель распределения наблюдаем лишь частично, а детектор OOD имеет измеримые ложноотрицательные срабатывания, поэтому условия, которые нельзя надежно измерить датчиками, требуют ограничений ODD, пассивной защиты или иных независимых барьеров. Протокол оценки несет эти спецификации в своем поле runtime_monitor_specs (см. раздел «Журналы оценки»). Поле называет пять каналов мониторинга, чьи охват и отклик должны быть измерены:
- Монитор носителя входов / вне распределения (OOD): Оценивает, отклоняются ли входящие наблюдения от испытанного распределения, используя откалиброванный балл, и сообщает о ложноотрицательных срабатываниях на отложенных сдвинутых условиях.
- Монитор задержки исполнения: Измеряет возраст каждого вывода относительно объявленного предельного срока управления (например, период фрагмента политики замка
50 msпри20 Hz), фиксирует пропуски и проверяет, что истечение аренды вызывает валидированный резервный вариант. Одна сводка — не жесткая граница предельного срока. - Монитор запаса ограничений: Отслеживает расстояние между текущим физическим состоянием и аппаратными пределами безопасности, включая пределы момента шарниров, температуру обмоток двигателей и свободное расстояние до препятствий относительно пределов, заданных для оборудования и модели остановки.
- Монитор частоты вмешательств: Вычисляет частоту перехватов пути разрешения, обнаруживая, когда нестабильность политики вызывает чрезмерные коррекции.
- Монитор предположений о среде: Измеряет внешние эксплуатационные условия, такие как сцепление поверхности, оцениваемое по проскальзыванию колес, и освещенность среды, измеряемая фотометрическими датчиками.
Монитор, который лишь записывает аномалию в журнал, ничего не защищает. Когда монитор сообщает, что условие покинуло целевую ODD или что вывод не уложился в свой предельный срок, путь разрешения отбрасывает предложение и действует на актуаторы через валидированный резервный вариант — ограничение скорости или управляемую остановку, — при условии, что измеренное состояние, возможности актуаторов и зарезервированный запас хода делают такой отклик осуществимым (логика резервирования — в разделе «Безопасность и функции барьера управления»). Своевременное, уверенное предложение все равно проходит независимые проверки состояния, запаса хода и актуаторов, прежде чем будет применено какое-либо .
Некоторые отказы не обнаруживает ни один монитор времени выполнения. Предложение может укладываться в каждый предельный срок, соблюдать каждый предел момента и возникать на знакомых входах, и все же уводить основание к стеклянной перегородке, которую зрительно-языковой стек Brohan et al., 2023 счел свободным пространством; измеренный запас хода неверен вплоть до контакта. Безопасность от таких отказов не может исходить от оценки или программных мониторов. Она требует физического зонирования, механических ограничителей тока и независимых барьеров безопасности, чья защитная способность валидируется независимо от обученной модели при заданных физических предположениях.
↳ Далее: Физические отказы, необнаружимые сенсорной телеметрией, формально каталогизированы в разделе «Отказы без детекторов».
Эти пределы действуют даже для безупречной кампании. Свидетельства, которые они пропускают, стоят не лучше породившей их кампании, а процедурные и статистические ошибки могут испортить кампанию задолго до того, как ее результат дойдет до протокола.
Как оценка дает сбой
Систематические ошибки, подрывающие оценку политики, редко исходят от намеренного обмана. Они возникают, когда протокол отвечает на более простой вопрос, чем тот, который задает утверждение, и шесть повторяющихся моделей делают именно так: отбор среды, дрейф метрики, загрязнение тестовой выборки, досрочная остановка, фильтрация знаменателя и демонстрация, выданная за измерение.
Отбор среды возникает всегда, когда испытательный стенд уже, чем утверждение. Все двадцать прогонов с дверью встречали номинальную ответную планку на охраняемом подходе со скоростью 0.03 m/s при остановленном основании и пустой тележке. Если отчет объявляет их долю успеха способностью машины открывать двери клеток на объекте, утверждение незаметно расширяется до 5 невыбранных ячеек журнала и нагруженной машины («Что оценка не может установить»). Отбор среды обнаруживается сопоставлением журнала условий, фиксирующего измеренное положение ответной планки, скорость подхода, полезную нагрузку и состояние пола каждого прогона, с границами заявленной области; журнал, покрывающий одну ячейку, ничего не устанавливает о других.
Дрейф метрики возникает, когда оценочная метрика скользит от выполнения физической задачи к офлайн-суррогату, такому как совпадение действий, среднеквадратичная ошибка или косинусное расстояние между предсказанными командами и записанными действиями эксперта. Раздел «Динамика замкнутого контура» показал, почему такой балл не может сертифицировать замкнутый контур. Дрейф метрики обнаруживается требованием, чтобы основной оценочной метрикой был конечный исход замкнутого контура — такой как открытая дверь без пересечения контактного порога и с нулем перехватов пути разрешения, — а не ошибка предсказания разомкнутого контура.
Даже при физических прогонах замкнутого контура повторная настройка против фиксированной оценочной установки разрушает независимость результата. Когда команда корректирует гиперпараметры политики замка, фильтрацию наблюдений или контрольную точку после каждой партии прогонов на той же двери клетки, эта дверь перестает быть независимой отложенной выборкой. Каждое изменение поглощает информацию о положении ответной планки этой двери, ее пружине и освещении, и после достаточного числа раундов финальная контрольная точка отражает неявное обучение на самой тестовой двери, маскируя то, как политика реагирует на любую другую дверь. Это загрязнение тестовой выборки нельзя обнаружить, исследуя финальные веса модели или запуская единственный проверочный прогон на той же двери. Оно обнаруживается только через отслеживание происхождения — анализ хронологической истории версий политики, коммитов настройки и дат испытаний, чтобы подтвердить, что заявленная оценка выполнена на свежей, изолированной конфигурации, никогда не подвергавшейся итеративной настройке.
Протоколы оценки столь же уязвимы для непреднамеренного отбора удачных результатов через досрочную остановку. Когда инженер следит за непрерывной последовательностью физических прогонов и останавливает эксперимент, как только достигнут целевой порог производительности или критерий статистической значимости, заявленная уверенность искажается. Если оценочная команда проводит эксперимент, где каждый просмотр несет номинальный порог ложноположительных срабатываний 5 %, досрочная остановка при наблюдении кажущегося успеха на нескольких контрольных точках оценки раздувает истинную частоту ошибок. 5 независимых просмотров по 5 % дали бы 22.6 % вероятности хотя бы одного ложноположительного результата. Повторные просмотры одного накапливающегося прогона зависимы, поэтому раздувание для реального правила остановки должно вычисляться для этого правила. Досрочную остановку нельзя обнаружить по сводным таблицам или финальным долям прохождения. Она обнаруживается только аудитом заранее зарегистрированного протокола испытаний с проверкой того, что размеры выборки, условия остановки и контрольные точки оценки были зафиксированы до начала первого физического прогона.
У длинной кампании все же есть причина остановиться так рано, как позволяют свидетельства, потому что каждый прогон изнашивает стенд и тратит тепловой бюджет манипулятора («Пять физических бюджетов»). Чтобы остановиться досрочно, не раздувая ошибку I рода, оценочные команды применяют последовательный критерий отношения вероятностей (SPRT) Абрахама Вальда9 Wald, 1945. Вместо того чтобы фиксировать размер выборки заранее или наивно подглядывать за промежуточными результатами, SPRT оценивает накопление свидетельств после каждого физического прогона, вычисляя кумулятивное отношение правдоподобия между приемлемой гипотезой надежности () и неприемлемой гипотезой отказа (). Испытания динамически останавливаются в тот момент, когда накопленные свидетельства пересекают заранее объявленные пороги отношения правдоподобия. Для двух заданных простых гипотез и объявленного последовательного плана SPRT может уменьшить ожидаемое число выборок по сравнению с тестом фиксированного горизонта. Обычные формулы границ Вальда — это аппроксимации, искажаемые перелетом отношения правдоподобия; действительные ошибки I и II рода и экономия стенда должны быть вычислены или смоделированы для выбранных гипотез и модели исходов. Точные формулировки мартингалов логарифмического правдоподобия, обновления Бернулли и выводы границ Вальда см. в разделе «Последовательный критерий отношения вероятностей».
Родственное статистическое искажение возникает, когда знаменатель оценки незаметно фильтруется, нарушая условие полного знаменателя из раздела «Что измеряет доля успеха». Команда, отбрасывающая прогоны, закончившиеся программными тайм-аутами, аварийными остановами, обрывами связи датчиков или перехватами пути разрешения, как недействительные тестовые артефакты, сообщает успех лишь по уцелевшим прогонам. Если манипулятор открывает дверь в девяти попытках из десяти, а для десятой нужен перехват оператора, чтобы остановить захват, заклинивший о замок, удаление этой попытки поднимает кажущуюся долю успеха с 90 % до 100 %. Когда физические ограничения или пределы безопасности обрывают прогон до истечения его лимита времени , прогон записывается как цензурированный отказ, а не исключается из журнала. Чтение выживания на усеченных траекториях как эксплуатационной компетентности — заблуждение цензурированного прогона. Фильтрация знаменателя обнаруживается перекрестной сверкой низкоуровневой телеметрии актуаторов и журналов пути разрешения с журналом прогонов, подтверждающей, что каждый цикл включения питания и каждый ввод автономии соответствуют записанному исходу.
Мираж аварийности Autopilot по данным NHTSA 2017
Контекст: В январе 2017 года Национальное управление безопасности дорожного движения (NHTSA) закрыло предварительную оценку PE 16-007, открытую после смертельного столкновения Model S в режиме Autopilot во Флориде (см. раздел «Как наблюдения дают сбой») National Highway Traffic Safety Administration (NHTSA), 2017. Заключительный отчет сравнил частоты столкновений со срабатыванием подушек безопасности в рассматриваемых автомобилях Tesla до и после установки Autosteer и заявил, что «частота столкновений автомобилей Tesla снизилась почти на 40 процентов после установки Autosteer» — с 1,3 до 0,8 столкновения на миллион миль.
Механизм: Частота делила срабатывания подушек безопасности на мили, пройденные до и после установки, и собственная сноска отчета отмечала, что частоты «относятся ко всем милям, пройденным до и после установки Autopilot, и не ограничены фактическим использованием Autopilot». Знаменатель поэтому никогда не измерял наработку собственно Autosteer, и к тому же был неполон. Повторное исследование Quality Control Systems Corporation показало, что показание одометра на момент установки, по-видимому, было сообщено менее чем для половины автомобилей, а точная наработка до и после установки могла быть вычислена лишь для 13 % из них Quality Control Systems Corp., 2019. Пробег, который NHTSA оставила несосчитанным, поскольку его нельзя было отнести ни к одному из периодов, был сосредоточен среди автомобилей с наименьшей наработкой до установки.
Последствия: В единственной когорте с полной наработкой в обоих периодах частота столкновений со срабатыванием подушек безопасности выросла после установки на 59 % — с 0,76 до 1,21 на миллион миль, результат, который повторное исследование оговорило фразой «если этим данным можно верить». Его авторы заключили, что общее снижение на 40 % было «артефактом обработки агентством информации о пробеге, которая в действительности отсутствует в исходном датасете». Повторное исследование тоже не измеряет эффект Autosteer. Оно показывает, что опубликованный знаменатель не мог поддержать заявленное снижение.
Реакция: Исправление пришло извне агентства и через два года после заключительного отчета, потому что записи пробега по каждому автомобилю, вскрывшие знаменатель, были опубликованы лишь после иска по Закону о свободе информации к Министерству транспорта Quality Control Systems Corp., 2019.
Урок для систем: В оценке физического ИИ непроверенный знаменатель порождает статистический мираж. Агрегирование пробега в открытом мире без телеметрии ввода автономии, границ области эксплуатационного назначения (ODD) и полных записей наработки превращает отсутствующие данные в утверждение о безопасности. Оценка проверяет целостность своего знаменателя с той же строгостью, которую применяет к событиям отказов в своем числителе.
Искус заменить статистическую выборку визуальной правдоподобностью — распространенная уязвимость системной инженерии физических систем. Единственная видеозапись манипулятора, захватывающего неровную деталь, или мобильного робота, движущегося по захламленной комнате, — это демонстрация, а не измерение. Визуально убедительная демонстрация доказывает, что траектория состояния системы пересекает множество успеха хотя бы для одной последовательности начальных условий и возмущений среды, но не дает информации об объеме этого множества успеха. Поскольку человеческое восприятие настроено на плавное движение и согласованную кинематику SE(3), наблюдатель легко принимает кинематическую плавность за компетентность политики. Исполнение, кажущееся осмысленным и плавным, может работать в пределах от кинематической сингулярности или нести неизмеренную ошибку слежения , которая порождает столкновение в девяти повторах из десяти. Репрезентативная демонстрация не имеет статистического статуса. Репрезентативная кампания требует заранее объявленной выборки из целевой ODD или отдельного анализа по стратам, полного учета знаменателя и размера выборки, привязанного к заявленному утверждению.
Та же дисциплина управляет и сравнениями. Как формализовал Джейкоб Коэн в своем анализе статистической мощности10 Cohen, 1988, чтобы решить, открывает ли latch-bc-01 дверь клетки надежнее другой контрольной точки, требуются ошибка I рода (), ошибка II рода () и размер эффекта — наименьшая разница доли успеха, стоящая обнаружения. Двадцать прогонов на контрольную точку не несут заявленной мощности, пока эти величины и базовая доля успеха неизвестны, поэтому протокол фиксирует , и размер эффекта до первого прогона.
Каждая из этих патологий расширяет утверждение за пределы свидетельств, оставляя отчет более чистым на вид: благоприятный стенд, суррогатная метрика, загрязненная тестовая дверь, удачно выбранный момент остановки, отфильтрованный знаменатель или убедительное видео. Понимание механизмов, которыми дает сбой оценка, проясняет цель физических испытаний. Эмпирический прогон — не демонстрация, призванная убедить наблюдателя в том, что модель работает. Это инструмент, измеряющий, где отказывают полномочия политики, какие физические условия запускают отказ и сколько статистической уверенности поддерживают свидетельства. Документирование этих границ требует неизменяемого протокола, связывающего каждый прогон, каждое условие и каждое вмешательство с проверяемой физической величиной, и такой протокол задается в разделе «Журналы оценки».
Журналы оценки
Когда двадцать прогонов с дверью окончены, оставшийся от них протокол — единственная форма, в которой остальная машина когда-либо их увидит, поэтому то, что этот протокол хранит, решает, какие утверждения выживут. Протокол оценки потребляет манифест политики из раздела «Манифест политики», ссылаясь на него по дайджесту, и добавляет поля, необходимые для аудита обученной политики, которую описывает манифест; он не выдвигает утверждений за пределы целевой ODD и назначает монитор времени выполнения для каждой наблюдаемой границы. Протокол связывает измеренные исходы с объявленными условиями и сохраняет человеческие наблюдения отдельно с указанием их источника. Он служит самодостаточным протоколом свидетельств, который фиксирует, что измерялось, при каких физических условиях, с какой уверенностью и какие эксплуатационные утверждения полученные свидетельства явно не поддерживают.11
| Поле схемы протокола | Физическая / статистическая модальность | Криптографическая гарантия происхождения | Нисходящий проверяющий и использование |
|---|---|---|---|
target_odd_boundary | Целевая ODD: выборочные ячейки объявленной ODD, здесь номинальная ответная планка на охраняемом подходе со скоростью 0.03 m/s под собственной нагрузкой замка двери, основание остановлено | Подписанная спецификация ODD; должна лежать внутри declared_odd_boundary манифеста политики | Определение испытанных условий и калиброванных оповещений OOD; физическая блокировка остается независимой |
component_hashes | Дайджест манифеста политики, замороженные веса нейронной сети (), бинарный файл движка вывода, серийный номер шасси, партия шин, матрицы калибровки датчиков и сборка прошивки | Бинарные дайджесты SHA-256, аппаратный UUID, ссылки на калибровочные сертификаты ISO 9001 | Поддержка прослеживаемости конфигурации; предотвращение незаписанных замен оборудования или драйверов |
sampling_protocol | Веса выборки целевого распределения или квоты по стратам, зерно ПСЧ, процедура сброса и аудит независимости | Хеш скрипта конфигурации автоматизированного испытательного стенда, журнал последовательности телеметрии | Аудит против досрочной остановки и проверка на скрытую автокорреляцию между прогонами |
complete_outcome_ledger | Сырые счетчики исходов полного знаменателя: , , , , (перехваты пути разрешения) и временные ряды | Монотонные микросекундные аппаратные метки времени, непрерывная телеметрия кольцевого буфера | Предотвращение заблуждения цензурированного прогона; вычисление неискаженной эмпирической надежности |
statistical_evidence | Точная биномиальная граница с предположениями о выборке; пуассоновская интенсивность — только для отдельно смоделированной наработки в физических часах | Криптографическая подпись верификации, воспроизводимый Python-скрипт оценки | Передача ограниченных свидетельств и явных предположений в раздел «Верификация» |
unsupported_gap_catalog | Явный каталог непосещенных пространств состояний и опущенной динамики (вода на поверхности, динамические толпы); содержит известные отсутствия протокола происхождения и журнал упущений манифеста | Объявленный манифест неподдержки, подписанное заключение инженеров по безопасности | Параметризация проверок пути разрешения, ограничений CBF и резервных политик в Части III |
runtime_monitor_specs | Для каждой наблюдаемой границы утверждения: сигнал, порог и испытанный отклик по пяти каналам раздела «Что оценка не может установить» | Измеренные охват обнаружения и частота ложноотрицательных срабатываний по каждому каналу | Реализуется путем разрешения и полем работоспособности контракта наблюдений; читается протоколом принудительного обеспечения |
Схема протокола предварительной оценки политики: Поля, которые протокол оценки добавляет к потребляемому им манифесту политики, фиксирующие целевую ODD, дайджесты конфигурации, протокол выборки, журнал прогонов полного знаменателя, неасимптотические доверительные границы, непокрытые пробелы охвата и спецификации мониторов времени выполнения.
Протокол оценки начинается с эксплуатационного утверждения и его формальных предикатов, как задано в схеме протокола предварительной оценки («Схема протокола предварительной оценки политики»). Он определяет математический критерий успеха, такой как снятие замка двери клетки и распахивание ее без пересечения контактного порога 15 N и без перехвата политики путем разрешения. Он ограничивает целевую ODD, которая лежит внутри объявленной ODD манифеста политики, по физическим параметрам, названным манифестом, включая положение ответной планки, скорость подхода и нагрузку, которую создает дверь. Наконец, он называет целевую совокупность физических сред, к которой предполагается обобщить результат, отличая одну испытанную дверь клетки от дверей с другими ответными планками или жесткостью пружины. Определение этих границ в протоколе до начала прогонов предотвращает постфактум-корректировки критериев прохождения при появлении аномального поведения.
Протокол фиксирует неизменяемые криптографические идентификаторы для каждого программного и аппаратного компонента, чтобы обеспечить независимое воспроизведение физического исполнения. Эти идентификаторы включают хеши содержимого весов нейронной сети, конвейеров предобработки данных датчиков, файлов конфигурации политики, сборок движка симуляции, когда включены синтетические прогоны, и скриптов выполнения оценки. На физической системе протокол журналирует серийный номер шасси машины, партию резиновой смеси шин, матрицы калибровки датчиков, ревизии прошивки контроллеров двигателей и конфигурации коммуникационных шин. Замена объектива камеры, изменение версии прошивки драйвера или замена изношенных приводных ремней меняют физическую передаточную функцию машины, обесценивая исторические данные, если изменение не записано.
Протокол сохраняет протокол испытаний, зафиксированный до первого прогона, чтобы кампанию нельзя было остановить в благоприятный момент (опасность досрочной остановки из раздела «Как оценка дает сбой»). Протокол заранее объявляет размер выборки из цели и уверенности утверждения, классы исходов и правило остановки: кампания без отказов останавливается на первом отказе и сообщает точную нижнюю границу, которую поддерживают ее успехи, либо завершает прогонов и сообщает . Объединенная биномиальная граница требует, чтобы каждое условие бралось независимо из целевого распределения, тогда как фиксированная сетка квот требует отдельного вывода по стратам и объявленных весов, прежде чем какое-либо утверждение охватит целевую ODD. Протокол документирует, как прогоны брались из ячеек целевой ODD, последовательность зерен псевдослучайного генератора, управляющую тем, где останавливается основание перед дверью, и последовательность сброса, выполняемую между последовательными прогонами, которая снова запирает дверь и возвращает основание на отстояние 2 m. Когда основание возвращается на это отстояние под автономным управлением, тепловой нагрев батареи и дрейф одометрии вносят статистическую зависимость между смежными попытками. Протокол указывает, были ли прогоны статистически независимы или сцеплены в цепочку, и регистрирует каждый ручной сброс, аппаратное прерывание или отклонение от заранее заданного протокола.
Агрегированные проценты скрывают физические режимы отказов, определяющие риск системы. Каждый начатый прогон попадает ровно в один заранее объявленный класс: успех — достижение цели в пределах без перехвата; цензурированный отказ, когда путь разрешения перехватил политику; тайм-аут; или аппаратный отказ, такой как обрыв шины или отказ привода. Протокол сообщает сырой счетчик в каждом классе и сообщает о нарушениях кинематических границ и ручных аварийных остановах как подсчеты того класса, в котором закончился каждый затронутый прогон. В дополнение к сводным итогам протокол сохраняет покадровые метаданные по прогонам, включая пиковые температуры обмоток двигателей, максимальные ошибки слежения траектории и длительности выполнения задачи. Ведение этой телеметрии гарантирует, что номинальные успехи, работающие у тепловых пределов или в пределах от жесткой границы, видны при аудите. Каждый прогон, начатый под полномочиями политики, остается в знаменателе.
Статистическая спецификация определяет точечный оценщик, метод доверия, номинальный уровень доверия, распределение выборки и лежащие в основе математические предположения. Рядом с поддержанным утверждением протокол документирует неподдержанные утверждения и известные пробелы охвата; каталог начинается с известных отсутствий данных демонстраций и журнала упущений манифеста политики и добавляет то, что сами прогоны оставили непосещенным. Для каждого пробела, который можно измерить, спецификации мониторов времени выполнения называют сигнал, порог и испытанный отклик из раздела «Что оценка не может установить»; пробел, который нельзя измерить, остается в каталоге как ограничение на эксплуатацию.
Рассмотрим дверную кампанию из двадцати прогонов, открывшую эту главу. Политика замка двадцать раз открывала дверь клетки с отстояния 2 m на охраняемом подходе со скоростью 0.03 m/s, при остановленном основании и без перехвата пути разрешения. Аудитор читает статистические свидетельства протокола как точную границу из раздела «Что устанавливают двадцать чистых прогонов» — нижний доверительный предел 95 % в 86.1 %, — и никогда как вырожденный интервал .
Заполненный протокол обнажает структурные пределы утверждения и показывает, насколько сильно свидетельства сузились по пути через Часть II. Журнал сценариев из раздела «Охват политики сбора» пересекал 3 положения ответной планки с 2 скоростями подхода — 6 ячеек всего, — а сохраненные демонстрации поддерживали 1: номинальную планку на охраняемом подходе. Манифест политики сделал эту ячейку объявленной ODD для latch-bc-01, целевая ODD охватила всю ячейку, двадцать чистых прогонов были взяты из нее, и они ограничили вероятность отказа там значением 13.9 % — односторонним верхним доверительным пределом при испытанном одинаково распределенном распределении («Доверительные пределы после нуля отказов»). Все, что это сужение оставило за бортом, входит в каталог пробелов охвата как пробел, унаследованный кампанией, а не закрытый ею. Ячейки 5, в которых не было ни одной демонстрации, не содержат и ни одного прогона, и каталог наследует журнал упущений манифеста, чьи 2 незакрытых упущения симулятора — мягкий штрафной контакт и отсутствующее транспортное запаздывание — запрещают повторно использовать этот протокол для любой контрольной точки, доработанной в симуляции. Прогоны добавляют собственный пробел: поскольку основание не везло ничего в своей тележке 50 kg, протокол ничего не говорит о нагруженной машине. Протокол показывает, почему двадцать успешных прогонов не могут поддержать утверждение о высокой надежности, и дает фиксированное основание отклонить любое утверждение о готовности политики к развертыванию без мониторинга.
Протокол оценки не сертифицирует, что автономная машина безопасна. Он устанавливает эмпирические границы и статистическую неопределенность одного обученного компонента, работающего в контролируемых условиях. В разделе «Верификация» верификационный аргумент потребляет эти протоколы оценки как формальные узлы свидетельств, сочетая границы политики со свидетельствами физических ограничителей и задержек пути разрешения, чтобы оценить, удовлетворяет ли интегрированная машина своему эксплуатационному кейсу безопасности.
↳ Далее: Неасимптотические границы прогонов Клоппера–Пирсона поставляют эмпирические узлы свидетельств для кейсов безопасности в разделе «Кейсы безопасности и утверждения».
Оценка падающей машины
Вопрос: Что говорит протокол охвата, когда каждый отказ в неподдержанной ячейке — это падение, повреждающее испытываемый образец?
Неудачный прогон замка мобильного манипулятора заканчивается на контактном пороге с целым манипулятором, поэтому его кампания может продолжать выбирать трудную ячейку; неудачный прогон гуманоида может уничтожить оборудование кампании.
- Число падений — своя оцениваемая величина. Неудачный прогон гуманоида может закончиться на полу с поврежденным испытуемым роботом, поэтому протокол сообщает падения с собственным знаменателем и доверительным пределом рядом с успехом задачи, а не сворачивает их в одну долю успеха.
- Знаменатель стратифицируется до сбора. Страты возмущений (скользкий пол, изменение податливости пола, порог, толчок) и их веса фиксируются в протоколе выборки до первого прогона, потому что кампания на ровном полу ничего не ограничивает о пропущенных ею стратах.
- Баланс демонстратора не переносится. Оператор-человек удерживает равновесие человеческим телом, а не телом робота, поэтому такая ячейка, как устойчивое тяжелое вытягивание, не имеет допустимых демонстраций; она входит в каталог пробелов охвата как известное отсутствие, и кампания не может закрыть его прогонами, которых она не может позволить себе проиграть.
Журнал, фиксирующий свой знаменатель, страты и пробелы охвата до сбора, делает протокол аудируемым, но он не может помешать читателю этого протокола делать выводы, которые он не поддерживает. Практики по-прежнему неверно читают метрики бенчмарков и растягивают свидетельства за пределы целевой ODD несколькими повторяющимися способами, и эти неверные прочтения — последняя опасность для утверждения.
Заблуждения и ловушки
Оценка поддерживает утверждения только в пределах своих испытанных условий и ограничений. Эти ошибки возникают, когда команды растягивают результат за эти пределы или приписывают обученной политике архитектурную защиту.
Заблуждение и ловушка
Заблуждение: Повторяющийся успех в единственном номинальном условии доказывает широкую эксплуатационную готовность.
Дверная кампания повторяет одно условие двадцать раз: номинальную ответную планку, охраняемый подход, остановленное основание, пустую тележку. При биномиальной модели эти прогоны дают нижнюю границу
86.1% из блока «Вывод нижней границы для 20 прогонов» для этого условия — и ничего для остальных ячеек журнала или нагруженной тележки, сдвигающей моментные запасы манипулятора. Повторение условия заостряет номинальную оценку, тогда как критичные для развертывания огибающие остаются непроверенными. Утверждение о готовности должно назвать свою целевую ODD, распределить прогоны по физическим вариациям внутри нее и сообщить неопределенность внутри каждой испытанной ячейки.
Заблуждение и ловушка
Заблуждение: Ноль отказов в 1 000 испытаниях доказывает соответствие спецификации надежности 99.9 %.
Предположим, политика замка открывает дверь
1 000раз без срабатывания при требовании успеха 99.9 % при доверительной вероятности 95 %. Наблюдаемая доля успеха безупречна, однако односторонняя нижняя граница составляет всего0.9970, не дотягивая до требования («Доверительные пределы после нуля отказов»); для его выполнения нужны2 995чистых прогонов. Этот разрыв — дефицит свидетельств, а не отказ политики. Бюджет испытаний следует из утверждения и уровня доверия, зафиксированных заранее, и отчет сообщает нижнюю границу, а не безупречную долю.
Заблуждение и ловушка
Заблуждение: Высокое офлайн-совпадение действий на статических журналах гарантирует физическую стабильность замкнутого контура.
Отчет об оценке, ссылающийся на близкое совпадение с действиями эксперта на записанных прогонах как на свидетельство для выпуска, измерил подражание на этих записях и ничего более. Политика прохода из раздела «Динамика замкнутого контура» почти в точности совпадала со своими записями и все же израсходовала боковой запас на ковариантный сдвиг. Совпадение может отбирать кандидатов перед физическими прогонами, но утверждение о стабильности замкнутого контура опирается только на исходы замкнутого контура, посчитанные по полному знаменателю, — защиту от дрейфа метрики из раздела «Как оценка дает сбой».
Заблуждение и ловушка
Ловушка: Приписывание обученной политике пережитых транспортных зависаний, с которыми справилась архитектура принудительного обеспечения.
Мобильный манипулятор выполняет 50 номинальных прогонов по проходу, и команда приписывает своей обученной политике терпимость к дрожанию шины SerDes. Затем квалификационный тест внедряет зависание почтового ящика, которое переживает выбранную аренду фрагмента
60 msиз раздела «Многотактные ритмы». Аренда истекает, путь разрешения обнаруживает устаревшую аренду и инициирует управляемую динамическую остановку, аналогичную остановке категории 1, из лестницы резервирования раздела «Лестница резервирования». Этот отклик исходит от архитектуры принудительного обеспечения; записи номинального завершения не устанавливают, что нейронные веса обнаруживают зависание или компенсируют его. Внедрение отказов должно измерять обнаружение и остановочное поведение пути разрешения относительно доступного запаса остановочного пути, а отчет об оценке должен приписать защиту аппаратному механизму, ее обеспечившему.
Итоги
Оценка в замкнутом контуре измеряет связанную политику, путь разрешения, объект управления, среду и протокол испытаний, поэтому доля успеха описывает объявленную совокупность, а не файл весов. Поскольку собственные допущенные действия машины выбирают состояния, в которые она попадает, — это принцип эндогенных данных Части II, — только прогоны, замыкающие контур через путь разрешения, измеряют, что делает инициатор; оценки разомкнутого контура не видят дрейфа, который эти действия порождают. Далее доверительная граница нуля отказов ограничивает выборочную совокупность при ее предположениях о выборке, а цензура на краю безопасной эксплуатации удерживает эту совокупность внутри огибающей, в которую кампания могла позволить себе войти. Дополнительные прогоны ужимают эту границу, не расширяя совокупность, а стена наработки помещает частоты редких опасностей за пределы любой кампании, которую может провести физическая машина.
Дверная кампания показывает форму выживающего утверждения. Двадцать чистых прогонов поддерживают нижнюю доверительную границу для номинальной ответной планки на охраняемом подходе при остановленном и ненагруженном основании — и ничего для ячеек со смещенной планкой, которых демонстрации никогда не покрывали, и для нагруженной машины. Каталог пробелов охвата фиксирует состояния, которых не посещал ни один прогон, — как предсказывает принцип эндогенных данных, их не содержит ни один датасет, — и относит их к независимым физическим ограничениям и осуществимому резервному варианту на пути разрешения, а не к инициатору, поскольку детектор OOD времени выполнения может пропустить то, чего никогда не видел.
Продукт главы — протокол оценки, и четыре его части движутся дальше:
- Ограниченное эксплуатационное утверждение: Целевая ODD внутри объявленной ODD манифеста политики, где производительность была эмпирически охарактеризована.
- Воспроизводимая конфигурация и журнал: Дайджесты весов, прошивок и калибровок, с каждым начатым, прерванным и перехваченным прогоном, сохраненным в знаменателе.
- Каталог пробелов охвата: Известные отсутствия данных и журнал упущений манифеста, плюс условия, оставленные прогонами непосещенными.
- Спецификации мониторов времени выполнения: Для каждой границы, которую можно измерить, — сигнал, порог и испытанный отклик, которые путь разрешения должен реализовать во время выполнения.
Оценка в замкнутом контуре и надежность выживания
- Доля успеха принадлежит объявленной совокупности: Доля отражает связанную политику, путь разрешения, объект управления, среду и протокол испытаний. Изменение полезной нагрузки, пола или процедуры сброса меняет оцениваемую величину, поэтому целевая ODD и ее веса выборки фиксируются до первого прогона.
- Только замкнутый контур измеряет инициатора: Оценка разомкнутого контура возвращает машину в продемонстрированное состояние на каждом шаге. Постоянная ошибка курса офлайн оценивается как пренебрежимая, но израсходует боковой запас прохода
0.15 mна протяжении8.6 m, потому что допущенные действия машины выбирают ее следующие состояния.- Ноль отказов ограничивают частоту, не измеряя ее: чистых независимых одинаково распределенных прогонов дают односторонний верхний предел отказов 95 % около . Двадцать чистых прогонов оставляют место для вероятности отказа
13.9%, а для нижнего предела успеха 99.9 % нужны2 995чистых прогонов.- Стена наработки переносит редкие опасности на архитектуру: Ограничение частоты при нуле событий требует около наработки без отказов, а объединенные часы парка делят полы, сборки и условия. Защита от редких опасностей поэтому опирается на путь разрешения, осуществимый резервный вариант и физические барьеры, но никогда — на обученные веса.
- Протокол оценки указывает, где заканчиваются его свидетельства: Его утверждение остается внутри целевой ODD, его журнал удерживает каждый прерванный и перехваченный прогон в знаменателе, а его каталог пробелов и спецификации мониторов времени выполнения говорят времени выполнения, что должен покрывать путь разрешения.
От протокола оценки к восприятию во время выполнения
Часть II завершается протоколом, который ограничивает доверие к обученному инициатору его целевой ODD и назначает мониторы времени выполнения, которые должна поставлять остальная машина. Часть III строит время выполнения, удовлетворяющее этим обязательствам. Первое из них ложится на восприятие, поскольку монитор носителя входов или монитор задержки может действовать только по наблюдениям, несущим время захвата, систему координат и неопределенность. Раздел «Сенсорное восприятие» прослеживает путь измерения от датчика до пространственного утверждения, которое путь разрешения может датировать, разместить и ограничить, прежде чем разрешить движение.
-
Обеспечение безопасности во время выполнения: Отдельно верифицированный путь разрешения может отклонять предложения, нарушающие измеренное состояние, свежесть и ограничения актуаторов. Его охват обнаружения, худшее время отклика и имеющийся запас остановки должны быть проверены для конкретной реализации; одна лишь частота дискретизации 1 кГц не гарантирует перехвата до контакта. ↩
-
Маскирование масштаба метрики в потере регрессии: Суммирование квадратов ошибок руления по тысячам валидационных кадров скрывает тяжелые, перемежающиеся ошибки направления. Единичный локальный выброс предсказания в математически смывается при усреднении по часам движения прямо по проходу. Кратковременный угловой выброс может иметь значение, если его интегрированное движение исчерпает запас хода раньше, чем отреагирует независимый путь разрешения; для оценки исхода нужны модель объекта управления и модели тайминга. ↩
-
Кинематическое интегрирование смещения курса: Этот пример удерживает курс при постоянном сдвиге , поэтому линейно. Другой пример с постоянным смещением угловой скорости начинается с и имеет малый угол аппроксимации . ↩
-
Нелипшицева бифуркация контакта: Контакт твердых тел не является липшицевым, потому что конусы трения многозначны, а удары порождают скачки скорости (). Субмиллиметровое отклонение в точке контакта захвата может перевести траекторию со стабильного регулирования усилия на проскальзывание или заклинивание — разрыв, который офлайн-оценка по записанным состояниям не способна выявить. ↩
-
Конкуренция за шину при аппаратуре в контуре: Хотя задержка вывода нейронного ускорителя в изоляции может демонстрировать низкую дисперсию, общие платы PCIe, передачи прямого доступа к памяти (DMA) и арбитраж шины CAN вносят переменное дрожание транспорта под производственной нагрузкой. Номинальный цикл вывода может растягиваться при насыщении шины памяти, истощая фазовый запас контуров управления с высокой частотой. В теневом режиме это дрожание задержки журналируется на реальном шинном трафике, не подвергая физическое шасси результирующим колебаниям траектории. ↩
-
Бюджет цикла физического прогона: Длительность физического прогона включает как прогон, так и сброс:
25 s15 s40 sдля двери. Бюджетирование одним лишь временем активного прогона дает нереалистичные сроки испытаний и соблазняет команды усекать интервалы сброса и остывания, что вызывает тепловую нестационарность от прогона к прогону. ↩ -
Моделирование возмущений теорией экстремальных значений: Теорема Фишера–Типпетта–Гнеденко описывает возможные предельные формы блочных максимумов при заявленных предположениях; она не назначает хвостовое семейство удару, блику или задержке по одному лишь физическому механизму. ↩
-
Область функциональной безопасности: Стандарты функциональной безопасности определяют специфичные для контекста аппаратные метрики и процессы гарантий; одно число частоты отказов нельзя назначить всем системам физического ИИ или сертифицировать одним лишь пробегом. Пуассоновские примеры здесь — аналитические цели, а не заявления о соответствии IEC 61508 или ISO 26262. ↩
-
Последовательный критерий отношения вероятностей (SPRT): Заранее объявленные границы отношения правдоподобия допускают корректную последовательную остановку для заданных гипотез, когда их действительные вероятности ошибок откалиброваны, включая перелет границы. Число сэкономленных прогонов зависит от траектории и гипотез; универсальной экономии износа не следует. ↩
-
Статистическая мощность физических испытаний: Вероятность правильно отклонить ложную нулевую гипотезу. Для сравнения двух политик вычислите мощность по базовой частоте, размеру эффекта, распределению выборки и выбранному тесту до сбора физических прогонов Cohen, 1988. ↩
-
Безопасность предполагаемой функциональности (SOTIF): ISO 21448 и ANSI/UL 4600 предоставляют каркасы для рассуждений об опасностях предполагаемой функциональности и автономных систем. Неизменяемый протокол этой главы — предлагаемый инженерный артефакт свидетельств, а не конкретная форма, предписанная каким-либо из стандартов. ↩
Работа машины
Когда складской мобильный манипулятор едет по проходу, его навигационная камера замечает человека, выходящего из торца стеллажа впереди. Следующее предложение политики фрагмента все еще несет основание вперед, и путь разрешения должен решить, остается ли лежащее в его основе наблюдение свежим и позволяет ли оставшийся запас хода это движение или только остановку. У решения есть предельный срок, и никакое лучшее предложение не поможет, когда машина уже перешла свой тормозной запас. Эксплуатация машины физического ИИ означает согласование временных масштабов восприятия, планирования и исполнения команды с этим физическим предельным сроком. Человеческие цели могут меняться за секунды, а траектории — за десятки миллисекунд, тогда как контур разрешения в одной реализации работает каждую миллисекунду. Требуемые частоты и времена реакции приходят от объекта управления и его измеренных задержек, а не от названий уровней.
Предложение — не разрешение
Инвариант: Обученная модель может предлагать движение; допустить его может только независимый путь разрешения. Путь решает по каждому действию на состоянии с известным возрастом, в предельный срок, заданный возрастом наблюдения, вычислениями, передачей, откликом актуатора и запасом хода, который оставляет задержка, и владеет резервированием, осуществимым из текущего состояния без инициатора.
Следствие: Каждая стадия времени выполнения служит одному решению: может ли это предложение пересечь каузальную границу до исчерпания запаса. Стадии перед путем разрешения доставляют свидетельства с приложенными возрастом и неопределенностью, путь разрешения работает на ресурсах, которые обученные рабочие нагрузки не могут задерживать, и любая гарантия, которую дает путь, например гарантия барьерного фильтра, действует, только пока держатся ее модель, оценка состояния, полномочия актуатора и предельный срок.
Часть III следует за предложениями машины, которым доверяют не дальше, чем позволяет протокол оценки Части II, через шесть стадий. Движение основания к торцу стеллажа и тяга плеча к кружке идут как один поток фрагментов всего тела под одной арендой фрагмента. Каждое предложение в этом потоке проходит через четыре стадии, которые его строят, одну, решающую, может ли оно действовать, и одну, которая удерживает это решение вовремя.
- Сенсорное восприятие («Сенсорное восприятие»): Решает, достаточно ли измерение актуально и откалибровано для использования, и создает контракт наблюдений, который датирует каждое измерение в часах, которые путь разрешения может преобразовать в свои.
- Пространственная память («Пространственная память»): Решает, как долго оценка может стоять без свежих свидетельств, и создает протокол пространственной оценки, который держит возраст свидетельств отдельно от возраста оценки.
- Обоснованное намерение («Обоснованное намерение»): Решает, как человеческая цель становится ограниченным истекающим запросом, и создает аренду намерения, которая предоставляет цель и потолки усилий, но никогда не путь.
- Планирование траекторий («Планирование траекторий»): Решает, когда траектория может быть принята, и создает протокол траектории, который несет ее предельные сроки и согласованный стоп-суффикс.
- Обеспечение безопасности («Обеспечение безопасности»): Решает на каждом такте, допускается ли предложение, проецируется или отклоняется (первая проекция на машине замедляет быстрое приближение плеча к защелке до охраняемой скорости, которую покрывает целевая ODD Части II), и создает протокол принудительного обеспечения, где встречаются две нити протоколов.
- Размещение на кремнии («Размещение на кремнии»): Решает, где работает путь разрешения, чтобы обученные рабочие нагрузки не могли его задерживать, и создает протокол размещения, который называет испытание, способное его подтвердить.
Часть III передает дальше свидетельства времени выполнения, которые должна судить Часть IV. Контракты наблюдений датируют каждое измерение, протоколы оценок истекают, аренды намерения и протоколы траекторий называют своих предков и свои предельные сроки, а протокол принудительного обеспечения заявляет огибающую остановки и предпосылки каждой гарантии. Его завершенный бюджет остановки задает скорость, с которой машина может ехать по проходу, и оставляет запас свободного расстояния — весь допуск на ошибку во входах — в распоряжение Части IV («Огибающие остановки»). Протокол размещения называет нагруженное испытание, которое показало бы, что обученные рабочие нагрузки не могут задержать путь разрешения («Проверка разделения испытаниями»), и на этой машине его нагруженное поле все еще пусто. Каждый протокол — утверждение с условиями, и ни один пока не является лицензией на эксплуатацию.
Сенсорное восприятие
Цель
Почему обнаружение препятствия с точностью распознавания 99 % все же приводит к столкновению, если игнорировать отметку времени его захвата, систему координат и пространственную неопределенность?
Обнаружение препятствия способствует безопасному движению лишь тогда, когда явно известны отметка времени его экспозиции, опорная система координат и пространственная ковариация. Физический мир непрерывно продвигается вперед, пока сенсор изображения интегрирует фотоны, переносит пиксели по шинам прямого доступа к памяти и подает тензоры в модель инференса. Точная оценка ограничивающего прямоугольника описывает геометрию, которой к моменту, когда актуатор создает момент, может уже не существовать. Механические вибрации, оптические искажения и тепловой дрейф камеры вносят пространственную неопределенность, меняя отношение между сырыми пиксельными координатами и физическими границами запаса хода.
Сообщение семантики объектов с высокой уверенностью без этих пространственных и временных квалификаций лишает нижестоящие контроллеры информации, необходимой для гарантии безопасного разделения. Восприятие реального времени должно сохранять происхождение каждого наблюдения — отслеживая отметки времени захвата через границы часовых доменов и ограничивая эллипсоиды ошибок измерения. В архитектуре физического ИИ восприятие служит мостом между сенсорным оборудованием каузальной границы и когнитивными рассуждениями в Мозге, преобразуя зашумленные сигналы в сертифицированные пространственные утверждения, которые детерминированный путь разрешения может проверить до того, как в движение будет вложена кинетическая энергия.
Цели обучения
- Задать контракт наблюдений, несущий время захвата, ограниченное преобразование часов, систему координат и неопределенность
- Вычислить возраст наблюдения через конвейер сенсорики, транспорта, предобработки и инференса и преобразовать его в слагаемое остановочного бюджета
- Диагностировать пространственные ошибки, вызванные таймингом датчика, движением во время захвата и рассогласованными системами координат
- Объяснить, почему средняя пропускная способность захвата не ограничивает возраст кадра или запаздывание продления, и вычислить величину конкуренции хоста, которую выдерживает допуск на продление
- Оценить, оставляет ли неопределенность наблюдения достаточно физического запаса для предложенного действия
- Различить отказы восприятия, которые проверки времени выполнения могут обнаружить, и ошибки, остающиеся молчаливыми
От фотонов к пространственным утверждениям
Зрительная модель складского мобильного манипулятора почти всегда способна распознать человека, выходящего из-за торца стеллажа, и все же передать планировщику положение, которое уже устарело. Мир продолжает двигаться, пока навигационная камера интегрирует и считывает свое изображение, а конвейер его обрабатывает. На этой машине между серединой экспозиции и моментом, когда наблюдение достигает любого потребителя, проходят иллюстративные 51.6 ms, и на пределе ходовой скорости базы 1.5 m/s машина за это время проходит 77.4 mm. Точность распознавания не говорит о том, достаточно ли свежо это наблюдение для предложенного движения. В физическом ИИ у наблюдения есть срок годности.
Восприятие работает в Мозге, над границей предложения раздела «Машина в пяти уровнях». Оно превращает фотоны, импульсы времени пролета и отраженные радиоволны в датированные пространственные утверждения и предлагает их, но не имеет полномочий над актуаторами; эти полномочия остаются у пути разрешения ниже границы.
Работа превращения фотонов в датированные утверждения не зависит от того, как нарисована архитектура. Сквозная политика зрение–действие Brohan et al., 2023; Brohan et al., 2023; Zhao et al., 2023 отображает наблюдения камеры в предлагаемые действия внутри одной сети, тогда как классический модульный конвейер разделяет прием сенсорных данных, оценку состояния, построение карты и генерацию траекторий по отдельным процессам. Анализ зрения Марра Marr, 1982 отделяет то, чего должно достигать зрительное вычисление, от представления, которое его несет, и оборудования, которое его выполняет, и в физическом ИИ каждый из этих уровней должен быть реализован где-то между стимулом и откликом.
Когда инженерная команда объединяет эти обязанности в сквозной модели, обязанности остаются, но их промежуточные представления становятся труднее проверять независимо. Явный интерфейс может показать преобразование координат для проверки, нести предельный срок годности или позволить другому компоненту отвергнуть несогласованную оценку. Скрытое представление требует дополнительной инструментации или внешних проверок, чтобы дать сопоставимые свидетельства. Если восприятие примет отражение мокрого пола за свободный запас хода, инженеру нужен способ обнаружить или ограничить возникающую ошибку независимо от того, сколько программных модулей реализует конвейер.
Эти свидетельства начинаются там, где физическая энергия превращается в цифровые данные. От преобразования на матрице детекторов до потребления оценщиком состояния каждая стадия обработки добавляет возраст наблюдения. Фотоны, попадающие на матрицу фотодиодов CMOS-камеры, не мгновенно появляются как вложения признаков в инференс-движке; экспозиция, считывание, транспорт, перенос в память, предобработка и зрительный бэкбон берут каждая свою долю задержки. Если стадия восприятия передает нижестоящим компонентам ограничивающий прямоугольник обнаружения объекта без явной отметки времени и откалиброванного пространственного преобразования, нижестоящий планировщик оценит это препятствие относительно текущего положения шасси, ошибившись в нем на расстояние, которое машина прошла с момента захвата.
↰ Предварительное требование: Свежесть преобразования и старение измерений датчика выводятся в разделе «Свежесть измерений».
Возраст пространственной информации
Возраст пространственной информации () — общее прошедшее физическое время между серединой интегрирования физической энергии () на преобразователе и нижестоящим потреблением результирующего тензора наблюдения оценщиком состояния или политикой управления. Это часть возраста измерения от захвата до потребления, которую раздел «Свежесть измерений» отсчитывает от преобразования, и основной текст называет ее возрастом наблюдения.
Значение: Поскольку физическая масса движется, пока исполняется цифровое вычисление, сенсорная задержка превращается прямо в несмоделированное пространственное смещение («пространственное смещение»):
Этот непрерывный физический сдвиг исчерпывает геометрические буферы безопасности еще до того, как препятствие будет классифицировано.
Отличие: В отличие от задержки программного конвейера (абсолютная длительность прямого прохода), возраст наблюдения учитывает весь физический путь: половину экспозиции, считывание, транспорт, DMA и очередь, обработку ISP, зрительный бэкбон и диспетчеризацию.
Типичная ловушка: Считать отметку времени прибытия кадра () в память пользовательского пространства временем наблюдения (). Использование времени прибытия скрывает вышестоящие задержки захвата и транспорта и добавляет несмоделированное фазовое запаздывание в контуры обратной связи, потребляющие наблюдение.
Временная группировка и размывание фазового запаса
Группировка повышает пропускную способность акселератора, амортизируя работу по нескольким изображениям, но сборка пакета из последовательных моментов захвата старит его ранний элемент. На темпе навигационной камеры 60 Hz ( 16.7 ms) пакет из четырех последовательных кадров удерживает первый 50 ms, второй и третий — 33.3 ms и 16.7 ms, а последний — не вовсе. Добавление ожидания самого старого кадра к возрасту наблюдения 51.6 ms примерно удваивает его, до 101.6 ms. Это далеко выше порога отказа — бюджетного возраста плюс границы преобразования часов, которые задает «Контракт наблюдений», — поэтому на этой машине путь разрешения отвергает каждое утверждение, построенное из пакета, собранного через разные моменты захвата. Изображения, захваченные несколькими камерами одновременно, напротив, могут группироваться в пакет только тогда, когда пакет не добавляет возраста сверх бюджетных стадий и укладывается в свой предельный срок.
Возраст расходует и фазовый запас контура обратной связи, поскольку чистое запаздывание добавляет фазовое запаздывание на частоте без изменения усиления. Поэтому контур с номинальным запасом на частоте среза усиления исчерпывает его, как только , и экспозиция, обработка, транспорт, разрешение и задержка актуатора все черпают из этого единого потолка («Дискретная выборка и фазовое запаздывание нулевого порядка»).
За одну и ту же задержку платят дважды — как за фазовое запаздывание в контуре и как за путь к препятствию, — и потребитель может заложить в бюджет только измеримую задержку. Поэтому то, что передает восприятие, должно нести отметку времени, систему координат и пригодную границу ошибки, а преобразование, прием и геометрическая оценка могут каждая аннулировать их до того, как путь разрешения допустит движение.
Что передает восприятие
Необработанное сенсорное оборудование дает электрические измерения, такие как напряжения фотодиодов, значения счетчиков времени пролета или емкостные смещения. Эти неструктурированные сигналы существенно отличаются от переменных состояния, необходимых нижестоящей автономии. Контроллер актуатора не может отслеживать желаемую силу по двумерной сетке сырых пиксельных интенсивностей, а оптимизатор траектории не может планировать свободные от столкновений пути по неорганизованным отражениям времени пролета. Нижестоящие подсистемы оценки, планирования и памяти требуют структурированных представлений физического состояния, включая метрические положения, скорости, ограничивающие объемы, нормали поверхностей и семантические классификации. Перевод сырых сенсорных потоков в эти представления — операционная обязанность конвейера восприятия. Каждое передаваемое им наблюдение должно нести для нижестоящего ПО три свойства: отметку времени захвата, опорную систему координат и огибающую неопределенности.
Первое обязательное свойство — отметка времени захвата , задающая временную середину окна интегрирования физической энергии (действительный момент, когда затвор камеры был открыт или лазерный импульс послан). Датчики не делают мгновенных снимков; камера интегрирует фотоны в течение экспозиции, а механический лидар развертывает лазерные импульсы по дуге азимута за несколько миллисекунд. Нижестоящим оценщикам состояния требуется , чтобы внести измерение в динамические уравнения движения машины. Отметка прибытия, против которой предупреждает определение, , отмечает момент, когда ядро операционной системы завершает передачу прямого доступа к памяти. Половина экспозиции, считывание, транспорт и прямой доступ к памяти (DMA) истекают до этого момента, поэтому смещение прибытия никогда не равно нулю, а подстановка времени прибытия вместо времени захвата портит оценщик состояния.
Величина этой порчи следует из «пространственного смещения» со смещением прибытия вместо полного возраста, а при постоянной скорости сводится к . На мобильном манипуляторе кадр навигационной камеры завершает передачу DMA через 26.6 ms после середины экспозиции. Оценщик, проставляющий кадру отметку по прибытии, датирует его соответственно с опозданием, и на пределе ходовой скорости базы 1.5 m/s он сопоставляет наблюдение с позой на 39.9 mm дальше той, которую камера занимала в момент захвата.
↳ Ниже по потоку: Раздел «Как преобразование устаревает» добавляет, как эти преобразования от датчика к телу устаревают со временем.
Второе обязательное свойство — идентификатор опорной системы координат . Любое пространственное измерение изначально выражено в локальной системе координат физического преобразователя. Камера измеряет углы пеленга относительно своего оптического центра, тогда как радар измеряет дальность и доплеровскую скорость относительно своей антенной решетки. Нижестоящие планировщики траекторий и карты препятствий работают в системе координат тела шасси или в инерциальной навигационной системе . Преобразование наблюдения из в требует применения пространственного преобразования твердого тела, состоящего из матрицы поворота и вектора переноса, определяющих внешние параметры крепления датчика (точное физическое положение и ориентацию, где датчик прикручен к машине). Системы координат вложены от земного шара вниз до преобразователя, , и каждое звено этого дерева несет свое преобразование и свою неопределенность («Дерево систем координат и неопределенность»).
Когда выходы восприятия опускают идентификатор системы координат или полагаются на номинальные размеры CAD вместо откалиброванных физических внешних параметров, малые угловые смещения создают большие пространственные ошибки, растущие с расстоянием. Некалиброванная ошибка тангажа или рыскания 1° у датчика, обнаруживающего объект на дальности 15 m, вызывает поперечную ошибку положения в 0.26 m, примерно в 1.7× больше бокового запаса 0.15 m, который база выдерживает от стеллажей, так что планировщик либо ведет машину в стеллажи, либо отвергает исправный проход как перекрытый.
Соглашение о системах координат REP 105 именует эти системы и разделяет локально непрерывную позу odom и глобально скорректированную позу map. На мобильном манипуляторе — это base_link базы, отслеживаемый через одометрическую систему odom, а последовательная цепь манипулятора отображает свой монтажный фланец tool0 через углы шарниров обратно в base_link. Таблица «Роли систем координат REP 105 для мобильного робота» перечисляет роли и правило, которому следует каждый потребитель. Локальный контроллер потребляет непрерывную оценку и отвергает неожиданные скачки преобразований, а реализация все равно должна проверять отметки времени преобразований и неопределенность оценщика.
| Система | Родитель в этом примере | Значение | Правило потребителя |
|---|---|---|---|
earth | root | Опциональная геодезическая система отсчета | Проверять датум перед глобальной маршрутизацией |
map | earth если есть | Глобальная локализация; коррекции могут скачкообразно меняться | Не допускать скачков релокализации в локальную обратную связь |
odom | map | Локально непрерывная оценка позы; может дрейфовать | Отслеживать движение локально; следить за неопределенностью и разрывами |
base_link | odom | Закрепленная на теле начало координат | Поза тела по-прежнему наследует неопределенность одометрии |
sensor_link | base_link | Откалиброванная система крепления датчика | Применять актуальные по времени внешние параметры и их неопределенность |
Роли систем координат REP 105 для мобильного робота: Компактный пример глобальной, локальной, телесной и сенсорной систем координат. REP 105 требует, чтобы поза относительно odom оставалась непрерывной, но не предписывает гладкость , скорость роста ковариации или фиксированную точность; для этого требуются специфичные для оценщика свидетельства.
Дерево систем координат и неопределенность: Иерархия пространственных систем координат формализует разделение между непрерывным локальным мертвым счислением (), потребляемым контурами высокочастотного слежения, и разрывными глобальными коррекциями карты (), потребляемыми глобальными планировщиками. Пространственная ковариация наращивается вдоль кинематической цепи — от дрейфа одометрии через внешние параметры крепления к собственной ошибке измерения датчика, — поэтому нижестоящие потребители должны отвергать наблюдения, которым не хватает явного ключа координат , эпохи захвата и огибающей ковариации . Атрибуция: кинематическая схема книги, CC BY 4.0.
Третье обязательное свойство — представление неопределенности, такое как ковариация вместе с проверенным хвостом или жесткой границей ошибки, когда от нее зависит запас хода. Слабое освещение, атмосферное рассеяние, зеркальные поверхности и ошибка модели меняют распределение остатков. Ковариация описывает вторые моменты, а не область, гарантированно содержащую истинное состояние. Оценщики могут использовать ее для взвешивания инноваций относительно модели движения; заниженная ковариация может притянуть оценку состояния к ложному измерению и привести к плохим нижестоящим командам. Решения о безопасности должны также учитывать смещение, пропуски обнаружений и пределы валидации.
Три инварианта наблюдения
Передавайте утверждение восприятия с его временем захвата и часовым доменом, системой координат и квалифицированной неопределенностью. Отвергайте утверждение, когда что-либо из этого не может быть проверено для предложенного движения.
Вместе эти свойства составляют ядро контракта наблюдений, который «Контракт наблюдений» превращает в запись, проверяемую каждым нижестоящим потребителем перед использованием. Отбрасывание неполного или неограниченного наблюдения позволяет нижестоящему оценщику распространять свое состояние вперед по физической динамике, плавно деградируя неопределенность во времени. Принятие необоснованного пакета, напротив, впрыскивает несмоделированные задержки, пространственные искажения и ложную уверенность прямо в контур управления. Обеспечение этого контракта требует проследить, как возникает наблюдение, начиная с аппаратного интерфейса, где физические явления снимаются впервые.
Преобразование и калибровка датчиков
Запаздывание накапливается еще до того, как ПО получит хоть что-то, начиная с фотоячейки, где физические явления превращаются в электрический заряд. Камера не делает мгновенного снимка. Фотоны накапливаются на фотодиоде в течение конечной экспозиции , а значит, записанная интенсивность пикселя представляет временной интеграл яркости сцены по этому интервалу:
Когда датчик или сцена движутся со скоростью во время экспозиции, резкая граница, такая как стойка стеллажа, размазывается по нескольким фотоячейкам — смаз движения шириной . Поскольку заряд накапливается за все окно, время, которое представляет накопленное изображение, — это середина экспозиции, отстающая от ее начала на . При экспозиции навигационной камеры 16 ms на пределе ходовой скорости базы 1.5 m/s изображение не записывает, где робот находится. Оно записывает, где робот был 8 ms назад, размазанный по 24 mm смаза движения.
Искажения скользящего затвора и компенсация движения
Расписание окон экспозиции по пиксельной матрице определяет пространственную геометрию изображения. В датчике с глобальным затвором каждый пиксельный фотодиод накапливает заряд в один и тот же интервал времени и одновременно переносит накопленные электроны в экранированные узлы хранения. В датчике со скользящим затвором ограничения площади кремния и стоимости диктуют, что строки сбрасываются, экспонируются и считываются последовательно от верхней строки до нижней строки . Каждая следующая строка начинает экспозицию через период строки , создавая прогрессивное временное смещение по плоскости изображения:1 где — начало экспозиции верхней строки. Когда тело движется поступательно со скоростью перпендикулярно вертикальной детали, строка захватывает ее со пространственным смещением:
При вращательном движении искажение скользящего затвора становится нелинейным. Если камера подвергается угловому вращению с вектором угловой скорости (например, быстрое рыскание или тангаж при агрессивных маневрах робота), действительная ориентация камеры непрерывно меняется по мере считывания строк. Физически камера указывает в немного разное направление для каждой строки. Для строки с вертикальной координатой дифференциальное вращение относительно начала кадра равно . Это зависящее от строки вращение изгибает прямые физические линии в кривые, вызывает расширение фокусного расстояния (масштабное искажение при тангаже) и сдвигает вертикальные стены в наклонные поверхности, что демонстрирует кривизна лопастей винта на рисунке «Геометрия искажений скользящего затвора».
Рассмотрим навигационную камеру мобильного манипулятора, пока база проходит вертикальную стойку стеллажа на пределе ходовой скорости 1.5 m/s. Скользящий затвор считывает 3 040 строк кадра за 16.6 ms, так что межстрочный интервал составляет 5.46 μs. Стойка, охватывающая всю высоту кадра, не выглядит вертикальной в захваченной матрице. Нижняя строка ( 3 039) снимается через 16.6 ms после верхней строки (), давая суммарный пространственный сдвиг в 24.9 mm.
Если нижестоящая реконструкция геометрии трактует это изображение как мгновенную жесткую проекцию, наклон 24.9 mm попадает в карту препятствий нескорректированным. Это около шестой части бокового запаса 0.15 m, который база выдерживает от стеллажей, и планировщик движения может прочитать наклоненную стойку как искусственное вторжение в свободный коридор. Локализационный допуск остановочного бюджета предполагает, что этот сдвиг удален до того, как оценщик увидит кадр. Коррекция этого искажения требует компенсации движения скользящего затвора — алгоритма геометрического выпрямления в непрерывном времени, который использует высокочастотные (1 000 Hz) инерциальные угловые скорости () и линейные скорости (), чтобы интерполировать мгновенную 6-степенную позу камеры для каждой отдельной строки , восстанавливая жесткую эпиполярную геометрию до 3D-триангуляции.
Геометрия искажений скользящего затвора: Фотография вращающихся лопастей винта, снятая CMOS-сенсором со скользящим затвором. Поскольку строки сенсора экспонируются и считываются последовательно сверху вниз, а не одновременно, быстрое физическое движение лопастей относительно периода строки () сдвигает и изгибает прямые жесткие структуры в нелинейные, разорванные геометрические дуги. В высокоскоростных воплощенных системах некомпенсированный сдвиг скользящего затвора вносит большие ошибки 3D-триангуляции и вторжение фантомных препятствий в нижестоящей визуально-инерциальной одометрии. (Источник: Wikimedia Commons, CC BY-SA 3.0).
Калибровка камеры
Компенсация скользящего затвора предполагает, что геометрия камеры уже известна, и каждое метрическое утверждение камеры опирается на эту калибровку. В модели камеры-обскуры Hartley and Zisserman, 2003 матрица внутренних параметров отображает точку в оптической системе координат камеры в пиксель :
где — фокусные расстояния в пикселях, а — главная точка. Инвертирование отображения восстанавливает только луч пеленга, вдоль которого любая глубина согласуется с пикселем:
Метрическая глубина должна поэтому поступать из диспаратности стерео, датчика дальности или выученного априорного знания, каждый со своей ошибкой, и раздел «Границы пространственной ошибки и запаса» относит эту ошибку на запас хода. Искажения объектива исправляются на стадии процессора изображительных сигналов таблицы «Бюджет возраста информации при последовательной передаче». Вывод проекции, модель искажений и планарная калибровка Чжана Zhang, 2000 развиваются в разделе «Проективная геометрия камеры и распространение ковариации».
Отношение камеры к инерциальному измерительному блоку должно калиброваться в пространстве и во времени одновременно Furgale et al., 2013. Ошибка внешнего поворота смещает точку на дальности примерно на , а смещение камеры относительно инерциального блока добавляет ускорения рычага («Пространственные системы координат и кинематика плеча»). Некалиброванное смещение между экспозицией и инерциальной выборкой сбивает ориентацию камеры на , пока база поворачивается с угловой скоростью , смещая ту же точку примерно на , так что ошибка тайминга растет и с угловой скоростью поворота, и с дальностью. Фиксация начал экспозиций и инерциальных выборок по одному аппаратному триггеру ограничивает это смещение, оставляя остаток, который оценивает онлайн-калибровка. Каждая из этих калибровок действует только внутри условий, при которых она подгонялась, поэтому запись наблюдения несет ревизию калибровки и ее диапазон действительности.
Каскад задержек
Экспозиция и считывание — лишь первые стадии, которые проходит кадр. Суммирование стадий каскада задержек раздела «Свежесть измерений» до диспетчеризации дает возраст наблюдения:
Задержка преобразования и возраст информации
Сценарий. Мобильный манипулятор едет к торцу стеллажа на пределе ходовой скорости, когда выходит человек. Мы суммируем возраст наблюдения навигационной камеры от середины экспозиции до диспетчеризации наблюдения и вычисляем расстояние, которое база проходит за это время, .
Каскад задержек по стадиям:
- Середина интегрирования экспозиции (): экспозиция навигационной камеры
16 ms(документация)8 ms.- Построчное считывание скользящего затвора (): скользящее считывание кадра вносит
16.6 ms(документация).- Сериализация и транспорт MIPI CSI-2 (): буклет Sony IMX477 указывает четырехканальный вариант до . Бюджет назначает
0.8 ms(иллюстративно) на остаточный транспорт после потокового считывания; это значение не равно размеру кадра, деленному на пиковую скорость канала.- DMA-прием и очередь буферов V4L2 ядра (): разбросно-сборная запись в DRAM и прерывание драйвера
1.2 ms(иллюстративно).- Дебайеризация и выпрямление аппаратным ISP (): выделенный проход аппаратного ISP на кристалле
2.5 ms(иллюстративно).- Прямой проход тензора зрительного бэкбона (): квантованная по INT8 Vision Transformer на периферийном NPU
22 ms(иллюстративно).- Упаковка ковариации и IPC без копирования (): диспетчеризация кольцевого буфера общей памяти
0.5 ms(иллюстративно).Суммарный возраст наблюдения:
$$t_{\text{age}} = 8 ms + 16.6 ms + 0.8 ms + 1.2 ms + 2.5 ms + 22 ms + 0.5 ms = 51.6 ms$$Смещение на пределе ходовой скорости:
На пределе ходовой скорости базы
1.5 m/s, удерживая скорость в окне возраста:$$\Delta x = (1.5 m/s) \times (0.0516 s) = 0.0774 m = 77.4 mm$$Следствия для системы: База проходит это расстояние прежде, чем любой потребитель прочтет кадр, показывающего человека. Пространственное распространение позы с отметками времени может правильно разместить старое наблюдение в текущей системе координат, но ни одна последующая стадия не возвращает уже пройденное расстояние.
Семь стадий таблицы «Бюджет возраста информации при последовательной передаче» складываются в возраст наблюдения в 51.6 ms, который входит в . Этот возраст завершает худший случай, оставленный открытым разделом «Многотактные ритмы»: инициатор, который продлевает свою аренду, а затем зависает. Кадр, показывающий человека, достигает инициатора лишь через после появления человека. Последнее продление, которое инициатор посылает до того, как мог бы увидеть человека, может уйти не позднее чем через после появления человека, и если затем инициатор зависает, аренда отсчитывает свою полную длину от этого продления. Задержка от появления человека до первой тормозящей силы составляет поэтому возраст плюс аренда 60 ms, такт 1 ms, цикл шины 1 ms и 20 ms начала торможения — суммарно в 133.6 ms.
Путь разрешения никогда не читает изображение, поэтому он не может уменьшить слагаемое возраста; возраст достигает его только через эпоху свидетельств предложения. На пределе ходовой скорости 1.5 m/s слагаемое возраста наблюдения добавляет 77.4 mm к остановочному пути «остановочного пути тела». Нарастающий итог поднимается с 835.5 mm, которые дали строки через путь аренды, до 912.9 mm, что оставляет 187.1 mm от свободного расстояния 1.10 m до торца стеллажа.
| Стадия | Приращение | Последовательный возраст после стадии | Что проверять |
|---|---|---|---|
| Середина экспозиции | 8 ms | 8 ms | Соглашение об отметках времени экспозиции и строк |
| Скользящее считывание | 16.6 ms | 24.6 ms | Выбранная строка и перекрытие с потоковой передачей |
| Остаточный транспорт | 0.8 ms | 25.4 ms | Выбранный режим датчика и приемник хоста |
| DMA и очередь | 1.2 ms | 26.6 ms | Арбитраж и хвост очереди |
| ISP | 2.5 ms | 29.1 ms | Режим и конкурирующие задачи |
| Зрительный бэкбон | 22 ms | 51.1 ms | Нагрузка, часы, тепловое состояние |
| Диспетчеризация | 0.5 ms | 51.6 ms | Сквозной возраст от захвата до потребителя |
Бюджет возраста информации при последовательной передаче: Приращения стадий навигационной камеры, принятые неперекрывающимися, складываются в ее возраст наблюдения. Реальный конвейер может перекрывать считывание, передачу и обработку, поэтому возраст, ограничивающий проект, — это измеренный возраст от захвата до потребителя, включая хвосты очередей.
Возраст пространственной информации и бюджет остановки
Перед распространением зрительного восприятия в пространственное планирование проверьте ваше понимание того, как задержка конвейера создает несмоделированное пространственное смещение:
- Возраст пространственной информации: Можете ли вы объяснить, как физическая задержка от экспозиции фотонов до диспетчеризации общей памяти превращается прямо в несмоделированное кинематическое смещение, размывая запасы хода до того, как политика управления успеет отреагировать?
- Середина экспозиции против отметки прибытия: Можете ли вы описать, почему использование отметок времени получения ядром вместо середин интегрирования экспозиции в качестве эпохи захвата добавляет фазовое запаздывание, способное дестабилизировать замкнутые контуры обратной связи?
- Распространение позы от времени захвата: Можете ли вы объяснить, как распространение позы машины вперед от времени захвата наблюдения правильно размещает старое наблюдение в текущей системе координат и почему это распространение не может вернуть уже пройденное расстояние?
- Возраст наблюдения в остановочном бюджете: Можете ли вы объяснить, почему слагаемое возраста наблюдения добавляется к остановочному пути и почему путь разрешения, никогда не читающий изображение, не может его уменьшить?
Последовательный бюджет трактует транспорт, DMA и очередь как фиксированные приращения, однако каждое зависит от того, что еще хост перемещает в тот же момент. В этих слагаемых трафик камеры может добавить возраст, который не измеряет ни один отдельный владелец стадии.
Цена приема данных
Сырые потоки пикселей, приходящие по MIPI CSI-2 или Ethernet, потребляют DMA и обслуживание памяти прежде, чем инференс сможет их прочитать. На общем прикладном процессоре записи камеры могут также задерживать другие чтения хоста или переполнить приемник и потерять кадр.
DMA-прием MIPI CSI-2 и буферы без копирования
Как только аналого-цифровые преобразователи на кристалле датчика оцифровывают заряды пикселей, кадр должен пройти через физическое межсоединение в память хоста. Потоки камеры входят в прикладный процессор по шине MIPI CSI-2.2
Архитектура потока данных на кремнии
- Физический уровень D-PHY / C-PHY: физические линии сериализуют пакеты пикселей с поддерживаемой скоростью выбранного датчика и приемника; заголовки пакетов несут проверки ошибок.
- Контроллер хоста CSI-2 системы на кристалле (SoC): десериализует байтовые пакеты, снимает заголовки и проверяет целостность CRC.
- Контроллер разбросно-сборного DMA: выделенный движок DMA переносит байтовые слова пикселей прямо в DRAM через внутреннее системное межсоединение (например, кроссбар AXI).
- Кольцевые буферы DMA ядра: драйвер Linux
v4l2может отображать буферы захвата в пользовательское пространство.
Как только запись DMA завершается, драйвер ядра генерирует прерывание.3 Драйвер может экспортировать DMA-буфер через dma_buf, чтобы совместимые тракты ISP или акселератора могли разделять хранилище без дополнительного копирования через ЦП. Преобразование формата, изменения раскладки или ограничения устройства все же могут потребовать копирования или преобразования.
Выбор физического межсоединения диктует нижнюю границу транспорта датчика и накладных расходов приема хостом («Задержки от фотона до актуатора через интерфейсы камер»). В робототехнических системах проектировщики часто выбирают интерфейсы камеры по механическому удобству (например, кабели USB 3.0), не учитывая налогов на очереди драйвера и пакетизацию протокола. Измерение полного каскада задержек от фотона до актуатора через четыре стандартных интерфейса воплощенного зрения обнаруживает совокупную цену этих транспортных решений. Тогда как стандартный промышленный USB 3.0 вносит существенную задержку замкнутого контура 58,4 мс из-за пакетизации драйвером класса USB Video Class (UVC), копирований ядра в пользовательское пространство и переменного опроса межкадрового интервала USB, встроенный MIPI CSI-2 достигает детерминированных 34,6 мс туда и обратно через прямой доступ к памяти (DMA) D-PHY непосредственно на SoC. Автомобильные сериализаторы/десериализаторы (SerDes) GMSL2 совпадают по задержке с MIPI CSI-2 (34,8 мс), одновременно удлиняя физический охват сигнала до 15 метров по легкому коаксиальному кабелю с задержкой сериализации на линии всего ≈50 мкс. Наконец, нейроморфные событийные камеры (такие как Prophesee Metavision DVS) полностью обходят обычную интеграцию экспозиции и считывание скользящего затвора, передавая асинхронные изменения полярности с микросекундными интервалами, что обеспечивает ультрабыстрое время реакции замкнутого контура 11,9 мс.
Задержки от фотона до актуатора через интерфейсы камер: Сравнение задержек по стадиям четырех интерфейсов камеры (нейроморфная событийная камера, встроенный MIPI CSI-2, автомобильный GMSL2 SerDes и промышленный USB 3.0 UVC), измеряющее совокупный путь от оптического преобразования до механического нарастания момента двигателя. USB 3.0 несет значительный налог драйвера и пакетизации (58,4 мс всего), встроенный MIPI CSI-2 и автомобильный GMSL2 обеспечивают детерминированный прием по DMA (34,6 мс и 34,8 мс), а нейроморфный DVS обходит кадровую экспозицию и скользящее считывание, достигая 11,9 мс реакции замкнутого контура.
Конкуренция за шину памяти и возраст наблюдения
Сырые скорости навигационной камеры и камеры запястья машины вычисляются в примере «Бюджеты приема и хранения для нескольких камер». Когда стек восприятия читает эти кадры, копирует или преобразует промежуточные буферы, а акселератор читает веса и записывает активации, контроллер памяти несет многократно превышающую скорость приема. Даже эта кратность при усреднении за секунду находится далеко внутри пиковой пропускной способности памяти.
Средняя пропускная способность не определяет задержку одного чтения. Синхронизированные камеры концентрируют свои DMA-записи в пачки, а гранулярность арбитража, приоритет чтения и размещение банков решают, сколько любой другой запрос ждет за ними. На мобильном манипуляторе пачка приходится только на прикладный процессор. Путь разрешения работает на собственном микроконтроллере и читает свое состояние из собственной памяти, поэтому пачка не может растянуть его такт, а размещение на общем кристалле, которое подвергло бы эти чтения, — то самое, которое отвергает раздел «Конкуренция за общие ресурсы». Пачка достигает пути разрешения только как возраст кадра, на котором построено предложение, или запаздывание продления, которое посылает политика фрагмента, и у этих двух величин разные допуски. Кадр, который ждет за трафиком камеры и акселератора, достигает диспетчеризации старее бюджетных стадий, а порог отказа раздела «Контракт наблюдений» не оставляет над ними запаса, поэтому каждое предложение, построенное на этом кадре, отвергается.
Фрагмент, чей инференс ждет за тем же трафиком, продлевает аренду с опозданием, и здесь правило аренды раздела «Единый связанный бюджет анатомии» оставляет 5 ms дрожания продления сверх периода фрагмента 50 ms. Конкуренция хоста может поэтому растянуть инференс политики фрагмента 40 ms не более чем на 12.5 процента, а на практике меньше, поскольку тот же допуск удерживает также собственное дрожание инициатора и дрожание платформенной линии к микроконтроллеру («Решения по изоляции на кремнии»). Продление с опозданием 10 ms позволяет аренде истечь и останавливает машину. Конкуренция на этом размещении стоит доступности, но никогда — расстояния, потому что путь разрешения отвергает то, что остановочный бюджет не зарезервировал.
Важно для самой камеры и то, как долго пачка удерживает шину. Если добавленная задержка превышает то, что может буферизовать FIFO приемника, приемник может переполниться и потерять кадр; порог зависит от его буфера и паттерна пачек. Потерянный кадр удваивает интервал между двумя иначе периодическими выборками, и потребитель трактует отсутствующее обновление как отказ по возрасту или последовательности, а не предполагает, что новое изображение прибудет по расписанию.
Аппаратные механизмы, управляющие доставкой кадров (кольца DMA, отображения IOMMU и арбитраж DRAM), рассматриваются в Hennessy and Patterson, 2019 и Bryant and O’Hallaron, 2015. Для решения этой главы важная величина — возраст от захвата до потребителя и его хвост при намеченной нагрузке камеры.
Кадр, пришедший вовремя, отвечает лишь на вопрос, когда была снята сцена. Где находятся в ней объекты и насколько этой оценке можно доверять — вопрос отдельный, и ошибка в этом ответе расходуется из того же запаса хода.
Границы пространственной ошибки и запаса
Когда восприятие помещает стойку стеллажа на несколько сантиметров дальше от пути базы, чем она стоит на самом деле, база планирует свой проход с этими сантиметрами, вычтенными из бокового запаса 0.15 m, который она выдерживает от стеллажей, и ни одна стадия конвейера не решила их израсходовать. Как только нижестоящая логика управления использует оценочную координату для разрешения движения, пространственная ошибка становится физическим смещением, расходуемым из того же запаса хода, который удерживает машину от препятствия. Превращение сенсорного наблюдения в утверждение о запасе хода требует метрического обоснования, отображающего сырые измерения детектора в геометрическое пространство. Это обоснование опирается на обратную проекцию двумерных сенсорных координат в три измерения — обращение, предполагающее известную оптику, жесткое крепление и предсказуемые свойства поверхностей.
Математические принципы проекции и триангуляции, подробно изложенные в Hartley and Zisserman, 2003 и Szeliski, 2022, управляют тем, как шум измерения превращается в пространственное смещение. В пассивном стереозрении глубина вычисляется из базы , фокусного расстояния и диспаратности через соотношение . Дифференцирование этой обратной проекции по диспаратности дает неопределенность глубины («неопределенность стерео»):
где — малая ошибка диспаратности.4 Если обозначает среднеквадратичное отклонение диспаратности , распространение первого порядка дает . Удвоение дальности увеличивает это смоделированное среднеквадратичное отклонение в четыре раза при фиксированных , и . Для далеких ориентиров оценщик вместо этого несет глубину как обратную глубину , ошибка которой остается примерно линейной, и это метрическое обоснование обратной глубины удерживает расширенный фильтр Калмана от расхождения на квадратичном хвосте. Импульсный датчик времени пролета вместо этого оценивает ; его ошибка дальности зависит от его механизмов тайминга и детектирования и может быть примерно плоской в заданной рабочей области.
Чтобы количественно оценить геометрию, примем иллюстративную стереопару (навигационная камера в одиночку восстанавливает только луч пеленга («луч пеленга»)) с 0.20 m, 800 px и среднеквадратичным отклонением диспаратности 0.5 px на испытанном диапазоне. Распространение первого порядка дает 12.5 mm на 2 m и 312.5 mm на 10 m («Ошибка глубины и отступы запаса»). Это масштабы одного среднеквадратичного отклонения, а не отступы запаса или границы 99-го перцентиля. Пригодный отступ требует хвостового квантиля полного пространственного остатка, откалиброванного на намеченном датчике, дальности, текстуре, движении и условиях освещения, при отдельной обработке систематического смещения и пропусков обнаружений. Поэтому запас хода 150 mm, выдерживаемый вдоль луча обзора до препятствия, нельзя расширить до действительного отступа 162.5 mm или 462.5 mm простым добавлением одного . Скорость должна быть снижена или предложение отвергнуто всякий раз, когда проверенные границы ошибки дальности и запаса остановки не помещаются.
Запасы отступа и распространение по цепочке преобразований
Пространственная ошибка выходит за пределы оптической системы координат датчика. Чтобы управлять движением, оценочная точка должна распространиться через преобразования координат до системы координат основания робота и рабочего органа. Механика преобразований твердых тел и композиция кинематических систем SE(3) — стандартные результаты, рассматриваемые Крейгом Craig, 2005 и в Lynch and Park, 2017. Каждое звено этой цепочки преобразований вносит ошибки масштаба, дрейф калибровки крепления, квантование энкодеров шарниров и механическую податливость под нагрузкой (например, когда манипулятор слегка проседает под действием гравитации). Эффекты рычага линейно усиливают малый угловой поворот у крепления датчика с расстоянием, размазывая спроецированные координаты по широкой дуге. Если внешняя калибровка навигационной камеры смещается на 0.005 rad относительно шасси, поперечная ошибка на 10 m составляет 50 mm, равную по величине всему локализационному допуску 50 mm , который остановочный бюджет удерживает вдоль направления движения. Сравнение здесь о масштабе, а не о распределении. Допуск несет малые проверенные остатки, такие как ход преобразования часов раздела «Контракт наблюдений», и смещение, ему сопоставимое, есть отказ калибровки, который потребитель должен отвергнуть проверкой действительности калибровки, а не поглотить. В сочетании с квадратичной неопределенностью глубины суммарный вектор пространственной ошибки на больших дальностях определяется глубиной вдоль оптической оси и угловыми эффектами рычага, перпендикулярными ей.
↳ Ниже по потоку: Огибающие пространственной ковариации раздувают вперед-инвариантные множества барьеров безопасности, выведенные в разделе «Безопасные множества как условное разрешение».
Каждый физический барьер безопасности работает, защищая геометрическую границу вокруг машины. Для вектора ошибки положения неравенство треугольника дает консервативное соотношение между номинальным и истинным запасом хода: Для проверенного квантиля нормы ошибки 99-го перцентиля путь разрешения может выбрать отступ запаса («отступ запаса»):
Здесь — физический запас хода, который должно выдерживать движение, например боковой запас базы, а квантиль должен происходить из заданной, проверенной совокупности остатков для полной пространственной ошибки, включая смещение калибровки. Даже тогда он оставляет однопроцентный хвост под испытательным распределением; закрыть его смогли бы только обоснованная жесткая граница соответствующей ошибки, осуществимый путь остановки и отклик разрешения внутри оставшегося бюджета задержки. Рисунок «Ошибка глубины и отступы запаса» показывает, как растущий масштаб ошибки глубины стерео может потребовать большего отступа на больших дальностях.
Ошибка глубины и отступы запаса: (A) Масштаб глубины стерео в одном среднеквадратичном отклонении растет с квадратом дальности при фиксированном разбросе диспаратности; квалифицированный датчик времени пролета может быть более плоским. (B) Проверенный квантиль нормы ошибки 99-го перцентиля увеличивает номинальный отступ запаса и оставляет остаточный хвост и риск смещения. Атрибуция: анализ геометрических ошибок книги, CC BY 4.0.
Поскольку запас хода зависит от распространенной ошибки, нижестоящие планировщики и путь разрешения не могут потреблять сырые кортежи координат. Одна ковариация не говорит, оправдан ли отступ запаса в или ; для этого нужен независимо проверенный хвост или жесткая граница.
Когда пространственная ошибка квалифицирована, путь разрешения может расширить отступ запаса, обменивая скорость или рабочее пространство на разделение. Стена без текстуры, блики или утраченная калибровка могут аннулировать эту квалификацию, не делая числовую дисперсию буквально бесконечной. Путь разрешения должен тогда отвергнуть движение, зависящее от затронутого утверждения, и выбрать осуществимое резервирование.
На каждом кадре производитель строит пространственное утверждение в фиксированном порядке, и любой шаг может его завершить. Сначала он преобразует отметку времени захвата в часы потребителя с ограниченной ошибкой синхронизации и вычисляет ; если возраст плюс неопределенность часов превышают порог отказа, он помечает наблюдение устаревшим, и предложения, которым оно нужно, отвергаются. Путь разрешения повторяет эту проверку на своем такте по верхней границе возраста, которую несет диспетчеризованная запись («Контракт наблюдений»). Для свежего наблюдения производитель затем распространяет положение и неопределенность к моменту решения по проверенной модели движения, выводит обратной проекцией каждое пиксельное измерение в оптические координаты с сенсорной ковариацией,5 и переносит точку и ковариацию в систему координат тела распространением ошибки SE(3) первого порядка через откалиброванные внешние параметры. Проверенные остатки, включая смещение, затем задают радиус отступа, а когда действительной границы не остается, затронутое движение отвергается. Из восприятия выходит утверждение , а не голая координата.
Выученные признаки сцены и глубина
Восприятие с открытым словарем добавляет выученный семантический слой поверх метрической сенсорики, построенный из фундаментальных моделей зрения для 3D. Самосупервизорный бэкбон, такой как DINOv2 Oquab et al., 2023, дает плотные признаки патчей, сегментатор с подсказками, такой как SAM Kirillov et al., 2023, дает не зависящие от классов маски экземпляров, а системы, такие как ConceptGraphs Kuwajerwala et al., 2024; Jatavallabhula et al., 2023 и Hydra Hughes et al., 2022 поднимают эти маски и признаки через откалиброванные глубину, внешние параметры и одометрию в ориентированный на объекты 3D-граф сцены, чьи узлы несут центроид, пространственную ковариацию и выровненное по тексту вложение.
Эти признаки расходуют бюджет вычислений и возраста Williams et al., 2009. Гипотетический энкодер на 3 TFLOP при частоте кадров навигационной камеры 60 Hz потребовал бы 180 TFLOP/s непрерывной полезной пропускной способности еще до предобработки или трафика памяти, тогда как NVIDIA указывает до 43 плотных FP16 TFLOP/s для Jetson AGX Orin в своем техническом буклете — это пиковая арифметическая скорость, а не непрерывная пропускная способность модели. Энкодер не может работать на частоте камеры на этом процессоре даже на арифметическом потолке, поэтому восприятие расщепляется на многочастотную иерархию. Метрический прием на прикладном процессоре превращает DMA-буферы камеры в точки препятствий и сетки занятости на без тяжелого бэкбона, а фундаментальные модели обновляют семантические узлы графа сцены на ключевых кадрах на . Медленное семантическое обновление допустимо только тогда, когда свежая метрическая сенсорика и путь разрешения удерживают физический запас между обновлениями.
Стадия подъема с камеры на вид сверху, такая как Lift-Splat-Shoot Philion and Fidler, 2020, разработанная в разделе «Подъем с камеры на вид сверху» («Подъем лучевой пирамиды камеры и BEV-сплаттинг»), помещает выученные гипотезы глубины из 2D-зрительных бэкбонов в метрическую сетку планировщика, но ее веса бинов глубины — это оценки модели, а не откалиброванная метрическая ошибка, поэтому отступ запаса «отступа запаса» все еще опирается на проверенные остатки.
Каждая граница этого раздела, метрическая или выученная, предполагает, что датчик ведет себя согласно калибровке. Распространение ограничивает ошибку датчика, работающего как смоделировано; оно ничего не говорит о датчике, который перестал работать так, продолжая выдавать кадры с номинальной частотой.
Как наблюдения дают сбой
Навигационная камера может выйти из строя двумя способами, которые совершенно не похожи для ее потребителя. Если ее линия сериализатора теряет синхронизацию, драйвер поднимает ошибку и кадр никогда не приходит. Если свет через открытые ворота дока насыщает объектив, когда база поворачивает в проход, камера выдает полный кадр с номинальной частотой, в котором торец стеллажа — пятно насыщенного белого. Отказы восприятия делятся ровно по этой линии на два эксплуатационных класса. Обнаружимые отказы возникают, когда физический датчик или транспортная среда сообщает явное состояние ошибки. Линия сериализатор-десериализатор теряет синхронизацию (теряя синхронизацию часов), циклическая проверка избыточности обнаруживает испорченную полезную нагрузку, кадровый буфер переполняется или транспортная шина выходит по тайм-ауту. Эти отказы просто обрабатывать, поскольку аппаратный драйвер выставляет флаг ошибки на границе приема. Нижестоящие потребители регистрируют отсутствующий кадр и аннулируют устаревшие оценки состояния, а как только возраст свидетельств превышает свой бюджет, путь разрешения отказывает и переводит машину на проверенное резервирование. Напротив, молчаливые отказы возникают, когда аппаратура датчика и транспортный конвейер работают без ошибок, доставляя полностью заполненный, структурно корректный тензор, чьи численные значения искажают физический мир.
Физическая деградация оптического тракта — частый источник молчаливой ошибки.6 Когда прямой солнечный свет попадает в оптическое отверстие, падающие фотоны превышают физическую емкость заряда («емкость полного колодца») CMOS-фотодиодов, удерживая интенсивности пикселей на их максимальном пределе квантования (обрезая изображение до чисто белого) на больших участках матрицы. Эта насыщение динамического диапазона уничтожает локальные пространственные градиенты. Извлекатели признаков, оценщики оптического потока и алгоритмы сопоставления диспаратности отказывают, потому что математическая оптимизация на однородном плоском поле дает нулевую информацию, однако драйвер выдает корректный кадр с номинальной строчной частотой. Слабо освещенные среды вносят противоположный режим отказа. По мере падения окружающей освещенности дискретное, случайное поступление отдельных фотонов (фотонный шум отсчетов) и собственные электрические флуктуации усилителя датчика (шум считывания датчика) доминируют в измерении. Отношение сигнал/шум обваливается, заставляя нижестоящие нейронные сети извлекать геометрические признаки из случайных шумовых флуктуаций, а не из физических границ сцены. Загрязнения окружающей среды на защитной линзе или купольном окне (такие как капли воды, летучая пыль или брызги грязи) действуют как нерегулярные преломляющие элементы и оптические фильтры нижних частот. Они ослабляют контраст, искажают пространственную геометрию и скрывают препятствия, пока транспортная шина продолжает работать, не выставив ни единого флага отказа.
Аномалии тайминга и транспорта также могут молча испортить наблюдение. Если незащищенный физический интерфейс подвергается электромагнитным помехам, сбои бит десериализатора (когда аппаратура теряет или дублирует бит, рассоединяя весь последующий поток данных) могут изменить семантику полезной нагрузки, не аннулируя стандартные длины пакетов. Опаснее потерянного пакета, поскольку ничто не сигнализирует о нем, — наблюдение, доставленное с отметкой времени, неверно сообщающей его истинную эпоху захвата. Если сенсор изображения захватывает фотоны в эпоху , но запоздавший обработчик прерываний или несинхронизированные системные часы проставляют результирующему буферу памяти , нижестоящий оценщик состояния интегрирует пространственные признаки под неверной позой тела. Рассмотрим машину, движущуюся со мгновенной скоростью и линейным ускорением вдоль заданной траектории. Когда восприятие страдает от необнаруженной рассинхронизации тайминга , оценщик состояния относит обнаруженное положение препятствия к координатам тела в , а не в . За несмоделированный временной интервал физическая ошибка оценки состояния между утверждаемым положением и истинным положением определяется соотношением кинематического дрейфа («кинематический дрейф»):
Отметка прибытия из раздела «Что передает восприятие» — это молчаливая рассинхронизация именно такого рода. При постоянной скорости хода слагаемое ускорения исчезает, оставляя смещение вычисленной там величины, и ничто не поднимает флаг отказа. Поскольку конвейер доставляет непрерывный поток корректных тензоров, оценщик состояния предполагает свежее наблюдение, вычисляя безопасные траектории актуаторов из устаревшей физики. Отсутствующий кадр вызывает известную потерю информации, с которой фильтр Калмана может справиться, расширяя свою ковариацию состояния. Кадр, пришедший вовремя с испорченной отметкой времени, заставляет фильтр сжать ковариацию вокруг неверного среднего, направляя актуаторы к препятствию, которое модель считает уже пройденным.
Защита от молчаливого отказа требует выделенных наблюдателей работоспособности времени выполнения на границе приема датчика. Наблюдатель гистограммы интенсивностей пикселей измеряет распределение сырых оцифрованных значений сразу после передачи прямого доступа к памяти, выявляя насыщение при переэкспозиции, когда значения концентрируются на максимальной разрядности, или закрытие объектива, когда пространственная дисперсия падает ниже эмпирического шумового пола. Аппаратный сторожевой таймер отслеживает межприходные интервалы по каналу прямого доступа к памяти, сигнализируя о транспортном дрожании, когда межкадровые интервалы превышают . Выше по стеку наблюдатель правдоподобия оптического потока сравнивает вычисленные векторы смещения пикселей с физической огибающей скорости тела, отвергая наблюдения, подразумевающие ускорения сверх механических возможностей. В мультимодальных конфигурациях проверка межсенсорной согласованности сравнивает высокочастотные (1 000 Hz) интегрирования инерциального измерительного блока с визуальной одометрией. Если зрительный конвейер сообщает, что машина неподвижна, а акселерометр измеряет удерживаемую собственную силу (физическое ускорение, ощущаемое корпусом датчика), наблюдатель обнаруживает расхождение и срабатывает как отказ восприятия.
Каждый наблюдатель работоспособности времени выполнения видит мир только через то, что сообщил преобразователь на каузальной границе раздела «Каузальная граница», поэтому один сенсорный канал не может проверить собственные семантические интерпретации. Сборка камеры с чистой оптикой, сбалансированной экспозицией, свободным от дрожания транспортом и синхронизированным микросекундным таймингом все равно может представить наблюдение, которое приведет выученную модель к галлюцинации свободного пути или игнорированию препятствия. Поскольку глубокие зрительные модели проецируют высокомерные входы через сложные нелинейные многообразия, оптические аномалии внутри распределения (такие как высококонтрастная тень поперек прохода, человек, напечатанный на коробке, или зеркальные блики от термоусадочной пленки или мокрого пола) порождают правдоподобную пиксельную статистику, корректные поля оптического потока и высокую уверенность модели. Односенсорный наблюдатель оценивает, работал ли процесс сбора данных в номинальных пределах, а не соответствует ли выведенная семантика физической реальности. Вторая модальность, такая как лидар или радар, может подтвердить некоторые оптические утверждения, когда ее охват и зависимость отказов проверены. Отдельно проверенный путь разрешения может принудительно обеспечивать запас хода только в пределах своих предположений о сенсорике, модели, тайминге и актуаторах; ни один из путей не устанавливает безусловной семантической истины.
Сравнение в таблице «Сравнение модальностей пространственных датчиков» показывает, что каждый сенсорный механизм может утверждать и что должно быть проверено перед объединением утверждений. Вторая модальность может уменьшить общий режим отказа только тогда, когда установлены ее собственные охват, тайминг, калибровка и корреляция отказов.
| Модальность | Непосредственная физическая информация | Главное ограничение | Проверка, важная для разрешения |
|---|---|---|---|
| RGB-камера | Пеленг, внешний вид и движение изображения | Масштаб монокулярной глубины неоднозначен; блики, темнота и окклюзия могут скрывать объекты | Свежее время захвата и проверенное метрическое подтверждение |
| Откалиброванное стерео | Дальность из диспаратности на квалифицированной базе и области текстуры | Ошибка дальности растет с расстоянием при фиксированной ошибке диспаратности; калибровка и сопоставление могут дать сбой | Зависящая от дальности валидация остатков и смещения |
| Импульсный лидар | Дальность времени пролета в заданных направлениях | Точность, угловой охват и погодный отклик зависят от устройства и сцены | Квалифицированная дальность, качество отражения и тайминг сканирования |
| FMCW-радар | Дальность и радиальная скорость обнаруженных отражений | Многолучевость, угловая неоднозначность и пороги обнаружения зависят от конфигурации | Ассоциация треков и охват пересекающихся целей |
| Событийная камера | Асинхронные события изменения яркости и сигналы движения | Неподвижные объекты могут давать мало событий; пропускная способность выхода зависит от частоты событий и кодирования | Работоспособность частоты событий и независимый источник метрической глубины |
Сравнение модальностей пространственных датчиков: Сенсорные механизмы дают дополняющие, но подверженные ошибкам утверждения. Численные дальность, точность, частота обновления и бюджеты линка требуют названного устройства и режима. Например, Prophesee EVT2 кодирует событие в 32 битах, поэтому нагрузка на линк событийной камеры растет с частотой ее событий до накладных расходов транспорта.
Молчаливый пропуск в восприятии (2016)
Контекст: Tesla Model S 2015 года, ехавшая примерно с активными адаптивным круиз-контролем и функцией Autosteer, врезалась в рефрижераторный полуприцеп, поворачивающий налево через ее путь, недалеко от Уиллистона, Флорида National Transportation Safety Board, 2017.
Механизм: Столкновение при пересечении путей лежало вне передне-задних режимов столкновений, для которых были спроектированы системы предупреждения и автоматического торможения 2015 года. NHTSA сообщало, что автоматическое торможение требовало согласия между камерой и радаром; необычные формы транспортных средств могли мешать классификации камерой (NHTSA ODI PE16-007).
Последствия: NTSB не обнаружило записанных указаний на то, что предупреждение о лобовом столкновении или автоматическое экстренное торможение обнаружили объект, и торможения до удара не было. Автомобиль проехал под прицепом, который срезал ему крышу («Повреждения при столкновении в Williston»).
Реакция: NTSB рассмотрело пределы области эксплуатационного назначения и вовлеченность водителя наряду со системами предотвращения столкновений.
Урок для систем: Отсутствие обнаружения — не свидетельство того, что пересекающий путь свободен. Проект разрешения должен учитывать охват обнаружения и неподдерживаемые сценарии; флаг работоспособности не может удостоверить, что каждый значимый объект был воспринят.
Повреждения при столкновении в Williston: Этот слайд презентации NTSB показывает повреждения на правой стороне полуприцепа и Tesla без крыши после столкновения 2016 года. Геометрия пересечения путей и отсутствие торможения до удара взяты из отчета NTSB о происшествии, а не только из фотографий. Фотографии на слайде NTSB приписаны дорожной полиции Флориды.
Какую бы запись производитель ни приложил к наблюдению, она может обнаружить только те отказы, которые производитель способен проверить. Обнаружимые отказы и условия тайминга и калибровки вписываются в такую запись; молчаливые семантические ошибки, такие как пропуск в Уиллистоне, все еще требуют отдельных свидетельств.
Контракт наблюдений
Нижестоящий трекер или путь разрешения не могут восстановить тайминг экспозиции, калибровку крепления или целостность записи из одного тензора. Поэтому производитель восприятия оборачивает каждое наблюдение в запись, и наблюдение непригодно без эпохи захвата, идентификатора часов, ограниченного преобразования в часы пути разрешения и калибровки внутри ее диапазона действительности, ревизию которой несет идентификатор кадра; потребитель отвергает запись, в которой чего-либо из этого нет, до чтения полезной нагрузки. Часовой домен и бюджет возраста берутся из протокола передачи раздела «Матрица передач», который эта запись потребляет, а восприятие снабжает полями стороны захвата, позволяющими потребителю сверить с ними наблюдение.
Контракт наблюдений
Контракт наблюдений — формальная киберфизическая спецификация, управляющая сенсорными структурами данных, пересекающими вычислительные границы, привязывающая сырой тензор наблюдения к отметке времени середины его экспозиции (), границе ошибки синхронизации (), идентификатору системы координат датчика, положительно полуопределенной матрице пространственной ковариации () и битовой маске работоспособности оборудования:
- Значение: Позволяет нижестоящему оценщику состояния или пути разрешения вычислить верхнюю границу возраста для каждого утверждения, выбрать его действительное преобразование и ограничить его пространственную ошибку до того, как утверждение повлияет на предложение движения.
- Отличие: В отличие от обычного заголовка сетевого сообщения или схемы сериализации (например, Protocol Buffers), контракт наблюдений связывает целостность сериализации и происхождение сборки с физическим временем () и действительностью пространственного преобразования.
- Типичная ловушка: Трактовать выход восприятия как чистую геометрическую координату без распространения ее пространственной ковариации или битовой маски работоспособности датчика, ослепляя нижестоящие фильтры безопасности к окклюзии датчика или ухудшенному освещению.
| Поле записи | Значение | Проверка потребителем | Навигационная камера |
|---|---|---|---|
capture_timestamp_ns, capture_clock_id | Середина экспозиции в общих монотонных часах захвата | Преобразовать во время микроконтроллера безопасности (MCU) действительным отображением с ограниченным расхождением до проверки возраста | Середина экспозиции на часах cam_nav; диспетчеризуется на 51.6 ms позже («Бюджет возраста информации при последовательной передаче») |
sync_error_ns | Граница ошибки преобразования часов от захвата к MCU | Прибавить к худшему возрасту; отвергнуть при отсутствии или истечении | 0.2 ms, поэтому верхняя граница возраста при диспетчеризации составляет 51.8 ms |
sequence_index | Монотонный счетчик кадров камеры | Обнаруживать пропуски и переупорядочивание | Один отсчет на кадр при 60 Hz |
sensor_frame_id | Ключ дерева преобразований и ревизия калибровки | Выбрать действительное внешнее преобразование | nav_cam с ревизией его калибровки |
tensor_payload | Формат, размеры, длина и буфер | Проверить границы и записать контрольную сумму перед чтением | |
spatial_covariance | Положительно полуопределенная пространственная шкала ошибки | Использовать с отдельно откалиброванными смещением и границами хвоста | |
calibration_metadata | Внутренние и внешние параметры, коэффициенты, температура, диапазон действительности | Отвергать калибровку вне ее проверенной области | |
provenance_digest | SHA-256 ревизий прошивки и модели | Совпадать с утвержденной сборкой; это не целостность полезной нагрузки | |
payload_crc32 | CRC по сериализованному заголовку (за исключением этого поля) и полезной нагрузке | Обнаруживать случайное повреждение записи; не аутентификация | |
health_bitmask | Флаги работоспособности оборудования и восприятия | Отвергать утверждения с отказами, критичными для безопасности | Биты потери синхронизации, линка, транспорта и насыщения; биты поддержки входа из раздела «Что оценка не может установить» |
Схема протокола наблюдений физического ИИ: Компактные поля, необходимые, чтобы датировать утверждение и привязать его к системе координат, оценить его неопределенность и проверить байты и породившую ревизию. Последний столбец заполняет поля, которые эта глава вычисляет для навигационной камеры мобильного манипулятора; ее возраст при диспетчеризации и граница преобразования часов иллюстративны. Ключевой аутентификатор — отдельное требование, если модель угроз включает злонамеренную модификацию.
Поля в таблице «Схема протокола наблюдений физического ИИ» — полный набор за кортежем определения — датируют каждое наблюдение и породившую его ревизию. Все камеры в этом примере фиксируют середины экспозиций в общем монотонном домене захвата; отметка времени — это не наносекунды от эпохи UNIX. Утверждение скользящего затвора должно также идентифицировать строку или область, чье время захвата оно представляет, а sequence_index обнаруживает пропущенные кадры независимо от преобразования часов. Если у MCU другие часы, служба синхронизации поставляет версионированное преобразование (где — середина экспозиции из раздела «Что передает восприятие»), его интервал действительности и измеренную границу ошибки . Диспетчеризация проставляет оценку верхней границы возраста на часах MCU в тот момент, когда запись уходит инициатору. Предложение несет этот возраст к пути разрешения, который отвергает наблюдение, если преобразование недействительно или эта верхняя граница возраста превышает его порог отказа. Интервал от диспетчеризации до такта разрешения, содержащий инференс фрагмента и линк, — не возраст свидетельств; его зарезервирует аренда раздела «Единый связанный бюджет анатомии».
Для навигационной камеры порог — это возраст, зарезервированный остановочным бюджетом, плюс граница преобразования, 51.6 ms плюс 0.2 ms, то есть 51.8 ms, и запись, покидающая диспетчеризацию, уже стоит на нем, поэтому любая дальнейшая задержка — от группировки кадров по разным моментам захвата или от конкуренции хоста — отвергается. Бюджет резервирует как расстояние только возраст 51.6 ms; 0.3 mm хода от границы на пределе хода несется внутри локализационного допуска .
Ключ преобразования и ревизия калибровки закрепляют метрические координаты.7 Дайджест прошивки/модели поддерживает происхождение версии; payload_crc32 обнаруживает случайные изменения фактического заголовка и полезной нагрузки после сериализации. Ни контрольная сумма, ни хеш сборки не доказывают семантической истины, и ни одно из них не аутентифицирует злонамеренного производителя без ключевой проверки.
В битовой маске работоспособности младшие биты сообщают об аппаратных отказах, таких как потеря синхронизации или транспортные ошибки; старшие биты могут сообщать о проблемах перцептивной достоверности, таких как окклюзия или вход вне поддержки, испытанной при оценке, и эти биты поддержки входа реализуют наблюдатель времени выполнения, заданный в разделе «Что оценка не может установить». Установленный бит, критичный для безопасности, требует отказа по затронутому утверждению.
Явная раскладка записи также поддерживает внедрение отказов. Тест может изменить время захвата, опустить номер последовательности, раздуть сообщаемую ковариацию или установить флаг окклюзии, затем проверить, отвергает ли потребитель это утверждение или деградирует его в пределах своего бюджета. Такие мутации проверяют отклик на внедренные отказы записи; физические блики, ошибки калибровки и поведение актуатора все еще требуют отдельных испытаний в разделе «Верификация».
↳ Ниже по потоку: Мутации контракта наблюдений подают в стенд верификации аппаратуре-в-контуре раздела «Внедрение отказов на аппаратуре».
Проверки протокола наблюдений
Прежде чем подавать сырые сенсорные наблюдения в нижестоящие оценщики состояния, проверьте ваше понимание контрактов протокола наблюдений:
- Разбор записи: Можете ли вы объяснить, почему бит работоспособности, контрольная сумма, действительное преобразование часов и проверка свежести должны предшествовать потреблению пространственного утверждения?
- Порча отметки времени против потерянных пакетов: Можете ли вы описать, почему получение сенсорного кадра с рассинхронизированной отметкой времени деградирует оценку состояния куда сильнее, чем полная потеря пакета?
- Детерминированное внедрение отказов: Можете ли вы различить физическое возмущение оптических датчиков и детерминированную мутацию полей в протоколе наблюдений общей памяти при автоматизированной верификации аппаратуре-в-контуре?
Пройденная проверка записи показывает лишь, что утверждение хорошо сформировано и датировано, а повторяющиеся ошибки систем восприятия начинаются, когда такой проход читается как свидетельство того, что утверждение истинно.
Заблуждения и ловушки
Восприятие должно описывать мир в пределах жестких временных предельных сроков, необходимых для исполнения команды управления. Семантическая уверенность и высокая пространственная точность не могут компенсировать конвейеры, доставляющие устаревшие наблюдения, сливающие асинхронные экспозиции или читающие среднюю пропускную способность как границу возраста одного кадра.
Заблуждение и ловушка
Заблуждение: Принятие наблюдения за высокую уверенность его семантической классификации независимо от его возраста.
Мобильный манипулятор получает высокую уверенность в том, что торец стеллажа впереди свободен, но зависание зрительного конвейера доставляет это наблюдение с опозданием на несколько кадров. Человек, вышедший после экспозиции, в этом кадре отсутствует. Оценка уверенности описывает более раннее изображение, а не нынешний запас хода. Принятие пакета как актуального может поэтому разрешить движение к занятому торцу стеллажа. Интерфейс восприятия должен сверять возраст измерения с порогом отказа («Контракт наблюдений») и отвергать наблюдения, его превышающие. Любое продолженное распространение состояния без новых данных должно нести расширяющиеся ковариации кинематической неопределенности, ограничивающие достижимые множества динамических препятствий, позволяя контроллеру принудительно обеспечивать огибающие безопасности по мере старения исторических свидетельств.
Заблуждение и ловушка
Ловушка: Слияние мультисенсорных пространственных наблюдений без субмиллисекундной аппаратной синхронизации часов.
Две камеры на мобильном манипуляторе наблюдают одну и ту же стойку стеллажа, пока база едет на пределе ходовой скорости
1.5 m/s, но их часы различаются на . Трактовка двух времен экспозиции как равных помещает стойку на расстоянии друг от друга в двух видах, и ассоциация треков может затем расщепить один физический объект на два конфликтующих трека («двоение»). Пространственная калибровка не может исправить неизвестное временное смещение. Требование синхронизации должно следовать из допустимой ошибки положения и максимальной релевантной скорости, выражаясь как . Аппаратная синхронизация в момент экспозиции делает эту границу принудительно обеспечиваемой; выбор технологии тайминга (например, IEEE 1588 PTP) без предварительной проверки бюджета пространственной ошибки оставляет предположение слияния непроверенным.
Заблуждение и ловушка
Ловушка: Вывод предельного срока критического чтения из средней пропускной способности камеры.
Приемлемая средняя загрузка ничего не говорит о том, сколько одно чтение ждет за синхронизированной пачкой захвата и инференса. На мобильном манипуляторе ни одно чтение пути разрешения не ждет за пачкой, потому что микроконтроллер читает из собственной памяти; пачка вместо этого старит кадр или задерживает фрагмент, который готовит прикладный процессор («Цена приема данных»), поэтому величины, которые нужно проверять при синхронизированной пачке, — это возраст хоста от захвата до диспетчеризации и его интервал продления, а не средняя пропускная способность.
Итоги
Результат восприятия пригоден только тогда, когда его время захвата, преобразование часов, система координат и квалификация ошибки подходят предложенному движению. Возраст принадлежит измерению, а не несущему его конвейеру. Он начинается от середины экспозиции, и на мобильном манипуляторе возраст навигационной камеры от захвата до диспетчеризации — сама по себе строка остановочного бюджета и первый интервал задержки до торможения , отсчитываемый от момента появления человека. Оценщик, датирующий кадр по его прибытию, скрывает часть этого возраста, а не устраняет ее, а конкуренция за память хоста может лишь удлинить его, поэтому возраст, ограничивающий проект, — тот, что измерен под намеченной нагрузкой камеры. Путь разрешения отвергает любую запись, чья верхняя граница возраста превышает бюджетный возраст плюс границу преобразования часов, поэтому задержка сверх бюджета стоит доступности, но никогда — расстояния.
Пространственная ошибка расходуется из того же запаса хода. Ошибка глубины стерео растет с квадратом дальности при фиксированном шуме диспаратности, смещение внешних параметров добавляет ошибку рычага, растущую с расстоянием, и ни ковариация, ни выученная оценка глубины сами по себе не дают границы запаса хода 99-го перцентиля. Отступ запаса опирается на проверенные остатки, проверенное смещение и заявленный риск хвоста или жесткую границу.
Наиболее важные отказы — молчаливые, от неверно датированного кадра до насыщенного изображения или галлюцинированного свободного пути, поскольку ни один из них не поднимает флаг отказа. Контракт наблюдений позволяет потребителю отвергнуть все, что он может проверить до чтения полезной нагрузки (эпоху захвата, преобразование часов, систему координат, калибровку, целостность и работоспособность), а семантическая истина по-прежнему требует независимых свидетельств.
Пространственное восприятие и возраст информации
- Возраст наблюдения начинается со захвата: Зафиксированная аппаратно экспозиция, тайминг строк, когда это уместно, и ограниченное преобразование часов позволяют потребителю вычислить верхнюю границу возраста до допуска движения.
- Неверная отметка времени хуже потерянного кадра: Потерянный кадр расширяет неопределенность оценщика; правдоподобный, но неверно датированный кадр сжимает ее вокруг неверной позы. Границы часов, счетчики последовательности и проверки возраста должны предшествовать любому использованию полезной нагрузки.
- Оценка модели — не геометрическая неопределенность: Оценка классификации или бина глубины не дает откалиброванного пространственного хвоста. Метрическая ковариация, смещение и валидация остатков — отдельные входы решения о запасе хода.
- Калибровка может измениться: Удар или температура могут изменить внешнее преобразование от датчика к телу. Сдвиг внешних параметров на
0.005rad на10 mпроецируется на50 mmпоперечно — столько же, сколько весь допуск . Сдвиг такой величины — это отказ отвергнуть, а не ошибка для бюджета, поэтому каждая калибровка несет интервал действительности, который проверяет потребитель.- Флаги работоспособности не могут удостоверить семантику: Структурно корректная запись от исправного датчика все равно может описывать свободный путь, которого нет. Вторая модальность сужает этот разрыв только когда проверены ее охват и зависимость отказов.
- Восприятие дает датированные снимки: Постоянная пространственная память распространяет состояние и неопределенность между наблюдениями и сквозь окклюзию; путь разрешения все равно проверяет, помещается ли это распространенное утверждение в запас движения.
Восприятие — это та точка, где принцип части «предложение — не разрешение» встречает свою оговорку о свежести в измеримой форме. Эпоха свидетельств предложения не лучше эпохи захвата и ограниченного преобразования часов, которые объявляет контракт наблюдений. Датчики записывают взаимодействия физической энергии, а не геометрическую истину, и утверждение, не способное показать, когда и где оно измерено, не может поддержать движение.
От сенсорных фотонов к пространственной памяти
Восприятие доставляет датированные наблюдения, но человек у торца стеллажа не остается в поле зрения между ними. Раздел «Пространственная память» переносит пространственные оценки и их неопределенность через эти промежутки и задает истечение, позволяющее пути разрешения отвергнуть утверждение, как только окклюзия или возраст исчерпали проверенный запас движения.
-
Эпиполярная геометрия скользящего затвора: CMOS-сенсоры изображения со скользящим затвором сбрасывают, интегрируют и считывают строки пикселей последовательно по матрице, а не экспонируют все фотоячейки одновременно. Когда камера вращается во время этого интервала считывания, прямые физические края проецируются в изогнутые геометрические дуги по плоскости изображения. Этот прогрессивный сдвиг строк нарушает жесткие многовидовые эпиполярные ограничения, заставляя факторные графы визуально-инерциальной одометрии, которая оценивает движение, сливая признаки камеры с инерциальными измерениями, вычислять ложные глубины признаков, если только непрерывные B-сплайновые траектории камеры не интерполируют мгновенную позу каждой строки. ↩
-
Протокол шины MIPI CSI-2: CSI-2 передает сериализованные потоки пикселей по линиям D-PHY или C-PHY приемнику хоста и контроллеру DMA. Он позволяет обойтись без сетевого стека, но задержки транспорта и очереди все равно зависят от режима датчика, скорости линии, контроллера и конкурирующего трафика; см. «Почтовые ящики гетерогенного SoC и барьеры памяти». ↩
-
Прямой доступ к памяти Video4Linux2: Драйвер V4L2 может использовать разбросно-сборное или физически непрерывное DMA-хранилище и предоставлять буфер захвата через
V4L2_MEMORY_MMAP, которым может делиться совместимый импортерdma_buf. См. «Почтовые ящики гетерогенного SoC и барьеры памяти». ↩ -
Параметризация обратной глубины: В визуальной оценке состояния параметризация 3D-ориентиров обратной глубиной () превращает нелинейное распределение ошибки глубины с тяжелыми хвостами () в примерно гауссово пространство ошибок по плоскости изображения. При обратной глубине точки на оптической бесконечности () имеют конечную дисперсию (). Строгий вывод и формулировка через факторные графы — в разделе «Пространственные представления и параметризация сцены». ↩
-
Метрическая обратная проекция и распространение ковариации: Распространение первого порядка отображает ковариацию измерения в , а затем в . Ее наибольшее собственное значение дает главный масштаб дисперсии, но не радиус ошибки 99-го перцентиля. Для квантиля требуется предположенное и откалиброванное распределение ошибки, включая смещение; см. «Проективная геометрия камеры и распространение ковариации». ↩
-
Дрейф дальности лидара и размазывание детектора: Аналогичная молчаливая деградация происходит в приемниках активных лидаров времени пролета, использующих лавинные фотодиоды (APD) или однофотонные лавинные фотодиоды (SPAD). Когда испущенный лазерный импульс отражается от ретроотражающей поверхности, интенсивная энергия отражения вводит фотодетектор в нелинейное насыщение заряда, ускоряя пересечение порога фронтового дискриминатора через дрейф дальности (размазывание детектора). Результирующее искажение тайминга искусственно укорачивает расчетное время туда и обратно (), смещая кажущуюся границу препятствия на несколько сантиметров в сторону датчика без выставления аппаратного отказа. ↩
-
Механическое тепловое расширение: Для стереобазы
0.20 mи несмоделированного изменения0.1 mmгеометрия первого порядка дает . На20 mсоответствующее смещение глубины составляет около10 mm, при условии что фокусное расстояние и диспаратность в остальном неизменны. Температурная компенсация должна проверяться на фактическом креплении и калибровке. ↩
Пространственная память
Цель
Как быстро пространственная оценка превращается в опасную выдумку, когда датчик теряет объект из виду?
Динамическое препятствие остается критическим физическим ограничением еще долго после того, как оно окажется за непрозрачной преградой. Машина должна помнить о наличии препятствия, однако надежность его записанного состояния быстро деградирует с течением времени. Если относиться к устаревшему наблюдению как к истине в последней инстанции, возникает риск запланировать траектории через занятое физическое пространство, тогда как мгновенное отбрасывание записи стирает реальные опасности. Поэтому пространственная память должна отслеживать как оценку состояния, так и явную модель растущей неопределенности. Возраст захвата датчика, дрейф одометрии и калибровка системы координат определяют, остается ли запомненная сущность действительной для разрешения движения.
Программные сбои, такие как замороженные преобразования координат или молчаливая потеря слежения, могут обманным образом выдавать устаревшие оценки за свежие данные. Надежная система памяти должна принудительно обеспечивать ограниченное истечение оценки, отзывая полномочия предложения до того, как неопределенность выйдет за доступные огибающие свободного расстояния, и при этом ошибочно не считать ненаблюдаемые области свободным пространством. В архитектуре физического ИИ память наполняет модель мира Мозга выше границы предложения, тогда как детерминированный путь разрешения ниже проверяет, что каждая траектория опирается строго на неистекшие сертифицированные пространственные границы.
Цели обучения
- Задавать протоколы оценки, отделяющие возраст свидетельств от возраста оценки и содержащие систему координат, неопределенность и область действительности
- Назначать истечение оценки по ограниченному росту неопределенности и физическому допуску задачи
- Сравнивать пространственные представления по тому, что каждое может подтверждать о свободном расстоянии
- Проектировать пространственные обновления, сохраняющие возраст свидетельств и отличающие отсутствующие наблюдения от проверенного свободного пространства
- Диагностировать замороженные преобразования, фантомные трассы и ненаблюдаемый дрейф, проходящие проверки свежести и инноваций
Сохранение пространственной оценки
Регистр памяти может без изменений хранить запись, тогда как описываемый ею мир движется. Когда складской мобильный манипулятор приближается к торцу стеллажа, стеллаж скрывает поперечный проход от навигационной камеры, и все, что камера видела там в последний раз, теперь существует лишь в памяти. Человек, невидимый за торцом стеллажа, может выйти в пространство, которое запись считает пустым, и переиздание записи с новой программной отметкой времени не может вернуть утраченные физические свидетельства. Поэтому пространственная память должна вносить в решение о разрешении движения время последнего измерения и правило роста ошибки.
↰ Предпосылки: Возраст наблюдений и откалиброванные пространственные ковариации порождаются в разделе «Контракт наблюдений».
Физическая машина не может полагаться исключительно на сырые сенсорные наблюдения или статические регистры памяти. Ей требуется оценка — перенесенная вперед из исторических сенсорных свидетельств оценка физического состояния, явно связанная с расширяющейся моделью неопределенности.1 Восприятие поставляет датированное откалиброванное наблюдение (как установлено в разделе «Что передает восприятие»). Пространственная память должна определить, как долго это наблюдение в сочетании с динамическими моделями движения может продолжать разрешать физическое действие, пока неопределенность не поглотит оставшийся запас хода машины.
Как второй из четырех этапов стороны предложения Части III, между восприятием и намерением, пространственная память переносит оценки геометрического и физического состояния вперед сквозь выпадения данных датчиков, окклюзии и переменные задержки обработки. Она расположена выше границы предложения («Машина в пяти уровнях»), поэтому запомненное состояние может формировать предложение, но не может подтвердить собственную свежесть; путь разрешения проверяет возраст свидетельств по собственным часам.
В программных системах возраст данных часто измеряют с момента сериализации сообщения, его публикации по межпроцессной шине или обновления в разделяемой таблице памяти. В системе физического ИИ это соглашение опасно. Распространение оценки состояния через расширенный фильтр Калмана на или переиздание кинематического преобразования на создает поток свежих программных отметок времени, но не освежает лежащую в основе физическую информацию. Истинный возраст оценки определяется строго эпохой свидетельств последнего физического измерения, которое ее ограничило. Нижележащий контур слежения, читающий оценку положения, порожденную интегрированием пути (dead reckoning) или раскатками политики, может видеть отметку публикации возрастом всего , тогда как физическая граница ошибки продолжает расширяться со скоростью ненаблюдаемого дрейфа. Проставление отметки времени на выходе инференса или на обращении к кэшу фиксирует, когда произошло вычисление, но ничего не говорит получателю о том, когда в последний раз проверялась реальность.
Одна лишь целостность памяти не может установить геометрическую действительность Durrant-Whyte and Bailey, 2006. Чтобы воспрепятствовать действию машины на устаревших данных, системы памяти должны рассматривать истечение как явное событие интерфейса. Каждая оценка несет предельный срок — свой горизонт инвалидации (выведенный в разделе «Оценка сквозь окклюзию»), в который ее объявленная граница ошибки достигает физического запаса задачи. В этот предельный срок оценка перестает поддерживать движение, и путь разрешения отклоняет любое предложение, которое на нее еще опирается, и выбирает осуществимое резервирование.
Оценка, которая должна объявлять собственное истечение, должна передаваться с бо́льшим, нежели одно значение, поэтому первый вопрос передачи: что нужно потребителю, чтобы оценить хранимое значение после того, как датчик потерял объект из виду.
Что передает память
Неаннотированный вектор, например , поступающий по шине реального времени, ничего не сообщает о том, какая физическая сущность описывается, какая физическая размерность представлена и как масштабируется эта величина. Поэтому оценка, передаваемая потребителю, не может быть голым массивом чисел с плавающей точкой. Она представляет собой затухающую интерпретацию физических входов и должна нести свою эпоху, физическую неопределенность и систему координат, чтобы оставаться пригодной. Нижележащий контроллер, получающий сырые координаты без метаданных, вынужден полагаться на неявные соглашения, установленные при компиляции. Если оценщик выдает положения в метрах, а контроллер актуатора ожидает миллиметры, или если угловая скорость принимается за абсолютную ориентацию, результирующая команда регистрируется как тысячекратная ошибка слежения, поднимая ток двигателя до тепловых пределов актуатора, описанных в разделе «Тепловые циклы нагрузки». Чтобы предотвратить ошибочное толкование вдоль каузальной границы, установленной в разделе «Каузальная граница», протокол оценки должен прежде всего задавать идентичность сущности, физическую величину и единицы измерения. Потребитель должен иметь возможность проверить, что значение представляет центр масс конкретной детали в метрах или нормальную силу контакта на кончике пальца в ньютонах, прежде чем направлять это число в закон управления.
Указание величины и единиц остается неполным без привязки значения к конкретной системе координат. Одни и те же пространственные координаты описывают совершенно разные физические реальности в зависимости от начала и ориентации системы координат. Декартово положение обозначает точку, подвешенную в свободном пространстве, при вычислении в базовой системе координат робота, но представляет точку в нескольких сотнях миллиметров внутри жесткого приспособления при интерпретации в системе координат фланца инструмента. Поскольку кинематические звенья гнутся, шарниры перемещаются, а преобразования координат обновляются с разной частотой, протокол оценки должен нести явный идентификатор системы координат. Наличие системы координат позволяет узлу-получателю отыскать соответствующее дерево пространственных преобразований и спроецировать хранимую геометрию в локальную систему координат, требуемую актуатору, не давая контроллеру действовать по геометрическим рассогласованиям, порождаемым движущимися кинематическими цепями.
Геометрия и идентичность описывают физическое состояние в один момент, но память должна также удерживать временной якорь этого состояния. Запись несет эпоху свидетельств физического взаимодействия или оптической экспозиции, которая последней ограничила оценку. В распределенных архитектурах промежуточные узлы часто переиздают данные, выполняют шаги предсказания фильтра Калмана или запускают распространение прямой кинематики для поддержания высокочастотных потоков управления, и ничего из этого не добавляет физических свидетельств. Поэтому поле должно неизменным проходить через каждую стадию переиздания, фильтрации и предсказания, чтобы потребители измеряли возраст информации относительно физического мира, а не относительно частоты планирования локального компьютера.
Порождение такой якорной оценки опирается на многодатчиковую оценку состояния — реализуемую либо через рекурсивные расширенные фильтры Калмана (EKF), фильтры Калмана с безароматным преобразованием (UKF) Kalman, 1960, либо через нелинейную оптимизацию по факторным графам (сглаживание и картирование, SAM), — устоявшуюся математическую дисциплину, операционная роль которой состоит в отображении асинхронных гетерогенных сенсорных наблюдений (таких как высокочастотные ускорения ИНС, тики колесных энкодеров и низкочастотные утверждения зрения) в минимальную достаточную статистику скрытого физического состояния объекта управления. Архитектура физического ИИ абстрагирует внутреннюю численную механику этого конвейера слияния за контрактом пространственной оценки. Нижележащее планирование траекторий и принудительное обеспечение безопасности не пересчитывают ковариации инноваций датчиков и не решают заново факторные графы; им требуется лишь, чтобы оценщик состояния предоставлял несмещенный вектор состояния , физически честную границу неопределенности и истинную эпоху свидетельств измерений, которые его ограничили. Фундаментальное системное требование состоит не в выборе алгоритма фильтрации, а в обязанности оценщика честно моделировать расширение процессного шума сквозь слепые интервалы (непрерывное распространение ковариации ошибки выведено в разделе «Распространение ковариации и наблюдаемость») и отзывать свой статус действительности всякий раз, когда физический ранг наблюдаемости разваливается («Когда оценщик не может знать»).
Знание эпохи свидетельств устанавливает прошедшее время , но прошедшее время само по себе не может определить, действительна ли оценка для данного действия. Две оценки одинакового возраста расходятся с разной скоростью в зависимости от физических ограничений. Сам торец стеллажа прикручен к полу, поэтому его запомненное положение остается в пределах ошибки локализации машины, сколь бы долго ни была слепа камера, тогда как человек, скрытый за ним, может двигаться со скоростью ходьбы и израсходовать тот же запас хода за несколько десятков миллисекунд.
Минимальные поля записи, необходимые потребителю для оценки хранимого состояния, можно вывести прямо из требования ограничить текущую ошибку. Пусть представляет верхнюю границу расхождения между хранимым значением и истинным физическим состоянием после прошедшего времени . Если оценщик устанавливает состояние в момент с начальной границей неопределенности , а внешние возмущения или несмоделированные скорости заставляют истинное состояние расходиться с максимальной скоростью , верхняя граница ошибки в текущий момент подчиняется линейному расширению . У торца стеллажа — это ошибка локализации машины, а — скорость ходьбы человека, которого может скрывать стеллаж; этот закон оценивается в разделе «Оценка сквозь окклюзию». Опущение любого из слагаемых лишает потребителя возможности вычислить , поэтому начальная граница и скорость расширения являются структурно обязательными полями записи.
Выражение неопределенности через физические границы и скорости расширения отличает оценку физического ИИ от вероятностного балла уверенности. Сеть детекции объектов может выдать уверенность класса , но этот softmax-балл не является откалиброванными свидетельствами («Когнитивные уязвимости»), а нижележащий контроллер положения не может превратить безразмерную вероятность в безопасный запас смещения актуатора (то есть насколько далеко манипулятор может физически сдвинуться, прежде чем возникнет риск столкновения). Балл уверенности не содержит информации о том, неопределена ли граница препятствия на или на , и не указывает, как быстро эта граница движется при наступлении окклюзии. Физическая запись памяти должна выражать начальную границу и скорость расширения в конкретных физических размерностях, таких как метры, радианы или ньютоны в секунду. Более того, эти скорости действительны только внутри объявленной области действительности, например максимального предполагаемого ускорения или проверенного коэффициента трения контакта. Если физические условия эксплуатации покидают эту область, скорость расширения больше не выполняется, и протокол оценки должен считаться недействительным.
Когда память передает кортеж, содержащий значение, систему координат, эпоху свидетельств , начальную границу и скорость роста , потребитель выполняет детерминированный шаг проверки, прежде чем применить данные к физическому управлению. Потребитель обладает допуском задачи , диктуемым физической задачей. Например, когда манипулятор вводит палец захвата в паз разблокировки защелки дверцы клетки, свободное расстояние паза задает , и неопределенность положения должна оставаться ниже его. Прочитав протокол оценки в текущий момент , потребитель вычисляет прошедшее время , оценивает текущую границу ошибки и напрямую сравнивает результат с . Если , оценка проходит эту проверку истечения и может перейти к независимой проверке разрешения движения. В противном случае зависимое предложение отклоняется; контроллер выбирает валидированное удержание, поиск или остановку только тогда, когда это остается осуществимым.
Протокол пространственной оценки
Протокол пространственной оценки — типизированная запись, которая связывает идентифицированную физическую величину и единицу СИ с системой координат, эпохами свидетельств и оценки, преобразованием часов, начальной ошибкой, законом роста, областью действительности, истечением, происхождением и статусом жизненного цикла. Эти поля позволяют потребителю оценить свежесть до отдельной проверки разрешения движения.
- Значение: Состояние без границы ошибки и скорости роста не может быть безопасно оценено нижележащими контроллерами. По мере течения времени () ненаблюдаемое движение или дрейф датчика расширяют пространственную границу ошибки (). Когда эта граница превышает допуск задачи (), запись истекает, и путь разрешения обязан отклонить зависимые предложения и выбрать осуществимую валидированную реакцию.
- Отличие: В отличие от безразмерной вероятности классификации (такой как ), протокол пространственной оценки предоставляет физически обоснованные метрические единицы (метры, радианы) и явную механику временного затухания.
- Типичная ловушка: Полагаться на внешних издателей, транслирующих сигналы инвалидации при окклюзии. Если канал связи пропадает или драйвер датчика зависает, нижележащий потребитель продолжает исполнять движения разомкнутого контура по замороженным оценкам, пока сам не оценит истечение записи.
Оценка протокола пространственной оценки зависит от вычисления прошедшего времени относительно физической реальности. Если потребитель не может проверить точный физический момент, когда произошло преобразование энергии, вычисленная граница ошибки становится незаякоренной выдумкой, принимающей программные циклы вычисления за физические свидетельства. Эпоха оценки и преобразование часов, названные в определении, существуют для защиты этого якоря, тогда как происхождение и статус жизненного цикла — оставшиеся поля записи — развиваются вместе со схемой в разделе «Схема пространственного состояния».
У состояния есть эпоха
Поза, покидающая детектор объектов, описывает, где деталь находилась, когда камера экспонировала кадр, а не где она есть в момент прихода сообщения. Поэтому каждое состояние отсылает к конкретному моменту — своей эпохе, и состояние, пересекающее физический конвейер, несет три эпохи, прежде чем контроллер сможет действовать. Эпоха захвата () — это эпоха захвата контракта наблюдений («Контракт наблюдений»), момент преобразования энергии на каузальной границе, например когда фотоны попадают на матрицу фотодиодов или цифровой регистр защелкивает отсчет энкодера, и протокол оценки несет ее как свою эпоху свидетельств.2 Память добавляет две следующие за ней эпохи. Эпоха оценки () отмечает момент, когда оценщик состояния или нейронная сеть завершили инференс по этим измерениям и свели их к конкретному утверждению о состоянии. Эпоха публикации () отмечает момент, когда сериализованное сообщение было передано на транспортную шину для отправки нижележащим потребителям.
Схлопывание этих трех отметок времени в одну отметку получения или передачи разрушает физическую действительность состояния. Пометка позы временем публикации скрывает каждую миллисекунду экспозиции, считывания, инференса и планирования, ей предшествующих, тогда как гравитация, импульс и силы контакта без паузы продолжают действовать на физическую систему. Этот скрытый возраст есть смещение со скоростью, как установлено в разделе «От фотонов к пространственным утверждениям»; для навигационной камеры на пределе движения основания один лишь возраст к моменту отправки составляет несколько сантиметров пути, и все они невидимы для потребителя, читающего только отметку публикации. Состояние, фиксирующее лишь то, когда данные стали доступны, ничего не сообщает потребителю о физическом моменте, который представляет измерение, делая временное выравнивание невозможным.
↰ Предпосылки: Синхронизированная аппаратная простановка отметок времени по полевым шинам установлена в разделе «Передача команд вовремя».
Даже когда система фиксирует истинные эпохи захвата, архитектуры физического ИИ опираются на распределенные узлы обработки, чьи часы локальных генераторов дрейфуют независимо. Синхронизация этих распределенных часов по стандартным сетевым шинам вносит ограниченную ошибку синхронизации, и эта временная неопределенность становится пространственной неопределенностью на относительной скорости того, что описывает запись.3 Протокол наблюдений из раздела «Контракт наблюдений» уже несет эту границу как свою ошибку преобразования часов, и оценка, построенная на этом наблюдении, сохраняет ее. Каждый потребитель прибавляет границу к возрасту свидетельств перед суждением о свежести, а бюджет ошибки отводит расстояние, которое эта граница покрывает на относительной скорости записи, наряду с разрешением датчика и структурным прогибом.
Реальные физические системы никогда не дискретизируют все релевантные переменные состояния одновременно. В иллюстративном цикле тактильная матрица может защелкнуть показания нормальной силы в 12 ms, оптическая камера слежения завершить интегрирование сигнала датчика в 18.5 ms, а оптические энкодеры шарниров снять угловые положения в 21 ms. Эти наблюдения происходят в разные эпохи и не могут быть объединены прямыми алгебраическими операциями. Слияние наблюдения камеры в с наблюдением энкодера в требует от потребителя спроецировать одно состояние через временной разрыв 2.5 ms с помощью явных кинематических моделей и ограниченных скоростей (например, распространив историческое наблюдение камеры вдоль вектора скорости шарнира, чтобы согласовать его со мгновенным считыванием энкодера). Без истинной эпохи захвата для каждого отдельного сигнала расчет выравнивания не может определить знак или величину . Экстраполяция состояния без точной эпохи приводит к тому, что алгоритм слияния вычисляет пространственные смещения от фиктивных временных базисов, накапливая ошибки на каждом цикле слияния.
Имея эти эпохи и границу синхронизации часов, содержащиеся в записи из раздела «Что передает память», потребитель вычисляет прошедшую длительность между эпохой свидетельств и предельным сроком исполнения, оценивает худший случай расширения границы ошибки и определяет, остается ли состояние в пределах допусков задачи. Передача состояния без его эпохи захвата оставляет потребителя слепым к транспортным задержкам и джиттеру планирования, превращая детерминированное управление в угадывание разомкнутого контура. Поскольку физическая геометрия также меняется, когда тела движутся в пространстве, пространственные преобразования между системами координат подвержены тому же временному затуханию, неся собственные различные эпохи свидетельств.
Как преобразование устаревает
Система координат привязывает координату, но в машине сама система координат движется. Раздел «Что передает восприятие» снабдил каждое наблюдение именованной системой координат и соотнес системы координат датчика, тела, одометрии и карты через дерево преобразований. Дерево не показывает, как преобразование устаревает. Каждое ребро дерева на рисунке «Кинематическое дерево координат манипулятора» хранит позу твердого тела в , параметризованную углами шарниров Lynch and Park, 2017; Craig, 2005, и эта поза описывает машину только в эпоху, когда ее геометрия была измерена. Когда бортовой компьютер собирает в цепь преобразования, измеренные в разное время — из-за транспортной задержки, асинхронной дискретизации или пропущенных кадров, — произведением оказывается гибридная поза, которую машина никогда не занимала (кинематическая цепь выводится в разделе «Прямая кинематика и сингулярности»).
Преобразование также занимает несколько машинных слов, поэтому читатель, состязающийся с писателем, может увидеть старый поворот в паре с новым перемещением. Почтовый ящик seqlock из раздела «Многотактные ритмы» закрывает эту гонку, не блокируя поток управления, поскольку каждый читатель делает одну ограниченную попытку на такт и никогда не ждет; разорванное чтение отбрасывается, а последнее валидированное преобразование стареет на его месте.
Кинематическое дерево координат манипулятора и временная динамика: Геометрия шарнирного манипулятора (a) и соответствующее ориентированное ациклическое дерево преобразований координат в ROS \texttt{tf2} (b). Каждое ориентированное ребро хранит однородную матрицу преобразования, параметризованную состоянием шарниров. Составление преобразований из разных эпох захвата вводит ошибку позиционирования плеча , тогда как некомпенсированное асинхронное ребро ссылается на устаревшие координаты (адаптировано из Craig 2005 и Foote 2013 Craig, 2005; Foote, 2013).
Цена истекшего преобразования — прямое пространственное смещение (см. рисунок «Устаревание преобразования и ошибка плеча»). Применяя к кинематике соотношение «возраст как смещение» из раздела «От фотонов к пространственным утверждениям», некомпенсированная задержка превращается прямо в геометрическую ошибку позиционирования через плечо звеньев. Строгий вывод через векторное произведение для этого кинематического распространения ошибки см. в разделе «Пространственные системы координат и кинематика плеча».
Как мало устаревания нужно, чтобы израсходовать допуск задачи, показывает паз разблокировки защелки, пока камера запястья еще видит его. Каждый кадр камеры запястья — один каждые 16.7 ms — обновляет позу паза в системе координат камеры и вместе с ней ребро «паз — палец», по которому выравнивается контроллер, а палец должен оставаться в пределах допуска паза в 1 mm. Предположим, что это ребро пропустило один кадр. Исходя из начальной ошибки 0.1 mm, боковое смещение пальца дрейфует не более чем на при иллюстративной границе 12 mm/s для его ненаблюдаемой боковой скорости, валидированной для рабочей области манипулятора, то есть на 0.20 mm. Если кончик пальца находится на иллюстративном расстоянии = 0.15 m от запястья, а запястье поворачивается с иллюстративной = 0.30 rad/s, выравнивая палец, плечо добавляет , или 0.75 mm. Шарнирные энкодеры измеряют этот поворот, но устаревшее ребро все еще датирует паз предыдущим кадром, тогда как поза запястья, с которой оно составляется, — текущая, и дерево возвращает гибридную позу, положение пальца, которого манипулятор никогда не занимал. Только составление паза с позой запястья собственной эпохи захвата — лекарство от пропущенного кадра — или истечение ребра убирает эту дугу. Оставленное в цепи, устаревшее ребро помещает палец с ошибкой 1.05 mm — на 5 % больше, чем допускает паз, — причем бо́льшая часть этой ошибки идет от плеча, а не от дрейфа. Поскольку дерево преобразований вычисляется без ошибок, ничто не помечает устаревшую позу, и контроллер продолжает выравнивать палец по положению паза, смещенному больше, чем на свободное расстояние, что при неудачном подходе прижимает палец к ответной планке рядом с пазом.
Устаревание преобразования и ошибка плеча у паза разблокировки защелки: Ошибка пальца, когда ребро «паз — палец» пропускает один кадр камеры запястья длительностью . Боковой дрейф на границе скорости смещает палец на , тогда как поворот запястья с отклоняет кончик пальца, находящийся на плече от него, на . Составление устаревшего ребра с текущей позой запястья добавляет обе величины к начальной ошибке , поэтому ошибка пальца превышает допуск паза .
Влияние устаревания
Допустимый возраст преобразования задается точкой, которую оно обслуживает, а не шарниром, который оно измеряет. Точка инструмента дрейфует примерно со скоростью , поэтому чем длиннее плечо, тем раньше ребро истекает, и ребро, еще достаточно свежее, чтобы локализовать запястье, может быть слишком старым, чтобы локализовать центр инструмента.
Дерево преобразований датирует собственную геометрию машины, а устаревшее ребро помещает инструмент с ошибкой на пропущенное движение, усиленную плечом. Мир вокруг машины стареет так же, но у него нет шарнирных энкодеров, чтобы сообщать о своем движении, поэтому память должна также удерживать окружающие поверхности и пространство между ними и должна фиксировать, какую часть этого пространства датчик действительно видел.
Что может подтверждать память сцены
Робот, прошедший дальномерным датчиком по проходу, после этого удерживает три вида пространства: пространство, которое он видел занятым, пространство, которое он видел пустым, и пространство, которого он не видел никогда. Только второе может когда-либо поручиться, что путь свободен, и только пока его свидетельства свежи. Каждое представление сцены хранит некоторую версию этих трех состояний, и различаются они тем, что хранят и сколько это стоит. Сетка занятости Elfes, 1989 или ее разреженная октодерево-форма Hornung et al., 2013 хранит оценку занятости для каждой ячейки. Усеченное знаковое поле расстояний (TSDF) Curless and Levoy, 1996 хранит усеченное проективное расстояние до наблюдаемой поверхности вдоль каждого луча чувствительности. 3D-гауссов сплаттинг Kerbl et al., 2023 хранит оптимизированные примитивы, отрисовывающие новые виды с камеры. Память плотной сетки растет как куб числа ячеек по каждому измерению, тогда как октодерево, блоки поверхностной полосы TSDF и гауссова карта хранят только выделенную структуру, размер которой зависит от наблюдаемой геометрии и цели точности; обновления, лежащие в основе этих стоимостей, дают разделы «Занятость в лог-шансах и слияние знаковых расстояний» и «Параметры 3D-гауссова сплаттинга». Для разрешения движения все они разделяют одно ограничение. Проективное расстояние — не евклидово расстояние до ближайшей поверхности, которое требуется решению о свободном расстоянии, а гауссова плотность не идентифицирует занятое пространство, поэтому ни одно из них само по себе не подтверждает свободное расстояние. Каждое должно быть прежде преобразовано в валидированный слой занятости или евклидово знаковое поле расстояний (ESDF) с явной политикой для неизвестного пространства, прежде чем путь разрешения сможет опрашивать его.
Выбор метрического представления определяет эмпирический компромисс Парето между объемом памяти и задержкой запросов пространственных столкновений (см. рисунок «Рубеж представлений 3D-сцены»). Непрерывная оптимизация траекторий и рефлекторные контроллеры реального времени в контурах управления 1 кГц (периоды ) требуют, чтобы запросы свободного расстояния и градиента выполнялись менее чем за на десятках шарнирных точек тела робота. Хотя неявные нейронные представления, такие как координатные MLP (NeRF, iMAP), достигают минимальной плотности памяти (), запрос знакового расстояния или занятости требует вычисления прямых проходов глубокой нейронной сети, что накладывает огромную вычислительную задержку ( на точку запроса) и запирает их в рамках вдумчивых офлайн-планировщиков. Иерархические октодеревья (OctoMap Hornung et al., 2013) сжимают ненаблюдаемое свободное пространство до , однако косвенное обращение через указатели при рекурсивном обходе дерева вызывает промахи кэша CPU, ограничивая скорость запросов величинами . И наоборот, динамически хешированные усеченные знаковые поля расстояний (TSDF Voxblox Oleynikova et al., 2017) выделяют память только вокруг наблюдаемых поверхностных полос (), обеспечивая лучевые запросы за , тогда как распространение евклидовых знаковых полей расстояний (ESDF) увеличивает накладные расходы памяти до , чтобы выдавать субмикросекундные () оценки расстояния с аналитическими непрерывными градиентами. Тем временем примитивы 3D-гауссова сплаттинга Kerbl et al., 2023 занимают средний режим (, ), позволяя фотографичную отрисовку излучения наряду с ускоренными проверками столкновений по иерархии ограничивающих объемов.
Рубеж представлений 3D-сцены: объем памяти против задержки пространственных запросов: Эмпирический компромисс Парето между неявными нейронными полями, иерархическими октодеревьями, 3D-гауссовым сплаттингом и хешированными воксельными сетками. Хотя неявные координатные MLP сжимают комнаты в мегабайты весов, многослойные прямые проходы превышают пределы запросов столкновений реального времени (). Хешированные воксельные сетки (TSDF/ESDF Voxblox Oleynikova et al., 2017) потребляют , но дают субмикросекундные задержки запросов (), необходимые для обслуживания реактивных контуров управления 1 кГц.
То, что карта может подтвердить, определяется тем, как отраженный сигнал обновляет ее. Проходя луч от датчика до отражения Amanatides and Woo, 1987, карта утверждает отрицательные свидетельства в каждой ячейке, которую луч пересек, и положительные свидетельства в ячейке, где он закончился; обновление в лог-шансах дает раздел «Занятость в лог-шансах и слияние знаковых расстояний». Отрицательные свидетельства позволяют карте списать фантомное препятствие, как только та же область видна пустой, вместо ожидания тайм-аута, и они же знаменуют предел того, что карта может сказать. Они покрывают только ячейки, которые действительный луч действительно прошел. Они ничего не говорят об объеме позади отражения, и новый проход по проходу не может обновить ячейку, скрытую за стеллажом, поэтому перекрытый поперечный проход остается неизвестным и по-прежнему нуждается в истечении. Каждое отражение также касается каждой ячейки вдоль своего луча, поэтому разреженное выделение экономит емкость, но не обход, и этот трафик достигает пути разрешения лишь как дополнительный возраст свидетельств («Конкуренция за общие ресурсы»).
Активные отрицательные свидетельства вдоль линий видимости очищают фантомные препятствия, не дожидаясь затухания по тайм-ауту.
Поскольку отрицательные свидетельства обновляют только ячейки, через которые прошел луч, время публикации карты не датирует ни одной из ее ячеек, поэтому манифест из раздела «Манифест объемной оценки и свидетельства ячеек» несет эпохи свидетельств для каждой ячейки. Эти эпохи не бесплатны: каждая выделенная ячейка хранит собственные отметки времени рядом с оценкой занятости, и они входят в бюджет памяти карты по той же причине, что и значение. Потребитель движения проверяет возраст свидетельств и состояние каждой ячейки, которую использует его путь, включая ячейки, помеченные как неизвестные, и выводит консервативное свободное расстояние из отдельно валидированного слоя.
| Поле карты | Единица или тип | Значение и проверка потребителем |
|---|---|---|
voxel_grid_origin, voxel_resolution_m | m; m | Пространственный якорь и шаг; должны совпадать с активной системой координат и калибровкой |
map_update_epoch | ns на часах захвата | Последняя публикация/обновление карты; не свежесть каждой ячейки |
cell_evidence_epoch | ns на часах захвата на ячейку | Последнее физическое наблюдение для этой ячейки; никогда не обновляется предсказанием или не связанными обновлениями карты |
free_space_sweep_epoch | ns на часах захвата на ячейку занятости | Последний действительный наблюдаемый свободный луч через эту ячейку |
clock_conversion, sync_error_ns | отображение; ns | Преобразуют эпохи захвата в монотонные часы потребителя с ограниченной ошибкой |
Манифест объемной оценки и свидетельства ячеек: Заголовок карты описывает компоновку и время обновления, тогда как локальные для ячеек эпохи захвата определяют, свежа ли конкретная область пути. Потребитель считает ненаблюдавшиеся или истекшие ячейки неизвестными, если отдельно валидированная политика не разрешает проезд.
Семантическая память расположена выше метрического слоя и наследует его ограничения. Помимо сырых метрических объемов и полей излучения, физическому ИИ на базе фундаментальных моделей требуется, чтобы пространственная память организовывала пространство в семантические иерархии. 3D-динамический граф сцены (DSG), сформулированный в Kimera Rosinol et al., 2021 и расширенный в Hydra Hughes et al., 2022, соединяет метрический SLAM с символьными рассуждениями, структурируя пространственную память в пятиуровневый иерархический граф (см. рисунок «Иерархический граф динамической 3D-сцены»):
- Метрико-семантическая сетка (уровень 1): Высокоразрешающая треугольная сетка, фиксирующая тонкую геометрию поверхностей с семантическими метками вершин.
- Узлы объектов и агентов (уровень 2): Ограниченные 3D-геометрические сущности с ориентированными ограничивающими параллелепипедами, визуальными вложениями и отслеживаемыми динамическими траекториями.
- Места и топология свободного пространства (уровень 3): 3D-топология Вороного и навигационные сферы свободного расстояния () для планирования путей без столкновений.
- Комнаты и конструктивные ограждения (уровень 4): Функциональные архитектурные подразделения, разделенные семантическими стенами и проемами.
- Здания и глобальная топология (уровень 5): Верхнеуровневый семантический граф, управляющий распределением долгосрочных миссий.
Иерархический граф динамической 3D-сцены: Пятиуровневая пространственно-временная организация памяти, соединяющая метрический SLAM с символьными рассуждениями фундаментальных моделей. Уровень 1 фиксирует метрическую треугольную сетку; уровень 2 извлекает 3D-объекты и динамических агентов; уровень 3 моделирует топологические места через сферы свободного расстояния Вороного (); уровень 4 структурирует архитектурные комнаты и проемы; а уровень 5 устанавливает глобальную топологию миссий здания. Вертикальные межуровневые ребра координируют восходящую абстракцию (сжатие метрических поверхностей в символические сущности) и нисходящее обоснование (перевод токенов задач в метрические координаты) (адаптировано из Rosinol et al. Rosinol et al., 2021 и Hughes et al. Hughes et al., 2022).
Вычислительное преимущество этой двунаправленной иерархии состоит в том, как она разрешает напряжение «память — вычисления» на периферийных SoC. Восходящая абстракция схлопывает гигабайты плотных треугольных поверхностных сеток в символические подграфы размером в килобайты, позволяя фундаментальным обдумывателям оценивать долгосрочные планы задач, не исчерпывая пропускную способность LPDDR5 и не забивая KV-кэши миллионами сырых геометрических токенов. И наоборот, нисходящее обоснование позволяет высоким пространственным целям достигать локальных геометрических свидетельств. Обдумыватель опрашивает пространство, не иская каждую ячейку, однако каждый узел свеж лишь настолько, насколько свежи метрические ячейки под ним, и обоснование символической цели все равно заканчивается запросом свободного расстояния к валидированному метрическому слою.
Контекст обученной политики — память иного рода. Авторегрессионная политика удерживает свои недавние наблюдения в кэше «ключ-значение», рост которого выводит раздел «Питание, свежесть и стена памяти», а потоковое окно ограничивает этот кэш, вытесняя его старейшие токены Xiao et al., 2024, закончились ли их физические последствия или нет. Человек, которого видели заходящим за стеллаж до начала окна, исчез из контекста, но не из прохода. Поэтому физический факт, который машина все еще должна соблюдать, живет в протоколе оценки с собственной эпохой свидетельств, а никогда — только в контексте политики.
Итак, для разрешения движения представление без эпохи есть непроверенное утверждение, а оценка, чья граница ошибки превышает допуск задачи, должна быть исключена из предложений движения до того, как путь разрешения рассмотрит команды актуаторов. Однако машина не может останавливать каждую операцию при первом же пропущенном кадре. Продление действия через короткие провалы сенсорики требует оценщиков, которые распространяют оценку вперед, пока не придут новые измерения, подтверждающие или исправляющие состояние.
Оценка сквозь окклюзию
Когда прямое восприятие отказывает, система физического ИИ использует внутреннюю модель перехода для обновления своей оценки состояния. Фильтр Калмана обновляет оценки состояния по динамике объекта управления,4 тогда как обученная политика может предсказывать следующую относительную позу с помощью авторегрессионной сети. В любом случае предсказание экстраполирует старые свидетельства вперед, не обновляя их, как установлено в разделе «Сохранение пространственной оценки»; оно сохраняет полезность наблюдения, компенсируя ожидаемое физическое движение, но не сбрасывает возраст лежащего в основе измерения.
Разница между предсказанием состояния и его наблюдением решает, что машине позволено делать у торца стеллажа. Человек может выйти туда в иллюстративное свободное расстояние 1.10 m , которое защищает бюджет остановки, и, как только стеллаж скрывает поперечный проход, вопрос в том, как долго запомненный вид может поручиться, что поперечный проход все еще пуст.
Каждая физическая модель упрощает реальность, из-за чего ошибка между спроецированным состоянием и физическим миром непрерывно расширяется в течение слепого интервала. В оценке состояния эту дисперсию определяет расширение ковариации при окклюзии — непрерывное, управляемое физикой расширение неопределенности в периоды потери прямой видимости датчиком. Математически формализованное стохастическими моделями (такими как уравнение непрерывного распространения ковариации Ляпунова/Риккати, подробно разобранное в разделе «Распространение ковариации и наблюдаемость»), это расширение количественно описывает растущее сомнение в том, где объект находится на самом деле, ограничивая ненаблюдаемое расхождение, вызванное неизвестными скоростями дрейфа и неожиданными физическими возмущениями, до того как датчик восстановит видимость. Для детерминированной разработанной модели предположим, что характеристики датчика и пределы возмущений устанавливают начальную границу ошибки положения в момент окклюзии (). Тогда предсказание деградируют два ограниченных слагаемых. Движение, не известное модели, вносит скорость дрейфа, ограниченную , а силы, которые она не моделирует, создают ускорение возмущения, ограниченное . За длительность окклюзии граница ошибки тогда подчиняется квадратичному расширению:
У торца стеллажа слагаемые принадлежат самой машине. Начальная ошибка — граница локализации , 50 mm, поскольку машина знает расположение торца стеллажа лишь с этой точностью. Допуск — защитный запас , 100 mm, который бюджет резервирует между остановившейся машиной и человеком. Человек, скрытый за стеллажом, может сократить этот запас со скоростью до границы скорости ходьбы в 1.6 m/s, которую расчеты безопасных расстояний принимают для приближающегося человека. Поскольку ограничивает скорость напрямую, формула «расширение окклюзии» сохраняет только его линейное слагаемое, с и , и оценка того, что торец стеллажа свободен, истекает через , что составляет 31.25 ms. Навигационная камера выдает кадр каждые 16.7 ms, поэтому оценка устаревает менее чем за два кадра, а кадр, показавший поперечный проход пустым, к моменту отправки восприятием уже имеет возраст 51.6 ms («Преобразование и калибровка датчиков»).
Ничто в программном обеспечении не отмечает момент истечения. Карта по-прежнему показывает поперечный проход свободным, и оценщик продолжает публиковать корректно оформленную запись, однако предсказание перестало функционировать как свидетельство. Поэтому память не может сертифицировать перекрытый торец стеллажа как свободный, как не может этого и кадр, который ее питает, и область остается неизвестной. Бюджет остановки защищает от статического препятствия на , такого как человек, вышедший и вставший в проходе, или упавший контейнер, и память добавляет к этому бюджету предельный срок, но не расстояние. Текущий итог на пределе движения остается равным 912.9 mm, которые оставило «Преобразование и калибровка датчиков».
Человек, продолжающий идти к машине в течение всей остановки, — другое препятствие. Расчет безопасного расстояния учитывает такое приближение как — скорость ходьбы, приложенную ко всему времени от обнаружения до полной остановки. На пределе движения 1.5 m/s, где остановка с постоянным замедлением длится , одно это слагаемое составляет 1.41 m — больше, чем все свободное расстояние 1.10 m, прежде чем учтено любое другое расстояние бюджета. Поэтому площадка обходится с приближающимся человеком правилом перехода, которым владеет эксплуатация площадки, размеченным на полу переходом и датчиком присутствия у торца стеллажа. Раздел «Реестр остаточных утверждений» фиксирует предпосылку, на которой покоятся правила. Какое бы правило перехода площадка ни приняла, путь разрешения обязан отклонить любое предложение, чье свободное расстояние опирается на запомненную пустоту за пределами срока оценки.
Горизонт инвалидации оценки состояния
Горизонт инвалидации оценки состояния () — прошедшее время с момента последнего физического наблюдения, при котором валидированная граница ошибки оценки впервые достигает допуска задачи :
где — закон роста с ограниченными возмущениями, такой как формула «расширение окклюзии», или откалиброванный квантиль ошибки, а оценка с эпохой свидетельств перестает поддерживать движение в .
- Значение: Формализует жесткую математическую границу, за которой распространяемая вперед оценка состояния перестает функционировать как действительные физические свидетельства, требуя от пути разрешения отклонить зависимые предложения движения до нарушения геометрического свободного расстояния.
- Отличие: В отличие от сторожевых таймеров тайм-аутов разомкнутого контура, следящих за интервалами сигнала живости программных процессов, горизонт инвалидации выводится из непрерывной физической кинематики, динамики ограниченных возмущений и ограничений механического свободного расстояния.
- Типичная ловушка: Разрешать нейронному планировщику или фильтру Калмана непрерывно экстраполировать оценки состояния в течение длительных выпадений данных датчиков, не ограничивая расширение ошибки, принимая гладкую математическую экстраполяцию за физическую истину в последней инстанции.
Когда конвейер датчиков восстанавливает прямую видимость, система не может просто перезаписать распространенное состояние новым измерением, как не может и слепо передать сырое измерение нижележащему контроллеру. Показания датчиков, полученные сразу после окклюзии, часто страдают от переходных световых бликов, частичной видимости краев или ошибок соответствия. До смешивания или сброса состояния оценщик должен вычислить инновацию — математическую проверку на реальность, определяемую как разность между новым измерением и тем местом, где внутренняя модель предсказывала позу. Если новое измерение попадает внутрь вычисленной границы ошибки , измерение подтверждает предположения модели о дрейфе, позволяя оценщику схлопнуть неопределенность и сбросить часы свидетельств. Если поступающее измерение оказывается вне этой границы, либо физический объект неожиданно переместился, либо датчик вернул выброс. Притягивание системы координат прямо к ошибочному выбросу говорит планировщику, что робот прыгнул, вводя мгновенный скачок положения в траекторию. Скачок требует ускорения, которого не способен обеспечить ни один привод, что прижимает актуаторы к текущему потолку раздела «Пределы передачи актуатора» и к тепловым пределам раздела «Тепловые циклы нагрузки». Оценщик должен изолировать расхождение, оценить, является ли измерение действительным, и отклонить разрывные скачки до обновления целей исполнения команды.
Предсказание модели служит временным мостом через отсутствующие или задержанные наблюдения, и мост держится, только пока накопленная ошибка модели остается меньше механического допуска задачи. Насколько скоро он рухнет, зависит от того, что движет ошибкой. У торца стеллажа одну лишь скорость задавала граница. У дверцы клетки ширина паза разблокировки защелки задает допуск для пальца захвата, который должен войти в него, а несмоделированные силы добавляют слагаемые, растущие быстрее любой границы скорости. Между обновлениями датчиков оценщик распространяет состояние, интегрируя командуемые силы через свою модель объекта управления, без подтверждения обратной связью.
Стохастическая модель за этим распространением разделяет три механизма деградации. Неизмеренная ошибка скорости в начале окклюзии наращивает дисперсию положения как , а несмоделированные стохастические силы, такие как пульсация момента или структурная вибрация, интегрированные дважды, наращивают ее как ; именно эти слагаемые дисперсии должен поглощать откалиброванный квантиль. Постоянная несмоделированная сила, ограниченная , такая как тянущийся кабель или устойчивое силовое трение скольжения, напротив отклоняет тело не более чем на — детерминированное слагаемое формулы «расширение окклюзии».5
У дверцы клетки палец теперь входит в паз вслепую. На финальном подходе палец скрывает паз от камеры запястья, и палец должен оставаться в пределах 1 mm от осевой линии паза — допуска задачи (см. рисунок «Неопределенность оценки и горизонт инвалидации»). Валидированная рабочая область манипулятора поставляет границы, уже учтенные для пропущенного кадра паза в разделе «Как преобразование устаревает»: начальную ошибку положения не более 0.1 mm и ненаблюдаемую ошибку скорости не более 12 mm/s, а окклюзия добавляет еще одну — иллюстративное ускорение возмущения не более 50 mm/s². Закон роста из формулы «расширение окклюзии» не несет дуги плеча, поскольку оценка составляет паз с позой запястья собственной эпохи захвата — лекарство от пропущенного кадра, — поэтому ошибка положения растет только через дрейф и возмущение.
Оценка этой границы роста с заданными параметрами дает $E(\Delta t) = 0.1 + 12\,\Delta t + 25\,(\Delta t)^2$, где в секундах, а в миллиметрах. Приравнивание дает квадратное уравнение $25\,(\Delta t)^2 + 12\,\Delta t - 0.9 = 0$. Его единственный положительный действительный корень равен 66 ms, так что предложение, зависящее от этой оценки, должно истечь к этому моменту. Если бы паз был обработан с зазором 0.30 mm, допустимая ненаблюдаемая длительность сократилась бы до 16.1 ms ($25\,(\Delta t)^2 + 12\,\Delta t - 0.2 = 0$). Ужесточение механического допуска в 3.3× сокращает допустимую ненаблюдаемую длительность в 4.1×, требуя повторного захвата датчиком или податливого импедансного удержания в этом более коротком окне. Напротив, если оценщик наивно предполагает постоянную скорость (), он предсказывает действительный горизонт , или 75 ms. К этому прошедшему времени смоделированная граница достигает 1.141 mm, превышая свободное расстояние на 14,1 %. Правило допуска только с постоянной скоростью продолжало бы принимать оценку еще 9 ms после предельного срока ограниченной модели; произойдет ли контакт, зависит от пути и геометрии.
Неопределенность оценки и горизонт инвалидации: Пространственная граница ошибки пальца захвата, входящего в паз разблокировки защелки дверцы клетки, квадратично расширяющаяся при ненаблюдаемом распространении вперед до пересечения с зазором паза в горизонте инвалидации . Пунктирная оценка с постоянной скоростью растет медленнее, а красный маркер показывает, что эта оценка все еще допускает оценку после того, как ограниченная ошибка прошла зазор. У оценки есть срок годности, определяемый физической динамикой возмущений, и только повторный захват датчиком сбрасывает часы свидетельств.
Внутренняя ковариационная матрица оценщика отражает его стохастическую модель, а не измеренный жесткий максимум. Аргумент безопасности может опираться на один из двух видов границ. Закон роста с ограниченными возмущениями требует обоснованных пределов для начальной ошибки, скорости, ускорения, преобразования часов и смены режимов; тогда корень 31.25 ms у торца стеллажа и корень 66 ms у паза защелки являются условными предельными сроками худшего случая внутри этой области. Иначе ступенчатые выпадения и внешняя истина в последней инстанции могут откалибровать указанный квантиль остатка (например или ) под именованным тестовым распределением. Это дает вероятностный предел допуска с однопроцентным или 0,1-процентным хвостом до прочих ошибок модели и охвата. Запись и потребитель должны объявлять, какой режим применим, следить за его областью действительности и отклонять зависимое движение или выбирать валидированное осуществимое резервирование, когда свидетельства выходят за ее пределы.
Оба режима дают один и тот же вид предельного срока, поскольку определение «Горизонт инвалидации оценки состояния» спрашивает лишь, когда объявленная граница впервые достигает допуска задачи, какая бы модель ни породила эту границу. Истечение поэтому не есть ни произвольный сторожевой таймер связи, ни фиксированная эвристика , выбранная для удобства планирования. Это физический предельный срок, диктуемый геометрией задачи, полномочиями актуатора и динамикой возмущений, и после ни один нижележащий контур не может предполагать, что оцененная поза лежит в пределах требуемого свободного расстояния.
Горизонт из формулы «горизонт инвалидации» не есть одна скалярная величина для всей машины. Полезная нагрузка, скорость и состояние контакта меняют границы возмущений, поэтому интерфейс состояния выбирает активное истечение для текущего режима эксплуатации, а переход из свободного движения в контакт, меняющий скорость за миллисекунды, полностью инвалидирует гладкую модель дрейфа. Три оценки на одной машине истекают по разным часам (см. таблицу «Источники истечения оценки на машине»). Палец у паза защелки ограничен дрейфом и возмущением, действующими против миллиметрового допуска. Человек у торца стеллажа и коллега рядом с манипулятором ограничены одной и той же скоростью ходьбы, однако их оценки устаревают в разные моменты, потому что каждая исходит из разной начальной ошибки и сокращается к разному допуску.
| Оценка | Граница ошибки (мм; в с) | Предел задачи (мм) | Корень | Реакция при истечении |
|---|---|---|---|---|
| Человек за торцом стеллажа | $50+1600t$ | 100 | 31.25 ms | Считать поперечный проход неизвестным; отклонить зависимое продвижение |
| Палец у паза защелки | $0.1+12t+25t^2$ | 1 | 66 ms | Отклонить введение; удерживаться податливо или заново захватить паз |
| Коллега рядом с манипулятором | $15+1600t$ | 150 | 84 ms | Отозвать зависимое движение манипулятора; остановиться, только если остается тормозной запас |
Источники истечения оценки на машине: Каждый корень решает для модели ошибки и предела задачи данной оценки. Начальная ошибка коллеги иллюстративна, а ее допуск выбран, тогда как его скорость — та же граница скорости ходьбы, что и у торца стеллажа, поэтому обе строки о человеке растут линейно. Последний столбец называет реакцию, которую спровоцировал бы корень. Запись для оценки ручки кружки, которую потребляет раздел «Обоснованное намерение», заполняется в разделе «Схема пространственного состояния».
Каждый корень в этом разделе доверяет закону роста, из которого он был вычислен. Закон роста хорош лишь настолько, насколько машина способна ловить его отказы — через остаток при повторном захвате или ступенчатый тест выпадения, — а некоторые ошибки не порождают вовсе никакого остатка, поскольку ни один датчик на машине не может их увидеть.
Когда оценщик не может знать
Иллюстративный тензодатчик на конце эффектора робота показывает устойчивые 5 N — показание, которое подходит к любой истинной силе контакта, как только допущено неизвестное смещение. Оценщик или обученная модель, предсказывающие эту силу с уверенностью, не показали, что сила наблюдаема. В оценке состояния траектория состояния наблюдаема тогда и только тогда, когда история доступных выходов датчиков за конечное временное окно однозначно определяет начальное состояние машины, так что различные физические траектории порождают различные траектории датчиков, а не неразличимые последовательности измерений. Когда две различные физические истории состояний порождают в точности одну и ту же последовательность показаний датчиков, никакая математическая операция, фильтр или нейронная сеть, работающие где бы то ни было в машине, не могут определить, какую физическую траекторию тело действительно прошло. Машина получает идентичные потоки битов от своих сенсорных интерфейсов в обеих реальностях.
Чтобы увидеть, чем предсказуемость отличается от наблюдаемости, проследим за этим концом эффектора, когда он регулирует силу контакта о жесткую поверхность. Пусть истинная нормальная сила контакта равна , а схема обработки сигнала тензодатчика вносит неизвестное медленно меняющееся смещение датчика . Сырое измерение, доставляемое оценщику в каждом интервале дискретизации, есть . Предположим, датчик выдает постоянный поток 5 N. Это наблюдение удовлетворяется истинной физической силой 5 N при нулевом смещении 0 N. Оно в равной мере удовлетворяется истинной силой 2 N при смещении датчика 3 N, или 0 N при смещении 5 N. Для любой произвольной траектории смещения пара состояний порождает в точности ту же последовательность измерений . Разность между истинной силой и смещением датчика лежит в ненаблюдаемом подпространстве системы измерений — структурной слепой зоне, где физические изменения идеально взаимно уничтожаются в данных датчика.
Поскольку поток измерений не может отличить физическую нагрузку от дрейфа датчика, оценщик вынужден опираться на априорные предположения о том, как развивается каждое состояние. Если фильтр Калмана или обученный рекуррентный оценщик сконфигурированы с убеждением, что смещение датчика статично с почти нулевой дисперсией, он приписывает каждое изменение изменениям истинной силы контакта . По мере поступления новых отсчетов с 1 000 фильтр включает входящие данные, многократно обновляя свое внутреннее состояние. Поскольку поступающие измерения совпадают с прямой проекцией динамики состояния, вычисленная ковариация состояния сжимается, и оценщик сообщает все более узкую границу неопределенности, публикуя оценку 5 N 0.05 N на . Тем временем нагрев Джоуля () в обмотках статора шарнира («Тепловые циклы нагрузки») нагревает мост датчика (изменяя электрическое сопротивление металла при его расширении), из-за чего физическое смещение дрейфует с термоупругой скоростью 0.2 . За 15 смещается на 3 N. Истинная сила на поверхности упала с 5 N до 2 N, однако оценщик сообщает высокую уверенность в состоянии, которое дрейфануло на 60 процентов от своего номинального значения.
Нижележащая политика управления реагирует на эту ложную достоверность, командуя моменты двигателей для поддержания того, что считает преднатягом в 5 N. Поскольку истинная сила равна всего 2 N, сила трения в зоне контакта падает ниже сдвиговой нагрузки детали, из-за чего деталь выскальзывает из захвата и падает в оснастку. Этот отказ происходит, не спровоцировав ни единого внутреннего программного диагностического сигнала. Оценщик следит за своей последовательностью инноваций — инновацией из раздела «Оценка сквозь окклюзию», вычисляемой на каждом отсчете между поступающими измерениями и предсказанными измерениями . В этом сценарии дрейфа оценщик предсказал 5 N, а физический датчик вернул 5 N. Инновация равна нулю на каждом шаге времени. Проверка инновации измеряет лишь то, расходятся ли физические датчики с прямой проекцией внутреннего состояния. Она не может обнаружить ненаблюдаемый режим ошибки, потому что вдоль ненаблюдаемого многообразия выход датчика инвариантен к дрейфу.
Восстановление наблюдаемости требует, чтобы архитектура системы предоставила дополнительное ограничение, ломающее симметрию вдоль ненаблюдаемого подпространства. Инженерная конструкция достигает этого одним из трех способов. Во-первых, независимая сенсорика может ввести второй канал измерений с иной физикой отказов, например наблюдение за током двигателя шарнира или оптический датчик прогиба, не разделяющий термочувствительность тензодатчика. Во-вторых, машина может выполнить преднамеренное физическое возбуждение, приказав захвату кратковременно разорвать контакт с деталью на 40 , создавая известное граничное условие 0 N, где измеренное значение датчика прямо обнажает . В-третьих, машина может полагаться на периодическое внешнее якорение, приводя инструмент в контакт с откалиброванным опорным тензодинамометром во время плановых цикл смены инструмента, чтобы сбросить оценку смещения.
Когда физическое состояние нельзя ограничить комплементарной сенсорикой или активным возбуждением, оценщик обязан считать это состояние ненаблюдаемым и отказаться публиковать ложную точность. Слой оценки должен пометить соответствующие размерности состояния как недоступные или расширить их границу ошибки в соответствии с худшим случаем физической скорости дрейфа лежащего в основе оборудования, а не со сжатой ковариацией алгоритма фильтрации. Формальный анализ наблюдаемости для линейных и нелинейных динамических систем — устоявшийся фундамент теории управления, строго рассмотренный Kalman, 1960 для линейных пространств состояний и Hermann and Krener, 1977 для нелинейных систем через производные Ли (см. раздел «Распространение ковариации и наблюдаемость»). Системный инженер не выводит заново эти условия на ранг во время выполнения. Инженерная задача — определить, какие физические состояния не обладают полным рангом наблюдаемости при текущем наборе датчиков, и принудительно обеспечить, чтобы интерфейс состояния никогда не сообщал о статистической сходимости на неограниченной степени свободы.
Результаты наблюдаемости и сходимости оценки состояния приходят из теории управления и выполняются только при четырех явных допущениях. Во-первых, прямая модель датчика должна учитывать все физические связи без несмоделированных алгебраических зависимостей. Во-вторых, физические параметры, такие как жесткость компонентов и тепловые коэффициенты, должны оставаться в пределах предварительно откалиброванных диапазонов. В-третьих, шум датчиков должен оставаться нулевым по среднему и некоррелированным с командами актуаторов. В-четвертых, рабочая траектория машины должна избегать сингулярных конфигураций, приводящих к потере ранга матрицей наблюдаемости — математическому коллапсу, означающему, что некоторые физические состояния временно стали невидимы для датчиков. Оценщик проверяет эти допущения во время работы, перекрестно сверяя избыточные каналы измерений, проверяя датчики температуры среды и применяя активные процедуры повторного нуля до истечения оценки. Когда рабочее условие нарушает эти допущения — например, когда оптический датчик оказывается перекрыт или кинематическая конфигурация достигает сингулярного выравнивания, — оценщик отзывает статус действительности оценки, и нижележащие контроллеры переходят к консервативным пределам скорости и момента. Оценщик, отзывающий собственное утверждение, отказывает открыто; более тяжелые отказы — те, где ничто не отзывает.
Как оценка дает сбой
Камера перестает поставлять кадры, однако транспортный узел продолжает переиздавать свое последнее преобразование с текущим временем, и проверка свежести по времени публикации в 5 у нижележащего контроллера пропускает каждую копию. Этот отказ отличается по роду от камеры, которая просто замолкает, и это различие распределяет каждый сбой оценки по одной из двух форм. При громком отказе компонент останавливает выполнение, теряет пакет связи, очищает выходной буфер или выставляет явный бит ошибки. Нижележащие потребители немедленно наблюдают отсутствие данных или очищенный флаг действительности, что делает возможным валидированное резервирование — такое как удержание, остановка или режим податливости, — когда оно остается осуществимым. При молчаливом отказе слой памяти продолжает публиковать полную, численно корректно оформленную запись состояния с действительными битами статуса, индикаторами низкой дисперсии и непрерывными отметками времени, тогда как числа внутри записи расходятся с физической конфигурацией машины. Нижележащие контуры управления потребляют эти испорченные записи, не порождая исключения, вычисляя коррекции обратной связи относительно фантомной геометрии. Поскольку физические актуаторы исполняют команды, производные от этих правдоподобных записей, — такие как движение манипулятора к цели, которая теперь пересекает стену, — молчаливая порча состояния может передать силу через каузальную границу раздела «Каузальная граница» прежде, чем любой программный монитор зарегистрирует аномалию.6
Опасность переиздания из раздела «Сохранение пространственной оценки» имеет имя — замороженное преобразование, — и это самый обманчивый молчаливый отказ, потому что устаревший пространственный снимок, переизданный с текущими отметками времени, маскирует мертвый датчик. На иллюстративной шкале времени оптический узел слежения вычисляет матрицу преобразования с отметкой времени . Если оптический датчик отключается, теряет кадры или страдает от голодания потоков в 10 , лежащий в основе алгоритм слежения перестает порождать новые пространственные свидетельства. Если промежуточное ПО передачи сообщений или промежуточный транспортный узел удерживает последнюю вычисленную матрицу в неистекшем буфере и переиздает ее с частотой цикла 1 000 , порождая новую отметку времени передачи с 1 , временное происхождение измерения стирается. Нижележащий контроллер слежения проверяет свежесть, вычисляя возраст данных как . Поскольку издатель проставил на сообщение текущие системные часы, оказывается меньше 1 , удовлетворяя строгому порогу свежести 5 . Контроллер принимает преобразование как текущие свидетельства. Если физический объект движется со скоростью 0.5 , а преобразование остается статичным, контроллер накапливает 50 пространственной ошибки слежения за 100 , однако докладывает о нулевой оцененной дивергенции слежения.
Трассы фантомных объектов возникают, когда оценщик разъединяет время жизни пространственных координат и время жизни свидетельств существования. Модуль восприятия ведет трассу объекта, состоящую из вектора кинематического состояния (кодирующего пространственное положение и скорость) и вероятности существования (кодирующей уверенность в том, что объект физически реален). Когда физический объект убран из рабочей области или начинается окклюзия, сырые срабатывания детектора падают до нуля. Если слой оценки продолжает распространять вперед по динамике процесса, тогда как затухание вероятности существования управляется большой постоянной времени (например, иллюстративное затухание, при котором остается выше рабочего порога в течение без подкрепления), трекер поддерживает устойчивую фантомную сущность. Планировщик маршрутов проводит манипулятор вокруг пустого пространства, а автоматическая процедура захвата смыкает пальцы на пустой координате. Обнаружение фантомной трассы не может опираться на пассивное отсутствие измерений. Оно требует отрицательных свидетельств (см. раздел «Что может подтверждать память сцены»), когда датчик прямой видимости описывает объем и подтверждает, что ожидаемая занятость пуста, или несбывшегося ожидания контакта, когда датчик силы регистрирует нулевую нагрузку на предсказанной границе контакта.7
Ошибочные отнесения систем координат делятся по схожей границе между синтаксисом и семантикой. Рассогласование системы координат, обнаруживаемое схемой, возникает, когда издатель помечает преобразование недействительным или неопределенным идентификатором системы координат в графе дерева преобразований. Шина сообщений со статическим принудительным обеспечением схемы отклоняет пакет на границе сериализации, поскольку названную систему координат нельзя разрешить до известного родительского звена. Напротив, семантически неверное назначение системы координат возникает, когда инженер или файл конфигурации назначает действительный, корректный по типу идентификатор системы координат, представляющий неправильное физическое звено. Например, задание траектории центра инструмента с использованием преобразования голого монтажного фланца вместо вынесенного кончика инструмента удовлетворяет каждой проверке схемы, утверждению типа и тесту обхода дерева. В иллюстративной установке, где кончик инструмента отстоит на за фланцем вдоль оси инструмента, ошибка «фланец как кончик» смещает целевую точку контакта на эту величину. Произойдет ли контакт, зависит от геометрии приспособления и допущенного пути. Обнаружение семантической ошибки системы координат требует проверок физической согласованности, таких как сверка измеренных моментов двигателей с аналитической динамической моделью манипулятора или перекрестная сверка наблюдений многокамерного оптического трекера с кинематикой шарнирных энкодеров.
Когда обновления датчиков выпадают, оценщик целиком полагается на свою предсказательную прямую модель, чтобы продвигать оценки состояния через слепой интервал. Хорошо сформулированный фильтр обновляет среднюю оценку состояния , монотонно расширяя ковариацию оценки , чтобы отразить рост неограниченного процессного шума. Самоуверенный предсказатель занижает дисперсию процесса , удерживая искусственно компактной в течение длительного предсказания, превышающего . Когда свежие сенсорные измерения наконец приходят, искусственно малая ковариация заставляет фильтр обесценивать поступающие наблюдения; он настолько сильно взвешивает свое внутреннее интегрирование пути, что классифицирует действительные измерения как статистические выбросы и отклоняет их. Инженеры выявляют самоуверенность при квалификации системы, выполняя ступенчатые синтетические окклюзии, систематически отбрасывая кадры датчиков на интервалы между и и оценивая инновацию при повторном захвате, . Если этот остаток последовательно превышает предсказанные границы ковариации в пятидесяти ступенчатых испытаниях, модель процессного шума недействительна. Дрейф вдоль ненаблюдаемой степени свободы, такой как проскальзывание детали внутри податливых накладок захвата, не порождает вовсе никакого остатка при повторном захвате (см. раздел «Когда оценщик не может знать»). В масштабе транспортного средства оценка местности держится, пока ее не опровергнут сами колеса.
Ровер, застрявший в песке (2009)
Контекст: Колеса Spirit начали тонуть в мягком грунте на Трое на 1886-й сол, и к 1899-му солу ровер окончательно завяз (записи навигационной камеры JPL). Более темный верхний слой покрывал площадку; колеса прорвались сквозь него в более светлый материал ниже.
Механизм: Вращение колес не давало ожидаемого поступательного движения, пока ровер тонул. JPL сообщил, что камень под аппаратом мог коснуться его днища; контакт был возможностью, а не установленным механизмом. Один лишь вид поверхности не мог установить несущее состояние грунта ниже.
Последствия: Аварийные группы испытывали маневры извлечения, но Spirit не вернул подвижность. Событие иллюстрирует предел оценки местности: физическое взаимодействие дало свидетельства, которые предыдущая оценка проходимости не могла безопасно сохранить.
Реакция и урок: JPL создал режим Slip Check после того, как Opportunity завязла в Purgatory Ripple (технический отчет JPL), поэтому проверки проскальзывания на основе визуальной одометрии существовали еще до Трои. Контроллер должен сравнивать вращение колес с проверенным движением, инвалидировать предположение о местности, когда эти свидетельства противоречат ему, и допускать дальнейшее движение только через осуществимую проверку разрешения.
Замороженные преобразования, фантомные трассы, ошибочно назначенные системы координат и самоуверенные предсказатели все пересекают границу между оценкой и управлением, и протокол пространственной оценки из раздела «Что передает память» — та структура, которая обязана поймать их там, потому что случайный словарь значений и матриц не отличает активные свидетельства от закэшированного импульса. Поэтому каждый элемент пространственной памяти должен находиться внутри явной записи состояния, связывающей численное значение с его базовой системой координат, происхождением от датчика, границей роста и жестким предельным сроком инвалидации, который вынуждает нижележащих потребителей отклонять запись после прохождения этого срока.
Схема пространственного состояния
Оценка пальца у паза защелки из раздела «Оценка сквозь окклюзию» теперь несет все, что нужно потребителю, чтобы ее судить, а протокол пространственной оценки из раздела «Протокол пространственной оценки» — та структура, в которой эти величины путешествуют вместе. Из контрактов наблюдений раздела «Контракт наблюдений» запись сохраняет эпоху захвата каждого наблюдения, идентификатор часов и границу преобразования, чтобы контроллер разрешения мог преобразовать часы захвата в собственные монотонные часы с ограниченной ошибкой до оценки возраста. Память вносит четыре поля собственных. Эпоха оценки датирует последнее вычисление и держится отдельно от эпохи свидетельств, которая датирует последнее физическое измерение; граница роста неопределенности указывает, как быстро накапливается ошибка без новых свидетельств; область действительности указывает, где эта граница выполняется; а истечение указывает, когда оценка перестает быть допустимой. Запись находится в состоянии VALID, пока свежие наблюдения ее ограничивают. Как только наблюдения прекращаются, предсказание может лишь нести ее вперед — в состояние DEGRADED, пока ее граница остается внутри допуска, и в состояние EXPIRED, когда эта граница достигает допуска или машина покидает область действительности; только свежее наблюдение возвращает ее в VALID. Запись находится в состоянии UNOBSERVABLE, когда датчики не могут вовсе ограничить величину (см. раздел «Когда оценщик не может знать»). Таблица «Полный протокол пространственной оценки» заполняет запись для пальца как оценку с ограниченными возмущениями.
| Поле | Пример значения записи | Проверка потребителем |
|---|---|---|
| Сущность и величина | Палец захвата относительно паза разблокировки защелки, боковое смещение от осевой линии паза | Совпадение с целевой сущностью и величиной задачи |
| Значение и единица СИ | Боковое смещение, хранимое в метрах; границы ниже показаны в миллиметрах для читаемости | Декодировать как метры, а не миллиметры или силу |
| Система координат | Система координат latch_slot с ревизией преобразования калибровки камеры запястья | Разрешить цепочку преобразований, действительную во времени |
| Эпоха свидетельств | , последний захват камерой запястья до того, как палец перекрыл паз, на часах захвата камеры запястья | Сохранять при предсказании и переиздании |
| Эпоха оценки | Последнее распространение смещения на тех же часах захвата | Датировать распространенное оценочное значение; не обновлять свидетельства |
| Преобразование часов | Версионированное , ошибка не более 0.2 ms («Контракт наблюдений») | Отклонить, если преобразование истекло; добавить ошибку к верхней границе возраста |
| Начальная ошибка | = 0.1 mm | Проверить начальную границу по калибровке |
| Закон роста | $E(t) = 0.1\text{ mm} + (12\text{ mm/s})\,t + \tfrac12(50\text{ mm/s}^2)\,t^2$ | Сравнить на возрасте свидетельств с допуском паза |
| Область действительности | Ускорение манипулятора и режим контакта не менялись с ; границы дрейфа и возмущений выше валидированы в этой области | Истечь немедленно при нарушении режима или границы остатка |
| Истечение | + 66 ms, где закон роста достигает допуска паза 1 mm | Отклонить зависимые предложения после истечения; более поздняя эпоха оценки не продлевает его |
| Происхождение | Идентификатор наблюдения камеры запястья, ревизия калибровки, хэш сборки оценщика | Совпадение с одобренными источниками; хэш — происхождение версии, а не целостность полезной нагрузки |
| Жизненный цикл | VALID при захвате, DEGRADED, как только палец перекрыл паз, EXPIRED в + 66 ms | Никогда не восстанавливать VALID без свежих физических свидетельств |
| Свидетельства ячеек карты, где применимо | Этой записью не используется; оценка карты, такая как поперечный проход у торца стеллажа, несет эпоху захвата для каждой ячейки и состояние свободно/занято/неизвестно | Проверять каждую ячейку, используемую кандидатным путем; неизвестное остается неизвестным |
Полный протокол пространственной оценки: Значение, единица, сущность, система координат, две эпохи, преобразование часов, модель ошибки, область действительности, истечение, происхождение и жизненный цикл путешествуют вместе. Более поздняя эпоха оценки датирует вычисление, а не измерение, и не может продлить истечение за пределы .
Та же форма несет оценку, на которой строит раздел «Обоснованное намерение», — позу ручки кружки, пока кружка едет по конвейеру выдачи к манипулятору. Ее система координат — базовая система координат робота, ее эпоха свидетельств — последний захват ручки камерой запястья, преобразованный под ту же границу часов 0.2 ms, а ее начальная ошибка — 3 mm. Ее закон роста отличается по роду от закона для пальца. Конвейер несет кружку со скоростью не более 0.20 m/s — границу по скорости, а не по силе, — поэтому ошибка растет линейно от начального значения и достигает допуска захвата 15 mm в + 60 ms. Ее область действительности — конвейер, движущийся вперед в пределах этой скорости с устоявшейся на нем кружкой, поэтому удар, опрокидывающий или поднимающий кружку, а также конвейер, превышающий скорость или идущий назад, немедленно инвалидирует запись, сколько бы времени ни оставалось. Квалифицированный трекер, обновляющий запись на каждом кадре, заменяет этот закон дрейфа конвейера законом, ограниченным остаточным проскальзыванием конвейера («Цели с истекающим сроком»).
Потребитель любой из записей преобразует эпоху захвата в собственные часы, прибавляет запас ошибки часов к возрасту, проверяет статус жизненного цикла и область действительности и только затем оценивает относительно допуска предлагаемого движения. Прохождение этих проверок допускает оценку к отдельному решению о разрешении; оно не приводит робота в действие. При истечении или ненаблюдаемости контроллер отклоняет зависимые предложения и выбирает валидированное резервирование, чье торможение, удержание или поиск остаются физически осуществимыми.
Истечение оценки, наблюдаемость и протокол оценки
Прежде чем перейти к заблуждениям, возникающим, когда действительным записям доверяют слишком сильно, проверьте свое понимание эпох свидетельств, истечения оценки, пределов наблюдаемости и протокола оценки:
- Классификация эпох: Можете ли вы отличить эпоху свидетельств (захвата) () от эпохи оценки () и эпохи публикации () и объяснить, почему проставление на оценке времени публикации скрывает смещение, накопленное с момента захвата?
- Физический горизонт инвалидации: Можете ли вы объяснить, почему срок годности пространственной оценки при окклюзии задается свободным расстоянием задачи и ограниченным возмущением, а не программным тайм-аутом, и почему экстраполяция с постоянной скоростью допускает оценку за ее предельным сроком?
- Опасности ненаблюдаемого многообразия: Можете ли вы объяснить, почему нулевая инновация () не обнаруживает дрейф смещения датчика, вызванный тепловым нагревом двигателя (нагрев Джоуля ) вдоль ненаблюдаемой степени свободы?
- Машина состояний жизненного цикла: Можете ли вы проследить детерминированные переходы между
VALID,DEGRADED,EXPIREDиUNOBSERVABLE, объясняя, почему запись состояния никогда не должна возвращаться вVALIDбез свежей аппаратной эпохи свидетельств ?
Заблуждения и ловушки
По отдельности действительные записи не обязаны составлять согласованное описание рабочего пространства. Контроллер должен согласовать их время и лежащие за ними свидетельства, прежде чем использовать их вместе для разрешения движения.
Заблуждение и ловушка
Ловушка: Оценка пространственного свободного расстояния между движущимися телами по асинхронным отметкам времени.
Основание едет к торцу стеллажа на своем пределе движения
1.5 m/s, тогда как коллега идет к основанию с границей скорости ходьбы1.6 m/s, так что они сближаются со скоростью3.1 m/s. Их записи положений различаются по времени захвата на20 ms, и обе остаются внутри окна истечения31.25 ms. Прямое сравнение их объединяет положения, никогда не описывавшие один и тот же момент. За этот разрыв два тела сближаются на62 mm— больше, чем50 mmмежду границей локализации и защитным запасом. Отдельные проверки свежести не могут установить совместное свободное расстояние. Контроллер обязан распространить обе оценки к общему моменту оценки, перенеся каждую границу роста к этому мгновению, или ограничить допустимый сдвиг от скорости сближения и свободного расстояния.
Заблуждение и ловушка
Заблуждение: Ограниченная пространственная ковариация доказывает, что физическая сущность все еще существует в рабочем пространстве.
Это фантомная трасса из раздела «Как оценка дает сбой» у торца стеллажа. Человек выходит, обнаруживается и возвращается за стеллаж, а трекер продолжает предсказывать человека вдоль поперечного прохода с ковариацией ниже порога отклонения. Затем планировщик проводит основание вокруг предсказанного человека и считает остальной поперечный проход учтенным. Этот второй вывод проваливается, даже если человек действительно там, потому что отсутствие обнаружений в перекрытой области не является свидетельством ни присутствия, ни пустоты, а точная экстраполяция одной трассы не сертифицирует ничего о пространстве вокруг нее. Трекер обязан хранить свидетельства существования отдельно от пространственной ковариации, и только отрицательные свидетельства от датчика, который мог бы видеть поперечный проход, могут очистить пространство вокруг трассы.
Итоги
Пространственная память переносит оценку через интервалы, когда ни один датчик ее не ограничивает. Перенос оценки вперед не есть ее обновление. Предсказатель, фильтр или переиздающий мост продвигают отметку времени состояния к текущему циклу, но свидетельства за этим состоянием остаются укорененными в эпохе захвата последнего физического измерения. Поэтому протокол пространственной оценки держит две эпохи раздельно — эпоху свидетельств, датирующую измерение, и эпоху оценки, датирующую вычисление, — и связывает обе с системой координат, начальной ошибкой, законом роста, областью действительности и истечением. Как бы часто ни пересчитывалась оценка, только свежее наблюдение восстанавливает действительный статус записи. Привязка к системе координат важна, потому что само преобразование есть оценка с собственной эпохой свидетельств, а устаревшее ребро проходит каждую проверку, которую дерево способно выполнить, тогда как определяемая им точка инструмента дрейфует за пределы свободного расстояния.
Время жизни оценки состояния не может управляться удобными программными тайм-аутами, такими как сторожевой таймер операционной системы или транспортный буфер, выставленный на круглые . Истечение — физический расчет, диктуемый допуском задачи и валидированной скоростью роста ненаблюдаемой ошибки. У торца стеллажа оценка того, что поперечный проход пуст, истекает через 31.25 ms после последнего кадра, который его видел, — до того, как восприятие вообще отправит этот кадр, — независимо от того, остается ли программная очередь сообщений здоровой. Поэтому память не может сертифицировать перекрытый поперечный проход как свободный. Она добавляет предельный срок к бюджету остановки машины, но не расстояние; бюджет защищает только статическое препятствие, а человек, все еще идущий к машине, передается вместо этого правилу перехода площадки. Отрицательные свидетельства сортируют пространственные представления. Только пространство, которое действительный луч видел пустым, ручается за свободное расстояние, и только пока эти свидетельства свежи, поэтому ни отрисованный вид, ни время публикации карты не являются границей свободного расстояния.
↳ Далее: Криминалистическая запись истекших пространственных преобразований наполняет журналы полномочий в разделе «Журнал полномочий».
Два вида ошибок скрываются от проверок, которые потребитель способен выполнить. Замороженное преобразование или фантомная трасса публикует полные, свежие на вид записи, что делает их опаснее явного пропущенного кадра, потому что пропущенный кадр запускает валидированное резервирование, тогда как устаревшая запись, замаскированная под свежую, проходит недостаточную проверку свежести. Ненаблюдаемая ошибка скрывается еще глубже. Когда доступные датчики не могут отличить два физических состояния, инновация остается нулевой, а ковариация сжимается, тогда как истинная ошибка растет, — так было с оценкой силы, чье смещение датчика дрейфовало с нагревом обмотки. Только второй канал с иной физикой отказов, преднамеренное возбуждение или внешний опорный сигнал восстанавливают то, чего датчики не видят.
Возраст свидетельств и истечение оценки
- Предсказание продвигает состояние, но никогда — свидетельства: Распространение вперед перемещает отметку времени оценки в настоящее, но ее эпоха свидетельств остается на последнем физическом измерении. Возраст измеряется от этой эпохи, поэтому переизданная или экстраполированная состояние ровно так же стара, как и наблюдение под ней.
- Истечение — физический предельный срок: Оценка истекает, когда ее валидированная граница ошибки достигает допуска задачи , будь эта граница законом роста с ограниченными возмущениями или откалиброванным квантилем. Программный тайм-аут, выбранный для удобства планирования, ничего не говорит ни о том, ни о другом.
- Память добавляет предельный срок, но не расстояние: Оценка у торца стеллажа устаревает за
31.25 ms— меньше двух кадров камеры, — поэтому память не может сертифицировать перекрытую область как свободную. Бюджет остановки получает от памяти предельный срок, но не слагаемое расстояния и по-прежнему защищает только статическое препятствие. Неизвестное пространство остается неизвестным, и время публикации карты никогда не освежает ячейку, которую ни один датчик не пересмотрел.- Устаревшие записи выглядят здоровее отсутствующих: Замороженное преобразование, фантомная трасса или две записи, сравниваемые через несовпадающие эпохи, — все проходят проверки свежести, которые пропущенный кадр провалил бы. Существование, сдвиг между записями и эпохи преобразований — каждое требует собственной проверки относительно времени свидетельств.
- Ненаблюдаемая ошибка скрывается от проверок инновации: Вдоль степени свободы, которую датчики не могут различить, остатки остаются нулевыми, а ковариация сжимается, пока ошибка растет. Независимая сенсорика, преднамеренное возбуждение или внешнее якорение должны поставить недостающее ограничение прежде, чем оценщик сможет заявить о сходимости.
Третий закон требует, чтобы путь разрешения решал каждое действие по состоянию, возраст которого известен (принцип «Предложение — не разрешение»), а пространственная память дает этому возрасту его определение, отсчитывая его от эпохи свидетельств последнего физического измерения, а не от эпохи оценки последнего вычисления. Пространство, через которое не прошел ни один действительный луч, не имеет вовсе никакой эпохи свидетельств, поэтому оно достигает пути разрешения как неизвестное, без возраста, который мог бы сделать его свободным. Известный возраст все еще не лицензия. Он что-то значит только через закон роста, превращающий его в границу ошибки, и как бы точно возраст ни был известен, путь разрешения обязан отклонить состояние в предельный срок, когда эта граница достигает допуска задачи.
От действительных оценок к ограниченным целям
Что может разрешить действительная оценка? Память судит только о действительности. Она может сказать, что запомненный объект лежит в пределах заявленной границы до заявленного предельного срока, но не может сказать, что машине делать с этим объектом. В разделе «Обоснованное намерение» человеческая цель — взять кружку с конвейера — становится арендой намерения, которая потребляет протокол оценки ручки кружки, переносит эпоху свидетельств этой оценки вперед как собственное время свидетельств, ограничивает свое истечение горизонтом этой оценки и дарует ограниченную цель с пределами усилий, но никогда — путь, и не дольше, чем поддерживают лежащие под ней свидетельства.
-
Формализация оценки состояния: В частично наблюдаемом марковском процессе принятия решений (POMDP) оценка представляет распределение вероятностей по скрытым состояниям. Интерфейс физического состояния дополнительно несет границу ошибки. Без значения, системы координат, эпохи свидетельств и применимой модели неопределенности нижележащий оптимизатор не может оценить свободное расстояние в период выпадения данных датчика. ↩
-
Аппаратный захват входа таймера: Каналы захвата входа таймера микроконтроллера защелкивают значения счетчика в выделенные теневые регистры по переходам внешнего сигнала, обходя задержку прерывания операционной системы. Чтение регистров захвата без атомарной синхронизации с флагами переполнения таймера вызывает наложение 16-битного счетчика, вводя искусственные скачки отметок времени, равные периоду переполнения ( для таймера на ). В нижележащей зрительно-инерциальной одометрии эта временная разрывность порождает ложные всплески ускорений, дестабилизирующие фильтры ориентации платформы. ↩
-
Джиттер синхронизации часов полевой шины: Архитектуры полевых шин демонстрируют различные аппаратные границы синхронизации часов: IEEE 1588 PTP через Ethernet достигает , распределенные часы EtherCAT достигают аппаратного джиттера SYNC0 , а битно-фазовая синхронизация CAN-FD дает . Поскольку пространственная неопределенность масштабируется с относительной скоростью цели (), синхронизация на уровне микросекунд необходима, чтобы удерживать временные ошибки в микрометровых механических бюджетах. Некалиброванный дрейф часов между распределенными узлами датчиков и двигателей ухудшает координацию многоосевого инструмента, порождая высокочастотную дребезгу в контурах момента шарниров. ↩
-
Происхождение байесовской оценки состояния: Kalman, 1960 ввел рекурсивную оценку состояния с минимальной среднеквадратичной ошибкой для линейных динамических систем. Moravec and Elfes, 1985 обобщили эти рекурсивные байесовские обновления на пространственные сетки занятости, моделируя неопределенность луча датчика через явные распределения дальность-пеленг. В воплощенных системах некомпенсированное распространение сквозь длительные выпадения данных датчиков приводит к рассеиванию байесовских распределений оценки, требуя явных горизонтов инвалидации для предотвращения расхождения управления разомкнутого контура. ↩
-
Негладкая контактная динамика: Физический контакт поверхностей вводит многозначное трение Кулона и негладкие переходы прилипание–скольжение, ломающие линейные модели распространения ковариации. Переход между режимами прилипания и скольжения вносит разрывные скачки скорости, инвалидирующие непрерывные кинематические границы дрейфа. Управление этими переходами контактных режимов требует гибридных оценщиков состояния, переключающихся между различными матрицами роста ошибки при обнаружении порогов нормальной силы. ↩
-
Стандарты безопасности AMR: ISO 3691-4 касается требований безопасности для без водительских промышленных тележек и их систем. Окклюзия и остановочный путь оцениваются для области эксплуатации каждой конструкции и ее конфигурации датчиков и актуаторов, а не принимаются как универсальные величины. ↩
-
Стандарты безопасности автономных систем: UL 4600 касается оценки безопасности автономных изделий, а ISO 26262 — функциональной безопасности автомобилей. Проверки возраста данных, инвалидации трасс и преобразований в этой главе являются требованиями к дизайну ее разработанной архитектуры, а не пунктами какого-либо из стандартов. ↩
Обоснованное намерение
Цель
Что должна нести автономная цель, чтобы медленная рассуждающая модель не загнала машину в ситуацию, которой больше нет?
Высокоуровневая семантическая команда вроде «забери паллету» задает желаемый результат, оставляя существенные физические параметры — траекторию, силу контакта и временные границы — совершенно неопределенными. Поскольку физическая сцена непрерывно меняется, пока большие модели рассуждений или зрение–язык обдумывают, необработанные выходы модели нельзя исполнять без физического обоснования. Цель, достижимая в момент начала обдумывающего инференса, может стать полностью перекрытой до начала исполнения, даже если высокоуровневая декомпозиция задачи моделью была логически безупречна.
Обоснованное намерение переводит абстрактные указания в физически допустимые области, ограниченные явными арендами, пространственными допусками и жесткими предельными сроками. Когда аренда среды истекает или цель дрейфует за сертифицированные границы, безопасное замедление не может ждать, пока контур обдумывания с высокой задержкой подтвердит тайм-аут. Слой реального исполнения должен независимо отозвать полномочия на движение и выполнить гарантированное резервирование. В стеке физического ИИ намерение мостит семантические цели Мозга к физическим пределам Тела, предоставляя детерминированной Нервной системе ограниченные аренды, которые безопасно истекают, если их не продлить.
Цели обучения
- Построить аренду намерения из протокола оценки состояния — с областью цели, огибающей ошибки, допуском задачи и потолками усилий
- Вывести горизонт свидетельств цели из допуска задачи и дрейфа цели и отличить его от предельного срока остановки
- Решить, когда неоднозначность обоснования или предпосылка о неверном объекте требуют отказа, а не допуска
- Оценить, достижима ли предложенная цель в ее оставшемся окне свидетельств
- Спроектировать истечение аренды, которое отзывает полномочия на движение, даже когда выдавший процесс не может его отменить
Обоснованные аффордансы
Когда складскому мобильному манипулятору велено «взять красную кружку» с конвейера выдачи, указание задает результат, но оставляет путь, силу и предельный срок неопределенными. Инвертор двигателя принимает электрические команды, а не язык. Модели зрение–язык–действие (VLA) Brohan et al., 2023; Brohan et al., 2023 могут предлагать действия или цели, но частота их обновления зависит от модели и аппаратуры и может быть куда медленнее локального управления. Если цель движется во время инференса, устаревшее предложение может израсходовать запас хода. Поэтому системе нужны датированные геометрические свидетельства, ограниченные запросы и независимый путь разрешения, способный отозвать полномочия, пока модель молчит.
↰ Предварительное требование: Протокол оценки состояния, который потребляет аренда (эпоха свидетельств, начальная ошибка, закон роста), задан в разделе «Схема пространственного состояния».
Память может поставить пространственную оценку со сроком истечения («Оценка сквозь окклюзию»); она не может решить, какое действие эта оценка разрешает. Намерение закрывает этот разрыв, связывая высокоуровневую семантику задачи с ограниченной физической целью. Оно задает допустимую, ограниченную во времени цель до того, как планировщик траекторий раздела «Планирование траекторий» построит непрерывный профиль движения к ней.
Связывание слов с физическими целями — робототехническая форма того, что Харнад назвал проблемой обоснования символов Harnad, 1990: чисто символьные или лингвистические токены внутри вычислительной системы не имеют внутреннего физического смысла, если они каузально не обоснованы в несимвольных сенсомоторных взаимодействиях с физической средой.1 Если ранние системы искусственного интеллекта, такие как SHRDLU Винограда Winograd, 1972, оперировали внутри закрытых блочных миров с синтетическими аналитическими геометриями,2 то современные системы физического ИИ должны обосновывать инструкции с открытым словарем в непрерывных, динамических и неопределенных физических пространствах.3
Отказ при обосновании намерения
Отказ при обосновании намерения — правило допуска, по которому воплощенная система явно отклоняет семантически неоднозначные указания на естественном языке, возвращая типизированный статус отказа (
ERR_GROUNDING_AMBIGUITY), вместо исполнения необоснованных догадок максимального правдоподобия через физические запасы хода.
- Значение: Отклоняет предложение, когда специфический для задачи тест неоднозначности («Как намерения дают сбой») провален, до того как это предложение дойдет до генерации траекторий.
- Отличие: В отличие от отказа планирования траекторий, который не может найти свободный от столкновений путь к допустимой цели, отказ при обосновании отклоняет саму цель как физически необоснованную или неоднозначную до вызова планировщика.
- Типичная ловушка: Принудительная декодировка argmax-токена или догадка ближайшего соседа, когда кандидатные референты остаются неразрешенными, отправляющая объект управления к произвольной или опасной цели.
Что бы ни предложила модель, это должно оставаться ограниченным и во времени. Раздел «Многотактное расписание» показывает расписание, в котором медленная модель обдумывания, локальный трекер, контур разрешения и привод работают с разными частотами. Цель на конвейере, чьи свидетельства истекают за десятки миллисекунд, не может продлеваться моделью, обновляющейся раз в несколько сотен миллисекунд, поэтому требуется отдельный проверенный локальный путь наблюдений или пауза задачи. Частоты на рисунке иллюстративны, а раздел «Цели с истекающим сроком» сопоставляет собственный темп намерения машины с горизонтом конвейера.
Многотактное расписание: Четыре иллюстративные частоты показывают, почему обдумывающее предложение не может служить сигналом живости двигателя или контура разрешения. Расписание не связывает размер модели с частотой. Локальный трекер может продлевать свидетельства цели, только если его датчик и границы ошибки независимо проверены. Собственные уровни машины — уровни раздела «Многотактные ритмы»; модель намерения машины работает быстрее показанной частоты обдумывания, а политика фрагмента здесь опущена.
↰ Предварительное требование: Граница предложения и путь разрешения определены в разделе «Машина в пяти уровнях».
Обоснование открытого указания поэтому заканчивается датированным предложением намерения, которое прикладной процессор отправляет через границу предложения. Оно запрашивает границы в пространстве, времени и усилии, а независимый путь разрешения проверяет каждую из них по настроенным пределам, текущему состоянию и запасу остановки до начала движения.
Что передают намерения
Когда плечо тянется к красной кружке, Мозг не отправляет через границу предложения ни траекторий шарниров, ни напряжений обмоток. Он отправляет запрос ограниченных полномочий, и путь разрешения должен уметь проверить каждую его часть, прежде чем предоставит хоть что-то. Проверки — это допуск цели, действительность свидетельств, запрошенное усилие и осуществимое резервирование, и каждая существует потому, что задержанное предложение может провалиться по-разному. Раздел «Аренда намерения» называет протокол, который несет запрос и происхождение от протокола оценки состояния.
В физическом манипулировании изолированная координата неполна. В смысле Гибсона аффорданс — это относительное действию отношение между геометрией, достижимостью робота и пределами контакта Gibson, 1979. Поэтому предложение намерения запрашивает целевую позу в — пространстве трехмерных положений и ориентаций — и область допуска задачи, внутри которой задача считается выполненной. Этот допуск отличается от ковариации оценщика, которая описывает неопределенность цели. Для захвата кружки машиной утвержденный профиль задачи допускает 15 mm поступательной ошибки. Тогда регулятор может завершить работу внутри этой области, а не интегрировать вечно к точному шумному пункту; он по-прежнему проверяет, что оценочная ошибка цели помещается в допуск.
Пространственная действительность в физическом мире недолговечна. Поэтому физическая цель несет эпоху свидетельств и конечное запрошенное истечение, а не полагается на асинхронное сообщение отмены4 от слоя рассуждений. Модель, выдающая новый результат лишь раз за период, не может — даже до джиттера — продлить цель, чьи свидетельства действительны меньше этого периода. Независимый регулятор разрешения оценивает допущенный предельный срок на каждом цикле управления и прекращает слежение, когда истекают свидетельства или аренда. Настроенное удержание или остановку он выбирает только тогда, когда измеренное состояние и оставшийся запас делают такой отклик осуществимым.5 Локальный таймер снимает зависимость от пакета аварийной остановки хоста; остановочный путь остается отдельным физическим обязательством.
Цель, ограниченная в пространстве и времени, опасна, если регулятору позволены неограниченные физические усилия. Поэтому предложение намерения запрашивает потолки усилий по скорости, ускорению и вектору сил-моментов контакта. Модель может поставить цель чуть за поверхностью, которой она должна коснуться, из-за ошибки стерео-параллакса; жесткий позиционный регулятор тогда подаст избыточный восстанавливающий момент. Для охраняемого подхода плеча к двери клетки с пружинной защелкой предложение может запросить порог срабатывания в 15 N как потолок контактной силы — намного ниже предела защелки 100 N — и скорость подхода 0.03 m/s как потолок скорости. Путь разрешения сравнивает каждый запрос с независимо настроенными потолками актуаторов и задачи, а затем допускает лишь осуществимое подмножество. Низкоуровневый импедансный регулятор6 принудительно обеспечивает допущенные пределы.
Пропуск любой из этих трех границ оставляет машину незащищенной при пропаданиях связи или зависаниях восприятия. Остановочный путь растет линейно с задержкой до торможения и квадратически со скоростью («остановочный путь тела»). На движущемся основании, чей бюджет остановки измеряется расстоянием, зависший инициатор удлиняет слагаемое задержки на время, пока его последнее предложение сохраняет полномочия. Это время — аренда фрагмента раздела «Многотактные ритмы», и оно входит в . Запас хода держится, только если независимо проверенная граница препятствия лежит за остановочным путем с добавленными запасами на модель и восприятие.
Аренда намерения — другой объект. Она ограничивает, как долго цель остается обоснованной, и ее истечение немедленно отзывает цель и заканчивает слежение, не добавляя слагаемого в бюджет остановки основания.
Истекшие полномочия и физический отклик
Три модели ниже отвечают на разные вопросы. Для расчета остановки нужны общая задержка до начала торможения и замедление, доступное из текущего состояния.
- Истечение намерения кружки: Плечо тянется к красной кружке под намерением, допущенным без локального слежения. На
0.20 m/sконвейер израсходует12 mmмежду начальной ошибкой3 mmи допуском15 mmза60 ms, и свидетельства цели истекают тогда, как утверждает протокол оценки рукоятки кружки из раздела «Схема пространственного состояния». Предположим, прикладной процессор зависает. Цель, которую зависший инициатор удерживал бы200 ms, отстояла бы от кружки на43 mm. Аренда не ждет инициатора. На60 msнамерение истекает, полномочия слежения плеча заканчиваются, и плечо входит в остановку, согласованную с его текущим состоянием, с началом в пределах22 ms(один такт разрешения, один цикл шины и начало торможения). Аренда фрагмента раздела «Многотактные ритмы» — предохранитель, если это истечение так и не будет замечено. При локальном слежении те же200 msоставляют цель с отклонением13 mm, внутри допуска, потому что горизонт слежения, выведенный в разделе «Цели с истекающим сроком», равен219 ms; именно слежение делает обновление намерения с5 Hzжизнеспособным.- Плечо у двери клетки: На охраняемой скорости подхода
0.03 m/sк ответной планке двери клетки с жесткостью4.0 × 10⁵ N/mмодельная сила растет на12 N/ms. Порог срабатывания15 Nи отклик контактного контура2 msдают39 Nв момент начала команды торможения; сила продолжает расти, пока плечо замедляется. Оставаясь ниже предела защелки100 N, остается лишь0.15 mmдальнейшего сжатия, поэтому плечо должно замедляться примерно на3 m/s²и остановиться примерно за10 ms. Способно ли плечо затормозить так резко с подхода — открытая предпосылка, которую способны уладить лишь испытания остановки плеча. Незаторможенное движение200 msпродвигает6 mmи дает2 400 Nв модели линейной пружины — далеко за пределом защелки.- Контраст с технологическим объектом: У нагреваемого процесса нет тормозного хода, но полномочия его задания истекают так же, израсходованные как температура, а не как путь. При иллюстративной сосредоточенной теплоемкости
900 J/Kи некомпенсированном входе3600 Wтемпература растет на4 K/s. Выбранный допуск перерегулирования задачи2 Kизрасходуется за500 ms, поэтому задание нагревателя, чей инициатор завис, должно потерять полномочия куда раньше этого интервала;10 sпри том же нетто-тепловом входе дают модельный рост на40 K.
Эти три примера проясняют разделение полномочий. Высокоуровневые рассуждения могут предложить цель, временное окно и потолок усилий. Независимый путь разрешения определяет, какие пределы допустимы из измеренного состояния, настроенных потолков и осуществимого резервирования. Затем локальное управление отслеживает лишь допущенное предложение и отзывает полномочия при недействительных свидетельствах или истечении. Это напоминает разделение по приоритетам субсумпционной архитектуры7 Brooks, 1986.
Обоснование предложения намерения в эти три границы требует формального преобразования из неоднозначных сенсорных входов в структурированные проверяемые предложения. Когда система обрабатывает высокоуровневое указание или последовательность визуальных токенов, исходное предложение редко бывает единственным однозначным набором координат. Оно начинается как неопределенная геометрическая гипотеза, которая должна нести собственную пространственную неоднозначность и собственные временные пределы, прежде чем может быть допущена в конвейер исполнения.
От запроса к истекающему предложению
Инструкция на естественном языке становится опасной, когда непроверенная семантическая гипотеза командует движением. Когда оператор или высокоуровневый супервизор просит красную кружку, бортовая зрительно-языковая модель разбирает поток символов, проецирует признаки изображения в общее вложение и выбирает кандидатную визуальную область ограничивающего прямоугольника. Из этих пикселей сеть извлекает оценочную позу в и записывает значения координат в буфер памяти. На границе предложения («Машина в пяти уровнях») необоснованная строка токенов становится запрошенным местом назначения; если ее допустят, она достигает каузальной границы как масса, скорость и ток.8
Если визуальный остов свяжет языковой токен с соседним приспособлением или немаркированной калибровочной мишенью, результирующий вектор координат войдет в конвейер траекторий как авторитетная физическая цель. Поскольку низкоуровневый привод двигателя измеряет лишь импульсы энкодера, температуры обмоток и фазовые токи, он не способен оценить, соответствует ли отслеживаемая координата задуманной кружке или пустому участку ленты.9 Процесс обоснования должен выдать явное геометрическое предложение, включающее пространственную неопределенность, свидетельства выбора и временное истечение, прежде чем какой-либо планировщик движения его примет.
Обоснование аффордансов с открытым словарем использует язык и наблюдения датчиков, чтобы предложить относящийся к задаче навык, пространственное поле или программу, и ни один из его выходов не является проверенной целью. SayCan Ahn et al., 2023 умножает предпочтение языковой модели на обученную оценку успеха каждого навыка («Функции ценности и обоснование аффордансов»), что дает ранжирование, обусловленное обучением и наблюдением, а не вето на перекрытое или невозможное движение. VoxPoser Huang et al., 2023 («Обоснование 3D-аффордансов манипулятора») заставляет языковую модель писать код, компонующий 3D-карты притяжения и отталкивания в рабочем пространстве робота для использования оптимизатором траекторий как стоимостей, и градиенты по полю стоимости не сертифицируют ни свободу от столкновений, ни пределы момента. Code as Policies Liang et al., 2023 генерирует программы, вызывающие API восприятия и параметризованные примитивы движения, и сгенерированная программа может зависнуть так же верно, как и модель, поэтому обратный отсчет и путь разрешения удерживают управление, что бы ни делала программа. OK-Robot («Конвейер обоснования захвата с открытым словарем») фильтрует кандидатные захваты выбором объекта, обусловленным языком, и сегментационная маска за таким выбором — кандидатная область изображения, а не проверенный 3D-корпус. Раздел «Представления обоснования и вопросы допуска» излагает, что каждый вид представления отправляет дальше и что пути разрешения еще нужно, прежде чем любое из них станет допущенным запросом. Каждому нужны как минимум именованная система координат, единицы СИ, датированные свидетельства и собственные проверки пути разрешения.
Обоснование 3D-аффордансов манипулятора: VoxPoser компонует управляемые языком 3D-карты ценности для задач манипулирования Huang et al., 2023. Показанная исследовательская система предлагает пространственные цели; независимая обертка разрешения и остановки потребовала бы отдельного проектирования и валидации. (Источник: Huang et al., 2023 Huang et al., 2023, CC BY 4.0).
Конвейер обоснования захвата с открытым словарем: OK-Robot сочетает кандидатные захваты с выбором объекта, обусловленным языком, и геометрической фильтрацией Liu et al., 2024. Показанный исследовательский конвейер предлагает захват; ограниченный допуск, предельный срок свидетельств и независимая проверка разрешения — архитектурная обертка, разработанная в этой главе, а не заявленная особенность изображения.
| Источник предложения | Представление, отправляемое дальше | Ранняя проверка | Остающиеся необходимые свидетельства |
|---|---|---|---|
| 2D-рамка или маска | Область изображения плюс измеренная глубина и калибровка камеры | Отклонять при отсутствии глубины или цели вне проверенной области | Ошибка 3D-позы, окклюзия, идентичность объекта и запас огибаемого пути |
| 3D-признак или поле ценности | Кандидатная цель или поле стоимости в заявленной системе координат | Отклонять цели вне рабочего пространства и устаревшие ячейки карты | Консервативная занятость, политика неизвестного пространства, пределы актуаторов и тайминга |
| VLA с токенами действий | Декодированное действие в обученном диапазоне действий | Отклонять выходящие за диапазон или недопустимые предложения | Зависящий от состояния физический предел и независимое разрешение; бины токенов не дают доказательства запаса хода |
| Навык, выбранный языком | Идентификатор навыка с оценкой успеха | Ранжировать или отклонять низкоуверенных кандидатов | Текущие предусловия, осуществимость пути и отдельное физическое принудительное обеспечение |
Представления обоснования и вопросы допуска: Выходы разных семейств моделей требуют разных преобразований до физической проверки разрешения.
Дискретизированные выходы не несут метрической границы, и два распространенных вида лишены ее по разным причинам. RT-1 Brohan et al., 2023 и OpenVLA Kim et al., 2024 квантизуют каждое измерение действия робота на 256 бинов поверх обученного диапазона, поэтому декодированный бин есть действие и не кодирует запаса хода ни до какой цели. Токены локализации PaliGemma квантизуют нормализованные координаты изображения, которые становятся позой в системе координат основания лишь с измеренной глубиной, цепочкой калибровки и моделью ошибки, чьи слагаемые внешней калибровки и глубины могут доминировать над самой квантизацией.
Чтобы не дать обученному выходу выдать себя за детерминированное задание, источник должен сохранять идентичность референта и датированные свидетельства, его избравшие. Его протокол наблюдений может содержать ограничивающие прямоугольники, веса внимания, вероятности классов и полную ориентированную ковариационную оценку. Предложение намерения («Аренда намерения») ссылается по дайджесту и эпохе свидетельств на протокол оценки состояния, построенный из этого наблюдения («Схема пространственного состояния»); оно несет кандидатную позу, консервативные границы ошибки в системе координат основания, допуски задачи и запрошенное истечение, а не эти полные поля стороны источника. Независимый путь разрешения проверяет связанные свидетельства и запрос по собственным пределам. Объект может сместиться или оказаться перекрытым после экспозиции камеры, поэтому координата без действительной связи со свидетельствами и предельного срока не может оставаться авторизованной целью.
Когда зрительно-языковая модель видит несколько кандидатных объектов, argmax может скрыть неразрешенный выбор. Цифровая рекомендация все еще может ввести пользователя в заблуждение, но у нее нет прямого пути к актуаторам; у робота допущенное пространственное предложение может сдвинуть массу. Если красная стеклянная банка стоит рядом с красной кружкой на конвейере выдачи, плохо обоснованная догадка может выбрать банку. Система должна сохранять идентичность кандидатов и откалиброванную неопределенность, отклоняя предложение при превышении специфического для задачи порога неоднозначности. Тогда путь разрешения поддерживает осуществимое удержание или остановку, пока источник ищет более ясное наблюдение или указание.
Формально неоднозначность обоснования с открытым словарем — это состояние, при котором проекции мультимодальных признаков дают многовершинные апостериорные распределения, перекрывающиеся геометрические гипотезы или неразрешимые свидетельственные ничьи между кандидатными физическими референтами, требующие явного отказа при обосновании (ERR_GROUNDING_AMBIGUITY), а не оптимистичного разрешения ничьих argmax. Высокая энтропия по распределению кандидатных референтов , , — один из его сигналов, и фильтр источника раздела «Конвейер обоснованных намерений» может отклонить по этому сигналу до того, как предложение пересечет границу предложения. Тест, который должен держаться для каждого предложения, — независимый подсчет кандидатов в окне захвата («Как намерения дают сбой»), ибо уверенно ошибающаяся модель может сообщить низкую энтропию.
Конвейер обоснованных намерений: Эта предложенная реализация превращает мультимодальные входы в кандидатное пространственное поле, применяет энтропийный фильтр источника и передает ограниченный запрос через границу предложения от прикладного процессора к микроконтроллеру безопасности (MCU). MCU проверяет возраст свидетельств, настроенные пределы и осуществимое резервирование, прежде чем допустить локальный обратный отсчет. Перекрестное внимание и промптинг поставляют предложения, а не сертифицированные физические ограничения (синтезировано из Huang et al. Huang et al., 2023, Ahn et al. Ahn et al., 2023 и Gray Gray and Cheriton, 1989).
Рассмотрим оценку моделью обоснования рукоятки красной кружки по единственному виду камеры запястья, снятому издалека, до начала подхода плеча. В иллюстративной откалиброванной гауссовой модели локализации главные стандартные отклонения в системе координат датчика составляют 4 mm, 5 mm и 12 mm — наибольшее вдоль оси глубины камеры, которая есть также ось подхода захвата. 95-процентная статистическая область вокруг оценочного положения рукоятки использует квадрат расстояния Махаланобиса , где квантиль при трех степенях свободы равен 7.815, что дает главные полуоси 11.2 mm, 14.0 mm и 33.5 mm. Раздел «Неопределенность локализации и истечение полномочий» противопоставляет эту неопределенную цель отдельному допуску захвата кружки 15 mm. Обе боковые полуоси помещаются в допуск, но полуось глубины — нет, поэтому эта оценка проваливает допуск и требует лучшего восприятия, иного подхода или отказа.
Захват, допущенный в разделе «Аренда намерения», опирается на лучшее восприятие. Его протокол оценки состояния («Схема пространственного состояния») происходит от более близкой съемки камерой запястья на подходе, которая ограничивает начальную ошибку величиной 3 mm. Даже 95-процентная область этой допущенной оценки оставляет остаточный хвост и сама по себе не может сертифицировать запас хода, поэтому предложение намерения несет консервативные границы ошибки в системе координат основания, а не претендует на кодирование этой ковариации.
Неопределенность локализации и истечение полномочий: Панель (a) набрасывает статистический эллипсоид неопределенности цели рядом с отдельным допуском задачи захвата. Панель (b) сравнивает контрфактические траектории: синяя истекает и тормозит, зеленая продолжается лишь при свежих продлениях, а красная показывает движение без аренды. Успокоится ли синяя траектория перед препятствием, зависит от общей задержки до торможения, замедления и запаса хода.
Обнаружение с большой оценкой неопределенности может быть отклонено настроенным статистическим фильтром. Уверенное обоснование неверной физической сущности может пройти этот фильтр. Предположим вместо этого, что тонкостенная стеклянная банка прибывает одна туда, где должна быть кружка, и зрительно-языковая модель присваивает ей высокий балл уверенности, когда ее просят о красной кружке. Модель выдает острое геометрическое предложение с малой дисперсией, центрированное на стекле. Планировщик траекторий получает координату, вычисляет решение обратной кинематики , проверяет пределы шарниров и подтверждает, что путь проходит мимо всех препятствий в статической карте среды. Путь разрешения может найти предложенное движение в пределах своих настроенных геометрических и силовых границ. Если эти границы допускают силу захвата, нужную керамической кружке, плавная геометрически допустимая траектория может раздавить стекло, несмотря на прохождение проверок.
Этот отказ обнаруживает границу между тем, что путь разрешения может проверить, и чем он должен принять как непроверенную предпосылку. Путь разрешения проверяет границы координат, кинематическую достижимость, пределы моментов шарниров и геометрические столкновения по известным сеткам занятости. Эти физические проверки не устанавливают, что координата называет задуманный объект, поэтому предпосылка о том, что захваченный объект и есть названный объект, лежит вне досягаемости пути разрешения. Ей нужны собственные свидетельства задачи, и она путешествует с кружкой в ветвь передачи кейса выпуска («Полный разбор случая») и в реестр утверждений, которые свидетельства машины оставляют открытыми («Реестр остаточных утверждений»).
Мультимодальное извлечение признаков, выравнивание перекрестного внимания и обоснование фраз с открытым словарем принадлежат литературе по компьютерному зрению и языку Kamath et al., 2021; Gu et al., 2022; Radford et al., 2021; Liu et al., 2023. Архитектура физического ИИ потребляет эти модели обоснования, не опираясь на их внутренние активации для безопасности, и даже отфильтрованный поток предложений все еще нуждается в независимой проверке разрешения движения. Языковой фильтр задач AutoRT поднял долю приемлемых предложенных задач, но все же пропускал небольшую долю небезопасных, а его развертывание опиралось на паузу по силе в шарнирах, аварийные остановы и надзор человека, а не на промпт («Фильтрация задач и надзор AutoRT (2024)») Ahn et al., 2024.
Фильтрация задач и надзор AutoRT (2024)
Контекст: AutoRT использовал языковые модели, чтобы предлагать и фильтровать задачи для мобильных манипуляторов в офисных окружениях Ahn et al., 2024. Авторы собрали 77 000 роботизированных эпизодов более чем на 20 роботах; последовательность «схватить зеркало — разбить объект — ударить по шасси», ранее приписанную этому исследованию, они не сообщали.
Свидетельства: В размеченной выборке из 259 предложенных задач 228 первоначально были признаны приемлемыми. После фильтра аффордансов LLM 200 из 214 сохраненных задач были приемлемы, подняв долю приемлемых примерно с 88 до 93 %, но оставив часть неподходящих задач. В статье прямо сказано, что конституционный промптинг не может гарантировать соблюдение.
Реакция: Сообщенное развертывание дополняло промпты паузой по силе в шарнирах, физическими аварийными остановами и надзором человека с прямой видимостью, если рабочая зона не была ограждена. Это различные средства контроля с разным охватом; сам промпт не был сертифицированным геометрическим или физическим супервизором безопасности.
Урок для систем: Обученный фильтр задач может улучшить поток предложений, однако независимый путь разрешения и резервирования все равно должен валидировать каждое физическое действие для заявленной области эксплуатации.
Откуда бы ни пришла обоснованная цель, это также утверждение о моменте. Красная кружка, которую модель выбрала верно в момент съемки, продолжает двигаться с конвейером, поэтому предложение, верное в момент выдачи, становится неверным без изменения своего содержимого. Оно поэтому должно нести предельный срок, который путь разрешения может принудительно обеспечить без модели.
Цели с истекающим сроком
Предположим, прикладной процессор зависает, пока плечо тянется к красной кружке. Отказ, из-за которого необходима отмена, — тот же отказ, который не дает отмене быть отправленной, ибо явное прерывание требует работающих отправителя, планировщика и канала связи. Поэтому аренда намерения должна истекать сама. Это принцип «Предложение — не разрешение», примененный к цели. Путь разрешения владеет резервированием, которое может выполнить без инициатора, поэтому независимый обратный отсчет отзывает полномочия слежения зависшего предложения, не дожидаясь модели. Это переносит примитив аренды Gray and Cheriton, 1989 на физический регулятор: истечение запускает отдельно проверенное резервирование, чья способность остановиться перед опасностью зависит от текущего состояния, запаса хода, полномочий актуатора и общей задержки отклика.10
↰ Предварительное требование: Бюджеты кинетического импульса и ограничения остановочного пути происходят из раздела «Кинетический импульс».
Предельный срок свидетельств цели следует за скоростью, с которой физическая цель может расходиться со своим последним измерением. Предположим, проверенные границы ограничивают относительный дрейф цели величиной , а начальную ошибку положения — внутри заявленной области применимости протокола оценки состояния, и задача допускает ошибку цели . Тогда горизонт — это «горизонт инвалидации», примененный к «расширению окклюзии» с , где записан вместо и вместо :
Когда , цель недопустима в момент съемки. Регулятор отклоняет зависимое движение. Даже когда «граница дрейфа аренды» дает положительный горизонт, отдельная проверка разрешения движения должна сверить текущий запас хода с общей задержкой восприятия, разрешения, связи и начала торможения плюс физическим тормозным путем, как в разделе «Нервная система».
Если нужна также проверенная граница возмущающего ускорения , возвращается квадратичное слагаемое «расширения окклюзии», и его положительный корень при сокращает горизонт свидетельств.
Для красной кружки на конвейере выдачи обоснованная цель движется со скоростью 0.20 m/s. Допуск захвата 15 mm и начальная ошибка 3 mm оставляют 60 ms горизонта свидетельств цели по «границе дрейфа аренды». Растяжение горизонта до периода обновления 200 ms модели намерения машины с 5 Hz позволило бы модельной ошибке цели достичь 43 mm, то есть 28 mm сверх допуска. Модель намерения, чей один инференс занимает 160 ms, не может сама обновить 60 ms цель для непрерывного движения. Без квалифицированного трекера конвейер должен замедлиться или остановиться, либо задачу следует отклонить. При дрейфе 20 mm/s та же граница дает горизонт свидетельств 600 ms («Горизонт свидетельств цели и ранние фильтры»).
Квалифицированный локальный трекер меняет арифметику. Он заново измеряет кружку в каждом кадре и следует за скоростью конвейера, поэтому скорость конвейера больше не управляет ошибкой. Та же начальная ошибка 3 mm по-прежнему списывается с допуска, оставляя 12 mm остаточному проскальзыванию в 0.50 m/s². Против этого бюджета одно остаточное проскальзывание задает горизонт слежения за свидетельствами, который решает раздел «Питание, свежесть и стена памяти», — 219 ms. Трекер продлевает эти свидетельства с собственной частотой, поэтому в горизонт должны помещаться период трекера плюс его задержка. Модель намерения лишь подтверждает заново, какая кружка имеется в виду, и каждое ее продление несет свежие свидетельства трекера, а не кадр, который модель читала последним. Какой бы горизонт ни применялся, он ограничивает аренду намерения на эту цель («Аренда намерения»).
Горизонт свидетельств цели и ранние фильтры: Панель (a) строит границу ; ее зеленая область означает лишь то, что цель остается внутри допуска задачи. Иллюстративный инференс с хвостовой задержкой в 650 мс не может продлить 60 мс конвейерный случай. Панель (b) показывает стадии раннего отклонения, предшествующие полной проверке пути и остановки.
Связывание действительности свидетельств цели с темпом модели рассуждений создает опасность дрейфа. Предположим, проект привязывает свидетельства кружки к выходу модели намерения, а не к трекеру, так что действует непрослеженный горизонт 60 ms, а один инференс доходит до хвостовой задержки 650 ms. Продление записи цели до 650 ms исключительно ради сокрытия этой задержки оставило бы ее оценку вне заявленной огибающей ошибки на 590 ms. Предел 60 ms — это предельный срок действительности свидетельств, и продлить его могут только новые свидетельства, вновь проверенные относительно движения; более быстрые вычисления — не могут.
Непрерывное слежение требует свежих физических свидетельств, а не просто нового пакета от того же устаревшего кадра. Продление на основе новой съемки должно прийти до истечения текущих свидетельств и допущенных полномочий, причем в его бюджет входят съемка, обработка, передача, неопределенность часов и время разрешения. Простое условие — лишь необходимая проверка планируемости. Когда приходит свежее предложение, планировщик может вычислить стык с ограничением рывка от измеренного состояния. Он допускает этот стык, только если огибаемый путь, новые свидетельства и резерв остановки остаются осуществимыми; резкая смена цели может вместо этого потребовать отказа или проверенной остановки.
Когда обратный отсчет, взведенный MCU в момент допуска, исчерпывается — работает еще хост или нет, — независимый регулятор отзывает полномочия предложения и выбирает ранее проверенный отклик для измеренной нагрузки и режима контакта. Активное удержание положения требует момента и может защитить подвешенную нагрузку; контролируемое замедление требует тормозной способности и запаса хода; снятие момента может подходить некоторым приводам, но может освободить нагрузку или оставить импульс неконтролируемым. Инициатор может запросить режим, но он не может выбрать конечное действие для MCU. Допуск не удается, когда из текущего состояния не остается осуществимого отклика.
Безопасное исполнение истекающей аренды предполагает, что командуемое геометрическое предложение действительно достижимо физическим телом. Если предложенная координата лежит за кинематической достижимостью или требует скоростей шарниров, превышающих пределы актуаторов в окне аренды, предоставление аренды растрачивает полномочия управления и может вызвать срабатывание защиты от перегрузки по току, когда двигатель тянет избыточный ток к невозможной скорости. Определение кинематической и динамической допустимости цели относится к этапу до того, как генератор траекторий примет аренду, устанавливая физический фильтр между высокоуровневым намерением и исполнением движения.
Допустимые множества целей
Если красная кружка проезжает мимо по дальней стороне ленты, за достижимостью плеча от места стоянки основания, никакая последовательность моментов шарниров не приведет захват к ее рукоятке. Эта невозможность должна быть поймана на границе предложения, до того как цель войдет в очередь оптимизации траекторий. Когда вышестоящая зрительно-языковая модель или нейронная политика выдает координату, обращение с этим предложением как с непроверенным кандидатом защищает конвейер движения реального времени от исполнения или даже оценки невозможных движений. Анализ кинематического рабочего пространства, заимствованный из классических формулировок Craig, 2005; Lynch and Park, 2017, определяет замкнутое пространственное многообразие достижимых конфигураций конца манипулятора (физический 3D-объем, до которого может дотянуться рука робота) при заданных размерах звеньев, пределах хода шарниров и геометрии крепления.11 Аналитическая проверка достижимости оценивает, пребывает ли целевая поза внутри этого многообразия рабочего пространства , а проверка занятости сверяет, что ограничивающий объем цели не пересекает известных постоянных препятствий, и обе достаточно дешевы для запуска до оптимизации траекторий («Горизонт свидетельств цели и ранние фильтры», панель b). Передача недостижимой цели оптимизатору траекторий заставляет решатель искать в пустом пространстве решений, превращая геометрическую невозможность в вычислительный сбой. Прохождение этих дешевых тестов необходимо, но никогда не достаточно, ибо ориентация шарниров, огибаемые препятствия, момент, тепловое состояние, неизвестное пространство и запас остановки все еще требуют проверенного пути и решения о разрешении.
↳ Ниже по потоку: Допустимые области цели задают граничные условия для генерации сплайнов в разделе «Непрерывные траектории».
Цель внутри статического рабочего пространства может все еще быть недостижимой в пределах времени действия ее свидетельств. Динамическая достижимость — условие, что конец манипулятора может переместиться из измеренного состояния в целевую позу в пределах оставшегося окна , соблюдая пределы скорости, ускорения, рывка и теплового момента. Какой бы профиль ни следовали актуаторы, ни одно движение не покрывает расстояние быстрее, чем позволяет его потолок скорости, поэтому допуск требует по крайней мере Пределы ускорения и рывка лишь удлиняют проезд, поэтому предложение, проваливающее это неравенство, проваливает и любой более полный тест. Раздел «Кинематическая достижимость и огибающие намерения» выводит треугольные, трапециевидные и ограниченные по рывку профили, которые порождают эти пределы.
На плече свидетельства кружки под квалифицированным трекером действительны 219 ms, и при пределе скорости инструментального центра 1 m/s захват покрывает в этом окне не более 219 mm. Предложение, выданное с захватом в 300 mm от рукоятки, требует по крайней мере 300 ms проезда, поэтому MCU отклоняет его с ERR_DYNAMIC_TIME_INSUFFICIENT до решения какого-либо пути. Без трекера окно сжимается до 60 ms, а достижимость — до 60 mm, так что непрослеженное движение может закрыть лишь последние несколько сантиметров подхода. Прохождение неравенства лишь допускает более полную проверку пути, момента и остановки.
Эта граница и стоящие за ней более полные проверки опираются на заимствованную механику твердых тел при трех предположениях: кривые момента и скорости актуаторов остаются в номинальных тепловых номиналах, энкодеры шарниров точно сообщают начальное состояние , а масса нагрузки соответствует инерционной модели за пределами актуаторов. Репрезентативная реализация пути разрешения мониторит ток шарниров, температуру двигателя и задержку связи с частотами, выбранными из бюджетов объекта управления и датчиков. Эти наблюдения могут обнаружить некоторые отклонения от модели, но не способны проверить каждое предположение, например инерцию нагрузки, на каждом такте.
Если температуры обмоток двигателя превышают тепловые пороги раздела «Тепловые циклы нагрузки», путь разрешения вводит термическое снижение номинала, уменьшая максимально допустимые ускорение () и скорость () в реестре параметров. Измерение внешней силы, указывающее на отклонение массы нагрузки, снижает те же пределы. Фильтр намерения немедленно оценивает последующие входящие аренды по этим сниженным физическим пределам. Событие снижения номинала может сделать ранее допущенный путь неосуществимым; регулятор должен проверить его заново и выбрать осуществимое резервирование, если запас потерян.
Когда фильтр достижимости отклоняет предложение намерения, он не должен просто выбросить пакет. Выбрасывание без обратной связи оставляет вышестоящую модель рассуждений в неведении, почему движения не произошло, вынуждая ее ждать сквозного тайм-аута задачи. Фильтр намерения генерирует немедленный структурированный диагностический пакет, возвращаемый прямо в слой рассуждений через границу предложения. Эта диагностическая нагрузка содержит классификацию отклонения, например нарушение кинематического рабочего пространства (ERR_WORKSPACE_OUT_OF_BOUNDS), недостаточность динамического времени (ERR_DYNAMIC_TIME_INSUFFICIENT) или пересечение столкновения огибаемого объема (ERR_OCCUPANCY_BLOCKED), вместе с численными запасами провала. При провале динамической достижимости обратная связь возвращает недостаток между нижней границей проезда и оставшимся окном, а также максимально достижимое расстояние вдоль командного вектора в пределах выделенной аренды. При нарушении статического рабочего пространства обратная связь дает проекцию цели на границу (ближайшую физическую точку, до которой рука реально может дотянуться). Слой рассуждений использует этот структурированный сигнал, чтобы скорректировать свое предложение на следующем цикле инференса — получив более свежие свидетельства, выбрав альтернативный подход, замедлив или приостановив процесс, либо предложив перестановку основания. Он не может продлить горизонт свидетельств без нового обоснования.
Фильтры достижимости убирают цели, до которых тело не может дотянуться или не может дотянуться вовремя, оставляя полное движение планировщику и пути разрешения.
Как намерения дают сбой
Когда зрительно-языковая модель выдает целевую позу для физического манипулятора, эта поза может провалиться несколькими различными способами. Это может быть галлюцинированная цель, порожденная из визуальных паттернов внимания на отражающих фонах текстур. Это может быть устаревшая цель, представляющая объект, который коллега-человек толкнул или сдвинул мгновения назад, пока конвейер камеры буферизовал кадры. Это может быть неоднозначность референции, когда модель произвольно выбирает одну из двух одинаковых красных кружек рядом на конвейере, не разрешая, какая из них нужна задаче. Или это может исходить от сдвига сцены вне распределения, такого как неожиданное освещение или пыль на оптической линзе, ухудшающие точность пространственного предсказания сети. Несмотря на разные причины, эти отказы приходят дальше по потоку в одной форме.
Планировщик получает датированное предложение цели, а не команду актуатора. Поза в пустом месте может привести к напрасному движению; поза внутри занятого приспособления может привести к контакту, если более поздние проверки пути и разрешения провалятся. В случае неверного объекта, напротив, геометрия может быть допустимой, тогда как выбранный объект семантически неверен. Поэтому независимый путь разрешения проверяет то, что может измерить (свежесть, охват, геометрию, текущее состояние и пределы актуаторов), не претендуя на проверку смысла задачи.
Свежее наблюдение глубины может отклонить предложенный захват, чьи необходимые свидетельства объекта отсутствуют в покрытой видимой области. Отсутствие отраженного сигнала в перекрытой или ненаблюдаемой области оставляет область неизвестной. Специфический для задачи тест неоднозначности выполняется на каждом предложении, уверенно оно или нет, ибо высокий балл описывает уверенность модели и не может показать, что в окне захвата нет второго кандидата. Тест отклоняет окно, содержащее два кандидата, и предмет уходит коллеге для ручного захвата. Путь разрешения выполняет его на своей стороне границы предложения, как затвор неоднозначности раздела «Горизонт свидетельств цели и ранние фильтры» (панель b), на свидетельствах, которых модель обоснования не производит; энтропийный фильтр источника может отклонить раньше, но не может его заменить.
Раздел «Отказы обоснования и пределы их свидетельств» группирует эти отказы по проверке, которая их ловит, добавляет два, которых выход модели не может обнаружить, пока не обнажат их контакт или тайминг (ошибочно классифицированный аффорданс и цель, недостижимая в своем окне), и разделяет проверки допуска от откликов после начала движения или контакта. У защелки двери клетки из раздела «Истекшие полномочия и физический отклик» отклик контактного контура в 2 ms уже оставляет 39 N к началу команды торможения, а пик приходит позже, поэтому предконтактные пределы скорости и силы, отклик актуатора, податливость и имеющийся запас хода определяют, останется ли полная контактная кривая внутри проверенных контактных пределов.
| Отказ | Свидетельство или проверка | Допуск или отклик | Физический предел для проверки |
|---|---|---|---|
| Фантомная цель: артефакт изображения в пустом пространстве | Свежие свидетельства глубины и занятость целевой области с проверкой охвата и окклюзии | Отклонять предложение при отсутствии необходимых свидетельств объекта; запрашивать другой ракурс, если область неизвестна | Отклонение предшествует движению, только если предложение еще не было допущено. Одни лишь отсутствующие отражения не доказывают пустого пространства. |
| Устаревшая цель: деталь сдвинулась после съемки | Преобразованное время съемки, ограниченная ошибка часов, локальное слежение и огибающая ошибки цели | Отзывать зависимое слежение при провале предела свидетельств; выбирать проверенное резервирование | Общая задержка обнаружения, связи, исполнения команды и торможения должна помещаться в измеренный запас хода. |
| Семантическая неоднозначность: два кандидатных объекта в окне захвата | Независимый подсчет кандидатов в окне захвата по свежим свидетельствам глубины; энтропия модели как более ранний сигнал источника | Отклонять допуск и направлять предмет коллеге для ручного захвата | Один неверный объект проходит подсчет, а уверенная модель может сообщить низкую энтропию; независимые физические проверки остаются необходимыми. |
| Ошибочно классифицированный аффорданс: привинченное приспособление выбрано как захватываемое | Остатки контактной силы и движения после контакта; предконтактные проверки задачи/геометрии, где возможно | Ограничивать предконтактные скорость и силу, затем вызывать проверенный контактный отклик при пересечении порога | Реактивное срабатывание не ограничивает первый пик удара; испытывайте полную кривую силы, задержку отклика и энергию остановки. |
| Динамическая недостижимость: цель нельзя достичь в ее действительном окне | Нижняя граница проезда от потолка скорости, затем полная проверка пути и остановки | Отклонять предложение, чья нижняя граница превышает оставшееся окно свидетельств | Прохождение нижней границы не доказывает ни свободного от столкновений движения, ни осуществимой остановки. |
Отказы обоснования и пределы их свидетельств: Каждая проверка адресует свой класс отказов. Таблица разделяет отклонение предложения и отклик на уже движущийся объект управления.
Каждая строка таблицы поэтому требует, чтобы предложение несло свои пространственные границы, происхождение своих свидетельств и свое истечение в форме, которую путь разрешения может проверить без модели. Отклоненное предложение возвращает причину обученному слою; допущенное предложение остается под независимыми проверками разрешения, пока объект управления движется. Предложение несет эти поля через границу предложения, а протокол, который предоставляет из него путь разрешения, и есть аренда намерения.
Аренда намерения
Аренда намерения берет свое происхождение от памяти. Ее предок — протокол оценки состояния раздела «Схема пространственного состояния», названный дайджестом, и эпоха свидетельств этого протокола, преобразованная в часы MCU, становится временем свидетельств аренды. Сама аренда несет область цели, огибающую ошибки и допуск задачи, запрошенный вектор сил-моментов, запрошенный конечный режим, горизонт свидетельств и истечение. Это аренда в смысле раздела «Многотактные ритмы», здесь на цели, а запрашивающее ее предложение идет под заголовком предложения с нагрузкой намерения вместо фрагмента. Допущенное намерение предоставляет цель и потолки усилий, но никогда не путь.
↳ Раскладка байтов: Поля, типы и смещения нагрузки намерения даны в разделе «Полезная нагрузка намерения».
На работающей машине предложение идет от прикладного процессора к MCU как сообщение фиксированного размера со статическим разбором в ограниченном общем почтовом ящике,12 так что его время разбора может быть измерено относительно предельного срока управления. Сообщение лишь транспортирует запрос; независимый регулятор разрешения владеет настроенными потолками силы, потолками предельных сроков и зависящим от состояния резервированием.
Ковариационный эллипсоид оценки рукоятки кружки из раздела «От запроса к истекающему предложению» — это оценка локализации на стороне источника. Предложение не пытается закодировать общую ориентированную ковариацию ; вместо этого его границы несут три консервативные огибающие ошибки положения и три запрошенных допуска задачи в именованной системе координат основания робота. Огибающая и допуск сохраняют различие, проведенное в разделе «Что передают намерения», поэтому допуск требует на каждой оси. Источник должен обосновать любое преобразование ковариации в огибающую, включая калибровочное смещение и заявленный хвостовой риск. Допуски ориентации и правила режимов контакта приходят из независимо утвержденного профиля задачи; предложение несет только саму целевую ориентацию.
Время свидетельств предложения — это эпоха свидетельств протокола оценки состояния, никогда не эпоха его оценки, преобразованная в часы MCU по правилу часов раздела «Многотактные ритмы». MCU сопоставляет и дайджест предка, и эту эпоху с сохраненным протоколом оценки состояния и добавляет границу ошибки отображения к своему тесту возраста. Запрошенное истечение использует те же часы, поэтому MCU может сравнить его напрямую с ограничивающими его свидетельствами и предельным сроком остановки. Дайджест предка — это происхождение, а не аутентификация сообщений, по политике целостности раздела «Многотактные ритмы». Он не доказывает, кто выбрал цель, пределы или запрошенный конечный режим, и предложение намерения не несет ключевого тега, ибо путь разрешения допускает его по содержанию, а не по происхождению.
Допущенное намерение проходит состояния «Ожидание», «Активное», «Обновленное», «Истекшее» и «Прерванное». MCU входит в «Активное» лишь после проверки запроса по независимо настроенным потолкам и осуществимому отклику из измеренного состояния. Продление требует более нового номера последовательности, свежего протокола оценки состояния и новой проверки разрешения; оно не продлевает полномочия автоматически. Достижение утвержденного допуска задачи завершает цель. Непредвиденный контакт или потеря необходимой оценки прерывает зависимое движение.
Аренда истекающего намерения
Аренда истекающего намерения () — это ограниченная по времени авторизация исполнения, выданная независимым путем разрешения, которая связывает допущенную целевую позу и потолки усилий с монотонным аппаратным предельным сроком : по истечении которого полномочия слежения за движением автоматически отзываются без необходимости явного пакета отмены.
- Значение: Отзывает полномочия слежения по аппаратному предельному сроку, когда вышестоящее обдумывание зависает, так что проверенное резервирование стартует, не дожидаясь инициатора.
- Отличие: В отличие от сетевого keepalive или программного пинга, аренда намерения связывает горизонт физических свидетельств датчиков () с динамической осуществимостью торможения, и ее истечение наступает не позже предельного срока остановки, при котором проверенное резервирование еще помещается в оставшийся запас хода.
- Типичная ловушка: Щедрый размер длительностей аренды для маскировки хвостовой задержки () нейронного инференса, что создает ненаблюдаемое окно разомкнутого контура, где робот движется по среде, которая могла измениться.
По истечении таймер отзывает полномочия слежения, и MCU запускает — из своих утвержденных откликов удержания, контролируемого замедления и снятия момента — тот, который правило раздела «Цели с истекающим сроком» выбирает для измеренной нагрузки и режима контакта. Запрошенный конечный режим носит рекомендательный характер, поэтому запрос снятия момента над подвешенной нагрузкой не может отменить питаемое удержание, которого такая нагрузка требует. Ни период проверки 1 kHz, ни аппаратное прерывание не устанавливают физическую остановку в пределах одного периода.
Поля предложения поддерживают многослойные проверки от самых дешевых, и одна реализация упорядочивает их в этой ограниченной последовательности допуска:
- Свидетельства и последовательность: Считать полный пакет предложения. Отклонить старый номер последовательности или дайджест предка и эпоху свидетельств, не совпадающие с сохраненным протоколом оценки состояния. Вычислить возраст свидетельств в монотонном домене MCU и добавить ограниченную ошибку преобразования часов. Отклонить, когда этот возраст превышает горизонт свидетельств цели.
- Пределы предложения: Проверить конечность значений позы, нормализацию кватерниона, оси ошибки в системе координат основания и допуска задачи, а также запрошенный вектор сил-моментов по утвержденным пределам задачи и актуаторов. Проверить известную занятость и политику неизвестного пространства.
- Динамический допуск: Использовать текущие скорость, запас хода и состояние актуаторов, чтобы отклонить предложения, уже проваливающие нижнюю границу времени проезда. Требовать, чтобы общий ход от восприятия до начала торможения плюс тормозной путь помещались в текущий запас хода до предоставления движения. Если из этого состояния нет осуществимого резервирования — отклонить предложение. Отклонить также, когда свежие свидетельства показывают более одного кандидата в окне захвата, и отправить предмет коллеге для ручного захвата. Эта стадия допускает цель и потолки усилий, но никогда не путь; допуск всей траектории принадлежит протоколу планировщика («Поведение на стыке»).
- Фиксация полномочий: Сохранить только одобренные MCU цель, потолки усилий, истечение не позже предельного срока свидетельств и выбранное резервирование. Взвести локальный таймер на допущенный интервал. Ненадежные запрошенные истечение и конечный режим не управляют приводом напрямую.
- Проверка времени выполнения: На каждом настроенном такте управления и при соответствующем аппаратном событии отказа сравнивать измеренное состояние с допущенными пределами. По истечении свидетельств, пропущенном продлении или наблюдаемом нарушении отозвать предложение и запустить ранее проверенный отклик. Последующие торможение и удержание имеют собственные измеренную задержку и физический запас.
Заполненная для красной кружки, аренда, допущенная для захвата, несет шесть записей. Ее предок — протокол оценки рукоятки кружки из раздела «Схема пространственного состояния», сопоставленный по дайджесту и эпохе свидетельств. Ее цель — поза рукоятки, а огибающая ошибки — начальная ошибка 3 mm этого протокола, внутри допуска задачи 15 mm. Ее горизонт свидетельств — возраст, при котором определяющий закон роста достигает этого допуска: 60 ms по закону дрейфа ленты протокола и 219 ms по закону остаточного проскальзывания обновленного протокола квалифицированного трекера. Ее потолок скорости — предел скорости инструментального центра плеча 1 m/s, и предметно-специфического потолка вектора сил-моментов она не запрашивает, ибо для кружки он не зарегистрирован. Настроенные потолки задачи и актуаторов по-прежнему ограничивают вектор сил-моментов, а хрупкость обрабатывается контролем площадки над тем, какие предметы попадают на конвейер, а не регулятором. Ее запрошенный конечный режим — захват, затем удержание к передаче, хотя MCU все равно выбирает резервирование из своих утвержденных откликов. Ее истечение — минимум из этого горизонта свидетельств, настроенного потолка аренды и предельного срока остановки.
Этот протокол дает разделу «Верификация» конкретный интерфейс для тестов внедрения отказов, в которых испорченные кватернионы, устаревшие записи съемки, избыточные запросы силы и несовместимые конечные запросы должны каждый отклоняться при испытанных условиях состояния и тайминга.
Истекающее намерение и полномочия резервирования
Прежде чем двигаться дальше, проверьте свое понимание того, как предложение отклоняется или допускается и как задается и отзывается предоставленная из него аренда:
- Отказ при неоднозначности: Почему окно захвата с двумя кандидатами должно отклонять предложение, и почему этот тест должен выполняться и на уверенном предложении, и на неуверенном?
- Предпосылка о неверном объекте: Какая предпосылка о захваченном объекте остается вне пути разрешения, даже когда каждая проверка координат, достижимости и силы проходит, и где вместо этого машина несет эту предпосылку?
- Горизонт свидетельств: Можете ли вы объяснить, почему горизонт свидетельств аренды намерения ограничен допуском задачи и дрейфом цели, а не периодом модели рассуждений, и почему его раздувание ради сокрытия хвостовой задержки инференса оставляет движение на устаревшей цели?
- Домен часов: Почему MCU должен преобразовать эпоху свидетельств протокола оценки состояния в собственные монотонные часы с ограниченной ошибкой преобразования, прежде чем проверять возраст и запрошенное истечение?
- Выбор резервирования: Можете ли вы объяснить, почему MCU должен выбирать осуществимый утвержденный отклик удержания, замедления или снятия момента из измеренного состояния нагрузки, а не подчиняться запрошенному конечному режиму предложения?
Заблуждения и ловушки
Каждая ошибка в этом разделе доверяет вышестоящему сообщению большего, чем оно значит. Локальные проверки должны отклонять цель или отзывать полномочия слежения над ней, когда истекают ее свидетельства или исчезает ее физическое обоснование, и решать они должны по свидетельствам, которыми инициатор не управляет, даже пока его сообщения остаются корректно оформленными и уверенными.
Заблуждение и ловушка
Заблуждение: Продление, вычисленное от того же устаревшего кадра, является действительным продлением.
Модель намерения машины перечитывает свой последний кадр камеры запястья с красной кружкой и отправляет продление с более новым номером последовательности, более поздним временем выдачи и той же позой. Каждое поле, которое стал бы проверять keepalive, продвинулось, однако с тех пор, как появились свидетельства, обосновавшие цель, не было снято ни одного изображения, и кружка продолжала двигаться со скоростью
0.20 m/s. Поскольку аренда датирует свои свидетельства эпохой свидетельств протокола оценки состояния, а не временем выдачи продления, MCU сопоставляет дайджест предка и эпоху продления с сохраненным протоколом, находит эпоху неизменной и продолжает отсчитывать возраст от исходной съемки. Цель все равно истекает через60 msпосле этой съемки. Регулятор, датирующий свидетельства по прибытию сообщения, позволил бы потоку корректно оформленных продлений неограниченно удерживать устаревшую цель, превращая опасность дрейфа из раздела «Цели с истекающим сроком» из единичного позднего инференса в постоянное условие.
Заблуждение и ловушка
Ловушка: Разрешение неистекшей временной аренды продолжать командовать движением при нарушении пространственных границ цели.
Плечо машины опускает захват к красной кружке под намерением с допуском захвата
15 mm. Проскальзывание на конвейере выдачи уносит кружку за этот допуск, пока в аренде еще остается время. Метка времени все еще допускает исполнение, но цель покинула область , которая обосновывала подход. Продолжение до истечения сохранило бы устаревшую, потенциально сталкивающую команду. Локальные контуры восприятия и разрешения должны сравнивать наблюдаемую цель с пространственными границами намерения и отзывать разрешение, когда эти границы нарушаются. Кодирование этого геометрического условия в аренде позволяет регулятору прервать спуск, не дожидаясь нового высокоуровневого плана.
Заблуждение и ловушка
Заблуждение: Уверенному обоснованию не нужен путь отказа.
Оценка уверенности не может удостоверить, что сцена содержит только одного кандидата. Проект, отправляющий на тест неоднозначности лишь низкоуверенные предложения, трактует балл модели как свидетельство о сцене, тогда как это отчет модели о самой себе. Стеклянная банка рядом с красной кружкой из раздела «От запроса к истекающему предложению» приходит с высоким баллом и тугой геометрической огибающей, поэтому проект с фильтром по баллу пропускает тест ровно там, где тест был нужен. Путь отказа должен работать на каждом предложении и опираться на свидетельства, которых модель не производит. Проверка того, что окно захвата содержит ровно один объект, отклоняет сцену «банка рядом с кружкой» при любом балле. То, чего такая проверка не видит, — одинокая банка, прибывающая туда, где должна быть кружка, — остается предпосылкой, которую путь разрешения называет, а не улаживает, а сдерживает ее процедура подачи площадки, допускающая на конвейер только предметы из объявленного списка станции.
Заблуждение и ловушка
Заблуждение: Нейронные сети могут разрешить бимодальную пространственную неоднозначность усреднением кандидатных положений цели.
Машина видит две одинаковые красные кружки, поставленные в нескольких сантиметрах друг от друга на конвейере выдачи, и получает их пространственное среднее как цель захвата. Середина лежит в пустом пространстве, поэтому усреднение уничтожило различие , которого требует задача. Обе кружки реальны, поэтому проверка новизны из раздела «Оценка сквозь окклюзию» не отклоняет ни одно измерение до слияния. Каждая гипотеза по отдельности остра, и фильтр, примененный к любой из них, проходит. Проверка окна из раздела «Как намерения дают сбой» все равно ловит случай, ибо насчитывает два кандидата в окне захвата, и фильтр допуска отклоняет предложение и поддерживает удержание, что бы ни сообщала оценка после слияния. Ковариационный фильтр поймал бы это только для оценщика, сообщающего бимодальную неоднозначность, которым усредняющий оценщик не является. Интерфейс намерения должен сохранять статистическую неопределенность, а не схлопывать конкурирующие гипотезы объекта во внешне точную декартову координату, ибо лишь представление, хранящее обе гипотезы, позволяет проверке, отличной от подсчета окна, увидеть неоднозначность.
Итоги
Обоснованное намерение встречает запрос, чей смысл путь разрешения проверить не может, и соблюдает третий закон — предложение не есть разрешение, — ибо путь предоставляет лишь то, что может проверить. Обученная модель предлагает датированную цель и описание неопределенности. Протокол, который путь разрешения предоставляет из этого предложения, — аренда намерения, берущая эпоху свидетельств и предка из протокола оценки состояния раздела «Пространственная память» и предоставляющая цель и потолки усилий с истечением не позже горизонта свидетельств, который задают дрейф цели и допуск задачи. Затем независимый обратный отсчет отзывает полномочия, которых зависшая модель никогда не смогла бы отменить. Независимый путь разрешения проверяет возраст свидетельств цели, настроенные границы движения, текущее состояние, запас пути и осуществимое резервирование до применения движения. Горизонт свидетельств цели ограничивает, как долго может использоваться оценка цели при ее заявленной границе дрейфа; он не дает времени на остановку, которое должна найти отдельная проверка общей задержки и торможения в пределах доступного физического запаса хода.
Красная кружка на конвейере делает ограничение темпа конкретным. Ее непрослеженные свидетельства длятся 60 ms, и модель намерения машины с 5 Hz, обновляющаяся каждые 200 ms, не может поддерживать эту цель сама. Квалифицированный локальный трекер может обновлять ее из новых свидетельств и удлинить горизонт до 219 ms, оставляя модели намерения лишь подтверждение, какая кружка имеется в виду; иначе машина замедляется, останавливается или отказывается от задачи. Истечение отзывает полномочия слежения предложения и вызывает отклик, проверенный для измеренного состояния. Оно не может отменить уже исполненное движение.
Что обоснованное намерение добавляет к закону, — это возраст свидетельств на движущейся цели и отказ как ответ пути разрешения на то, что он может обнаружить, но не разрешить. Цель, до которой плечо не может дотянуться в окне ее свидетельств, проваливает нижнюю границу проезда до решения любого пути; окно захвата с двумя кандидатами проваливает тест неоднозначности, и каждое отклонение возвращает причину, с которой инициатор может работать. Случай неверного объекта отмечает предел этой машины. Уверенное обоснование неверной сущности проходит каждую геометрическую и временную проверку, поэтому предпосылка о том, что захваченный объект и есть названный, остается открытой, а не улаживается регулятором. После контакта срабатывание по силе ограничивает последующие нагрузки лишь через измеренный отклик, а предконтактные пределы ограничивают первый удар.
Обоснованное намерение на границе предложения
- Аренда предоставляет цель, но никогда не путь: Мозг поставляет цель, эпоху свидетельств, огибающую ошибки, допуски задачи и запрошенное истечение, и не пишет заданий актуаторов. Путь разрешения допускает цель и потолки усилий, истекающие на ранее всего из горизонта свидетельств, потолка аренды и предельного срока остановки.
- Свидетельства истекают вместе с дрейфом: Дрейф цели и допуск задачи задают конечный горизонт действительности в заявленной области применимости. Свежая метка времени не делает цель правильной, и продлить ее могут только свежие свидетельства, но никогда не более быстрая модель.
- Предельный срок свидетельств — не предельный срок движения: Путь разрешения раздельно бюджетирует восприятие, связь, принудительное обеспечение, задержку актуатора и тормозной путь для текущего состояния и запаса хода.
- Геометрия не может проверить смысл: Уверенное обоснование неверного объекта может пройти каждую проверку координат, достижимости и силы. Этой предпосылке нужны собственные свидетельства задачи, ибо путь разрешения не может ее уладить.
- Отказ — допустимый исход: Неоднозначная идентичность, устаревшие свидетельства, недостаточная достижимость или неосуществимая остановка могут каждая отклонить предложение, а структурированное отклонение говорит инициатору, что изменить. У каждой проверки свой предел свидетельств.
От аренд намерения к планированию траекторий
Допущенная аренда называет датированную цель, но траектория, которая к ней приходит, поступает фрагментами, и следующий фрагмент еще в пути, пока текущий исполняется. Раздел «Планирование траекторий» принимает аренду на вход и спрашивает, что машина делает, когда следующий фрагмент опаздывает, а это требует, чтобы каждая принятая траектория сохраняла допущенную цель достижимой в пределах допустимых рывка, момента и запаса хода, с остановкой, остающейся исполнимой из каждого состояния, которого она может достичь.
-
Проблема обоснования символов: Формулировка Стевана Харнада 1990 года утверждает, что одно лишь синтаксическое манипулирование не придает символам внутреннего смысла. В физическом ИИ обоснование связывает предложенную метку с датированными свидетельствами датчиков, откалиброванными метрическими системами координат и специфическими для задачи физическими проверками. Без этой связи планировщик может оптимизировать в сторону неверной физической цели. ↩
-
Классическое планирование STRIPS: Классическое планирование представляет цели как логические предикаты в моделируемом мире. Динамические препятствия и пропадания сигналов датчиков могут обесценить физическую цель до ее планового использования. ↩
-
Параметризация пространства аффордансов: В робототехническом обучении аффордансы параметризуются как непрерывные пространственные вероятностные поля или многообразия достижимости над группой Ли . Параметризация достижимости как явного многообразия позволяет низкоуровневым регуляторам оценивать физическую осуществимость до вызова вычислительно дорогих оптимизаторов траекторий. ↩
-
Асинхронная диспетчеризация событий безопасности: Опора на асинхронные сообщения отмены или сетевую диспетчеризацию событий для прерывания движения вносит недетерминированные задержки сериализации очередей, и каждая миллисекунда такой задержки — это незаторможенный ход на пределе привода основания. Локальный обратный отсчет может отозвать полномочия слежения при пропущенном продлении. ↩
-
Аппаратные сторожевые таймеры безопасности: В проекте безопасности можно использовать независимо тактируемый сторожевой таймер, чтобы обнаруживать пропущенные продления и запускать проверенный отклик без хоста. Safe Torque Off (безопасное снятие момента) убирает момент привода; само по себе оно не удерживает подвешенную нагрузку и не останавливает движущуюся массу в заданном запасе хода. ↩
-
Регулирование механического импеданса: Импедансное управление регулирует отношение между контактной силой и движением через эффективную массу, демпфирование и жесткость. Оно может снижать нагрузки в проверенном контактном режиме; первый удар и пиковая сила все равно зависят от скорости подхода, пассивной податливости, восприятия и отклика актуатора. ↩
-
Принципы субсумпционной архитектуры: Субсумпционная архитектура Родни Брукса разложила автономную робототехнику на асинхронные поведенческие слои с арбитражем по приоритетам, работающие на сенсорной обратной связи. Здесь обученный слой предлагает ограниченную цель, а независимый регулятор проверяет разрешение и выполняет проверенный отклик при истечении. ↩
-
Семантико-метрическое преобразование: Проецирование дискретных лингвистических вложений в непрерывные координаты требует непрерывной цепочки координатной калибровки от пикселей изображения до базовых систем координат актуаторов. Несмоделированная податливость крепления камеры или искажение объектива превращают пики семантического внимания в систематические метрические смещения. Если в цепочке преобразований нет жесткой внешней калибровки, высокая семантическая уверенность дает большие физические ошибки слежения на конце манипулятора. ↩
-
Чувствительность обученного выхода: Обученная оценка позы может существенно измениться при изменении изображения или сцены, и эмпирическая оценка уверенности не ограничивает это изменение. Путь разрешения ограничивает допущенную цель и движение независимо проверяемыми геометрическими, статическими и актуаторными ограничениями. ↩
-
Аппаратные счетчики обратного отсчета сторожевого таймера: Обнаружение пропущенного продления — лишь первое слагаемое бюджета реакции. Распространение команды привода, включение тормоза и физическое замедление добавляют каждое свое отдельно измеренное слагаемое. ↩
-
Границы кинематического рабочего пространства и сингулярности: Кинематическое рабочее пространство определяет непрерывное многообразие поз задачного пространства, достижимых манипулятором при заданной геометрии звеньев и пределах хода шарниров. У границ рабочего пространства и внутренних сингулярных конфигураций кинематический якобиан теряет ранг, требуя бесконечных скоростей шарниров для поддержания конечного декартова движения конца манипулятора. Принудительное применение фильтров многообразия рабочего пространства на границе предложения не дает оптимизаторам траекторий загонять актуаторы в кинематическую блокировку. ↩
-
Межъядерная связь через границу предложения: RPMSG поверх статически ограниченного общего кольца SRAM — один из транспортов. Число копирований, обслуживание кэша, когерентность и худшее время передачи зависят от SoC и драйвера, а независимый таймер MCU обнаруживает потерянные продления даже сквозь панику ядра хоста. См. раздел «Почтовые ящики гетерогенного SoC и барьеры памяти». ↩
Планирование траекторий
Назначение
Что делает физическая машина в незапланированные миллисекунды, когда очередной нейронный фрагмент траектории опаздывает?
Движущаяся физическая машина несет непрерывный импульс, пока высокомощные нейронные политики вычисляют предстоящие фрагменты траекторий. Если исполняемая последовательность действий завершается до прихода ее преемника, накат вслепую расходует запас хода, необходимый для безопасной остановки. И наоборот, резкое вставление неограниченного предложения в текущую траекторию требует мгновенных ускорений шарниров, которые нарушают пределы момента актуаторов или вызывают разрушительный структурный резонанс в механической передаче.
Планирование траекторий разрешает это вычислительно-физическое несоответствие, превращая дискретные выводы модели в непрерывные, кинематически осуществимые профили движения. Каждый отправленный фрагмент траектории должен гарантировать -непрерывность на стыках фрагментов и нести инвариантный, предварительно верифицированный стоп-суффикс. Это стоп-продолжение гарантирует, что уровень исполнения в реальном времени сможет безопасно остановить движение в текущих границах запаса хода, если нижележащие вычисления столкнутся с хвостовой задержкой или аппаратными отказами. В стеке физического ИИ планирование согласует асинхронный вывод Мозга с переменной задержкой с ритмом исполнения Нервной системы в жестком реальном времени.
Цели обучения
- Выбирать горизонты траектории по задержке замены, возрасту свидетельств о цели и времени, необходимому для остановки
- Оценивать осуществимость траектории и непрерывность на стыке относительно пределов актуаторов и передачи тела
- Отличать отказы траектории, обнаруживаемые до исполнения, от тех, что требуют контроля во время физического движения
- Вычислять путь, который добавляет согласованный стоп-суффикс к бюджету остановки машины, и сравнивать его со свободным расстоянием
- Задавать предельный срок обязательства и согласованную остановку, которыми управляют запаздывающая или никогда не приходящая замена траектории
- Строить протокол траектории, который путь разрешения может допустить по содержимому, — по его родительской аренде, предельным срокам и стопу
Непрерывные траектории
Рука складского мобильного манипулятора, тянущаяся к кружке на движущемся конвейере, обладает физической массой, структурной инерцией и непрерывной кинетической энергией . Она не может мгновенно изменить скорость или направление. Даже когда вышестоящая автономия выдает аренду намерения с ограниченным временем, санкционируя движение к обоснованной семантической цели, само по себе это семантическое разрешение не может повернуть валы двигателей. Машина должна синтезировать непрерывное номинальное движение, пока действительны свидетельства о цели, плюс отдельно санкционированное стоп-продолжение на случай окончания полномочий слежения. На этой машине контур слежения шарниров руки оценивает обратную связь и задания с частотой 1 kHz (по документации; см. руководство для читателя); этот период не определяет физический отклик остановки. Над этим контуром находится Мозг, где современные политики роботизированного обучения, такие как Action Chunking with Transformers (ACT) Zhao et al., 2023 или основанные на оценках Diffusion Policies Chi et al., 2024, обрабатывают мультимодальные наблюдения и синтезируют будущие эталонные траектории на прикладном процессоре.1 Задержка вывода меняется от загрузки и конкуренции за ресурсы. Для политики фрагментов машины иллюстративно заложен бюджет 40 ms на один проход по P99, включая зрение, однако помехи от памяти или планировщика могут растянуть один проход свыше 150 ms, поэтому горизонт выбирается по хвосту развертывания, а не по бюджету.
↰ Предпосылка: Кинетическая энергия () и пределы моментов шарниров установлены в разделе «Кинетический импульс».
Если архитектура предсказывает действия на один шаг вперед (), контур слежения двигателя голодает. Если она генерирует многошаговый фрагмент действий из заданий на конечном будущем горизонте, машина должна пересечь стык исполнения — стыковку, где задания одного фрагмента сменяются заданиями следующего. Когда активный фрагмент траектории завершает исполнение до того, как его замена пройдет хвост распределения задержки вывода, регулятор сталкивается с разрывом исполнения. Если регулятор удерживает конечное положение, эталонная скорость ступенчато падает до нуля и требует от привода снять импульс руки за один такт сервосистемы. Если вновь прибывший фрагмент начинается со скоростью или ускорением, расходящимися с физическим состоянием движущегося механизма, задаваемый момент меняется ступенькой и возбуждает конструкцию.
Кинодинамическая огибающая осуществимости
Кинодинамическая огибающая осуществимости — это подмножество пространства состояний, из которого физическая машина может отслеживать кандидатную траекторию при строгом соблюдении одновременно пределов момента актуаторов, потолков скорости и границ рывка, с непрерывными положением, скоростью и ускорением на стыках сегментов, не превышая механических запасов остановки.
- Значимость: геометрическая свобода от столкновений необходима, но недостаточна для физического исполнения; рука может следовать свободной от столкновений траектории, которая тем не менее требует моментов двигателей, превышающих непрерывные тепловые номиналы, или создает ускорения, опрокидывающие недоактуированное основание. Огибающая фиксирует условия, при которых модель предсказывает отслеживаемое движение; время выполнения, датчики и проверки актуаторов все равно должны их подтвердить.
- Отличие: в отличие от чисто кинематической достижимости (которая оценивает, могут ли звенья робота достичь пространственной конфигурации), кинодинамическая осуществимость включает временную параметризацию, пределы сил и моментов актуаторов, приведенную инерцию и механические тормозные дистанции.
- Типичная ловушка: проверка осуществимости только в дискретных маршрутных точках. Интерполяционные сплайны между точками выборки могут давать внутриинтервальные превышения скорости и всплески момента, нарушающие пределы двигателя, даже когда каждая отдельная точка проходит проверку.
Намерение определяет допустимую цель; планирование поставляет непрерывное движение, временную параметризацию и динамические пределы, необходимые для достижения этой цели. По ту сторону границы предложения («Машина в пяти уровнях») план не является командой, записываемой в регистры актуаторов. Это непривилегированное предложение, отправляемое с прикладного процессора микроконтроллеру безопасности (MCU), где регулятор слежения его исполняет, а путь разрешения («Обеспечение безопасности») проверяет.2 Поскольку задержка вывода имеет длинный хвост, нижележащий регулятор в этой конструкции потребляет допущенные эталоны по собственным часам и не может приостановить физическое движение, пока модель не закончит. Поэтому план должен быть самодостаточным. Он несет собственное состояние стыка, непрерывное вплоть до ускорения (),3 собственные предельные сроки и собственную остановку — стоп-суффикс, допускаемый вместе с номинальным движением, так что стоп-продолжение существует до того, как оно понадобится.
↰ Предпосылка: Истекающие аренды намерения задают ограниченные временные окна, разряжаемые траекториями, в разделе «Аренда намерения».
Импульс, длинный хвост вывода и стык, который должен оставаться непрерывным, вместе определяют, что должен содержать план. Первое решение поэтому заключается в том, что планировщик передает регулятору слежения и пути разрешения, пока рука еще движется.
Что передает планирование
Для двухшарнирной руки пара углов шарниров есть точка пространства конфигураций . Препятствие исключает некоторые пары углов, оставляя . Кривая в этом свободном множестве указывает, куда рука может двигаться, но не то, как быстро она может двигаться и могут ли ее двигатели создать требуемый момент Lozano-Pérez, 1983. Траектория назначает кривой время и выдает . Планировщик предлагает этот индексируемый по времени эталон, а путь разрешения проверяет его до того, как какое-либо задание дойдет до привода. Одна лишь геометрическая траектория не дает ни времязадания, ни запаса хода для резервирования.
Планировщик передает протокол траектории — неизменяемое предложение, которому следует регулятор слежения и которое допускает путь разрешения. Он именует свою систему координат , время свидетельств , начальное эталонное состояние и четыре предельных срока в домене монотонных часов MCU: номинальное слежение начинается в , номинальные задания заканчиваются в , замена закрывается в , а допущенная остановка завершается в . Он также связан с истечением активного намерения . Пересчет с датчиков и часов хоста несет ограниченную ошибку. Планировщик планирует каждую замену относительно более ранней цели — предельного срока стыковки , к которому преемник должен быть допущен и в котором свободное расстояние руки до препятствий проверяется в последний раз; это цель расписания, а не поле протокола.
Путь разрешения допускает номинальный TRACK только пока действительны намерение и план, поэтому истечение намерения немедленно завершает TRACK, что бы ни позволяли собственные предельные сроки протокола. Вторые часы также ограничивают TRACK. Политика фрагментов предлагает скорость основания и целевые значения шарниров руки вместе, поэтому одна аренда фрагмента («Многотактные ритмы») управляет обоими телами, и только допущенный фрагмент ее обновляет, каждые 50 ms на этой машине. Когда аренда истекает через 60 ms после последнего допуска, каждое тело входит в собственную остановку: основание — в резидентный стоп, а рука — в резервирование, согласованное с состоянием, отдельно верифицированную остановку, которая заново решает -профиль своего согласованного стоп-суффикса от измеренного состояния. Руке нужно отдельное резервирование, потому что ее согласованный стоп-суффикс привязан к положению, которое рука займет в . Истечение намерения или отказ, делающий путь недействительным до , отправляет руку в то же резервирование.
После истечения остановка руки начинается на один такт разрешения, один цикл шины и одно срабатывание тормоза позже; вместе с самой арендой эти задержки составляют задержку от обновления до срабатывания из раздела «Многотактные ритмы». Обязательство ограничивает аренду сверху, поскольку начало остановки должно наступить к , так что ни одна аренда не может длиться дольше, чем минус эти три задержки. Только аренда, идущая вблизи этого потолка, позволяет протоколу дойти до без преемника; такой протокол переходит в STOP по своему согласованному стоп-суффиксу, который может завершиться и после истечения разрешения на слежение по намерению. На этой машине аренда 60 ms истекает задолго до обязательства, поэтому остановившийся инициатор встречается с задержкой от обновления до срабатывания, а не с потолком, и раздел «Поведение на стыке» относит эту задержку на запас хода руки.
Два потребителя читают разные части протокола. Трекер интерполирует допущенный эталон, метки времени и слагаемые опережающего управления, чтобы вести актуаторы по гладкой траектории. Независимый путь разрешения читает происхождение, времязадание, динамические допущения, границы действительности и стоп-суффикс, и он контролирует текущие пределы и полномочия, не наследуя утверждение планировщика об осуществимости как доказательство; новое препятствие, изменившаяся полезная нагрузка или контактное событие могут отозвать TRACK и вызвать резервирование, согласованное с состоянием. Поскольку каждому полю передачи соответствует проверка времени выполнения, Нервная система может допускать быстрое движение, не предполагая успеха следующего цикла вывода. Создание такого протокола начинается с цели, которая не несет никакого времязадания.
От цели к траектории
Аренда намерения для кружки, которую рука берет с конвейера для коллеги на упаковочном посту, выдает область целей и потолки усилий («Аренда намерения»), но ни один актуатор не способен исполнить область. Регулятору слежения нужна траектория, которая назначает целевые состояния, слагаемые опережающего управления и метки времени на ограниченном интервале. Если бы обученная политика могла выдавать допустимые токи двигателей на частоте контура шарниров 1 kHz, планирования как архитектурной ступени не существовало бы, и машина работала бы как высокочастотный регулятор с обратной связью. Вместо этого обученным политикам требуются десятки или сотни миллисекунд на вычисление последовательности движения, тогда как регулятор слежения и путь разрешения работают детерминированно с фиксированными периодами порядка миллисекунд.
Классические планировщики на основе сэмплирования отвечают на геометрическую половину этой задачи. Вероятностная дорожная карта Kavraki et al., 1996 или быстро исследующее случайное дерево LaValle, 1998 ищут в путь без столкновений, не строя явной модели препятствий. Путь из такого поиска, как и фрагмент от обученной политики, по-прежнему не несет ни времязадания, ни производных на концах, ни остановки — а именно это и поставляет настоящая глава.
Обученные инициаторы связывают медленный вывод и быстрое управление актуаторами посредством фрагментирования действий со скользящим горизонтом («Питание, свежесть и стена памяти»): предсказывают многошаговую последовательность, исполняют префикс и перепланируют по свежим наблюдениям. Три вида инициаторов выполняют эту роль, и каждый важен здесь своей задержкой и непрерывностью того, что он выдает. ACT Zhao et al., 2023 предсказывает будущих заданий шарниров разом и сглаживает перекрывающиеся фрагменты временным ансамблированием из раздела «Питание, свежесть и стена памяти», которое усредняет задания, но оставляет непрерывность производных на стыке фрагментов за настоящей главой. Diffusion Policy Chi et al., 2024 подавляет шум во фрагменте горизонта (16 шагов в реальной настройке Push-T), исполняет подмножество (шесть там) и перепланирует по следующему наблюдению; ее итеративное шумоподавление добавляет зависящую от загрузки задержку и дисперсию. Обученное начальное приближение для оптимизатора траекторий с ограничениями может сократить итерации решателя, когда оно попадает вблизи осуществимой области, но оно также может выбрать неверную сторону препятствия или не уложиться в предельный срок. Ни один из этих выходов не является сертификатом осуществимости, и допускается только кандидат, прошедший полные проверки траектории, стыка, момента и остановки.
Эта структура со скользящим горизонтом повторяет классическое модельно-прогнозное управление (MPC) и оптимизацию траекторий, где оптимизатор планирует траекторию на конечном горизонте , исполняет начальный префикс и решает задачу заново из обновленного состояния в следующем цикле. Классический MPC формулирует синтез траектории как явную численную задачу оптимизации с ограничениями: минимизацию функции стоимости при аналитической динамике системы () и жестких неравенствах на физические границы () и моменты актуаторов (). Там, где аналитические модели точно описывают физический объект управления, а размерности состояния остаются компактными, MPC дает строгие гарантии соблюдения ограничений и устойчивости замкнутого контура. Однако классическая оптимизация траекторий наталкивается на «Классическую стену» из раздела «Классическая стена» при применении к неструктурированной манипуляции в открытом мире: численные решатели не могут непосредственно потреблять высокоразмерные семантические токены (такие как сырые пиксели камеры или инструкции на естественном языке), а негладкая механика контакта или деформируемые объекты порождают комбинаторные локальные минимумы, делающие численную оптимизацию в реальном времени неразрешимой внутри периодов управления. Генеративное фрагментирование действий решает проблему семантического приема, обучая непрерывные мультимодальные распределения траекторий прямо по визуальным демонстрациям, но жертвует аналитическими гарантиями. Поэтому архитектура физического ИИ рассматривает обученные политики фрагментирования как непривилегированных семантических инициаторов на многосекундных горизонтах задачи, полагаясь на проверки кинодинамической осуществимости и контракты стыков, развитые в этой главе, чтобы гарантировать физическую допустимость до исполнения команды. Исполнение этих проверок осуществимости и бесшовная замена активной траектории вносят вычислительные и транспортные задержки, которые должны быть строго ограничены на всех циклах замены.
Планируемая величина — это задержка замены : прошедшее время от наблюдения, необходимого для нового предложения, через передачу, вывод, валидацию полной траектории и допуск. Иллюстративная ведомость этапов политики фрагментов машины содержит 15 ms считывания датчиков, 5 ms DMA, 40 ms вывода политики, 2 ms десериализации, 18 ms валидации и 1 ms активации — итого 81 ms. Когда этапы перекрываются или делят конкуренцию за ресурсы, сумма перцентилей этапов не является перцентилем суммы («Свежесть измерений»), поэтому горизонт выбирается по сквозному распределению .
Выбор горизонта предсказания фрагмента действий вносит фундаментальную системную дилемму между амортизацией вычислений и реактивной отзывчивостью («Дилемма горизонта фрагмента действий»). Высокомощные модели зрение–язык–действие (VLA) и диффузионные политики требуют существенной задержки вывода ( на встроенных ускорителях). Если планировщик оценивает действия по одному шагу (), коэффициент загрузки вычислений превышает 100 % (), лишая питания контур управления 50 Гц () и заставляя робота делать паузы и дрожать между последовательными шагами. Расширение горизонта предсказания амортизирует вывод по многошаговым окнам исполнения, снижая коэффициент загрузки ускорителя ниже 50 %, начиная с . Однако исполнение длинного фрагмента в разомкнутом контуре раздувает среднюю задержку реакции на динамические препятствия, . При ( физического окна) задержка реакции превышает порог обхода динамических препятствий (), и доля успешных решений задачи в замкнутом контуре в динамических средах падает с 90 % до единичных процентов. Выбор горизонта фрагмента действий в парето-оптимальном окне достигает необходимого баланса: коэффициент загрузки вычислений остается удобно амортизированным на уровне 38–45 %, а задержка реакции держится ниже 400 мс, сохраняя высокие показатели успеха в замкнутом контуре как в статических, так и в динамических условиях эксплуатации.
Дилемма горизонта фрагмента действий: амортизация вычислений против задержки реакции на динамику: двухпанельная системная оценка по горизонту фрагмента действий при контуре управления 50 Гц () и задержке вывода модели 180 мс. Вверху: коэффициент загрузки вычислений GPU (красный) опускается ниже потолка осуществимости в реальном времени в 100 % лишь при , тогда как средняя задержка реакции на непредвиденные препятствия (синий) растет линейно с длиной горизонта. Внизу: доля успешных манипуляций в замкнутом контуре на неподвижных объектах (зеленый) и движущихся препятствиях (оранжевый). Хотя статические задачи терпят длинные горизонты (), динамические взаимодействия в рабочей области рушатся из-за задержки разомкнутого контура, устанавливая эмпирическое парето-оптимальное рабочее окно (окно исполнения ).
Сумма компонентов в уравнении «задержка замены» — это прошедший путь замены, а не абсолютная метка времени. Рассмотрим типовой перепланировщик, медленнее обновления фрагментов этой машины, который совершает $K=3000$ передач за десятиминутное задание на частоте 5 Hz. Если каждая передача независимо имеет вероятность превысить бюджет , ожидаемое число запоздавших передач равно 30, а вероятность того, что все придут вовремя, составляет $(0.99)^{3000}\approx8 \times 10^{-14}$. Коррелированная конкуренция группирует промахи, что нарушает независимость, предполагаемую этой арифметикой. Равномерное распределение целевого превышения на задание дает по объединяющей оценке целевую величину на передачу $\epsilon\le\epsilon_{\mathrm{mission}}/K\approx3.3 \times 10^{-7}$. Соответствующий $P_{99.99997}$ — это проектная целевая квантиль, распределение риска, а не наблюдаемая задержка. Развертывание либо подтверждает ее репрезентативными нагрузочными испытаниями и консервативной границей, либо принимает более высокую частоту резервирования.
Хвостовая цель распределяет риск замены; наблюдаемая задержка и доверительная граница определяют, достоверен ли выбранный предельный срок.
Следующий запрос уходит не позднее чем через после начала активного фрагмента. Допуск должен завершиться до , а не просто до последнего номинального задания. При целевой задержке замены и резерве требуется . Допущенной остановке затем требуется еще под полномочиями MCU. Полный временной горизонт , который должен покрывать протокол независимо от кодирования, имеет нижнюю границу:
Полная длительность в уравнении «горизонт фрагмента действий» включает стоп-суффикс. Политика фрагментов машины выдает задание каждые 20 ms (период задания ), по 16 на фрагмент, так что один фрагмент несет 320 ms номинального движения. Для руки, отслеживающей конвейер, выбранные задержка запроса 60 ms, целевая задержка замены 160 ms и резерв 20 ms при отдельно проверенной остановке 300 ms требуют по меньшей мере 540 ms полных полномочий движения, или 27 эквивалентов длительности периода задания. Это не означает 27 сохраненных заданий: в протоколе считает только номинальные отсчеты; остановка представляется своими отдельно верифицированными полиномиальными коэффициентами. Горизонт полномочий, покрывающий лишь задержку запроса, целевую задержку замены и резерв, опустил бы запас хода для остановки.
Политика фрагментов отправляет следующий запрос в слоте обновления через 50 ms после начала каждого фрагмента («Питание, свежесть и стена памяти»), поэтому в установившемся режиме несколько запросов находятся в полете одновременно, допущенный фрагмент приходит каждые 50 ms, и их задержки перекрываются. Граница устанавливает на 10 ms выше этого слота, поэтому она сохраняет силу и для запроса, уходящего с опозданием до этой величины.
Целевая задержка замены — это квантиль проектного хвоста всего пути замены, поэтому она лежит далеко за пределами как 40 ms прохода политики по P99, так и ведомости этапов в 81 ms. Предельный срок стыковки должен наступать не ранее чем через 240 ms после начала — сумму задержки запроса, целевой задержки замены и резерва, — а разобранный в примере предельный срок обязательства 300 ms из раздела «Поведение на стыке» оставляет 60 ms сверх этой цели. В разобранном примере руки номинальные задания фрагмента заканчиваются на 320 ms, а допущенная остановка завершается на 600 ms, так что полное окно полномочий охватывает 30 эквивалентов длительности периода задания.
Окно замены 240 ms — это предел руки, а не ее рабочий случай. Общая аренда из раздела «Что передает планирование» истекает, как только допуск отстает от своего слота более чем на 10 ms, поэтому замена, отнимающая весь проектный хвост, заканчивается резервированием руки, согласованным с состоянием, задолго до предельного срока стыковки, а это окно вместо этого задает, как долго может длиться любая аренда на этой руке.
Эта временная нижняя граница конкурирует с возрастом свидетельств о цели. Даже при квалифицированном локальном трекере, где лишь остаточное проскальзывание конвейера уводит кружку от предсказания трекера, раздел «Цели с истекающим сроком» показывает, что одно наблюдение остается в допуске захвата меньшее время, чем 300 ms обязательства. Одно наблюдение поэтому не может обосновать номинальное слежение до обязательства. Трекер обязан доставить свежие свидетельства до окончания своего горизонта; иначе TRACK завершается по истечении свидетельств, а MCU использует резервирование, согласованное с состоянием. Продление метки времени цели из-за длинного вычислительного хвоста перевернуло бы правило разрешения.
Каким бы ни был инициатор, системный интерфейс рассматривает обученную модель как стохастического производителя фрагментов движения, характеризуемого эмпирическим профилем задержки и выходным горизонтом ; диффузионные расписания, кэширование внимания и генерация токенов формируют этот профиль, но лежат ниже первой бюджетируемой величины. Буфер исполнения поглощает задержку вывода, пока регулятор продолжает реагировать на возмущения — как показывают восстановления Push-T на рисунке «Восстановление после возмущения Push-T». Выбор по верифицированному распределению задержки снижает риск запоздалой замены; защищенный стоп обрабатывает промах.
Восстановление после возмущения Push-T: Chi et al. приводят реальную конфигурацию Push-T с 16 предсказанными и 6 исполняемыми шагами действий; команды 10 Гц интерполировались до 125 Гц. Восстановления показывают перепланирование в замкнутом контуре; эксперимент не включает ни стоп-суффикса, ни случая голодания вывода Chi et al., 2024.
Перепланировщик замены обязан учитывать движение во время собственных вычислений. При иллюстративной задержке 80 ms и постоянной скорости шарнира 0.50 rad/s устаревшая поза эпохи запроса отстает от движущегося эталона на 0.040 rad (2.29°). Предлагаемая замена может вместо этого начинаться с проекции эталона активного плана в предполагаемом стыке:
Проецируемый стык из уравнения «разрыв задержки исполнения» полезен для построения кандидата; контакт, ошибка слежения или изменения планирования могут сделать объект управления иным. Поэтому MCU измеряет текущее состояние энкодера, валидирует фактический стык и любой мост и отказывает кандидату вне допустимой области. Согласование двух эталонных траекторий делает -непрерывными эталоны, а не объект управления.
Обусловленность будущим состоянием
Обусловленность будущим состоянием — это практика генерации кандидатных планов движения, привязанных к ожидаемому состоянию на момент исполнения, а не к устаревшему состоянию, измеренному в момент начала планирования.
- Значимость: компенсирует вычислительную задержку , убирая скачок эталона при передаче траектории, который создало бы планирование от устаревшего состояния, без остановок с нулевой скоростью между фрагментами.
- Отличие: отлично от оценки состояния или фильтрации; это стратегия планирования эталона, проецирующая допущенную траекторию вперед, а не фильтрующая шум датчиков.
- Типичная ловушка: рассматривать предсказанное состояние исполнения как измеренное; если возмущение смещает объект управления во время планирования, кандидат остается недопустимым, пока MCU не проверит стык по состоянию энкодера.
Теперь горизонт подчинен двум парам часов. Он должен быть достаточно длинным, чтобы замена по проектному хвосту успела прибыть до обязательства, а позади нее оставалась остановка, и это же окно ограничивает аренду сверху. Свидетельства о цели, тем временем, должны оставаться свежими все время, пока идет TRACK. Однако замена, прибывшая вовремя, обеспечивает лишь временную непрерывность плана. Несомые ею задания также должны лежать в пределах того, что шарниры способны выдать, и стыковаться с фактической скоростью и ускорением механизма на стыке.
Горизонт фрагмента действий и бюджет хвостовой задержки
Прежде чем перейти от времязадания замены к осуществимости самого движения, проверьте свою способность выбрать горизонт фрагмента действий по хвосту задержки:
- Наработка задания и хвостовые квантили: в приведенной иллюстрации независимых передач какова вероятность одного или нескольких пропусков предельных сроков за
3000передач и почему это не измеренная частота отказов задания?- Компромисс выбора горизонта: можете ли вы отличить риск голодания буфера траектории от слишком короткого фрагмента действий от риска немоделируемого дрейфа состояния и устаревшего восприятия от чрезмерно длинного фрагмента?
- Проецируемое состояние стыка: можете ли вы объяснить, почему кандидат, построенный от проекции эталона активного плана, все равно требует проверки по состоянию энкодера и моста при допуске?
Кинодинамическая осуществимость
Кандидатная траектория — это геометрическое и времязаданное предложение, а не разрешение на движение. Прежде чем представить ее, планировщик проводит предварительный отбор, проверяя, лежит ли верифицированное начальное состояние внутри кинодинамической огибающей осуществимости кандидата: оцениваются положение и скорость шарниров, предсказанные момент и ток актуаторов, пределы контакта, свободное расстояние до препятствий и согласованный стоп-суффикс на предлагаемом горизонте. Для руки модель твердого тела отображает , и в и Craig, 2005; Lynch and Park, 2017. Отбор планировщика — не допуск; MCU повторяет решающую проверку и допускает ограниченную траекторию только если ее настроенные пределы и полный запас остановки выдерживаются для верифицированного начального состояния; далее во время исполнения он проверяет слежение, свежесть и оставшийся бюджет остановки. Оптимизатор может сгладить путь или уменьшить близость к препятствиям, но разрешение на движение определяют допущенная траектория и резидентный стоп, а не целевое значение оптимизатора («Оптимизация траектории в реальном времени»).
↰ Предпосылка: Пределы насыщения по моменту актуаторов и масштабирование инерции ротора () выведены в разделе «Пределы передачи актуатора».
Оптимизация траектории в реальном времени: ускоренное GPU генерирование движения, исполняющее на аппаратуре сплайны с минимальным рывком, обходящее динамическое препятствие по полю знаковых расстояний, исполняющее ограниченный захват с подъемом и координирующее две руки в общей рабочей области. Расстояние до столкновения оценивается в непрерывном времени, а не в маршрутных точках, что и позволяет переоптимизировать траекторию в процессе ее исполнения. Адаптировано из Sundaralingam et al., 2023.
Осуществимость, проверенная только в маршрутных точках, — не осуществимость движения. Механизм следует интерполированной траектории между отсчетами с шагом , поэтому одна лишь проверка в допускает превышение производными своих границ внутри . Если интерполятор может приложить до внутри отсчета, худший случай треугольного разворота ускорения через середину выборочного интервала позволяет скорости превысить отсчитанные значения на величину до , так что два отсчета чуть ниже могут охватить пик выше него и вызвать срабатывание ограничения по превышению скорости между двумя допустимыми маршрутными точками. Чтобы ограничить скорость в непрерывном времени без оценки каждой точки, фильтр допуска проверяет сжатый предел , поглощающий наибольшее внутриотсчетное превышение.
Сцепление по отдельности осуществимых фрагментов может создать неосуществимый стык. Согласование только положения () может оставить ступеньку скорости; согласование скорости () — конечную ступеньку ускорения и момента. В приближении жесткой инерции заданное изменение скорости , растянутое на сервопериод , требует момента по уравнению «момент на стыке», где — инерция выходной стороны: инерция нагрузки плюс приведенная через передаточное отношение инерция ротора. Физический привод насыщает или фильтрует этот запрос в соответствии со своими пределами по току и податливостью. Рисунок «Требования стыка и проверенный мост» помещает этот запрос рядом с его средством — конечным -мостом, устраняющим ступеньку эталонной скорости.
Требования стыка и проверенный мост: согласованная по положению ступенька скорости создает большой одно-тактовый запрос инерционного момента. Конечный -мост устраняет ступеньку эталонной скорости, но его внутренние рывок, момент и отклик шарнира все равно требуют валидации.
C² стык сплайна
стык сплайна — это стыковка траектории, обеспечивающая непрерывность вплоть до второй производной по времени (положение, скорость и ускорение) между примыкающими сегментами движения.
- Значимость: предотвращает мгновенные ступеньки ускорения между фрагментами траектории, ограничивая всплеск инерционного момента , требуемый от актуаторов.
- Отличие: отлично от непрерывности (которая согласует лишь скорость и допускает конечные скачки ускорения) и непрерывности (которая согласует лишь положение и допускает бесконечные импульсы ускорения).
- Типичная ловушка: предположение, что непрерывность гарантирует осуществимость по моменту; хотя ускорение и непрерывно, внутренние скорости, ускорения или рывки внутри моста сглаживания все еще могут нарушать физические пределы актуаторов или запаса хода.
Передача формирует отклик на то, что выдает привод. Для двухинерционной модели с инерцией нагрузки , приведенной инерцией двигателя и жесткостью связи частоты антирезонанса и резонанса для этой модели равны и . В шарнирах руки с волновой передачей приведенная инерция ротора и податливая передача могут усиливать резкое изменение эталона, поэтому допуску нужны идентифицированные, зависящие от нагрузки моды шарнира, и он проверяет экстремумы моста, момент и пределы привода по ним. Ни одна частота, жесткость или диапазон рывка не переносится между изделиями без измеренных параметров.4
Сглаживание ступеньки скорости на стыке требует онлайн-смешения сплайнов траектории , которое следует рассматривать как синтез совершенно нового плана движения, а не как косметическую фильтрацию. Когда планировщик вставляет полиномиальный мост на переходном интервале — длительности, отличной от предельного срока стыковки , — чтобы соединить фрагмент и входящий фрагмент , результирующий сегмент моста должен пройти ровно те же проверки динамической осуществимости, что и основные фрагменты.5
Мост является полиномом пятого порядка (квинтическим), поскольку момент следует за ускорением ( в модели жесткой инерции), поэтому мост, согласующий лишь скорость, все равно оставляет ступеньку ускорения, а с ней и ступеньку момента . Для непрерывности через стык мост должен согласовать положение, скорость и ускорение на обоих концах — всего шесть граничных условий: где — конечное физическое состояние фрагмента в момент стыка, а — целевое состояние на входящем фрагменте в . Согласование шести граничных условий требует шести независимых коэффициентов (), однозначно задающих полином пятой степени: Шесть коэффициентов следуют в замкнутой форме из этих граничных условий («Гладкие траектории и безударная передача»), а рывок моста меняется квадратично во времени и конечен на конечном сглаживании. Допуск должен проверять его экстремумы и измеренный отклик шарнира; одних лишь концов недостаточно для подавления всей резонансной энергии.
Полином фиксированной степени может быть вычислен на выбранном регуляторе с ограниченным объемом работы на ось. Синтез коэффициентов и проверки экстремумов всей траектории происходят при допуске; измеренное худшее время выполнения, включая обращения к памяти и контроль, должно укладываться в настроенный сервопериод.
От представления зависит то, что можно доказать при допуске. Таблица «Представления траекторий и обязательные проверки» разделяет непрерывность, которую дает представление, и динамические проверки, которые все еще требуются. B-сплайн степени имеет непрерывность во внутреннем узле кратности ; его выпуклая оболочка управляющих точек ограничивает положение, но не автоматически скорость, момент или запас хода. Минимизация интегрального функционала рывка требует решения этой задачи оптимизации; сам выбор B-сплайна ее не решает.
| Представление | Собственное свойство стыка | Проверки до исполнения |
|---|---|---|
| Квинтический мост | Может согласовать на обоих концах; рывок вообще говоря квадратичен. | Проверить внутренние экстремумы, момент, запас хода и допуск по времени. |
| B-сплайн | Непрерывность зависит от степени и кратности узла. | Проверить производные, динамику, запас хода и результат оптимизатора. |
| Фрагмент действий ACT | Дискретные задания; удержание нулевого порядка дает скачки на тактах, линейная интерполяция есть . | Построить и допустить осуществимый мост и стоп. |
| Фрагмент действий Diffusion | Дискретные отсчитанные действия; нет собственных полномочий актуатора. | Валидировать времязадание, состояние, мост, пределы и стоп. |
Представления траекторий и обязательные проверки: Гладкая параметризация помогает сформировать кандидата, но сама по себе не доказывает динамическую осуществимость.
Ускорение на стыке и запросы момента
Для учебного примера с зарегистрированной моделью CSG-25-50-2UH приведенная инерция ротора составляет
0.25 kg·m². Коррекция разрыва эталонной скорости0.2 rad/sза один такт1 msтребует50 N·mинерционного момента. Спецификация производителя дает номинальный L1051 N·mи повторяемый пик127 N·m; этот одно-тактовый запрос ниже номинального значения. Симметричное -сглаживание скорости за50 msдает средний инерционный момент1 N·mи пиковый1.5 N·m— снижение пикового запроса в33.3×. Суммарный момент все равно включает нагрузку, гравитацию, трение и отклик управления; требуется полная проверка пика и теплового режима.
В этой модели инерции -сглаживание снижает пиковый запрос инерционного момента в 33,3 раза.
Дрожание выхода в обученных предложениях — родственный отказ. Стохастическое сэмплирование может порождать последовательные фрагменты, каждый отсчет которых удовлетворяет пределам положения и скорости, тогда как задаваемое ускорение быстро меняет знак, и каждый разворот требует от привода разворота момента — с последующими переходами тока и нагревом , если привод его отслеживает («Пределы передачи актуатора»).6 Системный инженер закладывает эту вариацию как тепловой подъем актуатора и усталость передачи, а не как воспринимаемую шероховатость; траектория, возбуждающая структурные резонансы или превышающая тепловые пределы привода, неосуществима, как бы близко ее маршрутные точки ни следовали задаче. Даже кандидат, прошедший все внутренние проверки и проверки стыка, все равно должен предусматривать замену, которая никогда не придет.
Поведение на стыке
Предположим, политика фрагментов зависает, пока рука тянется к кружке. На этой машине общая аренда заканчивает ожидание через 60 ms после последнего допуска, и рука входит в резервирование, согласованное с состоянием, по пути от обновления до срабатывания из раздела «Что передает планирование». Собственные предельные сроки протокола определяют, как долго можно позволять длиться любой аренде, потому что до начала остановки рука продолжает движение, и каждая миллисекунда ожидания MCU — это пробег, который ее остановка больше не сможет использовать. Допустим поэтому, что аренда дойдет до своего потолка, и предельный срок стыковки минует без допущенной замены. Четыре предельных срока из раздела «Что передает планирование», сопоставленные в монотонных часах MCU с , теперь определяют, что произойдет. Замена может быть допущена вплоть до — входа в согласованный стоп-суффикс, длительность которого равна . Она должна пройти полную проверку допуска до этого отсечения; запоздалый отчет о прогрессе от хоста не имеет полномочий.
Для входа на крейсерском режиме с , скоростью и нулевым ускорением на входе остановка , согласованная по положению и скорости, за длительность использует :
Дифференцирование уравнения «C² стоп-суффикс» дает скорость и ускорение , пиковое замедление , а остановочный путь . В отличие от переключения с постоянным замедлением, его ускорение начинается и заканчивается нулем. Удержание пика на достоверном замедлении фиксирует и путь — в полтора раза больше пути при постоянном замедлении , поэтому в бюджете остановки стоп-суффикс ведет себя как постоянное торможение с . Ненулевое измеренное ускорение на входе требует общей квинтической кривой, согласующей фактические на входе и нулевые конечные скорость и ускорение; путь разрешения проверяет ее внутренние скорость, ускорение, рывок, момент и запас хода.
В разобранном случае руки предельный срок стыковки составляет 240 ms, согласованное обязательство — 300 ms, конец номинальных заданий — 320 ms, а конец остановки — 600 ms, так что равно 300 ms. При пределе скорости центра инструмента (TCP) руки 1 m/s пиковое замедление стоп-суффикса равно 5 m/s², а проходимый путь — 150 mm. Свободное расстояние проверяется в последний раз в предельный срок стыковки, поэтому крейсерский участок с 240 ms до физического начала торможения в 300 ms относится на этот запас и составляет 60 mm; полный путь 210 mm оставляет 90 mm от 300 mm свободного расстояния до препятствия. Ошибка датчиков и модели все равно должна покрываться этим геометрическим запасом. Указанные 300 ms — это физическое начало стоп-суффикса, поэтому MCU должен закрыть допуск замены и заблаговременно сработать на любую задержку связи или актуатора к этому моменту минус . Если он этого не сделает, добавится пробега и конец остановки сместится; запас 90 mm тогда станет меньше. Номинальные задания заканчиваются на 320 ms, тогда как STOP на MCU продолжается до 600 ms, и случай предполагает, что свежие свидетельства о цели удерживают TRACK действительным все это время («От цели к траектории»). Рисунок «Номинальное слежение и стоп-суффикс» помещает эти моменты на одну ось и разделяет два режима владения, так что точка окончания номинального слежения по эталону может быть прочитана относительно отдельно санкционированной остановки, доводящей руку до покоя.
Зависание на этой машине никогда не доходит до обязательства. Один такт разрешения, один цикл шины и срабатывание тормоза — вместе 22 ms — ставят начало остановки руки через 82 ms после последнего допуска, или 82 mm пробега при пределе TCP. От крейсерского режима с нулевым ускорением -профиль согласует руку в любой момент своего запуска, поэтому резервирование, согласованное с состоянием, проходит те же 150 mm, что и согласованный стоп-суффикс. Путь от обновления до срабатывания таким образом расходует 232 mm из 300 mm свободного расстояния и оставляет 68 mm против 90 mm, когда остановка начинается в обязательстве. Поскольку начало остановки должно наступить к обязательству в 300 ms, аренда может длиться не более 278 ms.
На руке от обязательства зависит, уцелеет ли запас 90 mm. Аренда, превышающая потолок руки 278 ms на 200 ms, позволила бы слежению идти настолько же дальше обязательства, а крейсерский ход на пределе TCP добавил бы 200 mm до той же остановки и вместе с 60 mm крейсера до обязательства нарушил бы 300 mm свободного расстояния на 110 mm. Более поздняя остановка все равно должна согласовываться с ее фактическим входным состоянием; этот контрфактический пример удерживает крейсерскую скорость постоянной лишь для показа утраченного запаса. Рука, ожидающая так долго, может уже занимать состояние, из которого ни одно допустимое управление не избегает столкновения с препятствием.
Состояние неизбежного столкновения
Состояние неизбежного столкновения (ICS) — это любое динамическое состояние объекта управления , из которого каждая физически допустимая будущая траектория управления неизбежно приводит к столкновению с препятствием или границей ограничения: где обозначает допустимое множество входов управления, ограниченное моментом актуаторов, силой сцепления и пределами замедления.
- Значимость: устанавливает предельный срок обязательства при планировании со скользящим горизонтом; продолжение номинального движения после него без допущенного преемника может увести объект управления в ICS, и никакое более позднее перепланирование не вернет его обратно.
- Отличие: в отличие от статических геометрических проверок столкновений, которые оценивают лишь мгновенное пространственное пересечение (), ICS идентифицирует динамически захваченные состояния, где текущий импульс и конечный тормозной момент делают будущее нарушение границы физически неизбежным.
- Типичная ловушка: отсрочка экстренного торможения в ожидании, что запаздывающий нейронный планировщик завершит уклоняющуюся траекторию, без учета того, что движущаяся масса входит в ICS задолго до геометрического контакта.
Номинальное слежение и стоп-суффикс: в разобранном примере рука допускает проверенную замену до физического начала остановки в 300 ms. Номинальные эталоны закончились бы на 320 ms, тогда как отдельно санкционированная остановка достигает покоя на 600 ms. Стоп-суффикс согласован с состоянием обязательства; более ранняя инвалидация требует резервирования, согласованного с состоянием. Все предельные сроки используют монотонные часы MCU, а физический запас хода включает полный отклик и остановку.
Эти предельные сроки и защищаемая ими остановка фиксируются при допуске, до начала движения. Кандидат декларирует допущения о полезной нагрузке, контакте, усилии и препятствиях. MCU сначала валидирует свой фиксированный заголовок и происхождение, затем проверяет полную ограниченную траекторию и стоп-суффикс, включая стык относительно текущего состояния энкодера, внутренние экстремумы, запас хода, остановочный путь и осуществимый отклик из каждого достижимого до обязательства состояния. Скан по заданиям есть , даже с фиксированным максимумом и измеренным худшим временем выполнения; после допуска отдельная проверка на каждом такте читает текущее состояние и локальный эталон. Замена, полученная после предельного срока стыковки, проходит ту же проверку со сжатым мостом, чьи повышенные ускорение и момент его экстремумы все равно должны пройти, а если проверка не успевает завершиться до обязательства, MCU сохраняет текущий протокол. Кандидат, полученный после обязательства, не может вернуть израсходованный запас хода.
Планировщик предлагает стоп-суффикс, но MCU записывает валидированную полезную нагрузку и коэффициенты остановки в защищенную память до включения TRACK и выбирает этот резидентный путь в момент обязательства без чтения DRAM хоста, так что сбой хоста, зависание шины или испорченный общий пакет не могут стереть остановку.7 Если измеренное состояние выходит за область входа зафиксированного стоп-суффикса, MCU использует резервирование, согласованное с состоянием; отключение момента или пружинный тормоз не являются универсальной заменой управляемой остановке, особенно с подвешенным грузом («Лестница резервирования»).
Основание мобильного манипулятора останавливается так же и по своей собственной причине. Загруженный стеллаж с контейнерами переносит достоверное замедление машины только если это замедление достигается плавно; остановка, начинающаяся и заканчивающаяся нулевым ускорением, стоит в полтора раза больше пути, чем резкая при том же пике. Эта цена теперь входит в бюджет остановки. На пределе хода 1.5 m/s стоп-суффикс с пиком на достоверных 2 m/s² длится 1 125 ms и проходит 843.75 mm против 562.5 mm торможения с постоянным замедлением из уравнения «остановочный путь тела». Стоп-суффикс поэтому добавляет 281.25 mm к бюджету, который раздел «Преобразование и калибровка датчиков» оставил на уровне 912.9 mm, давая нарастающий итог 1 194.15 mm. Этот итог превышает свободное расстояние до торца стеллажа 1.10 m на 94.15 mm. Это условие остановки принципа «Закон необратимости» с еще одним слагаемым, потому что остановка, которую выдерживает груз, — остановка более длинная, а добавляемый ею путь берется из того же свободного расстояния. С такой остановкой машина больше не может двигаться на пределе хода и все же остановиться перед человеком, вышедшим у торца стеллажа. Из слагаемых бюджета вернуть этот путь можно только ценой скорости, и раздел «Огибающие остановки» устанавливает ее, как только последнее слагаемое внесено.
Для любого из тел решения о допуске и резервировании из таблицы «Решения по слежению и резервированию» отличаются от аварийного отключения питания.
| Состояние | Триггер | Действие MCU и требуемые свидетельства |
|---|---|---|
| TRACK, обычный обмен | Замена проходит полную проверку допуска до обязательства. | Зафиксировать новый номинальный путь и собственную остановку, затем передать управление на проверенном -стыке. |
| TRACK, поздний кандидат | Кандидат прибывает после предельного срока стыковки, но до обязательства. | Допустить, только если сжатый мост, полный путь, стоп и времязадание все еще укладываются; иначе сохранить текущий протокол. |
| STOP, согласованный стоп-суффикс | К моменту обязательства не допущен преемник. | MCU следует своему защищенному стоп-суффиксу от валидированного входного состояния; номинальное слежение может закончиться, пока STOP продолжается. |
| STOP, ранняя инвалидация | Истечение аренды, истечение намерения, контакт, несоответствие состояния или отказ до обязательства. | MCU выбирает резервирование, согласованное с состоянием, с зарезервированным запасом хода. |
| Реакция на отказ | Управляемая остановка не может быть гарантирована из измеренного состояния. | Применить специфичный для машины ответ на риск (который может включать запрет привода, тормоз или податливость) только при его валидированных допущениях о нагрузке и времязадании. |
Решения по слежению и резервированию: сбой хоста не удаляет зафиксированную остановку. TRACK — номинальный режим; STOP — ступень остановки лестницы резервирования из раздела «Лестница резервирования».
Обязательство и полный запас остановки
Прежде чем принять обязательство по фрагменту действий для автономной машины, проверьте свое понимание предельных сроков обязательства, бюджетов остановки и непрерывности траектории:
- Различие предельных сроков: можете ли вы различить конец номинальных заданий, физическое завершение остановки и истечение свидетельств о цели?
- Непрерывный вход: почему переключение с постоянным замедлением провалило бы -согласование при входе с крейсерским режимом нулевого ускорения?
- Запас хода и задержка: запас руки
90 mmуже относит на себя крейсерский ход от предельного срока стыковки до обязательства. Куда должен быть отнесен нерезервированный запаздывающий сверх него и сколько этого запаса расходует ?
Каждая строка таблицы «Решения по слежению и резервированию» предполагает, что ее триггер достигает MCU вовремя. Отказ может впервые проявить себя в кандидате, на стыке или в мире, и каждый из них доходит до MCU по своему расписанию.
Как планы дают сбой
К моменту исполнения план может стать неосуществимым. Между синтезом в обученной политике и исполнением команды на каузальной границе («Каузальная граница») состояние машины дрейфует, среда меняется, либо стык между последовательными фрагментами нарушает динамические ограничения. То, где отказ впервые становится видимым, определяет, какая подсистема держит сигнал и сколько времени у нее есть, чтобы обнаружить и отвергнуть план.
Самый ранний отказ — фрагмент, недействительный еще до того, как он дойдет до приводов. Предисполнительная проверка границ оценивает каждого кандидата при допуске относительно фиксированных кинематических и динамических пределов, вычисляя запас в каждой точке траектории для положения , скорости и ускорения . Любой отсчет за своим пределом делает отрицательным в этот момент, и проверка отвергает фрагмент с протоколом отказа, именующим канал шарнира, предел, время нарушения и отрицательный запас. Отказ при допуске не вызывает динамического возмущения, потому что машина остается на своей ранее валидированной траектории.
Проверка границы — это страж допуска для стыка из раздела «Кинодинамическая осуществимость». Она сопоставляет кандидата с активным планом и измеренным состоянием шарниров в , включая , и , и ограничивает момент, запрашиваемый стыком, уравнением «момент на стыке».
Для шарнира CSG-25-50 из тетради по стыкам учет только его приведенной инерции ротора 0.25 kg·m² за один такт 1 ms и отнесение всего повторяемого пикового номинала 127 N·m на это ускорение дают идеализированный потолок 0.51 rad/s для . Доступный запас меньше после учета инерции звеньев и полезной нагрузки, гравитации, трения, другого задаваемого момента, времени нарастания тока, а также тепловых или шинных ограничений. Путь разрешения обязан использовать этот зависящий от состояния запас и измеренный отклик привода при оценке конечного моста. Он отвергает прямой разрыв скорости, даже если его одно-тактовая арифметика укладывается ниже этого потолка; ограниченный -мост и его внутренние проверки все равно требуются.8
Даже при пройденных всех предисполнительных проверках и проверках границ изменения физического мира могут сделать план неосуществимым. Захваченная деталь может выскользнуть из заданной позы , в рабочую область может попасть немоделированное препятствие, либо накопится структурная ошибка слежения сверх допустимых допусков. Мониторы времени выполнения обнаруживают неосуществимость из-за изменившегося мира по четырем выделенным сигналам: расхождение состояния шарниров, скорость ошибки слежения, непредвиденные контактные усилия и инвалидация геометрических допущений, декларируемых протоколом («Контракт траектории»). Допуск ошибки слежения — это свободное расстояние от описываемого объема, то есть расстояние между описываемым объемом плановой траектории и ближайшей границей препятствия, за вычетом допуска на деформацию конструкции и податливость редуктора . Для руки мобильного манипулятора, тянущейся за ограждение конвейера, заложенное в бюджет свободное расстояние от описываемого объема 0.020 m и допуск на немоделированный прогиб полезной нагрузки и податливость редуктора 0.005 m оставляют допуск в 0.015 m. Допуск ограничивает границу слежения сверху, но не заменяет ее. Собственная валидированная граница трекера руки — экземпляр для руки того, что раздел «Что передает трекер» валидирует для основания, — должна укладываться в эти 0.015 m, и проверка на каждом такте срабатывает по . Если измеренная ошибка положения инструмента в декартовых координатах превышает или шестиосевой датчик силы и момента сообщает о немоделированном контакте 10 N в этом примере свободного пространства, монитор отзывает номинальное слежение и запрашивает валидированное резервирование, согласованное с состоянием. Фактическое замедление начинается после измеренных задержек обнаружения, отправки и отклика актуатора.
План может также исчерпать свои номинальные эталоны до того, как следующий кандидат пройдет допуск. MCU не должен ждать, пока указатель исполнения выйдет за пределы массива, или рассматривать удержание конечного положения как остановку. На этой машине аренда фрагмента заканчивает ожидание первой, а аренда, идущая к своему потолку, достигает правила обязательства из раздела «Поведение на стыке», которое MCU применяет в собственных монотонных часах. Полный запас остановки включает обнаружение, отправку, отклик актуатора и движение по выбранному профилю; предположительного постоянного замедления недостаточно для разобранного -стоп-суффикса.
Каждый детектор этого раздела опирается на явный контракт между генератором траекторий и средой выполнения. План, доставленный как необработанный список координат, без своего срока действия, границ запаса хода, граничных производных и резервирования, оставляет путь разрешения неспособным отличить, остается ли текущее движение безопасным или дрейфануло в неосуществимость.
Контракт траектории
Каждый раз, когда политика фрагментов предлагает 16 новых заданий для движения к кружке, путь разрешения должен решить, допускать ли их, ничего не спрашивая у планировщика. Протокол траектории — неизменяемый и передаваемый на каждом цикле перепланирования — делает это решение возможным. Ни одно его номинальное задание не допускается, если согласованный стоп-суффикс протокола не является резидентным и осуществимым из каждого достижимого до состояния. Он подчинен аренде намерения из раздела «Аренда намерения», чей дайджест он несет как родительский, и каждое предлагаемое им задание преследует цель аренды, не превышая ее потолков усилий. Протокол хранит движение как массивы заданий или коэффициенты сплайна вместе с ритмом выборки (на этой машине период 20 ms , поток заданий 50 Hz), номинальным концом (320 ms для одного фрагмента) и единицами СИ. Имея систему координат и время свидетельств из раздела «Что передает планирование», единицы и ритм в передаче, контроллер шарниров интерполирует задания и вычисляет производные без несоответствий систем координат и без опоры на окружающие системные часы.
↳ Далее: предложения осуществимости траектории отдельно проверяются относительно условных функций барьера управления в разделе «Безопасные множества как условное разрешение».
Физическая осуществимость зависит от сцены и нагрузки, использованных для валидации плана. Поэтому неизменяемый сайдкар идентифицирует эпохи карты препятствий, допущения о полезной нагрузке и трении, пределы, версию валидатора, измеренный запас и исходное наблюдение, а дайджест в фиксированном заголовке связывает его с заданиями. Валидатор доказывает осуществимость остановки только при этих допущениях, и они не могут утверждать больше, чем оценила выборка, поэтому полезная нагрузка и трение, декларируемые сайдкаром, должны лежать внутри целевой области эксплуатационного назначения (ODD) из раздела «Журналы оценки». Путь разрешения отзывает TRACK, когда живое состояние выходит за них, поскольку записанный запас действителен только для сцены, относительно которой он вычислялся. Начальное зерно решателя и хеш модели относятся в аудиторский сайдкар ради воспроизводимости там, где это поддерживает инструментальный цикл, а не в поток сервосистемы на каждом такте.
На этой машине выход политики фрагментов поставляет лишь номинальную часть каждого протокола траектории. Планирование добавляет состояние стыка, четыре предельных срока и согласованный стоп-суффикс, так что путь разрешения допускает один поток протоколов. Фиксированный заголовок группирует поля каждого протокола по назначению. Поля происхождения дают порядковый номер, время свидетельств и дайджест родительской аренды намерения. Временны́е поля дают четыре предельных срока из раздела «Что передает планирование», и полномочия слежения протокола заканчиваются на раннейшем из: его предельный срок обязательства, истечение аренды фрагмента («Многотактные ритмы») через 60 ms после последнего допущенного фрагмента, истечение родительского намерения и истечение свидетельств о цели. Поля стыка дают систему координат, входное состояние каждого шарнира и коэффициенты стоп-суффикса. Поля содержимого дают вид и размер полезной нагрузки и один дайджест по нагрузке заданий и сайдкару. Полезная нагрузка заданий переменной длины и неизменяемый сайдкар происхождения и допущений находятся вне фиксированного заголовка, и MCU проверяет их дайджест до проверки допуска из раздела «Поведение на стыке». Дайджест нагрузки связывает содержимое, а родительский дайджест связывает происхождение. Протокол не несет ключевого тега, потому что путь разрешения допускает предложение по его содержимому, а не по происхождению («Многотактные ритмы»).
↳ Раскладка байтов: смещения и размеры полей протокола траектории приведены в разделе «Полезная нагрузка траектории».
Заполненный для одного движения к кружке, протокол представляет собой временную шкалу рисунка «Номинальное слежение и стоп-суффикс» с именованными полями. Его родитель — аренда намерения для кружки, связанная дайджестом; его система координат — базовая система координат машины, и каждое временное поле задано в монотонных часах MCU. Измеренные от , временны́е поля содержат обязательство 300 ms, номинальный конец 320 ms, который дают 16 заданий по 20 ms, и конец остановки 600 ms; предельный срок стыковки 240 ms — цель расписания, а не поле. Поля стыка содержат стоп-суффикс на 300 ms с пиком 5 m/s², останавливающий руку с предела TCP 1 m/s за 150 mm. Пока протокол действует, аренда фрагмента 60 ms ограничивает его слежение, истечение ведет к резервированию, согласованному с состоянием, по пути, расходующему 232 mm из 300 mm свободного расстояния, а обязательство ограничивает эту аренду величиной 278 ms. Сайдкар декларирует полезную нагрузку не более 3 kg, свободное пространство до захвата и сцену внутри целевой ODD. Каждое поле — то, что путь разрешения проверяет при допуске или контролирует на каждом такте, не спрашивая планировщика о его намерениях.
В разобранном случае предельные сроки удовлетворяют . MCU применяет эти предельные сроки по правилам TRACK и STOP из раздела «Что передает планирование», и метка времени в заголовке не может сделать несогласованный стоп-суффикс безопасным. Журнал фиксирует времена свидетельств, запроса, валидации, допуска, активации, передачи и завершения остановки в общем пересчитанном домене, так что фактическая задержка отклика может быть измерена.
Каждый протокол в цепочке времени выполнения — от контракта наблюдений через протокол оценки состояния и аренду намерения до самого протокола траектории — теперь именует то, на чем он опирается, и срок своего истечения. Протокол траектории доказывает лишь то, что планировщик мог предвидеть: остановку, осуществимую из достижимых до обязательства состояний при сцене и нагрузке из его сайдкара. Несколько из последующих заблуждений принимают это ограниченное доказательство за более широкое.
Заблуждения и ловушки
Траектория остается осуществимой, только пока ее физические допущения выдерживаются на границах фрагментов и во время резервирования. Проверки допуска и исполнения должны охватывать эти переходы так же, как и номинальный путь.
Заблуждение и ловушка
Заблуждение: Статические проверки допуска защищают машину от смещений препятствий во время активного исполнения.
Рука начинает допущенное движение к кружке, когда ограждение конвейера свободно от ее описываемого объема. Во время исполнения коллега задвигает контейнер на путь инструмента. Проверка допуска была верна для прежней геометрии, но больше не поддерживает продолжение движения. Контроль исполнения обязан обнаружить изменившийся запас хода и начать замедление, пока остается достаточное тормозное пространство. Проектирование должно ограничивать скорость, с которой изменения рабочей области становятся видимыми через задержку сенсорной шины, и резервировать необходимый запас остановки для реагирования до того, как обновленная геометрия станет неизбежной.
Заблуждение и ловушка
Ловушка: Проверка каждого фрагмента действий по отдельности без рассмотрения движения, которое фрагменты составляют.
Рука получает последовательные фрагменты, каждый из которых разворачивает направление шарнира. Каждый фрагмент проходит собственные проверки ускорения и рывка, однако последовательность порождает колебательное движение, способное возбудить резонансные частоты привода через податливость редуктора. Допуск обязан сравнивать производные на каждом стыке и удерживать достаточно длинную недавнюю историю движения, чтобы обнаруживать повторяющиеся развороты, приводящие к нагреву Джоуля () в статоре. Двигатель и передача исполняют составную траекторию, и рассмотрение фрагментов как независимых запросов скрывает поведение, проявляющееся только при соединении запросов.
Заблуждение и ловушка
Ловушка: Отсрочка перехода к резервированию за жесткий горизонт остановки в надежде, что задержанные вычисления закончат.
С арендой, доведенной до своего потолка
278 ms, протокол разобранной руки заканчивает номинальные задания на320 msи несет300 msсогласованный стоп-суффикс, который должен завершиться к600 ms, поэтому MCU обязан перейти к резервированию на300 ms, если не допустил валидную замену. В этот момент прикладной процессор сообщает, что вывод почти завершен, но он не доставил исполняемый план. Ожидание расходует запас хода, зарезервированный для замедления. MCU обязан следовать согласованному стоп-суффиксу в точке обязательства. Отчеты о прогрессе не могут продлить механический бюджет остановки; только новая валидированная траектория может оправдать продолжение исполнения.
Заблуждение и ловушка
Ловушка: Опора исключительно на опережающие динамические модели, когда физический контакт или масса полезной нагрузки могут резко измениться.
Рука поднимает предмет у своей границы полезной нагрузки
3 kg, используя опережающий момент, вычисленный для нагруженной руки. Предмет выскальзывает из захвата, но приводы продолжают прикладывать тот же подъемный момент к теперь уже разгруженной руке, и она ускоряется вверх. Допущенная траектория не изменилась; изменилась динамика, которая делала ее команды уместными. Контроль по обратной связи должен обнаружить возникающую ошибку слежения и ограничить команды в пределах доступного запаса до удара о механический предел или термического снижения номинала. Опережающая модель улучшает номинальное слежение, но не заменяет проверки времени выполнения на резкие изменения полезной нагрузки или контакта.
Заблуждение и ловушка
Заблуждение: Траектория может опустить достижимый конечный стоп-суффикс, если ожидается, что замены планов придут вовремя.
На пределе хода
1.5 m/sоснованию мобильного манипулятора требуется стоп-суффикс длительностью —1 125 msпри достоверных2 m/s², — чтобы остановиться, не превышая этого замедления. Предлагаемый стоп-суффикс, размеренный по времени постоянного замедления , короче на треть, поэтому его профиль достигает пика , за пределами того, что выдерживает нагруженный стеллаж. Ожидание следующего плана не делает это резервирование исполняемым. Ворота допуска обязаны проверять для фиксируемого -профиля и отвергать протокол, который не проходит. Каждая принятая траектория требует физически достижимого пути завершения на случай, когда замена так и не станет доступной.
Итоги
Траектория — это времязаданное предложение, и формирует ее случай, когда следующая опаздывает. Квантиль задержки вывода — это целевой риск планирования, а не сертификат безопасности. Он задает, как часто машина должна ожидать запоздалую замену, а резидентный стоп — это то, что машина делает, когда такая замена наступает. Двое часов ограничивают горизонт с противоположных сторон. Вычислительный хвост отодвигает точку обязательства позже, тогда как свидетельства о цели истекают по собственному расписанию; на конвейере даже отслеживаемое наблюдение кружки истекает до разобранного обязательства 300 ms («Цели с истекающим сроком»), поэтому слежение столь длительное время требует свежих свидетельств, а не более поздней метки времени.
В точке обязательства встречаются эти результаты. Замена должна пройти полный допуск до , а не просто до последнего номинального задания. На этой машине общая аренда 60 ms заканчивает зависание задолго до этого и отправляет руку в резервирование, согласованное с состоянием, с оставшимися 68 mm свободного расстояния; обязательство ограничивает эту аренду величиной 278 ms, а протокол, дошедший до обязательства без преемника, воспроизводит -стоп-суффикс, зафиксированный MCU до начала движения. Крейсерские 60 mm и стоп-суффикс 150 mm разобранной руки оставляют 90 mm геометрического запаса до неопределенности и нерезервированной задержки. На основании мобильного манипулятора стоп-суффикс, который выдерживает стеллаж с контейнерами, поднимает бюджет остановки на пределе хода до 1 194.15 mm, превышая свободное расстояние до торца стеллажа 1.10 m.
Времязаданное движение и независимая остановка
- Квантиль задержки — это целевой риск: целевая задержка замены по проектному хвосту распределяет риск запоздалого плана и никогда не сертифицирует прибытие, поэтому каждая допущенная траектория несет резидентный стоп на случай промаха.
- Принимайте обязательство до расхода запаса хода: допуск закрывается в — предельном сроке, выбранном так, чтобы согласованная остановка еще уместилась, — и обязательство ограничивает аренду фрагмента, которая первой заканчивает зависание. На руке аренда, идущая на
200 msдальше обязательства, нарушает свободное расстояние300 mmна110 mm.- Возраст свидетельств и вычислительный хвост расходятся: длинный хвост отодвигает обязательство, тогда как свидетельства о цели истекают по собственным часам. Слежение за горизонтом свидетельств требует свежего наблюдения, никогда — растянутой метки времени.
- Плавная остановка — остановка более длинная: остановка при том же пиковом замедлении проходит в полтора раза больше пути, чем при постоянном замедлении, и на мобильном манипуляторе добавление этого слагаемого уносит бюджет за свободное расстояние до торца стеллажа на пределе хода.
- Ступень, первой увидевшая отказ, им владеет: недействительный фрагмент, неосуществимый стык и изменившийся мир впервые становятся видимыми при допуске, на стыке и во время движения, поэтому каждая ступень держит собственный сигнал и собственный временной бюджет на отвержение плана.
- Непрерывность — не осуществимость: стык убирает скачки эталона, но внутренние рывок, момент, резонанс и запас хода моста все равно должны проверяться на фактическом приводе.
- Планировщик предлагает, MCU допускает: протокол траектории связывает задания, предельные сроки и коэффициенты остановки под дайджестом родительской аренды, поэтому путь разрешения судит предложение по содержимому и удерживает остановку, которую не может стереть ни один сбой хоста.
От принятых планов к разрешению на каждом такте
Эта глава допускает целые предложения. MCU проверяет полную траекторию и ее согласованный стоп до обязательства и фиксирует стоп в защищенной памяти. Допуск судит план по состоянию, в котором машина находилась в момент прихода плана, однако пока план исполняется, объект управления может отставать от эталона, может появиться препятствие, а актуатор может насытиться. Раздел «Обеспечение безопасности» проверяет каждый такт по живому состоянию, уменьшает остановочный путь на ошибку слежения, которую может ограничить регулятор, и владеет лестницей резервирования, чья ступень остановки воспроизводит резидентный стоп этой главы. Этот отступ — последнее слагаемое бюджета остановки машины, и его добавление устанавливает скорость, с которой мобильный манипулятор может идти по проходу.
-
Представления фрагментирования действий: фрагменты ACT и Diffusion Policy не несут ограничений на граничные производные, поэтому планировщик обязан предложить переходный мост через каждый стык перепланирования, а путь разрешения проверяет его до допуска. ↩
-
Детерминированная проверка предложений: путь разрешения изолирует непривилегированные предложения траекторий в аппаратно управляемых промежуточных буферах и допускает предложение только после проверки там же («Поведение на стыке»), так что ни одно непроверенное задание не доходит до регистров управления двигателем. Об архитектурах фильтра безопасности времени выполнения см. «Детерминированный привратник». ↩
-
Непрерывность производных : непрерывность означает, что положение, скорость и ускорение остаются непрерывными функциями времени на границах траекторий. В двигателях с постоянными магнитами (PMSM) электромагнитный момент напрямую связан с квадратурной составляющей тока статора (). Ступенька ускорения в этой модели требует конечной ступеньки момента и тока, тогда как ступенька скорости означает идеальный импульс ускорения. ↩
-
Выборка и механические моды: период управления, более быстрый, чем механическая мода, может помочь разрешить эту моду, но не является доказательством устойчивости. Запас по фазе регулятора, задержка датчика, демпфирование, фильтрация и полоса пропускания актуатора должны быть валидированы для идентифицированного шарнира. ↩
-
Рывок траектории: целевая функция по рывку может сделать конкретный мост гладче. Одного лишь конечного предела рывка недостаточно, чтобы исключить энергию вблизи измеренного резонанса; полный спектр команды и отклик замкнутого контура должны быть проверены для данного шарнира и нагрузки. ↩
-
Термическое снижение номинала актуатора: нагрев Джоуля () в обмотках поднимает температуру статора, а сверх предела ухудшает поток магнита и изоляцию, поэтому контроллеры двигателей принудительно обеспечивают кривые снижения номинала, ограничивающие непрерывный момент. Профиль скорости, игнорирующий этот регулятор, упирается в ограничение по току посреди траектории и теряет слежение. ↩
-
Контракты общей памяти между ядрами: реализация с общей памятью требует протокола владения, обслуживания кэша там, где это необходимо, и упорядочения release/acquire. MCU валидирует завершенного кандидата и копирует допущенный план и стоп в защищенную память до активации. ↩
-
Отклик привода и резонанс: резкая команда может возбудить идентифицированные упругие моды шарнира, но их частоты и демпфирование зависят от передачи и нагрузки. Ограничение по току, обнаружение выхода из насыщения, реакция шины постоянного тока и отключение зависят от выбранного драйвера и его конфигурации; см. описание защиты драйвера затвора TI. ↩
Обеспечение безопасности
Цель
Как непривилегированное программное предложение превращается в физический момент, и что позволяет привратнику вовремя отвергнуть его?
Нейронная политика может предлагать команды, нарушающие геометрический запас хода, превышающие пределы скоростей шарниров или выводящие момент актуатора в насыщение. Как только непроверенная команда превращена в фазовые токи двигателя, обнаружить галлюцинацию нейронной сети слишком поздно: кинетическая энергия уже затрачена. Независимый путь принудительного обеспечения реального времени должен оценивать предложения-кандидаты до того, как они пересекут каузальную границу, и сохранять непреклонные аппаратные полномочия отвергать или проецировать их в строгие субмиллисекундные предельные сроки.
Своевременного отказа недостаточно; выбранный резервный отклик должен оставаться динамически выполнимым при фактическом физическом состоянии. Механический тормоз не способен обеспечить идеализированное замедление, если тепловое насыщение или просадка напряжения питающей шины ухудшают создание момента. Принудительное обеспечение во время выполнения связывает функции барьера управления с контурами обратной связи реального времени, чтобы проверять, что огибающие остановки остаются строго внутри проверенных запасов хода. В стеке физического ИИ принудительное обеспечение воплощает основную обязанность детерминированной Нервной системы: поддерживать непреклонный путь разрешения между статистическими предложениями Мозга и физическим исполнением Телом.
Цели обучения
- Объяснить связь между точностью слежения, разрешением команд и независимым принудительным обеспечением на границе актуатора
- Диагностировать, как частота обновления, задержка обратной связи и насыщение актуатора ограничивают корректирующее управление
- Рассчитать готовый бюджет остановки и устанавливаемый им потолок скорости по задержке отклика, торможению, локализации и ошибке слежения
- Оценить зависящим от скорости барьером, должна ли команда трекера, вычисленная по принятому предложению, быть принята, спроецирована или отвергнута
- Выбирать резервные отклики, когда сенсорика, вычисления или пределы актуатора обесценивают обычное принудительное обеспечение
- Построить протокол принудительного обеспечения, связывающий каждую проверку с ее детектором, ее резервным откликом и потребляемыми ею записями
Детерминированный привратник
Микроконтроллер безопасности (MCU) допускает пробег складского мобильного манипулятора по проходу лишь после того, как подобранный стоп-суффикс, названный в его протоколе траектории («Контракт траектории»), размещен в памяти MCU и выполним из каждого достижимого до обязательства состояния. Этот допуск проверяет план однажды, до начала движения. Затем машина исполняет план по одному миллисекундному такту, и на каждом такте живое состояние может отклониться от того, которое предполагал планировщик. База отстает от заданной ссылочной траектории, человек выходит у торца стеллажа, нагрузка нагружает руку, или политика фрагментов предлагает задание, которого принятый план никогда не содержал. Далее описывается проверка, выполняемая на каждом такте, и отклик, который она выбирает, когда уже не подходит даже резидентная остановка.
Обученные инициаторы, стоящие за этими командами, могут выдавать невыполнимые траектории или команды по шарнирам за пределами моментов актуаторов, и по закону необратимости из раздела «Четыре фундаментальных закона» никакой обработчик исключений не может отозвать импульс, который придает ток в обмотке, поэтому плохую команду следует остановить прежде, чем она дойдет до привода.
Поэтому принудительное обеспечение сохраняет задачную компетентность обученных политик, отказывая им в полномочиях на геометрический запас хода, тепловые пределы и инварианты безопасности человека. Механизм принуждения из раздела «Многотактные ритмы», привратник пути разрешения на каждом такте, находится на стороне разрешения границы предложения. Это компонент жесткого реального времени, который оценивает предложения-кандидаты, проверяет инвариантные границы состояния и обладает исключительными аппаратными полномочиями разрешить ток или скомандовать резервную остановку.
В принятой этой главой конструкции механизм принуждения работает на микроконтроллерном аппаратном обеспечении на голом железе, подключенном напрямую к приводам двигателей и энкодерам шарниров, и оценивает поступающие задания на каждом миллисекундном цикле управления по проверенным ограничениям с помощью функций барьера управления (CBF)1 Ames et al., 2019. Когда предложение безопасно, оно проходит к приводам двигателей без изменений. Когда предложение едва угрожает границе, квадратичная программа активного множества (CBF-QP) минимально изменяет команду, минимизируя отклонение момента и принудительно обеспечивая выведенное ограничение.2 Когда предложение структурно неверно или инициатор замолкает, привратник разрывает командный канал и запускает автономную последовательность резервного замедления.
Однако механизм принуждения не может гарантировать безопасность за пределами точности слежения лежащего под ним контура управления, поскольку каждый сертификат барьера предполагает, что контроллер слежения следует заданным ссылочным траекториям с ограниченной ошибкой.
Что передает трекер
Трекер, контроллер обратной связи, превращающий каждую принятую ссылочную траекторию в команду момента на каждом такте («Что передает планирование»), изолирует механизм принуждения от внутренней механики объекта управления, и через интерфейс вверх проходит лишь одна из его гарантий. Эта гарантия — явная граница худшей ошибки слежения () между тем, куда машина была направлена командой, и тем, где ее масса находится на самом деле. В проверенной огибающей ускорения ссылочной траектории, нагрузки, температуры и возмущений трекер может обеспечивать переходную границу на всем маневре. Механизм принуждения не рассматривает передаточные функции, корневые годографы или усиления контроллера; для ПО над контуром трекер — черный ящик, удерживающий физическое движение в пределах границы ошибки от заданной траектории.
Эта граница — физическое расстояние, задаваемое инерцией ротора, податливостью передачи и пределами момента актуатора. Стационарный расчет жесткости уравновешивает несмоделированное возмущение восстанавливающим действием жесткости замкнутого контура, но не ограничивает переходное перерегулирование или установление, поэтому границе также требуются проверенная динамика или испытания на полном маневре.3
На базе складского мобильного манипулятора проверка на полном маневре устанавливает 40 mm (иллюстративно; см. Руководство для читателя). Контроллер удерживает эту границу, лишь пока соблюдаются три условия. Ссылочная траектория не может требовать ускорений сверх того, что способны отдать приводы, внешние возмущения должны оставаться ниже , а актуаторы должны работать ниже пределов непрерывного термического снижения номинала из раздела «Тепловые циклы нагрузки» и пределов своей шины напряжения. Ссылочная траектория, требующая большего ускорения, чем позволяет пиковый момент, выводит контур в насыщение, интегратор наращивает накопление, и база отстает от ссылочной траектории на величину, растущую с каждой миллисекундой насыщения. Вне своей номинальной огибающей контроллер не дает никакой границы.
Поскольку база может отстать от своей ссылочной траектории до , на каждый геометрический и динамический запас, который оценивает механизм принуждения, накладывается врезка этой величины. Ссылочная траектория, выдерживающая запас хода до торца стеллажа, гарантирует базе лишь , поэтому механизм принуждения проверяет ссылочную траекторию по требуемому запасу плюс 40 mm, а раздел «Огибающие остановки» переносит эту врезку в остановочный путь, где задержка и ошибка локализации тоже расходуют запас. Если изношенные подшипники привода, износ шин или измененные параметры двигателя удвоили бы истинную ошибку до 80 mm без изменения протокола, база израсходовала бы еще 40 mm запаса, который механизм принуждения считает сохраняющимся за ней. Ухудшенная граница слежения незаметно разъедает каждый запас выше себя.
↰ Предварительное требование: Наложение врезки на пространственный запас хода по ковариации датчиков и транспортной задержке берет начало в разделе «Границы пространственной ошибки и запаса».
Граница слежения, никогда не проверяемая во время выполнения, — это допущение, а не контракт. Нервная система должна публиковать с рабочими условиями, которые ее проверяют, и следить за мгновенной ошибкой на каждом такте. Когда превышает границу — при всплеске возмущения или термическом троттлинге, — контракт нарушен, и путь разрешения должен обесценить пространственные допущения фильтров выше себя прежде, чем несмоделированный прогиб причинит повреждение.
Инвариант запаса врезки
Каждая пространственная и динамическая граница безопасности, которую оценивает механизм принуждения, должна быть уменьшена врезкой проверенной худшей ошибки слежения лежащего в основе контура слежения, а «огибающая остановки» переносит эту врезку вместе с ходом за время транспортного запаздывания в каждую проверку допуска. Механизм принуждения, оценивающий сертификаты барьера по номинальным геометрическим границам без врезки, допустит траектории, физически сталкивающиеся с препятствиями, как только ошибка слежения достигнет своей сертифицированной границы.
Синтез контроллеров слежения, наблюдателей и компенсации возмущений относится к литературе по управлению Slotine and Li, 1991; Åström and Murray, 2021. В современных реализациях физического ИИ «трекер» редко бывает элементарным контуром обратной связи с одним входом и одним выходом; обычно он структурирован как каскадная иерархия управления (отображающая декартовы цели траектории в ссылочные скорости шарниров, а скорость — в фазовые токи векторного управления на ) или как высокочастотный модельно-прогнозный контроллер слежения (MPC), работающий на в прошивке на голом железе и решающий локализованную квадратичную программу для динамической компенсации возмущений. И все же, независимо от внутренней математической изощренности, оптимальный трекер остается семантически слепым: у него нет внутренней модели запасов хода до препятствий, замысла задачи или близости человека, и он исполнит столкновительную траекторию в стальную стойку с той же динамической точностью, что и свободное неперекрытое пространство. Более того, при несмоделированных физических возмущениях — например, масле на поверхности, вызывающем грубое проскальзывание шин, или внезапном термическом снижении тока — даже оптимальный контроллер слежения может гарантировать слежение лишь в пределах своей проверенной трубы ошибки . Поэтому механизм принуждения рассматривает трекер строго как границу контракта: он инкапсулирует весь стек обратной связи внутри сертифицированной границы , оценивая предложения-кандидаты по сертификатам барьера с прямой инвариантностью до того, как любая команда достигнет уровня слежения.
Полномочия на отказ
Фрагмент приходит от прикладного процессора вовремя, корректно сформированным и неся свежее время свидетельств, а одно из его заданий направило бы руку в стойку стеллажа. Ничто в пакете не помечает это задание как неверное. Поэтому путь разрешения не дает полномочий входящему обученному предложению, пока оно не пройдет настроенные проверки состояния, входа, свежести и запаса остановки. Это третий закон, предложение — не разрешение (принцип «Предложение — не разрешение»), принудительно обеспечиваемый по одному такту. Обученная политика не несет гарантии устойчивости, не ограничивает дисперсию своих выходов и не знает пределов тока актуаторов или механического напряжения, поэтому ее выходы носят рекомендательный характер.
Архитектура Simplex Sha, 2001 — одна из реализаций пути разрешения. Она разрешает противоречие между задачной производительностью и безопасностью, разлагая систему управления на четыре структурных компонента:
- Продвинутый контроллер: непроверенная высокоемкая обученная модель (например, сеть зрение–язык–действие, резидуальная политика обучения с подкреплением Johannink et al., 2019 или диффузионная политика, исполняемая на прикладном процессоре), оптимизирующая сложную открытую задачную производительность.
- Базовый контроллер безопасности: сертифицированный детерминированный контроллер высокой надежности (на этом пути разрешения — подобранный стоп-суффикс, принятый вместе с траекторией в разделе «Поведение на стыке», резидентный в прошивке MCU на голом железе), выступающий доверенной низкоуровневой базой стабилизации физического объекта управления и обеспечивающий проверенную устойчивость и поведение при останове в заявленных условиях.
- Менеджер безопасности: детерминированная логика арбитража, непрерывно оценивающая состояние машины по множествам барьера с прямой инвариантностью, границам ошибки слежения и предельным срокам исполнения.
- Выходной селектор: атомарный аппаратный или прошивочный мультиплексор реального времени, направляющий сигналы исполнения команды на мост двигателя. Селектор допускает проверенное предложение, когда условия соблюдаются, и переходит на резидентную базу в пределах своей проверенной задержки отклика, когда эти условия нарушаются.
По этому контракту восходящая политика никогда не командует объектом управления напрямую. Вместо этого связь через каузальную границу идет через аренду фрагмента из раздела «Многотактные ритмы» — разрешение типа «мертвая рука», истекающее без продления свежим предложением. Прикладной процессор передает векторы управления-кандидаты структурированными пакетами через почтовые ящики общей SRAM по настроенному межпроцессорному каналу, например RPMsg.4 Каждое предложение начинается с заголовка предложения («Многотактные ритмы»), и MCU проверяет его время свидетельств и истечение на каждом цикле управления, добавляя границу ошибки пересчета часов из заголовка. Если предложение свежее, состояние остается в проверенной жизнеспособной области, а ошибка слежения остается ограниченной, выходной селектор позволяет предложению (или его минимально спроецированному варианту) управлять актуаторами. Если аренда истекает без продления, слежение расходится или предложение угрожает физическим границам, выходной селектор отзывает разрешение и в одностороннем порядке включает базовый контроллер безопасности.5 К восходящей политике не обращаются, она не ведет переговоров и не обладает аппаратным механизмом переопределить селектор.
Когда предложение противоречит физическим ограничениям, механизм принуждения выбирает между фильтрацией и вето. Фильтрация применяется, когда предложение структурно корректно, а близкая допустимая команда все еще служит его замыслу. Такой случай дает открываемая рукой дверь клетки с пружинным фиксатором. Предложение политики фрагментов приблизиться к ответной планке двери на 0.10 m/s корректно сформировано, но зона двери допускает лишь охраняемое приближение на 0.03 m/s целевой области эксплуатационного назначения (ODD) — единственную скорость, которую покрывают ее демонстрации и испытания («Журналы оценки»). Этот потолок отмечает, где кончаются свидетельства, а не физика планки. Поэтому механизм принуждения сохраняет направление и цель приближения и проецирует лишь его скорость на потолок 0.03 m/s — ограничение, которое квадратичная программа наименьшего изменения из раздела «Минимальное вмешательство» принудительно обеспечивает рядом с полупространствами, которые выводит функция барьера управления.
Фильтрация должна уважать импульс так же, как положение, ибо актуаторы все еще должны суметь остановить машину до исчезновения запаса хода («Безопасные множества как условное разрешение»). Проецирование допустимо, лишь когда исправленная команда сохраняет направление и цель предложения, меняет его непрерывно и остается далеко от опасности. Структурно неверное предложение — например, разрывный скачок заданного положения, ускорение за пределами доступного момента или траектория, направленная в неподвижное препятствие, — указывает, что восприятие или инференс вошли в несмоделированный режим отказа, а проецирование его на ближайшую безопасную границу исполнило бы движение, не связанное ни с каким замыслом задачи. Механизм принуждения накладывает вето на такое предложение, и выходной селектор передает полномочия локальному резервированию.
Фильтрация и вето происходят во время выполнения, и обучение политики не может заменить ни то, ни другое. Как утверждает раздел «Заблуждения и ловушки», штрафные слагаемые и потери барьера формируют распределение, которое политика учит, но не ограничивают то, что развернутая политика выдает, а обучение с подкреплением с ограничениями ограничивает лишь ожидаемую стоимость нарушений, что допускает редкое столкновение с большим импульсом, лишь бы среднее оставалось ниже своего предела. Поэтому путь разрешения проверяет каждого кандидата на своей границе исполнения команды независимо от того, какая цель обучала инициатора, а когда предложение безопасно, проверка прозрачна и обученная компетентность проходит к приводу без изменений.
Аренда фрагмента, 60 ms на этой машине, также сохраняет полномочия механизма принуждения, когда восходящий хост зависает. Отдельный сигнал живости хоста 100 имеет тайм-аут молчания 30 ms. Контур MCU 1 kHz подкармливает собственный 5 ms сторожевой таймер лишь после успешного цикла; отдельное внешнее аварийное отключение покрывает отказ MCU. На каждом тайм-ауте MCU отзывает предложение и исполняет резидентное резервирование, подобранное по состоянию, при условии что зарезервированный запас и доступное торможение еще достаточны. На складском мобильном манипуляторе, если инициатор продлил аренду и затем завис, тормоз все равно начинается в пределах 82 ms после последнего действительного продления. Этот случай истечения аренды предполагает, что отдельный сигнал живости остается активным, пока свежие допустимые предложения перестают поступать; полный отказ хоста запускает 30 ms тайм-аут сигнала живости раньше. Когда опасность — человек, выходящий у торца стеллажа, возраст кадра, впервые показавшего этого человека, добавляется к задержке от продления до начала, и раздел «Огибающие остановки» относит сумму на проверку допуска. Именно принудительное обеспечение аренды на приводе, а не доверие хосту отозвать собственное предложение, вообще ограничивает эту задержку.
Разрыв восходящих полномочий требует определенного физического отклика на низшем аппаратном интерфейсе. Нулевой командный пол — настроенный отклик на исчезновение активного программного управления, причем запись нуля в привод дает разную механику на разных актуаторах. Нулевой ток в низкофрикционном прямом приводе позволяет нагруженной силой тяжести руке опускаться, если только отдельное удерживающее устройство не несет нагрузку, тогда как нулевая скорость в жестком контуре положения может запросить большой переходный процесс. Раздел «Целостность электропитания» описывает три обесточенных состояния, в которые может перейти привод (свободный выбег, динамическое торможение короткозамкнутыми фазами или пружинный тормоз); в какое из них переходит каждый привод — выбор, который эта глава делает ступень за ступенью.
Отказ — стационарное решение, а не только аварийное исключение. На каждом миллисекундном такте управления механизм принуждения проверяет свежесть предложения по аренде и порогу возраста свидетельств, сигнал живости хоста, ошибку слежения, пределы актуатора и кинетические пределы, а также выполнимость резидентного резервирования, и если одна проверка не пройдена, отзывает предложение и выбирает резидентный отклик, соответствующий текущему состоянию и доступному запасу. Этот путь должен сохранять способность действовать при отказе восходящего источника предложений, а его положение в сигнальной цепи определяет, что он может видеть и как быстро действовать.
Где размещается механизм принуждения
Положение механизма принуждения в сигнальном конвейере задается масштабом времени динамики и задержками каналов, которые его питают, и каждая машина, превращающая обученные предложения в движение, предлагает две естественные позиции. Выше по потоку от контура обратной связи кинематический проверщик ссылочных траекторий валидирует путевые точки, координатные цели или векторы скорости до их входа в контур слежения; на частотах планирования от до он может проверить сегмент траектории по границам рабочего пространства и моделям самостолкновений. Его сила — пространственное предвидение, а ограничение — слепота к фактическому состоянию объекта управления, поэтому ссылочная траектория, проходящая мимо стойки стеллажа с зазором меньше переходного перерегулирования базы, проходит все восходящие проверки, пока база все же ударяет стойку.
↳ Ниже по потоку: Гетерогенное кремниевое разделение механизма принуждения по изолированным анклавам микроконтроллера нанесено на карту в разделе «Два пути на одном кристалле».
Ниже по потоку от контроллера обратной связи, рядом с силовой электроникой, проверщик команд просматривает фазовые токи, коэффициенты заполнения и ссылочные моменты шарниров непосредственно перед записью в аппаратные регистры. Работая на частоте внутреннего контура машины 1 kHz, он предотвращает перегрузку по току, перегрузку по моменту и тепловой разгон, отсекая или обнуляя сигналы за номинальными характеристиками объекта управления, но отказывается от предвидения. Момент, прочно укладывающийся в непрерывный номинал, выглядит безопасным для скалярного ограничителя, даже когда он ускоряет опускающийся шарнир руки к станции упаковки быстрее, чем оставшийся ход может поглотить, и ограничитель не регистрирует отказа до тех пор, пока допустимый обратный момент еще может предотвратить столкновение.
Это разделение меняет задержку на видимость. Проверщик ссылочных траекторий на этих частотах планирования видит на несколько шагов вперед, но не может реагировать на резонанс, усиление шума или неустойчивость выше своей частоты обновления. Проверщик команд действует на каждом такте, но его горизонт в один шаг создает динамические ловушки, где каждый мгновенный момент законен, пока не достигнуто невосстановимое состояние.
Размещение также определяет, как механизм принуждения входит в вычислительную ткань. Встроенный в линию механизм принуждения просматривает каждую команду до того, как ее прочтет следующая стадия, что не оставляет непроверенных команд, но помещает его худшее время выполнения на критический путь контура 1000 μs, где перерыв выводит из строя весь цикл. Параллельный монитор на отдельном ядре сохраняет тайминг контура и открывает предохранительный контактор или переводит привод в динамическое торможение при обнаружении нарушения, но его задержки обнаружения и сигнализации, ограниченные циклом монитора и дрожанием шины, должны быть оплачены более широкими запасами или меньшей скоростью.
Поскольку ни одно из одиночных положений не дает одновременно динамического предвидения и мгновенной защиты, архитектуры физического ИИ разрешают это противоречие через двухстадийный шаблон принудительного обеспечения. Этот шаблон отображается на двухпроцессорную реализацию модели машины («Где проходит путь разрешения»):
- Восходящая стадия (рекомендательная предпроверка коридора на прикладном процессоре): Работая на частоте фрагментов (
20на этой машине) на непривилегированном ядре прикладного микропроцессора, эта стадия просеивает многошаговые фрагменты траекторий, выдаваемые обученной политикой, по динамическому коридору остановки при худших параметрах торможения и по статическим огибающим рабочего пространства, прежде чем упаковать путевые точки в арендуемое предложение фрагмента, отправляемое по RPMsg. Стадия носит рекомендательный характер. Она избавляет MCU от предложений, которые были бы отвергнуты, но работает на стороне инициатора границы предложения, поэтому обязательный допуск траектории и ее стоп-суффикса остается за MCU («Поведение на стыке»). - Нисходящая стадия (мгновенный защитный экран CBF-QP на MCU на голом железе): Работая внутри строгого таймерного контура прерываний
1 kHz(1000 μs) на изолированном MCU, эта стадия получает предложенное задание из общей SRAM, проверяет границы ошибки слежения, решает квадратичную программу функции барьера управления активного множества (CBF-QP) в предварительно выделенной статической SRAM и ограничивает сырые команды тока и момента непосредственно перед записью в регистры таймеров PWM. Принудительно обеспечиваемый ею барьер сводится к одношаговому выпуклому проецированию («Безопасные множества как условное разрешение»), время выполнения которого должно быть ограничено на выбранном аппаратном обеспечении.
Рекомендательная предпроверка отсеивает за отсутствием выполнимой остановки до отправки фрагмента, а стадия на стороне привода проверяет текущие наблюдения и команды на каждом такте, но ни одна стадия не может восстановить состояние, уже исчерпавшее тормозной запас.
Правильное размещение не помогает, если входы механизма принуждения разделяют режимы отказа с компонентом, который он проверяет. Механизм принуждения, вычисляющий расстояния столкновений по карте глубины, порожденной той же нейронной моделью восприятия, что планировала движение, обманут той же артефактом вне распределения, поэтому независимое принудительное обеспечение требует независимой сенсорики и изолированных вычислений. MCU считывает энкодеры и концевые выключатели, подключенные к его собственным GPIO и регистрам захвата таймеров, вне виртуального пространства памяти и планировщика Linux, а проверка столкновений считывает лидар безопасности или датчик близости, обработка которых использует детерминированную пороговую логику, а не обученный инференс. Там, где независимого датчика нет, — как для трения под колесами базы или массы груза, которую выводит лишь оценщик, — независимую физическую гарантию построить нельзя, и утверждение сильно лишь настолько, насколько ограничена неопределенность оценщика или премиса, которую заявляет протокол. Каждый инвариант, который механизм принуждения проверяет — восходящий или на клеммах двигателя, — все еще предполагает, что объект управления сохраняет полномочия остановить собственное движение до запретной границы.
Правило независимости монитора
Путь разрешения никогда не должен оценивать оценку состояния, порожденную компонентом, который он призван ограничивать, а равно разделять неперебиваемую шину связи, матрицу памяти или дерево часов с непроверенными процессами. Там, где независимая сенсорика физически невозможна, утверждение безопасности опирается на ограниченную модельную неопределенность оценщика, а не на аппаратное обеспечение.
Огибающие остановки
Главы, которым принадлежит слагаемое остановки, каждая добавила его в бюджет складского мобильного манипулятора у торца стеллажа, и осталось одно слагаемое. Огибающая остановки — множество состояний, из которых проверенный тормозной отклик может остановить движение до границы, а закон необратимости (принцип «Закон необратимости») задает его проверку, , где каждый член взят из измеренного предела этой машины. Резервирование этого отклика стоит достижимой скорости, ибо скорость увеличивает слепой ход линейно, а тормозной путь — квадратично. Машина должна оставаться внутри этой огибающей до того, как произойдет отказ или небезопасное предложение.
Задержка до торможения в остановочном пути раздела «Кинетический импульс» уже включает собственный такт контура разрешения механизма принуждения, который раздел «Многотактные ритмы» закладывает в бюджет через путь аренды. Остается разрыв между ссылочной траекторией и следующим за ней объектом управления.
Путь разрешения закрывает этот разрыв границей слежения из раздела «Что передает трекер» и защищает остановочный путь «остановочный путь тела», уменьшенный на нее врезкой. Заданная ссылочная траектория может быть допущена, лишь если объект управления, способный отстать от нее до , все еще может остановиться внутри . Условие допуска — огибающая остановки:6
Здесь — замедление, которое фактически использует резидентная остановка, равное достоверному замедлению для остановки с постоянным замедлением и меньшее, когда остановка сформирована как в разделе «Поведение на стыке»; — граница локализации, а — фиксированный защитный запас. Левая часть — остановочный путь из «остановочный путь тела» плюс врезка слежения .
При этих допущениях о задержке, оценке и торможении любое предложение траектории, помещающее машину на расстояние меньше по «огибающая остановки» от физического ограничения вдоль направления движения, небезопасно и физически недопустимо. Огибающая остановки фундаментально анизотропна; препятствие позади мгновенного вектора скорости требует запаса только для ошибки слежения по положению .
Для складского мобильного манипулятора врезка равна границе слежения базы 40 mm, и это последнее слагаемое расстояния, которое получает бюджет. На пределе хода 1.5 m/s подобранный стоп-суффикс раздела «Поведение на стыке» уже довел нарастущий итог до 1 194.15 mm, перевалив за свободное расстояние 1.10 m у торца стеллажа. Врезка поднимает его до 1 234.15 mm — на 134.15 mm больше свободного расстояния.
Каждое другое слагаемое «огибающая остановки» теперь закреплено за главой, которой оно принадлежит: достоверное замедление и фиксированные накладные расходы — за «Кинетический импульс», путь аренды — за «Многотактные ритмы», возраст наблюдения — за «Преобразование и калибровка датчиков», форма остановки — за «Поведение на стыке», а врезка — за этой главой. Скорость — единственное слагаемое, которое машина еще может выбирать. При 133.6 ms и 1.33 m/s² у стоп-суффикса («C² стоп-суффикс») «огибающая остановки» выдерживается вплоть до потолка 1.39 m/s. Готовый бюджет поэтому устанавливает скорость хода 1.3 m/s, ниже этого потолка. На скорости хода остановке требуется 997.4 mm, и 102.6 mm свободного расстояния остаются неизрасходованными. «Бюджет остановки складского манипулятора» перечисляет каждую строку на обеих скоростях, а «Бюджет остановки, строка за строкой» изображает их.
| Строка | Добавлено в | Слагаемое | На пределе хода (мм) | Нарастающий итог (мм) | Остаток (мм) | На скорости хода (мм) |
|---|---|---|---|---|---|---|
| 1 | «Кинетический импульс» | Торможение, | 562.5 | 562.5 | 537.5 | 422.5 |
| 2 | «Кинетический импульс» | Накладные расходы, | 150 | 712.5 | 387.5 | 150 |
| 3 | «Кинетический импульс» | Начало торможения, | 30 | 742.5 | 357.5 | 26 |
| — | «Питание, свежесть и стена памяти» | Только время: политика фрагментов может продлить аренду; развертка весов модели намерения 98.0 ms — нет | — | — | — | — |
| 4 | «Многотактные ритмы» | Путь аренды, на 62 ms | 93 | 835.5 | 264.5 | 80.6 |
| 5 | «Преобразование и калибровка датчиков» | Возраст наблюдения, на 51.6 ms | 77.4 | 912.9 | 187.1 | 67.08 |
| — | «Оценка сквозь окклюзию» | Только время: оценка того, что закрытый торец стеллажа свободен, истекает через 31.25 ms, менее двух кадров камер, поэтому память не может ее сертифицировать | — | — | — | — |
| 6 | «Поведение на стыке» | стоп-суффикс, вместо | 281.25 | 1 194.15 | $-94.15$ | 211.25 |
| 7 | «Огибающие остановки» | Врезка слежения, | 40 | 1 234.15 | $-134.15$ | 40 |
| Итого | 1 234.15 | 997.43 | ||||
| Остаток | $-134.15$ | 102.57 |
Бюджет остановки складского манипулятора: Каждая пронумерованная строка — это расстояние, которое добавляет одна глава, при нагрузке и на сухом полу, на пределе хода 1.5 m/s и на скорости хода 1.3 m/s; нарастающий итог и остаток приведены для предела хода относительно свободного расстояния 1.10 m. Строка 6 заменяет торможение с постоянным замедлением резидентной остановкой , поэтому ее вклад — добавленное расстояние. Строки по времени расстояния не добавляют.
Бюджет остановки, строка за строкой: Каждый столбец — нарастущий итог после того, как одна глава добавила свое слагаемое, на пределе хода, с нагрузкой, на сухом полу. Торможение, накладные расходы, начало торможения, путь аренды и возраст наблюдения остаются внутри свободного расстояния; подобранный стоп-суффикс уносит итог за него, а врезка слежения увеличивает превышение. Последний столбец — готовый бюджет на выбранной скорости хода, который укладывается в свободное расстояние с остатком, который расходуют последующие главы.
Готовый бюджет защищает от неподвижного препятствия на — например, человека, вышедшего из-за стеллажа и остановившегося, или упавшего контейнера, — поэтому он предполагает, что препятствие остается там, где было в начале остановки. Человек, продолжающий идти к базе на протяжении всей остановки, закрывает зазор и с дальней стороны («Оценка сквозь окклюзию»), и учет этого приближения сверх готового бюджета ограничил бы базу 0.46 m/s на этом торце стеллажа. Проход, удерживаемый на такой скорости, замедлил бы каждый пробег ради встречи, от которой правило пересечения может держать подальше от остановки, поэтому площадка отвечает идущему человеку правилом, а не скоростью, а раздел «Реестр остаточных утверждений» держит открытым премису, на которой это правило покоится: никто не приближается к торцу стеллажа во время остановки. Таким образом, механизм принуждения гарантирует бюджет против неподвижного препятствия, а не безопасность человека, продолжающего идти в остановку.
Последующие главы расходуют остаток или ограничивают лежащую под ним премису. На скорости хода неизрасходованное расстояние длится 78.9 ms («Переходы полномочий»). Достоверное замедление ограничивает лишь на полах с коэффициентом трения не ниже 0.204, поскольку , поэтому на полу, обследованном до 0.12, потолок падает до 1.09 m/s («Реестр остаточных утверждений»).
Зависший инициатор израсходовал бы больше всего остатка. Будь аренда фрагмента из раздела «Полномочия на отказ» отдана на откуп хосту, последнее предложение, сохранявшее полномочия 200 ms вместо аренды 60 ms, добавило бы к остановке 182 mm и унесло базу на 79.4 mm за свободное расстояние у торца стеллажа.
Тот же бюджет задает размер любой защитной сенсорики, останавливающей базу независимо от инициатора. Мобильная база может обнаруживать торец стеллажа через оцененное по риску защитное поле, спроектированное по применимым стандартам на транспортные средства и машины, включая ISO 3691-4 и ISO 13849, — например, через лазерный сканер безопасности времяпролетного типа, показанный в разделе «Промышленный лазерный сканер безопасности», и это защитное поле должно быть не короче бюджета остановки.
Промышленный лазерный сканер безопасности: Сканер может создавать поле раннего предупреждения и защитное поле. Поле предупреждения запрашивает более раннее замедление; сигнальный выход защитного поля питает контроллер, выбирающий оцененный по риску останов. Длина защитного поля должна включать отклик сканера, задержку контроллера и привода, тормозной путь и неопределенность. Движущийся AMR не становится безопасным от одного лишь снятия момента двигателя.
Условная огибающая остановки: Для базы складского мобильного манипулятора параболическая граница разделяет состояния со смоделированным тормозным запасом и состояния, уже его исчерпавшие. Врезка включает задержку до торможения, более мягкое замедление подобранного стоп-суффикса и допуски локализации, защиты и слежения. Кривые действительны лишь для заявленного достоверного замедления и рабочей огибающей.
На плоскости расстояние–скорость раздела «Условная огибающая остановки» уравнение остановки проводит параболическую границу между состояниями, которые еще могут остановиться, и состояниями, уже исчерпавшими свой запас, а разрыв с кривой чистого торможения — это запас, потребляемый задержкой до торможения, более мягким замедлением подобранного стоп-суффикса и фиксированными допусками. Подобно тому как roofline-модель Williams et al., 2009 ограничивает достижимую пропускную способность пропускной способностью памяти, огибающая остановки ограничивает законную скорость свободным расстоянием — как бы быстро ни предлагала политика фрагментов. Чтобы ехать быстрее, инженер должен повысить достоверное замедление , сократить или ужесточить и .
Эти параметры нестационарны. Предмет в захвате повышает инерцию руки и снижает замедление, которое ее шарниры способны создать в пределах пикового момента, масло на полу снижает сцепление под достоверным замедлением базы, а повторные жесткие остановы нагревают роторы и инверторы до термического снижения номинала («Тепловые циклы нагрузки»). Механизм принуждения, рассматривающий как константу из технического описания, недооценивает огибающую именно под большой нагрузкой, поэтому он должен использовать независимо ограниченную тормозную способность и снижать допустимую скорость при изменении проверенных условий трения, нагрузки или теплового режима; неопределенная оценка сама по себе не может восстановить гарантию.
Адаптация работает, лишь пока оценки состояния механизма принуждения точны, а актуаторы еще способны отдать силу. Если загрязнение уводит сцепление к нулю или длительный цикл нагрузки загоняет обмотки за их потолки, предполагаемое замедление исчезает, и как только требуемый момент превышает то, что аппаратное обеспечение способно создать, механизм принуждения может обнаружить нарушение, но больше не может ему помешать.
Когда у принуждения кончаются полномочия
В теории управления насыщение актуатора — ограниченная нелинейность, добавляющая фазовое запаздывание и вызывающая нарастание накопления в контроллерах обратной связи. Для пути разрешения оно непосредственнее: это мгновение, когда двигатель отдает все, что может, а механизм принуждения теряет мощность, которую предполагает его гарантия безопасности. Когда актуатор достигает своего механического предела (пиковый момент), электрического предела (напряжение шины или отсечка по току) или теплового предела («Тепловые циклы нагрузки»), корректирующее действие не может быть отдано в скомандованной величине, и никакую границу нельзя защитить силой, которую Тело не способно создать.
Огибающая остановки, вычисленная при номинальных допущениях, становится недействительной, как только полномочия израсходованы, ибо момент, затраченный на удержание груза против силы тяжести или подъем на уклон, недоступен для торможения.7 При стационарном моменте смещения эффективное замедление, доступное для гашения вращательного движения, равно:
где — инерция механизма, а — предел пикового динамического момента. В линейных поступательных системах с массой и силой смещения «эффективное замедление» принимает эквивалентную форму . Привод, тратящий три четверти момента на удержание постоянной скорости на уклоне, сохраняет четверть на торможение, что учетверяет его тормозной путь.
Рассмотрим руку складского мобильного манипулятора, несущую кружку с конвейера раздачи вниз к коллеге на станции упаковки, когда нагруженный шарнир опускается с угловой скоростью 1.2 (значения сценария иллюстративны; см. Руководство для читателя). Эффективная длина звена 0.80 m, поэтому рабочая точка движется со скоростью 0.96 m/s, в пределах ограничения 1 m/s для свободного пространства руки; лишь финальное приближение к руке коллеги идет на куда более низкой скорости передачи, которую записывает «Протокол принудительного обеспечения». Инерция шарнира с кружкой 3 kg·m², а пиковый момент шарнира 87 N·m. Без гравитационного смещения () весь пиковый момент доступен для торможения, и угловое замедление равно 29 . Угол остановки с равен 0.0248 (1.42), что перемещает рабочую точку 19.86 mm по ее дуге.
Однако при спуске собственная геометрия руки и кружка нагружают шарнир вниз направленным смещением 65.25 N·m — 75 % его пикового момента. По «эффективное замедление» чистый момент, оставшийся на торможение, равен 21.75 N·m, и угловое замедление падает вчетверо до 7.25 . Угол остановки растет вчетверо до 0.0993 (5.69), и инструмент проходит 79.45 mm — незапланированное превышение на 59.59 mm. Если механизм принуждения оценивает огибающие барьера по моменту из технического описания , а не по чистому запасу , реальная остановка уходит на 59.59 mm дальше предсказанной. Заканчивается ли это превышение на поверхности станции, зависит от запаса, с которого начинается торможение, — его оценивает барьер раздела «Безопасные множества как условное разрешение». Рука коллеги не должна никогда оказываться ближе, чем смещенная остановка руки в 79.45 mm плюс ее слепой ход, до включения канала передачи.
Интегрирующее звено под механизмом принуждения добавляет штраф задержки во время насыщения. Пока актуатор отсечен и ошибка слежения сохраняется, интегратор продолжает накапливать команду, которую объект управления не может исполнить, и когда механизм принуждения командует полное торможение, выход остается прижатым к переднему пределу, пока этот интеграл не раскрутится обратно. Если ошибка накапливалась 200 ms, раскрутка задерживает чистую тормозную силу на 150 ms. На базе мобильного манипулятора на скорости хода 1.3 m/s эта задержка добавляет 195 mm неторможения — почти вдвое больше 102.6 mm, которые готовый бюджет остановки раздела «Огибающие остановки» оставляет в запасе. Ограничение против нарастания, обратный расчет и условное интегрирование устраняют это в контуре Åström and Hägglund, 2006; Franklin et al., 1998; требование принудительного обеспечения — измерить оставшуюся задержку раскрутки и запланировать ее нетормозимое расстояние внутри горизонта остановки.
Насыщение — один из немногих аппаратных отказов с прямым детерминированным детектором внутри пути разрешения. На каждом такте путь разрешения сравнивает скомандованное усилие с осуществимым усилием . Ненулевая разность или регистр состояния инвертора, сообщающий о насыщении по пределу тока, показывают, что актуатор исчерпал свои полномочия, причем длительность и величина ограничения отслеживают оставшиеся полномочия без шумной внешней оценки состояния.
Поскольку израсходованные полномочия сразу меняют остановочный путь, механизм принуждения в реальном времени включает их в огибающую, пересчитывая перед проверкой следующего сегмента траектории. Допустимая скорость падает по мере расходования полномочий, и когда вычисленная остановка больше не помещается внутрь свободного расстояния, механизм принуждения должен скомандовать замедление, пока полномочий еще достаточно.
Исчерпание полномочий должно также доходить до планировщика. Политика 20 , продолжающая командовать ускорения двигателю, о насыщении которого сообщил контур 1 kHz, планирует против Тела, которое не способно их исполнить, поэтому путь разрешения сообщает о насыщении как о нарушении активного ограничения, отзывает активную траекторию и требует перепланирования из ограниченного полномочиями состояния машины.
Инвариант полномочий актуатора
Функция барьера управления, как она сформулирована в разделе «Безопасность и функции барьера управления», математически действительна, лишь пока физические актуаторы сохраняют достаточный запас по току, напряжению и температуре, чтобы отдать вычисленную корректирующую силу: . Когда стационарная сила тяжести или трение израсходуют рабочую огибающую актуатора, механизм принуждения должен динамически сжимать безопасное множество до того, как полномочия управления на границе исчезнут.
Огибающая остановки и запас актуатора
Рассмотрите, как огибающая остановки и лежащие под ней полномочия актуатора ограничивают допустимое движение:
- Квадратичное масштабирование огибающей: Сможете ли вы объяснить, почему бюджет остановки растет быстрее скорости, так что скорость хода задает готовый бюджет, а не предел хода, и почему никакая политика планирования не может обойти этот кинематический пол?
- Транспортное запаздывание против тормозной мощности: Сможете ли вы различить пространственную цену вычислительного транспортного запаздывания () и активного торможения (), определив, какое слагаемое доминирует на низких ползучих скоростях против высоких транспортных?
- Обвал эффективного замедления: Сможете ли вы описать физический механизм, из-за которого остановочный путь учетверяется, когда стационарная сила тяжести потребляет 75 процентов пикового момента актуатора?
- Динамическое сжатие безопасного множества: Сможете ли вы объяснить, почему путь разрешения должен активно сжимать допустимое пространство состояний, когда актуатор приближается к тепловому или электрическому насыщению, а не ждать, пока ошибка слежения нарушит жесткий предел?
Безопасные множества как условное разрешение
Как только учтен его момент смещения, опускающейся руке из раздела «Когда у принуждения кончаются полномочия» требуется 79.45 mm хода инструмента, чтобы остановиться, и этот ход растет с квадратом скорости приближения. Запаса, достаточного на одной скорости, поэтому слишком мало на более высокой, и механизму принуждения нужен предикат одновременно по положению и скорости, который он может оценивать на каждом такте часов управления. В теории управления безопасное множество определяется как суперуровневое множество нуля непрерывно дифференцируемого скалярного сертификата , такого что
Математическая основа прямой инвариантности, заложенная Blanchini Blanchini, 1999, сформулированная через анализ достижимости Гамильтона–Якоби и ядра жизнеспособности Mitchell, Bayen и Tomlin Mitchell et al., 2005 и расширенная через функции барьера управления в работах Ames et al., 2014 и Ames et al., 2019,8 характеризует условия, при которых допустимый контроллер может удерживать состояние в жизнеспособном множестве. Один лишь геометрический запас хода не является этим множеством, когда тормозной момент конечен.
Фильтр безопасности на функции барьера
Фильтр безопасности на функции барьера — это фильтр ограниченной оптимизации, проецирующий непроверенные номинальные предложения управления на безопасное множество с прямой инвариантностью решением квадратичной программы: которая принудительно обеспечивает линейные ограничения тормозных полупространств (), оставляя нетронутыми входы-кандидаты, удовлетворяющие безопасной границе, и минимально проецируя нарушающие входы в пространстве управления.
- Значение: Вместо невозможной задачи доказать формальную безопасность сквозь миллиарды неинтерпретируемых весов нейронной сети фильтр CBF-QP разделяет инновацию политики верхнего уровня и принудительное обеспечение безопасности нижнего. Обученной модели позволено исследовать сложные стратегии манипулирования или навигации, тогда как детерминированный механизм принуждения способен сохранять проверенное жизнеспособное множество, пока его физические допущения остаются истинными.
- Отличие: В отличие от эвристического ограничителя, независимо выводящего каналы управления в насыщение (и разрушающего многоосевую координацию), фильтр CBF-QP выполняет оптимальное ортогональное проецирование в пространстве управления, минимизируя выбранное расстояние в пространстве моментов; он не сохраняет автоматически декартову траекторию.
- Типичная ловушка: Формулирование ограничений барьера на сырых геометрических координатах без учета относительной степени () или тормозной инерции. Если барьер не включает остановочный путь (), фильтр вмешивается слишком поздно — после того как импульс транспортного средства уже сделал столкновение с границей неизбежным.
Когда трекер превращает непроверенные задания обученной политики в номинальный момент , механизм принуждения не прогнозирует весь будущий путь машины. Он оценивает одно неравенство полупространства в текущем состоянии — линейное ограничение, ограничивающее безопасное приближение к границе. Если предложенное действие удовлетворяет , механизм принуждения передает его двигателю нетронутым; если оно нарушает выполнимое полупространство, механизм принуждения проецирует его вектор момента.
Барьер на одно лишь расстояние от руки до поверхности станции зарегистрировал бы опасность, лишь когда импульс уже сделал контакт неизбежным,9 поэтому барьер должен нести кинетический угол остановки ( для скорости приближения и границы торможения ) наряду с положением — требование, следующее из относительной степени. Актуаторы командуют ток и момент, момент создает ускорение, поэтому положение отделено от входа двумя интегрированиями: Эта двухшаговая каскадная связь определяет относительную степень . Однократное дифференцирование запаса дает скорость: Вход пока не появляется, ибо двигатель не может мгновенно изменить скорость. Лишь вторая производная привносит второй закон Ньютона ():
Правило для грубого расстояния не может напрямую ограничить этот вход момента: не содержит . Для приближающейся руки обозначим — оставшийся угловой запас, — ее скорость приближения, , а — проверенную нижнюю границу доступного углового торможения. Определим кинетический барьер
Грубое расстояние имеет относительную степень два; этот зависящий от скорости имеет относительную степень один при . Требование порождает действительное аффинное полупространство момента
В неподвижном состоянии () контроллер использует отдельную проверку допуска «без приближения и ускорения»; он не делит на ноль.
Перенесем сценарий опускающейся руки из раздела «Когда у принуждения кончаются полномочия» в этот барьер: 3 kg·m², 65.25 N·m к станции, 87 N·m, 7.25 , 0.80 m, 1.2 и 10 . Это заявленные входные данные сценария на уровне шарнира; смещение не выводится из одной лишь массы груза. При запасе инструмента 110 mm до поверхности станции 0.1375 и 0.0382 , поэтому «кинетический момент» требует, чтобы шарнир тормозил моментом не менее 80.1 N·m. При 79.45 mm , и требование достигает 87 N·m — полного пикового момента шарнира. При 70 mm оно требует 89.1 N·m — больше, чем шарнир способен создать, поэтому это состояние уже вне смоделированного жизнеспособного множества. Механизм принуждения должен предотвратить вход в него; резервирование, запущенное оттуда, не может вернуть утраченный запас.
Реальная машина не реализует ни точной обратной связи по состоянию, ни мгновенного момента. Нарастание тока статора, дрожание шины и податливость редуктора задерживают и смягчают корректирующее действие, поэтому механизм принуждения оценивает барьер относительно границы, уменьшенной врезкой вызываемого ими худшего тормозного дефицита, и вмешивается раньше по траектории.
Гарантия безопасности, которую дает расчет барьера, строго обусловлена. Утверждение прямой инвариантности требует выполнимого барьера и следующих ограниченных условий; список необходим для этой конструкции и не является исчерпывающим тестом «тогда и только тогда»:
- Точность модели: Номинальная динамика объекта управления и должна воспроизводить истинную динамику системы в пределах сертифицированной границы ошибки параметров.
- Границы возмущений: Внешние силы и несмоделированное трение, действующие на массу, должны строго оставаться в пределах смоделированной огибающей возмущений .
- Полномочия исполнения команды: Физические актуаторы должны обладать достаточным запасом по напряжению, току и температуре, чтобы реализовать скомандованную корректирующую силу без насыщения ().
- Детерминизм решателя: Решатель оптимизации или алгоритм проецирования должны завершаться строго в пределах выделенного бюджета выполнения ().
- Инвариантность дискретизации: Дискретный интервал выборки должен быть достаточно мал, чтобы дрейф состояния между отсчетами не нарушал границу инвариантности в непрерывном времени.
Каждое условие отображается на бюджет. Точность модели и границы возмущений дают идентификация системы и нагрузочные испытания на стенде, полномочия исполнения команды — кривые динамометра и тепловые пределы («Тепловые циклы нагрузки»), детерминизм решателя — статический анализ худшего времени выполнения на MCU, а дискретизация — период контура, который при 1 ms должен удерживать дрейф при удержании нулевого порядка между отсчетами в пределах доли .
Условие, за которым не следит ни один детектор, — это допущение, поэтому путь разрешения прикрепляет к каждому свой детектор: наблюдатель возмущений сравнивает предсказанное и измеренное ускорение на каждом цикле, регистры состояния инвертора и шунты тока сообщают о насыщении актуатора, аппаратный сторожевой таймер и счетчик циклов отсчитывают решателю время до предельного срока, а счетчики отметок времени на шине датчиков ловят дрожание и пропущенные отсчеты.
Когда любой детектор срабатывает, премиса безопасного множества нарушилась, и механизм принуждения не должен пересчитывать барьер по оптимистичным параметрам. Он передает полномочия через выходной селектор резервированию, подобранному по состоянию, чье время отклика и тормозной запас были зарезервированы до отказа; последующие ступени способны лишь ограничить вред, когда жизнеспособное множество уже потеряно. Безопасное множество — действительное разрешение, лишь пока его рабочий контракт цел, и путь разрешения обеспечивает безопасность знанием о том, когда этот контракт нарушился.
Минимальное вмешательство
Предположим, политика фрагментов предлагает задания, из которых трекер вычисляет момент, запрещаемый кинетическим барьером «кинетический момент». Замена обученных команд вручную сконструированным консервативным контроллером выбрасывает компетентность, оправдывающую модель, а жесткое торможение при первой же встрече с границей создает всплески ускорения и прерывает задачу. Принцип минимального вмешательства, напротив, оставляет принятое предложение неизменным, когда оно удовлетворяет каждому активному ограничению, и меняет его лишь тогда, когда проецирование необходимо и выполнимо. Принудительное обеспечение тогда действует как защитный экран (оператор проецирования), принимая предложение как замысел по умолчанию и вычисляя наименьшую поправку, удерживающую систему внутри инвариантного множества.
↰ Предварительное требование: Номинальные задания траектории и упреждающие моменты синтезирует планировщик в разделе «От цели к траектории».
Этот фильтр — CBF-QP из определения «Фильтр безопасности на функции барьера» Ames et al., 2016. На каждом дискретном интервале управления на микроконтроллере на голом железе трекер вычисляет номинальную команду момента на каждом такте по принятой ссылочной траектории («Что передает планирование»), а механизм принуждения решает выпуклую задачу10
где — ограничение момента, выведенное из зависящего от скорости барьера, такого как «кинетический момент»,11 а — проверенная огибающая момента актуатора.
Когда принудительно обеспечивается одно активное линейное ограничение барьера в «квадратичная программа CBF», оптимизация допускает точное ортогональное проецирование в замкнутой форме, выведенное в разделе «Квадратичная программа минимального вмешательства»:
где оптимальный множитель Лагранжа масштабирует вектор минимального вмешательства .
Арифметика проецирования яснее всего на двухосевом манипуляторе с иллюстративными значениями. Его трекер, следующий заданиям от неограниченной нейронной политики, вычисляет номинальные моменты шарниров 3.5, 3 . Предположим, абстрактное полупространство безопасности уже выведено и проверено, с 2, 1 и 5 , с пределами актуаторов по шарнирам 5 . Кандидат дает 10 и нарушает границу на 5 .
По «проецирование CBF», 1, и команда минимального вмешательства равна 1.5, 2 , что точно удовлетворяет полупространству, пока оба шарнира остаются в своих пределах, с нормой вмешательства 2.236 .
Покоординатное ограничение показывает, зачем нужно проецирование. Ограничение шарнира 1 до 2 при пропуске шарнира 2 с 3 дает 7 — все еще 2 за ограничением — и перекашивает вектор момента с 40.6 до 56.3. Таким образом, ограничитель и нарушает ограничение, и искажает команду. Проецирование удовлетворяет ограничению наименьшим возможным изменением момента, хотя оно тоже поворачивает вектор момента, поэтому траекторию рабочего органа все еще нужно проверять по связанной модели объекта управления.
«Кинетический барьер и проецирование момента» показывает оба взгляда. В пространстве состояний (панель a) предложения, пересекающие барьер, отклоняются вдоль врезанной границы ; в пространстве управления (панель b) механизм принуждения проецирует на полупространство , тогда как независимо ограниченный вектор остается вне его.
Кинетический барьер и проецирование момента: Панель (a) схематично показывает зависящую от скорости жизнеспособную границу, врезанную относительно геометрического запаса; одно лишь грубое расстояние имеет относительную степень два для момента. Панель (b) иллюстрирует евклидово проецирование на заданное полупространство момента. Нормаль и порог — абстрактные арифметические входы, а не коэффициенты, выведенные из примера с рукой.
Выбор фильтра связывает математическое условие с измеренным бюджетом выполнения и доступной тормозной мощностью машины. Как резюмирует таблица «Решения фильтра безопасности», архитектурные различия касаются обработки относительной степени, худшего времени выполнения решателя (WCET), гарантий прямой инвариантности и направленной точности. Независимое ограничение может пропустить связанные ограничения; CBF-QP способен принудительно обеспечить выведенное полупространство, если оно выполнимо и завершается внутри проверенного цикла. Прогнозные фильтры Wabersich and Zeilinger, 2021 меняют более длинный горизонт на зависящие от конфигурации вычислительные затраты.
| Фильтр | Вход и условие | Что он может установить | Основная задача валидации |
|---|---|---|---|
| Независимое ограничение момента | Каждая ось проверяется отдельно | Аппаратный предел амплитуды, а не связанный тормозной запас | Испытывать связанный вектор нагрузки и поведение при останове |
| CBF-QP первого порядка | Барьер, чья первая производная содержит вход | Обусловленная инвариантность из жизнеспособного начального состояния | Валидировать модель, выполнимое множество момента и границу цикла |
| Кинетический / барьер высших порядков | Ограничение положения со скоростью и тормозными полномочиями | Обусловленный запас остановки до геометрического контакта | Ограничить момент смещения, задержку, ошибку оценки и дискретизацию |
| Предвычисленная жизнеспособная область | Поиск состояния в допустимом входе | Включение для смоделированной области | Проверить охват поиска и интерполяцию |
| Прогнозный фильтр безопасности | Траектория с конечным горизонтом и терминальное множество | Рекурсивная выполнимость лишь при допущениях о терминальном множестве и тайминге | Ограничить полное время решения и резервирование при тайм-ауте |
Решения фильтра безопасности: Физическое утверждение фильтра зависит от выбранного барьера и проверенного объекта управления, а не от названия алгоритма. Номинальные измерения решения не являются худшими предельными сроками.
Работа рядом с активной границей безопасного множества может порождать дребезг. Если обученная политика повторно предлагает небезопасную команду, дискретное принудительное обеспечение может переключать активное ограничение на последовательных тактах 1 ms. В зависимости от объекта управления и контроллера быстрые изменения момента могут возбудить структурную моду или увеличить нагрев двигателя и износ передачи. Проверенный граничный слой или гистерезис могут уменьшить переключения, но добавляемая ими ошибка слежения должна укладываться в проверенный запас остановки.
Вектор вмешательства также измеряет здоровье восходящей политики. Политика, работающая внутри своего обучающего распределения, дает нулевое вмешательство на большинстве циклов, поэтому рост частоты или величины вмешательств может указывать на дрейф предложения, изменившуюся задачу или изменившийся объект управления. Суммированная за иллюстративное скользящее окно как , эта метрика позволяет пути разрешения помечать расхождение для журналирования или уведомления оператора, пока по-тактовые пределы все еще защищают объект управления.
В этой гетерогенной конструкции защитный экран исполняется внутри таймерного обработчика прерываний 1 kHz на MCU. Ненагруженный цикл захвата, валидации и типичного решения активного множества завершается примерно за 135 — иллюстративную оценку, а не границу. Проверенный путь вместо этого объявляет худшее время выполнения 250 для всего цикла («Таймеры реального времени, сторожевые таймеры и планируемость»), распределенное между стадиями ниже, и вся последовательность должна завершиться внутри предельного срока 400 :
- Вход в прерывание и захват состояния (
30): Аппаратный таймер запускает ISR, и прошивка защелкивает регистры энкодеров колес и шарниров и последний отсчет IMU. - Проверка предложения и аренды (
15): MCU просматривает кольцевой буфер общей SRAM, заполняемый прикладным процессором через RPMsg или общую память. Он проверяет контрольную сумму, подтверждает порядок следования, читает эпоху свидетельств предложения и выполняет две проверки возраста — по ней и по аренде. Верхний возраст свидетельств, на которых построено предложение, проставленный при отправке, не может превышать порог отказа51.8 ms, который складывается из возраста наблюдения51.6 ms, начисленного бюджетом остановки, и границы пересчета часов0.2 ms(«Контракт наблюдений»). Собственный возраст предложения на часах MCU не может превышать аренду фрагмента60 ms. MCU также читает таймер сигнала живости хоста, помечающий хост немым, когда сигнал живости не приходил в течение тайм-аута30 ms. - Проверка контракта слежения (
10): Прошивка оценивает мгновенную ошибку слежения относительно сертифицированной границы . - Решение защитного экрана CBF-QP (
150): Решатель QP активного множества, работающий в предварительно выделенной статической DTCM SRAM («Где проходит путь разрешения»), вычисляет активные неравенства барьера и находит . Фиксированный предел итераций удерживает решение в пределах его доли даже при плохо обусловленной геометрии ограничений; номинальные решения для одного или двух активных ограничений завершаются с большим запасом внутри нее. Динамическое выделение памяти запрещено, ибо поиск в куче не имеет ограниченной длительности. - Выбор выхода и подготовка заданий (
15): Если QP выполним и ограничения соблюдаются, подготавливается как принятые задания для следующего кадра EtherCAT к приводам, чьи контуры тока его применяют и чья точность момента проверяется испытаниями, а не выводится из их частоты; предложение, не прошедшее валидацию, оставляет в силе ранее принятые задания. Если аренда фрагмента истекла, сигнал живости хоста замолчал, общая управляющая шина сообщает о пониженном напряжении, ошибка слежения превышает , насыщение актуатора делает выполнимое множество управления пустым () или сработал детектор рабочего контракта — наблюдатель возмущений или предельный срок решателя, — выходной селектор отзывает политику и выбирает остановку, подобранную по состоянию. В неподвижном состоянии тот же триггер аренды, сигнала живости или пониженного напряжения выбирает вместо этого удержание с питанием. - Завершение и резерв (
30): MCU проверяет запись в регистр и подкармливает собственный сторожевой таймер лишь после успеха цикла. Резерв поглощает разброс стадий выше; цикл, не завершившийся к предельному сроку, передает полномочия резидентному резервированию до следующего такта. Пропущенный такт поэтому стоит базе1.3 mmпути на скорости хода. «Проверка разделения испытаниями» проверяет, удерживается ли заявленный WCET под нагрузкой, чтобы такты не пропускались.
Каждая стадия этого цикла предполагает, что решение возвращает выполнимую команду. Когда насыщение опустошает допустимое множество момента, аренда истекает или цикл перерастает свой предельный срок, проецировать нечего, и путь разрешения должен уже держать отклик, который он способен исполнить без инициатора.
Лестница резервирования
Резервирование должно быть выбрано до того, как допустимое множество станет пустым. Как только оно пусто, резервирование способно локализовать отказ или ограничить вред, но не может обещать избежать пересечения границы. Отклик также не может быть одиночным переключателем. Разрыв питания шины при каждом касании предложения границы барьера порождает нескоординированное замедление и непрерывные срывы миссии, тогда как опора на программную оптимизацию во время сквозного пробоя инвертора («Пределы передачи актуатора») сжигает затворные драйверы раньше, чем успеет запуститься обработчик прерывания. Поэтому путь разрешения держит несколько резидентных откликов и детерминированно выбирает между ними — от выполнимого проецирования до специфичного для объекта управления контролируемого останова или снятия момента.
Подобно тому как арбитраж робототехники на основе поведения и архитектура подчинения Brooks, 1986 позволяют условию выбрать, какой уровень управляет актуаторами, лестница резервирования — это набор из четырех детерминированных откликов (project: QP-проецирование минимального вмешательства; hold: активное удержание положения; stop: контролируемый динамический останов; inhibit: запрет момента привода), каждый из которых работает на исполняющей подложке, пережившей его триггер; путь разрешения выбирает между ними по не пройденной проверке и состоянию объекта управления в момент отказа, а не поднимается по ним по порядку.
Первая ступень, проецирование минимального вмешательства, работает на каждом цикле, пока множество выполнимого управления непусто (), вычисляя с ограничением активными неравенствами барьера в пределах ее доли 150 от цикла. Она преуспевает, лишь пока ограничения барьера и достижимые моменты пересекаются, поэтому путь допуска должен сохранять жизнеспособность до того, как насыщение опустошит . Если невыполнимость все же возникает, MCU отзывает предложение и вызывает лучший доступный отклик, подобранный по состоянию.
Там, где объект управления может быть удержан, а не остановлен, откликом является контролируемое замедление в удержание положения с питанием, аналогичное останову категории 2.12 Путь разрешения гасит движение и удерживает текущую координату под обратной связью замкнутого контура, причем приводы продолжают модулировать ток против силы тяжести и нагрузки. Эта ступень тратит электрическую энергию и накапливает тепловой долг в обмотках («Тепловые циклы нагрузки»), но не изнашивает тормоз и сохраняет кинематическое состояние, поэтому после свежего предложения и проверки состояния механизм принуждения может возобновиться без приводки в исходное положение. На складском мобильном манипуляторе эта ступень отвечает на истекшую аренду или немой сигнал живости лишь в неподвижном состоянии. То же истечение в движении выбирает ступень остановки, ибо резидентная остановка — единственное замедление, чьи время и расстояние бюджет остановки уже допустил. Если слежение превышает свою границу, MCU выбирает проверенную остановку, и удержание остается уместным, лишь пока доступный момент и обратная связь его поддерживают.
Когда движущееся Тело теряет полномочия своего предложения или нарушаются допущения о слежении или модели, откликом является контролируемый динамический останов, аналогичный останову категории 1 по IEC 60204-1. На базе складского мобильного манипулятора эта ступень исполняет резидентный стоп-суффикс, принятый вместе с траекторией («Поведение на стыке»), а не составляет останов в момент отказа. Со скорости хода 1.3 m/s стоп-суффикс достигает пика достоверного замедления 2 m/s², длится 975 ms и покрывает 633.75 mm — тормозное слагаемое, уже зарезервированное в бюджете остановки раздела «Огибающие остановки». Кинетическая энергия, которую снимает остановка, рекуперирует через инвертор в шину постоянного тока («Целостность электропитания»), поэтому емкость шины и тормозной чоппер должны поглотить всплеск без отказа по перенапряжению.13 Снятие питания, если оно предусмотрено, следует за измеренным состоянием покоя.
Отдельная функция привода последней надежды способна запрещать создаваемый двигателем момент. Safe Torque Off (STO) привода сама по себе не разъединяет шину постоянного тока, не приводит механический тормоз и не останавливает движущийся двигатель; двигатель может идти выбегом. На показанной архитектуре внешний контроллер безопасности может также командовать отдельно рассчитанными контактором и пружинным тормозом. Их отклик и тормозная способность должны быть измерены как один специфичный для объекта управления путь, ибо снятие момента, пока нагруженная силой тяжести рука или движущееся транспортное средство все еще зависит от торможения с питанием, может усугубить опасность. На складском мобильном манипуляторе этот путь — STO плюс девять пружинных тормозов, срабатывающих через 30 ms–80 ms после спада тока катушки, — является ступенью запрета, и он не запланирован в бюджете. Он отвечает лишь на потерю собственного цикла MCU, и на нем не покоятся никакие утверждения об останове или снятии.
Потеря питания не идет этим путем. Путь разрешения работает на изолированной шине с поддержкой в течение 2 s («Какой бюджет ограничивает первым»), поэтому просадка общей управляющей шины приходит как флаг пониженного напряжения, и механизм принуждения отвечает на него ступенью остановки. Поддержка переживает самый долгий останов, который механизм принуждения может скомандовать внутри огибающей. Начало остановки следует за флагом в пределах 22 ms, резидентная остановка с потолка 1.09 m/s на полу, обследованном до трения 0.12, занимает 1395.4 ms, а тормоза срабатывают в покое в пределах 80 ms, так что каждый тормоз затянут 1497.35 ms после флага, с запасом поддержки 502.65 ms.
↰ Предварительное требование: Аппаратные зоны срабатывания и динамическое шунтовое торможение нижними MOSFET вводятся в разделе «Полномочия исполнения команды».
Системные инженеры физического ИИ должны различать отказобезопасные и отказоустойчивые объекты управления при настройке терминальных резервирований. Для машины, уже находящейся в механически ограниченном покое, снятие момента привода может быть безопасным после проверки удержания. Однако в недоактуированных, неустойчивых в разомкнутом контуре или высокоимпульсных машинах внезапное обесточивание актуаторов само по себе опасно:
- Летательные аппараты (мультироторы и eVTOL): Снятие момента двигателя роняет аэродинамическую тягу до нуля, превращая летающего робота в баллистический снаряд в неуправляемом свободном падении.
- Динамические шагающие системы (двуногие гуманоиды): При динамическом перемещении на центр масс находится вне опорного многоугольника. Внезапное снятие момента, необходимого для баланса, может вызвать падение; направление и последствия зависят от фазы походки и доступного удержания.
- Высокоскоростные автономные транспортные средства: Снятие управляемого рулевого управления или торможения на загородной скорости может устранить полномочия, необходимые для контролируемого останова; исход зависит от динамики транспортного средства и резервного исполнения команды.
Для таких динамических систем терминальное резервирование не может быть простым нескоординированным отключением питания. Вместо этого путь разрешения должен исполнять детерминированный маневр минимального риска (MRM), работающий на независимом квалифицированном контроллере с необходимыми сенсорикой и полномочиями исполнения команды. Для летающих и шагающих роботов любой контролируемый спуск или восстановление баланса должны быть проверены на оставшиеся полномочия тяги, контакта, энергии и оценки состояния. Дорожному транспортному средству нужен оцененный по риску путь торможения и рулевого управления с питанием. Проводка, несущая запрос снятия момента, — это внешняя блокировка раздела «Полномочия исполнения команды» («Примерная схема аварийного останова»), которая держит пружинный тормоз на собственном пути, ибо снятие момента и гашение движущейся нагрузки — разные функции, несущие разные свидетельства валидации.
Примерная схема аварийного останова: Два контакта аварийного останова питают реле безопасности и входы Safe Torque Off (STO) приводов. Пружинный тормоз показан отдельным путем; внешний контактор питания, если установлен, обеспечивает гальваническое разъединение. Диаграмма иллюстрирует физическую изоляцию; движущийся двигатель может идти выбегом после STO, поэтому физический остановочный путь должен быть независимо проверен для нагрузки и состояния.
Архитектурная необходимость независимых аварийных цепей на аппаратном уровне продемонстрирована историческими последствиями устранения физических блокировок в пользу логики программных решений («Устранение программной блокировки Therac-25»).
Устранение программной блокировки Therac-25
Контекст: AECL Therac-25 был медицинским линейным ускорителем двойного режима ( электроны / рентген) и автоматизированным столом для радиотерапии, управляемым одним мини-компьютером PDP-11 с прошивкой на ассемблере для однопроцессорной системы Leveson and Turner, 1993.
Механизм: В предшествующих моделях (Therac-6 и Therac-20) физическая безопасность обеспечивалась независимыми аппаратными блокировками: электромеханическими микропереключателями, механическими фиксаторами поворотного стола и аналоговыми схемами диодного переключения, физически не позволявшими ускорителю испускать высокотоковый пучок, пока вольфрамовая мишень сглаживания пучка не была механически заблокирована на месте. В Therac-25 инженеры удалили все физические аппаратные блокировки для снижения производственных затрат, передав исключительное принудительное обеспечение безопасности ПО. Одновременно две скрытые программные ошибки обходили программные проверки: общая 8-битная переменная (
Class3) переполнялся с 255 до 0 () при настройке, минуя оценку блокировки; а условие гонки позволяло быстрым нажатиям на терминале (менее 8 секунд) менять рабочие режимы, не сверяя физическое положение поворотного стола с командной энергией высокотокового пучка.Последствия: Между 1985 и 1987 годами шесть пациентов получили массивные радиационные передозировки до (более чем в 100 раз превышающие задуманную лечебную дозу), что привело к катастрофическим радиационным ожогам, тяжелым физическим травмам и гибели нескольких пациентов.
Ответ: Регулирующие органы остановили эксплуатацию машин, что вызвало комплексные расследования, приведшие к современным стандартам инженерии программного обеспечения медицинских устройств, обязательным независимым аппаратным блокировкам безопасности и формальной верификации критичных для безопасности состояний конкурентности.
Системный урок: Чисто программные фильтры безопасности, исполняемые на сложных недетерминированных вычислительных стеках, не могут заменить независимые аппаратные зоны срабатывания на голом железе. Катастрофа Therac-25 — каноническое историческое доказательство того, что устранение физических блокировок в пользу логики программных решений превращает переходные ошибки конкурентности и арифметические переполнения прямо в катастрофические физические выбросы энергии. В физическом ИИ программные функции барьера управления и экраны проецирования во время выполнения — рекомендательные фильтры безопасности; терминальная ступень запрета всегда должна заканчиваться квалифицированными для устройства аппаратными блокировками, такими как Safe Torque Off и механические тормоза.
Ступени обменивают время вмешательства, доступные полномочия управления и стоимость восстановления. Контролируемый останов требует зарезервированного запаса и работающего привода, и специфичный для объекта управления отклик каждой ступени должен быть проверен для состояний, из которых она может быть введена. «Доступные отклики принудительного обеспечения» упорядочивает четыре ступени по условиям отказа, выбирающим каждую из них.
Динамическая лестница резервирования
Динамическая лестница резервирования — это набор резидентных защитных откликов (), из которых детерминированный арбитр выбирает один на каждом такте в соответствии с не пройденной проверкой (нарушение инварианта, перерыв по таймингу или аппаратный отказ) и измеренным состоянием объекта управления, так что один триггер может выбирать разные ступени в движении и в покое.
- Значение: Системы физического ИИ не могут относиться ко всем отказам одинаково; снятие питания актуаторов на динамических, недоактуированных или высокоимпульсных объектах управления (например, шагающие роботы на ходу, мультироторы в полете) может вызвать падение или кувырок, требуя подобранного по состоянию замедления перед терминальным снятием момента.
- Отличие: В отличие от программных обработчиков исключений, раскручивающих стек вызовов или убивающих поток процесса, динамическая лестница резервирования действует против физической инерции, сопоставляя каждой ступени оставшиеся валидные сенсорику, полномочия управления и зарезервированный тормозной запас.
- Типичная ловушка: Читать ступени как эскалацию, в которой нижняя, такая как Safe Torque Off (STO), обеспечивает более быстрое или более безопасное гашение. У каждой ступени свои условия ввода, а ступень запрета снимает момент, сама по себе ничего не гася.
Доступные отклики принудительного обеспечения: Детерминированный арбитр может выбрать выполнимое проецирование момента, контролируемое удержание, контролируемый останов или запрет момента привода в соответствии с текущим отказом и измеренным состоянием объекта управления. Отклики — это альтернативы с разными предпосылками; спуск по диаграмме не означает роста физической безопасности или более быстрого гашения.
Резервирование Cruise после удара (2023)
Контекст: В октябре 2023 года автомобиль с водителем сбил пешехода на пути роботакси Cruise в Сан-Франциско Exponent, Inc., 2023.
Механизм: Транспортное средство Cruise сначала затормозило и остановилось. Затем его система ошибочно классифицировала событие как боковой удар и, отслеживая пешехода лишь прерывисто в секунды до удара, начала уборку на обочину примерно через после контакта. Транспортное средство протащило пешехода около с максимальной заявленной скоростью .
Ответ: Независимая реакция на удар и нахождение под днищем должна отзывать обычные полномочия политики, сохранять торможение и рулевое управление, необходимые для контролируемого останова, и удерживать транспортное средство после остановки.
Системный урок: Маневр после контакта не может выводить свободное пространство по исчезнувшему отслеживаемому объекту. Резервирование должно использовать независимые свидетельства и сохранять способность тормозить и удерживать.
Категории останова IEC 60204-1 называют функции приводов, а не отклики объекта управления, и таблица «Функции останова и физический отклик» разделяет функцию, которую называет каждая категория, и физический отклик, который все еще должен быть испытан.
| Отклик | Момент двигателя и питание | Обязательство физического останова | Надлежащее применение |
|---|---|---|---|
| Допущенная фильтрация | Привод остается активным | Перепроверять выполнимый кинетический барьер и границу слежения на каждом такте | Номинальная работа внутри проверенной огибающей |
| Контролируемое удержание (категория 2 / подобное SS2) | Питание сохраняется для торможения и удержания | Проверять остановочный путь, тепловой запас и поддержку статической нагрузки | Удержание, когда обратная связь и полномочия момента доступны |
| Контролируемый останов с последующим снятием момента (категория 1 / подобное SS1) | Питание сохраняется на время замедления; момент снимается после | Проверять полное торможение и время перехода под нагрузкой | Движущаяся машина с достаточным зарезервированным запасом |
| Снятие момента (категория 0 / подобное STO) | Привод не может создать скомандованный момент; изоляция шины постоянного тока — отдельная функция | Движущийся двигатель может идти выбегом; отдельному тормозу или механическому удержанию нужны собственные время и расчет | Состояние, для которого доказана безопасность потери момента |
Функции останова и физический отклик: Каждая категория останова отображена на называемую ею функцию привода и оставляемый ею на испытание отклик объекта управления. Ни одна категория останова сама по себе не дает рейтинга целостности безопасности, тормоза, гальванической изоляции или гарантированного остановочного пути.
Выбор физического резервирования
Прежде чем выбирать стратегию защитного резервирования, проверьте свое понимание зависящих от состояния режимов остановки, функций безопасности и тайминговых резервов:
- Останов, зависящий от состояния: Почему торможение с питанием может быть безопаснее STO для движущегося AMR, тогда как запрет момента привода может быть уместен после того, как отдельно проверенное удержание удержит неподвижную руку?
- Независимые функции: Что запрещает STO, а какие отдельные функции снимают питание шины или приводят пружинный тормоз?
- Тайминг и запас: Какие измеренные задержки обнаружения, диспетчеризации, привода и тормоза входят в резерв остановки?
- Утраченная жизнеспособность: Что резервирование еще способно сделать, когда допустимое множество момента пусто?
Как принудительное обеспечение дает сбой
Каждая ступень лестницы резервирования предполагает, что исполняющее ее аппаратное обеспечение остается независимым от отказа, который ее выбрал. Вторичный процессор рядом с основным вычислительным модулем выглядит независимым, однако общий стабилизатор, кварц или земляная плоскость могут сбросить, остановить или исказить оба чипа в одно и то же мгновение — как когда замыкание на стороне хоста тянет шину ниже порога микроконтроллера или обратные токи драйвера двигателя подбрасывают землю под его шинами. ПО на любом из чипов не видит этих отказов, поэтому путь разрешения держит собственные питание, часы и землю («Аппаратная изоляция»).
Изолированный механизм принуждения все еще отказывает, когда его вычисления выпадают из фазы с объектом управления, ибо решение, перерастающее свой такт, действует по состоянию, которое машина уже покинула, а в недодемпфированном узле тормозной момент, вычисленный для более раннего состояния, может питать структурный резонанс, а не гасить его. Сторожевой таймер, прерывающий запоздавший цикл, не может отозвать движение, накопленное за время перерыва, поэтому утверждение о тайминге покоится на заявленном WCET и на измерениях под нагрузкой из раздела «Проверка разделения испытаниями».
Механизм принуждения видит объект управления лишь через оценки состояния, поэтому групповая задержка фильтра, податливость передачи, проскальзывание энкодера и дрейф теплового смещения могут удерживать сообщаемое состояние в пределах его границ, пока физическое звено уже их пересекло. Перекрестные проверки по независимым энкодерам или датчикам момента ловят большие расхождения, но медленный дрейф ниже порога остается скрытым до контакта.
Детерминизм гарантирует, что вычисление завершается фиксированным числом циклов с побитово идентичными выходами, но ничего не говорит о том, соответствуют ли уравнения объекту управления. Механизм принуждения, исходящий из премисы трения базы 0.204 на полу, который масло сделало более скользким, отыгрывает резидентную остановку точно по расписанию, пока шины не способны отдать ее замедление, и база проезжает за торец стеллажа при соблюденных предельных сроках. Никакой тайминговый монитор не видит этого отказа, а раздел «Реестр остаточных утверждений» держит открытым его премису о трении.
Конкуренция за общее межсоединение системы на кристалле (SoC) может победить механизм принуждения, соблюдающий собственный предельный срок, ибо всплеск прямого доступа к памяти (DMA) камеры или массивная запись во флеш, удерживающие матрицу шины после решения, добавляются прямо к возрасту команды на приводе, пока инвертор держит последнее задание. Размещение машины держит путь разрешения вне этой шины («Конкуренция за общие ресурсы»), поэтому всплеск на прикладном процессоре доходит до него лишь как возраст свидетельств, и стадия 2 цикла отказывает любому предложению, которое всплеск состарил сверх порога отказа.
Механизм принуждения, размещенный как задача операционной системы реального времени, а не как прерывание на голом железе, добавляет инверсию приоритета на уровне операционной системы, где поток телеметрии низкого приоритета держит мьютекс, нужный механизму принуждения 1 kHz, а поток среднего приоритета мешает держателю работать, и проверка ждет без ограничения. Таймерное прерывание машины и почтовый ящик без блокировок исключают этот случай по конструкции. На механизме принуждения, размещенном в задаче, наследование приоритета (PTHREAD_PRIO_INHERIT) или блокировка с потолком ограничивает ожидание, а раздел «Передача команд вовремя» рассматривает этот отказ на бортовом аппаратном обеспечении.
Ускоритель радиотерапии Therac-25 показывает отказ конкурентности, позади которого нет ничего независимого. Там, где его предшественники имели независимые защитные цепи и механические блокировки, Therac-25 полагался главным образом на ПО, работавшее на том же компьютере, что и лечение, где гонка при вводе данных оператором и однобайтовый счетчик, переполнявшийся до нуля, каждый позволяли машине испустить высокотоковый пучок без установленной мишени Leveson and Turner, 1993. Между 1985 и 1987 годами шесть пациентов получили массивные передозировки, и несколько погибли.
Каждый режим отказа в слое принудительного обеспечения восходит к разрыву независимости или расхождению между внутренней моделью объекта управления и физической реальностью. Сертификат барьера, двухъядерный корпус и планировщик с нулевым дрожанием устанавливают безопасность лишь внутри огибающей, где питание остается изолированным, оценки соответствуют механике и соблюдаются предельные сроки, поэтому механизм принуждения, который будут аудировать по этим отказам, должен заранее заявить эту огибающую: что он предполагал, что проверял на каждом такте и какой отклик выбирает каждая не пройденная проверка.
Протокол принудительного обеспечения
Когда база складского мобильного манипулятора отвергает предложение у торца стеллажа, поздний читатель журнала должен суметь сказать, какой порог не пройден, какой детектор его измерил и какую ступень он выбрал. Протокол принудительного обеспечения — это спецификационный контракт и аудиторский журнал времени выполнения, по которому на каждом такте привод получает либо проецирование на безопасное множество, либо отклик лестницы резервирования, и ничего более.
Протокол потребляет четырех предшественников, взятых из двух линий записей, встречающихся здесь. Офлайн-линия фиксирует, что объект управления может делать и что инициатор показал, что он может делать, а линия времени выполнения фиксирует, что инициатор предлагает сейчас. Протокол траектории из раздела «Контракт траектории» поставляет принятую ссылочную траекторию и ее подобранный стоп-суффикс. Протокол оценки из раздела «Журналы оценки» поставляет спецификации мониторов времени выполнения и каталог пробелов охвата, которые становятся каналами мониторов протокола. Манифест политики из раздела «Манифест политики» поставляет заявленную область эксплуатационного назначения (ODD), и область действительности остается внутри ее выборочной части. Протоколы пределов из раздела «Замер пределов машины» поставляют пределы торможения, начала и актуаторов с их условиями. К ним протокол принудительного обеспечения добавляет то, что гарантирует путь разрешения: проверенную границу слежения , время и расстояние остановки (, ограничивающие длительность и смещение, необходимые для гашения импульса объекта управления), коэффициенты функций барьера управления, период контура, пороги по проверкам с их ступенями лестницы резервирования и область действительности.
↳ Ниже по потоку: Высокочастотные события отказа механизма принуждения наполняют журналы форензических свидетельств, анализируемые в разделе «Журнал полномочий».
Заполненный для машины, протокол фиксирует остановки базы у торца стеллажа, а также область действительности и каналы руки у двери и на станции упаковки:
- Граница слежения составляет
40 mm— врезка строки 7 в «Бюджет остановки складского манипулятора». - Резидентная остановка — стоп-суффикс , который длится
975 msи покрывает633.75 mmсо скорости хода1.3 m/s, либо1125 msи843.75 mmс предела хода1.5 m/s. - Период контура составляет
1 msс заявленным WCET250внутри предельного срока400. Рядом работают три таймера: аренда фрагмента60 ms, сигнал живости хоста100с тайм-аутом молчания30 msи сторожевой таймер5 ms. - Область действительности руки охватывает дверь и станцию упаковки. У двери это целевая ODD из раздела «Журналы оценки», допускающая лишь номинальную планку, собственную нагрузку двери, остановленную базу и охраняемое приближение. На станции упаковки она допускает захват кружки с конвейера под действующей арендой намерения («Аренда намерения») и следующую за ней передачу.
- Каналы руки — это потолки, которые механизм принуждения применяет к рабочей точке. Канал скорости приближения из
runtime_monitor_specsпротокола оценки ограничивает ее до0.03 m/sвнутри зоны двери. Захват кружки идет под пределом1 m/sдля TCP в свободном пространстве. Пока коллега держитaccept_item(«Человеческие полномочия над исполнением команды»), канал передачи ограничивает приближение к руке коллеги до0.10 m/s, ниже потолка контактной силы0.118 m/s, и он включается прежде, чем рука окажется ближе смещенной остановки руки плюс ее слепой ход. - Для базы обычная конфигурация действительна на полах с трением не ниже
0.204, где ограничивает достоверное замедление. Ограниченная конфигурация действительна вплоть до обследованного трения пола0.12; ее стоп-суффикс рассчитан на пик1.177 m/s², который этот пол допускает, и на останов с1 m/sтребуется1274.6 msи637.3 mm, ниже потолка1.09 m/sдля обследованного пола. Каждая конфигурация несет собственный дайджест, а манифест выпуска («Манифест выпуска») называет обе.
Каждая числовая запись протокола несет категорию свидетельств своего протокола пределов («Замер пределов машины») — измеренную, выведенную, из технического описания или иллюстративную, — и категории несут очень разную практическую достоверность. Время остановки базы 975 ms выведено. Оно следует из формы стоп-суффикса и из достоверного замедления, которое само иллюстративно, и предполагает, что привод отдает скомандованный ток, а шины держат пол на протяжении всей остановки. Лишь нагрузочные остановочные испытания на самом полу превращают его в измеренное значение, и эти испытания обнажают то, чего не содержит ни один вывод, — в частности, разброс начала торможения и трение фактической поверхности пола. Даже тогда измеренная выборка представляет границу лишь с обоснованным худшим отказом и заявленными рабочими условиями. Запись категории не позволяет интегратору принять выведенную остановку за измеренный аппаратный предел.
Протокол отображает отдельно квалифицированные пороги на защитные действия, и на машине маршрутизация зависит от того, движется ли Тело. Маршрутизация не опирается на грубые строки ошибок или неколичественные флаги здоровья. База остается на ступени project, где CBF-QP может корректировать команды, пока ошибка слежения удовлетворяет 40 mm, кинетический барьер остается выполнимым, а решатель удерживается в заявленной доле 150 бюджета цикла. Новое предложение, не прошедшее валидацию при действующей аренде, отвергается, и ранее принятые задания остаются в силе до истечения этой аренды. В движении истекшая аренда, немой сигнал живости, флаг пониженного напряжения на общей управляющей шине, ошибка слежения за , насыщение, опустошающее выполнимое множество управления, или сработавший детектор рабочего контракта (наблюдатель возмущений или предельный срок решателя) выбирают ступень stop, которая отыгрывает резидентную остановку на базе и подобранную по состоянию остановку на руке. В покое то же истечение аренды или сигнала живости или тот же флаг пониженного напряжения выбирают ступень hold, ибо не остается движения, которое нужно гасить. Сторожевой таймер MCU 5 ms обнаруживает пропущенные успешные циклы; эта конструкция также предполагает независимо смонтированный выход супервизора или внешнее аварийное отключение, запрашивающие ступень inhibit при отказе MCU. Его полный отклик срабатывания должен быть измерен. Контактор, если установлен, — независимо отсчитываемая функция изоляции питания.
Каждое поле протокола — либо поле целостности, либо порог, который читает одна из этих проверок: последовательный номер и контрольная сумма предложения, его возраст свидетельств относительно порога отказа 51.8 ms (запланированный возраст наблюдения плюс граница пересчета часов), его собственный возраст относительно аренды, граница слежения, потолки скоростей шарниров и скорости изменения момента, запасы барьера, пределы фазового тока и напряжения шины, а также тайм-аут сторожевого таймера. Протокол связывает каждый порог с независимым аппаратным обеспечением, которое его измеряет, и со ступенью, которую выбирает не пройденная проверка. «Контракт состояний принудительного обеспечения» группирует эти ступени по пути полномочий, остающемуся активным после не пройденной проверки, вместе с таймером, запускающим каждую из них.
↳ Раскладка байтов: Поля, типы и единицы протокола принудительного обеспечения приведены в разделе «Протокол принудительного обеспечения».
| Состояние | Триггер и полномочия | Проверка тайминга | Физический отклик, подлежащий валидации |
|---|---|---|---|
PROJECT | Свежее предложение, здоровый сигнал живости, выполнимый кинетический барьер; предложение, не прошедшее валидацию при неистекшей аренде, отвергается, и принятые задания остаются в силе | Цикл ; заявленный WCET полного цикла 250 внутри предельного срока 400 | Отслеживать принятый момент в пределах проверенной ошибки и тормозного резерва |
HOLD | В покое: возраст предложения выше аренды 60 ms, сигнал живости хоста молчит дольше 30 ms или пониженное напряжение общей шины | Истечение обнаруживается на часах MCU в пределах одного такта | Удержание положения с питанием против силы тяжести и нагрузки; возобновление только по свежему принятому предложению |
STOP | В движении: истечение аренды или сигнала живости, пониженное напряжение общей шины, ошибка слежения за , пустое выполнимое множество управления или сработавший наблюдатель возмущений либо предельный срок решателя, пока доступно торможение с питанием | Включать обнаружение, диспетчеризацию, нарастание привода и отклик тормоза | Резидентная остановка на базе, подобранная по состоянию остановка на руке; измеренный остановочный путь под нагрузкой; никаких утверждений после утраты жизнеспособности |
INHIBIT | Независимо смонтированный супервизор или внешнее аварийное отключение обнаруживает потерю цикла MCU | Предполагаемое обнаружение 5 ms плюс измеренный отклик привода, контактора или тормоза | STO снимает момент двигателя, и пружинные тормоза срабатывают после спада тока катушки; не запланировано в бюджете, поэтому на нем не покоятся утверждения об останове |
Контракт состояний принудительного обеспечения: Предложение 20 , аренда фрагмента 60 ms, сигнал живости хоста 100 и контур MCU 1 kHz имеют различные пути продления и отказа.
Ни одна гарантия принудительного обеспечения не действует, когда машина работает вне своей спроектированной физической среды, поэтому протокол ограничивает динамику объекта управления явной областью действительности. Потолок руки у двери покоится на свидетельствах. Одна лишь арифметика допустила бы приближение политики фрагментов на 0.10 m/s из раздела «Полномочия на отказ», чей предельный срок контакта 2.5 ms все еще превышает контур контакта 2 ms, но ни демонстрации, ни оценочные испытания, стоящие за политикой, не включают эту скорость («Журналы оценки»), поэтому механизм принуждения проецирует предложение до 0.03 m/s и журналирует канал, который его ограничил. Потолок передачи, напротив, покоится на контактной модели, располагаясь ниже потолка контактной силы — скорости, на которой незапланированное касание руки коллеги достигло бы контактного критерия («Человеческие полномочия над исполнением команды», — и более быстрое предложение проецируется и журналируется тем же образом.
Живое состояние вне области действительности, обнаруженное оценщиками машины, — например, нагрузка, никогда не объявленная в манифесте, — отвергается как любая другая не пройденная проверка, а супервизорские мониторы, помечающие его, отзывают диспетчеризацию политики и выбирают подобранную по состоянию остановку. Пол ниже премисы трения базы не является таким состоянием, ибо ни один датчик на машине не наблюдает трение под ее колесами. Обычная конфигурация поэтому покоится на этом трении как на премисе, а ограниченная конфигурация — на обследовании пола («Реестр остаточных утверждений»).
Протокол принудительного обеспечения связывает предложенное движение с проверенными допущениями, порогами и наблюдаемым резервным откликом. Исполняющая платформа все еще должна выдерживать свой тайминговый и физический тормозной контракт под нагрузкой. Механизм принуждения, размещенный на общей шине памяти, может быть математически верифицирован и все же зависнуть, когда эта шина насыщается во время высокоскоростного транзитного маневра, и тогда отказ происходит во времени, а не в логике.
Заблуждения и ловушки
Физическое принудительное обеспечение останавливает машину до столкновения, лишь пока его исполнение своевременно, а обратная связь по состоянию пригодна. Поэтому тесты отказов проверяют отклик, когда любое из этих допущений нарушено, а не одни лишь номинальные уравнения фильтра.
Заблуждение и ловушка
Ловушка: Полагаться на то, что компьютеры политики верхнего уровня способны исполнить грациозное завершение работы.
Прикладной процессор складского мобильного манипулятора терпит панику ядра, пока база едет на
1.3 m/s. Отказавший хост не может сгенерировать траекторию замедления, а снятие разрешения привода до нулевого момента оставило бы базу идти выбегом к торцу стеллажа. MCU вместо этого обнаруживает немой сигнал живости в пределах тайм-аута30 ms, прочно внутри пути аренды, который резервирует бюджет, и отыгрывает резидентный стоп-суффикс , останавливающий базу за975 msна633.75 mm. Обработчик завершения работы хоста может координировать упорядоченную остановку при нормальной работе, но защита от отказа хоста требует пути остановки, запаса и полномочий момента, которые остаются после исчезновения хост-процесса.
Заблуждение и ловушка
Заблуждение: Математически корректный фильтр безопасности гарантирует безопасность, даже когда лежащая в основе обратная связь по состоянию дрейфовала.
Граница слежения базы
40 mmограничивает разрыв между ссылочной траекторией и состоянием, которое сообщают ее энкодеры колес, а не разрыв между этим состоянием и полом. Проскальзывание колес или смещенный энкодер могут сделать базу кажущейся дальше от торца стеллажа, чем она есть, и решатель CBF-QP тогда удовлетворяет своему неравенству на дрейфовавшей оценке, пока физическая база расходует запас, которого бюджет ей никогда не давал. Лишь независимый канал — такой как IMU или дальность сканера безопасности до стеллажа — обнажает расхождение, и лишь пока отказ наблюдаем через него. Квалификация должна ограничить, насколько далеко оценка может дрейфовать до обнаружения, и бюджет должен нести эту ошибку в допуске локализации, ибо врезка слежения не может ее поглотить.
Заблуждение и ловушка
Ловушка: Увязывать полномочия безопасности торможения со стохастической семантической классификацией, а не с детерминированным пространственным запасом.
Когда торможение зависит от восходящей классификации и предсказания траектории, обнаруженный объект все равно может не запустить эффективную остановку. При столкновении в Tempe в марте 2018 года («Хронология обнаружения и торможения в Tempe») экспериментальная система автоматизированного вождения впервые обнаружила пешехода за до удара, но не предсказала ее траекторию. Она распознала неизбежное столкновение за до удара, на одну секунду подавила свой план движения, затем спланировала плавное замедление, а не аварийное торможение; отчет NTSB не говорит, что фильтр Калмана сбрасывался при каждой смене классификации. Штатные функции предупреждения о столкновении и аварийного торможения Volvo были отключены во время работы ADS («Когда граница отказывает»). Независимая проверка геометрического запаса требует собственных проверенных сенсорики, тормозных полномочий и тайминга. Она отказывает по расстоянию и скорости сближения, какую бы метку объект ни носил.
Хронология обнаружения и торможения в Tempe: NTSB сообщает о первом обнаружении за до удара и распознавании неизбежного столкновения за до удара. ADS подавила свой план движения на одну секунду, а затем спланировала плавное замедление; аварийное торможение не выполнялось. Классификация и предсказание траектории дали сбой. Функции предупреждения о лобовом столкновении и автоматического аварийного торможения Volvo были отключены, пока работала экспериментальная ADS. Отчет не говорит, что фильтр Калмана сбрасывался при каждой смене метки. (Адаптировано из NTSB/HAR-19/03 National Transportation Safety Board, 2019.)
Итоги
Система физического ИИ относит разрешение актуаторов на путь, независимый от обученных предложений. Кинетический барьер может помочь сохранить проверенное жизнеспособное множество, когда ошибка состояния, несоответствие модели, исполнение команды и задержка отклика остаются внутри своих заявленных границ. Если тормозные полномочия или запас утрачены, механизм принуждения может отозвать предложение, но не может заявлять, что последующее резервирование восстановит исходное безопасное множество.
Физический запас, защищающий машину, никогда не является статическим геометрическим измерением. Это составной запас, складывающийся из задержки до торможения, торможения под достоверным замедлением, допусков локализации и защиты и границы слежения. Складской мобильный манипулятор на скорости хода 1.3 m/s показывает сумму. Слепой ход за берет 173.68 mm, стоп-суффикс остановки — 633.75 mm, граница локализации и защитный запас — 150 mm, врезка слежения — 40 mm. Вместе им требуется 997.43 mm из 1.10 m свободного расстояния у торца стеллажа, и остается 102.57 mm. Бюджет, учтя лишь торможение с постоянным замедлением, допустил бы предел хода, где готовый бюджет переваливает за свободное расстояние.
Планировщик проверяет будущую траекторию; локальный кинетический барьер проверяет текущее предложение относительно смоделированной способности остановиться. Для движения с управлением моментом грубый запас имеет относительную степень два. Зависящий от скорости барьер из «кинетический барьер» порождает аффинное условие момента из «кинетический момент» при положительной скорости приближения. Эта локальная вычислительная процедура все еще зависит от зарезервированной остановки, точного состояния и своевременной доставки момента.
Пути разрешения нужен независимый отклик, когда источник предложений зависает. На складском мобильном манипуляторе аренда фрагмента 60 ms, тайм-аут сигнала живости хоста 30 ms и сторожевой таймер MCU 5 ms обнаруживают разные отказы. MCU отзывает полномочия предложения и выбирает предварительно проверенный отклик, подобранный по состоянию; снятие момента отвечает лишь на потерю собственного цикла MCU, ибо любой другой триггер, который маршрутизирует протокол, выбирает запланированную остановку в движении или удержание в покое.
Протокол принудительного обеспечения — это место, где встречаются две линии записей. Каждая запись сохраняет свою категорию свидетельств, поэтому протокол заявляет, что путь разрешения предполагал, столь же явно, как и то, что он проверял.
Обусловленное принудительное обеспечение и физическая остановка
- Слежение — ограниченная премиса: Стационарная ошибка не ограничивает переходный процесс, поэтому врезка запаса требует переходной границы, проверенной на полном маневре в рабочей огибающей.
- Готовый бюджет задает скорость: Слепой ход, торможение под резидентной остановкой, переходная ошибка слежения и ошибка оценки положения входят в одну проверку допуска, поэтому свободное расстояние, а не предел хода, решает, как быстро машина может двигаться.
- Управляемый барьер включает скорость: Грубое расстояние имеет относительную степень два для момента. Кинетический барьер остановки дает полупространство момента при положительной скорости приближения, в пределах рабочего контракта барьера.
- Резервирование зависит от состояния: Выполнимое проецирование, удержание с питанием, контролируемое торможение и запрет момента привода имеют разные предпосылки. Пустое допустимое множество не может гарантировать безопасную остановку.
- Независимые часы обнаруживают разные отказы: Возраст свидетельств, возраст предложения, сигнал живости хоста, ход цикла MCU и внешние аварийные отключения проверяются раздельно; ни один тайм-аут не является универсальной гарантией торможения.
- Отказ должен оставить запись: Протокол принудительного обеспечения связывает каждый порог с детектором, который его измеряет, и со ступенью, которую выбирает не пройденная проверка, поэтому премисы каждой гарантии могут быть испытаны на кремнии и оценены при выпуске.
Лестница резервирования превращает закон «предложение — не разрешение» в проверку, которую MCU исполняет на каждом такте, ибо каждая не пройденная проверка выбирает ступень, зарезервированную до отказа, а инициатор не может ни задержать этот выбор, ни переопределить его. Кинетический барьер увязывает этот закон с необратимостью, делая разрешение зависящим от скорости наряду с положением, ибо состояние, из которого резидентная остановка уже не помещается, потеряно до касания любой границы.
От сертификатов барьера к гетерогенному размещению на SoC
Могут ли обученные инициаторы делить шасси и шину памяти с путем разрешения, не задерживая его? Протокол принудительного обеспечения объявляет худший цикл внутри предельного срока разрешения на каждом такте. Этот предельный срок — утверждение о кремнии, и результат барьера действует, лишь пока путь разрешения его выдерживает. В разделе «Размещение на кремнии» мы разделяем обученных инициаторов и путь разрешения по вычислительным тканям и называем испытания под нагрузкой, которые показали бы, могут ли голодание памяти, троттлинг тактовой частоты или конкуренция за шину задержать разрешение или резервирование, записывая их в протокол размещения.
-
Функции барьера управления и прямая инвариантность: Функции барьера управления задают непрерывно дифференцируемый сертификат на допустимом безопасном множестве , принудительно обеспечивая ограничение на производную направленного запаса . Принудительное обеспечение этого неравенства делает инвариантным в прямом смысле: состояния, инициализированные в жизнеспособном множестве, могут оставаться там, пока барьер выполним и заявленные допущения о модели и тайминге соблюдаются. При приближении к границе ограничение вынуждает противодействующие входы исполнения команды, которые гасят импульс до возможного физического контакта. ↩
-
Квадратичное программирование активного множества для защитных экранов: На микроконтроллере на голом железе решатель активного множества, ограничивающий свои линейные ограничения активными контактами границы и не выделяющий динамической памяти, может ограничить завершение фиксированным пределом итераций на проверенной платформе; универсального предела из типа решателя не следует. Если численная плохая обусловленность препятствует сходимости до предельного срока контура, решатель корректно прерывается в резервное автономное замедление. ↩
-
Жесткость слежения замкнутого контура и границы возмущений: Постоянная сила и эффективная жесткость замкнутого контура определяют статический прогиб. Переходное слежение зависит также от инерции, демпфирования, формы команды и насыщения. Возмущения вне проверенной огибающей обесценивают заявленную трубу; им не требуется порождать экспоненциальное расхождение. ↩
-
Сообщения между удаленными процессорами: Linux RPMsg обеспечивает обмен сообщениями на основе virtio между процессорами. Владение буферами, копирования, задержки диспетчеризации и худшее время передачи зависят от платформы; OpenAMP предлагает отдельный API без копирования. Аренда требует измеренного ограниченного пути доставки. ↩
-
Аппаратные аварийные цепи и зоны срабатывания PWM: Настроенный внешний вход аварийного разрыва таймера, например
TIMx_BKIN, может принудительно перевести выходы PWM в заданное состояние, не дожидаясь прерывания.EPWM_TZFRC— механизм программного принуждения, а не внешний вход срабатывания. Состояние выхода и время отклика зависят от таймера, затворного драйвера, монтажа и квалификационных испытаний; срабатыванию по-прежнему требуется физически пригодный путь остановки. ↩ -
Кинематический остановочный путь и компоненты задержки: Уменьшенный на врезку остановочный путь в этой модели складывается из пяти слагаемых: слепого хода, тормозного пути под достоверным замедлением, границы локализации, фиксированного защитного запаса и переходной границы слежения. Пропуск вычислительного транспортного запаздывания или ошибки слежения ведет к преждевременному вторжению на физические препятствия до того, как сможет включиться пиковое торможение. Формальные кинематические выводы см. в разделе «Кинематические огибающие остановки и запаздывание информации». ↩
-
Момент смещения актуатора и потеря запаса остановки: Когда актуатор выделяет постоянный базовый момент на противодействие гравитационной нагрузке или стационарному трению, доступный запас аварийного торможения пропорционально обваливается. На вертикальных и сильно нагруженных осях это истощение чистого динамического момента заставляет остановочные пути учетверяться под внешне скромными нагрузками смещения. Подробный вывод насыщенных полномочий и сжатия запаса остановки см. в разделе «Безопасность и функции барьера управления». ↩
-
Теорема Нагумо о жизнеспособности и касательные конусы границы: Теорема Нагумо устанавливает, что замкнутое множество инвариантно в прямом смысле тогда и только тогда, когда вектор скорости системы принадлежит касательному конусу множества в каждой граничной точке. Функции барьера управления синтезируют это геометрическое условие в аффинные ограничения неравенств реального времени на момент актуатора. Нарушение этого условия субтангенциальности вызывает немедленный выход из множества, делая последующее принудительное обеспечение границы недостижимым; см. раздел «Безопасность и функции барьера управления». ↩
-
Относительная степень и сертификаты барьера с учетом инерции: Когда барьер безопасности контролирует положение, а актуатор командует момент, управляющий вход отделен от ограничения двумя интегрированиями по времени (). Принудительное обеспечение пространственного барьера нулевого порядка без встраивания кинетического остановочного пути создает задачу оптимизации с нулевыми полномочиями управления на границе. Барьер, зависящий от скорости, способен поддержать аргумент обусловленной прямой инвариантности, пока торможение остается выполнимым и соблюдаются запасы состояния, задержки и слежения; см. раздел «Безопасность и функции барьера управления». ↩
-
Худшее время выполнения и сложность QP активного множества: На микроконтроллерах безопасности на голом железе QP-фильтры безопасности исполняются в статических массивах памяти с фиксированными пределами итераций. Хотя типичные времена решения активного множества лежат между , решение без ограничения может продлиться до при плохо обусловленной или почти вырожденной геометрии ограничений — дольше всего предельного срока разрешения. Фиксированный предел итераций существует, чтобы исключить этот случай. Он ограничивает решение заявленной долей цикла, поэтому бюджет тайминга покрывает ограниченный решатель, а не неограниченный худший случай. ↩
-
Функции барьера управления и производные Ля: В нелинейной теории управления неуправляемый дрейф и полномочия управления актуатором формализуются производными Ля ( и ). Когда граница безопасности имеет относительную степень один, управляющий вход появляется прямо в первой производной по времени функции барьера, давая мгновенное аффинное ограничение на скомандованный момент. Если относительная степень равна двум, механизм принуждения должен вычислять производные высших порядков, чтобы насыщение актуатора не сделало нарушения границы неизбежными; см. раздел «Безопасность и функции барьера управления». ↩
-
Функции останова машин: IEC 60204-1 различает неуправляемое снятие питания (категория 0), контролируемый останов с последующим снятием питания (категория 1) и контролируемый останов с сохранением питания (категория 2). Функции приводов IEC 61800-5-2, такие как STO, SS1 и SS2, могут реализовывать части этих откликов. Требуемый уровень работоспособности, архитектура цепи и подходящий останов определяются оценкой риска, специфичной для машины; ISO 13849-1 не предписывает одного универсального PL или числа каналов. ↩
-
Тормозные чопперы и ограничение перенапряжения шины постоянного тока: При рекуперативном останове категории 1 механическая кинетическая энергия течет через мост инвертора в конденсаторы шины постоянного тока (). Достаточно рассчитанные чоппер и резистор способны рассеивать энергию при росте напряжения шины постоянного тока; пороги переключения, энергия импульса и тепловое поведение должны быть проверены для профиля остановки. Другие конструкции используют механическое рассеивание или аккумулятор, способный принимать рекуперацию. ↩
Размещение на кремнии
Цель
Почему обученная модель способна задержать проверку безопасности, которая выполняется на другом ядре процессора?
На схемах программной архитектуры путь предложения и путь разрешения часто изображены как чисто разделенные функциональные блоки. На физическом кремнии разнородные программные компоненты неизбежно конкурируют за общие аппаратные ресурсы: шины памяти, сети распределения питания, деревья тактовых сигналов и пути теплоотвода. Высокопроизводительный всплеск нейронного инференса способен насытить общее межсоединение памяти или вызвать индуктивную просадку напряжения на питающих шинах, задерживая проверку безопасности, выполняемую на соседнем ядре процессора, пока физическое шасси продолжает выбег.
Программные кольца привилегий управляют разрешениями адресного пространства, а не планированием транзакций или задержками очередей DRAM. Поэтому логическая изоляция не способна гарантировать худшее время выполнения при пиковой конкуренции. Проверить предельные сроки способно лишь эмпирическое стрессовое измерение под враждебными нагрузками. Для принудительного обеспечения гарантий реального времени необходимы изоляция на аппаратном уровне, выделенные каналы памяти или физически отдельные анклавы микроконтроллера. В стеке физического ИИ аппаратное размещение задает вычислительный фундамент Нервной системы, гарантируя, что детерминированные проверки принудительного обеспечения завершаются до того, как команды пересекут каузальную границу.
Цели обучения
- Перечислить ресурсы памяти, межсоединений, питания, тактовых сигналов, сброса и теплоотвода, которые делят пути предложения и разрешения
- Объяснить, почему средняя загрузка шины не может ограничить предельный срок, опираясь на размер транзакции, политику очередей и тайминг банков
- Задать размер окна обслуживания оконного сторожевого таймера по измеренному дрожанию завершения для неблокирующего обмена записями между двумя путями
- Проанализировать, как просадка шины и термический троттлинг растягивают время выполнения пути разрешения на разных временных масштабах
- Спроектировать загруженное стрессовое испытание, порогом фальсификации которого служит заявленное худшее время выполнения пути разрешения
- Выбрать между резервированием, разбиением, сокращением нагрузки и переносом по измеренным помехам и временному допуску аренды
- Построить протокол размещения, фиксирующий область действия загруженных наблюдаемых максимумов, меры устранения и непроверенные условия для рассмотрения выпуска
Кремниевая подложка
Складской мобильный манипулятор несет свой прикладной процессор и свой путь разрешения в одном шасси. На схеме его программной архитектуры граница предложения между Мозгом и Нервной системой — чистая пунктирная линия. Барьерный фильтр и лестница резервирования раздела «Обеспечение безопасности» сохраняют свои гарантии, только пока путь разрешения завершает свою проверку внутри предельного срока на каждом такте, а это условие зависит от того, где выполняется проверка, чего схема не показывает. На физическом кремнии пунктирная линия способна схлопнуться на один общий кристалл. Предположим, оба пути работали бы на одной гетерогенной системе на кристалле (SoC) — размещении, которое эта машина отвергает. Политика фрагментов и модель намерения исполнялись бы на встроенном акселераторе, а путь разрешения — на соседнем ядре реального времени. Когда модель намерения начинает проход инференса по своим весам с миллиардами параметров, одновременно активируются миллиарды транзисторов. Этот всплеск тока () наводит индуктивную и резистивную просадку напряжения () во внутренней сети распределения питания (PDN) кристалла, рискуя нестабильностью тактовой частоты и нарушениями времени установления в соседней логике реального времени.1 Одновременно плотные тензорные матричные перемножения насыщают общую шину памяти LPDDR, передавая гигабайты карт активаций и вытесняя закрепленные сенсорные таблицы механизма принуждения из кеша последнего уровня.
Когда путь разрешения читает сенсорный буфер, а рабочая нагрузка предложения занимает общий контроллер памяти, его запросы встают в очередь за трафиком прямого доступа к памяти, и ожидание способно израсходовать ту долю предельного срока, которая была нужна вычислению механизма принуждения. Логическая привилегия ничего не делает против этого ожидания, ибо она управляет тем, к каким адресам может прикасаться задача, а не тем, где ждут ее запросы в очереди памяти.
↰ Предварительное требование: Аппаратные ритмы выполнения и тайминговые циклы микроконтроллера заданы в разделе «Многотактные ритмы».
Обе работы машины ощутили бы связь общего кристалла. Для базы класса 1 остановка памяти во время извлечения признаков задерживает отказ пути разрешения, пока нагруженная база приближается к торцу стеллажа, и каждый такт задержки сверх того, что считает бюджет остановки, — это ход, который она никогда не резервировала. Для руки класса 2 всплеск акселератора, вытесняющий таблицы пути разрешения из общего кеша, задерживает проверку контакта, пока захват давит на дверцу клетки с пружинной защелкой.
Согласно сквозной аргументации в системном проектировании Saltzer et al., 1984, защита памяти и изоляция процессов операционной системы сами по себе не устанавливают операционную независимость. На гетерогенном кристалле2 операционная независимость требует, чтобы активность на стороне предложения не могла вынести выполнение принудительного обеспечения за его жесткий физический предельный срок и чтобы отказы или тепловые перегрузки на стороне предложения не могли лишить путь разрешения полномочий на отказ.
Поскольку этими связями управляют физические твердотельные явления, а не программные абстракции, архитектурные заявления об изоляции следует рассматривать как гипотезы, подлежащие фальсификации измерением. Проверка такого утверждения требует четырех инженерных шагов: инвентаризации каждого общего кремниевого ресурса и его претендентов; стрессовой кампании, которая доводит путь предложения до худшей конкуренции за вычисления, память и шину, записывая распределение задержек и наблюдаемый максимум пути разрешения; измерений просадки напряжения и температуры перехода под непрерывной нагрузкой; и протокола размещения, который сопоставляет наблюдаемые максимумы с предельным сроком вместе с условиями, оставшимися непроверенными. Эти шаги повторяются в остальной части главы, которая рассматривает общий кристалл как размещение, отвергаемое машиной, а дискретный контроллер — как используемое ею. Она начинается с того, что должен вычислять каждый путь, где он работает и сколько запаса он сохраняет, когда с ним ничего не конкурирует.
Историческая эволюция архитектур физического ИИ укоренена в физических пределах полупроводникового масштабирования («Пятьдесят лет масштабирования микропроцессоров (1975–2025)»). За пятьдесят лет прогресса микропроцессоров (1975–2025) вычислительные системы пересекли две крупные архитектурные границы. В эру классического масштабирования (1975–2004) закон Мура и масштабирование Деннарда позволяли тактовой частоте экспоненциально вырастать с до без роста плотности тепловой мощности. Автономная робототехника шла на этой волне напрямую, переходя от миникомпьютеров вне робота, связанных кабелем (Shakey), к бортовым стойкам VMEbus (CMU Navlab 1) и встроенным материнским платам x86 (Stanford Stanley).
Когда масштабирование Деннарда рухнуло в 2004 году, статические токи утечки ограничили частоту одноядерных процессоров величиной около , остановив эру частотного масштабирования. Промышленная робототехника адаптировалась архитектурами с разделением: детерминированные микроконтроллеры взяли на себя подсчитываемые по циклам контуры коммутации двигателей полевой шины на , а прикладные процессоры занялись многопоточной генерацией траекторий. С приходом высокоемкого глубокого обучения и фундаментальных моделей зрение–язык–действие (VLA) физический ИИ встретил второе, жесткое аппаратное ограничение: тепловой и батарейный потолок полезной нагрузки мобильного робота (). Серверные акселераторы, потребляющие , невозможно термически рассеять или запитать от батареи на автономном мобильном манипуляторе или гуманоиде. Это ограничение вынудило к применению специализированных акселераторов (DSA) и гетерогенных периферийных систем на кристалле (таких как NVIDIA Jetson AGX Orin и Drive Thor), увеличивших плотность бортовых вычислений на девять порядков () при строгом соблюдении мобильных пределов мощности. Самое последнее препятствие: последовательное декодирование токенов в авторегрессионных VLA уперлось в стену когнитивного обдумывания (), что подтолкнуло переход к потоковому сопоставлению (flow matching) и диффузионным политикам с временным фрагментированием действий, возвращающим частоты замкнутого контура управления к .
Пятьдесят лет масштабирования микропроцессоров (1975–2025): Вверху: количество транзисторов (закон Мура), тактовая частота и пиковый серверный TDP против теплового бюджета полезной нагрузки мобильного робота (), показывающие разрушение масштабирования Деннарда 2004 года на . Внизу: плотность бортовых вычислений при полезной нагрузке (GFLOPS и эквивалент TOPS, рост ) против частоты обдумывания контура восприятие–действие (Гц), сопоставляющая детерминированный базис полевой шины , стену обдумывания авторегрессионных VLA и фрагментирование действий потокового сопоставления . (Вехи адаптированы по Karl Rupp и базе данных Stanford CPU).
Соединение высокоемкого нейронного обдумывания с периферийным кремнием требует иных принципов компиляции, нежели универсальные облачные вычисления. Облачные движки инференса оптимизируют среднюю пропускную способность (токены в секунду) динамической группировкой пакетов, трассировкой графа во время выполнения и выделением памяти из кучи (malloc). В овеществленной системе физического ИИ эти практики опасны. Динамическое выделение памяти вносит фрагментацию кучи и конкуренцию за блокировки распределителя, а компиляция в момент запуска и ошибки подкачки добавляют многомиллисекундную хвостовую задержку (), которая прямо крадет запас остановки («Огибающие остановки»). Поэтому периферийные компиляторы физического ИИ принудительно обеспечивают предварительную (AOT) статическую компиляцию графа: топология графа выполнения навсегда заморожена, размеры тензоров фиксированы, и каждый промежуточный буфер активаций отображается на статическое, предварительно выделенное смещение физической памяти до начала исполнения команды, гарантируя нулевое число динамических выделений во время выполнения.
Помимо устранения хвостовой задержки, компиляция на периферийных SoC управляется термодинамикой и стеной памяти. Как установлено в разделе «Питание, свежесть и стена памяти», перемещение данных по внешней шине динамической памяти (DRAM) потребляет примерно больше энергии на бит, чем арифметические операции внутри кремниевых регистров или статической памяти (SRAM). На автономном мобильном роботе, работающем в тепловом бюджете полезной нагрузки , передача промежуточных тензоров активаций туда и обратно по шине DDR быстро исчерпывает теплорассеивающую способность шасси. Слияние операторов компилирует многослойные подграфы (такие как свертка + смещение + активация или проекция внимания + LayerNorm) в единые слитые ядра, исполняемые целиком внутри кремниевых регистровых файлов и локальных кешей SRAM и устраняющие трафик внешней памяти. Параллельно снижение числовой точности (квантование весов и активаций с FP32/FP16 вниз до INT8 или FP4) действует как прямой множитель пропускной способности шины памяти. Уменьшение разрядности операндов вдвое удваивает эффективную пропускную способность кроссбара памяти, прямо снижая загрузку шины памяти и сохраняя ее пропускную способность для одновременного мониторинга безопасности реального времени.
Два пути на одном кристалле
Мобильный манипулятор распределяет свое управление между двумя путями с противоречивыми требованиями. Путь предложения запускает политику фрагментов на прикладном процессоре с 20 Hz, принимая потоки навигационной камеры и камеры запястья и выдавая вместе целевую скорость базы и целевые положения шарниров руки. Его P99-инференс, включая зрение, занимает 40 ms (иллюстративно; см. Руководство для читателя) из каждого периода фрагмента в 50 ms; прямых аппаратных полномочий над приводами он не имеет и работает в непривилегированном пользовательском пространстве. Путь разрешения работает на дискретном микроконтроллере безопасности (MCU) с 1 kHz. На каждом такте он сверяет последнее предложение с огибающей остановки раздела «Огибающие остановки» и подготавливает допущенные задания для кадра EtherCAT к приводам. Он должен завершиться внутри выбранного предельного срока 400 μs в пределах своего такта 1 ms, и работает в привилегированной области выполнения реального времени на двухъядерном контроллере с дублированным (lockstep) исполнением,3 чья диагностика компаратора покрывает собственный отказ пути разрешения, ибо проверка огибающей не способна обнаружить отказ в ядре, которое ее исполняет. Только путь разрешения владеет доступом через память-отображенный ввод-вывод (MMIO) к мастеру полевой шины, несущему команды приводов.
Разбиение гетерогенного кремния
Разбиение гетерогенного кремния — архитектурное распределение стохастических высокоемких когнитивных нагрузок (восприятие, оценка обученной политики) и детерминированных контуров безопасности (проверки инвариантов безопасности, допуск и резервирование) по специализированным областям выполнения, изолированным аппаратно.
- Значение: Размещение высокоемкого нейронного обдумывания и принудительного обеспечения безопасности реального времени на одной универсальной операционной системе или вычислительной машине создает отказы общего режима. Вытеснение потоков ядра, динамическое выделение памяти и планирование варпов GPU добавляют многомиллисекундную хвостовую задержку, из-за которой путь разрешения пропускает физические предельные сроки управления.
- Отличие: В отличие от логической изоляции программных процессов (таких как контейнеры Linux или приоритеты процессов POSIX), разбиение кремния принудительно обеспечивает изоляцию независимыми аппаратными регистрами, тесно связанными статическими памятями (TCM) и выделенными периферийными шинами.
- Типичная ловушка: Считать, что привязка задач к ядрам CPU дает настоящее разделение областей отказа, тогда как ядра по-прежнему делят кеши, контроллеры памяти, деревья тактовых сигналов и питающие шины.
↰ Предварительное требование: Субмиллисекундный предельный срок выполнения механизма принуждения CBF-QP установлен в разделе «Минимальное вмешательство».
Оба процессора запускают разные виды ПО, следуя двухпроцессорной реализации раздела «Где проходит путь разрешения». Инференс предложений, запись телеметрии, сетевое взаимодействие и фиксация отказов работают на прикладном процессоре под Linux, чей хвост планирования остается открытым для дрожания ядра и драйверов даже в конфигурации реального времени.4 Принудительное обеспечение и проверка сенсоров работают на дискретном микроконтроллере безопасности как прошивка на голом железе за аппаратным блоком защиты памяти,5 причем интерфейсы энкодеров, ИМУ и таймерные каналы подключены к нему напрямую. Каждое предложение достигает микроконтроллера по межсоединению на уровне платы и публикуется там через seqlock-почтовый ящик раздела «Многотактные ритмы», так что никакая динамическая память со случайным доступом (DRAM) не разделяется между путями. По питанию оба пути делят только аккумулятор. Микроконтроллер, логика приводов и катушки пружинных тормозов находятся на изолированной шине раздела «Какой бюджет ограничивает первым», которая не несет нагрузки стороны предложения и поддерживается локальным накопителем 2 s, дольше любой остановки, которую механизм принуждения может скомандовать внутри огибающей («Лестница резервирования»). Поэтому просадка общей управляющей шины не способна сбросить путь разрешения.
На ненагруженной машине вычислительные бюджеты выглядят щедрыми. Иллюстративные частные издержки на микроконтроллере безопасности отводят чтение энкодеров, ИМУ и эпохи свидетельств предложения 40 μs, оценку ограничений 80 μs, а подготовку допущенных заданий для кадра приводов 15 μs. Цикл механизма принуждения без нагрузки в сумме занимает 135 μs, что при тактовой частоте микроконтроллера 400 MHz составляет 54 000 циклов. Против предельного срока 400 μs ненагруженный путь оставляет 265 μs запаса, а заявленное худшее время выполнения 250 μs — квалифицированный бюджет раздела «Минимальное вмешательство» — все еще оставляет 150 μs. На прикладном процессоре инференс политики фрагментов 40 ms оставляет 10 ms от ее периода в 50 ms. Рассмотренные изолированно, оба контура работают с удобными запасами.
Кандидатные области выполнения различаются своими средствами контроля тайминга; размещение определяют измеренные хвосты.
Назначение задач разным ядрам процессора не создает независимых областей отказа, если кремниевая инфраструктура общая.6 Раздел «Аппаратная изоляция» проследил эти пути общей причины на плате машины, где отдельные корпуса и изолированная шина разрезают пути памяти и питания. На общем кристалле — отвергнутом для этой машины варианте — они перемещаются внутрь одного корпуса. Ядро реального времени исполняет инструкции независимо от прикладного процессора, однако оба ядра опираются на общие аппаратные службы:
- Общая маршрутизация прерываний: Универсальный контроллер прерываний (GIC) маршрутизирует периферийные и межпроцессорные уведомления по общей ткани, где поток прерываний от пакетов Ethernet на прикладном процессоре способен задержать таймерное прерывание, запускающее контур разрешения
1 kHz. - Общие контроллеры памяти: Оба пути обращаются к одному контроллеру динамической памяти и кроссбару межсоединений, где большие загрузки матричных плиток от нейронного акселератора насыщают командные очереди DRAM, превращая ожидаемое обращение к кешу второго уровня на ядре реального времени в обращение к основной памяти за .7
- Общие деревья тактовых сигналов: Ядра делят фазовые автоподстройки частоты (PLL) для генерации тактов, где переходные процессы динамического масштабирования напряжения и частоты (DVFS) на прикладном процессоре вносят дрожание тактовой частоты в соседние домены реального времени.
- Общие питающие шины: Единая сеть распределения питания (PDN) подает ток в оба домена, где переключающиеся всплески от нейронного акселератора роняют внутреннюю шину напряжения, рискуя порчей логических состояний или сбросами по просадке питания.
- Общие домены сброса: Паника ядра на прикладном процессоре, вызывающая аппаратный сброс сторожевого таймера, способна опустить общую периферийную шину или системное межсоединение, отключая выходы приводов и оставляя базу без разрешенной команды.
Конкуренция за общие аппаратные ресурсы в этих доменах — не просто пассивная неэффективность планирования; она устанавливает активный киберфизический вектор атаки. В гетерогенном SoC, где сторонние нейронные нагрузки или программные контейнеры, открытые сети, делят кремний с путем разрешения, скомпрометированный прикладной процессор способен проводить намеренные атаки отказа в обслуживании (DoS) против физической безопасности. Порождая патологический невыровненный трафик памяти или вызывая «трещотку» кеш-линий (используя механизмы побочных каналов кеша или помехи в стиле Rowhammer), атакующий на непривилегированном пути предложения способен намеренно насытить очереди контроллера памяти, задерживая обращения микроконтроллера безопасности к памяти и вынуждая пропуски предельных сроков. Аналогично враждебная нагрузка способна запускать высокочастотные паттерны переключения тензорных ядер, рассчитанные на максимизацию индуктивной просадки , вгоняя общую сеть распределения питания в просадку и вызывая аппаратные сбросы общего режима. В архитектурах физического ИИ изоляция программных процессов не защищает от электрической и микроархитектурной связи; принудительно обеспечиваемые аппаратные разбиения качества обслуживания (такие как ARM MPAM) и физическое разделение кремния — фундаментальные средства киберфизической защиты.
Поскольку изоляция программных процессов не способна смягчить эти аппаратные связи тайминга и защиты, первичной архитектурной защитой становится физическое размещение на кремнии. Для контура разрешения машины сравним три размещения. Общие прикладные ядра открывают контур разрешения хвосту планирования ядра и драйверов, описанному ранее, — хвосту, способному вынести его не только за предельный срок 400 μs, но и за сам такт 1 ms. Кластер реального времени на прикладном SoC сохраняет собственное ядро, но делит контроллер памяти кристалла, шины и тепловой путь; раздел «Тепловая и временная связь» показывает троттлинг тактовой частоты, который его отвергает. Используемый машиной дискретный микроконтроллер безопасности платит за свое разделение транспортом — переходом на уровне платы от прикладного процессора, которого не требует ни один вариант с общим кристаллом и который раздел «Решения по изоляции на кремнии» относит на счет аренды. Выбор между тремя опирается на измеренный отклик от сенсора до привода каждого варианта под помехами, а не на число используемых им корпусов.
Принцип «Предложение — не разрешение» требует пути разрешения, который обученные нагрузки не могут задержать, и три размещения различаются именно тем, какие ресурсы оба пути все еще делят. Даже разделение дискретного микроконтроллера — утверждение о тайминге под нагрузкой, которое способно поддержать лишь измерение его такта под этой нагрузкой. У каждого ресурса, который делят оба пути, есть претенденты на этот такт, и первыми сталкиваются они в системе памяти.
Конкуренция за общие ресурсы
У каждого общего физического ресурса несколько претендентов; метрика загрузки, игнорирующая одновременную конкуренцию, не способна ограничить предельный срок. Если бы мобильный манипулятор разместил свой путь разрешения на прикладном SoC, путь предложения, путь разрешения и системная инфраструктура напрямую конкурировали бы за одни и те же контроллеры памяти, коммутаторы-кроссбары и шины распределения питания. Среди цифровых претендентов на этой общей шине памяти были бы DMA-потоки камер и лидара, складывающие кадры в DRAM, нейронный акселератор, забирающий матрицы весов модели и промежуточные тензоры активаций, ядро реального времени, читающее свои таблицы ограничений и историю сенсоров, буферы записи актуаторов для команд приводов, контроллеры кеша, исполняющие выгрузку «грязных» линий, и процессы диагностического журналирования, пишущие записи состояния в энергонезависимое хранилище. На собранной машине те же всплески остаются на прикладном процессоре, где задерживают наблюдение и фрагмент, а не такт разрешения. Путь разрешения встречает их как возраст свидетельств («Цена приема данных»), отказывая свидетельствам старше своего порога отказа и входя в резервирование, если ни один допущенный фрагмент не продлевает аренду.
На общем кристалле конкуренция за шину-кроссбар и банки DRAM — это задержка в очереди, когда транзакции памяти и DMA делят межсоединение и контроллер, а ее граница зависит от размера транзакции, политики очередей и тайминга банков.8
Средняя потребность каждого претендента следует из размера его передачи и частоты событий, и на общем канале LPDDR потоки камер, выборка весов с частотой политики, чтения механизма принуждения, записи приводов, выгрузки и журналирование вместе занимают в среднем небольшую долю ее пропускной способности. Инженер, смотрящий только на этот средний уровень, заключает, что большая часть шины свободна. Арбитры памяти не планируют средние скорости. Они арбитрируют дискретные всплески, и две нагрузки с одинаковой средней пропускной способностью мешают друг другу по-разному, если одна передает небольшими пакетами, а другая приходит длинными насыщающими блоками.
Арифметическая интенсивность Williams et al., 2009 говорит, ограничена ли процедура в стационарном режиме вычислительными устройствами или пропускной способностью памяти; она ничего не говорит о том, какой запрос ждет, когда два пути приходят к шине одновременно. Пока веса приходят из DRAM, арифметическая интенсивность акселератора равна нулю, и он действует как высокопроизводительный движок прямого доступа к памяти, насыщающий общую шину. Потоковая передача весов — это и то, что ограничивает частоту свежих предложений стеной памяти раздела «Питание, свежесть и стена памяти». Размещение видит другую сторону этого предела, ибо каждая передача весов, ограничивающая инициатор, — это трафик, за которым ждал бы размещенный рядом путь разрешения.
Как долго ждет чтение безопасности, зависит от арбитража транзакций и планирования DRAM. Акселератор, перемещающий веса плитками в байта, не выдает один пакет: спецификация Arm AXI4 допускает не более 256 тактов на пакет и запрещает пакету пересекать границу адреса в байта, так что на предполагаемом 128-битном внутреннем пути плитка превращается в 64 выровненные транзакции. Транзакция в полете может быть невытесняемой, а блокируют ли оставшиеся транзакции плитки более позднее чтение безопасности, зависит от того, реализует ли контроллер обход по приоритету. DRAM добавляет собственную задержку, ибо за раз открыта только одна строка в банке: подобно клерку, которому нужно закрыть один ящик, прежде чем открыть другой, чтение закрытой строки ждет предзаряд () и активацию () перед обслуживанием столбца.
Контроллеры, использующие планирование сначала готовый — сначала пришедший (FR-FCFS), пропускают готовые попадания в строку вперед более старых запросов, а потоковый акселератор поставляет попадания в строку в избытке, так что этой политике нужна собственная граница голодания. Под очередью FIFO, не пропускающей более поздние приходы вперед чтения безопасности, идеализированное ожидание равно
где содержит транзакции перед чтением, — число байтов каждой, считает переключения банков, а — оптимистичная скорость обслуживания, так что накладные расходы арбитража и регенерации добавляются к результату.
Загруженное чтение пути разрешения на общем кристалле
Задача: Предположим, путь разрешения читал бы свой сенсорный снимок из общей DRAM прикладного SoC. Сколько транзакций могло бы стоять в очереди перед этим чтением, прежде чем такт превысит свой допуск на восприятие, заявленное худшее время выполнения и свой предельный срок?
Переменные: Такт отводит
40 μsна восприятие и95 μsна оценку ограничений и запись кадра приводов, внутри предельного срока400 μs. Снимок занимает4 096байта на канале12.8GB/s. Перед ним в FIFO стоят одна плита весов (64транзакции), передача камеры и запись телеметрии:88транзакций,360 448байта,3переключения банка.Расчет: По «очереди DRAM», обслуживание накопившихся
360 448байт со скоростью12.8GB/s плюс3переключения по28ns занимает28.244. Сам снимок читается за0.32, так что загруженное чтение занимает28.564и оставляет11.436допуска на восприятие. Вторая накопившаяся порция превысила бы его. Заявленное худшее время выполнения250 μsпересекается, как только чтение превысит155 μs, а на это нужно более5накопившихся порций, и это пересечение уже опровергает независимость, хотя такт еще укладывается в свой предельный срок. Сам предельный срок держится, пока чтение не превысит305 μs, а на это нужно более10накопившихся порций, так что такт, укладывающийся в срок, — не свидетельство исправности размещения. При проверенном обходе по приоритету впереди ждет только одна транзакция в полете, и чтение занимает0.64.Системный вывод: Граница чтения принадлежит контроллеру памяти, а не нагрузке. Она существует, лишь если контроллер ограничивает, сколько трафика он пропускает перед чтением безопасности, или позволяет этому чтению обойти очередь, а контроллер FR-FCFS, обслуживающий потоковый акселератор, не дает ни того, ни другого, если его конфигурация не квалифицирована на это. Дискретный микроконтроллер машины устраняет вопрос, читая свой снимок из тесно связанной памяти на собственной шине.
Конкуренция распространяется на сеть распределения питания, где претенденты соревнуются за заряд, а не за пропускную способность. Просадка раздела «Кремниевая подложка», , растет вместе со скоростью и величиной ступени тока. Внешний стабилизатор напряжения откликается слишком медленно, чтобы уловить наносекундную ступень тока, поэтому первый заряд идет от развязывающей емкости на кристалле, а когда она исчерпана, общая шина просаживается под каждым питаемым ею ядром.
На общей шине 0.85 с индуктивностью корпуса 30 и сопротивлением 8 ступень тока акселератора 6 за 2 создает 90 индуктивной и 48 резистивной просадки, 138 всего, просадку на 16.2 процента до 0.712 . Модель вентилей с альфа-степенным законом9 превращает эту просадку в увеличение задержки распространения на 39 процентов («Индуктивная просадка и растяжение задержки вентилей» выводит оба шага). Это задержка вентиля, а не такта. Израсходует ли она запас пути разрешения, вызовет сброс по просадке питания или ничего не сделает, зависит от минимального рабочего напряжения устройства и политики тактовой частоты, и решить это способны лишь измерения шины и тайминга под заявленной ступенью тока. Оба канала помех — очередь FIFO межсоединения и просадка напряжения питающей шины — структурированы на рисунке «Каналы помех гетерогенного SoC». Общий кристалл оставляет эти вопросы открытыми для каждого всплеска акселератора; дискретный микроконтроллер на собственной шине и собственной питающей шине их не наследует.
Каналы помех гетерогенного SoC: (a) В очереди FIFO шины памяти накопленные фоновые транзакции задерживают чтение безопасности и выносят чтение вместе с вычислением за предельный срок; обход по приоритету меняет ожидание. (b) В сети распределения питания внезапная ступень тока матричного акселератора ( за ) создает индуктивной и резистивной просадки, нелинейно растягивая задержку распространения вентилей по альфа-степенному закону. Пересечение минимального рабочего порога влечет нарушения тайминга или сброс по просадке.
Обнаружение этих взаимодействий требует инструментации вне затронутого ядра, ибо ПО на остановленном или замедленном ядре не способно засечь собственную задержку. Счетчики контроллера памяти, мониторы шин, тепловые диоды и регистры причины сброса фиксируют связь.
Общий кристалл способен учитывать эти связи аппаратно — арбитром кроссбара, который направляет помеченные транзакции безопасности через собственную очередь, дозируя всплески акселератора кредитами пропускной способности, и контроллером управления питанием, который при тепловом пороге затроттливает только тактовую частоту акселератора. Каждое из этих свойств принадлежит контроллеру и должно подтверждаться испытанием размещения, а не быть параметром планировщика, который блок-схема может допустить по умолчанию. Арбитраж решает, когда транзакция движется, а не что она несет. То, что пересекает физическую границу между двумя путями, должно быть определено явными гарантиями относительно момента выработки, действительности и отклика на отказ.
Контракт границы
Что пересекает границу между путем предложения и путем разрешения по контракту границы, — это запись, а не безусловный указатель в общую память, ибо передача необработанного адреса памяти через границу доверия напрямую связывает читателя с внутренним расположением памяти писателя, временем его выполнения и областью отказа. Если политика фрагментов, работающая на акселераторе, предоставляет лишь указатель на свой частный выходной буфер, у пути разрешения нет механизма определить, продолжает ли писатель изменять буфер, завис ли он посреди инференса или встретил необработанный отказ. Поэтому полезная нагрузка границы должна быть неизменяемой, самодостаточной записью. Пересекающая границу запись — это заголовок предложения раздела «Многотактные ритмы», публикуемый через его seqlock-почтовый ящик; размещение не добавляет полей, только свидетельство того, что обмен укладывается в свой предельный срок под нагрузкой. Путь разрешения читает запись как изолированный снимок, оценивая ее временную свежесть и физическую действительность до того, как какое-либо задание дойдет до привода.
Сохранение временной изоляции — пересекает ли обмен общий кристалл или платное межсоединение машины, — требует устранения блокирующей синхронизации на интерфейсе обмена. Если контур разрешения захватит блокировку, удерживаемую генератором предложений, зависание инференса способно задержать физическое решение. Поэтому зависание хоста на должно оставлять механизм принуждения 1 kHz работающим на каждом такте: он может использовать последний проверенный фрагмент, только пока его аренда и текущее состояние остаются допустимыми, а затем переходить к своему независимо проверенному резервированию. Выделение памяти и журналирование на пути разрешения также нуждаются в измеренных временных границах. Производитель может зависать или терять обновления; он не может создавать противодавление ритму принудительного обеспечения объекта управления.
Правила отклонения почтового ящика из раздела «Отказы контракта границы и матрица резервирования» не дают отказавшему производителю заставить механизм принуждения ждать. Отклоненное предложение оставляет допущенные задания в силе до истечения аренды; если ни одно допустимое предложение не продлит ее и машина движется, MCU исполняет ступень останова лестницы резервирования раздела «Лестница резервирования» — резидентную остановку базы и согласованную с состоянием остановку руки, и ни одна из них не ждет инициатора. Это резервирование все равно должно завершаться в ограниченное время, а испытание размещения измеряет эту границу под нагрузкой на кремнии, который размещает путь.
Оконные сторожевые таймеры и живость выполнения
Программные границы памяти и неблокирующие seqlock-механизмы защищают от разорванных чтений, но не гарантируют, что код механизма принуждения жив и продвигается через запланированные операции. Живость механизма принуждения принадлежит собственному сторожевому таймеру раздела «Многотактные ритмы», который подкармливается только после завершенного такта. Обратный отсчет сторожевого таймера, обслуживаемый из таймерного прерывания, остается слепым к мертвой задаче — отказ, разобранный в деле Bookout v. Toyota. На общем кремнии механизм принуждения может также быть голодан из-за конкуренции межсоединения или работать слишком быстро после порчи тактовой частоты, поэтому размещению нужна более сильная форма этого собственного сторожевого таймера — та, что ограничивает подкормку с обеих сторон.
Архитектуры физического ИИ с высокой целостностью поэтому принудительно обеспечивают оконные сторожевые таймеры. Оконный сторожевой таймер отклоняет любое обновление, произошедшее слишком рано или слишком поздно. Аппаратный таймер задает окно обслуживания, параметризованное нижней границей (закрытое окно, ) и верхней границей (открытое окно, ):
- Нарушение ранней подкормки (): Если ПО пытается обновить сторожевой таймер до истечения нижнего порога, аппаратура немедленно запускает аварийный сброс. Ранняя подкормка может указывать, что ПО обошло обязательные алгоритмические стадии, ветвилось в патологический короткий цикл или получило ускорение выполнения из-за порчи тактовой частоты.
- Нарушение поздней подкормки (): Если таймер отсчитал за , не получив действительного обновления, счетчик переполняется вниз, подавая аппаратный сброс. Поздняя подкормка может указывать, что механизм принуждения был голодан по циклам вычисления из-за конкуренции межсоединения, завис на необработанном исключении или был задержан чрезмерными вытеснениями из кеша.
- Действительное окно обслуживания (): Обновление внутри окна показывает, что путь подкормки выполнил свое временное условие; прогресс задачи все равно требует подходящего вызова-ответа или независимого наблюдения.
Если контроллер подкармливает один раз после каждого успешного такта, сторожевой таймер измеряет интервал между подкормками. Пусть смещение завершения от начала такта лежит в , а вариация фазы такта ограничена . Консервативный диапазон интервала между подкормками равен
Настройте и вокруг этого измеренного или обоснованного диапазона, удерживая отклик позднего срабатывания в пределах отдельно выведенного бюджета отказов объекта управления. Одного времени выполнения одного такта недостаточно для задания интервала обслуживания сторожевого таймера. На машине — это такт 1 ms, а заявленный худший случай 250 μs поставляет . Ненагруженный путь 135 μs не поставляет , ибо самая короткая ветвь механизма принуждения может завершиться раньше номинальной, поэтому нижняя граница берется из кратчайшего завершения, записанного стрессовой кампанией. — дрожание таймера тактов микроконтроллера относительно его опоры, измеренное под той же нагрузкой. Этот диапазон дал бы собственному сторожевому таймеру машины, знающему лишь тайм-аут, недостающее , тогда как остается на выбранном тайм-ауте 5 ms, так что окно терпит несколько пропущенных тактов, прежде чем сработает.
Эта терпимость намеренна. Один пропущенный такт стоит миллиметров хода на скорости хода («Проверка разделения испытаниями»), что укладывается в бюджет отказов, а окно, закрывающееся на одной поздней подкормке, остановило бы здоровый механизм принуждения ради этого смещения. Нижняя граница, взятая из оценок, а не записанных завершений, срабатывает на здоровых тактах, а верхняя граница шире бюджета отказов скрывает голодание, ради которого окно существует.
Некоторые конструкции добавляют контрольные точки с вызовом-ответом: подкормка зависит от свежей проверки сенсоров, оценки разрешения и проверок выходного состояния, а не только от обработчика прерывания таймера. Ее охват отказов зависит от того, где генерируется вызов, кто может вычислить или повторить ответ и способны ли отказавшие состояния механизма принуждения все еще исполнять путь подкормки. Охват этой схемы поэтому — результат внедрения отказов, а не свойство токена.
Однако установление чистых границ в памяти, арбитраже межсоединений и живости выполнения сторожевого таймера решает лишь логическую и временную половину совместного размещения. Когда акселератор и процессор реального времени делят один кремниевый кристалл, высокая мощность, рассеиваемая при плотных матричных операциях, проводится прямо через подложку, поднимая локальные температуры перехода и меняя скорости переключения транзисторов на соседних ядрах.
Тепловая и временная связь
Каждый ватт, рассеиваемый на кремниевом кристалле, уходит в единственный тепловой домен. На общем SoC матричные блоки, прикладные ядра, интерфейс памяти и встроенные стабилизаторы нагревают один корпус, и если контур разрешения потребляет малый, стабильный базовый уровень, путь предложения колеблется вместе со своей нагрузкой. Ограниченная теплопроводность корпуса к окружающей среде позволяет пиковой активности акселератора поднимать температуру перехода каждой схемы на кристалле.
В системной инженерии физического ИИ термический троттлинг тактовой частоты — это автоматическое, аппаратно принудительное снижение тактовой частоты процессора, запускаемое, когда длительный высокомощный когнитивный инференс поднимает температуру кремниевого перехода () за тепловые пороги срабатывания (). Чтобы предотвратить повреждение кристалла, аппаратура резко режет тактовую частоту. Это вносит затяжное, зависящее от температуры замедление (гистерезис), раздувающее времена выполнения даже после спада когнитивной нагрузки, и способное вынести соседние контуры безопасности реального времени за их жесткие физические предельные сроки.
Отсек электроники в основании машины находится при окружающей температуре 45. «Закрытый модуль периферийных вычислений» показывает набор разработчика того класса модулей, который машина использует как прикладной процессор; его корпус не обнажает ни теплового пути, ни тактовых доменов, от которых зависит следующая оценка. Предположим, общий SoC охлаждался бы кондуктивно с тепловым сопротивлением переход–окружающая среда 2 и тепловой постоянной времени 8 . Контур разрешения вместе с питанием холостого хода и памяти потребляет 4 и удерживает переход на 53. Непрерывный инференс предложений добавляет потери акселератора, трафика памяти и стабилизаторов, и в общей сложности 26 поднимают стационарный режим на 52 до 97.
Закрытый модуль периферийных вычислений: На фотографии — коробка Jetson AGX Orin Developer Kit и закрытый вентилируемый корпус. SoC, память, охлаждающее оборудование и тактовые домены не видны; тепловая модель в тексте — отдельный иллюстративный сценарий. Фотография: Auledas, CC BY 4.0, через Wikimedia Commons; локальная копия перекодирована.
Одного лишь теплового управления достаточно, чтобы отвергнуть размещение на общем кристалле для мобильного манипулятора. Предположим, его путь разрешения работал бы на кластере реального времени прикладного SoC с 1.2 GHz, расходуя 300 000 циклов на такт — в несколько раз больше 54 000 циклов, которые требуются дискретному микроконтроллеру без нагрузки, ибо кластер без тесно связанной памяти платит циклами заполнения кеша и когерентности за каждое чтение снимка и таблицы. Когда переход пересекает 95, регулятор опускает кластер до 600 MHz, и цикл механизма принуждения растягивается до 500 μs, пропуская предельный срок 400 μs на 100 μs (превышение на 25 процентов) и далеко превышая заявленную границу, на которой был вымерен каждый запас выше механизма принуждения. Дискретный микроконтроллер работает на собственных тактовой частоте и питающей шине, вне досягаемости этого регулятора.
Превышение переживает нагрузку, потому что регулятор применяет зависящий от состояния гистерезис, восстанавливая 1.2 GHz, только когда переход остынет до 85, дабы тактовая частота не колебалась вокруг пороговой линии. С остановленной политикой и питанием, вернувшимся к 4 , переход релаксирует к своему базису 53:
где — температура перехода в момент начала троттлинга, — базовое равновесие, а — тепловая постоянная времени корпуса. Решение «восстановления после охлаждения» для падения с 95 до 85 дает 2.18 s. При такте машины 1 ms в это охлаждение попадают 2 175 запланированных тактов, и конструкции с общим кристаллом потребовалось бы отдельно синхронизированное резервирование, активное для каждого из них.
Растянутый цикл на общем кристалле может также прийти от электрической связи питающих шин, на другом временном масштабе. Просадка шины раздела «Конкуренция за общие ресурсы» приходит в пределах наносекунд после всплеска акселератора, тогда как тепловая связь нарастает за секунды, пока тепло диффундирует через корпус, поэтому временной отказ, отслеживающий температуру перехода , а не переходные процессы , — это троттлинг, а не обвал шины.
Температура перехода и троттлинг
Прежде чем полагаться на программное тепловое управление для гарантий безопасности реального времени, проверьте свое понимание динамики температуры перехода и гистерезиса троттлинга тактовой частоты:
- Память тепловой массы о задержках: Можете ли вы объяснить, почему физическая тепловая масса действует как длительная память о времени выполнения задач реального времени, даже после того как вызывающая когнитивная нагрузка прекращена?
- Размер восстановления после охлаждения: Можете ли вы вывести время восстановления , необходимое SoC с тепловой постоянной времени
8, чтобы остыть с95до85при базовом равновесии53?- Назначение гистерезиса регулятора: Можете ли вы объяснить назначение температурного гистерезиса ( против ) в аппаратных тепловых регуляторах и описать, как он предотвращает высокочастотные колебания тактовой частоты?
- Решение о физическом раздельном размещении: Какие измеренные свидетельства тактовой частоты, питания и тайминга оправдали бы общий кристалл и когда потребовался бы отдельный контроллер?
Проверка разделения испытаниями
Утверждение независимости при любом размещении — это проверяемая граница задержки принудительного обеспечения и доступности отказа в рамках заявленных нагрузок предложений, температур кристалла и режимов. Если конкуренция задерживает отказ за физический предельный срок, заявленное операционное разделение несостоятельно.
↳ Ниже по потоку: Враждебные микроархитектурные испытания конкуренции питают набор внедрения отказов на аппаратуре в разделе «Внедрение отказов на аппаратуре».
Порог прохождения этого эксперимента исходит из проверяемого утверждения. Путь разрешения машины объявляет худшее время выполнения 250 μs и должен завершать каждый такт внутри выбранного предельного срока 400 μs, который помещается внутрь такта 1 ms. Каждое измеренное время принудительного обеспечения должно уважать эту цепочку, как утверждает «порог фальсификации»:
Заявленная граница — это порог фальсификации. Если любой проверяемый цикл принудительного обеспечения превысит ее, гипотеза независимости опровергнута, даже когда цикл все еще укладывается в предельный срок, ибо каждый запас выше механизма принуждения — от его предельного срока до такта, который считает бюджет остановки, — был вымерен по заявленному числу. Измеренный максимум способен опровергнуть заявленную границу, но не установить ее, ибо кампания отбирает только те состояния, которых достигает, а на спекулятивных ядрах временные аномалии способны поднять истинный худший случай выше каждого записанного цикла.10
Худшее время выполнения
Худшее время выполнения — формальная верхняя граница физической длительности по настенным часам, необходимой вычислительной задаче для полного завершения на целевой аппаратной платформе при всех допустимых входах, состояниях архитектурной конкуренции и условиях эксплуатации:
- Значение: В киберфизических контурах управления корректность зависит не только от числовой валидности выхода, но и от момента его доставки; оптимальная команда управления, доставленная после жесткого физического предельного срока, функционально эквивалентна полному отказу системы.
- Отличие: В отличие от среднего времени выполнения () или высоких квантилей (), характеризующих пропускную способность ПО мягкого реального времени, WCET — это абсолютная детерминированная граница, которая должна выполняться при одновременном насыщении шины памяти, «трещотке» кеша и штормах перерываний периферии.
- Типичная ловушка: Полагаться на эмпирическое профилирование выполнения или средние значения бенчмарков для установления WCET на современных суперскалярных или внеочередных процессорах. Микроархитектурные временные аномалии (когда локальное попадание в кеш или успех предсказания ветвления парадоксально увеличивают общее время выполнения) означают, что одних эмпирических испытаний недостаточно, чтобы доказать истинную глобальную верхнюю границу без формального статического анализа и границ конкуренции оборудования.
Ход, поставленный на кон в одном такте, невелик, из-за чего границу легко недооценить. Готовый бюджет раздела «Бюджет остановки складского манипулятора» останавливает машину за 997.4 mm на скорости хода 1.3 m/s, с 102.6 mm внутри свободного расстояния 1.10 m, а один пропущенный такт добавляет лишь 1.3 mm. Размещение защищает саму границу, ибо считает ровно один , а конкуренция без границы — это остановка неизвестной длины.
Опровержение утверждения независимости требует синтетических нагрузок, спроектированных для индукции худшей конкуренции за ресурсы, а не стандартных бенчмарков, сообщающих среднюю пропускную способность. Высокая средняя загрузка распределяет обращения к памяти равномерно по тактам, делая систему вроде бы безопасно ненагруженной, тогда как истинная физическая помеха проявляется пиками во время синхронизированных всплесков, когда несколько компонентов требуют одних и тех же проводов в один и тот же момент. Стенд испытаний должен намеренно затапливать общие каналы памяти невыровненными передачами прямого доступа к памяти, вызывать «трещотку» общей емкости кеша выгрузкой «грязных» линий от тензоров весов трансформера, запускать матричные перемножения акселератора, индуцирующие быстрые просадки напряжения питающей шины (), и передавать пиковым потоком телеметрию сенсоров, пока диагностическое журналирование пишет в энергонезависимую flash-память. Эти стрессовые профили воспроизводят переходную конкуренцию, возникающую, когда модель предложения начинает большой проход внимания ровно в ту микросекунду, когда контур разрешения читает свой сенсорный снимок.
Инструментация фиксирует вход в принудительное обеспечение после согласованности сенсорного снимка (), завершение разрешения () и публикацию допущенных заданий в кадр приводов (). Они диагностируют вычисления и диспетчеризацию, но — еще не торможение. Прибытие кадра к приводу () и измеренное начало торможения () замыкают физическую цепочку. Конечная точка, которая имеет значение, — , измеренный от последнего действительного продления аренды, с учетом ошибки часов. Начало торможения должно наступить в пределах 82 ms — суммы аренды, одного такта, одного цикла шины и задержки начала торможения из раздела «Многотактные ритмы». Одной границы вычислений 250 μs недостаточно.
Механизмы связи накапливаются через физическую, электрическую и логическую области, требуя полной факториальной экспериментальной матрицы. Оценка охватывает холодные условия перехода () и теплый переход, удерживаемый на уровне или выше порога троттлинга раздела «Тепловая и временная связь», простаивающий путь предложения против насыщенного движка предложений, исполняющего инференс максимальным пакетом, отключенное циклическое диагностическое журналирование против потоковой записи на полной пропускной способности энергонезависимой памяти и номинальные команды слежения против команд, нарушающих границу и запускающих процедуры отказа. Проверка путей отказа под полным стрессом обязательна, ибо выполнение безопасной ограничивающей траектории или вход в аварийное отключение вовлекает холодные ветви, некешированный код обработки ошибок и вторичные шинные транзакции, которые никогда не исполняются при стационарной езде по проходу.
На отвергнутом размещении с общим кристаллом пара, ради которой существует матрица, конкретна. Человек выходит у торца стеллажа, и путь разрешения берет свою ветвь отказа к ступени останова — холодный путь через некешированный код. В тот же миг прикладной процессор, зафиксировавший ту же аномалию, начинает диагностический дамп памяти по общей ткани прямого доступа к памяти. Набор тестов, раздельно исполняющий отказ и диагностическое журналирование, проходит оба и никогда не измеряет пару, ибо две подсистемы конкурируют за один контроллер памяти, только когда работают вместе.
Рассмотрим иллюстративную стрессовую трассу в тактов для отвергнутого размещения — путь разрешения на кластере реального времени прикладного SoC. При одном такте в 1 ms трасса охватывает 10 000 s, или 2 ч 46 мин 40 с, без учета сброса и настройки. Холодная трасса имеет 95 μs, 128 μs и наблюдаемый максимум 152 μs; теплая, нагруженная трасса имеет 210 μs, 330 μs, 395 μs и наблюдаемый максимум 468 μs. Нагруженный уже превышает заявленную границу 250 μs, а максимум пересекает предельный срок 400 μs, так что трасса опровергает это размещение.
Если бы трасса прошла, ее такты показали бы лишь, что наблюдаемые помехи оставались ниже порога в проверенных состояниях. Отчет дает распределение задержек, наблюдаемый максимум, число выборок, длительность и непроверенные условия, включая деградацию питания, электромагнитные помехи и старение.11
Перегрузка радара Apollo 11 и перезагрузки (1969)
Контекст: 20 июля 1969 года лунный модуль Apollo 11 Eagle выполнял управляемое снижение к поверхности Луны. Аппаратный вычислитель Apollo (AGC), машина на с программной памятью на ферритовых сердечниках, исполнял контуры навигации, управления и дросселирования двигателя снижения под асинхронным Executive с планированием по приоритетам, разработанным в приборной лаборатории MIT NASA Manned Spacecraft Center, 1969; Mindell, 2008.
Механизм: С переключателем режима радиолокатора сближения вне положения
LGCрезольверы радара возбуждались источником , синфазным по частоте, но не по фазе с опорой системы навигации. Связанные блоки данных читали разность фаз как движение антенны и посылали компьютеру непрерывный поток счетных импульсов. Отчет о полете NASA, раздел 16 приводит максимум 12 800 импульсов в секунду от двух блоков данных, каждый из которых занимал один цикл памяти , или 15 процентов машинного времени, тогда как при управляемом снижении компьютер обычно работал примерно на 90 процентов загрузки. Повторяющиеся задания, которые не могли завершиться, планировались заново, каждое резервируя еще одну область памяти, пока у Executive не кончились области.Последствия: До фазы низкого гейта снижения произошло пять сигналов переполнения Executive (1201 и 1202). В отчете о полете указывается, что производительность функций навигации и управления не пострадала.
Отклик: Каждый сигнал запускал программный перезапуск, и AGC возобновлял свою основную работу навигации и индикации по приоритетам, пока экипаж и центр управления оценивали сигналы, а снижение продолжалось. В последующих миссиях блоки данных обнулялись всякий раз, когда переключатель находился не в
LGC, устраняя ложные импульсы в их источнике.Системный урок: Периферия способна потреблять вычислительные мощности в тот самый миг, когда они нужны навигации. Современные испытания размещения должны учитывать асинхронную нагрузку периферии и проверять, что критический путь и его поведение восстановления остаются в заявленных временных границах.
Сигналы Executive Apollo 11 и инверсия приоритетов Mars Pathfinder (разобранные в разделе «Передача команд вовремя») иллюстрируют две различные формы конкуренции за ресурсы реального времени. В Apollo 11 периферия потребляла вычислительные мощности; в Pathfinder задача низкого приоритета удерживала ресурс, который была нужна задаче высокого приоритета.
Неудавшееся испытание помех указывает, где предполагаемое разделение может обрушиться: кеш, арбитраж памяти, тепловые тактовые частоты, питание или выходные очереди. Дальнейшая инструментация локализует механизм до того, как команда зарезервирует, разобьет или переместит общий ресурс.
Решения по изоляции на кремнии
Опровергнутое утверждение независимости оставляет четыре средства, каждое со своей ценой («Матрица решений по переразмещению нагрузки и изоляции»): статическое резервирование, пространственное разбиение, сокращение нагрузки и физический перенос на отдельный кремний.
| Стратегия устранения | Целевой слой связи | Механизм реализации | Компромисс системной инженерии | Остаточная уязвимость | Триггер физического переноса на кремний |
|---|---|---|---|---|---|
| Статическое резервирование | Время выполнения CPU, вытеснение при планировании ОС | Планирование с фиксированными приоритетами и вытеснением (SCHED_FIFO), статическое нарезание временных слотов (ARINC 653) | Простаивающая мощность (потеря пропускной способности ); нераспределенные циклы пропадают в спокойных состояниях | Микроархитектурная конкуренция ниже видимости ОС (общий L3, конфликты банков DRAM) | Остановки шины памяти или кеша нарушают предельные сроки реального времени, несмотря на выделение ядра CPU |
| Пространственное разбиение | «Трещотка» емкости кеша, конкуренция за шину DRAM | Разбиение кеша по путям (ways) (ARM MPAM, Intel CAT), домены MPU/IOMMU, ограничители скорости AXI QoS | Структурная фрагментация; уменьшение рабочего набора L3 для восприятия (штраф доступа к DRAM ) | Неразбиваемые очереди контроллера DRAM, переупорядочение по локальности строк, просадка напряжения PDN | Ступени тока матричного движка () вызывают просадку шины, или остановки очереди DRAM превышают запас |
| Сокращение нагрузки | Насыщение пропускной способности памяти, пиковая тепловая мощность | Квантование модели (INT8/FP8), прореживание контекста, уменьшение частоты политики вдвое | Ухудшенная точность слежения политики; рост фазового запаздывания управления у границ динамической устойчивости | Общие деревья распределения тактовых сигналов, общие блоки управления питанием (PMU), единые домены сброса | Точность модели падает ниже эксплуатационных пределов, или отказы общих тактовых сигналов/сброса распространяются через домены |
| Физический перенос | Общие питание, тактовые сигналы, сброс или неограниченная помеха контроллера | Отдельный MCU механизма принуждения с независимо оцененными питанием, тактовыми сигналами, памятью и путем сенсор/актуатор | Больше площади платы и бюджет внешней связи | Остаются отказы жгута, приемопередатчика и общего питания | Выбирать, когда общий кристалл не способен представить свидетельства требуемого тайминга и сдерживания отказов |
Матрица решений по переразмещению нагрузки и изоляции: Пути устранения на случай, когда испытание фальсифицирует независимость на общем кремнии. Каждое средство обменивает различные инженерные валюты (пропускную способность, емкость, задержку, площадь платы) на устранение каналов конкуренции до эскалации до физически разделенного кремния.
Статическое резервирование сохраняет физическое размещение нагрузок на общем чипе, выделяя гарантированную долю общего ресурса критическому пути. Резервирование назначает критическому контуру выделенные слоты выполнения или фиксированную пропускную способность шины памяти. Цена резервирования — простаивающая мощность. Если бы путь разрешения машины делил кристалл, слот арбитра, размеренный по худшему случаю чтения его снимка, оставался бы зарезервированным в каждом такте 1 ms, недоступный для модели политики даже при припаркованном основании и без происходящей остановки.
Пространственное разбиение делит физические аппаратные структуры так, что нагрузки больше не конкурируют за одни и те же физические ячейки.12 Разбиение кеша по путям (ways), привязка к ядрам и выделенные каналы памяти устанавливают аппаратные барьеры внутри одного кристалла. Цена разбиения — утраченная гибкость и структурная фрагментация. Разделение восьмимегабайтного общего кеша на шестимегабайтный раздел для модели политики и двумегабайтный раздел для таблиц пути разрешения предотвращает вытеснение кеш-линий через границу. Однако это навсегда ограничивает рабочий набор обученной модели, вынуждая более высокие частоты обращений к DRAM и увеличивая среднюю задержку памяти на десятки наносекунд на каждом шаге инференса.
Сокращение нагрузки разрешает конкуренцию уменьшением вычислительной или памятной следы некритичной нагрузки, пока ее пиковый спрос не окажется в неконкурируемых запасах общей системы. Инженер может проредить журналирование телеметрии с до , квантовать веса политики с шестнадцатибитной плавающей точки до восьмибитных целых, вдвое сократив трафик шины памяти, или понизить частоту политики фрагментов. Цена сокращения — ухудшение функциональных полномочий. На мобильном манипуляторе аренда ограничивает последний рычаг. Период фрагмента длиннее аренды 60 ms раздела «Многотактные ритмы» позволяет предложениям истекать между продлениями, поэтому частота политики должна оставаться выше 16.7 Hz, даже не считая дрожания продления, что оставляет мало места ниже ее 20 Hz. Квантование весов способно ухудшить точность политики на допусках захвата при подборе с конвейера.
Если резервирование, разбиение и сокращение нагрузки не способны установить требуемую границу отклика, кандидатом становится физический перенос. Он достигает связей, недоступных резервированию и разбиению, — таких как общий домен сброса или тактовых сигналов, позволяющий одному отказу остановить оба пути; разбиенный SoC, заявляющий сдерживание такого отказа, обязан показать это проектом и испытаниями внедрения отказов. Отдельный контроллер устраняет эти пути общей причины ровно настолько, насколько спроектированы и испытаны независимость его питания, тактовых сигналов, сброса, сенсоров и актуаторов, а цель целостности, которой он служит, опирается на кейс безопасности применения, а не на счет корпусов. Внешний контроллер также добавляет обязательства транспорта и общего питания, поэтому его путь сенсоров и актуаторов должен измеряться как целое.
Перенос нагрузки на отдельный кремний редко бывает локальной правкой. Он запускает каскад корректировок размещения и связи по всей машине, и мобильный манипулятор показывает, куда приходится эта цена. Слагаемое раздела «Многотактные ритмы» не меняется, ибо команды приводов пересекают полевую шину EtherCAT независимо от того, где работает путь разрешения. Перенос добавляет переход предложения от прикладного процессора к микроконтроллеру по межсоединению на уровне платы вместо почтового ящика на кристалле. Эта задержка не вносит нового слагаемого в . Предложение, пришедшее с опозданием, тратит часть допуска на дрожание продления 5 ms, который правило аренды раздела «Единый связанный бюджет анатомии» помещает в разрыв между периодом фрагмента 50 ms и арендой 60 ms. Конкуренция за память хоста берет из того же допуска, поэтому максимум, на который она может растянуть инференс политики фрагментов 40 ms, — 12.5 процента («Цена приема данных»). Худший случай межсоединения, измеренный под нагрузкой, должен поэтому укладываться в то, что оставляют от допуска эта конкуренция и собственное дрожание инициатора.
Более трудное решение — куда подключается каждый сенсор. Машина держит энкодеры и ИМУ на стороне микроконтроллера, за межсоединением, ибо именно их путь разрешения читает на каждом такте, а камеры и лидар оставляет на прикладном процессоре, ибо именно их потребляют обученные модели, а путь разрешения читает лишь эпоху свидетельств предложения. Перенос интерфейса камеры на микроконтроллер разгрузил бы основной чип, но заставил бы обученные модели получать свой поток наблюдений по более медленному внешнему межсоединению и добавил бы к возрасту наблюдения, который измерял раздел «Сенсорное восприятие». Каждое решение о переразмещении распространяется через физические межсоединения, сдвигая узкие места от арбитров памяти на кристалле к числу выводов на уровне платы, прокладкам проводов и последовательным шинам.
Выбор оборудования в физическом ИИ нельзя отвязать от механической динамики овеществления. Если обычные наборы бенчмарков оценивают периферийные акселераторы по изолированным метрикам, таким как теоретический пиковый TOPS или чистая пропускная способность пакетного инференса, овеществленные системы работают под энергетическими ограничениями замкнутого контура, где вычислительная задержка и физическое движение жестко связаны («Исследование пространства конструкций с учетом робототехники (DSE)»). Оценка конфигураций периферийных акселераторов вдоль континуума — от сверхмаломощных периферийных TPU до многоваттных рабочих GPU — обнажает инвертированную-U парето-границу эффективности.
Слабые акселераторы (такие как периферийный TPU на или неускоренный CPU) несут долгие задержки инференса зрение–язык–действие ( на шаг), растягивая задачу выбора и укладки более чем на три минуты (). Все это время электроника основания робота, сенсоры, токи удержания двигателей и системы теплового управления непрерывно потребляют статическую мощность дежурного режима (). Следовательно, статический энергетический штраф () доминирует в общем потреблении миссии, давая плохую чистую эффективность системы (). И наоборот, оснащение периферии настольными GPU ( TDP) сокращает время выполнения модели до , но система упирается в кинематический потолок скорости робота (). Предельная экономия времени () не компенсирует массивное динамическое рассеяние мощности чипа (), и суммарная энергия на задачу взлетает до . Оптимальное окно совместного проектирования возникает в точке баланса (пример — Jetson AGX Orin на ), где инференс модели достаточно амортизирован, чтобы предотвратить статическую утечку энергии шасси, не вводя ненужных штрафов динамической мощности.
Исследование пространства конструкций с учетом робототехники (DSE): Вверху: энергоэффективность системы (решенные в замкнутом контуре задачи на мегаджоуль), проявляющая инвертированную-U парето-границу вдоль семи конфигураций периферийного оборудования. Медленный инференс на недоукомплектованных чипах ведет к статической утечке энергии шасси, тогда как переукомплектованные акселераторы упираются в насыщение кинематической скорости () и страдают от чрезмерного динамического тепловыделения. Внизу: разложение энергии на задачу, раскладывающее статическую энергию дежурного режима шасси и двигателей () против динамического рассеяния акселератора () и выявляющее оптимальный минимум в на задачу для сбалансированных периферийных SoC.
Распределение аппаратных ресурсов
У мобильного манипулятора теперь есть размещение для его пути разрешения, предельный срок, оценка выполнения без нагрузки и испытание, способное опровергнуть разделение. Ничто из этого не доходит до решения о выпуске, пока не записано вместе с условиями, при которых оно держится. Протокол размещения потребляет протокол принудительного обеспечения раздела «Протокол принудительного обеспечения», из которого берет заявленное худшее время выполнения и предельный срок пути разрешения, и добавляет свидетельства того, что заявленная граница держится под нагрузкой на кремнии, где работает путь: область выполнения, привилегию, период, наблюдаемые максимумы без нагрузки и под нагрузкой, настройки арбитража, пороги просадки и тепловые пороги, меры устранения и дайджест журнала испытаний. Нагруженные максимумы решают утверждение независимости, которое держится, только пока каждый из них остается на уровне или ниже заявленного худшего времени выполнения под заявленной нагрузкой; как утверждал раздел «Передача команд вовремя» для любого наблюдаемого распределения задержек, выборочный максимум — свидетельство об этой границе и никогда ее не заменяет.
Протокол состоит из двух частей. Компактный заголовок хранит значения конфигурации и наблюдаемые максимумы и несет дайджест внешнего журнала испытаний. В журнале хранится то, что не укладывается в фиксированную раскладку: инвентаризации, распределения задержек и числа выборок за каждым максимумом, условия испытаний, меры устранения и открытые пределы.
↳ Раскладка по байтам: Смещения и размеры полей протокола размещения приведены в разделе «Протокол размещения».
Для мобильного манипулятора заголовок фиксирует такт 1 ms, предельный срок 400 μs и иллюстративную оценку без нагрузки 135 μs, которая еще не является измеренным максимумом. Флаги мер устранения заголовка включают изолированную шину пути разрешения. Ее поле загрузки остается пустым, ибо для этой машины еще не существует журнала испытаний под нагрузкой. Заполнить его можно лишь кампанией раздела «Проверка разделения испытаниями», выполненной на самой машине: дискретный микроконтроллер тикает, пока прикладной процессор ведет пиковый инференс предложений с полным журналированием, при теплом переходе, с ветвью отказа, исполняемой в тех же пробах. Каждый нагруженный максимум, записанный этой кампанией, должен остаться на уровне или ниже заявленных 250 μs, а начало торможения, отсчитанное от последнего действительного продления, должно наступить в пределах 82 ms. Пока эти измерения не существуют, утверждение независимости разрешения, которое взвешивает раздел «Выпуск в эксплуатацию», покоится на заявленной границе без ничего за ней, и вердикт, которому нужно это утверждение, не может быть вынесен на его основе.
Внешний журнал инвентаризирует каналы памяти, разделы кеша, движки DMA, питающие шины и их конкурирующих претендентов. Для каждого он фиксирует конфигурацию арбитража и измеренные помехи. Для шины разрешения он фиксирует поддержку 2 s, которую проверяет внедрение пропадания подкормки раздела «Внедрение отказов на аппаратуре», и список претендентов, который несет само утверждение об изоляции: микроконтроллер, логику приводов и катушки пружинных тормозов и никакой нагрузки стороны предложения.
Измерению помех нужны его рабочие условия: хеши модели и прошивки, политика тактовой частоты, корпус и тепловой интерфейс, окружающая и температуры перехода, питающая шина, настройки арбитража, генераторы трафика, частоты дискретизации, инструментация, число выборок и длительность испытания. Журнал несет эти поля рядом с распределениями задержек и непроверенными состояниями, которые они квалифицируют, а наблюдаемые максимумы заголовка резюмируют эти распределения. Трасса в тактов раздела «Проверка разделения испытаниями» охватывает лишь 2 ч 46 мин 40 с работы одной машины — слишком мало, чтобы обнаружить любую помеху реже примерно одного такта из , и слишком слабое свидетельство для парка машин.
Каждая запись размещения требует заранее объявленного критерия фальсификации, записанного до исполнения испытания. Этот критерий задает физический порог, составляющий архитектурный отказ, — такой как любой цикл принудительного обеспечения длиннее заявленного худшего случая 250 μs во время одновременных всплесков нейронного акселератора и передач DMA. Протокол фиксирует измеренное распределение относительно этого критерия и указывает, устояло ли проверяемое утверждение или было опровергнуто. Когда помеха нарушает целевой бюджет и вынуждает инженерное изменение, протокол описывает точно примененную меру устранения — например, включение ограничения пропускной способности шины памяти для нейронного акселератора. Запись должна также документировать граничные условия, не проверенные во время прогона испытания, — такие как рабочие состояния выше окружающей температуры отсека 45, внедрение многобитовых ошибок памяти или одновременные отказные состояния сенсорных приемопередатчиков.
Раздел «Верификация» потребляет записанные точки арбитража и общие питающие шины как карту целей для внедрения аппаратных и программных отказов, намеренно портя общие структуры, чтобы проверить, совпадает ли распространение отказов с предсказанными областями отказа. Раздел «Выпуск в эксплуатацию» включает записанные нагруженные границы выполнения и непроверенные пределы испытаний в формальный кейс безопасности, превращая эмпирические измерения в доказательные аргументы для эксплуатационного развертывания.
↳ Ниже по потоку: Кейсы безопасности аппаратного размещения служат доказательными обоснованиями для промышленного развертывания в разделе «Кейсы безопасности и утверждения».
Когда резервирование — шаг
Вопрос: Какие строки бюджета остановки выживают, когда резервирование — шаг, а не остановка?
Размещение защищает один такт, который считает , и бюджет остановки Части III полон для машины, чье резервирование тормозит ее до покоя, как у мобильного манипулятора. У шагающего гуманоида нет состояния покоя, в которое можно затормозить посреди шага, поэтому его резервирование — восстановительный шаг, и каждую строку бюджета нужно перепроверить против этого маневра.
- Возраст наблюдения выживает. Возраст по-прежнему превращается в смещение («От фотонов к пространственным утверждениям»), а на поворачивающейся голове ошибка угловая. Некалиброванный сдвиг камеры–ИМУ
10 msпри повороте головы1.5rad/s смещает точку в5 mвпереди на7.5 cm.- Обязательство меняется. Зафиксированный стоп-суффикс раздела «Поведение на стыке» становится проверенным шагом, допускаемым вместе с траекторией как раньше, но завершающимся на новой точке опоры, а не в покое.
- Врезка меняется. Ограничение баланса может иметь относительную степень выше единицы — тот случай, который раздел «Безопасные множества как условное разрешение» разрешает для чистого запаса хода, вкладывая скорость в барьер. Барьеру баланса нужна та же конструкция, и врезка слежения тогда применяется к порождаемому им барьеру.
Заблуждения и ловушки
Размещение определяет физические ресурсы, которые делят сложные алгоритмы предложений и критичные процедуры принудительного обеспечения. Трассы нормальной работы не способны доказать, что эти системы действительно независимы, когда редкие физические события — такие как переходные процессы напряжения питания, отказы тактовых сигналов, конкуренция за память или зависший производитель — нагружают эти общие аппаратные пути.
Заблуждение и ловушка
Заблуждение: Логические кольца привилегий защищают механизмы принуждения реального времени от электрической просадки общей шины.
Предположим, мобильный манипулятор поместил бы свое lockstep-ядро разрешения на питание акселератора в одном SoC. Просадка раздела «Конкуренция за общие ресурсы» тогда растянула бы задержку распространения каждого вентиля на этой общей шине на
39процентов, включая вентили ядра разрешения, какой бы приоритет ни имело его ПО. Ядро, чья тактовая частота оставляет меньше временнóго запаса, чем это растяжение, пропускает время установления на своих критических путях. Оба lockstep-ядра видят одну и ту же просадку, поэтому способны зафиксировать одно и то же неверное значение, а компаратор останется немым, либо детектор просадки сбрасывает механизм принуждения, пока основание движется. Контроллер доступа решает, по каким адресам механизм принуждения может писать; у него нет слагаемого для напряжения на его триггерах. Квалификация размещения должна ограничить просадку развязывающей емкостью или пределами скорости нарастания и показать временной запас под заявленной ступенью тока, либо убрать общее питание. Машина убирает его, работая путем разрешения на изолированной шине с поддержкой раздела «Какой бюджет ограничивает первым», из которой акселератор не потребляет.
Заблуждение и ловушка
Ловушка: Совместное использование фазовых автоподстроек частоты (PLL) или контроллеров сброса между доменами предложения и разрешения.
Если бы прикладной процессор машины и домены разрешения делили одну PLL и один контроллер сброса («Аппаратная изоляция»), тепловой отказ тактовой частоты или сброс сторожевого таймером зависшего кластера политики мог бы остановить и домен разрешения. Номинальная блок-схема показывает отдельные процессоры, однако оба зависят от хрупкой кремниевой инфраструктуры, которую одно событие способно молча выключить. Проследите деревья тактовых сигналов и сброса через физическую реализацию, чтобы обеспечить независимые ресурсы для непрерывного принудительного обеспечения. Приводам основания и руки также нужен определенный аппаратный переход в безопасное состояние, когда разрешенные команды перестают поступать; перезапуск прикладного процессора не может быть единственным механизмом восстановления.
Заблуждение и ловушка
Заблуждение: Низкая средняя загрузка шины памяти гарантирует ограниченную задержку чтения для задач безопасности реального времени.
Предположим, путь разрешения машины читал бы свой сенсорный снимок из общей DRAM, где умеренное среднее использование шины скрывает всплески камеры и журналирования, совпадающие с его чтениями. Загруженное чтение раздела «Загруженное чтение пути разрешения на общем кристалле» укладывается в допуск на восприятие, только пока перед ним стоит одна накопившаяся порция, и ничто в среднем не ограничивает, сколько их будет. Предполагаемый хвост чтения
320 μsоставляет80 μsот предельного срока400 μs— меньше, чем95 μs, которые требуют оценка ограничений и запись кадра приводов, так что эта конфигурация несостоятельна. Согласованный снимок TCM способен убрать чтение из общей DRAM, если его завершение DMA, емкость и локальное время передачи квалифицированы. Одной средней загрузки недостаточно, чтобы установить предельный срок.
Заблуждение и ловушка
Ловушка: Использование блокирующих программных мьютексов через границы межпроцессорной связи с недоверенными нейронными политиками.
Политика фрагментов падает посреди публикации фрагмента из
16заданий. Механизм принуждения, вынужденный захватить блокировку, удерживаемую этим производителем, замер бы вместе с ним, поэтому контракт границы раздела «Контракт границы» не допускает блокирующей синхронизации. Его seqlock позволяет механизму принуждения отклонить разорванную запись, не ожидая, и продолжить своим резервированием, но лишь если само поведение повторных попыток имеет границу. Контракт связи должен задавать временное поведение прерванных публикаций столь же строго, как формат полезной нагрузки.
Итоги
Платформы физического ИИ размещают обученных инициаторов на прикладных процессорах и акселераторах, а путь разрешения — на микроконтроллере на голом железе, однако одного этого распределения недостаточно, чтобы развести их, ибо границы привилегий не управляют ни одним из физических ресурсов, которые оба пути все еще делят. Разбиение поэтому остается проектной гипотезой, пока загруженное испытание не опровергнет ее.
Физическую изоляцию должны подкреплять измеренные границы очередей памяти, арбитража кроссбара, переходных процессов питания и пути актуаторов. Результат размещения — эмпирическое утверждение, ограниченное областью измеренных условий. Успешный протокол размещения показывает, что при заявленной стрессовой нагрузке, исполняемой при определенной окружающей температуре, с фиксированными политиками управления тактовой частотой и задокументированными областями отказов, общие физические подложки кристалла не привели к тому, что недоверенный путь нарушил временные ограничения пути безопасности. На складском мобильном манипуляторе изображение политики фрагментов и пути разрешения в отдельных рамках на архитектурной схеме не изолировало бы их от общего стабилизатора напряжения, общей шины-кроссбара памяти или радиатора, зажатого поверх обоих кластеров процессоров. Если бы акселератор, исполняющий обученное предложение, потреблял пиковый ток, пока каждый канал памяти обслуживает передачи прямого доступа к памяти, результирующее падение напряжения достигло бы размещенного рядом ядра разрешения за наносекунды, а тепло — за секунды; машина помещает это ядро на отдельный кремний именно по этой причине. Границы, начерченные при системном проектировании, существуют на кремнии, лишь будучи проверенными против этих общих электрических, тепловых и архитектурных пределов.
Протокол размещения несет эти свидетельства дальше. Он берет заявленное худшее время выполнения и предельный срок пути разрешения из протокола принудительного обеспечения и добавляет нагруженные наблюдаемые максимумы для заявленных условий испытаний, запасы очередей общих ресурсов и питания, общие пути отказов питания, тактовых сигналов, сброса и памяти, а также условия, оставшиеся непроверенными. Собственный протокол машины удерживает иллюстративную оценку без нагрузки 135 μs против заявленного худшего случая 250 μs внутри предельного срока 400 μs и все еще ждет нагруженный журнал, который должен назвать политику арбитража, тактовые частоты, число выборок и физическую конечную точку до того, как на него сможет опереться любое заявление о выпуске.
С завершением этого анализа размещения стадии Части III складываются в единую машину, которую надлежит измерять как одно целое. Контракт наблюдений, протокол оценки, аренда намерения, протокол траектории, протокол принудительного обеспечения и протокол размещения образуют одну цепь, каждое звено которой — утверждение с условиями, поэтому порождающие их стадии нельзя считать независимыми программными модулями, общающимися через идеализированный канал. Логические границы, установленные в предыдущих главах, дают структуру, нужную для рассуждений о полномочиях и распространении отказов, но их исполнением управляет физическая реальность. Контроллер памяти следует настроенному арбитражу и планированию строк, которые не обязаны отражать программную привилегию, а прерывание способно прийти во время любой из нагрузок. Когда путь разрешения допускает задание скорости основания, действие — последний шаг конвейера, чьи временные, энергетические и памятные следы должны измеряться вместе на одном шасси. Ранние главы предполагали, что обученные нагрузки не могут задержать путь разрешения, которого требует принцип «Предложение — не разрешение», а размещение превращает это допущение в фальсифицируемый порог с испытанием на стресс и протоколом за ним. Часть IV наследует три вещи, которые цепь оставляет открытыми: запас готового бюджета остановки, неурегулированную предпосылку правила пересечения площадки и пустое поле загрузки протокола размещения.
Гетерогенное размещение на кремнии и конкуренция за память
- Логическое разделение — гипотеза об аппаратуре: Кольца привилегий управляют тем, к каким адресам может прикасаться задача, а не тем, где ждут ее запросы, какая шина ее питает и от какого дерева тактовых сигналов и сброса она зависит. Утверждение независимости держится, лишь после того как загруженное испытание не смогло его опровергнуть.
- Средние не могут ограничить предельный срок: На отвергнутом общем кристалле одна накопившаяся порция транзакций плиток весов, камеры и телеметрии растягивает чтение снимка пути разрешения с
0.32до28.564. Более5таких порций пересекают заявленное худшее время выполнения, чего ничто в среднем не запрещает. Размер транзакции, политика очередей и поведение обхода решают ожидание, поэтому граница принадлежит контроллеру памяти.- Связь идет на трех временных масштабах: Просадка шины действует за наносекунды, очередь — за микросекунды, а термический троттлинг длится секунды после остановки нагрузки. В отвергнутом размещении с общим кристаллом вдвое сниженная тактовая частота растягивает
250 μsцикл механизма принуждения до500 μsна2 175тактов.- Заявленная граница — порог фальсификации: Любой нагруженный цикл выше заявленного худшего времени выполнения опровергает независимость, даже когда предельный срок еще держится, ибо каждый запас выше механизма принуждения был вымерен по этому числу. Успешная трасса поддерживает только проверенные ею состояния.
- Опровергнутое утверждение требует выбора с ценой: Резервирование стоит простаивающей мощности, разбиение — рабочего набора, сокращение нагрузки — полномочий политики, а перенос добавляет межсоединение на уровне платы, чей худший случай должен укладываться в допуск на дрожание продления аренды.
- Протокол размещения задает область показанного: Он берет заявленное худшее время выполнения и предельный срок из протокола принудительного обеспечения и добавляет нагруженные наблюдаемые максимумы, меры устранения и непроверенные условия. На мобильном манипуляторе поле загрузки все еще пусто, поэтому утверждение независимости доходит до рассмотрения выпуска без свидетельств.
От размещения вычислений к вмешательству супервизора
Что происходит с бюджетом остановки, когда самая медленная задержка принадлежит человеку? Каждая задержка, рассмотренная в этой главе, принадлежала машине (чтение в очереди, растянутый вентиль, затроттленная тактовая частота), и каждую можно ограничить или опровергнуть испытанием на шасси. Раздел «Вмешательство супервизора» открывает Часть IV задержкой, которую не может ограничить никакое размещение. Удаленный ассистент, перехватывающий мобильный манипулятор в проходе, реагирует медленнее любого слагаемого, измеренного здесь, по межсоединению, которым путь разрешения не управляет, и эта реакция тратит тот же бюджет остановки. Полномочия должны тогда переходить между обученным инициатором, путем разрешения и человеком так, чтобы сама передача не порождала движения, которое она призвана предотвратить, и каждый такт должен фиксировать, кто ими владел.
-
Механика индуктивной просадки напряжения: В высокопроизводительном проектировании VLSI индуктивная просадка напряжения () возникает на паразитной индуктивности () выводов корпуса распределения питания и кремниевых сетях питания, когда большое число логических вентилей переключается одновременно. Если напряжение локальной шины опускается ниже минимального рабочего порога (), цифровые триггеры испытывают нарушения времени установления, метастабильности или сбросы по просадке питания, нарушающие детерминированное выполнение реального времени. ↩
-
Архитектура гетерогенной системы на кристалле: Гетерогенные SoC объединяют несколько различных вычислительных доменов на одной кремниевой подложке, сочетая высокопроизводительные прикладные процессоры и нейронные акселераторы с детерминированными островками безопасности реального времени. Хотя блоки управления памятью изолируют программные адресные пространства между доменами, аппаратные подсистемы продолжают делить сети распределения питания, деревья распределения тактовых сигналов и контроллеры DRAM. При пиковых когнитивных всплесках нагрузки нескоординированная конкуренция за ресурсы в этих общих физических структурах способна ухудшить время отклика реального времени за критические физические предельные сроки. ↩
-
Двухъядерное дублированное (lockstep) исполнение: Два ядра могут исполнять согласованные потоки инструкций, а логика компаратора обнаруживает выбранные расхождения. Охват обнаружения, задержка, уязвимость общей шины и диагностический отклик зависят от устройства и кейса безопасности применения, поэтому lockstep — один элемент аргумента ASIL D, но не весь он. ↩
-
PREEMPT_RT: Конфигурация Linux реального времени снижает часть задержек планировщика, но ее хвост зависит от ядра, драйверов, нагрузки и общего оборудования. Без измерений не следует ни переносимого результата ниже , ни сравнения с голым железом. ↩
-
Аппаратная защита памяти и домены IOMMU: Физические кремниевые структуры, принудительно обеспечивающие пространственную изоляцию адресов. Пока встроенный блок защиты памяти (MPU) ограничивает выполнение потоков CPU границами сегментов памяти, блок управления памятью ввода-вывода (IOMMU) транслирует и контролирует запросы прямого доступа к памяти (DMA) от мастеров периферийных шин (таких как нейронные акселераторы PCIe или десериализаторы камер), физически препятствуя недоверенному устройству портить буферы состояния безопасности. ↩
-
Авиационная сертификация многопроцессорных систем: FAA Advisory Circular AC 20-193 и CAST-32A формализуют анализ помех для критичных по безопасности авиационных систем. Руководство требует ограничивать худшие времена выполнения, показывая, что общие кеши, кроссбары межсоединений и контроллеры памяти не способны привести к пропуску предельных сроков критичными задачами. Без принудительно обеспечиваемых аппаратных разбиений качества обслуживания или выделенных каналов межсоединений межъядерный трафик памяти обесценивает одноядерную границу тайминга. ↩
-
Окрашивание кеша и разбиение по путям (ways): Методы распределения общей емкости кеша между конкурирующими задачами. Программное окрашивание кеша разбивает выделение физических страниц так, чтобы адреса разных процессов отображались на непересекающиеся наборы кеша, тогда как аппаратные механизмы разбиения (такие как ARM Memory System Resource Partitioning and Monitoring, MPAM, или Intel Cache Allocation Technology, CAT) динамически ограничивают кеш-пути (ways), которые способен выделить недоверенный нейронный акселератор, предотвращая вытеснение линий в критичных потоках безопасности. ↩
-
Конфликты банков DRAM: Другая строка в том же активном банке может потребовать предзаряда и активации перед обслуживанием столбца. Фактическое отображение банков, перекрытие и планирование определяют добавленную задержку. ↩
-
Модель задержки КМОП с альфа-степенным законом: Модель использует с и . Она связывает напряжение питания с задержкой переключения одного вентиля; отказы установления и поведение при просадке питания приходят из характеристики устройства. ↩
-
Микроархитектурные временные аномалии: В архитектурах с внеочередным и спекулятивным исполнением локальное улучшение производительности, такое как попадание в кеш или ускоренная оценка ветвления, способно изменить планирование инструкций и конкуренцию за ресурсы, приводя к чистому росту глобального времени выполнения. Это контринтуитивное поведение обесценивает простой композиционный анализ худшего времени выполнения. Верификации безопасности нужна обоснованная граница для заявленной нагрузки, арбитража, температуры и условий отказов; одних измерений и одного лишь неспекулятивного ядра недостаточно, чтобы установить жесткую сквозную границу. ↩
-
Старение кремниевой подложки и временные запасы: Долгосрочные механизмы деградации подложки, такие как нестабильность порога при отрицательном смещении (NBTI) и инъекция горячих носителей (HCI), годами эксплуатации постепенно увеличивают задержки переключения транзисторов. В сочетании с переходной просадкой напряжения питания при внезапных ступенях тока нескольких ядер () старый кремний испытывает задержки распространения, превышающие проектные запасы. В системах жесткого реального времени эти физические деградации тайминга вызывают перемежающиеся гонки и пропуски предельных сроков планировщика, которые никогда не проявляются при чистой стендовой квалификации. ↩
-
Автомобильная свобода от влияния (FFI): ISO 26262, часть 9, формализует Freedom From Interference (FFI) как отсутствие каскадных отказов между программными элементами с разными уровнями целостности безопасности. В гетерогенных робототехнических SoC достижение FFI требует принудительно обеспечиваемого аппаратного пространственного разбиения (блоки защиты памяти, страничные таблицы IOMMU) и временнóго разбиения (арбитраж шины с фиксированными приоритетами, TDMA-межсоединения), чтобы недоверенные модели восприятия не ухудшали задачи принудительного обеспечения, критичные по безопасности. ↩
Управление машиной
Демонстрация модели физического ИИ в контролируемой лаборатории — веха. За пределами стенда пыль закрывает линзы, освещение меняется, беспроводные сети теряют пакеты, редукторы изнашиваются, а люди-коллеги разделяют путь машины. Каждое изменение может обесценить предпосылку, использованную для разрешения движения. Протоколы времени выполнения Части III опираются на предпосылки такого рода: бюджет остановки, который держится, только пока жив его запас, правило пересечения, основание которого все еще открыто («Оценка сквозь окклюзию»), и протокол размещения с пустым нагруженным полем.
Свидетельства ограничивают полномочия
Инвариант: Полномочия на эксплуатацию предоставляются по каждому эксплуатационному условию свидетельствами, чей возраст, происхождение и пределы записаны, и истекают вместе с ними. Ноль отказов в независимых стационарных испытаниях ограничивает интенсивность отказов величиной около при уровне доверия 95 % («Пределы физических испытаний»).
Следствие: Кто может командовать машиной, что испытывали тесты и в какие условия она может входить, решается по протоколу, а не по демонстрации. Предпосылку, которую свидетельства не могут уладить, ограничивает эксплуатацию через сокращенную огибающую, пассивный предел или отказ, и она остается открытой, пока ее не закроет заявленное испытание.
- Вмешательство супервизора («Вмешательство супервизора»): Решает, кто владеет полномочиями над каждым актуатором в каждый момент, когда человек и обученный инициатор делят машину, и создает протокол полномочий.
- Верификация («Верификация»): Решает, какие отказные испытания бросают вызов каждому утверждению и как считать их исходы, и создает протокол отказов.
- Выпуск в эксплуатацию («Выпуск в эксплуатацию»): Решает, может ли машина работать и при каких действующих условиях, и создает манифест выпуска.
Часть IV передает дальше манифест выпуска и предпосылки, которые он не смог закрыть. Манифест связывает протокол оценки, протоколы отказов, протокол размещения и протокол полномочий в утверждения с вердиктом (безусловная эксплуатация, условная эксплуатация или отказ) и действующими условиями, которые его отзывают. То, что свидетельства не смогли уладить, уходит в раздел «Эпистемическая граница», где каждая открытая предпосылка входит в реестр остаточных утверждений со своим отсутствующим наблюдаемым, своим ограничением, своим владельцем и испытанием, способным ее закрыть.
Вмешательство супервизора
Цель
Когда человек хватается за органы управления работающей машины, как передать кинетические полномочия, не вызвав самое столкновение, которое он стремился предотвратить?
Когда человек-супервизор заявляет полномочия над автономной системой, запрос перехвата достигает аппаратуры, уже движущейся под нейронным управлением. Наивное смешивание человеческих и автоматических команд без строгого арбитража дает конфликтные управляющие воздействия, тогда как мгновенное переключение грозит тяжелым механическим ударом или внезапной потерей сцепления. Безопасная архитектура вмешательства должна явно назначать кинетические полномочия, принудительно обеспечивать безударную передачу команды и проверять, что передача сохраняет динамическую осуществимость на всем окне перехода.
Ключевой момент: когнитивное время реакции человека и задержка передачи телеметрии расходуют тот же физический бюджет остановки, что и алгоритмическая задержка; оператор не может служить резервированием безопасности с нулевой задержкой. Когда сигналы живости супервизора пропадают или передача буксует, машина должна независимо включать детерминированное резервирование. Каждое вмешательство должно неизменяемо записываться с микросекундными метками времени, чтобы отделить автономные отказы от восстановлений оператором. В пределах огибающей управления супервизорное вмешательство рассматривает человеческий вход как внешнее предложение, которое должно пройти через детерминированный путь разрешения, прежде чем пересечь каузальную границу.
Цели обучения
- Определить разрешения оператора, связывающие допущенные действия с охватом, предельными сроками и требованиями аутентификации
- Рассчитать позднейшее время резервирования и потолки скорости перехвата по задержке реакции и оставшемуся запасу хода для остановки
- Спроектировать передачи полномочий с единственным источником записи в актуатор и сохранением непрерывности команды в пределах физических ограничений
- Различать отказ политики, передачу полномочий и человеческое восстановление в протоколах полномочий с метками времени
- Оценить, может ли протокол полномочий восстановить полномочия команд и физические исходы после инцидента
Разделенные полномочия
Человека-супервизора часто рисуют одной стрелкой к объекту управления. Когда паллета блокирует проход, складскому мобильному манипулятору нужен удаленный ассистент, который перехватит управление, однако на выбранной скорости хода 1.3 m/s пауза в 2 s (условная величина; см. Руководство для читателя) до торможения унесла бы его на 2.6 m — более чем вдвое свободного расстояния 1.10 m у торца стеллажа. Запрос оператора достигает машины, уже движущейся по допущенной команде; он не может стереть импульс или заставить актуатор откликнуться мгновенно. Арбитр — шаг выбора источника в пути разрешения — должен решить, кто может предложить следующую команду, а механизм принуждения, его проверка допуска, — допустить или отвергнуть ее; и то и другое работает на микроконтроллере безопасности (MCU). У объекта управления все еще должен оставаться достаточный запас хода, чтобы выполнить выбранную остановку. Резкое переключение задания запрашивает ступень момента, которую приводы и нагрузка должны поглотить. Запоздалое переключение может исчерпать пространство для остановки, даже когда оба регулятора по отдельности ведут себя хорошо.
↰ Предпосылка: Граница предложения из раздела «Машина в пяти уровнях» и третий закон из раздела «Четыре фундаментальных закона», который она принудительно обеспечивает, задают базис для супервизорного вытеснения.
Классические иронии автоматизации Бейнбриджа Bainbridge, 1983 отмечают, что автономная система склонна оставлять человеческих операторов ответственными за редчайшие, наиболее сложные пограничные случаи, одновременно лишая их непрерывного ручного участия, необходимого для поддержания ситуационной осведомленности. Когда удаленный ассистент перехватывает мобильный манипулятор в заблокированном проходе, супервизорные полномочия действенны лишь тогда, когда они отображаются на исполнимый физический отклик, ограниченный моментом актуатора и пределами термического снижения номинала. Перехват управления уже движущейся машиной заставляет систему разрешить два тесно связанных вызова одновременно: арбитраж дискретных состояний без неоднозначности в программном обеспечении и непрерывный переход траектории без механического удара в объекте управления. В дискретном программном обеспечении архитектура должна исключить исполнение с раздвоенным управлением, когда обученная политика и человек-оператор выдают одновременные конфликтные задания момента. В контроллере этой главы на независимый механизм принуждения отзывает токен исполнения политики — ее право иметь допущенные предложения, — и фиксирует ее последнюю одобренную заданную величину в момент обязательства, после чего остается единственным источником записи в актуатор на всем последующем смешивании. В непрерывной динамике путь разрешения должен выполнить безударную передачу: смешивание между зафиксированными концами команды, согласование начальных скоростей, разгон каждой команды в пределах ее потолка скорости нарастания и проверку измеренных пределов объекта управления в ходе перехода.
События вмешательства достигают и жизненного цикла машинного обучения. Спасенный эпизод, записанный без момента своей передачи, выглядит как экспертная демонстрация тех самых состояний на грани отказа, из-за которых потребовалось спасение. Раздел «Данные вмешательств и восстановления» показывает, как корректирующая агрегация вместо этого метит собственные состояния обучаемого, а для этого протокол вмешательства должен сохранять трассировку из времени до перехвата. Поэтому криминалистический протокол полномочий проставляет метки времени каждого перехода полномочий по часам микроконтроллера безопасности. Момент обязательства отмечает границу между отказными свидетельствами, принадлежащими политике, и человеческим восстановлением.
Первое проектное решение — операционное. Оно закрепляет, какое именованное вмешательство может достичь какого физического канала и как долго машина может его ждать.
Человеческие полномочия над исполнением команды
Удаленный ассистент, расчищающий заблокированный проход, и коллега, снимающий кружку с захвата, действуют на одной машине, и ни один не должен обладать полномочиями другого. Полномочия нельзя привязать к обобщенной человеческой роли или абстрактному блоку надзора. Они должны привязываться к конкретным именованным операциям с явными временными бюджетами, физическими степенями свободы и детерминированными правилами вытеснения. Вместо того чтобы давать оператору широкие административные полномочия, путь разрешения ведет явную матрицу возможностей — таблицу разрешений, отображающую отдельные операции (такие как аварийное отключение питания, корректировка скорости, вето на путь траектории или ручное управление базой и рукой) на аутентифицированные роли, что отражает классические таксономии человеческого супервизорного управления1 Sheridan, 1992 и многоуровневой автоматизации Parasuraman et al., 2000. Каждая запись этой матрицы определяет точные каналы актуаторов, которыми управляет операция, уровень вытеснения, который она несет над обученной политикой, и максимальную допустимую задержку распространения от физического входа до отклика актуатора.
Именование операций разделяет вмешательство и принудительное обеспечение безопасности — два механизма, которые системные архитектуры обычно смешивают. Принудительное обеспечение отказывает кандидатному действию, предложенному обученной моделью, в разрешении — изменяя, ограничивая или отвергая задание, — и оставляет машину под автономным управлением. Вмешательство передает полномочия от модели внешней сущности, завершая автономную работу и давая супервизору право предлагать, тогда как каждая команда все еще проходит через путь разрешения. Фильтр принудительного обеспечения стоит в быстром контуре управления и не дает политике требовать маневр с превышением тока или нарушать сертификат барьера Ames et al., 2019 при номинальном слежении, соблюдая тепловые пределы актуатора, установленные в разделе «Пять физических бюджетов», и границы кинодинамической осуществимости из раздела «Кинодинамическая осуществимость». Механизм вмешательства лишает политику токена исполнения, когда нарушена эксплуатационная граница или оператор требует управления. Система, оснащенная принудительным обеспечением, но лишенная вмешательства, не может быть перенацелена, когда меняется человеческий замысел или внешние условия выходят за проектную огибающую политики. И наоборот, система с вмешательством, но без принудительного обеспечения позволяет запаздывающему оператору довести объект управления до структурного отказа при номинальном ручном управлении.
Например, удаленный ассистент, наблюдающий за мобильным манипулятором, может обладать подписанной возможностью вето на траекторию для канала планировщика базы: роль remote_assistant, операция veto_path, канал planner_proposal, уровень вытеснения выше обученного планировщика, но ниже локального механизма принуждения, аутентифицированная сессия и одноразовый код (nonce), а также выведенный из запаса хода предельный срок подтверждения. Механизм принуждения отвечает на действительное вето проверенным локальным удержанием или остановкой. Та же сессия несет вторую запись, manual_drive, на каналах скорости базы и шарниров руки, которая активируется лишь через передачу, принимающую обязательство в пределах выведенного из запаса хода предельного срока, и истекает вместе с арендой ручного управления из раздела «Переходы полномочий»; каждая команда, которую она несет, все еще проходит проверку разрешения. Пакет момента привода колеса с этим удостоверением отклоняется, поскольку ни одна запись не дает канал момента привода колес базы. Коллега на упаковочной станции обладает другой записью, accept_item, которая позволяет коллеге взять из захвата кружку, которую рука сняла с конвейера выдачи («Обоснованное намерение», «Планирование траекторий»). Эта запись не дает полномочий на движение. Канал передачи предмета протокола принудительного обеспечения («Протокол принудительного обеспечения») ограничивает приближение руки к руке коллеги скоростью 0.10 m/s — ниже потолка контакта 0.118 m/s, и никакая возможность не снимает этот потолок. Каждая запись возможности связывает актора, операцию, канал, предельный срок, аутентификацию, уровень вытеснения и резервирование; одна лишь действительная подпись не дает полномочий на движение.
Когда оператор предпринимает вмешательство, человеческая биология накладывает бюджет задержки жесткого реального времени, прежде чем станет возможным любое физическое корректирующее действие. Время реакции человека — не единичное событие, а каскадный конвейер физиологических и механических стадий. Для оператора, следящего за потоком телеметрии машины, стадия сенсорного узнавания охватывает время, за которое свет достигает сетчатки, проходит по зрительному пути и регистрируется как оптическая аномалия. Затем следует стадия ситуационной оценки, в которой оператор осознает, что обученная политика дрейфует к опасности, и выбирает подходящее противодействие. Наконец, стадия моторного исполнения охватывает передачу моторных сигналов по спинному мозгу, набор мышц кисти и физическое перемещение переключателя переопределения. Сумма длительностей этих последовательных стадий устанавливает физиологический нижний предел реакции перехвата. С учетом сетевого транспорта и задержки коммуникационного рукопожатия суммарная задержка супервизорного перехвата раскладывается так:
На протяжении этого интервала реакции машина продолжает двигаться по последней допущенной команде, пока сигнал вмешательства не достигнет арбитра, поэтому прибавление задержки перехвата к в уравнении «остановочный путь тела» дает расстояние, которое расходует передача. Поскольку ход за время реакции растет и от задержки, и от скорости, задержка, помещающаяся на ползучем ходу, может израсходовать весь запас хода на скорости хода.
↰ Предпосылка: Уравнение остановочного пути, предтормозную задержку которого удлиняет перехват, выведено в разделе «Кинетический импульс».
Готовый бюджет остановки из раздела «Огибающие остановки» («Бюджет остановки складского манипулятора») показывает, во сколько обходится «нижний предел реакции» мобильному манипулятору. На скорости хода 1.3 m/s он оставляет 102.6 mm из свободного расстояния 1.10 m у торца стеллажа. Задержка перехвата прибавляется к собственной предтормозной задержке машины , и каждая ее миллисекунда становится ходом на скорости хода:
- Режим 1: прямое двустороннее телеуправление: Ассистент в контуре с гаптическим каналом и активным проприоцептивным контуром откликается в пределах условных
150 ms, включая транзит по шине. За эту задержку машина проходит195 mm— уже больше запасного интервала, поэтому на скорости хода даже с этим перехватом остановка машины закончилась бы за свободным расстоянием у торца стеллажа. Решение бюджета относительно скорости с прибавленным к значением ограничивает машину1.22 m/s. - Режим 2: пассивный супервизорный перехват вне контура: Когда ассистент пассивно наблюдает телеметрию нескольких машин, сенсорное узнавание потребляет
300 ms, когнитивная ситуационная оценка требует1 200 ms, моторное срабатывание переключателя занимает300 ms, а сетевой транспорт и накладные расходы протокола рукопожатия добавляют200 ms. По «нижнему пределу реакции» задержка перехвата возрастает до2 s, за которые машина проходит2.60 m— более чем вдвое свободного расстояния — до любой тормозной команды. То же решение ограничивает машину0.40 m/s.
В режиме 2 на скорости хода машина достигла бы неподвижного препятствия у торца стеллажа на полной скорости, ибо контакт происходит раньше, чем начинается торможение. Поэтому задержка повторного вовлечения человека устанавливает потолок эксплуатационной скорости, который не способен поднять ни актуатор с большим усилением, ни тормозная колодка, а раздел «Переходы полномочий» превращает эти два потолка в скорости, на которых машина может запрашивать каждый вид перехвата.
Бюджет перехвата и запас свободного расстояния
Концепция: Остановочный путь при человеческом вмешательстве суммирует каждый источник задержки и расстояния, прежде чем машина остановится. На мобильном манипуляторе есть четыре слагаемых:
- Слепой ход машины: расстояние, пройденное за собственную предтормозную задержку машины (), из раздела «Бюджет остановки складского манипулятора».
- Ход перехвата: расстояние, пройденное за то, как оператор воспринимает препятствие, решает, действует, а команда пересекает сеть ().
- Резидентная остановка: стоп-суффикс из раздела «Поведение на стыке», при .
- Постоянные накладные расходы: .
Проработанное сравнение: На скорости хода
1.3 m/sпротив свободного расстояния1.10 mу торца стеллажа:
- Прямое двустороннее телеуправление (
150 ms):$$d_{\text{stop},1} = v\,\tau_{\text{delay}} + v\,T_{\Sigma,1} + \frac{v^2}{2a_{\text{eff}}} + \delta = 173.68 + 195 + 633.75 + 190 = 1192.43\text{ mm}$$- Перехват вне контура (
2 s):$$d_{\text{stop},2} = v\,\tau_{\text{delay}} + v\,T_{\Sigma,2} + \frac{v^2}{2a_{\text{eff}}} + \delta = 173.68 + 2600 + 633.75 + 190 = 3597.43\text{ mm}$$Системный вывод: Пассивное наблюдение раздувает задержку перехвата с
150 msдо2 sи увеличивает остановку с1.19 mдо3.60 m— примерно в 3 раза. Ни одна не помещается в свободное расстояние1.10 mна скорости хода, поэтому машина замедляется, прежде чем просить любую из них. Кинематический вывод этих остановочных путей см. в разделе «Кинематические огибающие остановки и запаздывание информации».
Физическое напряжение между задержкой человеческой реакции и остановочным путем простирается на каждую мобильную воплощенную систему — от складских манипуляторов в помещении до автономных автомобилей на скоростях шоссе («Бюджет реакции супервизора и запас остановки»). Остановочный путь раскладывается на два фундаментально различных кинематических режима: линейное расстояние дрейфа за время реакции , за которое машина проходит без торможения, пока длятся сенсорная, когнитивная и сетевая задержки, а затем следует квадратичное кинетическое рассеяние . Поскольку дрейф за время реакции масштабируется линейно со скоростью, а торможение — квадратично, супервизор вне контура, пассивно наблюдающий с удаленной консоли (), накапливает свыше 72 метров слепого дрейфа на 100 км/ч, прежде чем включатся физические тормозные колодки. При оценке относительно фиксированного запаса видимости впереди () оставшийся запас хода задает жесткий эксплуатационный потолок. За порогами критической скорости — от 33,7 км/ч для дистанционного телеуправления до 78,3 км/ч для внимательного оператора в контуре — запас хода становится отрицательным (), делая высокоскоростное столкновение физически неизбежным независимо от тормозной силы.
Бюджет реакции супервизора и запас остановки: Двухпанельный кинематический анализ по скорости автомобиля в четырех режимах супервизорного вовлечения () с бортовой задержкой шины 100 мс и торможением . Слева: разложение остановочного пути на линейный дрейф за время реакции и квадратичный тормозной путь против дистанций город (30 м), пригород (60 м) и шоссе (100 м). Справа: оставшийся запас хода при прямой видимости 60 м впереди. Точки пересечения обозначают критические потолки скорости, за которыми столкновение физически неизбежно до полной остановки.
Раздел «Задержка перехвата и потолок скорости» распространяет два режима перехвата на прочие способы, которыми площадка может позволить человеку вмешаться, каждый с условной задержкой. Каждая строка прибавляет свою задержку к и решает готовый бюджет остановки относительно наибольшей скорости, с которой машина все еще останавливается внутри свободного расстояния у торца стеллажа. Потолок падает с 1.22 m/s для прямого двустороннего телеуправления до 0.40 m/s для перехвата вне контура, и ни один режим не помещается на скорости хода 1.3 m/s. Последний столбец называет локальную защиту, которая должна удерживать машину в безопасности, пока идет эта задержка.
| Режим вмешательства | Выбранная суммарная задержка | Добавленный ход на скорости хода | Потолок скорости | Локальная защита |
|---|---|---|---|---|
| Прямое двустороннее телеуправление | 150 ms | 195 mm | 1.22 m/s | Квалифицированные проверки пассивности и скорости |
| Непрерывное управление по скорости | 450 ms | 585 mm | 0.96 m/s | Бортовой допуск скорости и запаса хода |
| Супервизорная выдача путевых точек | 1 150 ms | 1 495 mm | 0.60 m/s | Локальное вето на препятствие и резервирование |
| Перехват вне контура | 2 000 ms | 2 600 mm | 0.40 m/s | Независимая остановка в ожидании |
| Физический защитный вход | 250 ms — отклик человека и устройства | 325 mm | 1.13 m/s | Оцененная по риску защитная остановка |
Задержка перехвата и потолок скорости: Каждая строка прибавляет свою выбранную задержку к предтормозной задержке машины и решает готовый бюджет остановки из раздела «Бюджет остановки складского манипулятора» относительно наибольшей скорости, с которой машина все еще останавливается внутри свободного расстояния у торца стеллажа.
Человеческая реакция медленна и склонна к прерываниям, поэтому ручные полномочия не могут быть бессрочным состоянием. Если оператор принял управление, а затем испытал потерю беспроводных пакетов, физическую недееспособность или когнитивное отвлечение, машина не может оставаться на дрейфе под устаревшими ручными заданиями. Архитектура защищается от выпадений оператора, ограничивая ручные полномочия настроенными и проверенными временными арендами (таймерами обратного отсчета, истекающими без активного периодического продления) и аппаратными устройствами включения, которые требуют непрерывного физического участия для поддержания каналов исполнения команды («Промышленный пульт обучения»). В коммуникационной модели на основе аренд окно делегирования размеряется по коммуникационным бюджетам и бюджетам остановки машины, как показывает аренда ручного управления мобильного манипулятора в разделе «Переходы полномочий». Консоль оператора должна непрерывно транслировать аутентифицированные пакеты поддержания соединения, продляя аренду до истечения предельного срока. Если одно окно аренды истекает без продления или оператор отпускает пружинный физический предохранительный выключатель на контроллере, ручные предложения отзываются в квалифицированный предельный срок обнаружения, а механизм принуждения командует специфичную для объекта управления проверенную остановку или удержание лестницы резервирования («Лестница резервирования»).2
Промышленный пульт обучения: Вид спереди пульта ABB с дисплеем, кнопками, приводом аварийного останова и кабелем. Его задняя рукоятка включения, внутренняя разводка каналов, время отклика и поведение при остановке здесь не видны. Руководство ABB документирует трехпозиционную рукоятку и предел ручного режима 250 мм/с для указанной конфигурации. Фотография Auledas, CC BY-SA 4.0, через Wikimedia Commons; локальная копия перекодирована.
Даже пока оператор удерживает активную аренду, механизм принуждения оценивает человеческие задания по тем же сертификатам барьера, пределам тока и кинематическим пределам, что и обученную модель. Если оператор впадает в панику и командует поворот базы, который опрокинет нагруженную стеллажную тележку, или запрашивает момент шарнира, срезающий зубья редуктора актуатора руки, механизм принуждения отвергает команду. Таким образом, человеческая команда остается предложением, и принцип «Предложение — не разрешение» применяется к ней без изменений. Вмешательство передает право предлагать от обученной политики прочь, тогда как право допускать остается за путем разрешения. Остается спроектировать, как право предлагает переходит из рук в руки, на каком такте, и что делает машина, когда передача буксует.
Переходы полномочий
Владение управлением должно быть дискретным состоянием, а не выводом из смешанной команды. Когда инженерная команда пытается смягчить переходы непрерывным усреднением управляющих векторов автономной политики и человека-оператора, результирующая команда может не выражать ни одного из намерений. Если удаленный ассистент ведет базу влево в обход паллеты, а обученный планировщик ведет вправо, чтобы обойти ее с другой стороны, линейная интерполяция двух команд удерживает курс прямо и ведет базу в паллету.3 Чтобы устранить эту неоднозначность, полномочия управления над каждым каналом актуатора — будь то приводы базы или шарниры руки — должны в каждый дискретный такт времени разрешаться в единственное взаимоисключающее состояние . Состояние резервирования записывает ступень лестницы резервирования («Лестница резервирования»), которую исполняет путь разрешения (удержание, остановка или запрет), а защитное состояние достигается только из независимого защитного входа или квалифицированного критического отказа. Путь разрешения вычисляет логику арбитража, определяет активное состояние и фиксирует эту идентичность на шине, прежде чем диспетчеризовать задания низкоуровневым контроллерам двигателей. Ни в один момент два управляющих источника не пишут в актуатор. В BLEND механизм принуждения единолично владеет каналом актуатора и интерполирует между зафиксированной последней одобренной ссылочной величиной политики и проверенной целью человека.
Каждое ребро в разделе «Матрица переходов автомата состояний полномочий» называет свое условие и предельный срок, своего единственного владельца актуатора и резервирование, применяемое при сбое условия или истечении активной аренды.
↳ Далее: Эти переходы перехвата становятся отказными случаями полномочий, выводимыми в разделе «Вывод списка отказов».
| Откуда → куда | Условие и предельный срок | Владелец актуатора / команда | Отклик на отказ |
|---|---|---|---|
| Autonomous → Handover-Pending | Политика запрашивает надзор; предельный срок вычисляется из запаса хода | Механизм принуждения допускает предложения политики, пока они осуществимы | Проверенное резервирование при достижении предельного срока |
| Autonomous или Handover-Pending → Blend | Подтвержденный ACK оператора, свежее состояние, осуществимая цель и запас остановки; обязательство на такте управления | При обязательстве отзывается токен политики, фиксируются последняя одобренная команда и проверенная ручная цель; в актуатор пишет только механизм принуждения | Отклонить недействительную цель; использовать резидентное резервирование |
| Blend → Human-Manual | Профиль завершен и аренда ручного управления остается действительной | Механизм принуждения допускает живые человеческие предложения в пределах физических ограничений | Проверенное резервирование при потере аренды или устройства включения |
| Handover-Pending, Blend или Human-Manual → Fallback | Тайм-аут, устаревшая аренда или недействительное состояние | Путь разрешения исполняет проверенную ступень HOLD или STOP и записывает ее | Повторное взведение лишь после проверенной процедуры восстановления |
| Любое состояние → Protective | Независимый защитный вход или квалифицированный критический отказ | Контур безопасности / контроллер выбирает специфичную для объекта управления защитную остановку | Проверенные торможение или удержание, а не одно лишь снятие момента |
Матрица переходов автомата состояний полномочий: Каждая строка называет единственного владельца актуатора и зависящее от состояния резервирование. В примере используется такт арбитра . Состояние BLEND интерполирует только зафиксированные проверенные концы под владением механизма принуждения.
Переключение полномочий между этими дискретными состояниями требует детерминированного четырехфазного протокола рукопожатия (Request Acknowledge Commit Confirm). Исполняемый механизмом принуждения, эта четырехстадийная транзакция принудительно обеспечивает взаимное исключение, проверяет криптографическую свежесть (чтобы команды не были устаревшими сетевыми эхами) и атомарно переносит полномочия исполнения команды между дискретными держателями через границу синхронного такта. Последовательность исключает раздвоенное командное противоборство, когда два управляющих источника пытаются вести аппаратуру в противоположных направлениях в одном вычислительном цикле. На первой фазе, фазе Request, сущность сигнализирует намерение передать управление. Это происходит либо когда оператор заявляет переопределение через физический вход — нажатие кнопки или усилие на консоли выше откалиброванного порога, — либо когда автономная политика обнаруживает ухудшение уверенности сенсоров и запрашивает принятие управления человеком. На второй фазе, фазе Acknowledge, механизм принуждения проверяет предпосылки целевого состояния: действительность данных сенсоров, активность связи и физическую способность получателя принять полномочия командования. На третьей фазе, фазе Commit, механизм принуждения исполняет переход состояния на границе синхронного такта управления, отзывая токен политики на затронутых обязательством каналах, фиксируя ее последнюю допущенную конечную величину и проверенную цель человека и назначая механизму принуждения исключительное владение актуатором на всем BLEND. В финальной фазе, фазе Confirm, путь разрешения транслирует по сети пакет подтверждения состояния и запускает физическую обратную связь — такую как гаптическая вибрация или оптические индикаторы, — чтобы сообщить оператору канал за каналом, активно ли смешивание или ручное управление; потерянное подтверждение не меняет зафиксированного владельца.
Иллюстративный четырехфазный бюджет в сумме дает 31 мс; после обязательства смешением владеет механизм принуждения.
Каждая фаза в разделе «Тайминг четырехфазной передачи» несет бюджетную границу, условие и владельца, а также обработку отказа. Транзакция отвергает подделанные инъекции переопределения и направляет прерванные передачи на отдельно проверенный путь резервирования.
| Фаза | Бюджетная граница | Условие и владелец | Обработка отказа |
|---|---|---|---|
| 1. Request | 10 ms | Аутентифицированная роль и свежий nonce, приведенный к часам; владелец не меняется | Отклонить недействительный пакет; сохранить текущий квалифицированный режим |
| 2. Acknowledge | 5 ms | Проверить состояние, ручную цель и полный запас остановки | Отклонить запрос; вызвать резервирование, если текущий режим не может продолжаться |
| 3. Commit | 1 ms tick | Отозвать токен политики, зафиксировать оба проверенных конца, назначить механизму принуждения единственный путь записи в актуатор | Частичных обязательств в запрошенной маске каналов не бывает; резервирование при сбое условия |
| 4. Confirm | 15 ms | Объявить BLEND, затем MAN лишь после проверки профиля и аренды | Потерянное уведомление оповещает оператора, но не отменяет обязательство |
Тайминг четырехфазной передачи: Бюджеты фаз в сумме дают . Подтверждение и физическое смешивание отличаются от атомарного обязательства владения.
Поскольку человеческое внимание непостоянно, запрос передачи, инициированный автономной политикой, не может оставаться открытым бесконечно. Если машина на скорости встречает границу области эксплуатационного назначения (ODD) и запрашивает вмешательство, оператор, отвлеченный, спящий или недееспособный, не завершит рукопожатие. Автомат состояний принудительно обеспечивает более ранний из настроенного потолка протокола и выведенного из запаса хода позднейшего времени резервирования. Рассмотрим неподвижное препятствие на свободном расстоянии — случай, от которого защищает бюджет остановки, — с поступательной скоростью , замедлением резидентной остановки , постоянными накладными расходами и собственной предтормозной задержкой машины . Решение огибающей остановки уравнения «огибающая остановки» относительно задержки, которую может добавить запрос, дает позднейшее время после запроса, к которому может быть диспетчеризовано резервирование:
Микроконтроллер безопасности диспетчеризует резервирование не позднее последнего такта разрешения перед этим предельным сроком; неположительное требует немедленного резервирования и может означать, что остановка уже неосуществима. На мобильном манипуляторе таким препятствием служит паллета, оставленная сразу за торцом стеллажа и появляющаяся в поле зрения лишь на свободном расстоянии, а числитель — это свободное расстояние у торца стеллажа минус готовый бюджет остановки из раздела «Бюджет остановки складского манипулятора» без его слепого хода (), который формула вычитает как время. Таким образом, — это запасной интервал бюджета, затраченный как время. Если политика запрашивает передачу на скорости хода 1.3 m/s, в запасе у машины 102.6 mm, поэтому 78.9 ms. На такте разрешения 1 ms резервирование начинается к 78 ms — задолго до истечения настроенного потолка 500 ms. — зависящий от состояния предельный срок; самого настроенного потолка недостаточно для развертываемого правила безопасности.
Предельный срок решает, какие перехваты машина может запрашивать на скорости. Четырехфазное рукопожатие 31 ms из раздела «Тайминг четырехфазной передачи» помещается в него, поэтому аутентифицированное обязательство может успеть до того, как должно начаться резервирование. Человек не способен откликнуться так быстро. Перехват в контуре на 150 ms из раздела «Человеческие полномочия над исполнением команды» требует скорости 1.22 m/s или меньше, поэтому перед его запросом машина замедляется до выбранной 1.2 m/s. Там бюджет оставляет 209.7 mm, «позднейшее резервирование» дает 174.7 ms, и перехват принимает обязательство с запасом 24.7 ms. Предельный срок на замедлении, а не на скорости хода, управляет каждым перехватом в контуре, который запрашивает машина. Перехват вне контура на 2 s требует 0.40 m/s или меньше, поэтому машина запрашивает его лишь на выбранном ползучем ходу 0.3 m/s или с места. Скрытая паллета не позволяет ни того, ни другого, поэтому машина отвечает на нее собственной остановкой и запрашивает перехват вне контура с места. Замедленное приближение и ползучий ход управляют запросами, которые машина способна предвидеть, и потому удаленный ассистент, обводящий ее вокруг препятствия, перехватывает управление с одной из этих скоростей или с остановки — никогда на скорости хода.
Когда полномочия находятся в , машина должна проверить сигнал вовлечения, которого требует ее проект делегированного управления. Консоль телеуправления может ощущать хват, взгляд или усилие, и проектировщик выбирает между ними по измеренному охвату и частоте ложных потерь. Аренда ручного управления из раздела «Человеческие полномочия над исполнением команды» — аренда в смысле раздела «Многотактные ритмы» на вход оператора — здесь установлена на выбранную 100 ms. После истечения автомат состояний блокирует возврат в или , пока не выполнены заданные условия сброса. Эти условия могут потребовать полной остановки, расследования отказа и нового рукопожатия.
Когда несколько источников управления предлагают команды, путь разрешения разрешает выбор источника через фиксированную иерархию арбитража Brooks, 1986, вычисляемую каждый цикл ниже границы предложения из раздела «Машина в пяти уровнях». Независимый механизм принуждения допускает, изменяет или отвергает выбранного кандидата в пределах настроенных физических ограничений. В при живой аренде человеческое предложение имеет приоритет над выученным. В обученная политика может предлагать действия к допуску. Арбитраж с фиксированными состояниями в этой конструкции занимает ограниченную работу за такт; ему не требуется живого переговора между двумя инициаторами.
Интерфейс вмешательства во время выполнения соединяет четырехфазное рукопожатие с арбитром с ограниченными тайм-аутами и явными переходами резервирования («Рукопожатие полномочий и состояния владельца»).
Рукопожатие полномочий и состояния владельца: Запрос и подтверждение предшествуют атомарному обязательству. При обязательстве токен политики отзывается, а механизм принуждения владеет смешением между проверенными зафиксированными концами; ручные предложения начинаются лишь после завершения профиля при живой аренде. Тайм-аут вызывает отдельно проверенное резервирование.
Единственный писатель делает полномочия однозначными в каждом такте управления, однако переключение без смешивания все еще может запросить резкое изменение команды. Если последний допущенный момент политики на шарнире руки отличается от цели оператора, прямая замена этих заданий запрашивает всю разницу как ступень в пределах одного такта. Зафиксировавший обязательство механизм принуждения вместо этого использует зафиксированные концы, чтобы сгенерировать проверенный профиль перехода с зарезервированным запасом остановки («Непрерывные траектории»).
Протоколы передачи полномочий и ограничение тайм-аутов
Прежде чем проектировать протоколы рукопожатия для передачи полномочий человек-робот, проверьте понимание автоматов переходов состояний и динамики тайм-аутов:
- Семантика переходов конечного автомата: Сможете ли вы проследить детерминированное прохождение между состояниями Autonomous, Handover-Pending, Blend, Human-Manual и Fallback и назвать условие и единственного владельца актуатора на каждом ребре?
- Кинематически ограниченные тайм-ауты: Сможете ли вы вычислить, почему окно тайм-аута для неподтвержденного запроса перехвата должно динамически ограничиваться оставшимся физическим свободным расстоянием, а не фиксироваться как произвольный таймер операционной системы?
- Асимметричная иерархия вытеснения: Сможете ли вы объяснить, почему квалифицированный локальный защитный путь должен укладываться в свой измеренный предельный срок, тогда как восстановление автономных полномочий требует нового рукопожатия допуска?
- Резервирование при истекшей передаче: Сможете ли вы объяснить, почему истекшая или неподтвержденная передача уходит на проверенную ступень остановки, а не обратно к деградировавшей политике, которая ее запросила?
Если какие-либо переходные пути допускают необработанные тайм-ауты или неопределенные промежуточные состояния, протокол полномочий уязвим к путанице режимов и неконтролируемому исполнению команды. Пересмотрите этот раздел, прежде чем переходить к гладкому смешиванию команд.
Передача без разрыва
В момент обязательства механизм принуждения фиксирует последнюю допущенную команду политики и проверенную цель человека . Прямое переключение запросило бы в один такт. Ее идеальная производная команды разрывна, но реальный объект управления фильтрует команду через конечную динамику приводов, тормозов и механики. Большое изменение может возбудить редуктор руки, превысить доступное сцепление ведущих колес или сместить тележку на ее стеллаже. Поэтому передача проверяет и скорость нарастания, и полный запас остановки, а не предполагает, что программный такт мгновенно превращается в физическую силу («Каузальная граница»).
Устранение этой ступенчатой разрывности требует плавного смешивания старой и новой команд в конечном временном окне — прием, известный как безударная передача. Линейное смешивание меняет наклон на своих концах. Для изменения заданного ускорения с фиксированными концами безударный профиль плавно входит и выходит, убирая скачки команды и ее первых двух производных на концах. Стандартная кривая для этого — квинтическое сглаживание.
C² безударный профиль передачи полномочий
безударный профиль передачи полномочий — это принадлежащий механизму принуждения профиль команды между двумя проверенными зафиксированными заданными величинами и , параметризованный монотонной весовой функцией с исчезающими первой и второй граничными производными () на конечном окне смешивания , обеспечивающий непрерывность заданного ускорения и ограниченную производную-рывок при передачах полномочий.
- Значение: Ступень задания имеет неограниченную идеальную производную. Профиль команды устраняет этот разрыв; измеренное слежение актуатора и пределы объекта управления все еще решают физическую осуществимость.
- Отличие: В отличие от пандуса линейной интерполяции, проявляющего разрывы производной на своих концах, квинтический сплайн принудительно обеспечивает исчезающие первую и вторую производные () и на входе, и на выходе, делая заданное ускорение непрерывным с нулевым рывком на концах при фиксированных концах.
- Распространенная ловушка: Использование при фиксированном изменении команды ускорения нарушает заявленный предел рывка команды («Гладкие траектории и безударная передача»). Резонанс, проскальзывание и остановочный путь требуют испытаний на самом объекте управления.
Механизм принуждения смешивает с квинтическим сглаживанием, чьи коэффициенты следуют из требования нулевых первой и второй производных на обоих концах окна («Гладкие траектории и безударная передача»). Это то же свойство , на которое опирается планировщик на своем стыке, где при переключении не появляется ступень ускорения («Поведение на стыке»); здесь переключение происходит между инициаторами, а не между сегментами траектории. Приложение также выводит кратчайшее окно, удерживающее фиксированное изменение заданного ускорения в пределах выбранного предела рывка команды . Та же граница применима к команде момента, поэтому иллюстративное изменение 15 N·m в одном из моментов шарниров руки под потолком скорости нарастания 750 N·m/s занимает по крайней мере 37.5 ms.
Увеличение снижает пиковый рывок команды профиля, но откладывает полную цель человека и может удлинить остановочную траекторию. Рассмотрим перехват удаленным ассистентом базы мобильного манипулятора, принятый обязательством, пока машина идет на 1.2 m/s, до которых замедлилась перед запросом («Переходы полномочий»), и предположим, ассистент командует остановку с замедлением торможения сценария — фиксированной ступенью 2 m/s² от зафиксированной команды хода. Механизм принуждения удерживает смешивание в пределах 8.89 m/s³ — пикового рывка резидентной остановки с той же скорости («Поведение на стыке»), так что передача нагружает стеллажную тележку не резче, чем собственная остановка машины. Затем граница сглаживания задает минимальное окно смешивания 421.88 ms. Вес сглаживания усредняется до половины за окно, поэтому база покинула бы смешивание на 0.78 m/s, пройдя 455.4 mm, а торможение оттуда до полной цели заняло бы еще 151.4 mm — итого 606.8 mm до покоя.
↰ Предпосылка: Профили безударной передачи с ограниченным ускорением строятся на физических ограничениях остановки, принудительно обеспечиваемых в разделе «Огибающие остановки».
Мгновенный ступенчатый перехват остановился бы на 360 mm, поэтому безударное смешивание накладывает пространственный штраф 246.8 mm.4 Смешанная остановка также на 66.8 mm длиннее резидентной остановки 540 mm с той же скорости. Таким образом, смешивание расходует запас остановки сверх остановки, которую держит бюджет. Механизм принуждения допускает каждый смешиваемый такт, лишь пока резидентная остановка из результирующего состояния все еще помещается, а там, где не помещается ни одно смешивание, база получает саму резидентную остановку — суффикс, который исполняет ступень остановки лестницы резервирования («Лестница резервирования»). Обход окна смешивания применением ступени ускорения в пределах одного такта разрешения 1 ms вместо этого запросил бы рывок команды около 2 000 m/s³ за этот такт. Идеализированная ступень — лишь база для сравнения.
Смешивание команд устраняет выбранный разрыв выхода, но простаивающий регулятор обратной связи все еще может накапливать интегральную ошибку, будучи отсоединенным от объекта управления. Согласование начальных условий предсмещает этот регулятор по измеренному состоянию до обязательства, избегая переходного процесса простаивающего интегратора. Оно не заставляет проверенную цель человека равняться последней команде политики. Механизм принуждения фиксирует оба конца, размеряет смешивание по их фактической разнице и проверяет результирующую команду и запас остановки на всем протяжении передачи.
Чтобы проверить передачу, запишите профиль команды, ток двигателя, движение энкодера и инерционный отклик шасси на общей шкале времени с ограниченной ошибкой выравнивания. Ступенчатая команда имеет разрыв производной в идеальной модели; звон, высокий рывок и проскальзывание — возможные наблюдения, а не неизбежные осциллограммы. Квинтическая кривая с фиксированными концами ограничивает заданную скорость нарастания, а раздел «Ступенчатая и квинтическая передача команды» схематически сопоставляет два профиля. Измеренный отклик объекта управления устанавливает, уложилась ли передача в свои физические пределы.
Ступенчатая и квинтическая передача команды: Сопоставляются ступень и квинтическое смешивание с фиксированными концами. Синим показана команда; красным — ее идеальная производная, а серый звон схематичен. Профиль ограничивает заданную скорость нарастания для принятых концов.
Контур механизма принуждения на собирает четырехфазное рукопожатие, предсмещение интегратора и квинтическое смешивание в один протокол на микроконтроллере безопасности. Каждый такт он опрашивает состояние объекта управления, запас остановки, защитные входы и аренду полномочий. Он принимает обязательство смены владельца лишь на квалифицированном такте обязательства, следующем за проверенным подтверждением, смешивает только между зафиксированными концами и проверяет каждого смешиваемого кандидата до диспетчеризации, а при истечении аренды или сбое проверки запаса хода переходит на резервирование.
↳ Протокол: Ритм механизма принуждения, инварианты памяти и записи и пошаговые действия для каждого состояния даны в разделе «Протокол передачи полномочий».
Когда смешивание завершено и удаленный ассистент удерживает руку в Human-Manual, ведя ее через ведущее устройство с силовой обратной связью, рука должна откликаться либо на движение оператора, либо на усилие оператора. Импедансное управление Hogan, 1985 отрисовывает усилие из измеренного движения через виртуальный пружинный демпфер раздела «Импедансное управление для безопасности контакта» и подходит для шарниров, которые можно вести вручную. Адмиттансное управление измеряет усилие оператора датчиком силы-момента на запястье и поддается движению при жестком слежении за положением, что подходит приводам с высоким передаточным отношением, чья приведенная инерция ротора сопротивляется перемещению вручную («Пределы передачи актуатора»). Любой из режимов замыкает контур через оператора, механизм и транспортную задержку, и устойчивость этого контура зависит от хвата, усилений и задержки, поэтому каждый режим должен испытываться на пассивность во всем своем указанном рабочем диапазоне. Пассивный телеоператор — то есть ведущее устройство, линия связи и рука вместе, как их видит рука оператора, — никогда не возвращает оператору больше энергии, чем тот вложил. Механизм принуждения сохраняет свои пределы запаса хода и момента, какой бы режим ни использовало ведущее устройство.
Смешивание, предсмещение и податливое взаимодействие все предполагают, что формируемые ими предложения исходят от оператора, имеющего право управлять рукой, а усилие, измеренное датчиком, само по себе не несет удостоверения. Если путь разрешения принимает запрос передачи без проверки личности, неаутентифицированная инъекция команды или неисправная подсистема может захватить полномочия и переопределить машину в движении. Поэтому механизмы, делающие вмешательство плавным, должны сочетаться с механизмами, устанавливающими, кому позволено вмешиваться.
Аутентификация вмешательства
Пакет veto_path удаленного ассистента и подделанный пакет момента привода колеса могут достигнуть мобильного манипулятора по одной и той же беспроводной линии в одном и том же цикле управления. Путь разрешения должен не дать фальсификатору захватить физические полномочия и одновременно позволить авторизованному оператору остановить машину до столкновения. Эти требования противоречат друг другу, поэтому операции вмешательства классифицируются по совершаемой ими механической работе. Снятие питания или подача механического тормоза физически отличаются от инъекции активных команд движения, и два действия не требуют одинаковых механизмов проверки. Защитная остановка — тормозящая или удерживающая ступень лестницы резервирования, а не одно лишь снятие момента («Лестница резервирования»). Напротив, инъекция заданий скорости базы, момента колеса или скорости шарниров вносит в систему свежую механическую мощность. Неавторизованная или искаженная команда движения может разогнать движущуюся массу в препятствие, тогда как доверенный защитный вход вне полосы запрашивает специфичную для объекта управления остановку минимального риска.
Команды движения вносят активные кинетические опасности, поэтому механизм проверки должен укладываться и в границу задержки, и в границу свежести, вытекающие из кинематики маневра. Проверка подписи и проверка окна повтора сетевой команды движения или переопределения — это еще одна задержка, прежде чем сможет начаться торможение. Она прибавляется к включению актуатора , задержке шины и прочим слагаемым («остановочный путь тела»), поэтому для неподвижного препятствия на свободном расстоянии и поступательной скорости максимально допустимая задержка проверки — это и есть предельный срок передачи, из уравнения «позднейшее резервирование».
На мобильном манипуляторе на скорости хода 1.3 m/s эта граница равна 78.9 ms. Допустим, на микроконтроллере работают два иллюстративных верификатора — медленный и быстрый:
- Верификатор A (медленный): Проверка занимает
180 ms— больше предельного срока. Пока проверяется подпись, машина проходит234 mm— на131.4 mmбольше запаса, поэтому ее остановка заканчивается на это расстояние за свободным расстоянием у торца стеллажа. - Верификатор B (быстрый): Проверка занимает
15 ms— с большим запасом внутри предельного срока. За время проверки машина проходит19.5 mmи сохраняет83.1 mmзапаса.
Приоритет шины CAN: Передающий кадр CAN не вытесняем. Идентификатор с более высоким приоритетом побеждает лишь при следующей возможности арбитража; политика буфера контроллера и худший случай сериализации текущего кадра должны включаться в измеренную границу доставки. Независимый защитный вход обходит эту общую очередь везде, где того требует кейс безопасности.
Требования свежести вытекают из той же кинематики. Если окно аутентификации допускает дрейф метки времени или порог возраста сообщения 100 ms, аутентифицированный пакет, повторенный с границы этого окна, командует действие, основанное на положении базы, смещенном на 130 mm на скорости хода, — больше, чем весь запас 102.6 mm.
Доверенный, независимо подключенный защитный вход оценивается своим контуром безопасности, не дожидаясь сетевой подписи, и его отклик — это выбранная и проверенная для объекта управления остановка или удержание. Сетевые пакеты движения или перехвата проходят проверки возможностей и аутентификации. Искаженная контрольная сумма, устаревший nonce или сбойная подпись в этой сети отклоняются, записываются и обрабатываются так, как указывает правило A4 раздела «Журнал полномочий»; некорректный трафик не приобретает полномочий командовать тормозом. Если продление действительной команды потеряно, отдельно контролируемая аренда истекает, и механизм принуждения вызывает свое проверенное резервирование. Это разделение сохраняет доступный локальный защитный путь и одновременно не дает произвольному сетевому шуму вынудить небезопасную остановку.
Аутентификация и транспортная задержка достигают и обучения. Обучающий симулятор, всегда поставляющий немедленное человеческое спасение, может недооценивать рискованные состояния. Если развернутое вмешательство несет задержки аутентификации, транспорта и исполнения команды, политика, обученная при таком несоответствии, может посещать состояния, из которых спасение уже невозможно. Лекарство — смоделировать квалифицированную задержку и путь резервирования в обучении и оценке с аппаратурой в контуре, сохранять неудавшиеся посещенные обучаемым состояния и испытывать фактическое распределение запасов хода.
↰ Предпосылка: Микросекундные регистры маскирования переопределения на полевых шинах реального времени реализованы в разделе «Полномочия исполнения команды».
Инвентаризация полномочий должна включать диагностические, отладочные, загрузочные и монтажные пути, способные повлиять на исполнение команды. Промышленный проект может отключать отладочный доступ, аутентифицировать команды обслуживания, защищать обновления загрузки и принудительно обеспечивать разрешения шины в соответствии со своей моделью угроз и отказов. Задача верификации — показать, что каждый достижимый путь записи в актуатор либо закрыт полномочиями разрешения, либо защищен независимо. Аргумент этого раздела покрывает удаленную инъекцию пакетов по беспроводным линиям, повтор на внутренних шинах и команды со скомпрометированного прикладного процессора. Физическое вмешательство в конструкцию лежит вне его, а должен ли кейс безопасности отвечать на такое вмешательство, зависит от модели угроз, доступа к осмотру и конструктивного оформления.
Аутентификация устанавливает, кто имеет право на перехват. Она не гарантирует, что передача оставит машину под согласованным управлением. Когда полномочия передаются, пока база несет импульс, а приводы руки отдают момент, политика, оператор и механизм принуждения должны согласиться, кто держит каждый канал. Передача дает сбой, когда это согласие распадается.
Как передача дает сбой
Передача может дать сбой, даже когда каждый компонент исправен. Когда автономная политика и человек-оператор делят полномочия, сбой может произойти через путаницу режимов и неоднозначность полномочий, когда машина считает, что человек управляет эксплуатационной осью, а человек считает, что юрисдикция остается за машиной. В многоосевых физических системах полномочия часто раскладываются по каналам, и на мобильном манипуляторе они делятся между базой и рукой. Если обученная политика встречает несмоделированное отражение от поверхности и незаметно уступает руку удаленному ассистенту, не освобождая базу, ассистент, ведущий руку, может полагать, что база стоит на месте, тогда как политика все еще ведет ее к торцу стеллажа. И наоборот, если ассистент командует базе остановиться, прошивка, передающая лишь базу, оставляет политику руки, все еще тянущуюся к тележке наперекор замыслу ассистента. В телеметрических журналах этот отказ проявляется как разрозненные флаги управления, где биты полномочий переключаются асинхронно между потоками исполнения. Однако на интерфейсе человек-машина это состояние остается необнаруженным, пока кинематическая ошибка не превысит физический запас хода, ибо ни одна из претендующих сторон не получает немедленного однозначного сигнала о частичном отходе другой. Владение по каналам допускает такую частичную передачу, поэтому протокол должен сделать ее явной. Каждый запрос называет охватываемые каналы в своей маске каналов, автомат состояний раздела «Переходы полномочий» принимает обязательство состояний владельца только для этих каналов, а фаза Confirm объявляет оператору владельца каждого канала, так что база, оставшаяся у политики, показана как принадлежащая политике.
Даже при определенных протоколах передачи полномочий человеческая нервная система не способна соответствовать предельным срокам отклика движущейся массы. Удаленный ассистент в прямом управлении мобильным манипулятором отвечает в пределах перехвата в контуре на 150 ms из раздела «Человеческие полномочия над исполнением команды». Когда тот же ассистент пассивно наблюдает за несколькими машинами, пока работают их политики, ситуационная осведомленность ослабевает, и неожиданный запрос передачи встречает перехват вне контура на 2 s. Как показал раздел «Человеческие полномочия над исполнением команды», машина, оставленная на скорости хода, проходит за этот разрыв более чем вдвое свободного расстояния у торца стеллажа — прежде чем ассистент воспримет препятствие, восстановит пространственную ориентацию и подаст вход. Камеры, направленные на оператора, могут отслеживать направление взгляда и закрытие глаз. Они не способны измерить понимание геометрии сцены, поэтому рост задержки обнаруживается лишь после того, как предельный срок отклика прошел.
В Tempe угасание бдительности встретилось с отключенным путем остановки («Когда граница отказывает») National Transportation Safety Board, 2019. В инциденте Cruise автомобиль, остановившийся после наезда на пешехода, начал съезд на обочину и протащил ее под собой («Лестница резервирования») Quinn Emanuel Urquhart and Sullivan, LLP, 2024. Первый случай спрашивает, остановил ли бы автомобиль в пределах оставшегося запаса контракт наблюдения за оператором, подкрепленный независимой остановкой, а второй — должна ли неопределенность контакта отзывать полномочия на движение до установления проверенного удержания.
Когда вмешательство происходит, пока актуатор прикладывает усилие, ручной вход и механизм принуждения могут противодействовать друг другу. Например, удаленный ассистент, ведущий руку под manual_drive через ведущее устройство с силовой обратной связью, может командовать шарниром к пределу положения, в котором его удерживает механизм принуждения. Тогда запрошенный командой ассистента момент и ток привода, удерживающий этот шарнир, действуют друг против друга на одном звене. Если контуру человек-устройство недостает фазового запаса, повторные корректировки могут колебаться с частотой, заданной усилениями, задержкой, хватом и механикой шарнира. Механизм принуждения должен удерживать физический предел, пока ведущее устройство делает противодействующее усилие, а активный режим остается понятным ассистенту.
Некоординированные передачи также портят данные, извлекаемые из журналов флота. Если сегменты вмешательств попадают в обучение поведенческим клонированием или диффузией без маскирования вмешательств, которое использует записанный момент обязательства, чтобы отделить собственные состояния политики от восстановления, политика учит аварийное восстановление как номинальное поведение, и потеря на валидации по фрагментам траектории не вскрывает порчу.
Блокировки контакта с землей на рейсе 2904
Контекст: На рейсе Lufthansa 2904 в Варшаве экипаж запросил замедление, которого логика контакта с землей самолета не предоставила, поскольку каждая тормозящая функция несла свою собственную предпосылку по ощущаемому состоянию Main Commission Aircraft Accident Investigation Warsaw and German Federal Bureau of Aircraft Accident Investigation, 1994.
Механизм: Правая опора коснулась мокрой полосы примерно за девять секунд до левой. Выпуск интерцепторов требовал сжатия обеих стоек или превышения обеими скоростями колес 72 узлов; реверс тяги требовал обеих стоек. Тормоза колес имели отдельный допуск по скорости колес и альтернативный режим. Каждая предпосылка действовала как запись возможности, предоставляя функцию лишь в ощущаемом состоянии, и вместе они удерживали запрошенное замедление.
Последствия и урок: Торможение колес началось примерно через четыре секунды после касания левой опоры, около тринадцати секунд после первого касания правой. Самолет выкатился за полосу, покинув ее конец на скорости 72 узла. Матрица возможностей, допускающая операции по эксплуатационным предпосылкам, должна сигнализировать командиру о невыполненной предпосылке, называть ощущаемое состояние, которого она ждет, и испытываться против состояний — таких как одна сжатая стойка на мокрой полосе, — в которых ее предпосылки расходятся с замыслом оператора.
Арбитр раздела «Переходы полномочий» существует, чтобы предотвращать эти отказы, ибо архитектура управления не может полагаться на неявные передачи, человеческую внимательность или импровизированные переопределения момента. Показать после происшествия, что он сработал, можно лишь по записи, ведущейся на каждом такте, канал за каналом. Решить после происшествия, отвечала ли остановка на действительное нарушение границы, недействительный токен или шум на линии безопасности, можно, лишь если эта запись по тактам переживает циклы питания и остановки планировщика.
Достоверные операционные журналы
Запись, поддерживающая аргумент спустя месяцы, имеет требования, которых лишен отладочный журнал. Отладочный журнал может буферизоваться в энергозависимом пользовательском пространстве и теряться при обратном давлении. Если асинхронная запись на диск теряет три строки трассировки при остановке операционной системы, инженер теряет незначительный диагностический контекст, а приложение продолжает работать. Отсутствующие записи ослабляют реконструкцию через каузальную границу, установленную в разделе «Каузальная граница». Когда рука бьет стеллажную тележку, установить, командовала ли обученная политика недопустимый момент, не сумел ли механизм принуждения его ограничить или вмешался ли оператор слишком поздно, можно лишь по ограниченной записи с проверкой целостности плюс независимым наблюдениям объекта управления.5 Криминалистический журнал существует поэтому не для того, чтобы помогать разработчику в построчной трассировке кода. Его цель — сохранить то, что было опрошено, предложено, допущено и диспетчеризовано. Ток двигателя, движение энкодера и датчики контактной силы дают отдельные физические наблюдения; одни команды не доказывают приложенную силу или причину столкновения.
Выбранная конструкция управления на записывает каждый такт структурированный кортеж полномочий и действия с задекларированной обработкой потерь. Минимальный кортеж свидетельств имеет вид и фиксирует обе стороны границы предложения («Машина в пяти уровнях»). В этой структуре — время события в наносекундах по часам микроконтроллера безопасности, преобразованное из любых других часов с записанной границей ошибки, записывает активное состояние полномочий, указывающее, удерживает ли управление автономная политика, ручное переопределение или смягчение отказа, а идентифицирует аутентифицированный источник любого активного вмешательства. Три вектора действия отображаются на отборы действий раздела «Какое действие становится меткой»: — запрошенное действие , а — принудительно обеспеченная команда . Отображенная команда лежит между ними и не требует собственного поля, когда предложение уже приходит в координатах актуатора. Поле — команда, диспетчеризуемая приводам, а измеренный отклик исходит из наблюдений объекта управления в . Пропуск одного элемента может ограничить конкретный каузальный вопрос, поэтому запись декларирует, что каждое поле измеряет на самом деле. Если журнал пишет без , исследователи теряют сопоставление политики и команды. Если опущен, журнал теряет сопоставление предложенного и допущенного. Сцепленные с метаданными целостности и преобразования часов, эти кортежи образуют криминалистический протокол полномочий, который задает раздел «Журнал полномочий».
Упорядочение этих кортежей требует физической целостности меток времени, а не программных запросов часов. Программные метки времени, получаемые из вызовов операционной системы, наследуют дрожание планирования, задержки переключения контекста и переменные задержки обслуживания прерываний, которые на нагруженных прикладных процессорах могут превышать . За интервал внутренний контур управления на исполняет пять полных циклов управления. Если операционная система записывает прибытие команды ручного вмешательства с задержкой , запись помещает команду оператора после отклика актуатора, инвертируя физическую причину и следствие. Аппаратная метка времени фиксирует заданное электрическое событие — такое как поступление кадра или фронт защитного входа, — после преобразования часов с ограниченной ошибкой. Исследователи могут упорядочить команду и обнаруженный контакт, лишь когда их неопределенность меток времени, окна дискретизации и задержки сенсоров не перекрываются.
Непрерывное сохранение полных потоков сенсоров и высокочастотной телеметрии в энергонезависимое хранилище превышает и границы пропускной способности, и границы ресурса встроенной аппаратуры. Четыре камеры сеанса телеуправления мобильного манипулятора транслируют необработанные кадры с частотой приема, которую размеряет раздел «Стоимость демонстраций телеуправления», — частотой, которую выдерживает лишь накопитель Gen4 NVMe, поэтому сегменты этих кадров до срабатывания и после срабатывания далеко превосходят память любого микроконтроллера. Необработанные кадры не принадлежат кольцу SRAM микроконтроллера. Кортеж управления — малая доля этого потока и может использовать ограниченное кольцо малой памяти. Если требуются полные необработанные кадры, выделите отдельный уровень DRAM или хранилища, размеренный по измеренному бюджету потока, либо сохраняйте выбранные или сжатые кадры с декларируемой потерей детализации. При срабатывании запечатайте сегмент до срабатывания и продолжайте писать отсчеты после срабатывания в другой выделенный сегмент; заморозка единственного кольца потеряла бы обещанные свидетельства после события. Записи кадров сохраняют свои исходные моменты захвата, а кортежи управления — свои моменты выдачи и отбора на . Фоновое сохранение не должно блокировать механизм принуждения.
Окно до срабатывания должно захватывать момент расхождения политики, а не только момент физического перехвата. Когда обученная политика командует ошибочную траекторию, человеческие операторы и внешние процессы мониторинга проявляют задержки реакции от сотен миллисекунд до нескольких секунд, прежде чем распознают отклонение и заявят полномочия. Если кольцевой буфер записывал бы данные лишь с момента, когда оператор дернул переключатель переопределения, телеметрия зафиксировала бы спасение, опустив аномальные команды, сделавшие спасение необходимым. Захват задекларированного интервала до срабатывания позволяет исследователям просмотреть предложения и состояния политики до вмешательства; было ли предложение небезопасным, требует современной модели, оценки состояния и физических свидетельств. Без истории до расхождения оценка не может отделить необходимое спасение от преждевременного прерывания, и посещенные обучаемым состояния, нужные корректирующему перемаркированию, утрачены.
Целостность и хранение могут использовать защищенную цепочку хешей и независимо испытанное хранилище с защитой от потери питания. Внутри Нервной системы процедуры журналирования собирают кортежи свидетельств в фиксированные блоки, соответствующие исполнения. Каждый блок хешируется через SHA-256, и его хеш конкатенируется с хешем предыдущего блока, образуя криптографическую цепочку только на добавление. При защищенном хранении ключа и якоря изменение зафиксированного блока обнаружимо по сохраненной цепочке; потеря до обязательства и скомпрометированные ключи остаются отдельными режимами отказа. Одна реализация периодически якорит корневые хеши в защищенном энергонезависимом хранилище. Цепочка хешей не дает ни сохранности, ни полного захвата событий, поэтому кейс безопасности испытывает хранение ключа, то, какие зафиксированные блоки переживают потерю питания, как помечаются прерванные записи и где отсутствуют интервалы.
Сохраненный журнал с проверкой целостности может установить записанные значения полномочий и команд для своих опрошенных интервалов. Он не может сказать, были ли эти значения разрешены. Для этого суждения нужен манифест, по которому читается журнал: он называет, кто может держать каждый канал, при каких условиях и в каких предельных сроках, а записи журнала должны нести поля, на которые ссылаются правила манифеста.
Журнал полномочий
У исследователя, который спрашивает недели спустя после перехвата в заблокированном проходе, кто вел базу, когда она приближалась к торцу стеллажа, есть только то, что записала машина. Протокол полномочий потребляет две записи из Части III. Из протокола принудительного обеспечения раздела «Протокол принудительного обеспечения» он берет ступени лестницы резервирования, поэтому каждое записанное им резервирование называет ступень, которую исполнял путь разрешения. Из протокола размещения раздела «Распределение аппаратных ресурсов» он берет измеренный тайминг пути входа оператора. И он добавляет две собственные части. Статический манифест полномочий — матрица возможностей раздела «Человеческие полномочия над исполнением команды» в машиночитаемой форме — связывает каждый канал актуатора с его авторизованными акторами, эксплуатационными предпосылками, уровнями вытеснения и предельными сроками переходов и загружается с проверкой до того, как приводы актуаторов получат питание. Потактовый криминалистический протокол полномочий — отдельный поток, который записывает для каждого такта, кто держал полномочия и что было предложено, допущено и доставлено, так что такт без записи читается как пробел, а никогда как подразумеваемое одобрение; ни одна из частей не заменяет другую.
Статический манифест полномочий задает каждое разрешенное взаимодействие как жесткий контракт между физической платформой и ее потенциальными операторами. Каждая запись идентифицирует отдельную физическую область полномочий через аппаратную маску актуаторов, класс авторизованной сущности (такой как локальный физический оператор, удаленная консоль телеуправления, автономная политика траекторий или контур аварийной остановки) и целочисленный уровень вытеснения. Сущность, предъявляющая вектор команды, должна доказать свои полномочия криптографическими удостоверениями ролей, проверяемыми путем разрешения, прежде чем ее вход сможет войти в конвейер исполнения команды. Команда сетевого оператора приходит как нагрузка OPERATOR под заголовком предложения из раздела «Многотактные ритмы», неся роль оператора, запрошенную маску каналов, команду, nonce и ключевой тег. Рядом с удостоверением запись задает политику взаимного исключения для канала, потолок скорости команды (насколько быстро может меняться запрошенная команда), активную длительность смешивания , принудительно обеспечивающую безударный профиль передачи полномочий для поддержания границ кинодинамической осуществимости, установленных в разделе «Кинодинамическая осуществимость», и конечное состояние резервирования, в которое аппаратура входит при обрыве активной сессии.
Каждая потактовая запись криминалистического протокола полномочий несет время события по часам микроконтроллера безопасности, каналы актуаторов, к которым применяется решение, состояние полномочий (AUTO, PEND, BLEND, MAN, FALLBACK со своей ступенью лестницы или PROTECTIVE — коды шести состояний раздела «Переходы полномочий»), аутентифицированную роль оператора, причину любого вытеснения, коэффициент смешивания профиля, принадлежащего механизму принуждения, предложенные, допущенные и доставленные команды, опрошенное состояние объекта управления и ключевую связь с предыдущим блоком журнала. Версионированный статический манифест поставляет единицы векторов, порядок полей, отображение часов и его границу ошибки, правила удостоверений и аппаратные средства контроля доступа.
↳ Раскладка байтов: Поля, типы и смещения криминалистического протокола полномочий даны в разделе «Протокол полномочий и полезная нагрузка оператора».
Отображение этих записей на мобильный манипулятор требует ограничить четыре временных параметра его пределами: бюджет реакции оператора (задержка перехвата из уравнения «нижний предел реакции» для используемого режима перехвата), задержку протокола рукопожатия , аренду ручного управления и минимальное окно смешивания . Раздел «Окна смешивания на мобильном манипуляторе» приводит их для двух командных каналов машины — базы и руки, — которыми одна сессия удаленного ассистента управляет вместе.
| Канал машины | Изменение команды и выбранный потолок скорости нарастания | Окно сглаживания , целые такты | Время человека / протокола | Контракт резервирования |
|---|---|---|---|---|
| Команда ускорения базы | Ползучий ход на 0.3 m/s до торможения на 2 m/s²; 35.56 m/s³ — пиковый рывок резидентной остановки на ползучем ходу | 106 ms | 2 s / 31 ms | Аренда ручного управления 100 ms; потолок ожидания 500 ms, сокращаемый запасом хода |
| Команда момента шарнира руки | 15 N·m; скорость момента 750 N·m/s | 38 ms | 150 ms / 31 ms | Та же аренда ручного управления; ее потеря вызывает проверенную остановку руки |
Окна смешивания на мобильном манипуляторе: Одна сессия удаленного ассистента управляет обоими каналами, и каждое окно округляется вверх до целых тактов разрешения 1 ms. Потолок скорости нарастания ограничивает производную каждой команды. Строка базы размерена на ползучий ход вне контура, где ее смешивание помещается в запас остановки; на скорости перехвата в контуре не помещается ни одно смешанное командование базы, и база получает резидентную остановку. Каждая аренда и каждый предельный срок ожидания должны помещаться в зависящий от состояния запас остановки.
Рассмотрим перехват в контуре удаленным ассистентом мобильного манипулятора, запрошенный после того, как машина замедлилась до 1.2 m/s и приняла обязательство по записи manual_drive ассистента. Бюджет реакции оператора задает максимальную длительность, которую путь разрешения допускает между выдачей требования перехвата и обнаружением первой команды ассистента; здесь это перехват в контуре на 150 ms из раздела «Человеческие полномочия над исполнением команды», уже включающий транспорт. Задержка рукопожатия определяет предельный срок туда-обратно для взаимной аутентификации и подтверждения состояния по шине, заложенный в 31 ms по четырехфазному протоколу из раздела «Тайминг четырехфазной передачи»; она входит в , а не прибавляется к нему. Аренда ручного управления из раздела «Переходы полномочий» задает самое длинное молчание, терпимое от ассистента, прежде чем путь разрешения объявит отказ линии и вернется к траектории резервирования, здесь 100 ms. Наконец, окно смешивания управляет скоростью передачи полномочий для предотвращения механического удара, и раздел «Окна смешивания на мобильном манипуляторе» приводит его для каждого канала. Окно базы зависит от ее скорости, ибо пиковый рывок резидентной остановки, который ограничивает смешивание по границе сглаживания раздела «Передача без разрыва», растет с падением скорости; поэтому таблица размеряет его на ползучем ходу 0.3 m/s.
Перехват в контуре оставляет 29.7 mm свободного расстояния у торца стеллажа на 1.2 m/s — те 24.7 ms, на которые он опережает («Переходы полномочий»). Этот остаток ограничивает саму передачу. Любая дальнейшая задержка до того, как может начаться остановка, пока полномочия переходят из рук в руки, должна уложиться в остаток, и механизм принуждения проверяет резидентную остановку по нему на каждом такте передачи. Ни одно смешивание базы не проходит эту проверку на этой скорости. Смешивание ступени к торможению с 1.2 m/s увеличивает ход плюс резидентную остановку из смешанного состояния до 197.6 mm — далеко за остаток, поэтому в этой сессии база получает резидентную остановку и смешивается только рука. После перехвата вне контура на 2 s на ползучем ходу остается 236.2 mm, и смешивание на ходу расходует не более 12.3 mm из них. Когда ассистент удерживает MAN, задержка перехвата израсходована, и механизм принуждения переоценивает бюджет каждый такт, подставляя аренду ручного управления вместо аренды фрагмента 60 ms в . Аренда 100 ms добавляет 48 mm хода на этой скорости, что покрывает запас 209.7 mm.
Верификация берет тестовые входы из статического манифеста, а свидетельства — из схемы событий. Поле authority_claims манифеста передает разделу «Вывод списка отказов» четыре правила полномочий по идентификаторам, каждое из которых становится аппаратным отказным случаем в контуре на машине:
- A1. В каждый канал актуатора пишет один путь принудительного обеспечения, даже когда второй ведущий узел шины пытается записать в канал привода базы, а политика и удаленный ассистент командуют одновременно.
- A2. Ни один источник не обходит активный источник более высокого уровня или независимую проверку разрешения. Предложение политики в
MANигнорируется, а команда ассистента, противоречащая допущенному пределу механизма принуждения, все равно проверяется. - A3. Неподтвержденная передача резервируется к из раздела «Переходы полномочий» — более раннему из настроенного потолка и выведенного из запаса хода предельного срока уравнения «позднейшее резервирование», который равен
174.7 msна замедлении до1.2 m/sперед перехватом в контуре и78.9 msдля передачи, запрашиваемой политикой на скорости хода1.3 m/s. - A4. Повторенный пакет
veto_path,manual_driveилиaccept_item, а также пакет с плохой меткой аутентификации блокирует затронутый канал, оставляет полномочия без изменений и записывает событие.
При сборке кейса безопасности для эксплуатационной сертификации раздел «Выпуск в эксплуатацию» оценивает протокол полномочий как свидетельство для утверждения C6 — утверждения о том, что полномочия передаются так, как задают эти четыре правила. Оценка безопасности рассматривает заявленные ограничения полномочий, свидетельства реализации, охват отказов и испытанную эксплуатационную огибающую. Сертификационный пакет соединяет статический манифест полномочий с измерениями объекта управления, которых требует от каждой передачи раздел «Передача без разрыва», и с трассировками исполнения кампании внедрения отказов, показывающими любые пробелы в аудиторском следе. Измерения объекта управления нужны потому, что передача, корректная на шине, все еще может проскользить базой или сдвинуть стеллажную тележку. Измеренная задержка вытеснения в этих трассировках — процентиль испытанного распределения, а не граница («Передача команд вовремя»).
↳ Далее: Криминалистические протоколы полномочий поставляют свидетельственные артефакты для кейсов безопасности эксплуатации в разделе «Кейсы безопасности и утверждения».
Заблуждения и ловушки
Смена владельца полномочий не завершает безопасную передачу. Машина должна сохранить свой запас остановки и функции принудительного обеспечения через всю передачу, а результирующие журналы должны различать вмешательство и экспертное восстановление.
Заблуждение и ловушка
Ловушка: Рассматривать тайм-аут человеческого перехвата как статическую временную задержку, а не как динамический пространственный бюджет остановки.
Мобильный манипулятор запрашивает перехват на скорости хода
1.3 m/sпри настроенном окне подтверждения500 ms. Выжидание окна до торможения покрывает0.65 m, и вместе с остальной частью готового бюджета остановки остановка заканчивается на0.55 mза свободным расстоянием1.10 mу торца стеллажа. То же окно помещается на ползучем ходу0.3 m/s, где бюджет оставляет2.8 sдо того, как должно начаться резервирование. Окно, безопасное в одном состоянии, переполняется в другом, поэтому тайминг передачи должен следовать текущей скорости, запасу хода и правдоподобному замедлению, а автономное резервирование начинается, пока остановка еще помещается.
Заблуждение и ловушка
Заблуждение: Ручной перехват человеком должен обходить автоматические барьеры безопасности и давать неограниченные полномочия над актуатором.
Удаленный ассистент перехватывает базу мобильного манипулятора, чтобы обвести ее вокруг паллеты, а выбранный путь ведет к стойке стеллажа. Переключение на человеческое управление меняет лишь того, кто посылает команду; оно не меняет физических реалий импульса, трения или близких препятствий. В этой архитектуре механизм принуждения должен продолжать проверять ручное предложение по допустимому множеству движений и ограничивать его, когда существует кинодинамически осуществимая альтернатива (опираясь на принципы осуществимости из раздела «Кинодинамическая осуществимость»). Если запрос не может быть допущен, по-прежнему применяется определенное автономное резервирование. Перехват позволяет оператору направлять планирование задачи; он не делает пределы силы, запаса хода и остановки необязательными на границе шарнирного актуатора.
Заблуждение и ловушка
Ловушка: Полагаться на криптографическую аутентификацию без ограничения скорости трафика, достигающего верификатора.
Микроконтроллер безопасности мобильного манипулятора проверяет каждый удаленный пакет перехвата быстрым верификатором из раздела «Аутентификация вмешательства» —
15 msна подпись. Проверка отвергает подделанный пакет, лишь затратив на него это время. Если неисправный или скомпрометированный узел на линии шлет пакетыmanual_drive, не проходящие проверку, быстрее, чем верификатор их освобождает, всего5таких пакетов в очереди перед настоящимveto_pathудаленного ассистента задерживают его допуск до90 ms— мимо предельного срока резервирования78.9 msна скорости хода. Независимо подключенный защитный вход не ждет в этой очереди, но ждет каждая сетевая команда. Аутентификация сохраняет целостность команды, оставляя угрозу доступности. Фильтрация почтового ящика и ограничение скорости по источникам должны ограничивать трафик до того, как он достигнет верификатора, а квалификация должна испытывать и отклонение команд, и тайминг принудительного обеспечения под допущенной нагрузкой.
Заблуждение и ловушка
Заблуждение: Обучение прямо на сырых журналах человеческих вмешательств захватывает экспертные демонстрации.
Конвейер обучения рассматривает каждый перехват удаленным ассистентом мобильного манипулятора как экспертную демонстрацию и обучается на предшествующем окне действий. Журналы смешивают настоящие отказы политики, осторожные ранние вмешательства и кинематические ошибки оператора, а сам переход управления часто включает рывки физических корректировок, запаздывающие нейромышечные ответы и нерешительные поправки, пока человек ориентируется в сцене. Клонирование этих сегментов может воспроизвести неустойчивое поведение, из-за которого восстановление было трудным, а не то восстановление, которому команда хочет научить. Кураторство датасета должно идентифицировать, почему произошло вмешательство, кто держал полномочия и какие команды действительно восстановили приемлемую работу. Просмотренные траектории восстановления могут поставлять полезные демонстрации, но ни метка времени вмешательства, ни полные ручные полномочия сами по себе не устанавливают, что записанное поведение пригодно для подражания.
Итоги
Человеческие полномочия над воплощенной системой физического ИИ нуждаются в инженерном контракте реального времени, который арбитрирует перехват, отзывает полномочия автономной политики при обязательстве и выбирает проверенное резервирование в пределах доступного физического бюджета. Супервизорное вмешательство управляет переходом между инициаторами, тогда как независимый механизм принуждения проверяет допущенную команду и исполняет выбранную остановку при истечении аренды. Сетевые команды достигают механизма принуждения лишь после проверок возможностей и аутентификации, чья собственная стоимость делает ограничение скорости перед верификатором частью проекта, тогда как доверенная защитная проводка обходит сеть полностью. На мобильном манипуляторе на скорости хода 1.3 m/s готовый бюджет остановки оставляет 102.6 mm, что покупает 78.9 ms ожидания, прежде чем машина должна диспетчеризовать собственную остановку. Поэтому машина замедляется до 1.2 m/s перед запросом перехвата в контуре и до ползучего хода 0.3 m/s или полной остановки — перед запросом перехвата вне контура.
Передача управления от активной политики требует времени, ибо замена допущенного задания политики на другую человеческую цель за один цикл запрашивает ступень момента. безударный профиль передачи полномочий вместо этого плавно меняет параметр полномочий от нуля до единицы между зафиксированными концами команды. Его дискретная реализация должна соблюдать пределы скорости команды и запас остановки из раздела «Огибающие остановки».
На мобильном манипуляторе механизм принуждения смешивает базу лишь с ползучего хода 0.3 m/s, на протяжении 106 ms. На скорости перехвата в контуре 1.2 m/s ни одна смешанная команда базы не помещается в оставшийся запас хода, поэтому база получает резидентную остановку, а рука смешивается на протяжении 38 ms. Механизм принуждения допускает каждый смешиваемый такт лишь с проверенным запасом остановки и контролирует отклик объекта управления.
Протокол полномочий делает каждое вмешательство проверяемым. Его статический манифест связывает каждый канал актуатора с его акторами, уровнями и предельными сроками, а его потактовые записи фиксируют, кто держал полномочия и что было предложено, допущено и доставлено, называя ступени резервирования из протокола принудительного обеспечения и тайминг пути оператора из протокола размещения. Записанное обязательство отмечает зафиксированную границу, где полномочия автономной политики были отозваны, — с оговоркой о границах часов и дискретизации регистратора, — а цепочка хешей с защищенными ключами способна выявить позднейшую правку. Записи команд и полномочий поддерживают реконструкцию лишь в паре с независимыми свидетельствами сенсоров, тока и контакта и их временной неопределенностью.
Для обучения модели интервал до обязательства — принадлежащий политике сегмент, даже когда человек решает вмешаться. Сохраняйте его посещенные обучаемым состояния, небезопасные предложения и флаги полномочий как отказные свидетельства и кандидатов на экспертное перемаркирование; исключайте небезопасные команды политики из экспертных целей подражания. Смешивание после обязательства — переходные данные, принадлежащие механизму принуждения. Демонстрациями должны становиться лишь просмотренные состояния и действия человеческого восстановления после передачи, отвечающие критериям валидности задачи.
Супервизорное вмешательство и ограниченная передача полномочий
- Запас хода управляет ожиданием: На скорости хода запас машины покупает
78.9 ms; на замедлении до1.2 m/sон покупает174.7 ms, которые управляют каждым перехватом в контуре. Перехвату вне контура на2 sнужна скорость ниже0.40 m/s. Диспетчеризуйте резервирование по более раннему из настроенного потолка и зависящего от состояния предельного срока остановки.- Один писатель актуатора: Обязательство отзывает токен политики на затронутых каналах и фиксирует ее последнюю допущенную команду. Механизм принуждения владеет
BLENDи проверяет человеческие предложения по тем же физическим пределам.- Гладкие команды стоят остановочного пути: Профиль ускорения с фиксированными концами ограничивает рывок команды. Его дополнительный остановочный путь должен быть зарезервирован.
- Раздельные пути остановки: Доверенная защитная проводка вызывает оцененный по риску отклик объекта управления. Недействительные сетевые пакеты отклоняются; потеря действительного продления вызывает резервирование по аренде.
- Каузальные данные вмешательства: Записанное обязательство разделяет принадлежащие политике состояния до перехвата, нужные корректирующему перемаркированию («Данные вмешательств и восстановления»), и человеческое восстановление после него. Используйте лишь просмотренные действия восстановления после передачи как цели подражания.
- Полномочия становятся свидетельством: Потактовая запись считает отсутствующую запись пробелом, а никогда — одобрением. Четыре правила полномочий манифеста становятся отказными случаями, которые внедряет верификация, а их записи о прохождении вместе с протоколом полномочий служат свидетельством для утверждения выпуска C6.
Полномочия человека над машиной даются на свидетельствах и истекают вместе с ними, как принцип «Свидетельства ограничивают полномочия» требует для каждой власти, которую машина чтит. Удостоверение и принятое рукопожатие — свидетельства, которые ее дарят; аренда ручного управления — предел возраста этих свидетельств, и когда вход оператора перестает ее продлевать, полномочия истекают в резервирование, которым владеет путь разрешения. Уровень вытеснения не переживает истечения, и удаленный ассистент, державший базу до него, не держит полномочий после него. Возврат управления любому инициатору ждет условий сброса, заданных автоматом состояний, и свежих свидетельств.
От отзыва полномочий к физической верификации
Показывает ли чистый журнал полномочий, что правила полномочий соблюдаются? Не показывает, ибо ни одна записанная передача не испытала двойного писателя, повторенный пакет или неподтвержденный запрос, для сдерживания которых эти правила существуют. Раздел «Верификация» превращает A1–A4 в отказные случаи рядом с отказами торца стеллажа, внедряет каждый с нагруженной базой, приближающейся к торцу стеллажа, и замеряет каждый отклик приборами, независимыми от собственного журнала машины, чтобы резервирование передачи отсчитывалось от его начала на приводе, а не от записи арбитра о нем.
-
Уровни супервизорного управления: Sheridan and Verplank, 1978 сформулировали десятиуровневую таксономию супервизорного управления — от человека, выполняющего всю задачу без помощи компьютера, до компьютера, который решает и действует, игнорируя человека. Матрица возможностей проводит такие различия по каждой операции, а не однажды для всей машины. ↩
-
Устройства включения на три позиции: Упомянутое руководство по эксплуатации ABB документирует трехпозиционную рукоятку включения и предел ручного режима для этого робота. Отпускание или чрезмерное сжатие рукоятки — запрос в настроенный контур безопасности, а оценка риска машины по ISO 13849-1 устанавливает требуемый уровень исполнения и выбираемую контуром остановку. ↩
-
Исключительность записи в полевую шину: Арбитраж полномочий требует аппаратно обеспечиваемой исключительности в распределенных полевых шинах. Двойная запись в сегменты CAN-FD или EtherCAT от автономных и ручных контроллеров порождает недетерминированное дребезговое срабатывание актуаторов и колебания тока инвертора. Квалифицированный арбитр и разрешения шины должны исключить запись двух программных источников в один канал актуатора. ↩
-
Штраф торможения при безударной передаче: Штраф принадлежит профилю сглаживания, его фиксированным концам и заявленной ступени ускорения; другой профиль или другая пара концов дают иной штраф. ↩
-
Журналирование по протоколу точного времени (PTP): В отличие от устаревших регистраторов событий, пишущих с грубыми интервалами , реконструкция инцидентов физического ИИ требует субмиллисекундной точности. Квалифицированная установка PTP может выровнять часы названных устройств с измеренной границей ошибки преобразования. Упорядочение событий требует, чтобы интервалы вокруг меток времени, экспозиция и дискретизация сенсоров и отклик актуатора не перекрывались. ↩
Верификация
Цель
Почему робот, проработавший недели без единого происшествия, не является свидетельством безопасности машины?
Недели эксплуатации без происшествий устанавливают поведение лишь при встреченных безобидных условиях; они не дают эмпирических свидетельств того, что машина переживет аномалии пограничных случаев. Автономный робот кажется безупречно надежным, пока несмоделированное возмущение — застывший кадр камеры, просроченный фрагмент траектории или индуктивная просадка шины питания — не бросает вызов непроверенным программным допущениям. Ожидание редких пограничных случаев при пассивной эксплуатации неприемлемо: событие, в десять раз более редкое, требует в десять раз большей наработки, чтобы его наблюдать, а его появление в эксплуатации рискует обернуться катастрофическим физическим ущербом.
Верификация всей системы превращает допущения безопасности в систематические воспроизводимые эксперименты по внедрению отказов, выполняемые в симуляции, на стендах с процессором в контуре и физических динамометрических стендах. Каждый эксперимент бросает вызов границам тайминга, свежести данных и кинетических полномочий, проверяя, обнаруживает ли машина отказы и принудительно обеспечивает ли безопасное резервирование в пределах объявленных бюджетов. Внутри огибающей управления строгая верификация связывает когнитивные модели Мозга, детерминированные мониторы Нервной системы и физическую динамику Тела в эмпирические свидетельства, способные обосновать, ограничить или отклонить развертывание.
↰ Предпосылки: Физические режимы отказов и пределы измерений, дающие цели верификации, происходят из раздела «Замер пределов машины».
Цели обучения
- Определить эксплуатационную огибающую и вывести ее условия прохождения из бюджета остановки машины
- Вывести список отказов из проектных записей и прямого физического анализа, включая отказы полномочий и составные отказы
- Оценить, какие испытания в симуляции и на аппаратуре поддерживают каждое утверждение и где заканчиваются их свидетельства
- Применить расчет выборки при нуле пропусков к объявленной взвешенной совокупности отказов и указать, что он оставляет непокрытым
- Спроектировать испытания внедрения отказов, бросающие вызов утверждениям о тайминге, действительности данных и полномочиях на физической аппаратуре
- Построить протоколы отказов, сохраняющие неудавшиеся, невалидные и ненаблюдаемые испытания отличными от прошедших
Почему эксплуатация — не свидетельство
Журнал эксплуатации без происшествий отвечает лишь на условия, которые он встретил. Он не упражняет застывший кадр камеры, просадку питания или шину, занятую трафиком DMA. Ожидание этих условий медленно, поскольку событие, в десять раз более редкое, требует в среднем в десять раз большей наработки для наблюдения (стена наработки из раздела «Пределы физических испытаний»), а на машине это еще и небезопасно: когда событие наконец происходит в эксплуатации, оно приходит как движение, которое не может отозвать никакое программное действие. Поэтому верификация всей системы превращает каждое утверждение безопасности в преднамеренный отказ, внедряемый под сдерживанием и оцениваемый по оракулу испытания и пределам, объявленным до прогона. Утверждения происходят из записей, которые произвели предыдущие главы, завершаясь протоколом полномочий из раздела «Журнал полномочий», который называет, кто может командовать каждым каналом актуатора и что должно произойти, когда передача остается без ответа.
Рассмотрим складской мобильный манипулятор, идущий по проходу на 1.3 m/s (выбрано; см. Руководство для читателя) к торцу стеллажа, откуда может выйти человек. Недели чистых прогонов на этой скорости мало что говорят о четырех отказах, которые проект, по утверждению, содержит: инициаторе, обновляющем аренду, а затем зависающем (F1), наблюдении, достигающем пути разрешения с устаревшим или испорченным временем съемки (F2), пачке потерянных кадров EtherCAT между путем разрешения и приводами (F3) и просадке шины управления 24 V, когда пачка инференса совпадает с двигателями привода (F4). Ни один из них не проявляется в журнале эксплуатации, поскольку каждый оставляет машину работающей нормально до момента, когда нужна остановка. Аренда ловит зависание, проверка эпохи свидетельств — устаревшее время съемки, сторожевой таймер полевой шины привода — потерянный кадр, а монитор пониженного напряжения пути разрешения, на собственной шине с поддержкой, — просадку общей шины. Каждый отказ внедряется у торца стеллажа вместе с четырьмя отказами полномочий, которые передает «Журнал полномочий» (A1–A4), и каждое испытание остановки оценивается по границам начала и расстояния, которые «Эксплуатационная огибающая» выводит из бюджета остановки.
Внедренный отказ превращает физический прогон в результат испытания, способный поддержать кейс безопасности, только когда прогон несет пять составляющих:
- Ограниченное утверждение: указывающее точный инвариант, который машина должна поддерживать (для основания у торца стеллажа — остановку, завершающуюся внутри свободного расстояния
1.10 m); - Определенные условия испытания: задающие начальную скорость, полезную нагрузку, трение пола, температуру окружающей среды и диапазон напряжения питания;
- Заранее зафиксированный оракул: автоматизированный оценщик, который проверяет записанную телеметрию против утверждения без вмешательства человека и постфактум-корректировок;
- Заявленную процедуру выборки и внедрения: намеренно подводящую машину к пределам ее производительности и внедряющую отказы в датчики, шины и актуаторы; и
- Происхождение: полную запись метаданных весов модели, калибровочных таблиц, серийных номеров датчиков и сырых журналов шины, позволяющую независимое воспроизведение.
Утверждение об остановке основания и утверждение о силе защелки манипулятора требуют отдельных огибающих, точек внедрения и условий прохождения; эта глава следует утверждению об остановке. Первое решение — где номинальное регулирование должно уступить независимому отклику сдерживания.
Эксплуатационная огибающая
Эксплуатационная огибающая — это целевая ODD («Что измеряет доля успеха»), расширенная внутрь до собственных условий машины: вычислительной нагрузки, напряжения питания, дрожания шины, теплового состояния и времени реакции оператора. Множества вложены: ODD содержит объявленный ODD, который содержит целевую ODD, а эксплуатационная огибающая связывает целевую ODD с внутренними условиями машины. Определение этой огибающей требует точных числовых границ, чтобы автоматизированный испытательный стенд мог детерминированно вести систему через каждое ограничение. Для мобильного манипулятора огибающая — это набор объявленных точек, а не одно номинальное условие: скорость хода 1.3 m/s в проходе; полезные нагрузки от нуля до грузоподъемности стеллажа 50 kg; трение пола не менее 0.204 — величины, которую требует достоверное замедление 2 m/s², — на сухих проходах и не менее 0.12 на полах под режимом инспекции площадки; и температуры окружающей среды от 5 °C до 35 °C. Для инспектируемых полов огибающая объявляет ограниченную точку на 1 m/s — скорость ограниченной конфигурации, которую протокол принудительного обеспечения объявляет действительной вплоть до этого трения («Протокол принудительного обеспечения»), — а испытания там используют испытательный пол, чье измеренное трение равно квалификационной величине 0.12, так что проверяемая ими остановка — та, которую ограничивает трение.
Каждая точка сопряжена с внутренними условиями машины: нагрузкой прикладного процессора вплоть до пиковой пачки инференса, шиной управления в любой точке от точки разряда аккумулятора 21.5 V до номинальных 24 V, дрожанием EtherCAT и тепловым состоянием микроконтроллера безопасности. Еще одна точка — 1.2 m/s, до которых машина замедляется, прежде чем запросит перехват в контуре удаленным ассистентом, и только эта точка несет время перехвата 150 ms («Переходы полномочий»).
Эксплуатационная огибающая отличается от более широкой огибающей выживания, которая ее включает. Внутри эксплуатационной огибающей обученная политика и контуры слежения регулируют процесс. Когда возмущение, отказ датчика или зависание вычислений толкают машину за эту границу, номинальное регулирование уступает, и целью становится приведение тела к ограниченному безопасному состоянию до нарушения структурных пределов. Для мобильного манипулятора огибающая выживания — более широкая область скорости, трения пола и состояния машины, в пределах которой ступень остановки лестницы резервирования и ее ступень блокировки как крайняя мера («Лестница резервирования») все еще способны привести основание к покою до торца стеллажа и удержать силу контакта манипулятора ниже его предела. За ней лежит структурный отказ, где запасенная энергия превышает то, что аппаратура способна рассеять.
Определение границы эксплуатационной огибающей требует выводить пределы из первых принципов, а не провозглашать удобные программные тайм-ауты. У торца стеллажа предел — бюджет остановки. Остановочный путь растет линейно с задержкой до торможения и квадратично со скоростью («остановочный путь тела»), а завершенный бюджет из раздела «Огибающие остановки» («Бюджет остановки складского манипулятора») с его задержкой до торможения 133.6 ms, гладкой резидентной остановкой, которую берет на себя «Поведение на стыке», и врезкой слежения устанавливает потолок 1.39 m/s на сухом полу. На выбранной 1.3 m/s машине требуется 997.4 mm из свободного расстояния 1.10 m, и она сохраняет 102.6 mm в резерве — расстояние, которое она проходит за 78.9 ms.
Отсюда следуют две границы оракула, и каждое испытание остановки в этой главе оценивается по обеим. Начало торможения должно наступить не позднее 82 ms после последнего валидного обновления — это путь аренды из раздела «Многотактные ритмы»: аренда 60 ms, один такт 1 ms контура разрешения, один цикл шины 1 ms и 20 ms на начало торможения. Отказы шины F4 берут свое начало вместо этого от флага пониженного напряжения. Остановка, измеренная приборами, независимыми от машины, должна завершиться в пределах расстояния, допустимого от того же события, к которому отнесен отказ. Для отказа, следующего за появлением цели, это расстояние — 997.4 mm, которые допускает бюджет. Зависший инициатор не дает появления цели, поэтому его остановка, как и ее начало, измеряется от последнего валидного обновления, а ход во время 82 ms до начала торможения, резидентная остановка и врезка слежения дают 780.4 mm на скорости хода в проходе.
Ни одна из границ не зависит от инициатора. Политика фрагментов, которая зависает, не может задержать начало торможения, потому что остановка начинается при истечении аренды, а не когда инициатор замечает, поэтому испытание F1 измеряет путь разрешения, а не политику. Бюджет защищает статическое препятствие на свободном расстоянии, а испытание против статической цели ничего не говорит о человеке, который все еще идет к машине, — предпосылке, которую несет правило перехода площадки («Оценка сквозь окклюзию»).
Регулятор потока, удерживающий буферный бак ниже переливного порога, — контрастный пример класса 3 для этой части, — проверяет другую величину. Его оракул — объем, а не расстояние. Когда уровень находится на пороге срабатывания 88 L, на 7 L ниже порога 95 L, а чистый приток составляет 1.40 L каждую секунду после отказа верхнего клапана и срабатывания выпускного насоса, бак переполняется через 5 s. Защитный путь, обнаруживающий за 210 ms и закрывающий свой отсечной клапан за 1.20 s, завершается на 3.59 s раньше. Та же задержка шины 150 ms, которая стоила бы мобильному манипулятору 195 mm — 1.9 его резерва, — добавляет баку 0.21 L. Поэтому список отказов регулятора внедряет длительные задержки и отказавшие клапаны, тогда как список машины обязан разрешать десятки миллисекунд.
На мобильном манипуляторе отдельные минимальные и максимальные значения для отдельных переменных не улавливают истинную эксплуатационную границу, поскольку физические и вычислительные измерения связаны. Скорость хода 1.3 m/s в проходе и инспектируемый пол с трением 0.12 каждый лежит внутри своих объявленных диапазонов, однако вместе они выпадают из огибающей. На таком трении пола достоверное замедление задает не тормоз, а трение, и оно падает до 1.18 m/s². Резидентная остановка удлиняется, и бюджет на 1.3 m/s растет до 1.44 m, мимо свободного расстояния 1.10 m; граница скорости на этом полу — 1.09 m/s, поэтому ограниченная точка огибающей лежит ниже ее. Полезная нагрузка связана менее заметно. Она не входит ни в одно слагаемое бюджета, но достоверное замедление было объявлено для загруженной машины, поэтому кампания, выполняемая только без нагрузки, никогда не проверяет величину, на которой покоится бюджет. Истинная эксплуатационная граница — поверхность в пространстве состояний, параметров и задержек, и валидный набор верификации обязан зондировать эту комбинированную поверхность, а не изолированные скалярные пределы.
Граница остается честной, только если каждый параметр несет свою единицу, свое происхождение, свою калиброванную неопределенность и инженера, ответственного за него. Достоверное замедление 2 m/s² неполно, пока запись не говорит, получено ли оно из испытаний остановок на загруженной массе, из технического листа привода или из модели трения и с каким разрешением внешний эталон расстояния измерял каждую остановку. Новый компаунд протектора колеса или новая прошивка ведомого устройства EtherCAT обязывают этого владельца пересмотреть, не сдвинулась ли граница.
Испытание огибающей означает атаку ее граничной поверхности. Внутренние точки, где основание ползет без нагрузки по сухому полу на свежих кадрах камеры, показывают лишь, что машина работает при идеальных условиях. Испытательный стенд помещает точки на каждой существенной границе, чуть внутри и чуть снаружи. Точки чуть внутри проверяют, что политика сохраняет устойчивость замкнутого контура под наибольшим допустимым напряжением; точки на границе проверяют, что запасы переживают номинальный шум датчиков; точки чуть снаружи проверяют, что механизм принуждения предсказуемо забирает полномочия у политики и останавливает основание в пределах огибающей выживания, пока свободное расстояние не израсходовано.
Зондирование этой граничной поверхности формализует критическое различие между классической функциональной безопасностью (регулируемой ISO 26262 и IEC 61508) и безопасностью предполагаемой функциональности (SOTIF) (регулируемой ISO 21448). Классические рамки функциональной безопасности предполагают, что эксплуатационные опасности возникают от отказов системы: порванных жгутов проводов, электрических коротких замыканий, битовых переключений в памяти или синтаксических ошибок программного обеспечения. Если каждый аппаратный и программный компонент работает строго по своей инженерной спецификации, классическая функциональная безопасность считает систему неопасной. В системах физического ИИ эта предпосылка не выполняется. Визуальный трансформер или обученный оценщик глубины могут выполняться с нулевыми отказами памяти, нулевыми числовыми исключениями и битово-точным исполнением инструкций и все же не обнаружить препятствие из-за несмоделированного солнечного блика, ретроотражающих поверхностей или новых семантических объектов вне обучающего распределения. Эта опасность возникает от функциональной недостаточности — фундаментального ограничения производительности обученного восприятия в открытых средах, происходящего при полном отсутствии электрического или программного отказа. Верификация эксплуатационной огибающей по SOTIF требует систематически идентифицировать эти неизвестно-небезопасные условия через адверсариальный поиск границ, картографировать огибающую, в пределах которой восприятие статистически действительно, и демонстрировать, что детерминированный механизм принуждения ловит функциональную недостаточность до нарушения физического запаса. И все же, хотя SOTIF проверяет, что система безопасно отвечает на сенсорную неоднозначность в мире, конечная способность механизма принуждения остановить физический импульс все еще опирается на детерминированную целостность нижележащей аппаратуры под электрическим и механическим напряжением.
Принцип аппаратной фальсификации
Если свойство безопасности нельзя детерминированно фальсифицировать, внедряя физический или электрический отказ в целевую аппаратуру, это свойство является непроверенным допущением, а не инженерным инвариантом.
Как только каждое ограничение, бюджет задержки и предел среды выражены числом, проектные утверждения предыдущих глав становятся целями для внедрения отказов, каждое с порогом, который должен вызвать защитное вмешательство.
Вывод списка отказов
Первый источник отказов — проектные записи, обращенные вспять. Разделы от «Физические данные» до «Оценка в замкнутом контуре» излагают свойства обученной политики: ее обучающее распределение, ее допущения о состоянии-действии и ее потолки задержки инференса. Разделы от «Сенсорное восприятие» до «Размещение на кремнии» излагают свойства интерфейсов и выполнения, такие как распределение шин, свежесть наблюдений и границы оценивания, а раздел «Вмешательство супервизора» излагает, как быстро полномочия могут покинуть отказывающую политику и кто держит перекрытие. Если записи машины утверждают, что политика фрагментов обновляет свое предложение каждые 50 ms на любой скорости вплоть до предела ходовой скорости 1.5 m/s, набор верификации обращает это утверждение вспять, внедряя зависшие обновления, задержанные наблюдения и показания энкодера вне диапазона, чтобы проверить, обнаруживает ли путь разрешения нарушение в пределах своего бюджета.
Для единичного отказа ограниченное утверждение и процедура внедрения этого списка становятся пятиэлементной цепью, включающей отрицаемое условие, физическую точку внедрения, ожидаемый детектор, ограниченный отклик и наблюдаемое условие прохождения, и записанное проектное свойство становится проверяемым отказом только тогда, когда определены все пять. Для F2 навигационная камера штампует каждый кадр в момент съемки, а возраст кадра при отправке ограничен бюджетом 51.6 ms («Преобразование и калибровка датчиков»). Преобразование этого штампа в часы микроконтроллера безопасности добавляет границу 0.2 ms контракта наблюдений («Контракт наблюдений»), поэтому путь разрешения отказывает свидетельствам, чей верхний возраст превышает 51.8 ms. Отрицаемое свойство удерживает кадр на процессоре изображений, сохраняя его штамп съемки, так что кадр приходит за этим порогом. Ожидаемый детектор — проверка пути разрешения эпохи свидетельств каждого предложения, обязательный отклик — отказ от любого предложения, построенного на этих свидетельствах, с последующей резидентной остановкой, а наблюдаемое условие прохождения — пара границ оракула: начало торможения в пределах 82 ms после последнего валидного обновления и измеренная остановка в пределах 997.4 mm. Когда какой-либо элемент этой цепи нельзя определить или наблюдать, система содержит разрыв верификации. Разрыв верификации указывает, что утверждение нельзя фальсифицировать испытанием. Такие разрывы нельзя игнорировать; они требуют выделенных аппаратных средств измерения, более узкого эксплуатационного утверждения или перепроектирования пути выполнения.
Обращение достигает и допущений обученного инициатора, поскольку сдвиг распределения — отказ системы, даже когда каждый кадр приходит целым. Политика фрагментов, обученная в симуляции на сухом бетоне с трением 0.60, предлагает замедления, которые пол с трением 0.12 превращает в проскальзывание колес. Обращение этого оценочного утверждения означает внедрение несмоделированного сцепления. Смещение датчиков и возмущения данных внедряются по той же причине: политика с высокой номинальной наградой все равно может командовать дрожащими актуаторами, как только ее входы возмущены. Тогда машина отказывает на валидных, неиспорченных командах, потому что программное обеспечение и механика остаются связанными через каузальную границу («Каузальная граница»).
На каждом межмодульном контракте список отказов отрицает свойство в его физической точке передачи: свежесть наблюдений, действительность состояния, срок жизни намерения, предельные сроки планирования, независимость принудительного обеспечения и распределение ресурсов. Для аренды фрагментов 60 ms из раздела «Многотактные ритмы» испытательная среда внедряет иным образом валидное предложение через 65 ms после его последнего обновления и подтверждает, что путь разрешения отклоняет его как истекшее. Для заявленной независимости механизма принуждения от вычислителя политики испытание насыщает общую шину памяти трафиком DMA и подтверждает, что механизм принуждения все еще укладывается в свой предельный срок 400 μs внутри каждого такта 1 ms. Дисциплина работает в обе стороны. Голодание шины, рассинхронизация часов и колебания питания внедряются там, где проект заявляет устойчивость, потому что отказ, взятый из общего меню, выдумывает требование, которому машина никогда не была предназначена удовлетворять.
У обращения есть структурный предел. Оно производит только отказы, которые проектная команда уже смоделировала, поэтому список полн ровно настолько, насколько полны проектные утверждения. Если ни одна запись не говорит, как ведет себя пружинный тормоз основания, когда его накладка глазуруется после повторных остановок, обращать нечего, и отказ никогда не достигает набора.
Второй, независимый источник работает вперед от физической машины, перечисляя, что способны сделать тело, силовая сеть, пол и среда независимо от того, во что верит программное обеспечение. Колеса буксуют, когда командуемое замедление превышает то, что пол способен передать; тормозные накладки глазуруются при повторных остановках; шины изнашиваются и меняют радиус качения, который предполагает одометрия; вибрация привода ослабляет крепление камеры, пока ее калибровка не дрейфует. Эти опасности происходят из механики и трибологии, вне каждой абстракции, над которой рассуждает программное обеспечение. Рамка Systems-Theoretic Accident Model and Processes (STAMP)1 Leveson, 2011 вносит их в анализ опасностей.
Например, начнем с физической опасности основания, которое продолжает движение после того, как путь разрешения скомандовал остановку у торца стеллажа. Небезопасное управляющее действие — продолжающийся момент привода после команды остановки. Испытание внедряет залипший контактор включения привода или залипший соленоид снятия тормоза на испытательном проходе, наблюдает скорость колес и ток тормоза независимо от командуемого бита остановки и требует, чтобы путь разрешения снял питание привода через свой второй канал — безопасное снятие момента. Заранее зафиксированное условие прохождения — измеренная остановка в пределах 997.4 mm на всех объявленных точках скорости, полезной нагрузки и трения пола; незамеренная скорость колеса делает испытание ненаблюдаемым для утверждения о торможении. Эта прямая цепь дает внедрение и оракул, даже если исходные программные требования опустили залипший контактор.
Внедрение отказов поднимается от программных битовых переключений до физического заклинивания вала динамометра.
Работа вперед обнажает классы отказов, которых не подразумевает ни одна программная запись: потерю синхросигнала, просадки питания, оставляющие логические уровни между допустимыми порогами, помехи переключения привода, наводимые в линии энкодера, испорченную память конфигурации и линии сброса, мостики между доменами, которые должны быть независимы. Если бы микроконтроллер безопасности и прикладной процессор разделяли один кристалл управления питанием, переходное пониженное напряжение во время пачки инференса могло бы сбросить микроконтроллер в момент, когда инициатор теряет управление. Ни одна программная запись не содержит этого отказа, потому что каждый модуль предполагает свое питание идеальным.
Прямой анализ также проверяет утверждения о независимости по общей причине из разделов «Нервная система» и «Размещение на кремнии». Два пути, изолированные на схеме, часто делят одну физическую уязвимость — когда, например, лидар и резервный концевой выключатель бампера проложены через один кабельный тракт, разделяют аналоговый опорный сигнал внутри одного преобразователя или построены на таймерной кремниевой логике с одинаковыми errata. Переходный процесс, вызывающий защелкивание обоих каналов разом, обесценивает любой аргумент, рассматривающий их отказы как независимые. Анализ общих причин прослеживает трассировку, цепи питания и деревья синхросигнала, чтобы ни одно единичное физическое событие не могло вывести из строя и политику, и механизм вмешательства.
Физический источник распространяется на ошибки оператора и предвидимое неправильное использование («Вмешательство супервизора»). Персонал площадки перемыкает датчик присутствия у торца стеллажа во время обслуживания, оставляет тележку-паллетовоз поперек размеченного перехода или выключает предупреждающий маяк, чтобы заглушить его, а удаленные ассистенты запрашивают скорости, которых проход не позволяет. Когда удаленный ассистент командует предел ходовой скорости 1.5 m/s в проходе, испытательный стенд обязан проверить, что команда отклонена по возможностям или ограничена записью manual_drive до скорости хода 1.3 m/s в проходе и что проверка разрешения выполняется на ней, как на любом другом предложении.
Работа вперед от физической машины добавляет один представительный механический класс — заклинивание актуатора — к списку, выведенному из записей, в таблице «Классы аппаратных и киберфизических отказов». Полнота по-прежнему требует отдельного аргумента анализа опасностей для заданного объекта управления и эксплуатационной огибающей.
Работа вперед от физических преобразователей также требует испытаний против киберфизических атак на уровне преобразования. В связанных автономных системах физический ИИ вводит поверхности атак, обходящие традиционные абстракции сетевых экранов за счет использования физики сенсорного преобразования. Резонансная акустическая инъекция (нацеленная на микромеханические контрольные массы MEMS-гироскопов ультразвуковыми частотами) способна вызывать ложные угловые скорости в инерциальной навигации, не испортив ни одного пакета шины. Аналогично оптическая лазерная инъекция и стробирующая подсветка скользящего затвора могут насыщать фотодиоды камеры, ослепляя оценщики дальности, тогда как адверсариальные физические патчи (высококонтрастные геометрические узоры, размещенные на стенах склада или поверхностях пола) способны использовать градиентный ландшафт нейронных бэкбонов восприятия, вызывая пропуски обнаружения препятствий. По ISO/SAE 21434 (дорожные транспортные средства — инженерия кибербезопасности) эти угрозы проектируются совместно с отказами функциональной безопасности: киберфизическое вторжение оценивается по его способности пересечь каузальную границу в опасное исполнение команды. Набор верификации обязан подтвердить, что междатчиковые проверки правдоподобия механизма принуждения (такие как сопоставление одометрии колес с оптическим потоком или проверка эпох свидетельств камеры против границ интегрирования IMU) обнаруживают аномалии преобразования и включают лестницу резервирования прежде, чем ложные перцептивные утверждения смогут командовать моментом.
Помимо обращенных утверждений и прямых опасностей, список отказов обязан проверять случаи полномочий A1–A4 из раздела «Журнал полномочий», каждый — строку таблицы «Классы аппаратных и киберфизических отказов», с машиной в состоянии, делающем вмешательство срочным: загруженное основание приближается к торцу стеллажа. Предельный срок передачи проверяется на обеих скоростях, где его устанавливает «Переходы полномочий». Когда машина замедлилась до 1.2 m/s для запроса в контуре, резерв 209.7 mm дает неподтвержденной передаче 174.7 ms на резервирование; на скорости хода 1.3 m/s в проходе, для передачи, которую политика запрашивает без замедления, время до резервирования сжимается до 78.9 ms. Передача, проверяемая на стоящем основании, не проверяет ни одного из предельных сроков, которые важны.
| Область отказа и режим отказа | Физический механизм и точка внедрения | Целевое проявление и каузальное воздействие | Примитив обнаружения и бюджет задержки | Принудительно обеспечиваемый безопасный отклик и ограниченное восстановление | Наблюдаемый критерий прохождения |
|---|---|---|---|---|---|
| Зависание инициатора (F1) | Политика фрагментов обновляет аренду один раз, затем ее задача убивается или ее выход замораживается на прикладном процессоре | Нет новых предложений; последний допущенный фрагмент продолжает поставлять задания, пока основание движется | Истечение аренды на пути разрешения (60 ms); тайм-аут сигнала живости хоста (30 ms) | Отозвать полномочия предложения; выполнить резидентную остановку | Начало торможения 82 ms после последнего валидного обновления; ход от этого обновления до покоя 780.4 mm |
| Устаревшее время наблюдения (F2) | Кадр навигационной камеры удерживается на процессоре изображений с сохраненным штампом съемки, или штамп испорчен, через встроенный перехватчик кадров | Предложения, построенные на свидетельствах, чей верхний возраст превышает 51.8 ms — возраст по бюджету плюс граница преобразования часов; основание действует по старому виду торца стеллажа | Проверка возраста эпохи свидетельств на каждом такте контура разрешения | Отклонять предложения, построенные на устаревших свидетельствах; выполнить резидентную остановку | Начало торможения 82 ms после последнего валидного обновления; измеренная остановка 997.4 mm |
| Потерянные кадры EtherCAT (F3) | Кадры теряются или портятся на порту ведомого устройства привода, внедрение через узел возмущения полевой шины | Состояние энкодера и команды привода пропускают циклы; доставленная команда стареет на один цикл 1 ms на каждый потерянный кадр | Проверка рабочего счетчика и прибытия кадров; сторожевой таймер связи привода | Привод входит в свою сконфигурированную остановку; путь разрешения командует резидентную остановку | Начало торможения 82 ms после последнего валидного обновления; измеренная остановка 997.4 mm; ноль необработанных исключений шины |
| Просадка шины управления (F4a) | Программируемая нагрузка постоянного тока воспроизводит переходный процесс «пачка инференса плюс привод» на общей шине управления 24 V в точке разряда аккумулятора | Общая шина проседает до 17.3 V, ниже отсечки регулятора 18 V; прикладной процессор уходит в просадку питания, и его датчики могут замереть на правдоподобных значениях | Флаг пониженного напряжения общей шины, поднимаемый путем разрешения на его изолированной шине с поддержкой | Командовать STOP; выполнить резидентную остановку | Начало торможения 22 ms после флага; измеренная остановка 997.4 mm; путь разрешения никогда не сбрасывается (непрерывный сигнал живости на независимом цифровом регистраторе) |
| Потеря питания шины разрешения (F4b) | Питание накопителя поддержки шины разрешения размыкается во время самой долгой остановки, которую механизм принуждения может допустить на инспектируемом полу, от ее потолка 1.09 m/s | Путь разрешения, логика привода и катушки тормоза работают только от накопителя | Флаг потери питания на шине разрешения | Завершить резидентную остановку; затормозить каждый пружинный тормоз при полной остановке | Остановка завершается и каждый тормоз срабатывает до того, как шина достигнет отсечки (1497.35 ms из 2 s поддержки); любой сброс — FAIL |
| Заклинивание актуатора и механическое заедание | Заклинивание подшипника колеса или тянущий тормоз, внедрение через колесный зажим или динамометр | Заблокированный ротор; одно заблокированное колесо разворачивает основание; быстрый нагрев обмотки статора () | Монитор перегрузки по фазе двигателя и заедания скорости на эффекте Холла, в пределах границы обнаружения | Обесточить силовой каскад; включить пружинный тормоз | Температура статора (предел класса F, «Тепловые циклы нагрузки»); основание остается внутри бокового запаса 0.15 m |
| Передача полномочий (A1): дублирующий писатель | Второй ведущий узел шины пишет в канал привода основания (дублирующий идентификатор EtherCAT или запись DMA), пока политика и удаленный ассистент командуют одновременно | Два писателя на одном канале; доставленная команда больше не является допущенной | Права записи шины или DMA; протокол полномочий для расследования на каждый такт | Отклонить чужую запись; путь принуждения остается единственным писателем | Запись отклонена; каждый протокол полномочий для расследования в окне показывает одного писателя |
| Передача полномочий (A2): обход уровней | Предложение политики внедряется, пока активен MAN; команда удаленного ассистента, противоречащая допущенному пределу механизма принуждения | Более низкий уровень вытесняет активный более высокий, либо команда ассистента минует проверку разрешения | Проверка уровня арбитром; проверка разрешения, применяемая к каждому источнику | Игнорировать предложение политики; ограничить или отклонить команду ассистента, как любое предложение | Арбитр игнорирует предложение; проверка разрешения по-прежнему выполняется для команды ассистента |
| Передача полномочий (A3): истечение срока передачи | Ввод ассистента заморожен во время PEND; кадры подтверждения теряются, на скорости перехвата и на скорости хода в проходе | Машина ждет передачу, которую никто не завершает | Таймер предельного срока передачи в арбитре | Запустить валидированное резервирование | Резервирование стартует к : 174.7 ms на 1.2 m/s, 78.9 ms на 1.3 m/s |
| Передача полномочий (A4): аутентификация | Повторно воспроизведенный перехваченный пакет veto_path, manual_drive или accept_item; пакет с плохой меткой | Неаутентифицированный источник получает полномочия | Проверка метки и свежести для каждой команды ассистента и коллеги | Заблокировать канал; оставить полномочия неизменными | Канал заблокирован, полномочия неизменны, событие записано |
Классы аппаратных и киберфизических отказов: Отказы у торца стеллажа F1–F4 и четыре случая отказов полномочий (A1–A4), которые передает «Журнал полномочий», каждый сопоставлен своей точке внедрения, детектору, отклику и наблюдаемому критерию прохождения на складском мобильном манипуляторе, плюс один прямой механический отказ.
Составные отказы
Каждая строка таблицы «Классы аппаратных и киберфизических отказов» внедряет одно возмущение, однако машина в эксплуатации редко встречает их поодиночке. Случайное комбинирование строк раздуло бы список, не найдя сочетаний, которые важны, поэтому связанные возмущения перечисляются вместо этого из общих причин. Испытательная ведомость протокола размещения («Распределение аппаратных ресурсов») называет каждый ресурс, которым путь разрешения делится с обученными нагрузками, и каждая общая шина, часы или цепь становятся одним составным отказом, внедряемым в причине, а не в ее симптомах. Просадка общей шины может замедлить механизм принуждения, заморозить датчик на правдоподобном значении и сбросить регистратор за тот же интервал. Пачка на общей шине старит наблюдения, одновременно задерживая собственные чтения пути разрешения и сигнал живости, который обнаружил бы задержку. Отказ в общих часах сдвигает метки времени каждой записи, пересекающей границу предложения, разом, поэтому проверки свежести проходят на данных, которые уже стары. Оракул составного отказа поэтому проверяет защитный отклик против его предельного срока и также проверяет, что свидетельства, нужные для оценки этого отклика, пережили ту же причину; ловушки из раздела «Заблуждения и ловушки» показывают оба провала вместе. Общая причина, которую ведомость не называет, не может быть перечислена таким способом, поэтому прямой анализ физической машины остается отдельным источником отказов.
Список отказов теперь содержит обращенные проектные утверждения, прямые классы физических отказов, четыре случая полномочий и составные отказы, извлеченные из названных общих причин. Он говорит, что внедрять, но не где внедрение реально, и этот выбор решает, что способно доказать каждое испытание.
Лестница квалификации
Симулятор способен за ночь вызвать зависание инициатора F1 на каждой выборочной скорости и нагрузке, но он не может просадить шину управления F4, потому что у смоделированной шины нет регулятора, который вышел бы из отсечки, и нет микроконтроллера, который сбросился бы. Каждая среда оценки замыкает, разрывает или подменяет различные звенья контура, идущего от восприятия через инференс, шины, приводы и объект управления, поэтому среды не образуют иерархию. Высшая ступень не может поглотить низшую; каждая дает особую категорию свидетельств и остается слепой к остальным («Четырехступенчатая лестница квалификации»).
Четырехступенчатая лестница квалификации
Четырехступенчатая лестница квалификации — структурированная последовательность киберфизических сред оценки, замыкающая, разрывающая или подменяющая отдельные дуги каузального контура, чтобы уравновесить комбинаторную пропускную способность испытаний против физической и временной точности выполнения. Ее четыре стадии — программное обеспечение в контуре (Software-in-the-Loop, SIL), процессор в контуре (Processor-in-the-Loop, PIL), оборудование в контуре (Hardware-in-the-Loop, HIL) и физические стенды внедрения отказов in-situ.
- Значимость: Ни одна испытательная среда не способна валидировать систему физического ИИ. Программные симуляторы позволяют массивные комбинаторные проходы (), но опускают конкуренцию за шину целевого кремния и износ материалов; физические стенды обнажают подлинную механику и электрические переходные процессы, но не способны выполнять разрушительные проходы отказов в масштабе.
- Отличие: В отличие от кумулятивной испытательной лестницы, где высшие ступени поглощают низшие, каждая ступень квалификации упражняет взаимодополняющие, не пересекающиеся каузальные механизмы, оставаясь слепой к другим.
- Распространенная ловушка: Предположение, что прохождение обширной симуляции с программным обеспечением в контуре (SIL) влечет безопасность на встроенной аппаратуре. SIL абстрагирует дрейф часов микроконтроллера, зависания шины DMA, дрожание прерываний и просадку напряжения питания.
Таблица «Четырехступенчатая лестница квалификации» дает подложку каждой ступени, отказы, которые она способна внедрять, ее пропускную способность и то, где заканчиваются ее свидетельства. Для мобильного манипулятора свидетельства с программным обеспечением в контуре заканчиваются на модели объекта управления, где тормоз, смоделированный как лаг первого порядка, не имеет температуры накладки, проскальзывания шины или предела момента. Процессор в контуре добавляет кросс-скомпилированный бинарный файл на целевом кремнии и потому проверяет квантование и запас стека; стенды с оборудованием в контуре ставят двухпроцессорную реализацию из раздела «Где проходит путь разрешения», ее полевую шину, источники питания и каскады привода против объекта управления на программируемой пользователем вентильной матрице (FPGA) или динамометра; а физические стенды внедрения отказов добавляют серийное основание, тормоза, жгут и пол. Два источника рядом с лестницей раскрывают контур целиком. Воспроизведение трассы сохраняет реальный шум датчиков, но поставляет кадры, последовавшие за исходной командой, а не за новой. Работа в тени запускает кандидата рядом с действующим контроллером, так что если кандидат предлагает скорость, которая унесла бы основание за торец стеллажа, его журнал записывает команду, пока действующий контроллер удерживает основание там, где ему надлежит. Ни то ни другое не показывает физического следствия команды.
Развертывание в тени не может позволить зависшему инициатору вести основание к торцу стеллажа, где может находиться человек, симулятор не способен обнаружить гонку в кремнии приемопередатчика, а аппаратный стенд не способен выполнить миллионы рандомизированных прогонов, которых требует хвостовая статистика. Поэтому каждое внедрение отказа направляется на ступень, упражняющую его каузальный механизм.
Четырехступенчатая лестница квалификации: Четыре ступени, обменивающие пропускную способность на точность, от примерно чисто программных прогонов в день при нулевой аппаратной реалистичности до горстки in-situ физических внедрений отказов при полной реалистичности. Лестница — не продвижение к точности, а последовательность различных слепых зон, потому что каждая стадия устанавливает свидетельства только внутри собственного каузального контура и остается слепой к каждому механизму вне его.
| Ступень квалификации и подложка | Реалистичность каузального контура (вычисления, шина, актуатор, объект управления) | Механизм и охват внедрения отказов | Пропускная способность и масштабирование выборки | Физическая и временная точность | Первичный оракул испытания и предел свидетельств |
|---|---|---|---|---|---|
| Программное обеспечение в контуре (SIL) (рабочая станция хоста / облачный кластер) | Вычисления: синтетические / хост x86; Шина: идеализированный буфер без копирования; Актуатор: линейная / насыщающаяся модель; Объект управления: численный решатель ОДУ/ДУ с частными производными | Битовые переключения тензоров, синтетические потери датчиков, проходы по трению пола, полезной нагрузке и задержкам | проходов в реальном времени параллельно () | Высокая математическая гибкость; нулевая реалистичность целевого кремния, тайминга шины или электрики | Оракул: коридоры математических утверждений и инварианты состояния. Предел: не способен валидировать тайминг выполнения на цели или несмоделированную физическую динамику. |
| Процессор в контуре (PIL) (целевой SoC / эмуляция ядра MCU) | Вычисления: реальный целевой кремний (ARM/RISC-V); Шина: смоделированное межсоединение шин; Актуатор: эмулируемый регистр команд; Объект управления: модель хоста реального времени | Вытеснение из кеша инструкций, порча регистров через JTAG/BIST, внедрение дрожания прерываний | реального времени; ограничено межплатформенной синхронизацией | Точен по набору инструкций и компилятору; абстрагирует аналоговые линии шины и противо-ЭДС актуатора | Оракул: состояние регистров цели и границы выполнения WCET. Предел: игнорирует физическую конкуренцию за шину приемопередатчика, просадку напряжения и тепловой рост. |
| Оборудование в контуре (HIL) (целевые ECU + стенд объекта управления реального времени) | Вычисления: серийные ECU / NPU; Шина: реальные физические CAN/Ethernet; Актуатор: реальные приводы двигателей / динамометр; Объект управления: стенд объекта на FPGA с жестким реальным временем | Обрыв/короткое замыкание вывода, набивка кадров CAN / «болтливый идиот», просадка шины питания, ступени нагрузки | строгого реального времени (ограничение настенных часов ) | Высокая электрическая, временная и протокольная точность; ограничена точностью модели объекта на FPGA | Оракул: CRC протокола, мониторы предельных сроков шины и тайминги блокировок. Предел: не способен выполнить разрушительную физическую перегрузку или смоделировать износ шин и накладок. |
| Физический стенд внедрения отказов (динамометрическая ячейка / полевой объект) | Вычисления: серийные ECU / NPU; Шина: серийный жгут и датчики; Актуатор: реальные физические механизмы; Объект управления: реальные основание, манипулятор и пол | Колесные зажимы, заедание магнитного тормоза, тепловой нагрев, дрейф смещения преобразователей | настенных часов; ограничено механическим износом и тепловым сбросом () | Полная подлинная физика (трение Кулона, проскальзывание колес, тепловыделение, износ) | Оракул: независимые физические средства сдерживания и датчики выхода. Предел: высокая финансовая стоимость каждого испытания; разрушительные испытания не масштабируются до статистических хвостовых границ. |
Четырехступенчатая лестница квалификации через киберфизические границы: Четыре среды квалификации, сопоставленные по вычислительной подложке, упражняемым элементам каузального контура, примитивам внедрения отказов, пропускной способности выполнения, физической и временной точности и оракулу испытания.
Граница точности испытательной среды — это место, где модель, эмулированная шина или воспроизведенная трасса разрывают обмен энергией и информацией между вычислениями и механикой («Каузальная граница»). Механизм, который модель опускает, не может отказаться в ней. Шарнир с несмоделированным кулоновым трением покоя и запаздыванием статора стоит неподвижно в течение мертвого времени, которого симулятор никогда не показывает, а затем отстает от смоделированной траектории — пример класса опущенных механизмов из раздела «Из чего состоит разрыв», который способна обнажить только ступень с реальным шарниром.
Чтобы предотвратить ложную уверенность, каждый сообщаемый результат верификации обязан явно указывать, какие элементы каузального контура были физически реальны, какие — смоделированы, какие — воспроизведены из статических журналов, какие — обойдены и какие остались ненаблюденными. Утверждение, что путь разрешения остановил основание в пределах 997.4 mm, ничего не значит без указания, был ли сигнал скорости колеса порожден дифференциальным уравнением, считан с физического энкодера через реальную полевую шину или воспроизведен из цифрового буфера. Уточнение этого каузального отображения обнажает допущения, лежащие в основе каждого испытания, так что несмоделированная физика не может скрыть скрытую опасность.
Каждая ступень возвращает трассу, а каузальное отображение говорит, какие звенья в этой трассе были реальны. Ни то ни другое не говорит, прошло ли испытание. Две границы у торца стеллажа из раздела «Эксплуатационная огибающая» до сих пор были числами, а оценка испытания требует превратить их в предикат, фиксируемый до прогона и применяемый без суждений после него.
Оракулы отказов и приемка
Внедренный отказ всегда производит реакцию — в переходных процессах телеметрии и в движении актуатора, а иногда в сгоревшем компоненте. Без оракула, зафиксированного заранее, инженеры судят после прогона о графиках временных рядов по грубым симптомам — например, расплавило ли джоулево тепло фазный провод или выбросил ли контроллер необработанное исключение, — и испытание становится анекдотом. Оракул — предикат, полностью определенный до прогона, который оценивает испытание против его утверждения.
Физические системы отказывают через переходные процессы, а не в изолированные мгновения, поэтому оракул — это временная спецификация. Сигнальная временная логика (Signal Temporal Logic, STL) сочетает физические предикаты, такие как остановочный путь ниже предела, с логическими связками и временными окнами, так что условие должно всегда выполняться на интервале, в конце концов произойти в пределах предельного срока или сохраняться, пока не произойдет другое событие (синтаксис в разделе «Сигнальная временная логика и непрерывная робастность»).
STL также снабжает верификацию количественной семантикой робастности. Вместо простого флага прошел/не прошел робастность — непрерывный численный балл, измеряющий насколько далеко система осталась от нарушения своих запасов безопасности.2
Оракул у торца стеллажа имеет эту форму. Начало торможения должно в конце концов наступить в пределах 82 ms после последнего валидного обновления, а ход основания должен всегда оставаться в пределах расстояния, допустимого от события, к которому отнесен отказ, — 997.4 mm, которые допускает бюджет на 1.3 m/s с момента появления цели, или 780.4 mm от последнего валидного обновления для зависания. Если внедренный отказ задерживает начало торможения на 30 ms за его границу, основание проходит еще 39 mm прежде, чем начнет замедляться, и останавливается после 1 036.4 mm, все еще не дотягивая до свободного расстояния 1.10 m. Робастность предиката расстояния тем не менее отрицательна на 39 mm, а предикат начала проваливается на 30 ms. Каждый балл количественно оценивает провал в собственной единице без ручной проверки.
Робастность превращает верификацию из случайных испытаний в фальсификацию временной логики как адверсариальную оптимизацию. Равномерная выборка многомерного пространства состояний требует неподъемного числа испытаний, чтобы достичь редкого провала, поэтому движок фальсификации ищет вместо этого возмущения — такие как шум датчиков, падения напряжения и трение, — которые опускают балл робастности ниже всего. Он использует черноящичные оптимизаторы, такие как эволюционные стратегии или байесовская оптимизация, либо градиенты через дифференцируемый симулятор, где он существует, а отрицательный балл дает конкретную траекторию контрпримера.
Формальная верификация самой сети, такая как решатель Reluplex Katz et al., 2017, способна доказать, что малая кусочно-линейная сеть никогда не выдает небезопасную команду на допустимом множестве состояний, но ее стоимость растет экспоненциально с глубиной сети и не достигает динамики замкнутого контура. Поэтому верификация сочетает такие границы с фальсификацией, внедрением отказов на аппаратуре и принудительным обеспечением времени выполнения.
Оценке также нужно правило невалидного испытания для прогона, который среда не смогла доставить. Если снижение номинала от контроля тяги на стыке пола замедляет основание до внедрения, так что оно встречает отказ ниже объявленных 1.3 m/s, испытание не проверило точку огибающей, о которой заявляет. Если инжектор кадров переполняет собственную очередь и теряет пакет отказа прежде, чем тот достигнет приемопередатчика, машина так и не встретила возмущение. Оценка такого прогона как прошедшего изготавливает уверенность, а оценка как провала винит машину за оснастку. Поэтому оракул возвращает один из четырех вердиктов. PASS означает, что каждый заранее зафиксированный предикат удержался; FAIL — что измеренный предикат был нарушен; INVALID — что внедрение или предусловие не выполнилось; и UNOBSERVABLE — что эталонные данные, нужные для оценки испытания, потеряны, при сохранении частичной трассы. При любом из двух последних вердиктов поле, которое испытание не измерило, помечается недоступным, но никогда нулем. Ни один из вердиктов никогда не считается PASS, и ни один не исключается из отчета об охвате.
Предварительная фиксация отделяет свидетельства от постфактум-рассказов. Поведение при внедрении отказов шумно и неожиданно, а критерии, согласованные после того, как трасса увидена, дрейфуют вслед за ней. Превышение объясняют вариацией пола, а начало позже границы 82 ms извиняют тем, что основание все равно остановилось до торца стеллажа.
Заранее зафиксированная запись закрепляет предикаты STL, физические единицы и любые шкалы нормализации, границы времени отклика и триггеры инвалидации до первого внедрения. Оценщик сохраняет знаковый запас для каждого предиката и возвращает PASS, только если каждый требуемый запас и граница тайминга проходят. Если остановка превышает свою границу на несколько миллиметров или начало торможения пропускает свой предельный срок на , запись указывает, какой измеренный предикат провалился; трасса и последующий анализ определяют, вызвано ли это трением пола, запаздыванием тормоза, снижением номинала или диагностической задержкой. Предварительная фиксация — то место, где принцип «Свидетельства ограничивают полномочия» впервые связывает испытание. Выпуск будет даровать полномочия по этим записям, поэтому вердикт, оцененный правилом, пересмотренным после того, как трасса была увидена, даровал бы полномочия силой исхода, а не испытания.
Оракулы временной логики и предварительная фиксация испытаний
Прежде чем выполнять автоматическую фальсификацию против политик физического ИИ, проверьте ваше понимание спецификаций временной логики и критериев валидности испытаний:
- Интерпретация количественной робастности: Сможете ли вы объяснить, как сигнальная временная логика заменяет бинарные утверждения прошел/не прошел метрикой знакового расстояния и как отрицательный балл количественно оценивает глубину физического провала?
- Адверсариальная оптимизация траекторий возмущений: Сможете ли вы описать, как черноящичные оптимизаторы используют баллы количественной робастности, чтобы обнаружить худшие сочетания задержки, шума и трения?
- Инвалидация испытания против критериев провала: Сможете ли вы различить выполнение, фальсифицирующее инвариант безопасности, и невалидное испытание, в котором отказали предусловия стенда или механизмы внедрения отказов?
Зафиксировав оракул до первого внедрения, каждое испытание получает один из четырех вердиктов прежде, чем кто-либо начнет спорить о его трассе, а знаковый запас указывает, насколько оно было от каждой границы. Однако оракул хорош ровно настолько, насколько хорош прогон, который он оценивает. Лестница способна фальсифицировать контракт в симуляции, но только внедрение на целевой аппаратуре может показать, задерживает ли просадка общей шины или пачка на общей шине путь разрешения и укладываются ли собственные таймеры цели в предельные сроки, которые проверяет оракул.
Внедрение отказов на аппаратуре
Отказ, внедренный в симуляции, проверяет отклик симулятора. Симуляции предполагают идеальные часы, изолированную память, детерминированные переключения контекста и линейную задержку межсоединений, тогда как на машине своевременность вмешательства решают конкуренция на общей шине, дрейф часов между микроконтроллерами, зависания DMA и падение напряжения на индуктивных драйверах. Поэтому внедрение происходит на целевой аппаратуре, через реальные приемопередатчики, таймеры, общие шины и путь принудительного обеспечения, тогда как независимый стенд сдерживания защищает испытательный полигон.
Внедрение отказов in-situ — намеренное детерминированное внесение физических, электрических и вычислительных возмущений (включая защелкивание регистров датчиков, дрейф часов, конкуренцию за шину, просадки питания и заедания нагрузки актуатора) непосредственно в целевую серийную аппаратуру и механику при работе под подлинными электрическими, тепловыми и динамическими нагрузками.
Рассмотрим F2 на аппаратуре. На 1.3 m/s основание проходит 1.3 mm каждую миллисекунду, поэтому устаревание, не обнаруженное за порогом 51.8 ms, расходует резерв напрямую. Оставшись необнаруженным в течение 78.9 ms, оно поглощает все 102.6 mm. Ни время чтения из технического листа камеры, ни метка времени на одном кадре не устанавливают, как быстро замечает путь разрешения. Измеренное время обнаружения оставляет худший случай неограниченным («Передача команд вовремя»), поэтому утверждение о сдерживании нуждается в границе обнаружения, обоснованной на объявленной огибающей вычислительной нагрузки, нагрузки шины и теплового состояния.
Испытание двухпроцессорной реализации («Где проходит путь разрешения») требует физического внедрения отказов на границах, которые называют ее утверждения. Таблица «Классы аппаратных и киберфизических отказов» дает детектор, отклик и условие прохождения каждого случая; список добавляет, как внедряется каждый отказ и, где это важно, где отсчитываются его события:
- Внедрение устаревшего наблюдения (F2): Встроенный перехватчик на FPGA удерживает кадр навигационной камеры на процессоре изображений или подавляет обновления энкодера, сохраняя исходную аппаратную метку времени. Срабатывание детектора, начало торможения и скорость колеса измеряются на независимых приборах.
- Отзыв истекшей аренды (F1): Испытательный стенд позволяет инициатору обновиться один раз, а затем подавляет каждое последующее обновление. Истечение аренды, отзыв на следующем такте
1 msмеханизма принуждения и начало торможения измеряются каждое на собственном проводе и собственных часах. - Внедрение потерянного кадра (F3): Узел возмущения полевой шины теряет или портит кадры EtherCAT на порту ведомого устройства привода, пока основание движется. Каждый потерянный цикл
1 msстоит1.3 mmхода на скорости хода в проходе. - Внедрение просадки шины управления и потери питания (F4a, F4b): Программируемая нагрузка потребляет переходный ток
70 Aот пачки инференса, совпадающей с двигателями привода (просадка питания из раздела «Заблуждения и ловушки»), с общей шины управления в точке разряда аккумулятора21.5 V, пока путь разрешения работает на изолированной шине с поддержкой, которую рассчитывает «Лестница резервирования» и несет протокол размещения («Распределение аппаратных ресурсов»). Независимый цифровой регистратор записывает сигнал живости пути разрешения, а начало торможения отсчитывается от флага пониженного напряжения. F4b размыкает питание шины разрешения во время самой долгой остановки, которую механизм принуждения может допустить на инспектируемом полу, — резидентной остановки с ее потолка1.09 m/s. Сброс пути разрешения —FAILв любом из двух испытаний, каково бы ни было остановочное расстояние, потому что остановка, которую потеря питания передает пружинным тормозам в середине движения, — не та остановка, которую бюджет утверждения закладывает. - Внедрение дублирующего писателя (A1): Второй ведущий узел шины пишет в канал привода основания — либо кадром под идентификатором EtherCAT механизма принуждения, либо записью DMA в регистр команд привода, — пока политика и удаленный ассистент командуют одновременно.
- Внедрение обхода уровней (A2): Стенд подает предложение политики, пока активен
MAN, и, в отдельном испытании, команду удаленного ассистента, противоречащую допущенному пределу механизма принуждения. - Внедрение зависания передачи (A3): Стенд замораживает ввод удаленного ассистента во время
PENDи теряет кадры подтверждения на обеих скоростях, а начало резервирования отсчитывается на приводе, а не в журнале арбитра. - Внедрение повтора и подделки (A4): Стенд воспроизводит перехваченный пакет
veto_path,manual_driveилиaccept_itemи отправляет другой, с испорченной меткой аутентификации.
Запись траектории состояния, идентичности детектора, метки времени отказа и времени восстановления ограниченного состояния требует средств измерения, электрически и логически независимых от машины, таких как оптические энкодеры на валу и высокоскоростные камеры на изолированных цифровых регистраторах. Бортовой демон журналирования портится тем самым отказом, который пытается захватить, потому что отказавший процессор или насыщенная шина задерживают сериализацию журнала.3 Независимые измерения также отвергают ложные прохождения, в которых машина выжила по причинам, отсутствующим в утверждении безопасности. Внедренный отказ потерянного кадра может вызвать срабатывание неотслеживаемого теплового выключателя или вспомогательной петли заземления, обесточивающей приводы, так что пружинный тормоз остановит основание в пределах бюджета, тогда как программный механизм принуждения завис в инверсии приоритетов. Оракул, проверяющий только остановочное расстояние, оценил бы такое испытание как прошедшее. Испытательный стенд обязан проверить, что путь механизма принуждения, названный в утверждении безопасности, выполнил корректирующее действие.
Сигнал живости — еще один источник ложных прохождений, поэтому испытание должно нацеливаться на то, что он может пропустить. Раздел «Аппаратная изоляция» рассказывает о механизме, который аргументировал эксперт истца в судебном разбирательстве по непреднамеренному ускорению Toyota Barr, 2013: прерывание таймера продолжало обслуживать сторожевой таймер, пока управляющие задачи могли умирать, и выводит правило, что подача таймера доказывает лишь, что путь подачи работал («Инвариант живости сторожевого таймера», «Проверка гипотезы о сторожевом таймере, слепом к задаче»). Тестовый вектор для этого правила убивает управляющую задачу или замораживает ее выход, пока прерывание таймера остается живым, и измеряет команду актуатора и выход сторожевого таймера на приборах, независимых от контроллера. На мобильном манипуляторе F1 — этот вектор, примененный к инициатору. Сигнал живости хоста может продолжать сообщать о живом процессе после того, как задача политики фрагментов погибла, поэтому F1 проходит по началу торможения, измеренному на приводе, и никогда — по сигналу живости в журнале. Поскольку исторический механизм приписан, а не установлен, стендовый результат говорит за проверяемый проект, а не за какое-либо транспортное средство.
Инвариант живости сторожевого таймера
Сторожевой таймер, питаемый периодическим прерыванием таймера, показывает лишь, что обработчик прерывания выполнился, а не то, что критичные для безопасности задачи приложения уложились в свои предельные сроки или выполнились без порчи. Квалифицированная кампания внедрения отказов явно разделяет прогресс задач и живость таймера, проверяя физическое отключение при гибели задачи, голодании потока и замороженных регистрах управления.
Проверка гипотезы о сторожевом таймере, слепом к задаче
Контекст: Судебное разбирательство по электронному управлению дросселем Toyota (ETCS-i) (Bookout v. Toyota, 2013) подняло вопросы о том, может ли критичная задача управления дросселем умереть, пока прерывание таймера продолжает обслуживать аппаратный сторожевой таймер Barr, 2013.
Механизм для проверки: Эксперт истца Michael Barr дал показания о сценарии гибели задачи, связанном с битовыми переключениями и порчей памяти при переполнении стека. Тестовый вектор убивает задачу реального времени управления дросселем, оставляя аппаратное прерывание таймера активным, а затем независимо измеряет положение дросселя и выводы сброса сторожевого таймера. Поскольку расследование NHTSA/NASA не установило электронной причины непреднамеренного ускорения, это приписанная испытательная гипотеза, а не подтвержденный отказ транспортного средства.
Оракул: Работающий сигнал живости сторожевого таймера — недостаточное свидетельство, если утверждение безопасности требует своевременного, специфичного для задачи управления в замкнутом контуре. Оракул верификации обязан записать, возвращается ли объект управления независимо к валидированному безопасному состоянию (такому как холостой ход двигателя или механическое перекрытие тормоза) в пределах своего физического предельного срока, когда выполнение задачи замирает.
Урок системного проектирования: Внедряйте тот режим отказа, который сигналы живости могут пропустить, затем измеряйте физический отклик на независимых средствах измерения. Устройства защиты памяти (MPU), независимые супервизорные ядра и умные оконные сторожевые таймеры, требующие явных криптографических подписей задач, — варианты, чей охват отказов должен быть продемонстрирован на целевой платформе.
Механизм вмешательства должен испытываться в условиях, которые делают вмешательство необходимым. Механизм принуждения, чисто перехватывающий управление на свободном стенде, не дает свидетельств для производства, где в кризис политика работает на пиковой пропускной способности, шины памяти несут потоки датчиков высокого разрешения, каналы DMA перемещают буферы кадров, а основание несет свой загруженный стеллаж на скорости хода в проходе. Стенд внедряет отказы под объявленной тепловой и электрической нагрузкой и измеряет как отзыв по истечении аренды, так и, отдельно, время от диагностического флага до начала торможения на приводе. Если путь вмешательства делит арбитр шины с нейронным ускорителем, перехват может застрять за пакетной передачей, которую нельзя вытеснить, и кейс безопасности, предполагавший мгновенный перехват, рушится в поле, если перехват проверялся только на тихой шине.
↰ Предпосылки: Микроархитектурные стресс-паттерны непосредственно опираются на измерения конкуренции за память из раздела «Конкуренция за общие ресурсы».
Кампания выполняет каждое внедрение по одному фиксированному протоколу, чтобы вердикт следовал из процедуры, а не из того, кто читает трассу. Оркестратор испытаний сперва проверяет каждое предусловие — температуру, напряжение шины, скорость колеса — против его объявленного допуска, в единице этой величины, и испытание, начавшееся вне допуска, завершается как INVALID еще до любого внедрения. Затем он приводит логический анализатор, объект управления и эталонные цифровые регистраторы к одним опорным часам, дает основанию успокоиться в своей точке огибающей и запускает внедрение по триггерной линии, штампующей начало отказа на этих часах. Флаг детектора, перехват на приводе и прибытие в ограниченное состояние отсчитываются от этого штампа на изолированном анализаторе, тогда как эталонные датчики, подключенные к реле шунтирующей защиты, способны отключить питание актуаторов, если основание покинет огибающую выживания. Заранее зафиксированный оракул оценивает трассу от независимых эталонных приборов по вердиктам и правилу прохождения из раздела «Оракулы отказов и приемка», а неполные эталонные кадры всплывают только на этой стадии, после того как внедрение выполнено, как UNOBSERVABLE. Оркестратор подписывает заголовок записи и связывает его с комплектом свидетельств через дайджест.
↳ Протокол: Раздел «Протокол внедрения отказов» дает протокол стадия за стадией, с его кодами ошибок, для читателя, строящего оркестратор испытаний.
Испытание распределенных контуров обнажает риск преобразования часов, даже когда каждый процессор укладывается в свое локальное расписание. Порог отказа F2 опирается на границу 0.2 ms для преобразования штампа съемки в часы микроконтроллера безопасности, и эта граница сама является утверждением для проверки. Возьмем иллюстративные пределы осцилляторов ±100 ppm на прикладном процессоре и ±50 ppm на микроконтроллере безопасности, плюс отдельно ограниченный вклад 50 ppm от температуры, которого эти спецификации не включают. Тогда худшая относительная частота составляет 200 ppm, и один только дрейф израсходовал бы границу 0.2 ms за 1 s без ресинхронизации. Здоровый период синхронизации 100 ms ограничивает этот вклад дрейфа величиной 20 μs; сетевая ошибка и ошибка преобразования должны закладываться в бюджет отдельно.
Предположим, два хороших кадра синхронизации приходят с интервалом 400 ms, тогда как три запланированных кадра между ними потеряны. Затемнение длится четыре периода синхронизации, и ограниченный вклад дрейфа растет до 80 μs. Если наблюдаемое дрожание синхронизации имеет стандартное отклонение = 15 μs, добавление одного сигма к частоте дрейфа , умноженной на затмение , дает
или 95 μs. Величина в один сигма из раздела «дрейф часов» — не жесткая граница; детерминированный предельный срок требует обоснованной огибающей дрожания и испытания преобразования часов. Пятый пропущенный период дает 100 μs одного только дрейфа, до дрожания, — половину границы 0.2 ms, на которой покоится порог F2.
Каждое внедрение на аппаратуре завершается тем же обязательством. Детектор, сработавший в момент отказа, момент отказа, перехват на приводе и физический исход измеряются на приборах, которых отказ не достает, на одних опорных часах, и испытание, потерявшее любой из них, не показало того, что собиралось показать. Поэтому аппаратная кампания производит записи, а не счет прохождений, каждая связывающая одно испытание с его утверждением, его точкой огибающей, его сборками и его свидетельствами.
↳ Далее: Результаты стресс-испытаний с оборудованием в контуре снабжают свидетельские обоснования кейсов безопасности в разделе «Кейсы безопасности и утверждения».
Манифест отказов
Когда завершается испытание F4a, основание выполнило свою резидентную остановку, пока прикладной процессор уходил в просадку питания, и единственным свидетелем порядка этих событий, а также никогда не прерывавшегося сигнала живости пути разрешения, является трасса на независимом цифровом регистраторе. Выпуск может учесть это испытание, только если трасса остается связанной с утверждением, точкой огибающей и проверенными сборками. Протокол отказа связывает небольшой фиксированный заголовок с сохраняемым комплектом свидетельств через дайджест.
Рядом с проектными контрактами, случаями полномочий A1–A4 и ведомостью размещения, которыми список отказов уже пользуется, запись потребляет два еще не названных источника: журнал упущений манифеста политики («Манифест политики») и каталог пробелов охвата протокола оценки («Журналы оценки»), которые называют условия, которых обученный инициатор никогда не видел. Вместе заголовок и комплект идентифицируют утверждение, рабочую точку, внедрение, аппаратные и программные сборки, сырую трассу, детектор, тайминг отклика, физический исход и аномалии. Фиксированный заголовок содержит поля, общие для каждого испытания. Его поля идентификации называют испытание и его утверждение, точку огибающей, внедренный отказ по режиму, величине и цели и дайджест заранее зафиксированного оракула. Его поля исхода несут измеренные времена обнаружения и перехвата, знаковый запас для утверждения, статус вердикта, дайджест комплекта свидетельств и подпись заголовка. Переменная трасса остается в комплекте.
Один протокол F1, взятый в ограниченной точке огибающей, 1 m/s на инспектируемом полу, с нагруженным до 50 kg стеллажом, заполняет все поля заголовка, кроме исхода («Протокол отказа F1 в точке ограниченной огибающей»). Как и для всякого зависания, оракул расстояния отнесен к последнему валидному обновлению. Ход во время 82 ms до начала торможения, резидентная остановка на полу с трением 0.12 и врезка слежения вместе дают 759.3 mm — короче, чем 960.9 mm, которые бюджет допускает на этой скорости с момента появления цели. Поле исхода не содержит значения и помечено недоступным. Ни одно испытание в этой книге не выполнялось, поэтому поле называет измерение, которое его заполнит, и пока это измерение не существует, запись не несет вердикта.
| Испытание и утверждение | Точка огибающей | Оракул, заранее объявленный от последнего валидного обновления | Детектор и свидетель | Исход, который предстоит измерить | Вердикт |
|---|---|---|---|---|---|
| F1, зависание инициатора: задача политики фрагментов убита через такт после обновления; утверждение об остановке у торца стеллажа | 1 m/s; полезная нагрузка 50 kg; испытательный пол с измеренным 0.12; шина управления на номинальных 24 V | Начало торможения 82 ms; ход до покоя 759.3 mm | Таймер аренды на пути разрешения; истечение, отзыв и начало — каждое на собственном проводе и собственных часах | Число испытаний; максимальное начало и максимальный ход по испытаниям, каждое со своим знаковым запасом; недоступно до измерения | Нет до оценки; PASS только если оба запаса неотрицательны |
Протокол отказа F1 в точке ограниченной огибающей: Поля заголовка испытания зависания инициатора на складском мобильном манипуляторе, с оракулом, зафиксированным до прогона, и исходом, оставленным как измерение, которое должно его заполнить.
↳ Раскладка байтов: Раздел «Протокол отказа» раскладывает заголовок поле за полем, включая кодирование недоступного значения, для читателя, строящего ведомость.
Запись сохраняет четыре вердикта из раздела «Оракулы отказов и приемка» различными поле за полем. Выключатель, не допустивший запрошенного внедрения, делает испытание INVALID, и для испытания, прерванного до внедрения, время обнаружения, время перехвата и запас недоступны, а не равны нулю; комплект записывает флаг валидности для каждого измеренного поля и причину его отсутствия, и оракул проверяет эти флаги и вердикт прежде, чем выполнять любую арифметику, так что недоступное поле никогда не попадает в счет прохождений или в статистику задержки либо запаса.
Единственный агрегированный процент скрывает, где кампания никогда не бывала. Машина, пережившая 98 % пяти тысяч испытаний с отказами, показала немного, если все пять тысяч выполнялись при комнатной температуре на тихой шине памяти. Поэтому охват сообщается по отдельным измерениям: требования функциональной безопасности, границы физической огибающей, физические и логические точки внедрения, хвосты тайминга, ревизии аппаратных сборок и многоотказные комбинации. Для мобильного манипулятора охват границ отслеживает, внедрялись ли отказы с пустым и полным стеллажом, на скорости хода по сухим полам и на ограниченной скорости по инспектируемым, и с шиной управления в точке разряда аккумулятора. Охват хвостов тайминга изолирует внедрения, нацеленные на задержку диспетчеризации контура разрешения и пиковую утилизацию прямого доступа к памяти. Машина достигает приемлемой верификации не тогда, когда средний индекс охвата превышает произвольный порог, а когда минимальный охват по каждому отдельному измерению удовлетворяет требованиям кейса безопасности.4
Повторные испытания что-то значат только там, где что-то варьируется. Детерминированный скрипт отказа, пятьсот раз выполненный на цифровом стенде с фиксированными начальными условиями, состояниями регистров, делителями часов и входами, каждый раз исполняет одну и ту же последовательность ветвлений и говорит не больше одного прогона. На испытательном проходе повторение выбирает трение пола, асинхронные приходы прерываний, арбитраж шины и фазу между часами датчика и циклом инференса, поэтому оно измеряет разброс и хвост распределения времени отклика.
Когда независимых испытаний Бернулли, выбранных из объявленного распределения отказов, дают ноль пропущенных смягчений, результат устанавливает одностороннюю верхнюю доверительную границу на вероятность пропуска для этого распределения. Подсчет — это расчет выборки при нуле отказов из раздела «Пределы физических испытаний», примененный к внедренной совокупности отказов, а не к прогонам политики. При доверии 95 % предел 1 % требует 299 внедрений без пропусков, а предел 0.1 % требует 2 995. Чтобы вывести взвешенный по FIT охват аппаратуры («Охват отказов при заявленных предположениях» определяет интенсивность FIT и веса ), внедрения должны представлять веса исходных отказов либо использовать обоснованное стратифицированное взвешивание и анализ по каждой страте.5
Граница применима только когда исходы внедрений удовлетворяют объявленным предположениям о независимости и выборке. Повторные остановки нагревают обмотки привода () и тормозную накладку, меняя их сопротивление и трение, и связывают последующие испытания с предыдущими. Кампания, выполненная на сухом проходе при комнатной температуре, не может установить предел для инспектируемого пола или для конца огибающей при 5 °C.
Охват отказов при заявленных предположениях
Сценарий: Предположим, интенсивности отказов компонентов суммируются в =
9 800FIT, где один FIT — один отказ на часов наработки. Четыре иллюстративных вклада: датчики1 500, вычисления1 000, приемопередатчики и управление питанием2 500и затворные драйверы4 800FIT. Пусть — доля этих отказов, чье опасное последствие успешно смягчено, взвешенная по применимым интенсивностям отказов. Тогда Следовательно, целевая интенсивность требует , что составляет98.9796% для выбранной цели100FIT и99.8980% для цели10FIT.Подсчеты вида «ноль пропусков», такие как
299внедрений для предела1%, действительны только для совокупности отказов, выбранной пропорционально ее весам . Равномерные внедрения по компонентам с неравными интенсивностями оценивают другое распределение, если только исходы не взвешены и каждая страта не имеет достаточных свидетельств. Испытание обязано записать, какой режим внедрялся, был ли он обнаружен и достиг ли объект управления своего допустимого состояния.
Часы наработки не способны закрыть то, что оставляют открытым внедрения. Испытание без событий не может достичь интенсивностей опасности, которых требует утверждение выпуска (стена наработки из раздела «Пределы физических испытаний»), поэтому протокол отказа несет никогда не внедренное столь же заметно, как и прошедшее. Он перечисляет каждую комбинацию параметров, опущенную из-за пределов стенда, полосы пропускания датчиков или стоимости разрушительных испытаний, и непроверенная область поэтому не может попасть в кейс безопасности раздела «Выпуск в эксплуатацию» как проверенный запас.
Эта математическая граница между эмпирической наработкой на дороге и квалификацией безопасности формализована как астрономическая стена наработки («Астрономическая стена наработки»). Как установлено в работе Butler and Finelli, 1993, демонстрация сверхнадежной интенсивности отказов со статистической уверенностью требует нуля отказов на горизонте наработки, обратно пропорциональном цели: , что дает на стандартном уровне доверия 95 %. Для критичных для безопасности автомобильных систем, регулируемых ISO 26262 ASIL D (, или 10 FIT), или систем гражданской авиации, регулируемых правилами FAA и IEC 61508 SIL 4 (, или 1 FIT), валидация критичной для жизни безотказности чисто через статистическую черноящичную эксплуатацию требует от 300 миллионов до 3 миллиардов последовательных часов наработки без отказов — охватывающих от 34 000 до более чем 340 000 непрерывных лет наработки транспортного средства. Даже крупнейшие в истории коммерческие автономные флоты, такие как беспилотные операции Waymo с более чем 200 миллионами миль (около 7 миллионов часов наработки) или флот Tesla с контролем со стороны клиентов уровня L2 с более чем 8 миллиардами миль (около 250 миллионов часов), сталкиваются с непреодолимым дефицитом верификации в один-три порядка по сравнению со стандартами ASIL D и SIL 4. Следовательно, статистические черноящичные испытания флота не способны квалифицировать автономность, критичную для жизни; безопасность системы должна вместо этого быть математически сертифицирована через формальную архитектуру времени выполнения, детерминированные аварийные пороги и адресное внедрение отказов на оборудовании в контуре.
Астрономическая стена наработки: целевые интенсивности отказов против требуемых часов наработки без отказов: Логарифмическое масштабирование требуемых непрерывных часов наработки без отказов ( при доверии 95 %, темно-синий; при доверии 99 %, пунктирный серо-синий) по целевым часовым интенсивностям отказов . Опорные пороги отмечают частоту аварий по данным полиции, промышленные стандарты (IEC 61508 SIL 1 и SIL 2), базовые уровни смертности при вождении человеком (NHTSA), функциональную безопасность автомобилей (ISO 26262 ASIL B и ASIL D) и потолки катастроф коммерческой авиации (1 FIT / SIL 4). Горизонтальные пунктирные линии показывают реальные эмпирические часы наработки ведущих автономных флотов (Cruise до приостановки, Waymo без водителя только с пассажиром и Tesla уровня L2 с контролем со стороны клиентов). Вертикальный красный интервал выделяет 43-кратный дефицит верификации между 200 миллионами беспилотных миль Waymo (≈7 миллионов часов) и 300 миллионами часов наработки без отказов, необходимыми для статистического демонстрирования соответствия ISO 26262 ASIL D.
Заблуждения и ловушки
Машина способна пройти каждый изолированный отказный тест и все же отказать, когда общая шина, часы или цепь связывают отказы или выводят из строя их детекторы. Это составные отказы, которые «Вывод списка отказов» перечисляет из общих причин. Составные испытания ловят такие провалы только тогда, когда достаточно гальванически или логически независимых средств измерения переживает отказ, чтобы установить последовательность событий.
Заблуждение и ловушка
Заблуждение: Независимые локальные сторожевые таймеры гарантируют соблюдение сквозного физического предельного срока.
Остановка у торца стеллажа должна начаться в пределах задержки до торможения
133.6 ms, которую резервирует бюджет. Каждая стадия проходит свой локальный сторожевой таймер: камера укладывается в свои времена экспозиции и чтения, бэкбон восприятия — в свое время инференса, аренда срабатывает на60 ms, и тормоз начинается в пределах20 msпосле команды. Очередь между процессором изображений и бэкбоном, удерживающая кадры на лишние100 msпод нагрузкой, лежит между этими проверками, так что ни один отдельный тайм-аут ее не обнаруживает. На1.3 m/sона добавляет130 mmхода против резерва102.6 mm, и остановка превышает свободное расстояние на27.4 mm. Только проверка, сопоставляющая время съемки каждого наблюдения с моментом, когда путь разрешения действует по нему, видит очередь. Верификация обязана прослеживать полный интервал от восприятия до исполнения команды под совпадающей нагрузкой и включать дрожание связи в бюджет. Локальные сторожевые таймеры остаются полезны, но их границы поддерживают сквозное утверждение только тогда, когда композиция, включая каждую передачу и каждую задержку буфера, укладывается в физическую огибающую отклика.
Заблуждение и ловушка
Ловушка: Разрешение диагностическому журналированию и телеметрии высокой пропускной способности делить полевые шины с контурами безопасности реального времени.
Предположим, мобильный манипулятор делит один сегмент EtherCAT между восприятием, исполнением команды, принудительным обеспечением и записью свидетельств. Диагностический дамп памяти поднимает утилизацию шины до 98 %, вызывая дрожание сетевой передачи, которое задерживает и команды привода, и телеметрию, нужную для оценки их физического эффекта. Та же конкуренция за полосу пропускания задерживает также сигналы живости безопасности и журналы, которые объяснили бы отказ. Раздельное тестирование каждого потока пропускает эту общую зависимость. Критичный трафик требует ограниченного обслуживания через валидированную диспетчеризацию сети, чувствительной ко времени (TSN) и аппаратный приоритет, либо отдельных физических каналов, тогда как диагностический трафик должен оставаться в пределах своего выделенного бюджета. Составные нагрузочные испытания обязаны подтверждать, что журналирование не может помешать ни безопасности отклика, ни наблюдению этого отклика.
Заблуждение и ловушка
Ловушка: Опора на программные детекторы аномалий, делящие электропитание или режимы отказа с наблюдаемыми актуаторами.
Просадка питания шины управления замораживает канал энкодера колеса на правдоподобных
1.3 m/s, тогда как отказ привода несет основание на его пределе ходовой скорости1.5 m/s— скорости, на которой завершенный бюджет больше не укладывается в свободное расстояние («Огибающие остановки»). Кадры энкодера остаются хорошо оформленными, а значение остается в пределах номинала, поэтому путь разрешения, читающий этот канал, не распознает превышение скорости. Изолированное испытание отказа привода не обнаружило бы этот отказ по общей причине, если бы питание энкодера оставалось здоровым. Верификация обязана исследовать, может ли один отказ вывести из строя свидетельства, нужные для обнаружения другого. Гальванически изолированное восприятие и явные проверки заявленного поведения с залипшим сигналом должны поддерживать отклик, вместо предположения, что правдоподобное измерение есть работающее измерение.
Заблуждение и ловушка
Заблуждение: Расчет ненаблюдаемого исхода испытания, в котором диагностические регистраторы теряли пакеты, как свидетельства безопасности.
Во время составного отказного испытания конкуренция за шину теряет пакеты регистратора, а сброс сторожевого таймера стирает трассу в энергозависимой SRAM. Машина не врезается в торец стеллажа, но команда больше не может восстановить ее пиковые силы удара, ее траекторию или ее тайминг отклика. Это наблюдение не может установить силы и пределы остановки, которые задают критерии приемки, поскольку они не измерялись. Испытание должно остаться неубедительным для этих утверждений, а отказ записи рассматривается как дефект средств измерения. Прежде чем повторять испытание, команда обязана сделать так, чтобы требуемый путь свидетельств пережил внедренные электрические условия. Визуально благоприятный исход не может заменить количественные измерения, заданные критериями приемки безопасности.
Итоги
Мобильный манипулятор, проходящий свой проход неделями без происшествий, показал, что его номинальный контур работал при условиях, которые он встретил. Чтобы проверить его утверждение об остановке, команда должна также заставить зависнуть его инициатора, состарить его наблюдения, потерять кадры его полевой шины и просадить его шину управления у торца стеллажа, измеряя, следует ли начало торможения за событием, к которому отнесен каждый отказ, в пределах своей границы, и приходит ли основание в покой внутри расстояния, которое его оракул допускает от этого события. Четыре правила полномочий атакуются на том же загруженном подходе, каждое против своего условия прохождения, от отклоненной чужой записи до резервирования, стартующего до предельного срока передачи. Каждый тест связывает проектное утверждение, внедрение, детектор, отклик и измеренный исход объекта управления. Прохождение одного условия сужает неопределенность; оно не доказывает безопасность каждой комбинации отказов и состояний старения.
Номинальная эксплуатационная огибающая и отдельно объявленная огибающая выживания придают этим испытаниям смысл. Пересечение номинальной границы может быть валидным испытанием выживания, если внедренное состояние, средства измерения и оракул приемки остаются внутри плана испытания. Испытание становится INVALID, когда отказывают инжектор или предусловия; оно становится UNOBSERVABLE, когда потеряны требуемые эталонные данные. Валидный провал за номинальной огибающей способен обнажить неадекватное резервирование или предел сдерживания. Эти вердикты сохраняют свидетельства, которые скрыл бы простой процент прохождений.
Симуляция способна выбирать многие сценарии трения и тайминга, но не может установить несмоделированный износ накладок или электрический отклик. Физическое испытание выбирает эти эффекты при своих конкретных аппаратных и экологических условиях. Внедрения без пропусков ограничивают вероятность пропуска только для своего объявленного распределения отказов; часы наработки без событий ограничивают частоту происшествий только при объявленной модели наработки. Ни то ни другое не заменяет измеренный отклик актуатора и независимо допущенное резервирование.
↳ Далее: Непроверенные эксплуатационные режимы, выявленные при фальсификации, питают анализ эпистемической границы в разделе «Эпистемические пределы».
Верификация с оборудованием в контуре и внедрение отказов
- Прослеживайте полный отклик: Зафиксируйте заранее отказ, детектор, предельный срок, физический оракул и путь свидетельств. Локальные прохождения сторожевых таймеров не складываются в сквозной предел.
- Бросайте вызов общим ресурсам: Совпадающие отказы шины, питания и восприятия способны вывести из строя и защитный отклик, и его свидетеля.
- Сохраняйте вердикты различными: Валидное нарушение — провал; нарушенные предусловия —
INVALID; потерянная обязательная телеметрия —UNOBSERVABLE.- Указывайте совокупность свидетельств: Сообщайте проверенные эксплуатационные условия и условия выживания, веса отказов, хвосты тайминга, сборки и пробелы. Подсчет без событий — условная доверительная граница.
- Переносите запись дальше: Версионированный протокол отказа поставляет одну часть кейса безопасности выпуска, рядом с анализом, архитектурой и полевыми свидетельствами.
От протоколов отказов к решению о выпуске
Верификация передает выпуску форму протоколов отказов и оставляемые ими пробелы. Для каждого утверждения эта форма фиксирует точки огибающей и сборки, которых должны достичь его испытания, оракул, задаваемый до каждого прогона, и вердикты, которые испытание способно вернуть, и она называет области, куда не доходит ни одно испытание. Еще ни одна запись не несет измеренного вердикта, поэтому ни одна не говорит, может ли машина ездить по проходу. Раздел «Выпуск в эксплуатацию» берет эту форму записи, вместе с записями полномочий, размещения и оценки, и спрашивает, какие утверждения они поддерживают, какой вердикт из этого следует и какие действующие условия должны продолжать выполняться, чтобы этот вердикт оставался действительным.
-
Анализ опасностей STAMP/STPA: STAMP, разработанный в MIT Nancy Leveson, трактует безопасность как задачу управления, а не задачу надежности компонентов, поэтому опасности возникают как небезопасные управляющие действия на интерфейсах — например, на стыке, где задержка шины или запаздывание фильтра разрушают запас устойчивости. STPA — метод анализа опасностей, построенный на этой рамке. ↩
-
Количественная семантика робастности: Каждый предикат имеет знаковый запас в собственной физической единице: запас хода может использовать метры, начало торможения — миллисекунды, а сила контакта — ньютоны. Отрицательный запас фальсифицирует этот предикат. Минимум по разнородным единицам бессмыслен; объединенный безразмерный балл STL требует, чтобы каждый запас был разделен на заранее объявленную положительную шкалу той же единицы. Запись сохраняет исходные запасы и шкалы, так что прохождение или провал остаются физически интерпретируемыми. ↩
-
Неинтрузивное аппаратное трассирование: Неинтрузивное трассирование использует выделенные аппаратные отладочные блоки кремния (такие как ARM CoreSight Embedded Trace Macrocell) и внешние снифферы шины на FPGA, прослушивающие внутренние транзакции шины без отъема циклов выполнения CPU. Буферизуя трассы выполнения в выделенной высокоскоростной SRAM, развязанной с системной шиной памяти, аппаратные анализаторы захватывают метки времени реакции на отказ с точностью до цикла, не возмущая расписания потоков реального времени. Опора на программные демоны журналирования вносит эффекты наблюдателя Гейзенберга, где накладные расходы журналирования маскируют именно те условия гонки, которые проверяются. ↩
-
Область действия стандартов гарантий: ISO 26262-5 касается электрической и электронной аппаратуры дорожных транспортных средств. Его метрики единичных и скрытых отказов относятся к архитектуре и распределенным целям безопасности; это не агрегированный из раздела «Охват отказов при заявленных предположениях». Внедрение отказов — один из способов проверить диагностические допущения, наряду с анализом и другими свидетельствами. ANSI/UL 4600 обрамляет кейс безопасности автономного транспортного средства несколькими видами свидетельств. Ни один стандарт не делает фиксированное число испытаний HIL достаточным для выпуска. ↩
-
Выборка испытаний и старение: Биномиальный подсчет предполагает независимые одинаково распределенные исходы Бернулли при объявленном распределении внедрений; он не требует пуассоновских приходов событий. Повторные нагревы, износ или изменения контактов могут нарушить независимость и потребовать схемы испытаний, стратифицированной по состоянию. ↩
Выпуск в эксплуатацию
Цель
Под какой проверяемой цепью физических свидетельств автономной машине разрешено двигаться среди людей?
Выпуск автономной машины дает программному обеспечению полномочия прикладывать физические силы в неограниченных средах рядом с людьми. Такие полномочия развертывания требуют проверяемого кейса безопасности, связывающего эксплуатационные утверждения напрямую с эмпирическими свидетельствами от интегрированного физического объекта управления. Высокая точность валидации не может гарантировать, что робот остановится в пределах доступного свободного расстояния, а журнал испытаний без инцидентов не подтверждает надежность аварийного резервирования, когда критические сенсоры переживают немые аппаратные отказы.
Решение о выпуске должно точно указывать, какие эмпирические измерения поддерживают каждое обоснование, и явно очерчивать средовые допущения, ограничивающие их действительность. Немоделированные смещения нагрузки, износ пола или тепловой дрейф способны мгновенно аннулировать кейс безопасности, даже когда веса нейросети остаются неизменными; там, где свидетельства не могут разрешить эксплуатационную предпосылку, отказ — единственный приемлемый инженерный вердикт. В рамках огибающей управления выпуск в эксплуатацию сводит предложения Мозга, путь разрешения Нервной системы и физические пределы Тела в проверяемый манифест, который отзывает полномочия движения в тот миг, когда свидетельства истекают.
Цели обучения
- Построить кейс утверждение–аргумент–свидетельство, связывающий ограниченную эксплуатационную огибающую с проверяемыми физическими свидетельствами
- Оценить, являются ли предпосылки каждого утверждения измеренными, иллюстративными или неизвестными, и выбрать поддерживаемый ими вердикт
- Определить измерения, которые сняли бы отказ, и ограничения, которые сохранил бы условный вердикт
- Задать действующие условия, отзывающие полномочия эксплуатации, когда износ, дрейф или изменения конфигурации аннулируют выпуск
- Диагностировать необеспеченные обоснования и составные противодоводы через критический обзор аргумента выпуска
- Спроектировать манифест выпуска, связывающий восходящие записи дайджестами и отказывающий в движении при любом несоответствии
Решение о развертывании
Каталог записей пройденных тестов и трасс аппаратных отказов сам по себе не решает, может ли автономная машина двигаться среди людей. В веб-сервисе регрессия в новой сборке стоит отката и нескольких испорченных записей. В физическом ИИ выпуск делегирует полномочия над массой, силой и скоростью. Верификация уже подвергала допущения машины о тайминге, конкуренции и сенсорике испытанию внедренными отказами, и передает она свои записи отказов, каждую с заранее объявленным оракулом, и оставленные ими пробелы. Поэтому инженерная задача смещается от поиска дефектов к ограничению того, что свидетельства дозволяют. Ни точность валидации («Динамика замкнутого контура»), ни серия чистых демонстраций («Почему эксплуатация — не свидетельство») не решают эту задачу, и решение о развертывании — не статистический прогноз. Это инженерный арбитраж того, ограничивают ли свидетельства физический риск эксплуатации в названной области.
↰ Предварительное требование: Эмпирические свидетельства верификации, поддерживающие утверждения выпуска, добываются в разделе «Внедрение отказов на аппаратуре».
Выпуск, который прорабатывает эта глава, — служба складского мобильного манипулятора на одной площадке: проезд по проходам мимо торцов стеллажей, где может стоять человек, открывание двери клетки с пружинным замком и передача керамической кружки, которую машина берет с конвейера станции комплектации, коллеге на упаковочном посту. Каждая работа несет свой критерий — свободное расстояние для основания и контактную силу для руки, — и точность модели не устанавливает ни одного из них. Поэтому выпуск опирается на свободное расстояние до контакта, измеренную тормозную способность, ограниченный полный путь отклика и подписанные записи отказов из раздела «Манифест отказов».
Вердикт выпуска — ограниченное, отменяемое суждение. Глава строит это суждение из эксплуатационной огибающей, дерева утверждение–аргумент–свидетельство, трех подписанных вердиктов, действующих условий, чей отказ отзывает вердикт, проработанного арбитража и критического обзора, который ему нужно выдержать, а также манифеста выпуска, отказывающего в движении, когда работающая машина больше не соответствует своим подписанным свидетельствам.
Вопрос выпуска
Для мобильного манипулятора вопрос выпуска звучит так: отвечают ли свидетельства физическому критерию каждой из трех его работ внутри очерченной огибающей. Аргумент называет физические границы, заданный набор отказов и проверенные путь разрешения и путь резервирования. Он может поддержать отзывное пожалование полномочий слежения, пока эти условия держатся; он не может вывести защиту от каждого возможного отказа из конечных тестов («Кейс безопасности утверждение–аргумент–свидетельство»).
Кейс безопасности утверждение–аргумент–свидетельство
Кейс безопасности утверждение–аргумент–свидетельство — проверяемый структурированный аргумент гарантии для заданной физической машины, эксплуатационной огибающей, критериев опасности и модели отказов, связывающий верхнеуровневые утверждения безопасности с конкретными эмпирическими свидетельствами через явные инженерные обоснования.
- Значение: Превращает субъективную неформальную уверенность в развертывании в проверяемый фальсифицируемый инженерный аргумент, связывающий высокоуровневые цели безопасности с конкретными эмпирическими свидетельствами через весь физический стек.
- Отличие: В отличие от наборов модульных тестов ПО или статических скоркартов валидации моделей, физический кейс безопасности явно связывает границы области эксплуатационного назначения, журналы внедрения аппаратных отказов и пороги срабатывания механизма принуждения времени выполнения, чтобы продемонстрировать ограниченный остаточный риск.
- Типичная ловушка: Считать кейс безопасности ретроспективным чек-листом соответствия, заполняемым после разработки, а не живым архитектурным контрактом, управляющим интеграцией функций и воротами выпуска.
Кейс выпуска очерчивается эксплуатационной огибающей — целевой ODD в паре с собственными внутренними условиями машины. Безусловный (UNCOND) вердикт санкционирует всю эксплуатационную огибающую («Эксплуатационная огибающая»), условный (COND) — названную ее часть, а отказ (REFUSE) — никакую. Для мобильного манипулятора эксплуатационная огибающая допускает движение по проходам до 1.3 m/s (выбрано; см. Руководство для читателя) с нагруженным стеллажом ящиков не более 50 kg, по полам, обследованным на коэффициент трения не ниже 0.204, мимо торцов стеллажей со свободным расстоянием не менее 1.10 m. Она допускает подходы к двери на 0.03 m/s и передачи предметов коллеге на 0.10 m/s.
↰ Предварительное требование: Область эксплуатационного назначения и ее известные отсутствия определены в разделе «Охват политики сбора».
Внутри этих границ обученная политика может предлагать действия по всей номинальной огибающей задачи, но каждое действие по-прежнему требует независимого разрешения. Условные состояния контролируемых измерений («Эксплуатационная огибающая складского манипулятора») сужают эту огибающую; например, машина замедляется до 1.2 m/s, прежде чем запросить перехват в контуре. Ограниченный режим вердикта COND сужает ее дальше: на полу, известном лишь по регламенту осмотров площадки, машина идет на 1 m/s, ниже потолка 1.09 m/s для осмотренных полов.
Как формализовано в таблице «Эксплуатационная огибающая складского манипулятора», каждое контролируемое измерение разбито на номинальные, условные и запрещающие состояния. Условное состояние ограничивает допускаемые предложения. Запрещающее состояние отзывает разрешение на слежение и выбирает проверенное резервирование («Лестница резервирования»). Таблица перечисляет измерения, в пределах которых удерживает машину монитор времени выполнения или процедура площадки; внутренние условия из раздела «Эксплуатационная огибающая», такие как температура окружающей среды, напряжение шины и вычислительная нагрузка, входят через записи отказов, испытанные в этих условиях.
| Измерение огибающей / инвариант | Номинальная огибающая () | Условная граница () | Жесткий отказ () | Монитор времени выполнения и частота | Действие механизма принуждения и задержка |
|---|---|---|---|---|---|
| Скорость в проходе | 1.3 m/s | 1.2 m/s до запроса перехвата в контуре; 0.3 m/s до перехвата вне контура | Измеренная скорость выше подписанной 1.3 m/s (потолок 1.39 m/s) или недействительная оценка скорости | Энкодеры и инерциальный блок, каждый такт разрешения 1 ms | Ограничивать допускаемую скорость; отказывать выше подписанной скорости |
| Трение пола | Обследовано 0.204 (сухой бетон около 0.60) | Только регламент осмотров ( 0.12): ограниченные 1 m/s, ниже потолка 1.09 m/s | Необследованный пол или сообщенная пленка; прозрачная масляная пленка ( 0.05) невидима для камер | Обследование пола и процедура площадки по проливам; бортовых измерений нет | Ограничивать скорость по зонам пола; отказывать проходу |
| Нагрузка стеллажа ящиков | 50 kg, действительная оценка нагрузки (всего не более 368 kg) | Оценка устарела с последнего подбора: только задачи при неподвижной руке | Нагрузка выше емкости или недействительная оценка | Тензодатчики стеллажа, при каждом подборе | Отказывать в движении по проходу до повторного взвешивания |
| Свободное расстояние у торца стеллажа | Обследовано 1.10 m на каждом торце стеллажа | Более короткое обследованное расстояние: сниженная подписанная скорость из того же бюджета | Необследованный торец стеллажа или препятствие в пределах свободного расстояния | Обследование площадки; лидар и навигационная камера с частотой кадров | Ограничение скорости на каждый торец стеллажа; останов при обнаруженном препятствии |
| Подход к защелке двери | 0.03 m/s, ответная планка в номинальном положении | Нет; демонстрации не покрывают других состояний защелки | Подход на 0.10 m/s или смещенная планка | Чувствительность к контактной силе руки в контактном контуре 2 ms | Срабатывание на 15 N; отказывать необеспеченному подходу |
| Передача коллеге | Скорость центра инструмента 0.10 m/s под accept_item | Коллега присутствует без accept_item: остановиться, не доходя до точки передачи | Скорость центра инструмента выше подписанной 0.10 m/s (потолок 0.118 m/s) или контакт вне оцененного кейса | Шарнирные энкодеры на каждом такте разрешения; чувствительность к контактной силе руки | Ограничивать скорость центра инструмента; отказывать выше подписанной скорости |
Эксплуатационная огибающая складского манипулятора: Каждое перечисленное измерение имеет непересекающиеся номинальные, условные и запрещающие интервалы. Условная работа требует, чтобы каждое измерение оставалось в подписанном допустимом интервале; отсутствующие или недействительные измерения отказывают. Частоты сенсоров и тормозной отклик — обязательства валидации объекта управления.
Защитимое утверждение выпуска называет свой объект управления, геометрию контакта и набор отказов.1 Кейс машины использует три критерия. Основание останавливается в пределах свободного расстояния 1.10 m, не достигнув человека, вышедшего у торца стеллажа; рука открывает дверь, не превышая предела защелки 100 N; а передача никогда не давит на коллегу с пиковой силой выше выбранных 50 N для оцененного случая контакта. Утверждение основания защищает неподвижного человека; человек, все еще идущий к машине, — отдельная предпосылка, которую несет правило пересечения на площадке («Оценка сквозь окклюзию»). Аргумент выпуска должен продемонстрировать, какие человеческие контакты исключены до удара, какие обнаруженные контакты покрывает модель и какие единичные отказы обрабатывает независимое резервирование. Остановка после контакта сама по себе не ограничивает первый пик силы.2
Рассмотрим руку на ее пределе скорости в свободном пространстве 1 m/s с эффективной массой на стороне робота в центре инструмента 12 kg. При не заторможенном упругом контакте с рукой коллеги, смоделированном с эффективной жесткостью тканей в 15 000 N/m, пиковая контактная сила следует из уравнения «сила без торможения»:
На пределе свободного пространства эта идеальная упругая модель предсказывает 424 N, или 8.5× критерия 50 N, поэтому рука не может войти в неразделенный контакт на этой скорости без более сильного измеренного защитного аргумента. То же уравнение ограничивает скорость передачи предмета, которую запечатывает протокол принудительного обеспечения («Протокол принудительного обеспечения», «Человеческие полномочия над исполнением команды»), ибо критерий допускает не более 0.118 m/s. На выбранных 0.10 m/s модель предсказывает 42.4 N — внутри критерия.
Утверждение основания — бюджет, а не единичная сила, и слагаемые задержки, которые должна засвидетельствовать эта глава, — это путь аренды и возраст наблюдения, которые называют его утверждения. На скорости прохода 1.3 m/s готовый бюджет («Бюджет остановки складского манипулятора») составляет 997.4 mm против свободного расстояния 1.10 m, запас — 102.6 mm. Этот запас — весь допуск на ошибку во входах бюджета. Небюджетированная задержка 78.9 ms, предельный срок передачи из раздела «Переходы полномочий», израсходует его, равно как загруженное замедление на 14 % ниже 2 m/s², которые предполагает бюджет. Утверждение об остановке с неизмеренными входами не может показать, что его запас переживает их ошибки.
Вопрос выпуска для мобильного манипулятора свелся к трем ограниченным критериям: основание останавливается в пределах свободного расстояния, рука открывает дверь под пределом защелки, а передача предмета укладывается в контактный критерий. Ни одно вычисление само по себе не разрешает ни одного из них, ибо каждое наследует предпосылки о замедлении, задержке и контакте, которые сами должны быть засвидетельствованы, и каждая предпосылка может устареть в службе по мере износа тормозов, загрязнения пола и дрейфа сенсоров («Действующие условия вердикта»). Связать каждое утверждение с его предпосылками, а каждую предпосылку — с ее свидетельствами, и есть работа кейса безопасности.
Кейсы безопасности и утверждения
Никакая инспекция мобильного манипулятора не может подтвердить, что его нагруженное основание остановится, не достигнув человека у торца стеллажа. Это утверждение должно быть разложено, пока каждая ветвь не окончится чем-то измеренным, а кейс безопасности — структурированный аргумент, фиксирующий это разложение. Опираясь на структуру аргументации Стивена Тулмина Toulmin, 1958, нотацию структурирования целей (GSN)3 Kelly, 1998; Kelly and Weaver, 2004 и стандарт оценки автономности UL 4600 Koopman, 2020, эта глава конструирует кейс безопасности утверждение–аргумент–свидетельство из раздела «Кейс безопасности утверждение–аргумент–свидетельство». Его корень — утверждение, утверждающее измеримое физическое свойство, например остановку основания в пределах свободного расстояния. Поскольку это утверждение нельзя валидировать напрямую, стратегии разбивают его по режимам эксплуатации, классам опасности или подсистемам, и каждое подутверждение оканчивается дальнейшими подутверждениями или свидетельствами, ограниченными контекстом и допущениями, при которых держатся его связи.
Действительность структуры опирается на различение свидетельства и демонстрации. Демонстрация — запись успешного выполнения задачи на неохарактеризованном тестовом распределении, например длинная серия чистых открываний двери, когда ответная планка всегда в номинальном положении. Она измеряет среднюю производительность, но не ограничивает ни хвост, ни режимы отказа вне семплированной траектории. Свидетельство — фальсифицируемый калиброванный артефакт с количественными границами, например распределение худшего тайминга из аппаратных трасс выполнения, остановочные испытания под нагрузкой по режимам замедления или испытание внедрением отказов, загоняющее машину к границе ее огибающей. Артефакт без количественной неопределенности или тот, что никогда не испытывает границу, остается демонстрацией и не может поддержать выводную связь.
Связывание свидетельства с утверждением требует обоснования — выводного правила, объясняющего, почему данные поддерживают утверждение. Для обученной политики обоснование индуктивно: оно рассуждает от эпизодов тестов без отказов к будущей службе, и стена наработки из раздела «Пределы физических испытаний» показывает, почему эта связь не может одна нести утверждение с тяжелыми последствиями. Никакая кампания без единого события, ни на одной машине, ни на флоте, не достигает частот опасности, которые называют такие утверждения, в любом практическом графике. Аргумент должен поэтому добавить архитектурное обоснование, обосновывающее утверждение независимым путем разрешения («Обеспечение безопасности»), который ограничивает момент актуатора и отзывает движение всякий раз, когда обученная команда покидает допустимый набор. Это обоснование сужает утверждение, а не ускользает от стены, ибо путь разрешения меняет утверждение лишь для тех опасностей, которые он обнаруживает и останавливает вовремя («Что метод не может установить»).
Это напряжение между индуктивными свидетельствами флота и гарантией, критичной для безопасности, иллюстрирует десятилетие данных об отключениях автономных транспортных средств, представляемых в Департамент транспортных средств Калифорнии («Десятилетие отключений автономных транспортных средств в отчетах California…»). Между 2015 и 2025 годами разработчики записали десятки миллионов миль публичных испытаний по дорогам Калифорнии. За это десятилетие мили между отключениями (MPI) росли через три различных эры:
- Эра I: ранние испытания на шоссе и в пригородах (2015–2018): Системы работали преимущественно на хорошо размеченных магистральных коридорах и шоссе. Разработчики установили базовые ритмы автономности, нарастив от сотен миль между человеческими вмешательствами до нескольких тысяч миль.
- Эра II: переход в плотное городское ядро (2018–2021): Флоты мигрировали в плотные городские среды, и прежде всего в сложную дорожную сеть Сан-Франциско. Этот сдвиг среды обнажил неохарактеризованные краевые случаи — пешеходов, выходящих между двойными парковками, жесты объезда дорожных работ и динамические окклюзии, — временно заморозив или опустив отчетный MPI (например, метрика Waymo упала с миль в 2020 году до миль в 2021 году, прежде чем восстановиться).
- Эра III: коммерческий масштаб без водителя и расхождение (2021–2025): Упразднение бортового водителя безопасности привело к резкому стратегическому расхождению. Waymo масштабировала коммерческие перевозки только с пассажирами, превысив миль на одно отключение в 2025 году при более чем пяти миллионах испытательных миль. Aurora развернула свою калифорнийскую программу с легковыми автомобилями в сторону коммерческих грузовых коридоров класса 8 в Техасе. Apple отменила инициативу Project Titan в начале 2024 года после многомиллиардной НИОКР, испытывавшей трудности с чувствительностью ранних вмешательств. Наиболее поучительно, что Cruise перевалила миль на одно отключение в калифорнийских отчетах вскоре до того, как октябрьское 2023 года столкновение с протаскиванием пешехода в Сан-Франциско привело к немедленному регуляторному отзыву ее разрешений на автономные испытания и развертывание.
Фундаментальный системный урок раздела «Десятилетие отключений автономных транспортных средств в отчетах California…» в том, что индуктивное обоснование, выведенное лишь из совокупного пробега флота, не может установить утверждение о катастрофической опасности. Высокий MPI указывает на операционную зрелость в номинальных условиях, но не ограничивает тяжесть или вероятность отказов хвостовых событий при немоделированных физических взаимодействиях. Кейсы безопасности для физического ИИ должны сочетать эмпирическую наработку с детерминированными архитектурными механизмами принуждения, остающимися действительными, когда обученные политики встречают новые сдвиги распределения.
Инженерный кейс безопасности не существует в институциональном вакууме. Внутри команды разработки дерево утверждение–аргумент–свидетельство устанавливает техническую уверенность в том, что физические риски ограничены; вне команды оно формирует свидетельскую основу для предписанного регуляторного разрешения и юридической подотчетности. Когда автономная система переходит из лаборатории в коммерческое развертывание, ее утверждения безопасности пересекаются с тремя главными опорами управления:
- Закон ЕС об искусственном интеллекте (классификация высокого риска): По Закону ЕС об искусственном интеллекте ИИ-системы, развертываемые как компоненты безопасности в физическом оборудовании, коллаборативных роботах или автономном транспорте, классифицируются как системы ИИ высокого риска. Соблюдение предписывает проверяемую систему управления рисками, охватывающую операционный жизненный цикл, верифицированное управление данными, документирующее распределения обучения и оценки («Схема датасета»), интерфейсы человеческого надзора, способные к вмешательству в реальном времени («Человеческие полномочия над исполнением команды»), и журналирование событий с обнаружением подделки («Достоверные операционные журналы») ради судебно-медицинской восстановимости после любого аномального контакта.
- Отраслевая обязательная сертификация: За пределами горизонтального регулирования ИИ воплощенные системы обязаны удовлетворять отраслевым предписаниям безопасности: предрыночные процедуры Управления по контролю за продуктами и лекарствами США (FDA) (510(k) и De Novo) для автономной хирургической робототехники, требующие валидации человеческого фактора по ANSI/AAMI HE75 и контроля жизненного цикла ПО по IEC 62304; сертификаты летной годности Федерального авиационного управления (FAA) (Part 107/135) для автономной авиационной логистики; и стандарты UNECE/NHTSA (такие как UN R157 для автоматизированного рулевого управления), регулирующие системы автоматизированного вождения.
- Перераспределение юридической ответственности: В классической заводской автоматизации, где роботы работают внутри блокированных клеток («Промышленная ячейка точечной сварки»), физические несчастные случаи разбираются преимущественно по правовой доктрине неосторожности оператора — оценивается, нарушил ли персонал цеха протоколы безопасности или обошел блокировки. Когда автономная машина работает без физических ограждений в разделяемых с людьми пространствах, юридическая ответственность кардинально смещается к строгой ответственности производителя за продукцию. Немоделированный сбой восприятия или перелет слежения — уже не ошибка оператора; это предполагаемый дефект конструкции, производства или неспособности инструктировать. В этом правовом режиме криптографически подписанный кейс безопасности и манифест выпуска — не просто хорошая инженерная практика, а окончательная свидетельская запись, устанавливающая, что инженерная команда ограничила остаточный риск по современным стандартам до публичного выпуска.
Десятилетие тенденций отключений автономных транспортных средств в отчетах California DMV (2015–2025): Годовые мили между отключениями (MPI, логарифмическая шкала) по крупнейшим разработчикам автономных транспортных средств (Waymo, Cruise, Zoox, Apple Project Titan и Aurora) охватывающие три исторических эксплуатационных эры. Горизонтальная пунктирная линия отмечает базовый уровень человеческого водителя — примерно 40 000 миль между ДТП, о которых сообщала полиция (NHTSA). Вехи отмечают просадку Waymo при переходе в плотную городскую среду в 2021 году, отзыв разрешений Cruise в октябре 2023 года после столкновения с тяжелыми последствиями, устойчивый режим городских роботакси Zoox, отмену программы Apple и достижение Waymo 63 415 миль на одно отключение в 2025 году. (Источник данных: ежегодные отчеты California DMV об отключениях автономных транспортных средств, 2015–2025).
Каждая связка опирается также на контекстные допущения, и незаявленное из них охраняется лишь той проверкой, которая случайно оказалась ниже по потоку. Обоснование остановки предполагает среди прочего, что проход остается достаточно освещенным для номинальной экспозиции навигационной камеры. Допустим, тусклый проход удваивает эту экспозицию с 16 ms до 32 ms. Поскольку возраст изображения отсчитывается от середины экспозиции, каждое наблюдение приходит на 8 ms старше, чем начисляет бюджет, что без проверки унесло бы основание еще на 10.4 mm на скорости прохода 1.3 m/s — около 10 % от бюджетного запаса 102.6 mm. Проверка возраста на пути разрешения, напротив, отвергает эти кадры, и основание останавливается в проходе, который кейс считал проезжим. Команда встречает свое допущение об освещении как необъяснимую потерю службы, и лишь проверка, которую кейс никогда не связывал с освещением, помешала ей стать молчаливой потерей свободного расстояния. Допущение, которого не видит ни одна проверка времени выполнения, не имеет такой страховки, как показывает локализационный допуск в составном отказе раздела «Критический обзор». Поэтому надежный аргумент формулирует каждую физическую зависимость как ограниченный элемент контекста с монитором времени выполнения, обнаруживающим ее нарушение.
↳ Ниже по потоку: Эпистемические допущения, вложенные в обоснования кейса безопасности, критически разбираются в разделе «Эпистемические пределы».
Слабейшее звено управляет каждым деревом утверждение–аргумент–свидетельство. Кейс безопасности — не агрегат, в котором перевыполнение одной ветви компенсирует дефицит другой. Высокая точность на бенчмарке распознавания не компенсирует неохарактеризованный хвост задержек на шине CAN, равно как обширная симуляция политики не компенсирует отсутствие данных об износе тормозов. Если остановка основания раскладывается на подутверждения о торможении, тепловой защите приводов («Тепловые циклы нагрузки») и ограничении траектории, отказавшее обоснование в любой ветви аннулирует корневое утверждение. Поэтому арбитр, разбирающий кейс, ищет не число поддерживающих артефактов, а единственный слабейший связующий элемент, чей отказ допустил бы вред.
Соотнести аргументацию безопасности с машиной
Для руки мобильного манипулятора рамки оценки робота и интеграции задают ISO 10218-1 и ISO 10218-2, а ISO/TS 15066 информирует кейс совместного контакта, как только аргумент называет касаемую область тела, давление, геометрию и метод измерения isots15066, 2016. Утверждения основания, составляющие большую часть кейса, аргументируются от его измеренного бюджета остановки и обследования площадки. Стандарты дорожных транспортных средств ISO 26262 и ISO 21448 одалживают аргументу свое различие между отказами и пределами намеренной функции, но не сертифицируют ничего об этой машине iso26262, 2018; iso21448, 2022.
Скоркарт утверждение–аргумент–свидетельство в таблице «Разбор утверждение–аргумент–свидетельство для складского манипулятора» формулирует шесть утверждений и соотносит каждое физическое обоснование с его арбитражом по свидетельствам этой книги. Утверждение C3 показывает решение: масляная пленка способна лишить торможение сцепления, поэтому номинальная точность модели не может оправдать неограниченный вердикт. Физически осуществимое условие, таким образом аннулирующее обоснование, является его противодоводом (defeater), а раздел «Критический обзор» превращает поиск противодоводов в метод обзора. Утверждение C6 стоит лишь на записях отказов, испытывающих четыре правила полномочий, которые передает раздел «Журнал полномочий» (A1–A4).
| Утверждение | Обоснование и эксплуатационные допущения на машине | Арбитраж по свидетельствам книги |
|---|---|---|
| C1. Контакт и остановка | Основание: остановка 997.4 mm на 1.3 m/s («Бюджет остановки складского манипулятора») в пределах свободного расстояния 1.10 m до человека, стоящего у торца стеллажа, причем неиспытанная при 368 kg нагрузка остается открытой предпосылкой; Дверь: сила защелки 39 N на команде торможения, при этом рука останавливается в пределах дальнейших 0.15 mm (около 3 m/s²) под пределом 100 N; Кружка: подобрана с конвейера под пределом центра инструмента 1 m/s по отслеживаемому намерению и передана коллеге на 0.10 m/s, под выведенным потолком 0.118 m/s, с контактной силой 42.4 N под критерием 50 N, причем захваченный объект считается кружкой, которую называет задача | REFUSE: достоверное замедление, начало торможения, ошибки слежения и локализации, замедление руки и жесткость тканей иллюстративны; предпосылка обоснования неизвестна |
| C2. Тайминг разрешения | Начало торможения не позднее 82 ms после последнего действительного продления; худшее время выполнения механизма принуждения 250 μs в предельном сроке 400 μs; заявленное допущение: утверждение покрывает отказы, которые путь разрешения переживает, lockstep-диагностика покрывает собственный отказ пути («Два пути на одном кристалле»), а ступень ингибирования лестницы резервирования не несет бюджета («Лестница резервирования») | REFUSE: худшее время выполнения заявлено, а не измерено под нагрузкой |
| C3. Тормозное сцепление | Трение пола не ниже 0.204 на каждом проходе; противодовод — прозрачная масляная пленка | REFUSE; открытая предпосылка переходит в «Реестр остаточных утверждений» |
| C4. Возраст наблюдения | Возраст навигационной камеры 51.6 ms внутри бюджета, с резервированием на устаревшие данные | REFUSE: цепочка возраста иллюстративна |
| C5. Независимость разрешения | Нагруженные максимумы записи размещения остаются в пределах заявленного 250 μs худшего времени выполнения, а значит ниже предельного срока, и общие причины испытаны («Распределение аппаратных ресурсов») | REFUSE, пока не существует журнал испытаний размещения |
| C6. Передача полномочий | Один писатель на канал актуатора; ни один источник не обходит более высокий уровень полномочий или проверку разрешения; неподтвержденная передача резервируется по выведенному из свободного расстояния из раздела «Переходы полномочий» (174.7 ms на замедлении до 1.2 m/s перед перехватом в контуре; 78.9 ms для запроса на 1.3 m/s); недействительная аутентификация блокирует канал («Журнал полномочий») | REFUSE, если у любого из A1–A4 нет записи отказа PASS («Манифест отказов»); ограничить локальной работой, если не проходят только случаи удаленного канала |
Разбор утверждение–аргумент–свидетельство для складского манипулятора: Шесть утверждений и их арбитраж по свидетельствам этой книги. Отказавшая или неизвестная ветвь не может быть компенсирована номинальной точностью модели.
Декомпозиция утверждение–аргумент–свидетельство и индуктивные обоснования
Прежде чем представлять кейс безопасности на арбитраж, проверьте его структуру:
- Фальсифицируемость верхнеуровневого утверждения: Сможете ли вы сформулировать верхнеуровневое утверждение как фальсифицируемое физическое высказывание, например остановку в пределах свободного расстояния, а не пожелание?
- Действительность обоснования: Сможете ли вы назвать обоснование, связывающее каждый стенд с утверждением выше, и предпосылки, при которых это обоснование держится?
- Перечисление противодоводов: Сможете ли вы показать, где противодовод вроде загрязнения объектива или коллизий арбитража шины появляется в графе аргументов?
- Происхождение свидетельств: Сможете ли вы проследить каждый конечный узел свидетельств до подписанной испытательной трассы и действующей калибровки?
Три вердикта
Каждая строка таблицы «Разбор утверждение–аргумент–свидетельство для складского манипулятора» заканчивается арбитражем, и решение о выпуске сводит все дерево к одному из трех вердиктов: безусловная работа, условная работа и отказ в работе. Первый, безусловная работа, дарует полную огибающую, названную в подписанном кейсе выпуска, пока его действующие условия остаются истинными. Каждое утверждение об опасности в этом кейсе требует свидетельств для заданных объекта управления, нагрузки, области эксплуатационного назначения и набора отказов, причем тепловая емкость тормозов, свободное расстояние остановки и границы ошибки слежения квалифицированы для этой огибающей («Тепловые циклы нагрузки»), а независимые проверки разрешения — везде, где обученные предложения могут дойти до актуаторов («Каузальная граница»). Вердикт не устраняет остаточные или вновь обнаруженные опасности; он санкционирует эксплуатацию по оцененным утверждениям и требует отзыва, когда их предпосылки отказывают.
Второй вердикт, условная работа, применяется, когда свидетельства показывают машину безопасной внутри ограниченной части эксплуатационной области, но не содержат обоснований для полной огибающей. Выпуск тогда принудительно обеспечивает физические, кинематические или средовые границы, исключающие непроверенные опасные состояния, такие как снижение номинала скорости шарниров, ограниченный диапазон освещенности или барьер, удерживающий людей вне досягаемости манипулятора. Там, где контактную силу нельзя ограничить при неразделенном совместном присутствии, ограниченный кейс может потребовать оцененное ограждение и проверенные блокировки доступа («Пример физического разделения»), испытанные так, чтобы защитный останов завершался прежде, чем человек достигнет опасной рабочей зоны.
Пример физического разделения: Желтая промышленная рука работает за желтым сетчатым ограждением. Ограждение может быть одним из условий ограниченного выпуска, когда его поддерживают проверенная блокировка доступа и испытание останова. Источник: U.S. Army Chemical Materials Activity / PEO ACWA.
Каждое условие, приложенное к вердикту выпуска, — обязывающий контракт, и каждое называет число, которое принудительно обеспечивает путь разрешения, а не потолок, который допускает физика. Передача предмета показывает разницу. Контракт подписывает скорость центра инструмента ниже потолка, который контактный критерий допускает по формуле «сила без торможения», а разрыв между двумя скоростями — это запас на то, чего монитор не видит в момент выборки: рост скорости между выборками, ошибку энкодера и отклик привода на ограничение. Контракт, подписанный на потолке, не оставляет места этим слагаемым, и кейсу выпуска нужна измеренная граница для каждого, прежде чем подписанная скорость сможет держаться.
↰ Предварительное требование: Детерминированное покрытие резервированием, поддерживающее условные вердикты выпуска, опирается на раздел «Лестница резервирования».
Условие осмотренного пола следует тому же правилу. Там, где регламент осмотров площадки удостоверяет коэффициент трения всего 0.12, достоверное замедление падает до того, что поддерживает это трение, и бюджет, допускающий 1.39 m/s на обследованных полах, допускает лишь 1.09 m/s. Контракт обязателен, только пока держатся его предпосылки.
Третий вердикт, отказ в работе, — обязательный исход всякий раз, когда кейс безопасности содержит отсутствующие обоснования, неохарактеризованные хвостовые задержки, неполное покрытие внедрением отказов или неконтролируемые режимы отказа. Если худший случай механизма принуждения под нагрузкой размещения никогда не измерялся относительно его предельного срока 400 μs или набор отказов опустил испытания общих причин, которые называет размещение, опасность остается неколичественной и не может поддержать выпуск. Точно так же отказ требуется, когда измерение противоречит модели за слагаемым бюджета, например когда остановочные испытания под нагрузкой замедляются ниже 2 m/s², которые предполагает бюджет.
Вердикт отказа — инженерный результат, а не административная неудача. Он переносит спор между графиком и безопасностью на свидетельства, изолируя разорванное звено в дереве аргументов. Если выпуск отвергнут потому, что остановочные испытания под нагрузкой противоречат тормозному слагаемому, команда не дискутирует о терпимости к риску, а повторяет испытания на рабочей массе, пока не станет известен нижний хвост замедления, перевычисляет слагаемое остановки из этого хвоста и возвращается на повторный арбитраж, лишь когда бюджет прохода замыкается на измеренном значении. Вердикт отказа определяет точную свидетельскую проверку, которая должна пройти прежде, чем повторный арбитраж станет возможен.
Ответственность за решение о выпуске должна лежать на идентифицируемом ведущем системном арбитре, а не распыляться между командами разработки. Когда команда зрения подписывается под оценками обнаружения, поставщик актуаторов — под кривыми момента, а команда обучения — под сходимостью политики, каждый полагает, что запас обеспечивает другой слой. Лишь арбитр свидетельствует, что интегрированная система удовлетворяет кейсу безопасности, и это свидетельство связывает вердикт с набором неизменяемых технических артефактов, включая криптографический хэш проверенных весов политики, журналы калибровки контактной силы руки, испытания начала торможения вместе с отдельно обоснованной границей худшего отклика и остановочные испытания на рабочей массе, устанавливающие достоверное замедление. Подпись фиксирует ограниченное суждение арбитра об этих свидетельствах и заданной области эксплуатации.
Арбитр подписывает одно из трех решений из таблицы «Три подписанных вердикта выпуска для манипулятора». Условному вердикту нужна отдельно свидетельствуемая ограниченная огибающая; известную дыру в номинальном аргументе нельзя просто переписать как безопасное ограничение. Ни один вердикт не сдвигает границу предложения. И под UNCOND, и под COND политика лишь предлагает, а механизм принуждения по-прежнему допускает каждое действие, как требует принцип «Предложение — не разрешение», поэтому выпуск задает огибающую, которую принудительно обеспечивает путь разрешения, и никогда не дарует политике собственных полномочий.
| Подписанный вердикт | Требуемые свидетельства | Разрешение и пределы времени выполнения | Триггер истечения или отказа |
|---|---|---|---|
UNCOND | Полное утверждение эксплуатационной огибающей, измеренные пределы объекта управления и тайминга, независимо проверенные разрешение и резервирование | Политика предлагает по всей подписанной огибающей задачи; каждое действие проходит через механизм принуждения | Отказывают свидетельства, конфигурация, калибровка или действующая предпосылка |
COND | Утверждение ограниченной эксплуатационной огибающей и ее собственные свидетельства, пределы и охват отказов | Политика предлагает только в пределах подписанных сниженных пределов; каждое действие проходит через механизм принуждения | Любая ограниченная предпосылка становится ложной или неизвестной |
REFUSE | Отсутствующие, противоречивые, истекшие или неаутентифицированные критические свидетельства | Нет разрешения на автономное слежение; выполнить оцененный останов или удержание — ступень лестницы резервирования, которую кейс выпуска проверил для объекта управления («Лестница резервирования») | Повторный арбитраж с восстановленными свидетельствами |
Три подписанных вердикта выпуска для манипулятора: Полная работа и ограниченный режим сохраняют независимое разрешение по каждому действию. Отказ — действенный инженерный результат.
Ни один из трех вердиктов не является вечной милостью. В передачах появляется люфт, трущиеся поверхности изнашиваются, на линзах копится пленка, а распределения среды меняются, поэтому работа под UNCOND или COND несет обязательства на весь срок развертывания. Износ тормозов, снижающий загруженное замедление на величину, которая израсходует запас бюджета прохода («Вопрос выпуска»), не оставляет бюджету запаса ни на какую другую ошибку входа. Этот износ должен провалить действующее условие (запланированное остановочное испытание или проверенный самотест тормозов), прежде чем машина снова войдет в проход, ибо остановка в службе обнаружила бы его сначала у торца стеллажа. Каждое такое обязательство связывает предпосылку с детектором и откликом, что делает его одним из действующих условий, которые несет вердикт.
Действующие условия вердикта
Вердикт выпуска зависит от физических предпосылок с разными графиками наблюдений. Утверждение о торможении мобильного манипулятора опирается на трение пола не ниже 0.204, которое сухой бетон около 0.60 превышает, но разовое обследование не может покрыть проливы или износ поверхности. Кейсу нужен график осмотров пола и правило останова или исключения после загрязнения, при этом любой бортовой монитор сцепления задается отдельно. Калибровка контактной силы руки восстанавливается с задокументированным интервалом. Каждая предпосылка должна оставаться действительной с темпом, которого требует ее физический режим отказа. По принципу «Свидетельства ограничивают полномочия» вердикт дарует полномочия на каждое эксплуатационное условие, и эти полномочия длятся, только пока свидетельства за каждой предпосылкой остаются актуальными.
Каждая контролируемая предпосылка требует и детерминированного детектора времени выполнения, и заранее выделенного отклика. Если кейс утверждает, что возраст наблюдения навигационной камеры остается внутри 51.6 ms, которые начисляет бюджет, но в ПО нет аппаратного компаратора меток времени, измеряющего этот возраст на каждом кадре, предпосылка не контролировалась. Она молча деградировала в допущение. Нагрузка стеллажа ящиков, ограниченная его емкостью 50 kg, меняется лишь когда рука ставит или убирает ящик, поэтому проверки при каждом подборе достаточно, тогда как скорость и действительность аренды проверяются на каждом такте разрешения 1 ms.
Оценка контролируемых предпосылок во время выполнения обнажает трихотомию принадлежности огибающей («Трихотомия огибающих»). Бинарная проверка предполагает нормальное выполнение всякий раз, когда не поднят флаг отказа, но принадлежность огибающей имеет три состояния: известно истинное, известно ложное и неизвестное. Принадлежность известно истинна, когда телеметрия верифицирована, метки времени укладываются в свои предельные сроки, а оценщики сходятся с ограниченной ковариацией. Когда физический предел нарушен — например, ошибка слежения основания превысила границу 40 mm, которую врезает огибающая остановки, — состояние известно ложно. Когда оптический энкодер теряет связь, кадр камеры приходит с несовпадением контрольной суммы CRC, или расходится расширенный фильтр Калмана, машина не может определить, внутри она своей подписанной эксплуатационной огибающей или снаружи. При движущейся массе неизвестное состояние трактуется как пребывание вне огибающей, ибо предположение о безопасности в эпистемическом разрыве позволило бы кинетической энергии копиться неизмеренной, пока машина едет вслепую.
Трихотомия огибающих
Трихотомия огибающих — эпистемическая классификация здоровья киберфизической системы с тремя состояниями относительно ее сертифицированной эксплуатационной огибающей: известно истинное (верифицированное состояние с ограниченной ковариацией телеметрии внутри границ огибающей), известно ложное (верифицированное нарушение границы, запускающее детерминированный аппаратный отказ) и неизвестное (эпистемическая неопределенность состояния из-за потери сенсора, порчи кадра или расхождения оценщика).
- Значение: Неизвестное состояние — не свидетельство нарушения границы, но и не поддержка продолжения слежения. Решение о разрешении — отказ и в неизвестном, и в известно ложном состоянии; журналируемая причина остается различной, а отклик зависит от проверенной способности объекта управления к останову или удержанию.
- Отличие: В отличие от бинарной булевой проверки статуса (
is_safe == true), трихотомия огибающих отделяет эпистемическую слепоту от активных нарушений, гарантируя, что потеря телеметрии никогда не принимается за безопасное свободное расстояние.- Типичная ловушка: Переходить по умолчанию в режим «fail-open» или удерживать последние известные команды при потере связи. Замороженные команды при немоделированной динамике быстро оборачиваются механическими столкновениями.
Те же три состояния управляют свидетельствами за каждой предпосылкой. Испытание, помеченное UNOBSERVABLE или INVALID в разделе «Оракулы отказов и приемка», не поставляет свидетельств, поэтому предпосылка, которую оно должно было проверить, остается неизвестной, а неизвестная предпосылка отказывает зависящему от нее утверждению; лишь записи PASS считаются для вердикта, а запись FAIL делает предпосылку известно ложной.
Отклик на неоцениваемую предпосылку следует из физического следствия продолжения движения без телеметрии, а не из метки тяжести. Когда мобильный манипулятор идет по проходу на 1.3 m/s с полным стеллажом ящиков, его загруженная масса 368 kg несет 311 J кинетической энергии. Если его лидар перестает передавать обновления, каждая миллисекунда слепого хода приближает машину к препятствию, не нанесенному на карту, на 1.3 mm. Кейс безопасности заранее фиксирует три отклика. Два из них существуют лишь там, где покрывает их подписанный кейс: деградированный режим, продолжающий работу, когда резервные сенсоры все еще ограничивают неопределенность положения, например с переходом на колесную одометрию и уменьшением скорости в проходе вдвое до 0.65 m/s, и ограниченный режим вердикта COND, ограничивающий момент или запирающий предложения в заранее вычисленном коридоре. Третий — ступень STOP лестницы резервирования («Лестница резервирования») — не нуждается в таком покрытии и использует настроенную последовательность привода и торможения при потере наблюдаемости; его способность остановиться в пределах свободного расстояния зависит от текущей скорости, задержки отклика и измеренной тормозной способности.
Даже когда каждая контролируемая предпосылка остается известно истинной, а периодические перекалибровки проходят, вердикт выпуска несет метку времени истечения и бюджет циклов. Часы работы и механические циклы способны менять объект управления так, как телеметрия времени выполнения наблюдает не полностью. На зубьях шестерен может появиться поверхностное выкрашивание,4 эластомерные уплотнения твердеют, а конструкционный крепеж теряет преднатяг затяжки. Специфичные для нагрузки данные усталости и план осмотров задают подписанные пределы часов работы и циклов; достижение любого из пределов требует повторного арбитража, прежде чем будет разрешено дальнейшее движение.
Действующие условия, влияющие на движение, нуждаются в пути принудительного обеспечения с измеренным бюджетом обнаружения и отклика. В архитектуре раздела «Обеспечение безопасности» независимый механизм принуждения проверяет предложения и контролируемые предпосылки до выдачи разрешения актуатору.5 Путь разрешения машины решает на такте 1 ms. Его граница 82 ms от последнего действительного продления до начала торможения покрывает инициатора, переставшего продлевать. Для предпосылки, которую механизм принуждения контролирует сам, отклик складывается лишь из такта, передачи по шине и начала торможения — 22 ms в бюджете, — и кейс выпуска обязан измерить каждое из этих слагаемых. Когда предпосылка неизвестна или ложна, механизм принуждения отзывает разрешение на слежение и командует ступень лестницы резервирования, подходящую состоянию объекта управления («Лестница резервирования»), и подписанный кейс выпуска должен включать этот выбор останова и его измеренный тайминг.
Итак, вердикт держится, только пока каждое из его действующих условий известно истинно, проверяется с темпом, который задает его режим отказа, и обеспечено откликом, чей тайминг кейс измерил. Определив утверждения, вердикты и условия, которые их отзывают, арбитр может взять шесть утверждений мобильного манипулятора по одному и решить его выпуск по свидетельствам, которыми обладает эта книга.
Полный разбор случая
Арбитр берет каждое из шести утверждений таблицы «Разбор утверждение–аргумент–свидетельство для складского манипулятора», находит предпосылку, которая несет его обоснование, и спрашивает, какого рода число поддерживает эту предпосылку. Дверная ветвь C1 показывает процедуру полностью.
На охраняемой скорости подхода 0.03 m/s к ответной планке 4.0 × 10⁵ N/m контактная сила растет по мере сжатия планки, пока не сработает порог 15 N, а отклик контактного контура 2 ms добавляет дальнейшее сжатие до начала команды торможения («Что передают намерения»):
Вычисление «вдавливание срабатывания» дает 39 N на команде торможения — далеко внутри предела защелки 100 N. Предел по-прежнему связывает последующий останов, ибо планка продолжает сжиматься, пока рука замедляется:
Тормозное слагаемое в «связанное вдавливание» игнорирует работу пружины, которая укоротила бы ход руки, что удерживает границу консервативной. Ниже предела планка может сжаться лишь еще на 0.15 mm, поэтому рука должна замедляться примерно на 3 m/s² и остановиться в пределах примерно 10 ms.6 При необеспеченном подходе 0.10 m/s те же два уравнения дают 95 N на команде торможения и требуют 400 m/s². Это требование согласуется с двумя причинами, по которым эксплуатационная огибающая («Эксплуатационная огибающая складского манипулятора») допускает лишь охраняемый подход. На более высокой скорости предельный срок контакта едва превышает отклик контактного контура («Синтез политик»), а демонстрации не содержат примеров этого («Как датасеты дают сбой»).
Ни один из результатов не вызывает сомнений как арифметика. Дверная ветвь проваливается на своей предпосылке. Достигает ли рука, несущая импульс подхода, этого замедления в пределах доли миллиметра — свойство ее приводов и тормозов, и ни одна запись в этой книге его не измеряет. Замедление иллюстративно, поэтому предпосылка неизвестна, а ветвь отвергается.
Остальные ветви проваливаются так же. Бюджет основания 997.4 mm наследует иллюстративные значения достоверного замедления, начала торможения, ошибки слежения и локализации, а его запас 102.6 mm мал против правдоподобной ошибки любого из них. Кружечная ветвь C1 отвергается по двум предпосылкам. Ее сила передачи укладывается под критерий лишь через иллюстративную жесткость тканей, а ее предпосылка обоснования — что объект, который хватает рука, и есть кружка, которую называет задача, — неизвестна, ибо уверенное обоснование на стеклянной банке того же цвета проходит каждую геометрическую проверку («От запроса к истекающему предложению») и ни одна запись в этой книге не решает, какой объект держит рука. Тайминг разрешения C2 опирается на заявленное худшее время выполнения 250 μs рядом с ненагруженными 135 μs, никогда не измеренное под худшей нагрузкой размещения. Возраст наблюдения 51.6 ms у C4 добавляет показание из технического описания к иллюстративным слагаемым конвейера. C5 и C6 ссылаются на записи, которые эта книга описывает, но не содержит: журнал испытаний размещения и запись PASS для каждого из A1–A4. C3 отличается по роду. Его предпосылка — трение пола не ниже 0.204 на каждом проходе — может быть обследована на сухом полу, но прозрачная масляная пленка выглядит для камер как сухой бетон, и никакое измерение на машине не может ее исключить.
Итак, каждое утверждение опирается минимум на одну предпосылку, которую свидетельства книги оставляют неизвестной, и арбитр подписывает REFUSE. Вердикт не находит машину небезопасной. Его входы иллюстративны, поэтому и решение иллюстративно. Оно показывает, как решался бы этот выпуск, и не может лицензировать машину. По четвертому закону («Четыре фундаментальных закона») предпосылка, которую свидетельства не могут разрешить, должна ограничивать эксплуатацию, и на этих свидетельствах каждое утверждение несет такую. Отказ — также самый полезный результат главы, ибо он называет измерения, которые изменили бы его. Таблица «Измерения, сдвигающие вердикт к COND» перечисляет их с предпосылкой, которую каждое разрешает, и ограничением, которое снял бы поддерживающий результат.
| Измерение | Разрешаемая им предпосылка (значение в этой книге) | Утверждения | Что снимает поддерживающий результат |
|---|---|---|---|
| Остановочные испытания на рабочей массе | Достоверное замедление нижнего хвоста (2 m/s²) | C1 | Бюджет основания и его потолок 1.39 m/s, так что можно подписать скорость в проходе |
| Испытания начала торможения | Начало торможения (20 ms) | C1, C2 | Граница 82 ms от последнего действительного продления до начала торможения |
| Сквозная трасса возраста | Возраст наблюдения (51.6 ms) | C4 | Слагаемое возраста бюджета и порог устаревших данных |
| Хвосты ошибки слежения и локализации | Граница слежения (40 mm) и граница локализации (50 mm) | C1 | Слагаемое врезки и накладные слагаемые бюджета |
| Обследование площадки | Свободное расстояние у торца стеллажа (1.10 m) | C1 | Подписанная скорость на каждом обследованном торце стеллажа |
| Обследование пола | Трение сухого пола (0.60) против требуемых 0.204 | C3 | Только обследованные проходы; пленка остается ненаблюдаемой, поэтому утверждение о проходе достигает не более COND на осмотренных полах ниже потолка 1.09 m/s |
| Трасса инференса | Инференс фрагмента на 99-м процентиле (40 ms) | Нет | Доступность службы: продление каждого фрагмента внутри аренды 60 ms; граница C2 держится и без этого |
| Тайминг механизма принуждения под нагрузкой | Худшее время выполнения механизма принуждения (250 μs, заявлено) | C2, C5 | Предельный срок 400 μs под худшей нагрузкой размещения |
| Остановочные испытания руки | Замедление руки с охраняемого подхода (требуется около 3 m/s²) | C1 | Открывание двери на охраняемом подходе |
| Испытания силы передачи | Пиковая контактная сила на скорости передачи (42.4 N выведено; жесткость тканей иллюстративна) | C1 | Передача кружки коллеге на 0.10 m/s под accept_item |
| Испытания с оператором | Тайминг перехвата и передачи полномочий | C6 | Дистанционный перехват, когда у каждого из A1–A4 есть запись PASS; иначе только локальная работа |
Измерения, сдвигающие вердикт к COND: Каждая строка называет предпосылку, которую измерение разрешает на складском мобильном манипуляторе, и ограничение, которое снял бы поддерживающий результат; трасса инференса касается лишь доступности службы.
Кейсу COND понадобилась бы каждая строка таблицы, кроме касающейся только доступности трассы инференса и испытаний с оператором, и от испытаний с оператором он мог бы отказаться, лишь удерживая полномочия локально, где случаи полномочий удаленного канала не возникают. Локальной работе все равно нужна запись PASS для каждого задействованного ею случая полномочий, а C5 все равно нужен журнал испытаний размещения с его испытаниями общих причин. Ни то ни другое не является строкой таблицы.
Даже при всех этих свидетельствах, поддерживающих его предпосылки, максимум, что могли бы лицензировать результаты, — названная часть эксплуатационной огибающей. Основание могло бы ездить по проходам на ограниченных 1 m/s, ниже потолка 1.09 m/s для осмотренных полов, только по осмотренным полам, с механизмом принуждения в ограниченной конфигурации («Протокол принудительного обеспечения») и действующим правилом пересечения на каждом торце стеллажа. Рука могла бы открывать дверь на охраняемом подходе при номинальном положении планки и остановленном основании, а также брать кружку и передавать ее под accept_item на 0.10 m/s, при удержании подачи станции в ее объявленном списке предметов и окне единичного подбора. У предпосылки обоснования нет строки вовсе, ибо никакое испытание нынешними сенсорами машины не может ее разрешить, а список подачи и единичность ограничивают ее, а не закрывают. Нормальный режим 1.3 m/s остается неподписанным при любых результатах, ибо масляная пленка оставляет открытой его предпосылку о трении. Ограничения, несущие эти предпосылки, и свидетельства, которые закрыли бы их, принадлежат реестру остаточных утверждений из раздела «Реестр остаточных утверждений» («Отказ и путь к условному выпуску»).
Отказ и путь к условному выпуску
Прежде чем одобрять условный выпуск машины, проверьте свое понимание того, как предпосылка, а не вычисление, решает утверждение:
- Предпосылка против арифметики: Сможете ли вы объяснить, почему сила защелки на команде торможения не вызывает сомнений, а дверная ветвь C1 все равно отвергается?
- Необеспеченный подход: Сможете ли вы, используя «вдавливание срабатывания» и «связанное вдавливание», показать, почему эксплуатационная огибающая допускает лишь охраняемый подход к двери?
- Отказ как результат: Сможете ли вы назвать для одного отвергнутого утверждения измерение, которое сняло бы его, и ограничение, которое осталось бы после поддерживающего результата?
Критический обзор
Допустим, измерения таблицы «Измерения, сдвигающие вердикт к COND» пришли и поддерживают кейс COND для мобильного манипулятора. Прежде чем арбитр его подпишет, кейс должен выдержать обозревателя, чья задача — его сломать. Критический обзор — структурированный аудит, который обращается с кейсом безопасности как с аргументом для атаки, а не с запиской в пользу развертывания. Подтверждающее смещение уводит собственный сбор данных кейса к условиям, где обученные модели преуспевают, а обозреватель обращает эту позу, ища необеспеченные обоснования, неохарактеризованные физические переходы и краевые условия, разрывающие контракт выпуска. Аргумент, разваливающийся на бумаге перед противником, который пытается спровоцировать физическое нарушение, не дает поводов ожидать, что машина выдержит службу.
Обзор оценивает каждый свидетельский узел дерева аргументов четырьмя пробами. Первая оспаривает эмпирическую достаточность: покрыли ли испытания физические крайности эксплуатационной огибающей. Остановочные испытания с нагруженным основанием на сухом бетоне при трении около 0.60 поддерживают обоснование того, что основание достигает там своего достоверного замедления. Ограниченный режим, однако, допускает полы, которые регламент осмотров площадки удостоверяет лишь до 0.12, такие как полоса, отполированная трафиком, где основание может ехать на ограниченных 1 m/s, которые объявляет раздел «Эксплуатационная огибающая», ниже потолка 1.09 m/s. Если набор испытаний не содержит нагруженных остановок на таких полах на этой скорости, обоснование ограниченного режима не обеспечено, и аудит охвата находит в обзоре тот пробел, который служба иначе нашла бы у торца стеллажа. Масляная пленка не входит в эту пробу, ибо огибающая отказывает ей напрямую, а C3 считает ее противодоводом. Вторая проба рассматривает перенос домена — утверждения, где симуляция подменяет аппаратное измерение. Детектор людей может набирать высокие баллы на отрисованных проходах и все же пропускать человека, частично скрытого за паллетами в стрейче при собственном освещении площадки. Его бенчмарковая полнота — прокси, оценивающий подготовленные кадры, а не цепь от пропущенного человека до команды останова, поэтому обозреватель просит свидетельства по этой цепи из парных испытаний с аппаратурой в контуре на реальных торцах стеллажей.
Третья проба атакует структурную независимость: делят ли обученная модель и механизм принуждения безопасности общий ресурс,7 конкуренция за который способна задержать доставку данных сенсора. На мобильном манипуляторе такая задержка вошла бы в цепочку возраста наблюдения 51.6 ms у C4, где ее не показал бы тест тайминга ни одного отдельного компонента. Стресс-тесты и анализ тайминга под худшей нагрузкой размещения должны установить границу взаимных помех; модульные тесты на свободной шине не могут. Четвертая проба выявляет неконтролируемый дрейф состояния. Износ способен менять податливость редуктора8 и отклик между током двигателя и движением звена. Поэтому обозреватель просит парные трассы торможения и контакта в состояниях износа, прежде чем принять предпосылку останова руки в дверной ветви C1 («Полный разбор случая»). Одно лишь срабатывание по току двигателя не устанавливает, что изношенный объект управления остается внутри измеренных кейсом пределов силы и остановки.
Обозреватели воплощают эти уязвимости в действие, конструируя явные противодоводы для каждого обоснования. Самые трудные для восприятия сочетают мелкие аномалии, каждая из которых остается в своих пределах, — составные отказы, которые раздел «Вывод списка отказов» выводит из общих причин.
Рассмотрим навигационную камеру мобильного манипулятора с легкой пылевой пленкой на объективе, крепление, сместившееся в пределах допуска после ослабления крепежа и теперь дрожащее, когда основание переезжает швы пола, а также жгут, чье изгибание на этих швах поднимает частоту ошибок на его линии сериализатора/десериализатора (SerDes). Каждая проверка показывает норму. Камера докладывает о достаточной видимости, проверка крепления фиксирует значение в допуске, а счетчики ошибок SerDes остаются ниже своего порога тревоги. Аномалии не могут сочетаться в возрасте, ибо путь разрешения отказывает любому наблюдению, чей верхний возраст превышает бюджетный возраст плюс границу пересчета часов («Контракт наблюдений»), поэтому кадр, задержанный ретрансляциями за этот порог, стоит доступности, а не свободного расстояния. Они сочетаются в положении. Приглушенный контраст оставляет сопоставителю признаков более слабые совпадения. Крепление дрожит и размывает сопоставляемые кадры, смещая каждое совпадение на угол, который калибровка еще принимает. Кадры, которые жгут теряет на ретрансляции, удлиняют интервалы между привязками, над которыми накапливается дрейф одометрии. Каждая ошибка остается в своем допуске, но все три попадают в единственный локализационный допуск бюджета остановки, который никакая проверка времени выполнения не измеряет напрямую. Этот допуск размерен по измеренному хвосту ошибки локализации («Измерения, сдвигающие вердикт к COND»), а не как худшая сумма допусков его вкладчиков, что отдало бы подписанную скорость ради покрытия каждого вкладчика на краю его диапазона одновременно. Испытания с чистым объективом, плотным креплением и исправным жгутом никогда не семплируют это совпадение, поэтому три ошибки вместе способны превысить допуск. Превышение берется из запаса («Вопрос выпуска»), и основание едет дальше к торцу стеллажа с меньшим запасом, чем предполагает подписанный кейс, пока каждая диагностика докладывает о нормальной работе.
⇄ Контраст: Утверждения об алгоритмических возможностях противопоставлены физическим пределам насыщения актуатора, установленным в разделе «Пределы передачи актуатора».
Обзор аудирует также целостность исполнения пути разрешения: могут ли инференс или фоновые службы обойти, испортить или морить голодом механизм принуждения («Обеспечение безопасности») или человеческие переопределения («Вмешательство супервизора»), последние покрыты C6 в таблице «Разбор утверждение–аргумент–свидетельство для складского манипулятора». Ниже границы предложения («Машина в пяти уровнях») оба сохраняют невытесняемый приоритет над обученными моделями, а противник спрашивает, способны ли сбежавший поток политики, исключение времени выполнения акселератора или наводнение телеметрии насытить каналы памяти, заклинить спинлок ядра или просадить шину. Обозреватель принимает независимость пути разрешения и несущую его на мобильном манипуляторе шину с поддержкой лишь по физическому внедрению отказов, включая насыщение шины, удаление подачи и убитую задачу инициатора (F1), ибо C2 заявляет лишь те отказы, которые путь разрешения переживает. Эти испытания — записи журнала отказов, набора подписанных записей отказов из раздела «Манифест отказов». Если путь разрешения реализован ПО пользовательского пространства, а не изолированными потоками жесткого реального времени и выделенными аппаратными линиями прерываний, обозреватель помечает связь как разорванную.
Когда атака преуспевает, кейс нельзя спасти правкой описаний утверждений или вставкой произвольных запасов. Разорванное обоснование прослеживается до его системного отказа, неохарактеризованной физической границы, неадекватного датасета или немоделированной задержки, и дефект возвращается в подсистему-владельца. Наблюдатель тока двигателя, проваливающийся на податливости редуктора, возвращается в механическую спецификацию как пределы износа и оценка податливости времени выполнения, а конкуренция за шину, задерживающая механизм принуждения, возвращается в вычислительную архитектуру как разделение памяти и планирование реального времени. Кейс возвращается инженерной команде с названными разорванными обоснованиями, и лишь обновленные границы, перевычисленные остановочные пути и возобновленная верификация открывают арбитраж заново.
Обзор должен также повторяться, ибо однажды принятый кейс может разрушаться в службе без какого-либо единичного изменения, которое заставило бы составить новый. Нормализация отклонений называет это разрушение, при котором аномалии, не причиняющие вреда, начинают читаться как приемлемый операционный шум, а не как свидетельство против обоснования Leveson, 2011; Vaughan, 1996 («Challenger и опыт как граница (1986)»).9 На мобильном манипуляторе это выглядело бы как описанный выше составной противодовод, растянутый на месяцы: локализационные остатки, подползающие к краю своего допуска, отказы по возрасту, отбрасываемые как назойливые остановки, остановки, кончающиеся чуть дольше, чем в испытаниях, и срабатывания механизма принуждения, сбрасываемые без разбора трассы. Когда пороги расширяются, запасы подрезаются ради пропускной способности, а тревоги подавляются, потому что пока ничего не пошло не так, разрыв между подписанной огибающей и поведением машины расширяется, пока рутинное возмущение не исчерпает оставшееся.
Challenger и опыт как граница (1986)
Контекст: Твердотопливные ускорители космического челнока «Шаттл» собирались из сегментов, чьи стыки герметизировались первичным и вторичным уплотнительными кольцами Presidential Commission on the Space Shuttle Challenger Accident, 1986. В этой цепи нет обученной модели. Зафиксированный ею провал арбитража — тот самый, ради предотвращения которого существуют вердикты этой главы: старт, одобренный для условий, которых свидетельства не покрывали.
Механизм: Температура окружающей среды на старте составляла — на 15 градусов холоднее любого предыдущего запуска. Упругость уплотнительного кольца падает с температурой, и холодное кольцо слишком медленно возвращается в форму, чтобы следить за зазором стыка, который открывает давление зажигания. В канун старта инженеры Morton Thiokol, подрядчика двигателя, рекомендовали не запускать ниже — температуры уплотнительного кольца самого холодного предыдущего полета, чьи стыки показали худший на тот момент прорыв газов. Этот предел был краем летного опыта, а не квалифицированной границей. Менеджеры NASA возразили квалификационной температурой, относившейся к массивной температуре топлива, а не к уплотнениям.
Последствия: Утечка продуктов сгорания через задний стык правого ускорителя, начавшаяся в момент зажигания или вскоре после него, ослабила или пробила внешний бак. Аппарат разрушился примерно через 73 секунды после старта, и все семь членов экипажа погибли.
Ответные меры: Комиссия отнесла отказ к «неудачной конструкции, неприемлемо чувствительной к ряду факторов», и температура стоит во главе списка этих факторов. Комиссия рекомендовала изменить стык и сертифицировать новую конструкцию испытаниями «по всему диапазону эксплуатационных условий, включая температуру».
Системный урок: Руководство Thiokol изменило рекомендацию своих инженеров по настоянию Космического центра Маршалла NASA. Вице-президент Thiokol по инженерии дал показания: «Мы должны были доказать им, что мы не готовы». Бремя доказательства сместилось с того, чтобы показать стык безопасным внутри своих свидетельств, на то, чтобы показать его небезопасным вне свидетельств, где данных не существовало. Вердикт выпуска удерживает бремя там, где помещает его трихотомия огибающей. Условие вне свидетельств, такое как температура уплотнения ниже всего летного опыта, неизвестно, и вердикт отказывает ему.
Посылка перехвата в Tempe («Когда граница отказывает») была условием того же рода, а раздел «Как передача дает сбой» поставил поднятый ею вопрос наблюдения оператором. Выпуск, опирающийся на такую предпосылку, должен связать ее отклик — отказ или ограниченный кейс — вместе с ее испытанными физическими пределами.
Манифест выпуска
Вердикту выпуска нужен подписанный артефакт, фиксирующий решение, физические условия и истечение. Этот артефакт — манифест выпуска, неизменяемая запись, связывающая журнал верификации с подписанным вердиктом ведущего системного арбитра и отказывающая в движении всякий раз, когда исполняемые образы или свидетельства больше не соответствуют его дайджестам.10 Он потребляет журнал отказов через его корневой дайджест и связывает три дальнейшие записи как листы свидетельств подписанного графа аргументов: запись полномочий из раздела «Журнал полномочий», запись размещения из раздела «Распределение аппаратных ресурсов» и запись оценки из раздела «Журналы оценки». К ним он добавляет корень утверждений, дайджест аргумента, дайджесты образов, ссылки на калибровку, вердикт, его действующие условия, бюджет дрейфа и истечение. Дайджесты образов покрывают веса политики, логику механизма принуждения в обеих ее конфигурациях протокола принудительного обеспечения — нормальной и ограниченной, которую загрузил бы кейс COND («Протокол принудительного обеспечения»), — а также ядро реального времени. Бюджет жизненного цикла по часам работы и циклам стоит рядом с календарным истечением, а подпись арбитра покрывает всю запись. Ссылки на свидетельства должны разрешаться в просмотренные версии записей прежде, чем будет выдано разрешение.
↳ Раскладка байтов: Поля, типы и дайджесты манифеста выпуска даны в разделе «Манифест выпуска».
Рисунок «Конвейер выпуска с закрытием при отказе» помещает аутентификацию и проверки действующих условий до любого разрешения на эксплуатацию, и ворота выполняют их в фиксированном порядке до подачи питания на силовые каскады двигателей. Каждая проверка может лишь отказывать. Сначала она сверяет цепь ключей арбитра, которую закрепляет аппаратный корень, и ее состояние отзыва, затем подпись манифеста, истечение и бюджеты жизненного цикла, а также каждый активный дайджест образа, так что измененный файл весов или битовый поток механизма принуждения отказывает в разрешении. Далее она аутентифицирует полный журнал отказов, чьи индивидуально подписанные записи входят в манифест как один корневой дайджест, вместе со ссылками на калибровку. Один лишь дайджест не устанавливает ни действительности записи, ни достаточности теста, поэтому ворота также проверяют подпись каждой записи и полноту журнала по просмотренному индексу свидетельств. Действующие условия приходят последними, и известно ложная или неизвестная предпосылка отказывает так же твердо, как плохая подпись, сохраняя собственную журналируемую причину. Лишь когда каждая проверка проходит, ворота загружают подписанную огибающую, и даже тогда механизм принуждения все еще проверяет каждое предложенное действие. Таблица «Таблица истинности авторизации выпуска» дает исходы. Устаревшая калибровка — тот случай, который их различает, ибо она отказывает полному кейсу и поддерживает COND лишь там, где отдельно подписанный ограниченный кейс покрывает ровно это состояние.
↳ Протокол: Пошаговый протокол авторизации ворот дан в разделе «Протокол ворот выпуска».
Конвейер выпуска с закрытием при отказе: Подписанный вердикт и корень свидетельств проходят аутентификацию ключей, образов и полного журнала отказов, затем проверки актуальной калибровки, тормозов и эксплуатационной огибающей. Любая из проверок может отказать в разрешении. Лишь действительный подписанный полный или отдельно подписанный ограниченный кейс доходит до принудительного обеспечения по каждому действию. Атрибуция: команда создателей учебника (CC BY-NC-ND 4.0).
| Подписанный кейс | Проверки свидетельств и действующих условий | Ограниченный кейс, покрывающий устаревшую калибровку | Результат ворот |
|---|---|---|---|
UNCOND | Все действительны и актуальны | Не нужен | Полная огибающая предложения под механизмом принуждения; UNCOND |
COND | Все ограниченные свидетельства действительны и актуальны | Включается, если калибровка устарела | Подписанная ограниченная огибающая под механизмом принуждения; COND |
UNCOND или COND | Несовпадение корня/подписи журнала отказов, истечение, несовпадение образа или неизвестная физическая предпосылка | Любой | Разрешение выключено; REFUSE |
UNCOND | Калибровка устарела | Нет | Разрешение выключено; REFUSE |
Отдельно подписанный COND | Устарела только названная калибровка; ограниченные свидетельства и пределы действительны | Да | Ограниченная огибающая; COND |
REFUSE | Любой | Любой | Разрешение выключено; REFUSE |
Таблица истинности авторизации выпуска: Ограниченный режим — отдельное аутентифицированное утверждение, никогда не неподписанный даунгрейд полного кейса.
Каждому листу свидетельств нужен идентификатор его необработанной трассы, прибора, калибровки, конфигурации и тестового скрипта. Измеренный хвост тайминга входит как процентиль, а утверждение о жестком отклике требует отдельно обоснованной границы из раздела «Передача команд вовремя». Критерий передачи коллеге требует временных рядов тензодатчика для заданного суррогата телесной области и геометрии. Связанные записи позволяют аудитору повторить тест и определить, где утверждение перестает действовать.
Манифест выпуска называет конфигурацию и физические пределы, для которых применим его вердикт. Измененный файл весов политики, приоритет реального времени, драйвер или неверифицированная ревизия компонента требуют нового кейса или явно одобренного эквивалента. Для мобильного манипулятора подписанные пределы износа по люфту шарниров и толщине тормозных накладок происходят из измеренных свидетельств остановки и нагрузки. Условия отказа эксплуатационной огибающей включают нагрузку стеллажа ящиков выше его емкости, которую контролируют тензодатчики стеллажа, и необследованный пол, что обеспечивает процедура площадки («Эксплуатационная огибающая складского манипулятора»). Манифест подписывает также изолированную шину с поддержкой пути разрешения как действующее условие, размеренную в разделе «Лестница резервирования», причем самотест емкости ее накопителя поддержки отзывает разрешение при каждом включении питания. Когда измеренное условие пересекает подписанный предел, путь разрешения отзывает разрешение на слежение в свои заданные сроки обнаружения и отклика и командует оцененное резервирование.
Полевая телеметрия записывает остатки момента, тайминг контура и срабатывания механизма принуждения для разбора дрейфа, тогда как путь разрешения проверяет подписанные живые пороги с темпом, которого требует объект управления. Тормозной отклик, измеренный на плановом осмотре за пределами подписанного бюджета свободного расстояния, или устаревшая калибровка отзывает текущий вердикт, и переустановка более раннего подписанного образа не может вернуть изношенные тормоза. Если отдельно подписанный кейс COND не покрывает это физическое состояние, объект управления использует свой оцененный останов и ожидает обслуживания и повторного арбитража («Таблица истинности авторизации выпуска»).
↳ Ниже по потоку: Предпосылки, которые оставляет открытыми манифест выпуска, становятся записями реестра остаточных утверждений из раздела «Реестр остаточных утверждений».
Каждый отказ в этой главе оканчивается оцененным остановом, который предполагает, что остановленная машина безопасна, — предположение, проваливающееся для машины, которая падает при останове («Когда снятие момента вредит»).
Когда снятие момента вредит
Вопрос: Какой вердикт применим, когда снятие момента причиняет вред?
Заторможенное основание в покое не хранит энергии, способной дойти до коллеги, но вертикальный гуманоид хранит свою опасность в собственной позе. Ни один вердикт, даже
REFUSE, не действует для гуманоида без утверждения о том, что его отклик на предотвращение падения работает.
- Безопасное снятие момента на вертикальном двуногом — это падение. Функция привода, снимающая момент двигателя («Полномочия исполнения команды»), оставляет массу робота падать с высоты стояния, поэтому никакой подписанный вердикт не может назвать снятие момента оцененным остановом гуманоида.
- Отклик на предотвращение падения сам есть исполнение команды. Приседание, шаг или опускание робота на пол под питанием — командное движение, которому нужны собственное утверждение, собственные свидетельства и место в наборе отказов. Вердикт
REFUSEвсе равно зависит от той части машины, которая удерживает его стоящим.- Износ отзывает разрешение на ходьбу. Трение подошвы и люфт шарниров дрейфуют за пределы, которые предполагали свидетельства предотвращения падения, и пересечение подписанного предела износа отнимает разрешение ходить прежде, чем отклик на падение, на котором держится разрешение, перестает работать.
Вывод вердикта из собственных измерений
Таблица «Измерения, сдвигающие вердикт к COND» не содержит измеренных значений, ибо их нет в этой книге. Заполните ее собственными значениями — из испытаний на машине, которую вы можете тестировать, или из выбранных вами чисел, — и выведите вердикт, который они поддерживают:
- Категории значений: Для каждой строки запишите ваше значение и его источник и оцените предпосылку как измеренную, из технического описания, иллюстративную или неизвестную. Выбранное вами число относится к категории «иллюстративное», а номинальное значение производителя — к категории «из технического описания»; измеренное означает ваше собственное испытание или опубликованное измерение, на которое вы ссылаетесь.
- Вывод вердикта: Кейсу
CONDтребуется, чтобы каждая опираемая им предпосылка относилась к категории «измеренная», поэтому таблица, в которой любая опираемая предпосылка относится к иной категории, все еще поддерживает лишьREFUSE. Пересчитайте бюджет основания и его запас из ваших значений. Если каждая опираемая предпосылка измерена, назовите огибающую, которую подписывает кейсCOND, и предпосылку, которая удерживает нормальный режим неподписанным. Если какая-то не измерена, выведите вердикт, который таблица поддержала бы, будь эти значения измерены, и пометьте этот вердикт как гипотетический.- Метка артефакта: Пометьте заполненную таблицу как собственную работу, чьи значения не лицензируют никакую машину.
Заблуждения и ловушки
Заблуждение и ловушка
Заблуждение: Статистическое покрытие подменяет детерминированные архитектурные обоснования.
Команда представляет миллионы симулированных часов и тысячи циклов без инцидентов как аргумент выпуска. Запись поставляет свидетельства об испытанных условиях, но демонстрация катастрофической частоты отказов, которую называет утверждение выпуска, может потребовать большей физической наработки, чем позволяет любой график («Пределы физических испытаний»). Симуляция также сохраняет допущения своих физических моделей, такие как идеализированное трение Кулона или бесконечно жесткие редукторы. Кейс выпуска должен объяснить, как архитектурное принудительное обеспечение — например, независимый путь разрешения, отзывающий движение и командующий проверенный останов, — ограничивает вредное поведение политики, и он должен представить свидетельства этого механизма при заявленных допущениях. Эмпирическая производительность и архитектурные обоснования отвечают на разные вопросы; большое число испытаний не может заменить отсутствующий аргумент, связывающий полномочия актуатора с физическими пределами.
Заблуждение и ловушка
Заблуждение: Вердикт выпуска — постоянная сертификация безопасности.
Машина проходит валидацию и входит в производство под подписанным кейсом безопасности. Со временем износ тормозных накладок удлиняет остановочные пути, кинематическая калибровка дрейфует из-за тепловых циклов, а оптическое загрязнение ухудшает сенсорику. ПО может остаться неизменным, пока физические допущения, поддерживающие выпуск, отказывают. Манифесту выпуска нужны требования обслуживания и триггеры аннулирования, привязанные к соответствующим счетчикам жизненного цикла или измеренному дрейфу, с определенными ограничениями на случай, когда эти условия проваливаются. Подпись фиксирует ответственность за ограниченное решение о выпуске; она не делает аппаратные возможности испытанного тела постоянными.
Заблуждение и ловушка
Ловушка: Полагаться на незаявленные средовые допущения в поддержку утверждения безопасности.
Команда верифицирует тормозную производительность основания в хорошо освещенных проходах на чистых полах, и ее кейс указывает трение пола, но никогда — его освещенность. Тусклый проход затем стоит службе через возраст изображения, который случайно видит проверка времени выполнения («Кейсы безопасности и утверждения»), и стоит свободного расстояния через более слабые совпадения признаков, чью ошибку локализации не видит ни одна проверка, — против допуска, размеренного хорошо освещенными испытаниями («Критический обзор»). Механический тормоз работает ровно как испытано, и каждая диагностика показывает норму, пока запас остановочного пути сжимается. Кейс безопасности должен заявлять средовые условия, от которых зависят его утверждения, и объяснять, как эксплуатация остается в их пределах. Там, где мониторинг способен обнаружить нарушение, он должен запускать определенное ограничение или резервирование; незаявленное допущение не поставляет ни проверяемого условия выпуска, ни пригодной границы времени выполнения.
Итоги
Выпуск в эксплуатацию связывает кейс утверждение–аргумент–свидетельство с измеренной эксплуатационной огибающей, подписанной конфигурацией и путем разрешения, способным отозвать движение. Подпись устанавливает санкционированный кейс; проверки времени выполнения определяют, держатся ли еще его физические предпосылки.
Выпуск в эксплуатацию и защитимые кейсы безопасности
- Огибающая ограничивает утверждение: Утверждение выпуска покрывает лишь те скорости, нагрузки, полы, свободные расстояния и случаи контакта, для которых собраны свидетельства, и каждое измерение огибающей нуждается в мониторе времени выполнения или процедуре площадки, удерживающих машину внутри.
- Слабейшая ветвь решает: Дерево утверждение–аргумент–свидетельство — не среднее. Высокая точность в одной ветви не компенсирует отсутствующее обоснование в другой, поэтому арбитр ищет единую предпосылку, чей отказ допустил бы вред.
- Неизвестная предпосылка отказывает: Неизвестная принадлежность огибающей трактуется как пребывание вне огибающей, а испытание, помеченное
INVALIDилиUNOBSERVABLE, не поставляет свидетельств. На иллюстративных входах этой книги каждое утверждение несет такую предпосылку, поэтому вердикт мобильного манипулятора —REFUSE.- Отказ — результат: Отказ называет измерения, которые сняли бы его, такие как остановочные испытания на рабочей массе и тайминг механизма принуждения под худшей нагрузкой, и ограничение, которое оставил бы каждый результат, включая масляную пленку, которую никакое измерение на машине не закрывает.
- Ни один вердикт не сдвигает границу предложения: И под
UNCOND, и подCONDполитика лишь предлагает, а механизм принуждения допускает каждое действие. Ограниченный режим нуждается в собственном подписанном кейсе, никогда — в неподписанном даунгрейде.- Манифест истекает вместе со своими свидетельствами: Манифест выпуска связывает записи оценки, размещения, полномочий и отказов дайджестами и отказывает в движении при любом несоответствии. Износ и дрейф отзывают его, а откат ПО не может вернуть изменившийся объект управления.
Четвертый закон («Четыре фундаментальных закона»), сформулированный как принцип «Свидетельства ограничивают полномочия», дарует полномочия по записанным свидетельствам и позволяет им истечь вместе с этими свидетельствами, а действующие условия — то место, где это истечение становится механизмом. Каждое связывает предпосылку с детектором, темпом и откликом, поэтому остановочные испытания на рабочей массе, которые поддержали бы условный вердикт для мобильного манипулятора, становятся, будучи подписанными, теми свидетельствами, чей распад его и завершает. По записям этой книги эта милость так и не наступает, ибо каждое из шести утверждений опирается на предпосылку, оставленную иллюстративной или неизвестной. Ручная аренда ограничивала полномочия оператора возрастом его свидетельств («Переходы полномочий»), а предварительное обязательство привязывало вердикт теста к правилу, зафиксированному до прихода свидетельств («Оракулы отказов и приемка»). Выпуск — самая широкая милость, которую дарует книга, и даже здесь допуск остается ниже границы предложения.
От отвергнутого выпуска к тому, что поддерживают свидетельства
Какие предпосылки не может закрыть ни одно свидетельство? Утверждение C3 держит самый простой случай. Никакое измерение на машине не может исключить масляную пленку позади него, и новые испытания теми же сенсорами этого не изменят; лишь новый преобразователь — детектор пленки на полу, — мог бы. Условный выпуск поэтому удерживает это условие вне подписанной огибающей, а не разрешает его. Заключение, раздел «Эпистемическая граница», возвращается к вопросу, с которого книга открылась, отвечает на него тем, что поддерживают свидетельства, и вносит каждую предпосылку, оставленную открытым этим выпуском, — масляную пленку первую, — в реестр остаточных утверждений с тестом, который ее закрыл бы.
-
Биомеханические пределы ISO/TS 15066: Спецификация дает зависящие от области тела и типа контакта данные о силе и давлении isots15066, 2016. Оценка площадки должна выбрать применимую область тела, геометрию контакта и метод измерения. Используемый здесь критерий передачи — консервативный критерий кейса, а не универсальный порог ISO/TS 15066 и не граница травмы. ↩
-
Силовая модель механики контакта: Эластодинамическая модель связывает поступательную кинетическую энергию, эффективную движущуюся инерцию и жесткость контактного интерфейса, чтобы определить переходную пиковую силу удара при несмягченном столкновении. Удар о жесткую границу концентрирует запасенную кинетическую энергию в субмиллисекундный импульс с жестким усилением силы, тогда как упругая податливость удлиняет время деформации и рассеивает энергию на более длинном ходе. Формальная эластодинамическая выводка и односторонние контактные формулировки даны в разделе «Механика контакта твердых тел». ↩
-
Нотация структурирования целей: Разработанная Тимом Келли в Йоркском университете, GSN задает явную графическую грамматику структурирования и аудита кейсов гарантии безопасности Kelly, 1998; Kelly and Weaver, 2004. Нотация разлагает верхнеуровневые цели безопасности на контекстные подутверждения, стратегии аргументации и решения, обоснованные тестовыми артефактами. ↩
-
Бюджет механической усталости: Модель накопленного повреждения, такая как правило Майнера (), способна организовать измеренный спектр нагрузок применительно к специфичным для компонента данным усталости; это аппроксимация, а не универсальный предельный срок отказа. Оцененные нагрузки, неопределенность, свидетельства осмотров и следствия остановки определяют любое подписанное снижение номинала нагрузки и предел циклов. Истекший предел отзывает применимый кейс выпуска, а не молча продлевает службу. ↩
-
Аппаратные блокировки сторожевых таймеров: Сторожевой таймер способен обнаружить пропущенный настроенный сигнал живости. Затем независимо соединенный супервизор запрашивает проверенный останов привода; детектор, проводка, привод, тормоз и отклик нагрузки входят в анализ тайминга и отказов. ↩
-
Приведенная инерция ротора в динамике удара: Зубчатый шарнир может приводить инерцию ротора приблизительно как в координату шарнира. Его вклад в точке контакта зависит также от геометрии кинематики и податливости. Идеальный одномерный расчет исключает этот вклад и нарастание тормозного момента; кейсу выпуска нужны измеренные или смоделированные границы, прежде чем считать его силовой результат физическим максимумом. ↩
-
Динамика циклоидного редуктора: Циклоидные редукторы используют эксцентриковый кулачок и роликовые пальцы, чтобы достигать высоких передаточных отношений при малом люфте. Износ качающегося контакта повышает их крутильную податливость и добавляет фазовое запаздывание между двигателем и звеном, что задерживает тормозной отклик и повышает пиковую контактную силу. ↩
-
Повторяющаяся эрозия как принятый риск: Президентская комиссия по расследованию катастрофы шаттла «Челленджер» Presidential Commission on the Space Shuttle Challenger Accident, 1986 установила, что эрозия уплотнительных колец и прорыв газов повторялись на более ранних полетах и что NASA и подрядчик двигателя «принимали нарастающий риск, видимо, потому, что в прошлый раз им это сошло с рук». ↩
-
Криптографический манифест и аппаратное аттестация кремния: Хранилище OTP/eFuse может закреплять ключ верификации или его дайджест. Изменяемые подписанные манифесты и хэши образов пребывают в защищенном хранилище; PCR TPM накапливают измеренное состояние загрузки, а не хранят вердикт напрямую. При неудачной валидации отозвать разрешение и выполнить оцененный останов. Второй программный банк является приемлемым резервированием, лишь если имеет собственную действительную подпись, кейс выпуска и актуальные физические действующие условия. ↩
Эпистемическая граница
Цель
Сколько полномочий может держать машина, когда свидетельства не способны уладить каждую предпосылку, на которой покоится ее безопасность?
Вступительная глава спрашивала, какие гарантии должна принудительно обеспечивать машина, прежде чем обученное предложение командует физической работой. Предшествующие главы установили архитектурный ответ: независимый путь разрешения реального времени, решающий по свидетельствам с ограниченным возрастом, работающий строго в пределах запаса, не израсходованного задержкой, и опирающийся на проверенное резервирование остановкой. И все же каждая формальная гарантия остается условной от неизмеренных физических предпосылок.
Тормозной сертификат предполагает минимальный коэффициент трения поверхности, который бортовые сенсоры не могут измерить до контакта; барьерный фильтр предполагает неиспорченную оценку состояния и номинальный момент актуатора; а выпуск в эксплуатацию предполагает средовые границы, испытанные на конечной наработке. Когда редкие опасности ускользают от эмпирического наблюдения, инженерная добросовестность требует называть каждую непроверенную предпосылку и ограничивать эксплуатационные полномочия, а не предполагать безопасность по умолчанию. Поскольку каузальная граница никогда не ослабевает, когда свидетельства кончаются, автономные полномочия должны прекращаться ровно там, где кончаются физические свидетельства.
↰ Предварительное требование: Четыре закона из раздела «Четыре фундаментальных закона», которыми эта глава завершается.
Цели обучения
- Оценить, какие утверждения безопасности превышают свидетельства, доступные для конкретной физической машины
- Определить, способен ли детектор идентифицировать опасность до того, как эффективное вмешательство станет невозможным
- Составить записи реестра остаточных утверждений, каждую с ограничением, владельцем и размеренным замыкающим испытанием, из открытых предпосылок выпуска
- Классифицировать открытую предпосылку по отсутствующему наблюдаемому, оценке, теории или охвату, которые закрыли бы ее
- Проследить четыре фундаментальных закона через незнакомую машину и указать, какую предпосылку каждого из них оставляют открытой свидетельства
Эпистемические пределы
У каждого инженерного метода есть эпистемическая граница, где истекают его формальные гарантии. В физическом ИИ эта граница — не просто алгоритмический недостаток; это физическое столкновение между вычислительной задержкой, сенсорной наблюдаемостью и механической инерцией. Масштабирование числа параметров фундаментальных моделей способно дать исключительную семантическую широту, но оно не может согнуть законы движения: с ростом сетей инференсная задержка расширяет коридор реакции, обменивая маневренность на глубину обдумывания.
Закон масштабирования задержки воплощения
Закон масштабирования задержки воплощения — физическое ограничение, гласящее, что масштабирование числа параметров нейронной политики дает убывающую отдачу в эксплуатационной безопасности, если только инференсная задержка не уменьшается пропорционально, ибо физическое расстояние реакции растет линейно с вычислительной задержкой.
- Значение: Устанавливает, что интеллект в физических системах нельзя масштабировать одним лишь добавлением параметров модели, ибо вычислительная задержка прямо ухудшает динамическую устойчивость и пространственный запас хода для остановки.
- Отличие: В отличие от законов масштабирования вычислений в статическом языковом моделировании, где задержка влияет лишь на скорость генерации токенов, масштабирование задержки воплощения напрямую связывает вычислительную задержку с механическими постоянными времени реакции ().
- Типичная ловушка: Развертывание многомиллиардных фундаментальных моделей прямо в контуре замкнутого управления под предположением, что большая семантическая рассудительность компенсирует небюджетированную задержку отклика.
Это напряжение, закодированное в разделе «Закон масштабирования задержки воплощения», показывает, почему одного лишь масштабирования параметров недостаточно для решения задачи безопасности реального времени. Более того, как управляется законом необходимого разнообразия Эшби Ashby, 1956, контроллер не способен регулировать возмущения, которых его сенсорная архитектура не воспринимает. Когда немоделированное возмущение входит в физический объект управления, никакой объем латентных вычислений не компенсирует отсутствующих физических свидетельств.
Паллетная тележка с текущей гидравлической линией переезжает через один проход площадки, где работает складской мобильный манипулятор, и оставляет на бетоне прозрачную пленку жидкости. Бюджет остановки машины предполагает, что пол способен дать трение, которого требует ее достоверное замедление, и на сухом бетоне он дает. Под пленкой может не дать, и ни навигационная камера, ни лидар не отличат пленку от сухого пола. Путь разрешения может уложиться в каждый предельный срок, аренда фрагмента может истечь вовремя, и тормоз может включиться по расписанию, а остановка все равно выйдет за торец стеллажа, ибо отказавшее слагаемое — предпосылка, о которой не докладывает ни один сенсор машины. Отсутствующие свидетельства — это нижняя граница локального трения до начала торможения.
Решение о выпуске из раздела «Кейсы безопасности и утверждения» уже встретилось с этой предпосылкой. Его утверждение C3, тормозное сцепление, было отвергнуто по собственным свидетельствам книги и передано этой главе как открытая предпосылка. Достоверное замедление машины равно меньшему из того, что дают ее тормоза, и того, что дает пол, . Достоверному замедлению 2 m/s², заданному в разделе «Кинетический импульс», нужен коэффициент трения не ниже 0.204. Сухой бетон при 0.60 дает куда больше, поэтому связывают тормоза. Прозрачная пленка при = 0.05 (оба коэффициента иллюстративны; см. Руководство для читателя) дает лишь 0.49 m/s², и связывает трение. На скорости хода 1.3 m/s готовый бюджет раздела «Бюджет остановки складского манипулятора», 997.4 mm на сухом полу, растет на пленке до 2.95 m против свободного расстояния 1.10 m. Предпосылка о трении не стала открытой, когда появилась пленка. Нормальный режим, выбранный в разделе «Огибающие остановки», опирался на эту нижнюю границу трения на каждом проходе, включая сухие, и там тоже ничего ее не измеряло.
У каждого инженерного метода есть граница, где истекают его гарантии. Физическая стена раздела «Четыре фундаментальных закона» — одна такая граница, ибо более крупная обученная модель не может уменьшить ход, который стоит машине ее собственная задержка. Закон необходимого разнообразия Эшби Ashby, 1956 называет другую, ибо контроллер не способен регулировать возмущение, которого его сенсоры не воспринимают. На мобильном манипуляторе масляная пленка — такое возмущение. Контактный предел руки у дверной защелки покоится на предпосылке того же рода: защелка держит при каждой силе ниже контактного потолка руки, а коррозия или износ могут уронить предел текучести защелки ниже этого потолка, пока датчики момента шарниров читают ровно то, что читали бы против исправной защелки. Химический регулятор потока, удерживающий давление линии ниже своего предела, зависит от не сдвинувшегося преобразователя давления, а отложение на мембране может увести этот ноль до тех пор, пока контур регулирует по фантомному показанию, а истинное давление превышает предел.
В каждом случае машина может покинуть свои предположенные условия, пока ее телеметрия остается номинальной. Успешные испытания не способны закрыть такой разрыв, ибо стена наработки, которую выводит раздел «Пределы физических испытаний», ставит частоту редкой опасности за пределы любой практической кампании без отказов. Кейс безопасности должен назвать отсутствующую предпосылку, ограничить эксплуатацию, пока она остается открытой, и указать, какие свидетельства закрыли бы ее. Для каждой открытой предпосылки эта дисциплина спрашивает, что машина может измерить, что ее актуаторы все еще способны предотвратить и какое утверждение должно остаться открытым.
Что метод не может установить
Утверждение выпуска мобильного манипулятора для прохода — цепь звеньев, и какие звенья ей нужны, зависит от опасностей и выбранной защиты. Аргумент должен установить область эксплуатации, измеренные границы актуаторов и остановки, контракты компонентов и независимое разрешение для обученных предложений («Машина в пяти уровнях»). Опасности, контролируемые обнаружением во время выполнения, требуют также измеренного покрытия детектора и своевременного мониторинга. Опасности, контролируемые вместо этого пассивными пределами или эксплуатационными ограничениями, требуют свидетельств, что эти меры держатся на заявленной огибающей нагрузки, износа и наработки. Обширные свидетельства для одного звена не могут компенсировать неподдержанную предпосылку в другом.1
Каждая предпосылка кейса безопасности несет один из пяти статусов Руководства для читателя (установлено измерением или выводом, предположено, решено подотчетным суждением, не поддержано или вне модели угроз). Трихотомия огибающих («Трихотомия огибающих») помещает предпосылку, которую проверяет монитор времени выполнения, в известно-истинное, известно-ложное или неизвестное. Предпосылки, ограничивающие свидетельства здесь, — те, которых не способна проверить ни одна ныне служащая система мониторинга, поэтому ни одна не может стать известно-истинной, и ограничивать эксплуатацию вокруг них должен выпуск, а не монитор. Для основания утверждение об остановочном пути опирается на предположенный коэффициент трения между колесом и полом, который нельзя измерить до начала торможения. Для руки контактный аргумент зависит от заявленной нижней границы прочности защелки и предметов, которых она касается, — границы, решенной инженерным суждением о структурной текучести, — пока настоящая прочность защелки остается неизмеренной между контрольными испытаниями. Для регулятора потока утверждение о давлении предполагает преобразователь, чей ноль не сдвинулся, — предпосылку, которую не способно проверить его собственное показание. Явное именование этих предпосылок не ослабляет запись выпуска. Оно устанавливает физическую огибающую, внутри которой вердикт выпуска обоснован, и вне которой он перестает действовать.
Разделение измерения от суждения фундаментально для системной инженерной дисциплины. Эмпирическое тестирование и статистическая характеристика способны оценить физическую наработку, количественно охарактеризовать шум сенсоров и ограничить параметрическую неопределенность, но ни одно измерение не способно выбрать приемлемый остаточный риск или решить, кто в эксплуатационной среде должен нести этот риск. Такой выбор — подотчетные человеческие решения, которые должны записываться как явные суждения, а не маскироваться под эмпирические находки. Точно так же модель угроз ограничивает действительность записи. Эмпирическое тестирование на номинальной эксплуатации флота и случайных компонентных отказах не дает никаких свидетельств о намеренных противодействующих атаках. Запись о безопасности, показывающая, что зрительный конвейер справляется с шумом сенсоров, размытием объектива и частичными окклюзиями, не дает статистической поддержки утверждениям об устойчивости к противодействующему оптическому проецированию, порче параметров модели или намеренному отказу в обслуживании на внутренней коммуникационной шине.
Возьмем в качестве системной цели иллюстративные — частоту, которую никакой стандарт не назначает этой машине и которую, по стене наработки из раздела «Пределы физических испытаний», одни лишь часы эксплуатации не способны продемонстрировать.2 Остающийся вопрос — что способен добавить к утверждению путь разрешения, когда он действует между предложением и исполнением команды как щит безопасности из раздела «Минимальное вмешательство», и какие из его предпосылок требуют собственных свидетельств.
Аргумент щита условен, а не умножение, применяемое к наблюдаемым инцидентам системы. Число инцидентов флота не может заменить собой частоту предложений, ибо опасные предложения, предотвращенные щитом, в нем никогда не появляются. Для заданного класса опасности пусть — частота опасных предлагаемых действий до разрешения, а — измеренное покрытие перехвата для этого класса. С отдельно ограниченным слагаемым аппаратных отказов и отказов общей причины модель может использовать уравнение «защищенная опасность»:
Соотношение требует действительного оракула предложений, своевременного обнаружения, полномочий актуатора и обоснованного обращения с коррелированными отказами. Оно не дает доверия масляной пленке или ослабленной защелке, которых щит не способен наблюдать, и никакой выпуск не следует из арифметики, пока не подтверждена каждая предпосылка.
Расчет условного щита
Задача: Сто роботов ведут полностью разобранный журнал предложений за один 90-дневный цикл, судимый проверенным контрфактическим оракулом, и журнал не фиксирует ни одного опасного предложения. Если бы покрытие перехвата именованного щита для этого класса опасности было независимо установлено на уровне , уложился бы смоделированный остаток в системную цель ?
Граница предложений: В стационарной пуассоновской модели ноль опасных предложений за
2.16 × 10⁵предложение-часов дают одностороннюю 95-процентную верхнюю границу1.387 × 10⁻⁵.Остаток: При аппаратном остатке и остатке отказов общей причины, принятых равными нулю для этого расчета, уравнение «защищенная опасность» дает
1.387 × 10⁻⁹— выше цели. Покрытие, которого требует цель, составляет не менее0.9999279.Требуемые свидетельства о предложениях: При граница частоты предложений должна упасть до
1 × 10⁻⁵. Ноль разобранных опасных предложений потребовал бы тогда3.00 × 10⁵предложение-часов, или124.822дней для 100 единиц,34.8дня сверх цикла.Системный вывод: Щит меняет системное утверждение лишь для тех классов опасности, которые он способен обнаружить и перехватить вовремя. Частота предложений, условное покрытие перехвата, аппаратные отказы и отказы общей причины требуют отдельных свидетельств. Масляный или материальный отказ вне покрытия сенсорики щита остается в реестре остаточных утверждений.
Когда эмпирическая наработка флота не пробивает астрономическую стену наработки, системную безопасность не спасти простым отступлением в офлайн-математическое доказательство («Рубеж разрешимости формальной верификации»). Формальная верификация безопасности сталкивается с таким же неумолимым эпистемическим пределом: проклятием размерности на непрерывных пространствах состояний. Классический анализ достижимости Гамильтона–Якоби (HJ) решает уравнение в частных производных для множества уровня по дискретизированной сетке пространства состояний, давая точную обратно достижимую трубу и инвариантное относительно управления безопасное множество. Однако его память и вычислительная сложность растут экспоненциально как , где — разрешение сетки по оси, а — размерность пространства состояний. При достижимость HJ сталкивается с непроницаемой «стеной сетки» (Grid Wall): с трактуемой легкостью она решает 3D машину Дубинса или 4D кинематическое транспортное средство за секунды, но требует веков вычислений и эксабайт памяти для 7D кинодинамического транспортного средства, 12D квадрокоптера или 30D мобильного манипулятора. Статистическая верификация на основе семплирования (такая как адаптивное стресс-тестирование и сценарная оптимизация) пробивает экспоненциальную стену сетки, масштабируясь полиномиально как вплоть до 50 измерений и более; однако она покупает разрешимость ценой отказа от детерминированных гарантий безопасности, давая лишь вероятностные границы вероятностно приблизительно корректного (PAC) (), по своей природе слепые к враждебным сингулярностям нулевой меры. Современные нейронные барьерные сертификаты (NBC), синтезируемые инструментами верификации методом ветвей и границ (такими как -CROWN), устанавливают многообещающий промежуточный рубеж, верифицируя прямую инвариантность на 12D–30D робототехнических системах через выпуклые релаксации (). Даже тогда, когда размерность состояния растет до связанных многороботных роев (), времена верификации снова устремляются к неразрешимости, показывая, что формальные методы подменяют время наработки потолками размерности пространства состояний, а не устраняют эпистемические пределы.
Рубеж разрешимости формальной верификации: Время вычислений (секунды, логарифмическая шкала), необходимое для синтеза или верификации безопасных управляющих инвариантов, как функция размерности непрерывного пространства состояний . Достижимость Гамильтона–Якоби (красная) дает детерминированные непрерывные гарантии через уравнения в частных производных на сетке (), наталкиваясь на экспоненциальную стену сетки при . Статистическая верификация на основе семплирования (зеленая пунктирная, ) масштабируется полиномиально до высоких измерений, но дает лишь вероятностные PAC-границы (), слепые к отказам углов нулевой меры. Нейронные барьерные сертификаты, верифицируемые SMT-решателями методом ветвей и границ (-CROWN, темно-синие, ), двигают формальный рубеж через 12D квадрокоптеры, 16D двуногих роботов и 30D мобильные манипуляторы, прежде чем вычислительные пределы масштабирования ограничат связанные многоагентные рои ().
Каждая из этих предпосылок — от трения под пленкой до покрытия щита для класса опасности, которого он может не наблюдать — оканчивается одинаково: названа выпуском и оставлена неразрешенной его свидетельствами. Выпуск, останавливающийся на их именовании, лишь перечислил свои оговорки. Ему нужна запись, превращающая каждую такую предпосылку в ограничение с владельцем и испытанием, способным его снять.
Реестр остаточных утверждений
Отказ в утверждении C3 не убрал предпосылку о трении из машины, и непроверенная предпосылка остается независимо от того, записывает ли ее отчет о безопасности. Реестр остаточных утверждений потребляет манифест выпуска из раздела «Манифест выпуска», извлекая из него каждую предпосылку, которую выпуск оставил открытой или неподдержанной. Открытая запись ограничивает полномочия, пока не пройдет ее предварительно объявленное замыкающее испытание. Реестр отображает каждую такую предпосылку, и каждый неконтролируемый инвариант, на его отсутствующее физическое наблюдаемое, активное сдерживание или эксплуатационное ограничение, ответственного человека и предварительно объявленное замыкающее испытание. Без этих четырех компонентов неразрешенная предпосылка — незаписанный риск, а не запись реестра. Реестр — то место, где принцип «Свидетельства ограничивают полномочия» достигает предпосылок, которые свидетельства не смогли уладить, удерживая полномочия в ограничении всюду, где отсутствуют поддерживающие свидетельства.
Каждая запись связывает неподдержанное утверждение с конкретным неизмеримым физическим наблюдаемым. В машине, движущей массу, обученная политика не способна уладить свойство безопасности, ибо сенсоры не могут преобразовать соответствующее состояние среды, вычислительная подложка не может обработать измерение в предельный срок управления, или физическое взаимодействие нельзя наблюдать до возникновения контакта. Инженер обязан определить отсутствующее наблюдаемое с физической точностью, а не статистическими абстракциями. Охарактеризовать неизвестный отказ как «латентное состояние вне распределения» не дает никакого действенного сигнала контуру разрешения для запуска физического вмешательства. Напротив, указание неизмеренного коэффициента трения поверхности, необнаруженной оптической засветки через матрицу линз камеры или ненаблюдаемой микротрещины в корпусе актуатора идентифицирует точный физический дефицит. Именование отсутствующего наблюдаемого устанавливает границу, где обученный вывод останавливается, а физическая неопределенность начинается.
Масляная пленка дает мобильному манипулятору его первую запись. Предпосылка в том, что каждый пол прохода дает коэффициент трения не менее 0.204 — значения, которого требует его достоверное замедление. Отсутствующее наблюдаемое — трение под прозрачной пленкой, которой навигационная камера и лидар не отличают от сухого бетона. Остановка со скорости хода, помещающаяся в свободное расстояние на сухом полу, выходит за него на пленке, поэтому предел скорости, налагаемый записью, может держаться лишь на полах, чье трение измерено или контролируется.
Открытая запись требует эксплуатационного отклика. Для проходов максимум, что допускает запись, — ограниченный режим 1 m/s на полах в регламенте осмотров площадки. Осмотренный пол дает 0.12, что дает достоверное замедление 1.18 m/s² и потолок 1.09 m/s, так что ограниченный режим лежит ниже своего потолка.3 Маршрут, которого регламент осмотров не покрывает, исключается, либо машина на него не выпускается.
Ограниченный режим требует владельца, способного удерживать его физические предпосылки истинными. Владелец этой записи — служба площадки через свою процедуру при разливе для маршрутов паллетных тележек, которая задает интервал осмотров и называет условие, отзывающее разрешение. Подписанный предел скорости на пути разрешения принудительно обеспечивает ограничение, но утверждение о трении нельзя поддерживать одним лишь значением скорости.
Каждая запись требует замыкающего испытания, объявленного до сбора данных. Для пленки испытание должно квалифицировать новый преобразователь, ибо никакое измерение камерой или лидаром не способно исключить прозрачную пленку, и новые испытания ими не закрыли бы запись. Испытание — детектор пленки на полу, чья доля пропусков ограничена 0,1 % 2 995 испытаниями с заранее внесенными пленками без отказов («Пределы физических испытаний»); пока оно не пройдено, ограничение держится. Меньшая кампания не добирает. Ноль пропусков в 1 000 независимых испытаниях ограничивает вероятность пропуска лишь значением 0.002991 с 95 % достоверностью. Детектор должен также докладывать о пленке достаточно рано, чтобы обнаружение, разрешение и торможение вместе уложились в свободное расстояние, а распределение испытаний, дистанция обнаружения, задержка, ложные срабатывания и трение после обнаружения должны быть объявлены заранее. Рефлекс проскальзывания колеса может ограничить последующее движение, но не способен установить трение до того, как колеса дойдут до пленки.
Тот же проход несет вторую запись. Бюджет остановки защищает неподвижное препятствие. Человек, продолжающий идти к машине сквозь всю остановку, добавляет расстояние, которого бюджет никогда не начисляет («Оценка сквозь окклюзию»), а раздел «Огибающие остановки» показал, что его начисление ограничило бы основание у этого торца стеллажа скоростью куда ниже его скорости хода. Предпосылка в том, что во время остановки никто не подходит к торцу стеллажа, а отсутствующее наблюдаемое — присутствие в поперечном проходе, который скрывает стеллаж. Правило пересечения на площадке, размеченная на полу зона пересечения плюс датчик присутствия у торца стеллажа, — это ограничение, и его владелец — служба площадки. Замыкающее испытание квалифицирует датчик присутствия тем же размерением без отказов.
Станция комплектации добавляет третью запись, и она принадлежит руке. Ее предпосылка в том, что предмет, который рука захватывает и затем передает коллеге под accept_item («Человеческие полномочия над исполнением команды»), — тот предмет, который называет задача. Раздел «От запроса к истекающему предложению» показал, как эта предпосылка отказывает. Тонкостенная красная стеклянная банка рядом с красной кружкой на конвейере выдачи притягивает уверенную привязку, и неверная цель проходит каждую геометрическую проверку, которую применяют планировщик и путь разрешения. Отсутствующее наблюдаемое — идентичность и хрупкость, которых ни камера запястья, ни модель привязки не способны установить до контакта.
Ограничение этой записи состоит из двух частей. Служба площадки допускает на конвейер лишь предметы из объявленного списка предметов станции комплектации, где нет хрупкого двойника, а станция допускает захват лишь когда окно единичного подбора содержит ровно один предмет, так что второй предмет отказывает намерению и отправляет предмет коллеге для ручного подбора. Единичный подбор делает привязку неоднозначной для допускаемых предметов, но не поставляет сведений об идентичности, а ошибочно направленная банка, прибывшая одна, сдерживается лишь процедурой подачи. Этот остаток и есть причина, по которой запись остается открытой. Потолок силы захвата, заданный для самого хрупкого двойника, потребовал бы предела разрушения для каждого предмета, который может прибыть, — само по себе неизмеренную предпосылку, — поэтому реестр на нем не опирается. Владелец списка подачи и правила единичности — служба площадки совместно с профилем задачи. Замыкающее испытание — квалифицированная проверка идентичности на станции, чтение метки или проверка веса и кода, чья доля ложных принятий ограничена 0,1 % с 95 % достоверностью теми же 2 995 испытаниями без отказов, проводимыми здесь на заранее внесенных двойниках.
Раздел «Реестр остаточных утверждений для прохода и станции» ставит три записи рядом. Каждая строка несет четыре компонента, которых требует реестр, так что любую запись можно аудировать без окружающей ее прозы.
| Утверждение и отсутствующее состояние | Механизм опасности | Активное сдерживание и ответственный | Предварительно объявленное замыкающее испытание |
|---|---|---|---|
Тормозное сцепление: каждый пол прохода дает 0.204; трение под прозрачной пленкой не наблюдается. | При = 0.05 достоверное замедление падает до 0.49 m/s², и готовый бюджет на 1.3 m/s растет до 2.95 m против свободного расстояния 1.10 m. | 1 m/s на осмотренных полах ( 0.12, потолок 1.09 m/s); неосмотренные маршруты исключены. Ответственный: служба площадки через процедуру при разливе для маршрутов паллетных тележек. | Детектор пленки на полу с долей пропусков не более 0.1% при 95% достоверности, из 2 995 испытаний с заранее внесенными пленками без отказов, плюс испытания тайминга и свободного расстояния; ограничение держится, пока испытание не пройдено. |
| Идущий человек: во время остановки никто не подходит к торцу стеллажа; присутствие в скрытом поперечном проходе не наблюдается. | Человек, идущий с 1.6 m/s сквозь всю остановку, ограничил бы основание скоростью куда ниже его скорости хода у торца стеллажа («Огибающие остановки»). | Правило пересечения, размеченная на полу зона пересечения плюс датчик присутствия у торца стеллажа. Ответственный: служба площадки. | Квалифицировать датчик присутствия тем же размерением без отказов, 2 995 испытаний без отказов для границы пропусков 0.1%. |
| Идентичность предмета: схваченный предмет — тот, который называет задача; идентичность и хрупкость до контакта не наблюдаются. | Уверенная привязка к тонкостенной стеклянной банке рядом с красной кружкой проходит каждую геометрическую проверку, а захват, нужный керамической кружке, может раздавить стекло. | Подача допускает на конвейер лишь предметы из объявленного списка станции, и ни один из них не является хрупким двойником; единичность допускает захват лишь при одном предмете в окне единичного подбора. Предмет вне списка, прибывший один, сдерживается лишь процедурой подачи. Ответственный: служба площадки совместно с профилем задачи. | Квалифицированная проверка идентичности на станции (чтение метки или проверка веса и кода) с долей ложных принятий не более 0.1% при 95% достоверности, из 2 995 испытаний с заранее внесенными двойниками без отказов; ограничение держится, пока испытание не пройдено. |
Реестр остаточных утверждений для прохода и станции: Три открытые предпосылки за скоростью хода мобильного манипулятора и его подбором. Для каждой реестр называет отсутствующее физическое наблюдаемое, опасность, которую оно допускает, эксплуатационное ограничение и его ответственного, а также предварительно объявленное замыкающее испытание, которое сняло бы ограничение.
Конвейер выпуска записывает каждую запись по фиксированной схеме, и ее поля, единицы и инварианты появляются вместе с другими макетами записей в разделе «Реестр остаточных утверждений».
Все три записи закрываются лишь квалифицированным детектором: детектором пленки на полу для первой, датчиком присутствия у торца стеллажа для второй и проверкой идентичности на станции для третьей. Каждое замыкающее испытание должно поэтому показать, что квалифицированный детектор докладывает вовремя, — два детектора прохода достаточно рано, чтобы путь разрешения успел остановить машину, а проверка идентичности — до того, как станция допустит захват, — и это требование к таймингу имеет собственный физический предел.
Отказы без детекторов
Монитор времени выполнения сам является физической подсистемой. Чтобы работать как практический детектор, он должен удовлетворять трем связанным параметрам: полному охвату распределения отказов, ограниченной доле ложных срабатываний и задержке обнаружения, строго меньшей времени до вреда физической системы. На скорости хода 1.3 m/s готовый бюджет остановки раздела «Бюджет остановки складского манипулятора» оставляет мобильному манипулятору неизрасходованными 102.6 mm свободного расстояния, которые машина проходит за 78.9 ms («Переходы полномочий»). Детектор человека у торца стеллажа, добавляющий к пути наблюдения больше этого, — не детектор для этой опасности. Детектор пленки на полу встречает более строгую форму того же испытания. Его дистанция обнаружения за вычетом хода за время его собственной задержки должна покрывать остановку по сухому полу до края пленки, ибо доклад, пришедший, когда колеса уже на пленке, оставляет остановку 2.95 m против свободного расстояния 1.10 m. Детектор, докладывающий позже, — механизм журналирования после инцидента. Точная классификационная метка, порожденная после пересечения необратимого порога, генерирует диагностические свидетельства, но не способна служить защитой времени выполнения.
Фундаментальный предел обнаружения во время выполнения проистекает из наблюдаемой неразличимости. Рассмотрим два физических состояния мира, и . В состоянии скомандованная траектория актуатора безопасна. В состоянии та же траектория причиняет структурное повреждение или травму человеку, требуя от пути разрешения вмешаться и скомандовать останов. Динамика тела накладывает жесткий предельный срок , определяемый временем отклика актуатора и импульсом системы, после которого физического контакта или механической текучести предотвратить нельзя. Если история телеметрии , которую дает бортовая аппаратура, идентична для и на всем интервале , ни один алгоритм, работающий с этими наблюдениями, не способен надежно отличить безобидное состояние от опасного. Идентичные трассы исключают специфичный для состояния отклик до этого предельного срока. Консервативное действие, выбранное для обоих состояний, или пассивный механический предел могут все еще защитить их, если действительны их собственные допущения о запасе хода и силе.
Идентичная телеметрия до контакта препятствует программному вмешательству до наступления необратимого физического повреждения.
Наблюдаемая неразличимость
Наблюдаемая неразличимость — физическое условие, при котором два различных состояния мира, одно номинальное () и одно опасное (), порождают идентичную сенсорную телеметрию до вреда () вплоть до физического предельного срока действия системы ().
- Значение: Без различающей физической энергии до предельного срока действия своевременная алгоритмическая дифференциация физически и математически невозможна. Масштабирование параметров нейронной модели, увеличение размера датасета или ускорение вычислений инференса не способны разделить состояния, испускающие нулевую различающую физическую энергию до времени до вреда.
- Отличие: В отличие от эпистемической неопределенности или высокой энтропии классификатора (которые сигнализируют, что модель знает о недостатке свидетельств), наблюдаемая неразличимость часто сочетается с высокой выходной уверенностью и почти нулевой энтропией, ибо нейронная сеть отображает испорченные наблюдения в номинальные латентные многообразия.
- Типичная ловушка: Полагаться на программные детекторы аномалий или ошибку реконструкции VAE, чтобы поймать деградацию без детекторов. Когда физика сенсоров ослепляет преобразователь, как это делает пьезорезистивный дрейф кристалла, или опасное состояние лежит вне сенсорного пути, как ослабленная защелка для канала шарнира, детектор аномалий потребляет телеметрию, не несущую никакого следа отказа, и молчаливо отказывает.
В обученной политике восприятия–действия тот же предел проявляется как обучение на шорткатах (shortcut learning). Модель зрение–язык–действие (VLA) Brohan et al., 2023; Brohan et al., 2023 или политика подражания Zhao et al., 2023 минимизирует свою функцию потерь на каких бы то ни было корреляциях, содержащихся в демонстрациях, и там, где трение, прочность материала или инерция полезной нагрузки не наблюдаются, она может выучить некаузальные визуальные признаки, такие как блики на полу или угол освещения, как их прокси. При сдвиге распределения эти прокси отказывают, однако энкодер все еще способен отображать незнакомое наблюдение в известную ему область латентного пространства, так что политика действует с высокой уверенностью и малым разногласием ансамбля. Оценка неопределенности, вычисленная из того же латентного представления — будь то расстояние Махаланобиса, дисперсия dropout или остаток реконструкции, — наследует ту же слепоту и не способна служить независимым детектором. Мозг не способен обнаружить собственный отказ на шорткате, поэтому физическое сдерживание покоится на пути разрешения ниже границы предложения, а не на самооценке модели.
Сенсорное аппаратное обеспечение показывает тот же предел на больших длительностях. Преобразователь давления регулятора потока дрейфует, когда отложения накапливаются на его мембране, а преобразователь, чей ноль уведен вниз, докладывает ту же тенденцию, что и линия, действительно работающая на более низком давлении. Единственный канал докладывает один скаляр, и ни один алгоритм на этом сигнале не отличает изменившийся процесс от деградировавшей калибровки. Без независимого опорного преобразователя или контрольной проверки нулевой точки дрейф необнаружим во время выполнения.4
Ослабленная защелка на двери — случай той же границы для руки, и более быстрый. Пока защелка не текла, датчики момента шарниров читают те же моменты против ослабленной защелки, что и против исправной, ибо обе несут одну и ту же контактную силу, и канал не держит следа оставшейся прочности. Текучесть необратима, и никакая команда, выданная после нее, не восстанавливает защелку, поэтому более быстрый классификатор на канале момента шарнира ничего не защищает. Обоснованные отклики поставляют то, чего этому каналу недостает. Контрольное испытание устанавливает прочность защелки на заявленный интервал, и оно покрывает интервал лишь если коррозия и износ не способны уронить предел текучести ниже контактного потолка между двумя испытаниями, — скорость, которую должен поддерживать журнал обслуживания, а не канал момента. Пассивный податливый элемент в запястье вместо этого удерживает контактную силу ниже заявленной нижней границы прочности защелки на механически ограниченном ходе, так что предпосылка больше не зависит от состояния защелки. Уравнение «пассивная податливость» дает потолок жесткости этого элемента, с , заданным заявленной нижней границей, который держится лишь если элемент несет всю контактную нагрузку, ход не может пройти свой упор, а испытания износа и удара поддерживают модель.5
↰ Предварительное требование: Отказы, необнаружимые сенсорной телеметрией, ставят под вызов контракты наблюдений, сформулированные в разделе «Контракт наблюдений».
Выброс на скважине Deepwater Horizon отказал способом, противоположным столкновению в Темпе из раздела «Когда граница отказывает», где сенсоры обнаружили пешехода, но спроектированное подавление удержало торможение, которого требовало то состояние. В выбросе защитное устройство действовало, но по состоянию, о котором не докладывал ни один сенсор. Более быстрый запуск или более широкие полномочия не изменили бы исхода, ибо ни одно измерение не разделяло состояние, для которого защита была квалифицирована, и фактическое. Более своевременное правило отклика и восстановленный резервный тормозной путь адресуют отказ вроде случая в Темпе. Лишь квалификация и сенсорика, распространенные на каждое состояние, с которым может встретиться защита, способны починить другой род — отказ без детекторов, который описывает этот раздел и который ставит на проходе масляная пленка.
Отказ срезного превентора Deepwater Horizon (2010)
Контекст: 20 апреля 2010 года скважина Макондо в Мексиканском заливе выбросилась под буровой платформой Deepwater Horizon. Последним физическим барьером сдерживания был подводный превентор (BOP) — блок гидравлических клапанов и глухих срезных превенторов массой около тонн, закрепленный на устье скважины примерно в под поверхностью U.S. Chemical Safety and Hazard Investigation Board, 2014.
Механизм: Взрывы, вероятно, активировали автоматическую систему «мертвая рука» превентора, которая должна была закрыть глухой срезной превентор, разрезать бурильную трубу и загерметизировать скважину. К тому моменту бурильная труба внутри превентора выгнулась от центра. Перепад давления между внутренней и наружной сторонами трубы поместил ее в эффективное сжатие — механизм потери устойчивости, которого прежние расследования не идентифицировали. Превентор не был спроектирован на разрезание трубы вне центра. Превентор проколол и частично перерезал трубу, но не смог полностью закрыться и загерметизировать скважину.
Последствия: Поток через проколотую трубу возобновился быстро. Одиннадцать членов экипажа погибли, платформа затонула примерно через 36 часов после взрывов, и около 5 миллионов баррелей нефти вылилось в Мексиканский залив U.S. Chemical Safety and Hazard Investigation Board, 2014.
Ответные меры: U.S. Chemical Safety Board рекомендовал изменения в конструкции, испытаниях и надзоре за превенторами. Его расследование также нашло два случая ошибочного монтажа проводки и два отказа резервных батарей в системах управления глухим срезным превентором.
Системный урок: Положение трубы внутри превентора было состоянием, о котором не докладывал ни один сенсор, и превентор все равно действовал по нему ( для центрированной и выгнутой трубы). Его квалифицированная геометрия резания не покрывала фактическое условие. Защита должна быть квалифицирована через каждое физическое состояние, с которым она может встретиться, включая положение трубы, и через независимые отказы управления, задокументированные CSB.
Когда у режима отказа нет практического детектора, остальные отклики — ограничить полномочия актуатора под проверенной моделью силы или запаса хода, сузить область эксплуатации, добавить независимую сенсорику или запланировать контрольные испытания. Предел силы опирается на эту проверенную модель, ибо ISO 10218 и ISO/TS 15066 действуют в своих областях применения промышленных роботов и не дают универсального предела силы для этой машины. Активная сенсорика сама является исполнением команды. Небольшое дрожание колес — активный зонд для пленки, — измеряет сцепление лишь там, где колеса уже стоят, поэтому не способно закрыть запись о трении. Поскольку зонд не должен проскальзывать за зарезервированный запас хода, независимый путь разрешения должен допускать каждую команду зонда в отдельно проверенной огибающей энергии, контакта, запаса хода и тайминга и выбирать согласованное по состоянию резервирование, когда нужная граница недоступна. Если ни одна из этих мер не способна поддержать утверждение, эксплуатация должна быть удержана.
Кейс безопасности должен задокументировать эти пробелы. Раздел «Два предела утверждения» отмечает, где аргумент кончается. Реестр остаточных утверждений записывает слепую зону детектора, определяя множество физических состояний, порождающих неразличимые наблюдения, наряду с максимальной длительностью наработки, допускаемой между физическими контрольными испытаниями. Трактовать необнаружимый отказ как решенную задачу времени выполнения подрывает действительность кейса безопасности. Сохранение точной границы, где сенсорика останавливается, вынуждает инженерную организацию опираться на физические ограничения, а не на программный оптимизм.
Два предела утверждения: Панель (a) показывает состояния с идентичной телеметрией до предельного срока. Ограничение скорости полезно лишь с поддержанной огибающей торможения и свободного расстояния. Панель (b) показывает наработку без событий, требуемую для утверждения о редкой частоте в выбранной пуассоновской модели; аргумент барьера требует также наблюдаемого состояния, выполнимого управляющего действия и действительных допущений о тайминге.
Каждый режим без детекторов все еще оставляет обоснованный отклик, и раздел «Таксономия физических отказов без детекторов» ставит четыре из них рядом.6
| Отказ и отсутствующее состояние | Почему существующий канал может его пропустить | Дефицит предельного срока или свидетельств | Обоснованный отклик |
|---|---|---|---|
| Дрейф датчика давления: нулевое смещение меняется со старением или отложениями. | Один канал не способен отделить истинное изменение давления от собственного дрейфа смещения. | Дрейф может длиться, пока процесс не достигнет своего предела давления; детектору нельзя доверять без второго опорного преобразователя. | Независимый откалиброванный канал давления, контрольное испытание и расчетный предохранительный путь. |
| Потеря прочности защелки: коррозия или износ роняют предел текучести защелки ниже контактного потолка. | Датчики момента шарниров читают ту же контактную силу против ослабленной защелки, что и против исправной. | Прочность защелки не измеряется между контрольными испытаниями, а текучесть необратима, поэтому позднейшая команда не восстанавливает защелку. | Пассивный податливый элемент, размеренный уравнением «пассивная податливость» по заявленной нижней границе прочности защелки, либо контрольные испытания защелки. |
| Потеря потока ротора: отдаваемый момент отличается от оценки по току. | Ток статора сам по себе не измеряет постоянную момента после повреждения магнита. | Ось под гравитационной нагрузкой может иметь мало времени на останов после потери доступного момента. | Измерять момент или состояние ротора, снижать номинал в пределах испытанных границ и проверять путь удержания или контролируемой остановки. |
| Сдвиг обученного восприятия: оптический артефакт принимается за известную сцену. | Уверенность модели может оставаться высокой, даже когда физическая сцена отличается. | Одна лишь уверенность или ошибка реконструкции не ограничивает запас хода или отклик остановки. | Независимые проверки дальности/запаса хода и допущенная огибающая движения, с записью остаточных слепых зон. |
Таксономия физических отказов без детекторов: Четыре режима отказа — в преобразовании, контакте, приводе и обученном восприятии, — чьи безопасные и опасные состояния выглядят одинаково для существующего канала до времени до вреда. Для каждого таблица дает, почему канал его пропускает, какой предельный срок или свидетельства он не способен выдержать, и отклик, который все еще поддерживает утверждение.
Каждая строка проваливает испытание практического детектора, ибо существующий канал дает идентичные наблюдения для безопасного и опасного состояния, пока не пройдет предельный срок. Каждый обоснованный отклик поставляет то, чего этому каналу недостает: второй опорный преобразователь, пассивный предел нагрузки, прямое измерение момента или независимую проверку дальности. Что это за отсутствующий элемент и может ли он быть построен, решает род пробела, который записывает каждая запись реестра.
Что изменило бы эти ответы
Трем записям реестра остаточных утверждений мобильного манипулятора недостает одного и того же элемента — квалифицированного детектора для состояния, о котором не докладывает ни один сенсор в эксплуатации. Сортировка каждого записанного пробела по отсутствующему превращает реестр из списка оговорок в инженерную повестку, и записанный пробел попадает в один из четырех классов, определяемых отсутствующим элементом. Он проистекает из неизмеренного наблюдаемого, когда истинное физическое состояние (такое как скрытый внутренний дефект) нельзя отличить по данным сенсоров до предельного срока действия; из дефицита оценки, когда хвостовая вероятность отказа не может быть ограничена, ибо эти редкие события требуют неразрешимой физической наработки; из теоретического дефицита, когда у обученной политики нет ограниченного соотношения между условиями обучения и устойчивостью исполнения; или из несоответствия охвата, когда целевое утверждение превышает то, что системная архитектура физически способна поддержать. Все три записи машины принадлежат первому классу. Больше испытаний модели привязки на станции комплектации или больше пробегов остановки на сухих полах рассматривали бы их как дефициты оценки, которыми они не являются. Именование отсутствующей способности определяет точное физическое или математическое требование, которое сняло бы запись.
Закрытие пробела из неизмеренного наблюдаемого требует нового физического измерения, разделяющего ранее неразличимые состояния в пределах предельного срока пути разрешения. Для пленки программный фильтр или обученный оценщик на навигационной камере и лидаре не способны быть этим измерением, ибо они потребляют те же наблюдения, которые уже не разделяют пленку и сухой пол. Детектор пленки на полу должен откликаться на пленку через независимый физический канал, и он закрывает запись лишь если выдерживает требование к таймингу раздела «Отказы без детекторов», держит ограниченную долю ложных срабатываний и отказывает независимо от камер.
Закрытие дефицита оценки требует заменить сырые счетчики выборок оценщиками, чьи смещение и дисперсия могут быть ограничены аналитически. Больше записей ненарушенной эксплуатации или прогоны симулированных эпизодов, чья точность в хвосте не проверена, не способны ограничить хвостовую частоту. Схема важностного семплирования или адаптивного стресс-тестирования способна, если она демонстрирует консервативные оценки на эталонных распределениях с известным ответом и докладывает эффективную независимую наработку, а не сырые счетчики испытаний. Десять тысяч симулированных траекторий, исследующих одну локальную область поверхности столкновения, мало что говорят о других, поэтому эффективный размер выборки должен быть оценен по весам и их зависимости (о хвостовых границах высоких квантилей и моделировании экстремальных значений см. раздел «Теория экстремальных значений и хвостовой риск»).
Закрытие теоретического дефицита требует ограниченного аналитического утверждения в паре с механизмом времени выполнения, проверяющим его предпосылки. Для политики, обученной подражанием или обучением с подкреплением, дефицит — отсутствие какой-либо гарантии ограниченных выходов при сдвиге распределения, и ни асимптотическая сходимость, ни граница, опирающаяся на непроверяемую константу Липшица, его не закрывают. Теория должна указать инвариант, который она гарантирует, и область поддержки, на которой он держится, а машина должна нести монитор, помечающий, когда ее состояние покидает эту поддержку, с ограниченными ошибкой оценщика и задержкой решения и проверенной согласованной по состоянию остановкой.
Чтобы предотвратить проникновение исследовательского оптимизма в кейс безопасности, каждый кандидатный прорыв должен проходить оценку по предварительно объявленному замыкающему испытанию. Испытание определяет отсутствующее звено аргумента, числовой порог, требуемый для достаточности, и независимые свидетельства, необходимые для его проверки. Прорыв проваливает испытание, если он лишь перемещает допущение в менее видимый слой системы. Замена нейросетевого контроллера барьерной функцией управления, чей сертификат предполагает совершенно известную линейную динамику, не закрывает теоретический дефицит. Она лишь перемещает немоделированную динамику из непрозрачных весов сети в производную барьера. Кандидатный прорыв останавливается до того, как он способен изменить вердикт безопасности, всякий раз, когда его валидация опирается ровно на те непроверенные свойства, которые он был призван установить.
Направления исследований в физическом машинном обучении должны судиться исключительно по тому, превращают ли они открытое остаточное утверждение в проверенные свидетельства, способные изменить эксплуатационный вердикт. Общие улучшения на таблицах лидеров бенчмарков, такие как снижение средней ошибки слежения на 3 процента или более высокая награда на стандартном наборе задач, не дают никаких свидетельств к закрытию неподдержанной связи безопасности. Исследовательский проект становится релевантным для физического развертывания лишь тогда, когда его результат нацелен на конкретную запись реестра утверждений — будь то поставкой отсутствующего преобразователя, ограничением хвостового оценщика или снабжением проверяемым во время выполнении доказательством устойчивости. Если прорыв улучшает среднюю производительность, но оставляет слепую зону детектора или хвостовую неопределенность неизменными, пределы полномочий машины остаются ровно там, где были.
Некоторые пробелы не способно закрыть ни одно известное средство измерения, схема семплирования или математическая каркасная теория. Когда физические законы, вычислительные пределы или экономические ограничения исключают необходимое измерение или доказательство, кейс безопасности не может оставаться приостановленным в ожидании будущего открытия. Сужение физических полномочий актуатора, ограничение области эксплуатационного назначения (ODD) или отказ эксплуатировать машину — не признание исследовательского поражения. Это инженерное решение. Классическое отказоустойчивое проектирование пришло к тому же выводу: надежная эксплуатация происходит из порогов самоконтроля и структурной изоляции, сдерживающих отказы, а не из устранения каждого возмущения. Рука с податливым запястьем, ограничивающим контактную силу ниже заявленной нижней границы прочности защелки, не нуждается в обнаружении ослабленной защелки, чтобы сохранить ее целой. Реестр остаточных утверждений записывает границу проверяемого знания, а путь разрешения и пассивные пределы машины принудительно обеспечивают ограничения, удерживающие последствия того, что остается неизвестным.
Реестр, испытание практического детектора и четыре класса пробелов до сих пор применялись к машинам, чьи записи уже существовали. Метод должен держаться и для машины без записей, где инженер должен решить, какие предпосылки измерить, какие ограничить, а какие оставить открытыми.
Обобщение на незнакомые системы
Примененные по порядку к машине, ранее не рассматривавшейся, четыре закона из раздела «Четыре фундаментальных закона» изолируют ее опасности до подачи питания на аппаратуру. Рассмотрим автоматизированную упаковочную ячейку, спроектированную для готовых блюд. Машина перемещает жесткие пластиковые лотки по линейному рельсу, прижимает нагретую запаивающую головку к кромкам лотков для соединения барьерной полимерной пленки и впрыскивает пар под давлением в полости продукта для бланширования ингредиентов непосредственно перед запайкой. Эта ячейка связывает все три класса машин из раздела «Три класса машин» в одном корпусе: лоток как движущаяся масса, запаивающая головка как контактная сила, а пар как тепловой поток.
Первый закон спрашивает, чего ячейка не может отменить, поэтому оценка начинается с каталогизации необратимых изменений состояния, которые ячейка способна произвести, и физических границ, которые ими управляют. Нагруженный пищевой лоток, проезжающий по линейному транспортному рельсу, несет импульс. Когда лоток ударяет о препятствие, кинетическая энергия рассеивается через пластическую деформацию контейнера и структурный прогиб рамы — переход состояния, который нельзя обратить командой приводному двигателю на реверс. Механизм запайки вводит вторую необратимую границу. Актуатор прижимает алюминиевую запаивающую головку при к кромке лотка, расплавляя полимерные связующие слои. Если актуатор прикладывает силу сверх предела текучести стенки контейнера при сжатии, кромка теряет устойчивость, разрушая герметичную геометрию. Подсистема пара вводит третью необратимую границу через энтальпийный обмен. Пар, подаваемый при , отдает тепло продукту; температура продуктовой зоны может оставаться ниже лишь под измеренной моделью теплоотдачи и выдержки. После денатурации белков и разрыва клеточных стенок при избыточном тепловом воздействии охлаждение камеры не восстанавливает текстуру продукта.
Поскольку импульс лотка уже задан и необратим, путь разрешения должен действовать до того, как каретка израсходует свой запас хода. Рассмотрим, с иллюстративными значениями на всем протяжении, линейную каретку массой , транспортирующую нагруженный лоток с номинальной скоростью к станции оптического контроля, чей механический затвор дает физический запас хода до контакта с жестким упором рамы. Над головой расположена зрительная система, обнаруживающая закрывающийся контрольный затвор. Контроллер командует электромагнитным тормозом пути с достоверным замедлением — значением, предполагающим, что трение колодок и рельса остается таким, как испытано. Чтобы определить, способна ли бортовая зрительная система остановить каретку до удара, требуется вычислить предтормозную задержку по всему пути от наблюдения до торможения: оптическая экспозиция и интеграция со строчной разверткой (), передача прямого доступа к памяти (DMA) и инференс нейронного детектора (), задержка шины арбитража безопасности CAN-FD () и время нарастания потока соленоида тормоза (), в сумме .
За эту задержку каретка проходит вслепую , что само по себе превышает запас хода , поэтому физический предельный срок пропущен до начала торможения. Когда соленоид наращивает поток и механические колодки вступают в контакт, замедление поглощает дополнительное расстояние . Остановочный путь раздела «Кинетический импульс» — сумма этих двух слагаемых: слепого хода, растущего линейно со скоростью, и тормозного пути, растущего с ее квадратом, так что . Эта остановка превышает физический запас хода с дефицитом , и машина не способна остановиться перед смоделированным затвором на этой скорости, опираясь на этот зрительный путь.
Второй закон спрашивает, что показали обученные инициаторы ячейки. Три из них предлагают здесь действия, по одному в каждой области. Зрительная модель выводит содержимое лотка, предлагая скорости транзита каретки; мультимодальная сеть оценивает толщину упаковочной пленки, предлагая усилия запайки и длительности выдержки; а термический оценщик предлагает длительности импульсов парового клапана по входной температуре продукта. Действия каждого инициатора выбирают часть того, что он наблюдает дальше («Эндогенный опыт»). Более медленная каретка меняет смазанность движения и тайминг кадров, которые видит зрительная модель; более долгая выдержка меняет пленку, которую читает следующая оценка толщины; а импульс пара меняет температуру продукта, которую получает термический оценщик. Их компетентность поэтому простирается лишь до состояний, которые покрыла оценка в замкнутом контуре, и вопрос для этой ячейки — содержит ли целевая ODD ее протокола оценки («Журналы оценки») состояния, которые допустит эксплуатация. Ограничение, наложенное после обучения, само является изменением эксплуатационных условий. Если демонстрации собирались на номинальной скорости транзита, режим со сниженным номиналом, которого требует утверждение выпуска ячейки, перемещает зрительную модель в условия, которых ее оценка никогда не семплировала, так что ограничение, сокращающее остановку, открывает и режим без свидетельств. Либо оценка семплирует ограниченный режим до выпуска, либо утверждение выпуска записывает этот режим как открытую предпосылку.
Третий закон помещает эти предложения под разделение полномочий, которое инициаторы не способны задержать или исказить. Путь разрешения не дает предложениям дойти до актуаторов напрямую. Его независимая кинематическая проверка на следит за оптическими энкодерами вдоль рельса, допуская скорость каретки лишь там, где покрытие дальномера, измеренный запас хода затвора и проверенный путь остановки поддерживают огибающую. Для запаивающей головки механический ограничитель силы удерживает передаваемую силу на выбранных — потолок, который держится, лишь пока держится калибровка ограничителя. Для системы подачи пара независимый температурный путь закрывает паровой клапан, когда снятая температура продуктовой зоны достигает или выдержка достигает . Обученная политика сохраняет полномочия оптимизировать пропускную способность и качество запайки в этих границах, но путь разрешения сохраняет исключительные полномочия разрешить физическое исполнение.
Четвертый закон превращает то, что поддерживают свидетельства, в утверждение выпуска и называет то, что оно оставляет открытым. Протокол свидетельств способен поддержать ограниченное кинетическое утверждение после испытаний покрытия дальномера, запаса хода затвора и торможения. Прошивочное ограничение скорости размерено тем же остановочным путем. Требование, чтобы остановка укладывалась в физический запас хода с запасом безопасности , накладывает ограничение . Снижение рабочей скорости укорачивает оба слагаемых, и снижение номинала втрое, с до прошивочного ограничения , сжимает слепой ход линейно с до , тогда как тормозной путь падает в девять раз с до . Совокупная остановка укладывается в порог , сохраняя физический запас . Одновременно кинетическая энергия каретки () падает квадратично на 88,9 %, с до .
Сборка протокола свидетельств вскрывает также утверждения, остающиеся неподдержанными. Чтобы оценить герметичность запайки, инженерная команда испытывает зрительную модель, инспектирующую оптическое рассеяние через паровую камеру на предмет микроразрывов запаивающей пленки. Внутри камеры локальная конденсация пара создает оптические рефракционные картины, имитирующие дефекты пленки и одновременно маскирующие истинные проколы. Поскольку в ячейке нет независимого физического сенсора, измеряющего целостность запайки пленки в реальном времени под плотным паром, это утверждение не имеет практического детектора. Пометка этого звена в реестре утверждений как не имеющего детекторов и неподдержанного — не упущение в документации, а точное утверждение того, что свидетельства способны обосновать.
Остановка со сниженным номиналом поддерживает поэтому кандидатный ограниченный режим для транспортировки на , при условии что заявленные 64 мс сквозной задержки, достоверное замедление и запас хода проверены вместе. Запайка и термическая обработка остаются условными от испытаний ограничителя силы, отсечки, пределов материала и независимого пути отказов. Автономная приемка упаковки отвергается, ибо пар способен скрывать дефекты пленки от доступного зрительного сенсора, а пример не установил целостность запайки независимо. Это звено могло бы быть закрыто контролем на утечку после охлаждения или по падению вакуума, испытанным аргументом материала и процесса, пленкой с самопоказанием или обязательным последующим контролем. Модель пропускной способности не заменяет этих физических свидетельств.
Оценка ячейки не начиналась с архитектуры модели, обучающих функций потерь или результатов бенчмарков. Она начиналась с физического тела, где масса, сила и энергия создают необратимые изменения состояния, и закончилась протоколом свидетельств, помечающим ее открытые связи и ограничивающим полномочия тем, что поддерживают свидетельства. Нейронная сеть, предсказывающая высокую вероятность безопасной остановки, все равно разобьется, если тормоза не успеют включиться до исчерпания запаса хода.
Что оставляют открытым четыре закона
Работающая машина заканчивает книгу отказом. По свидетельствам книги арбитр раздела «Полный разбор случая» подписывает REFUSE на всех шести утверждениях, ибо каждое опирается на предпосылку, которую записи оставляют иллюстративной или неизвестной. Измерения раздела «Измерения, сдвигающие вердикт к COND» сдвинули бы этот вердикт лишь часть пути. Когда они поддержат предпосылки, которые улаживают, максимум, что мог бы подписать выпуск, — COND для названной части огибающей, покрывающей движение по проходам в ограниченном режиме 1 m/s на осмотренных полах, дверь на охраняемом подходе и передачу коллеге. Нормальный режим 1.3 m/s остался бы неподписанным, ибо он опирается на нижнюю границу трения, которую масляная пленка оставляет открытой. Под любым вердиктом три записи раздела «Реестр остаточных утверждений для прохода и станции» остаются открытыми, каждая со своим владельцем и замыкающим испытанием, и все три — неизмеренные наблюдаемые, которых способен закрыть лишь квалифицированный детектор: детектор пленки на полу, квалифицированный датчик присутствия у торца стеллажа и квалифицированная проверка идентичности на станции комплектации. Ни одна из них не является несоответствием охвата или теоретическим дефицитом. Полномочия машины останавливаются там, где говорит реестр.
Этот вердикт — четыре закона, примененные к одной машине, а упаковочная ячейка пронесла те же законы через машину, которую книга не рассматривала. Каждый закон также возглавлял одну часть этой книги, и каждая часть передавала дальше записи, излагающие собственные условия. Вместе эти записи несут ответ на вопрос, с которого книга открылась, и они также отмечают, где этот ответ останавливается. Раздел «Замкнутая каузальная петля» рисует петлю, которую они защищают. Мозг предлагает, путь разрешения допускает или отвергает каждое предложение по свежему состоянию, а Тело доставляет допущенную команду через Границу в Мир, который продолжает эволюционировать независимо от того, наблюдает ли его какой-либо уровень.
Замкнутая каузальная петля: Мозг предлагает через границу предложения, а путь разрешения в Нервной системе допускает, изменяет или отвергает каждое предложение до того, как Тело действует. Ток Тела становится силой и движением на Границе, Мир эволюционирует, а Граница возвращает измерения с моментами захвата пути разрешения и Мозгу. Не каждое состояние Мира достигает сенсора. Огибающая управления окружает все пять уровней и меняется в масштабе времени выпусков, а не циклов управления. Контур разрешения 1 кГц — одна реализация, а не универсальная частота.
Раздел «Четыре закона и что они оставляют открытым» связывает каждый закон с записями, которые его несут, предпосылкой, которую его свидетельства не всегда способны уладить, и ограничением, которое держится, пока предпосылка остается открытой. Числа, которых требует каждая строка, приходят от конкретной машины и ее протоколов пределов, а не из таблицы.
| Закон | Часть | Записи, которые его несут | Предпосылка, которую не всегда способны уладить свидетельства | Что ограничивает эксплуатацию, пока она открыта |
|---|---|---|---|---|
| Необратимость | I («Физическое тело», «Когнитивный мозг», «Нервная система») | Протоколы пределов («Физическое тело»); пределы инициатора («Когнитивный мозг»), которые входят в протокол передачи («Нервная система») | Каждый измеренный предел, такой как трение пола, полезная нагрузка, начало торможения или возраст наблюдения, все еще держится при нынешних условиях | Потолок скорости или силы, размеренный по достоверному пределу, аренда, выведенная из бюджета остановки, и резервирование, достижимое из текущего состояния |
| Эндогенные данные | II («Физические данные», «Обучение политики», «Оценка в замкнутом контуре») | Протокол происхождения демонстраций, манифест политики, протокол оценки | Состояния, в которые входит машина, лежат внутри целевой ODD, которую семплировала оценка в замкнутом контуре | Эксплуатация, ограниченная целевой ODD, с монитором времени выполнения на каждой границе, которую можно контролировать |
| Предложение — не разрешение | III («Сенсорное восприятие», «Пространственная память», «Обоснованное намерение», «Планирование траекторий», «Обеспечение безопасности», «Размещение на кремнии») | Контракт наблюдений, протокол оценки, аренда намерения, протокол траектории, протокол принудительного обеспечения, протокол размещения | Путь разрешения видит свежее, различимое состояние и укладывается в свой предельный срок под нагрузкой | Отказ и лестница резервирования; истекшая аренда или устаревшие свидетельства убирают разрешение, не дожидаясь инициатора |
| Свидетельства ограничивают полномочия | IV («Вмешательство супервизора», «Верификация», «Выпуск в эксплуатацию») | Протокол полномочий, протокол отказов, манифест выпуска и реестр остаточных утверждений этой главы | Предпосылки утверждения выпуска все еще держатся после выпуска | Условный вердикт с действующими условиями и запись реестра, ограничивающая полномочия, пока не пройдет ее замыкающее испытание |
Четыре закона и что они оставляют открытым: Каждый закон возглавляет одну часть книги и записи этой части его несут. Две последние колонки называют предпосылку, которую его свидетельства не всегда способны уладить, и ограничение, которое держится, пока предпосылка открыта, — для конкретной машины, а не как универсальный аппаратный пол.
Четыре решения удерживают ограничения последней колонки таблицы действенными. Во-первых, сохранять каждую открытую запись через обновления модели, пока предварительно объявленное замыкающее испытание не поставит свидетельства. Во-вторых, сохранять обученные выходы как предложения и поддерживать независимо проверенные путь разрешения и путь резервирования, чьи процессор, период планирования, покрытие сенсоров и отклик актуатора следуют измеренным предельным срокам объекта управления. В-третьих, использовать пассивные пределы лишь там, где их путь нагрузки, ход, износ и последствия остановки испытаны. В-четвертых, требовать от названных инженерных и эксплуатационных владельцев подписания условий выпуска и определения измерений, отзывающих полномочия. Вниз по этой колонке каждый закон оканчивается одинаково: ограничением, которое держится, пока свидетельства не снимут его, а не гарантией, которая держится независимо от свидетельств.
Заблуждения и ловушки
Некоторые опасности ненаблюдаемы через доступные сенсоры, а некоторым утверждениям требуется больше наработки, чем способно накопить проектирование. Оба предела должны формировать эксплуатационные полномочия, а не исчезать в балле уверенности.
↰ Предварительное требование: Разрыв между проверенными моделями и немоделированным трением ставит под вызов кейсы безопасности в разделе «Кейсы безопасности и утверждения».
Заблуждение и ловушка
Ловушка: Полагаться на одно лишь зрительное восприятие, когда физическая опасность наблюдаемо неразличима.
Мобильный манипулятор приближается к прозрачной пленке гидравлической жидкости, которую его навигационная камера и лидар не отличают от сухого бетона, порождая наблюдаемую неразличимость. Когда колеса входят в пленку и буксуют без сцепления, проскальзывание обнажает изменившуюся поверхность лишь после того, как предположенное остановкой замедление исчезло. Визуально чистый путь ничего не говорит о трении, которого требует допущенная скорость. Эксплуатационная огибающая должна учитывать это ненаблюдаемое условие через обоснованные ограничения скорости или независимо проверенную сенсорику. Реестр остаточных утверждений должен сохранять допущение о трении и его меру сдерживания, а не трактовать отсутствие визуальных свидетельств как свидетельства сцепления.
Заблуждение и ловушка
Заблуждение: Измерений температуры статора и тока достаточно, чтобы обнаружить деградацию потока магнитов ротора.
Строка о потоке ротора раздела «Таксономия физических отказов без детекторов» уже называет этот пробел. Момент подчиняется («Физическое тело»), поэтому, когда повреждение магнита роняет , привод все еще докладывает скомандованный ток и ожидаемое джоулево тепло, пока шарнир отдает меньше момента, чем подразумевает этот ток. Номинальный ток не является доказательством полномочий момента, поэтому квалификация должна проверять способность к моменту независимо, а путь удержания не должен предполагать исходный момент.
Заблуждение и ловушка
Заблуждение: Массивная облачная симуляция способна заменить физическую наработку при сертификации безопасности в открытом мире.
Команда гоняет миллиарды симулированных часов в облаке, чтобы обойти стоимость физической наработки. Свидетельства симуляции действительны лишь для собственной модели симулятора («Режимы свидетельств»), а симулированный пол с трением осмотренного бетона ничего не говорит о прозрачной пленке («Что оценка не может установить»). Повторы внутри этой замкнутой модели не добавляют свидетельств о физике, которую она опускает, поэтому они не способны провалидировать точность sim-to-real (переноса из симуляции в реальность) против условий развертывания. Симуляция остается полезной для логических проверок и регрессий, тогда как физическим утверждениям безопасности требуются также измерения или проверенные эксплуатационные огибающие для машины. Кейс выпуска должен различать симулированные свидетельства и свидетельства того, что его допущения держатся на физической системе.
Итоги
На каузальной границе («Каузальная граница») вычислительное решение становится частью продолжающегося, необратимого физического процесса. Архитектура, развитая на протяжении этой книги, связывает эту физическую необратимость с измеренными бюджетами, явными интерфейсами, независимым принудительным обеспечением и подотчетными решениями о выпуске. Ее рубеж лежит в предпосылках, от которых эти механизмы все еще зависят, но которые не способны полностью наблюдать или верифицировать. На работающей машине арифметика бюджета остановки не изменилась, когда появилась масляная пленка, но одно из ее слагаемых с самого начала покоилось на полу, которого ничего не измеряло, и необратимость сделала это неизмеренное слагаемое столь же обязывающим, как любое измеренное. Инженерная запись должна обнажать такие пределы и позволять им ограничивать эксплуатацию столько, сколько работает машина, а не только в день подписания выпуска. Инженерное дело воплощенного интеллекта требует знать, когда доступных свидетельств достаточно для действия, а когда нет.
Эпистемическая граница и то, что оставляют открытым законы
- Открытая предпосылка ограничивает полномочия: Реестр остаточных утверждений берет каждую предпосылку, которую манифест выпуска оставил открытой, и дает ей отсутствующее наблюдаемое, ограничение, владельца и замыкающее испытание, объявленное заранее. На проходе запись о трении удерживает любой выпуск в его ограниченном режиме на осмотренных полах, пока детектор пленки на полу не пройдет это испытание.
- Поздний детектор — лишь регистратор: Детектор защищает от опасности, лишь если его задержка помещается в неизрасходованный остановкой запас. Когда безопасные и опасные состояния дают идентичную телеметрию до предельного срока действия, ни один алгоритм не разделяет их вовремя, и нести утверждение должны пассивная податливость, ограниченная огибающая или второй физический канал.
- Испытания не достигают частоты редкой опасности: Стена наработки из раздела «Пределы физических испытаний» ставит частоту редкой опасности за пределы любой практической кампании без отказов. Щит между предложением и исполнением команды заслуживает доверия лишь для классов опасности, которые он способен наблюдать и перехватить вовремя, а его частота предложений, покрытие и слагаемые отказов общей причины требуют собственных свидетельств.
- Исследование имеет вес, когда закрывает запись: Новый сенсор, оценщик или доказательство важны для развертывания лишь тогда, когда закрывают именованную запись реестра, поставляя отсутствующее наблюдаемое, ограничивая хвост или проверяя собственные предпосылки во время выполнения. Запись, которую ничто не способно закрыть, разрешается сужением полномочий или удержанием эксплуатации, а не ожиданием.
- Каждый закон оставляет предпосылку открытой: Необратимость покоится на измеренных пределах, которые все еще держатся; эндогенные данные — на целевой ODD, покрывающей состояния, в которые входит машина; предложение — не разрешение — на свежем и различимом состоянии; а свидетельства ограничивают полномочия — на предпосылках, которые все еще держатся после выпуска. Полномочия останавливаются там, где останавливаются эти свидетельства.
От физического ИИ к системной дисциплине
Эта книга завершает исследование полной архитектуры систем машинного обучения. На протяжении системного курса мы исследовали единичную машину (освоение кремниевого контракта, арифметической интенсивности, иерархий памяти и локального аппаратного ускорения), распределенные флоты (навигация по тканям коллективных коммуникаций, отказоустойчивость, оркестрация кластеров и инфраструктура высокопроизводительного обслуживания) и агентные программные траектории (конструирование песочниц исполнения, динамических рабочих наборов контекста и детерминированных проверочных обвязок для автономного многошагового рассуждения). Здесь машинное обучение покидает цифровую область, чтобы обитать в воплощенном физическом интеллекте, — где обученные фундаментальные модели выступают непривилегированными генераторами предложений, системы нервной связи реального времени принудительно обеспечивают проверенные эксплуатационные границы, а искусственный интеллект наконец встречается с непреклонными законами сохранения физической вселенной. Эта работа посвящается студентам, исследователям и системным инженерам, принимающим вызов — дать машинам безопасные и умелые руки в открытом физическом мире.
Prof. Vijay Janapa Reddi, Harvard University
-
Фальсификация по Попперу: Карл Поппер формализовал асимметрию эмпирической индукции: ни одна конечная последовательность безопасных наблюдений не способна доказать универсальную безопасность, тогда как единственный противодовод ее опровергает. Часы наработки флота устанавливают доли выживания строго в наблюдаемых стационарных условиях, а не гарантии вне распределения. Экстраполяция нуля наблюдаемых инцидентов на неограниченные среды порождает иллюзорное чувство безопасности, разрушающееся при встрече с немоделированными пограничными случаями. ↩
-
Свидетельства при обновлениях: Обновленная модель может изменить распределение предложений. Более ранние данные можно объединять лишь с обоснованным аргументом эквивалентности конфигурации и наработки; обновление автоматически не стирает каждое наблюдение. Модель постоянной частоты стены наработки требует также обоснованного обращения с общими условиями флота и коррелированными отказами. ↩
-
Кинетическое снижение номинала скорости: убывает квадратично со скоростью. Остановочный путь все еще зависит от проверенного достоверного замедления и полной задержки отклика; одна лишь уставка скорости не способна компенсировать сколь угодно низкое трение. ↩
-
Дрейф пьезорезистивного преобразователя: Релаксация механического напряжения, поверхностное окисление и температурные циклы меняют пьезорезистивный коэффициент кремниевых тензодатчиков за длительные кампании. Монолитные программные фильтры не способны отделить медленный дрейф базового напряжения от истинных приращений давления процесса, порождая ненаблюдаемый переход состояния. Предотвращение избыточного давления требует поэтому независимых физических контрольных проверок нулевой точки или архитектур сенсорики с двумя разнородными преобразователями. ↩
-
Граница контакта: Жесткий удар и переходы трения способны инвалидировать гладкую модель свободного движения. Пиковая контактная сила и повреждение компонентов требуют измеренных жесткости, демпфирования, геометрии и отклика актуатора; ни контроллер, ни пассивная деталь по отдельности не дают универсальной границы. ↩
-
Тепловое состояние двигателя: Сопротивление обмотки и поток магнита могут меняться с температурой. Меняет ли это полномочия торможения, зависит от привода, пределов тока, нагрузки и измеренной тепловой модели; для осей под гравитационной нагрузкой может потребоваться отдельный путь удержания. ↩
Основы машинного обучения
Это приложение собирает модели машинного обучения, статистические границы и пространственные представления, используемые на протяжении всей книги. Каждый раздел формулирует предположения, при которых его результат справедлив, чтобы читатель мог проверить их на конкретной машине.
Как пользоваться этим приложением
Обращайтесь к этому приложению, когда в главах этой книги встречаются узкие места конкретных обучающихся систем, пределы статистической верификации или границы представлений:
| Когда встречается этот системный симптом | Смотрите | За этим количественным инструментом |
|---|---|---|
| Модель зрение–язык галлюцинирует действия при перцептивной неоднозначности | «Вероятность, теория информации и калибровка» | Метрики апостериорной энтропии, неопределенность Шеннона и пороги отказа |
| Переуверенные выходы сети командуют агрессивными действиями вне распределения | «Переуверенность softmax и ошибка калибровки» | Геометрия симплекса softmax и ожидаемая ошибка калибровки (ECE) |
| Дрейф внешних параметров нескольких камер, 2D-токенизации или геометрии 3D-сцены | «Пространственные представления и параметризация сцены» | Преобразования , эмбеддинги патчей, внимание и метрический 3D-подъем |
| Признаки камеры нужно разместить в одной метрической сетке плоскости земли | «Подъем с камеры на вид сверху» | Гипотезы глубины Lift-Splat, размер пирамиды и BEV-сплаттинг |
| Дифференцируемая реконструкция 3D-сцены расходится при отслеживании в реальном времени | «Параметры 3D-гауссова сплаттинга» | Параметры 3D-гауссова сплаттинга и проекция ковариации |
| Картирование занятости сохраняет фантомные препятствия после перемещения объектов | «Занятость в лог-шансах и слияние знаковых расстояний» | Обновления вокселей в лог-шансах, слияние TSDF и трафик DRAM при трассировке лучей |
| Малый шум датчика порождает взрывные неограниченные команды актуаторам | «Lipschitz-непрерывность и спектральная нормализация» | Границы Lipschitz-непрерывности и спектральная нормализация |
| Политика поведенческого клонирования дрейфует в невосстановимые состояния вне траектории | «Обучение с подражанием и нарастающий ковариантный сдвиг» | Нарастающая ошибка и линейное снижение DAgger |
| L2-регрессия усредняет бимодальные демонстрации в путь между модами | «Усреднение по модам и декодеры без него» | Доказательство условного ожидания и семейства декодеров, его избегающие |
| Генеративный декодер не успевает завершить фрагмент в пределах периода заданий | «Непрерывная диффузия траекторий и сопоставление потоков» | Цена выборки диффузии и сопоставления потоков относительно предельного срока управления |
| Офлайн-обучение с подкреплением выбирает необоснованные разрушительные задания приводов | «Функции ценности и обоснование аффордансов» | Переоценка ценности по Беллману и обоснование аффордансов в SayCan |
| Верификация меняющихся во времени свойств физической безопасности на непрерывных трассах | «Сигнальная временная логика и непрерывная робастность» | Синтаксис сигнальной временной логики (STL) и количественная степень робастности |
| Испытания парка без отказов не могут ограничить частоты редких катастрофических событий | «Испытания без отказов и стена наработки» | Правило трех, разложение Вальда и точные границы Клоппера–Пирсона |
| Износ физического стенда взрывно растет при квалификации политики с фиксированной выборкой | «Последовательный критерий отношения вероятностей» | Последовательный критерий отношения вероятностей (SPRT) и границы остановки Вальда |
| Удары контактных столкновений и всплески задержек превосходят границы гауссова 6-сигма | «Теория экстремальных значений и хвостовой риск» | Теория экстремальных значений (GEV/GPD) и выбор аппаратных запасов по высоким квантилям |
Вероятность, теория информации и калибровка
Автономные машины должны рассуждать о неопределенности количественно — в восприятии, оценке намерения и моделировании мира.
Условная вероятность и правило Байеса
Условная вероятность характеризует вероятность события при наблюденном свидетельстве . По правилу Байеса: где представляет априорное распределение по параметрам модели , — правдоподобие физического датасета , а — обновленное апостериорное распределение.
Энтропия Шеннона и пороги неоднозначности
Энтропия количественно оценивает ожидаемую неопределенность или информационное содержание в распределении вероятностей. Для дискретной случайной величины , принимающей значения в алфавите :1
Если два объекта отнесения получили равные оценки, энтропия кандидатных действий модели высока. Откалиброванный порог, специфичный для задачи, способен вызвать отказ от обоснования (ERR_GROUNDING_AMBIGUITY) и проверенную задержку, пока ищутся лучшие свидетельства. Уверенно ошибающаяся модель может иметь низкую энтропию, поэтому этот порог — лишь один из входов в разрешение.
Переуверенность softmax и ошибка калибровки
Стандартные классификационные головы нейросетей нормализуют сырые векторы логитов в категориальные распределения с помощью функции softmax: где — гиперпараметр температуры. Оператор softmax проецирует логиты на симплекс вероятностей исключительно алгебраическим возведением в экспоненту. Большая выходная вероятность указывает лишь на относительное разделение логитов, а не на подлинную эпистемическую достоверность.
Чтобы количественно оценить, совпадают ли предсказанные вероятности с эмпирическими физическими частотами, инженерия надежности вычисляет ожидаемую ошибку калибровки (ECE):2 где интервал разбит на интервалов одинаковой ширины , — число наблюдений в интервале , — общее число наблюдений, — средняя достоверность, а — эмпирическая точность. В физической автономности неоткалиброванная модель с высоким ECE сообщает ложную достоверность в условиях вне распределения, вводя в заблуждение любой резервный триггер или человека-супервизора, которые управляются по этой достоверности, и удерживая их от вмешательства.
Пространственные представления и параметризация сцены
Воплощенные физические агенты воспринимают, манипулируют и перемещаются в евклидовом 3D-пространстве.
Преобразования специальной евклидовой группы SE(3)
Преобразования жесткого тела в 3D-пространстве принадлежат специальной евклидовой группе , сочетая матрицу поворота с вектором переноса : Однородная точка преобразуется между системами координат линейным умножением матрицы на вектор: Пусть отображает координаты, выраженные в системе , в систему . Для мира , базы робота , исполнительного органа и камеры цепь имеет вид . Допустимое жесткое преобразование имеет обратное ; численная точность по-прежнему зависит от откалиброванных преобразований и их неопределенности.
Токенизация визуальных патчей, внимание и метрический 3D-подъем
Воплощенные модели зрение–язык–действие (VLA) и пространственные трансформеры преобразуют непрерывные сенсорные потоки в дискретные токены для нейронного внимания, а затем поднимают кандидатные предсказания в 3D-евклидовы координаты для физических рассуждений. Разделы «Выученные представления» и «Питание, свежесть и стена памяти» используют полученные здесь числа токенов, чтобы оценить трафик памяти прикладного процессора.
2D-токенизация патчей vision-трансформера
Рассмотрим RGB-изображение , снятое бортовой камерой с пространственным разрешением и цветовыми каналами. Подача сырых пикселей в многослойный перцептрон отбросила бы пространственную локальность и раздула число параметров, поэтому фронтенд vision-трансформера разбивает изображение на неперекрывающуюся последовательность из патчей по пикселей, где обычно 14 или 16: Каждый патч, индексируемый своей строкой и столбцом в плоскости камеры, разворачивается в вектор . Обучаемое линейное проектирование отображает каждый развернутый патч в скрытую размерность трансформера . Самовнимание инвариантно к перестановкам и обращается со своими входами как с неупорядоченным множеством, поэтому модель ничего не знает о пространственной близости, пока положение не добавлено явно: 2D-эмбеддинг положения раскладывается вдоль вертикальной оси и горизонтальной оси , используя синусоидальные частотные полосы или обучаемые эмбеддинги координат. Он кодирует положение в плоскости изображения и не несет метрического 3D-расстояния. Когда несколько камер питают одну модель — например, камера над головой для контекста сцены и камера на запястье для миллиметрового совмещения, — обучаемый идентификатор камеры различает их системы координат. Некоторые архитектуры также добавляют в начало последовательности сводный токен .
Чтобы размерности были конкретны, возьмем квадратный RGB-кадр со стороной 224 пикселей (иллюстративно; см. Руководство для читателя) и размером патча 14. Кадр делится на 16 патчей в сторону, всего 256. Каждый патч несет 196 пикселей по 3 цветовым каналам — развернутый вектор из 588 значений, — и отображает каждый такой вектор в 4096-мерное пространство модели. Один кадр становится 256 токенами шириной 4096. Робот с 3 камерами (двумя на запястье и одной над головой) подает 3 256 = 768 визуальных токенов на шаг до добавления любого текстового или проприоцептивного токена.
Затем визуальные токены присоединяются к остальной части входа. Команда на естественном языке вроде «возьми красную кружку за ручку» токенизируется байтовым парным кодированием в текстовые эмбеддинги . Конфигурация робота (углы шарниров , скорости шарниров и состояние захвата) проходит через линейный слой в проприоцептивные токены . Три потока конкатенируются в одну мультимодальную входную последовательность:
Самовнимание по объединенной последовательности
Объединенная последовательность проходит через стек слоев трансформера — от 32 до 80 в современных VLA-бэкбонах, каждый из которых состоит из многоголового самовнимания и прямой сети. Самовнимание проецирует токены в запросы , ключи и значения и вычисляет парные веса внимания по всей последовательности: Текстовый токен вроде «ручка» может обращать внимание на визуальные токены патчей, но высокий вес внимания — это не проверенное место захвата и не метрическая поза. Обученный пространственный декодер способен выдать 2D-тепловую карту аффордансов, а размещение захвата в 3D все равно требует свидетельств глубины, калибровки камеры и метрического подъема, описанного ниже. Кольцевой кеш ключ-значение (KV) хранит предыдущие состояния токенов для внимания. Он не отслеживает постоянство объектов и не поддерживает 3D-положение и скорость; явный оценщик состояния обязан связывать наблюдения между кадрами и расширять свою неопределенность, пока кружка закрыта от взгляда.
Обратная проекция отверстия и метрический 3D-подъем
Стандартные 2D-токены патчей не имеют метрического масштаба из-за проективной неоднозначности: вдоль любого оптического луча бесконечно много 3D-точек проецируются в одинаковые координаты пикселей. Чтобы взаимодействовать с физическими барьерными фильтрами управления, кинематическими калькуляторами остановки и огибающими запаса до препятствий, 2D-визуальные предсказания должны подниматься в метрические 3D-координаты .
Пусть обозначает координаты пикселя на матрице изображения, а откалиброванная матрица внутренних параметров камеры отверстия имеет вид: где — фокусные расстояния в пикселях, а — главная точка. При наличии выровненного метрического измерения глубины (полученного из стереодиспаратности, лидара времяпролета или откалиброванных датчиков глубины) 3D-положение в системе координат камеры восстанавливается обратным проектированием внутренних параметров: Преобразование в систему базы робота или мира использует жесткое внешнее преобразование , определенное в этом разделе: Путь разрешения и оценщики кинематической досягаемости требуют именно этой метрической 3D-реконструкции; необоснованные 2D-токены не способны установить, удовлетворяет ли предложенная траектория физическим границам запаса .
Подъем с камеры на вид сверху
Представление вида сверху (bird’s-eye view, BEV) помещает признаки каждой камеры в одну метрическую сетку на плоскости земли — ту систему координат, в которой работают планировщики и проверки запаса. Архитектура Lift-Splat-Shoot (LSS) Philion and Fidler, 2020 строит эту сетку из монокулярных признаков за три шага — три первые стадии рисунка «Подъем лучевой пирамиды камеры и BEV-сплаттинг».
-
Извлечение признаков. Визуальный бэкбон, такой как DINOv2 Oquab et al., 2023 или легкая сверточная сеть, отображает изображение в сетку векторов признаков: Прямая проекция («проекция отверстия») сворачивает каждый 3D-луч в один пиксель, поэтому признак представляет целый луч в пространстве, а его метрическая глубина неизвестна.
-
Подъем. LSS представляет эту неоднозначность, а не разрешает ее. Вдоль луча пеленга из «луч пеленга» сеть выставляет оценки дискретным интервалам глубины, покрывающим , например
64интервалов от0.5 mдо20 m, расположенных линейно или логарифмически: Внешнее произведение поднимает каждый 2D-признак в пирамиду 3D-точек — по одной на каждую гипотезу глубины: Для карты признаков128ячеек в сторону, с64интервалами глубины и64каналами признаков тензор пирамиды содержит около 67 млн значений —134.2 MBна кадр при FP16. На частоте камеры этот тензор есть трафик памяти, который должен нести прикладной процессор, поэтому реализации держат его в буферах с нулевым копированием на акселераторе. -
Сплаттинг. Откалиброванное внешнее преобразование отображает каждую точку пирамиды из оптической системы координат камеры в систему координат базы робота: Рабочее пространство дискретизируется в сетку вертикальных столбцов, например
200ячеек в сторону, покрывающих квадрат20 mс разрешением0.1 m. Сплаттинг суммирует каждый признак пирамиды, попадающий в столбец , используя ускоренные кумулятивные суммы или пулинг point-pillar Philion and Fidler, 2020; Liu et al., 2023: Сплаттинг выравнивает гипотезы камер в одной метрической системе координат. Он не способен заполнить область, которую не видела ни одна камера, или устранить ошибку масштаба глубины, поэтому контур, который он назначает пешеходу, по-прежнему зависит от гипотез глубины и калибровки.
Подъем лучевой пирамиды камеры и BEV-сплаттинг: LSS Philion and Fidler, 2020 помещает выученные гипотезы глубины от каждой камеры в общую метрическую BEV-систему координат; это преобразование координат не разрешает монокулярную неоднозначность глубины. Финальная врезка про запас требует отдельно проверенных метрических остатков, смещения и выбранного хвостового квантиля или детерминированной границы ошибки до выдачи разрешения. (Архитектура адаптирована из Philion and Fidler, 2020.)
Softmax по интервалам глубины выражает назначаемые моделью веса, и его энтропия не является откалиброванной ковариацией метрики. Поэтому врезка про запас из раздела «Границы пространственной ошибки и запаса» опирается на отдельно проверенные пространственные остатки, а не на веса подъема.
Параметризация обратной глубины
В визуально-инерциальной одометрии и SLAM представление далеких 3D-ориентиров в стандартных декартовых координатах порождает крайнюю нелинейность: малые ошибки отслеживания пикселей дают квадратичные ошибки глубины ().
При параметризации обратной глубины 3D-признак параметризуется 6-мерным вектором , где — оптический центр в момент первого наблюдения, — азимут и угол места, а — обратная глубина:3 На оптической бесконечности () обратная глубина стремится к нулю (). Эта параметризация способна улучшить обусловленность оценщика для далеких признаков; форма ковариации и численная устойчивость по-прежнему зависят от модели измерений, предположений о шуме и реализации оценщика.
Параметры 3D-гауссова сплаттинга
Непрерывные нейронные представления сцены параметризуют физическое окружение наборами 3D-гауссиан Kerbl et al., 2023. Каждый гауссиан определяется четырьмя основными атрибутами:
- Положение (): трехмерный пространственный центр.
- Матрица ковариации (): задает эллипсоидную форму и ориентацию. Чтобы оставалась положительно полуопределенной на всем градиентном спуске, она разлагается на матрицу поворота (параметризованную единичным кватернионом ) и диагональную матрицу масштабирования :
- Представление цвета (): параметризуется коэффициентами сферических гармоник (SH), чтобы моделировать зависящую от точки наблюдения зеркальную яркость.
- Непрозрачность (): моделируется сигмоидной активацией , чтобы обеспечить непрерывные градиенты плотности.
При рендеринге в реальном времени 3D-гауссианы проецируются в систему координат камеры через якобиево приближение , давая спроецированную 2D-ковариацию: где — вращательная часть преобразования из мира в камеру; перенос входит в спроецированное среднее, а не в эту ковариацию. Дифференцируемая тайловая растеризация сортирует гауссианы по глубине и вычисляет накопление цвета с альфа-смешиванием: Эти дифференцируемые параметры поддерживают рендеринг новых ракурсов. Ни плотность гауссиан, ни ее пространственная производная не являются консервативной поверхностью столкновения, поэтому разрешение на запас требует отдельно проверенной геометрической экстракции, преобразования в занятость/ESDF или независимого датчика дальности, учитывающих неизвестное пространство и геометрическую ошибку («Гауссова память и передача запаса»). Частота рендеринга и задержка запроса столкновения — разные измерения. Раздел «Что может подтверждать память сцены» опирается на это различие, отказываясь принимать отрендеренный вид за границу запаса.
Гауссова память и передача запаса: Наблюдения камеры обновляют гауссову сцену для рендеринга новых ракурсов. Ее визуальный выход не поставляет напрямую консервативное расстояние столкновения; требуется отдельно проверенная геометрия или преобразование в занятость и проверка разрешения Kerbl et al., 2023; Matsuki et al., 2024.
Память на примитив зависит от его упаковки и порядка сферических гармоник, поэтому след карты — это число ее примитивов, умноженное на эту упаковку. Плотная кубическая сетка вместо этого хранит ячеек, а разреженная карта занятости — только выделенную структуру, чей размер зависит от наблюдавшейся геометрии и цели по точности. Рисунок «Сценарии хранения пространственной памяти» ставит три модели хранения рядом.
Сценарии хранения пространственной памяти: Плотный куб использует четыре байта на воксель, октодерево выделяет по одной 32-байтной ячейке поверхности на квадрат размерности сетки, а гауссова сцена держит фиксированное число и упаковку, пока разрешение сетки меняется. Это модели хранения, а не измеренные тесты времени выполнения при равной точности; число гауссиан должно расти, если более строгая цель по геометрии этого требует.
Для гауссовой сцены из 500 000 примитивов по 56 байт требуется 28 MB. При развертывании представление выбирается после измерения полноты карты, времени обновления, времени запроса и преобразования, нужного для консервативного запаса.
Занятость в лог-шансах и слияние знаковых расстояний
Дискретные объемные сетки моделируют неопределенность занятости через рекурсивную байесовскую оценку. Пусть обозначает бинарное состояние занятости вокселя ( занят, свободен).
Используя преобразование лог-шансов , рекурсивная байесовская фильтрация сворачивает нелинейное умножение вероятностей в аддитивные линейные обновления:4 где — обратная модель датчика, а — априорное распределение. Вдоль надежного луча дальности пройденные ячейки получают свидетельства свободного пространства, а измеренный возврат — свидетельства занятости; пространство за возвратом остается неизвестным, пока его не наблюдают отдельно. Аддитивное обновление может использовать ограниченные лог-шансы с фиксированной точностью, но ошибка датчика, движущиеся объекты и возраст свидетельств все равно важны.
Занятость октодерева и трассировка лучей по свободному пространству
Картирование сеткой занятости Elfes, 1989 разбивает пространство на ячейки и применяет это обновление к каждой ячейке, которой касается луч. Объемная трассировка лучей проходит линию видимости каждого возврата обходом трехмерного цифрового дифференциального анализатора (3D-DDA) Amanatides and Woo, 1987. Иерархические хранилища, такие как OctoMap Hornung et al., 2013 и OpenVDB Museth, 2013, выделяют ячейки только там, где прошли лучи, поэтому память следует за наблюденным объемом, а не за ограничивающим кубом («Вероятностное объемное картирование октодеревом»). Свидетельства свободного пространства позволяют карте списать фантомное препятствие, как только та же область увидена пустой, тогда как ячейка, которую не наблюдали никогда, остается неизвестной, сколь бы долго ни работала карта. Раздел «Что может подтверждать память сцены» применяет это правило к проходу, где только свежие свидетельства свободного пространства могут поручиться, что путь свободен.
Вероятностное объемное картирование октодеревом: Проход по коридору, реконструированный из сырого облака точек в вероятностное октодерево и далее в явные свободное, занятое и неизвестное пространства Hornung et al., 2013. Третья панель — то, что отличает пространственную память от накопленного облака точек: трассировка лучей записывает свидетельства пустоты вдоль линий видимости, позволяя карте активно списывать след фантомного препятствия вместо ожидания истечения тайм-аута. (Источник: Hornung et al. / Autonomous Intelligent Systems Lab, University of Freiburg, CC BY 3.0).
Слияние усеченных знаковых расстояний
Усеченное знаковое поле расстояний (TSDF), объемно сливаемое на частоте камеры в KinectFusion Newcombe et al., 2011 и инкрементально на роботах в Voxblox Oleynikova et al., 2017, хранит в каждом вокселе метрическое проективное расстояние , положительное перед наблюденным возвратом вдоль его луча, и безразмерный вес слияния . Для откалиброванного изображения глубины центр вокселя преобразуется в координаты камеры и проецируется в пиксель . Его проективная выборка равна . Для луча дальности эквивалентная выборка вдоль луча равна ; обе положительны до попадания. У возврата выборка ограничивается в метрах и сливается в текущее взвешенное среднее: где — безразмерный вес наблюдения, а хранимый вес ограничен сверху . Слияние использует допустимую позу на момент захвата и отказывается от выборки старше последней эпохи свидетельств вокселя. Отрицательная выборка сразу за измеренным возвратом вносит вклад в локальный нулевой переход по модели поверхности; она не подтверждает невиданный интерьер препятствия.
Интерполяция наблюденных выборок дает приближенный градиент у нулевого перехода, ограниченный неизвестными вокселями, проективным смещением, дискретизацией и движущимися объектами. Поэтому проективный TSDF — не то евклидово расстояние до ближайшей поверхности, которое нужно решению о запасе. Запрос запаса поэтому читает проверенные занятость или евклидово знаковое поле расстояний (ESDF) с политикой неизвестного пространства — то преобразование, которое «Что может подтверждать память сцены» требует от каждого представления сцены, прежде чем путь разрешения на него опирается.
Обновление одного кадра и его трафик памяти
Алгоритм ниже применяет оба обновления для одного кадра глубины, а следующий за ним расчет оценивает трафик обновлений, который «Что может подтверждать память сцены» относит на шину памяти. Он отвергает кадр, не касаясь карты, если его эпоха захвата слишком стара или старше последних свидетельств любой ячейки, которую он обновил бы, затем очищает и помечает занятость вдоль каждого луча и сливает выборки TSDF только внутри полосы усечения. Каждая обновленная ячейка получает эпоху захвата, а не время обновления, так что более поздний потребитель может судить о свежести каждой ячейки.
\begin{algorithm}
\caption{Трассировка лучей занятости и метрическое слияние TSDF}
\begin{algorithmic}
\Require возвраты $\mathcal{P}$, захваченные в $t_0$ в одном такте захвата; допустимая поза; занятость $\mathcal{O}$; метрический TSDF $\mathcal{V}$; усечение $\mu$; период полураспада свидетельств $t_{1/2}$; сериализованные обновления для каждой ячейки
\Ensure наблюденные свободные/занятые ячейки и поверхностные выборки TSDF обновлены без освежения невиданных ячеек
\State $(t_{0,c},\epsilon_{\text{sync}})\gets\Call{ConvertCaptureToControllerClock}{t_0}$
\If{преобразование часов недопустимо или $t_{\text{now},c}-t_{0,c}+\epsilon_{\text{sync}}>\tau_{\max,\text{age}}$}
\State \Return $\text{STATUS\_FRAME\_TOO\_STALE}$
\EndIf
\If{любая целевая ячейка занятости или TSDF имеет $t_{\text{last}}>t_0$}
\State \Return $\text{STATUS\_OUT\_OF\_ORDER}$ \Comment{проверка перед изменением карты}
\EndIf
\For{\textbf{each} return $\mathbf{p}_k\in\mathcal{P}$}
\State $(\mathbf{r}_{\text{dir}},r_{\text{hit}})\gets\Call{RayFromPoseAndReturn}{\mathbf{p}_k}$
\Statex \Comment{Занятость: измеренный свободный луч и попадание, а не расстояние TSDF}
\For{\textbf{each} ячейка $c$, пройденная до попадания}
\State $c\gets\Call{GetOrAllocateOccupancy}{\mathcal{O},c}$
\State $c.L\gets\Call{ClampLogOdds}{c.L+L_{\text{free}}}$; $c.t_{\text{last}}\gets t_0$
\EndFor
\State обновить наблюденную ячейку попадания значением $L_{\text{occupied}}$ и эпохой $t_0$
\Statex \Comment{TSDF: сливать метрические выборки только в узкой полосе поверхности}
\For{\textbf{each} воксель $v$ с $|r_{\text{hit}}-r_v|\le\mu$}
\State $\text{vox}\gets\Call{GetOrAllocateTSDF}{\mathcal{V},v}$
\State $d_\mu\gets\Call{Clamp}{r_{\text{hit}}-r_v,-\mu,+\mu}$ \Comment{положительно до попадания}
\State $W_{\text{old}}\gets 0$ if $\text{vox}.W=0$, else $\text{vox}.W\,2^{-(t_0-\text{vox}.t_{\text{last}})/t_{1/2}}$
\State $w_{\text{obs}}\gets 1$ \Comment{безразмерная иллюстративная достоверность}
\State $\text{vox}.D\gets(W_{\text{old}}\text{vox}.D+w_{\text{obs}}d_\mu)/(W_{\text{old}}+w_{\text{obs}})$
\State $\text{vox}.W\gets\min(W_{\text{old}}+w_{\text{obs}},W_{\max})$; $\text{vox}.t_{\text{last}}\gets t_0$
\EndFor
\EndFor
\State \Return $\text{STATUS\_MAP\_UPDATED}$
\end{algorithmic}
\end{algorithm}
Пропускная способность DRAM для воксельных сеток 3D TSDF
Практический инженерный вопрос: Каковы полезная нагрузка расстояний и весов и смоделированная пропускная способность DRAM для разреженных и плотных представлений TSDF?
1. Плотное размещение. Манипуляционная ячейка
10 m10 m3 m(300 m³) с шагом1 cmсодержит300 000 000вокселей. При4байтах на воксель (16-битное расстояние плюс 16-битный вес слияния), без занятости, эпох свидетельств на ячейку и накладных расходов распределителя, полезная нагрузка расстояний и весов составляет1.20 GB. Уточнение шага до5 mmдля контакта инструмента поднимает счет до2 400 000 000вокселей и частичную полезную нагрузку до9.60 GB, что само по себе превышает иллюстративный бюджет памяти8 GB.2. Разреженное размещение. Поверхности занимают тонкое многообразие внутри объема. Группировка вокселей в листовые блоки по
512вокселей и выделение только внутри полосы усечения, составляющей, как предполагается,3% объема, дает17 579блоков. С32-байтной заголовочной записью листа полезная нагрузка составляет36.6 MBпри1 cmи292.5 MBпри5 mm. Полная карта должна также закладывать в бюджет отдельный слой занятости, эпохи на ячейку, поиск блоков и метаданные распределителя, а также емкость под политику неизвестного пространства.3. Обход и трафик DRAM. Поток глубины
640480на60 Hzподает 18,4 млн лучей в секунду. Вдоль луча длиной3 mс шагом1 cmобход посещает300ячеек.294ячейки до попадания получают обновления свободного луча занятости, а6ячеек у возврата — слияние TSDF. Разреженное размещение TSDF экономит емкость карты; оно не устраняет ни обход, ни обновления занятости. При8байтах предполагаемого трафика чтения/записи на обновление отправка каждого обновления в DRAM стоит44.2 GB/s. При предполагаемой доле попаданий в кеш95% и для обновлений занятости, и для обновлений TSDF смоделированная потребность в DRAM падает до2.21 GB/s— снижение в20×. Частота попаданий зависит от перекрытия лучей, атомарных операций, вытеснений и отложенной записи на выбранном аппаратном обеспечении; это вход, который нужно измерять, а не свойство структуры карты.Системный вывод: Разреженное размещение дает в
33×меньшую смоделированную полезную нагрузку TSDF в этом сценарии с долей поверхности, тогда как потребность шины зависит от измеренной локальности и от всей работы с пройденными ячейками. Поместится ли эта потребность рядом с выводом политики на общей шине — вопрос конкуренции из раздела «Конкуренция за общие ресурсы».
Аппроксимация функций и границы чувствительности
Нейросеть, отображающая состояние датчиков в команды, нуждается в границе того, насколько далеко ее выход может сместиться при смещении входа.
Lipschitz-непрерывность и спектральная нормализация
Нейронная политика является -Lipschitz-непрерывной, если существует неотрицательная скалярная постоянная такая, что для всех : Для прямой сети с слоями пусть ограничивает наклон каждой функции активации на области входов. Совокупная граница имеет вид: ReLU и Tanh в обычных скалярных формах 1-Lipschitz-непрерывны; точный GeLU имеет максимальную производную около , поэтому присвоение ему множителя единица занизило бы границу.
Усиление возмущений и супервизорское ограничение
В физических системах входное состояние искажается шумом измерения датчика , ограниченным . Вызванное этим отклонение командного управляющего действия ограничено: Постоянная имеет размерность выходных единиц на входную единицу. Для иллюстративной политики, отображающей положение в метрах в крутящий момент в ньютон-метрах, и допускают изменение команды до . Превышает ли это запас момента, зависит от шарнира и режима работы. Спектральная нормализация способна понизить верхнюю границу чувствительности сети. Она ограничивает сеть, а не объект управления, поэтому стабильность, безопасный момент и допустимость измерений датчика по-прежнему исходят от отдельного предела актуатора и зависящей от состояния проверки разрешения.
Обучение с подражанием и нарастающий ковариантный сдвиг
Поведенческое клонирование формулирует приобретение физической политики как обучение с учителем — регрессию по парам состояние–действие демонстратора.
Усреднение по модам и декодеры без него
Рассмотрим целевую функцию обучения с подражанием, минимизирующую среднюю квадратичную ошибку (потерю ) по распределению демонстраций : Развертывание целевой функции показывает, что оптимальный неограниченный регрессор равен условному математическому ожиданию: Когда поведение демонстратора по своей природе мультимодально — например, объезд препятствия поворотом налево () или направо () с равной вероятностью , — условное ожидание вычисляет арифметическое среднее: Исполнение этого усредненного действия командует нулевое отклонение руления, направляя физического робота прямо в центральное препятствие.
Семейства декодеров
Декодер избегает среднего, представляя условное распределение действий, а не его ожидание. Приведенные ниже семейства меняют цену вывода на выразимые ими распределения, и ни одно не поставляет состояния восстановления, которых нет в демонстрациях. Раздел «Режимы синтеза политик» сравнивает их по числу вычислений сети, которое стоит каждый фрагмент, — именно там выбор достигает предельного срока управления.
-
Сети смеси плотностей. Голова модели смеси гауссиан (GMM) параметризует выход политики как условную смесь из гауссовых компонент: где сеть предсказывает веса смеси , средние компонент и ковариации . Это дает логарифм правдоподобия в замкнутой форме и точную плотность за один прямой проход. Обучение по методу максимального правдоподобия склонно к коллапсу мод и числовой сингулярности, голова плохо масштабируется до многомерных многошаговых траекторий, а число компонент должно быть задано заранее, что отказывает при неравномерном ветвлении демонстраций.
-
Неявное поведенческое клонирование. Неявное поведенческое клонирование (IBC) Florence et al., 2022 обучает энергетическую модель с контрастивными или InfoNCE-целевыми функциями, назначающую низкую энергию продемонстрированным парам состояние–действие и высокую — контрфактическим действиям. Вывод приближенно решает Энергия способна представлять разрывные, резко мультимодальные распределения и невыпуклые границы, недоступные непрерывному прямому отображению. Вывод — это итеративный поиск, чьи цена и качество зависят от оптимизатора, числа кандидатов и устройства, а невыпуклая энергия может вернуть локальный минимум.
-
Условная диффузия и сопоставление потоков. Diffusion Policy Chi et al., 2024 и декодеры сопоставления потоков порождают целый фрагмент действий итеративным шумоподавлением или интегрированием ОДУ. Их целью обучения служит введенный шум или векторное поле, обусловленные испорченным фрагментом, наблюдением и шагом, а не само чистое действие, поэтому потеря с квадратичной ошибкой никогда не усредняет несовместимые моды. Раздел «Непрерывная диффузия траекторий и сопоставление потоков» выводит обе целевые функции и оценивает цену их шагов выборки.
-
Фрагментация со скрытыми переменными. Action Chunking with Transformers (ACT) Zhao et al., 2023 предсказывает фрагмент из текущего наблюдения условным вариационным автоэнкодером (CVAE), построенным из энкодера и декодера Transformer. При обучении энкодер сжимает продемонстрированные фрагменты и наблюдения в низкоразмерную скрытую переменную стиля , оптимизируемую через вариационную нижнюю границу: На этапе вывода скрытый код выбирается из априорного распределения или устанавливается в его среднее . Каждый код выбирает одно согласованное продемонстрированное намерение — например, обойти препятствие слева или завести кабель в верхний фиксатор, — и декодер выдает для него внутренне согласованный фрагмент.
-
Дискретные токены действий. Модели зрение–язык–действие, такие как RT-1, RT-2 и OpenVLA Brohan et al., 2023; Brohan et al., 2023; Kim et al., 2024, дискретизируют каждое непрерывное измерение действия на равных интервалов, обычно 256, и выдают один токен на измерение: Категориальный выход избегает усреднения мод и заново использует выходную голову языковой модели. Он несет ошибку квантования и требует последовательных предсказаний токенов на действие, поэтому его задержка растет с размерностью действия.
Непрерывная диффузия траекторий и сопоставление потоков
Непрерывная диффузия траекторий рассматривает синтез политики как генеративное шумоподавление над непрерывными многошаговыми фрагментами траекторий действий , обусловленными историями визуальных и проприоцептивных наблюдений Chi et al., 2024. Вместо предсказания неограниченной точечной оценки через среднюю квадратичную ошибку диффузионные модели представляют сложные мультимодальные распределения действий, не схлопываясь в усреднение мод.
Рисунок «Архитектура диффузионной политики» показывает структуру политики. Она обусловливается короткой историей изображений камеры и состояния робота, шумоподавляет кандидатный фрагмент из гауссова шума за итераций и отправляет лишь префикс фрагмента, прежде чем планировать заново.
Архитектура диффузионной политики: Политика непрерывной диффузии траекторий для зрительно-моторного управления, шумоподавляющая кандидатный фрагмент действий из гауссова шума за итераций и отправляющая лишь его префикс перед повторным планированием. Асинхронное буферирование и независимый путь разрешения с высокой частотой могут разделить более медленную генерацию фрагментов и исполнение команды. Условное шумоподавление способно представлять альтернативные продемонстрированные пути, не беря их средне-регрессионного среднего. (Адаптировано из Chi et al. Chi et al., 2024).
Прямая диффузия и расписание дисперсий
Процесс прямой диффузии постепенно портит эталонный продемонстрированный фрагмент действий гауссовым шумом на дискретных шагов времени (или при непрерывном диффузионном времени ): где обозначает заранее заданное расписание дисперсий. Определив и , получим, что маргинальное распределение на шаге допускает гауссову выборку в замкнутой форме прямо из : что позволяет немедленно выбирать зашумленные траектории в замкнутой форме, не моделируя промежуточные марковские шаги:
Обратное шумоподавление и сопоставление score-функций
Генеративный обратный процесс синтезирует траекторию действия из чистого гауссова шума , параметризуя условное распределение обратного перехода : Оптимизация вариационной нижней границы правдоподобия данных репараметризует среднее через сеть предсказания шума : Сеть шума оптимизируется упрощенной -целью шумоподавляющего сопоставления score-функций: По формуле Твиди оценка шума пропорциональна score-функции Стейна (пространственному градиенту логарифма плотности данных): . Обусловливание по этой score-функции направляет стохастическую выборку к высокоплотным модам демонстраций, а не к усреднению несовместимых мод в столкновение с препятствием.
Непрерывное сопоставление потоков и регрессия векторного поля
Тогда как стандартная диффузия интегрирует стохастические СДУ, непрерывное сопоставление потоков Lipman et al., 2022 порождает траектории вдоль детерминированных потоков вероятности, заданных обыкновенными дифференциальными уравнениями (ОДУ): При условном векторном поле оптимального транспорта непрерывный путь линейно интерполирует между исходным шумом и целью-демонстрацией : Эталонное поле скоростей вдоль этого пути постоянно: . Нейросеть обучается прямой регрессией: Более прямые условные пути позволяют низкопорядковому решателю, такому как метод Эйлера или Рунге–Кутты, достигнуть заданного качества действия меньшим числом вычислений функции, чем требуется искривленной диффузионной траектории. Сколько вычислений достаточно и какую задержку они стоят — свойства обученной модели и устройства, а не самого сопоставления потоков.
Шаги шумоподавления против предельного срока управления
Обратная выборка вычисляет шумоподавитель один раз на шаг, последовательно, поэтому время вывода фрагмента растет с числом шагов.5 Декодер, чье время фрагмента превышает период заданий, не может работать в такт с контроллером. Вместо этого он работает асинхронно. Прикладной процессор порождает фрагменты с меньшей частотой в буфер через границу предложения («Машина в пяти уровнях»), а путь разрешения считывает новейший фрагмент со своей частотой, интерполирует его и ограничивает скорость его нарастания, прежде чем любая команда достигнет привода. Алгоритм ниже формализует этот конвейер в двухпроцессорной реализации, а рисунок «Шумоподавление фрагмента действий и скользящий горизонт» его иллюстрирует. Раздел «Режимы синтеза политик» использует приведенные ниже времена, чтобы показать, какой сэмплер укладывается в период заданий.
\begin{algorithm}
\caption{Шумоподавление фрагмента траектории диффузионной политики и двухчастотное исполнение команды}
\begin{algorithmic}
\Require буфер истории наблюдений $\mathbf{O}_t = (\mathbf{o}_{t-H+1}, \dots, \mathbf{o}_t)$, сеть предсказания шума $\boldsymbol{\epsilon}_\theta$, расписание шума $\{\alpha_k, \bar{\alpha}_k, \sigma_k\}_{k=1}^{N_{\text{diff}}}$, горизонт фрагмента $K$, период цикла микроконтроллера безопасности $\Delta t_{\text{mcu}}$
\Ensure задание момента шарнира на частоте линии управления / вектор действия $\mathbf{a}_t$
\Statex
\State \textbf{Прикладной процессор: асинхронная генерация фрагментов траектории ($10\text{--}20\text{ Hz}$)}
\State $\mathbf{E}_t \gets \Call{VisualEncoder}{\mathbf{O}_t}$
\State $\mathbf{A}^{N_{\text{diff}}} \sim \mathcal{N}(\mathbf{0}, \mathbf{I}_{K \times D_a})$ \Comment{инициализировать обратную диффузию из гауссова шума}
\For{$k = N_{\text{diff}}$ \textbf{down to} $1$}
\State $\hat{\boldsymbol{\epsilon}} \gets \boldsymbol{\epsilon}_\theta(\mathbf{A}^k, \mathbf{E}_t, k)$
\State $\boldsymbol{\mu}_k \gets \frac{1}{\sqrt{\alpha_k}} \left( \mathbf{A}^k - \frac{1 - \alpha_k}{\sqrt{1 - \bar{\alpha}_k}} \hat{\boldsymbol{\epsilon}} \right)$
\State $\mathbf{z} \sim \mathcal{N}(\mathbf{0}, \mathbf{I})$ \textbf{if} $k > 1$ \textbf{else} $\mathbf{z} \gets \mathbf{0}$
\State $\mathbf{A}^{k-1} \gets \boldsymbol{\mu}_k + \sigma_k \mathbf{z}$
\EndFor
\State $\mathbf{A}_{\text{chunk}} \gets \mathbf{A}^0$
\State $\Call{DepositSpscRingBuffer}{\mathbf{A}_{\text{chunk}}}$ \Comment{безблоковая запись в общий буфер}
\Statex
\State \textbf{Микроконтроллер безопасности: синхронное детерминированное исполнение команды ($1\text{ kHz}$)}
\If{$\Call{HasNewChunk}{\text{SPSC}}$}
\State $\Call{UpdateSplineKnots}{\text{SPSC}}$
\EndIf
\State $\mathbf{a}_{\text{raw}} \gets \Call{CubicSplineInterpolate}{\mathbf{A}_{\text{chunk}}, t_{\text{current}}}$
\State $\Delta \mathbf{a} \gets \Call{clamp}{\mathbf{a}_{\text{raw}} - \mathbf{a}_{\text{prev}}, -\dot{\mathbf{a}}_{\max} \Delta t_{\text{mcu}}, +\dot{\mathbf{a}}_{\max} \Delta t_{\text{mcu}}}$ \Comment{кинематический ограничитель скорости нарастания}
\State $\mathbf{a}_{\text{clamped}} \gets \mathbf{a}_{\text{prev}} + \Delta \mathbf{a}$
\State $\mathbf{a}_t \gets \Call{SafetyGovernorClamp}{\mathbf{a}_{\text{clamped}}}$ \Comment{детерминированное принудительное обеспечение огибающей}
\State $\Call{TransmitPwmRegisters}{\mathbf{a}_t}$
\State $\mathbf{a}_{\text{prev}} \gets \mathbf{a}_t$
\State \Return $\mathbf{a}_t$
\end{algorithmic}
\end{algorithm}
Шумоподавление фрагмента действий и скользящий горизонт: (a) Разрешение мультимодальности: прямая регрессия со средней квадратичной ошибкой усредняет расходящиеся демонстрации в недопустимое столкновение с препятствием, тогда как диффузионная политика стохастически выбирает согласованную продемонстрированную моду. (b) Итеративное шумоподавление траектории: начиная из гауссова шума , обратная диффузия постепенно разрешает грубую траекторию в гладкий фрагмент действий . (c) Двухчастотное разделение: асинхронный нейронный планировщик на прикладном процессоре наполняет кольцевой буфер без блокировок, питая микроконтроллер безопасности на , исполняющий детерминированную сплайн-интерполяцию и безопасные ограничения. (Адаптировано из Chi et al. Chi et al., 2024).
Рассмотрим руку с семью степенями свободы и двухпальцевым захватом (), политика которой генерирует фрагменты из 16 заданий с выбранным периодом заданий 20 ms (50 Hz) — горизонт 320 ms. Сеть предсказания шума — это одномерная временная сверточная U-Net с 48 млн параметров, 96 MB при FP16. Приведенные ниже времена — иллюстративные входы, а не измерения какого-либо устройства. Бюджет состоит из трех частей.
- Восприятие. Визуальный энкодер обрабатывает два синхронизированных RGB-потока (на запястье и над плечом) в обусловливающий эмбеддинг за
14 msна фрагмент. Поскольку признаки извлекаются один раз на фрагмент до начала шумоподавления, — постоянная цена независимо от расписания выборки. - Шумоподавление. Каждый обратный шаг вычисляет на
14.2 GFLOP. При пиковой пропускной способности204.8 GB/sоднократная потоковая передача весов занимает не менее0.469 ms, а арифметическая интенсивность составляет около147.9 FLOP/byte. С накладными расходами запуска ядер и выталкиванием активаций время одного вычисления равно1.65 ms, после чего цену задает сэмплер. Стандартный сэмплер DDIM с16шагами шумоподавляется за26.4 ms, давая полную задержку вывода40.4 ms. Декодер сопоставления потоков, интегрированный2вычислениями по методу Эйлера, — при допущении, что двух шагов достаточно для критерия качества действий задачи, — требует3.3 ms, итого17.3 ms. - Предельный срок. При синхронном запуске против периода
20 msсэмплер DDIM превышает его на102% еще до каких-либо накладных расходов планировщика. Двухвычислительный декодер потоков укладывается с запасом только на вычисления2.7 ms(13.5%), и он может работать в такт, лишь если укладываются также измеренная хвостовая задержка, передача по шине и планирование операционной системы. При асинхронном запуске на15 Hz(период66.7 ms) сэмплер DDIM освежает буфер фрагментов с запасом26.3 ms. Путь разрешения — на 1 kHz в двухпроцессорной реализации — тем временем интерполирует фрагмент320 msи проверяет его свежесть, переходя на резерв, когда фрагмент истекает.
Нарастающая квадратичная ошибка при поведенческом клонировании
Офлайн-оценка с учителем выбирает из фиксированного распределения демонстраций. В исполнении замкнутого контура текущее действие влияет на последующее физическое состояние и следующее распределение наблюдений.
Пусть — эксперт, а — обучающийся. Предположим, что его вероятность ошибки не превышает на каждом шаге при индексируемом по времени распределении состояний эксперта : Ошибка может увести робота в состояния, которые демонстрации эксперта посещали редко. Офлайн-точность при не дает сопоставимой границы ошибки действия в этих индуцированных состояниях.
Соединим траектории обучающегося и эксперта до их первого расхождения. Если граница ошибки действует на каждом посещенном экспертом шаге, объединение границ дает для расхождения к шагу .6 Если дополнительная последующая цена после расхождения не превышает за шаг, то: Это верхняя граница при заявленных предположениях о цене и распределении Ross et al., 2011. Одна лишь точность валидации на одном шаге не способна предсказать конкретную вероятность отказа замкнутого контура.
Линейное снижение интерактивной агрегации данных (DAgger)
Алгоритм DAgger (агрегация датасета) Ross et al., 2011 противостоит этому сдвигу распределения, собирая обучающие данные под индуцированным обучающимся распределением состояний .
На каждой итерации обучения :
- Исполнить политику под применимой огибающей безопасности, чтобы собрать траектории .
- Запросить эксперта, чтобы разметить каждое посещенное состояние оптимальным восстановительным действием .
- Агрегировать восстановительный датасет .
- Переобучить политику на агрегированном датасете.
Для границы DAgger сделаем более сильное предположение, чем прежнее пошаговое : одно ошибочное действие, за которым следует эксперт, меняет ожидаемую оставшуюся цену не более чем на , независимо от горизонта. При метках эксперта на состояниях, посещенных обучающимся, онлайн-обучающемся без сожаления, достаточной емкости гипотез и допустимой границе конечной выборки выбранная политика может удовлетворять границе вида где — лучшая в классе потеря на распределении индуцированных состояний, — среднее сожаление онлайн-обучения, а покрывает обобщение на конечной выборке и выбор политики. Она масштабируется линейно по лишь когда и эти ошибки остаются контролируемыми. Состояниям дрейфа нужны корректирующие метки эксперта; одно лишь добавление восстановительных траекторий их не поставляет.
Распределения траекторий замкнутого контура и оцениваемые величины
Оценка обученной политики в воплощенном замкнутом контуре требует различать статические распределения демонстраций и индуцированные кандидатом физические распределения.
Пусть физический прогон параметризован начальным состоянием , параметрами среды (освещение, трение поверхности, геометрия препятствий), параметрами объекта управления (масса полезной нагрузки, инерции звеньев) и параметрами пути разрешения (длительности аренды, пороги барьера). При кандидатной политике и динамике переходов физического объекта управления совместная плотность вероятности исполненной траектории на горизонте равна: где представляет функцию наблюдения.
Индуцированное политикой дисконтированное распределение посещаемости состояний (маргинальное распределение по состоянию) имеет вид: или в случае конечного горизонта без весов: .
Дан бинарный индикатор успеха задачи (например, достижение целевого приемника без превышения пределов момента или запаса); истинная вероятность успеха задачи замкнутого контура по области эксплуатации есть формальный интеграл: Поскольку распределение посещенных состояний зависит прямо от предложений политики , офлайн-оценки по фиксированным записанным датасетам оценивают предсказания при и потому не дают статистической границы по , когда команды кандидата отклоняются от действий демонстратора.
Функции ценности и обоснование аффордансов
Обучение с подкреплением оптимизирует последовательное физическое принятие решений через накопление ожидаемого вознаграждения.
Оптимальность Беллмана и переоценка вне распределения
Оптимальная функция ценности состояние–действие удовлетворяет уравнению оптимальности Беллмана: При статических офлайн-данных максимизация может запросить обученного критика о действиях, слабо представленных в обучении. Переоценка ценности способна тогда благоприятствовать предложению вне распределения. Такому предложению все еще нужна независимо проверенная огибающая действий, прежде чем оно достигнет актуатора.
Обоснованный аффордансами выбор навыков в SayCan
Фреймворк SayCan Ahn et al., 2023 объединяет семантические знания языковых моделей большой емкости с физическими ограничениями аффордансов от обученных политик.
Пусть представляет высокоуровневую языковую инструкцию, а — доступный низкоуровневый навык. Вероятность исполнить навык в текущем физическом состоянии разлагается в произведение двух вероятностей: где:
- представляет семантическое априорное распределение, оценивая, вносит ли навык логический вклад в завершение инструкции .
- представляет вероятность физического аффорданса, моделируемую обученной функцией ценности, которая предсказывает вероятность успешно исполнить навык из текущего состояния .
Если обученная ценность правильно назначает недоступному навыку почти нулевую оценку, произведение понижает его приоритет. Обученная оценка оценивает успех; она не ограничивает ни путь, ни контактную силу, ни запас, поэтому требуется отдельная проверка разрешения на движение.
Сигнальная временная логика и непрерывная робастность
Верификация того, удовлетворяет ли физическая автономная система требованиям динамической безопасности, требует выйти за пределы мгновенных булевых утверждений к непрерывным временным спецификациям.
Синтаксис и семантика сигнальной временной логики
Сигнальная временная логика (STL) оценивает физические сигналы непрерывного времени по временным требованиям, заданным на интервалах времени : где — атомарный предикат (например, запас ), обозначает оператор Всегда, — оператор В конце концов, а — оператор До тех пор, пока.
Количественная степень робастности
Помимо булевого вердикта выполнимости (), STL допускает знаковую количественную метрику робастности .7 Для формулы, сочетающей давление, скорость и силу, сначала определим безразмерные атомарные запасы , где каждый положительный масштаб имеет ту же единицу СИ, что и его предикат. Тогда минимум и максимум ниже сравнивают однородные величины: Знак указывает на выполнение или нарушение, тогда как его нормированная величина безразмерна и зависит от объявленных масштабов. Сохраняйте каждый сырой физический запас и единицу отдельно в протоколе отказа; единый минимум из метров, ньютонов и килопаскалей не имеет физического смысла.
Испытания без отказов и стена наработки
Предположим, что вариант выпуска выбирает целевую частоту катастрофических событий и спрашивает, что способна установить одна лишь наработка без событий при доверии 95 %. Эта численная цель — допущение сценария, а не частота, универсально назначаемая IEC SIL, автомобильному ASIL или обученной политике.
Для независимых испытаний Бернулли одинаковой длительности с вероятностью события в каждом испытании вероятность нулевого числа событий равна:
Чтобы исключить гипотетическую вероятность события на одно испытание при одностороннем доверии , вероятность нулевого числа событий под этой гипотезой должна быть не более :
Взяв натуральный логарифм обеих частей:
Для редких событий, где , использование ряда Тейлора дает:8
Для стандартного доверия 95 % (): Этот результат — правило трех из раздела «Что устанавливают двадцать чистых прогонов», знакомое из инженерии надежности и биостатистики.
Стена наработки
Для непрерывного времени работы предположим, что инциденты следуют стационарному однородному пуассоновскому процессу с частотой , а часы парка применимы к той же конфигурации. Тогда , что дает после нуля инцидентов. Для выбранного требуемая наработка равна:
Наработка обратно пропорциональна выбранной частоте. Парк в принципе мог бы накопить эти часы, но парку из 100 машин потребовалось бы около 3420 лет непрерывной работы, что непрактично для иллюстрируемого цикла выпуска. Изменение весов, калибровки или прошивки требует аргумента эквивалентности конфигурации, прежде чем прежние свидетельства можно объединять; оно не обнуляет механически каждое наблюдение. Часы парка без событий ограничивают инциденты интегрированной системы по модели, а не опасные предложения, остановленные щитом. Раздел «Пределы физических испытаний» использует этот результат, чтобы показать: испытание без событий не способно достичь такой частоты.
Разложение нормального доверительного интервала Вальда и точные границы Клоппера–Пирсона
В стандартных бенчмарках машинного обучения эмпирические частоты успеха или отказов обычно сводят с помощью асимптотического нормального приближения Вальда. Для наблюдавшихся отказов на независимых испытаний Бернулли выборочная доля отказов равна . Двусторонний доверительный интервал Вальда имеет вид: где — критическое значение стандартного нормального распределения ( при доверии 95 %).
При квалификации физической автономности кандидатные системы подвергают стресс-испытаниям без отказов (). При выборочная доля равна , из-за чего член выборочной дисперсии оказывается точно равен нулю: Таким образом, интервал Вальда утверждает при доверии 95 %, что вероятность отказа после конечного прогона испытаний точно равна нулю. Он игнорирует неопределенность выборки, и его покрытие любой положительной вероятности отказа равно нулю.
Чтобы сохранить неасимптотическую статистическую строгость, квалификация физической автономности требует точных биномиальных доверительных интервалов Клоппера–Пирсона Clopper and Pearson, 1934. Интервал Клоппера–Пирсона обращает точную функцию биномиального распределения без нормальных приближений: Эти границы могут быть вычислены в точной замкнутой форме через квантили бета-распределения: Когда отказов не происходит (), нижняя граница равна , а односторонняя верхняя доверительная граница удовлетворяет , давая: При малом разложение в ряд Тейлора первого порядка дает правило трех: при . В отличие от вырожденного интервала Вальда интервал Клоппера–Пирсона имеет покрытие не меньше при любом .
Последовательный критерий отношения вероятностей
Оценка воплощенных физических политик на физическом аппаратном обеспечении дорога и ведет к механическому износу. Испытание с фиксированным размером выборки требует заранее задать число наблюдений и выполнить все физических испытаний, даже если система отказывает на первых прогонах или свидетельства уже решающие. И наоборот, наивная ранняя остановка (прекращение испытания, как только превышен номинальный порог) вносит смещение факультативной остановки, раздувающее ошибку I рода (объявление небезопасной политики безопасной).
Последовательный критерий отношения вероятностей (SPRT) Абрахама Вальда Wald, 1945 обходится с факультативной остановкой для двух заранее объявленных простых гипотез, обновляя отношение правдоподобия после каждого прогона и сравнивая его с границами остановки.
Логарифм отношения правдоподобия и обновления Бернулли
Пусть обозначают независимые исходы испытаний из последовательных физических прогонов. Рассмотрим две конкурирующие операционные гипотезы:
- Нулевая гипотеза : вероятность отказа системы неприемлема ().
- Альтернативная гипотеза : вероятность отказа системы удовлетворяет цели безопасности ().
После наблюдения испытаний накопленный логарифм отношения правдоподобия равен: Для дискретных испытаний Бернулли, где ( означает отказ задачи, а — успех задачи), пусть — накопленное число отказов за прогонов. Логарифм отношения правдоподобия сводится к точной оценке в замкнутой форме:
Границы остановки Вальда и правила решений
Даны объявленная частота ошибки I рода (максимально допустимая вероятность ложно принять , когда верна ) и частота ошибки II рода (максимально допустимая вероятность ложно отвергнуть , когда верна ); испытание идет по правилу остановки Вальда: где обычные приближения границ Вальда имеют вид: На каждом шаге оценки :
- Если : остановиться и предпочесть указанной под моделью испытания; это не общая сертификация безопасности.
- Если : остановиться и предпочесть указанной ; не выпускать по этим свидетельствам.
- Если : накопленные свидетельства остаются неубедительными; выполнить прогон .
Оптимальность среднего числа наблюдений
Для независимых одинаково распределенных исходов под этими двумя простыми гипотезами SPRT обладает результатом об эффективности по среднему числу наблюдений относительно сопоставимых испытаний.9 Действительная экономия машино-часов зависит от двух вероятностей событий, допусков ошибок, перерегулирования на границах остановки и цены испытания. Показанные пороги — приближения; для выбранного протокола нужен расчет операционных характеристик на конечной выборке или откалиброванное моделирование.
Теория экстремальных значений и хвостовой риск
При своих условиях центральная предельная теорема описывает нормированные суммы и средние, а не хвост каждого возмущения. Проектирование запаса или теплового режима может вместо этого зависеть от максимума по объявленному блоку наработки: Даже истинное стандартное нормальное распределение имеет односторонние вероятности превышения около на и на . При 1000 независимых выборок в секунду соответствующие средние ожидания составляют около 0,97 часа и 11,7 дня. Данные о контактах и задержках на шине могут иметь иные хвосты или зависимость; их семейство и высокие квантили должны оцениваться по релевантным измерениям, а не назначаться по имени механизма.
Теорема Фишера–Типпетта — Гнеденко
Для независимых одинаково распределенных наблюдений по блокам, чьи нормированные максимумы имеют невырожденный предел, теорема Фишера–Типпетта — Гнеденко Coles, 2001 ограничивает этот предел семейством обобщенных экстремальных значений (GEV):10 при и , с параметрами сдвига , масштаба и формы . Кандидатные предельные семейства:
- Гумбель (тип I, ): непрерывный предел при , часто рассматриваемый для наблюдений с легким хвостом:
- Фреше (тип II, , с индексом хвоста ): возможный предел для степенных хвостов (), если это поддерживается измеренной выборкой и подгонкой. Приведенное выше общее выражение GEV поставляет его CDF без изменения соглашений о сдвиге и масштабе.
- Вейбулл (тип III, ): возможный предел, когда измеряемая величина имеет конечную верхнюю границу. Номинальный механический упор сам по себе не ограничивает каждую измеренную силу или задержку.
Превышения порога и обобщенное распределение Парето
Для подходящего базового распределения и достаточно высокого порога превышение при может аппроксимироваться обобщенным распределением Парето (GPD). Анализ превышений порога сохраняет больше превышений, чем один максимум на блок, но требует внимания к кластерным зависимым событиям: где — масштаб порога, а выражение действует на своей области определения; случай определяется через предел.
Аппаратный запас и выбор квантилей
Для подогнанного GPD с долей превышений одной из возможных оценок высокого квантиля при вероятности превышения на выборку и является: где — число превышений порога за измеренных циклов. При его непрерывный предел равен . Любая из оценок должна нести неопределенность подгонки и выборки, а ее квантиль — вероятностная оценка, а не жесткая физическая граница.
Проектировщик может использовать подогнанные хвосты, чтобы выбирать уровни испытаний и кандидатные запасы. Критичной по безопасности границе запаса или силы дополнительно нужны проверенная рабочая огибающая, отклик актуатора, порог материала и политика для наблюдений вне диапазона свидетельств. Последовательная упругость, физические упоры или независимо синхронизируемое ограничение — возможные защиты, когда их собственное поведение измерено для данной машины.
Для дальнейшего чтения
Для более глубокого фундаментального понимания теории машинного обучения, последовательной статистики и моделирования экстремальных значений обращайтесь к следующим авторитетным источникам:
- Deep Learning Goodfellow et al., 2016 — комплексное изложение оптимизации нейросетей, регуляризованного обучения представлений и границ чувствительности Lipschitz.
- An Introduction to Statistical Modeling of Extreme Values Coles, 2001 — утверждает определенные математические основы GEV, GPD и количественной оценки хвостового риска.
- Sequential Analysis Wald, 1945 — развивает математический каркас от первых принципов и доказательства оптимальности среднего числа наблюдений для последовательного критерия отношения вероятностей.
- A Reduction-Based Framework for Sequential Prediction Ross et al., 2011 — утверждает теоретические основы нарастания ошибки при обучении с подражанием и выводит алгоритм DAgger.
-
Информационная энтропия Шеннона: Энтропия количественно оценивает среднюю неопределенность внутри заданного дискретного распределения. Ее физический смысл зависит от того, откалибровано ли это распределение по соответствующим объектам отнесения и наблюдениям. ↩
-
Ожидаемая ошибка калибровки: Биннинговые метрики калибровки количественно оценивают расхождение между достоверностью нейронных предсказаний и достигнутой эмпирической точностью по интервалам достоверности. Стандартные нерегуляризованные глубокие сети проявляют существенную переуверенность, поскольку минимизация кросс-энтропии уводит логиты к крайним значениям. Опора на неоткалиброванные оценки достоверности для управления резервными механизмами безопасности позволяет незамеченным сдвигам распределения портить исполнение команд в замкнутом контуре. ↩
-
Параметризация обратной глубины: Civera и коллеги использовали обратную глубину для представления далеких визуальных ориентиров в монокулярной оценке. ↩
-
Рекурсивная занятость в лог-шансах: Формулировка лог-шансов отображает значения вероятностей из ограниченного единичного интервала на неограниченную вещественную прямую, превращая нелинейные байесовские произведения в быстрые сложения. Динамические диапазоны ограничиваются верхними и нижними границами насыщения, чтобы предотвратить залипание насыщения. Отсутствие ограничения значений лог-шансов задерживает очистку динамических препятствий, когда физические объекты покидают рабочее пространство. ↩
-
Бюджет задержки диффузионного шумоподавления: Число последовательных вычислений шумоподавителя и их задержка зависят от сэмплера, бэкбона и аппаратного обеспечения. ↩
-
Нарастание ошибки при обучении с подражанием: Ross и коллеги проанализировали, как действия обучающегося сдвигают распределение состояний. Корректирующие метки эксперта на состояниях, посещенных обучающимся, способны снизить эту экспозицию. ↩
-
Робастность сигнальной временной логики: Количественная семантика отображает трассу и формулу в знаковую оценку. Ее величина наследует единицы атомарного предиката, лишь когда все сочетаемые предикаты используют соизмеримые единицы; иначе объявленная нормировка дает безразмерную оценку. Отрицательные оценки выявляют нарушения для поисков фальсификации, в пределах ограничений дискретного времени и измерений. ↩
-
Статистическое правило трех: Ноль событий в независимых испытаниях Бернулли дают точную одностороннюю верхнюю вероятность 95 % , при малых вероятностях приблизительно . Непрерывные часы работы вместо этого требуют объявленной модели частоты событий. Ни одно из вычислений автоматически не покрывает изменившиеся конфигурации или ненаблюдавшиеся классы опасностей. ↩
-
Последовательный критерий отношения вероятностей Вальда: Результат об эффективности предполагает указанные простые гипотезы и независимые одинаково распределенные исходы. Последовательный дизайн способен рано остановить бесперспективное испытание, не заявляя фиксированный процент сэкономленных часов робота. ↩
-
Семейство хвостов — это эмпирическое утверждение: Положительная подогнанная форма GEV предполагает модель тяжелого хвоста для измеренных блоков наработки; это не делает все силы столкновения распределениями Фреше. Размер блока, зависимость, выбор порога, диагностика подгонки и неопределенность параметров влияют на оценку высокого квантиля. ↩
Управление и динамика
В этом приложении собраны модели управления и динамики, используемые на протяжении всей книги. Их гарантии действуют только внутри задекларированной огибающей состояний, актуаторов, возмущений и тайминга.
Как пользоваться этим приложением
Обращайтесь к этому приложению, когда в главах этой книги возникают конкретные узкие места физических систем, границы интерфейсов управления или проектные решения о размерении:
| Когда встречается этот системный симптом | Смотрите | Этот количественный инструмент |
|---|---|---|
| Обученная политика командует небезопасные действия возле физических препятствий или пределов шарниров | «Безопасность и функции барьера управления» | Фильтры безопасности на функции барьера управления (CBF-QP) и кинетические врезки остановки |
| Переключение режимов (передача политики, человеческое вмешательство или резервирование) вызывает всплески момента | «Гладкие траектории и безударная передача» | квинтические сплайны, кубическая интерполяция Эрмита и границы безударной передачи |
| Размерение горизонта действительности, пространственной аренды или тайм-аута сторожевого таймера для фрагмента действий | «Кинематическая достижимость и огибающие намерения» | Треугольные, трапециевидные и ограниченные по рывку огибающие кинематической достижимости |
| Шарнирный манипулятор заклинивает, превышает пределы скоростей шарниров или теряет полномочия управления | «Прямая кинематика и сингулярности» | Сингулярности якобиана манипулятора и индекс манипулируемости Йошикавы |
| Пространственные смещения датчиков или плечи между IMU и камерой портят оценку состояния при вращении | «Пространственные системы координат и кинематика плеча» | Пространственные координатные преобразования () и распространение ускорений через плечо |
| Дискретная выборка и задержка транспорта разъедают запасы устойчивости контура управления | «Дискретная выборка и фазовое запаздывание нулевого порядка» | Фазовое запаздывание дискретного удержания нулевого порядка (ZOH) и потери запаса по задержке |
| Моделирование физики расходится, удары превышают пределы или колеса буксуют при маневрах | «Механика контакта твердых тел» | Дополнительность контакта, упругодинамический удар и границы проскальзывания колес |
| Окклюзии датчиков или ненаблюдаемые состояния приводят к расхождению неопределенности оценки состояния | «Распространение ковариации и наблюдаемость» | Непрерывное распространение ковариации по Ляпунову и ранг наблюдаемости по производным Ли |
| Телеуправление или податливый контакт дребезжат из-за задержки транспорта | «Пассивность и энергетически ограниченное взаимодействие» | Условия пассивности, волновые переменные и энергетически ограниченное взаимодействие |
| Недоактуированные шагающие и гуманоидные роботы уравновешивают динамический импульс через множественные точки контакта | «Динамика центра масс и управление плавающим основанием» | Уравнения импульса центра масс и иерархическое управление всем телом (QP) |
Безопасность и функции барьера управления
Независимый механизм принуждения может проверить предложение обученной политики по ограничению функции барьера управления до исполнения команды. Функция барьера управления (Control Barrier Function, CBF) описывает кандидатное инвариантное множество; ее защита зависит от наблюдаемого состояния, допустимого входа, модели объекта управления и выборочного времени отклика. Потолки момента и запас хода до препятствий могут потребовать отдельных ограничений.
Обозначим состояние системы , а управляющий вход — . Предположим, мы определяем безопасное рабочее множество как надуровневое множество непрерывно дифференцируемой скалярной функции :
- когда система находится строго внутри безопасного интерьера.
- на границе безопасного множества.
- когда система нарушает безопасность.
Производные Ли и прямая инвариантность
Прямая инвариантность означает, что траектория, начинающаяся в , остается там на смоделированном временном интервале. Это утверждение требует начального состояния в и допустимого управления в каждом достижимом состоянии.
Для непрерывно дифференцируемого барьера относительной степени один при непрерывном во времени управлении одним достаточным условием является:1 где — выбранный коэффициент усиления в , а не измеренная полоса пропускания торможения.
Когда велико, условие допускает некоторое убывание. При оно требует в непрерывной модели. Выбранный барьер должен прежде всего закодировать импульс объекта управления и доступное торможение; чистое расстояние нельзя регулировать напрямую моментом в объекте управления второго порядка.
Для аффинной по управлению динамической системы производная по времени вычисляется через направленные производные по правилу цепочки (производные Ли): где представляет неуправляемый дрейф запаса хода (импульс, гравитация), а представляет матрицу направленной эффективности управления.
Теорема Нагумо о жизнеспособности и касательные конусы
Геометрической основой инвариантности множеств для динамических систем является теорема Нагумо о жизнеспособности Blanchini, 1999. Пусть — непустое замкнутое множество. Конус Булигана (касательный конус) к в точке определяется как: где . Теорема Нагумо доказывает, что для автономной системы с локально липшицевым векторным полем множество инвариантно в прямом смысле тогда и только тогда, когда вектор скорости удовлетворяет условию субтангенциальности: В интерьере , так что условие выполняется тривиально. На границе гладкого множества, заданного нулевым надуровневым множеством ( при ), внутренняя нормаль равна . Касательный конус становится замкнутым полупространством, направленным внутрь или вдоль касательной плоскости безопасного множества: Следовательно, система не может выйти из множества тогда и только тогда, когда всегда, когда .
Функции барьера управления Ames et al., 2019 распространяют субтангенциальность Нагумо на управляемые аффинные системы . Для безопасности должен существовать допустимый вход такой, что . Вводя скорость затухания расширенного класса , удовлетворяющую , неравенство CBF: гарантирует, что по мере приближения состояния к границе () допустимая скорость затухания сжимается до нуля (). На границе оно строго принудительно обеспечивает , непосредственно сохраняя инвариант субтангенциальности Нагумо и предотвращая выход траектории в небезопасное множество.
Относительная степень и кинетические врезки остановки
Относительная степень функции барьера — это число дифференцирований по времени, после которого управляющий вход появляется явно: Для одномерного сближения с неподвижным препятствием пусть чистый запас хода равен , скорость сближения , а задаваемое ускорение сближения . Тогда и . Ускорение входит в чистый запас хода лишь со второй производной, поэтому имеет относительную степень два по отношению к этому входу. Один из подходов использует кинетическую врезку. При одномерном сближении с неподвижным препятствием пусть — измеренный запас хода, — скорость сближения, а — проверенная нижняя граница доступного тормозного замедления для рабочего состояния. Тогда: Для мгновенно задаваемого ускорения . Таким образом дает аффинное ограничение для . В неподвижном состоянии используйте отдельное правило пуска и запаса хода. Ошибка состояния, выборка и задержка начала торможения требуют дополнительных запасов хода; одного лишь непрерывного расчета для них недостаточно.
Квадратичная программа минимального вмешательства
Для барьера , первая производная которого действительно зависит от , механизм принуждения может выбрать команду возле номинального предложения, соблюдая допустимое множество входов: Записав его полупространство как с и , получаем эту проекцию для одного ограничения, когда и ни одно коробчатое ограничение не активно: Если допустимое множество непусто и выпукло, строго выпуклая целевая функция имеет единственный минимум. Время отклика решателя и общая задержка диспетчеризации должны быть измерены для выбранной размерности и аппаратуры.
Проверяйте осуществимость до опоры на инвариантность
Формула проекции не решает задачу с коробчатыми ограничениями. Обрезка ее результата постфактум может нарушить . Если ни одна команда не удовлетворяет одновременно барьеру и пределам актуатора, смоделированная инвариантность не может быть сохранена этим фильтром. Отдельно проверенная резервная стратегия все еще может ограничить вред; она не восстанавливает утраченное утверждение о прямой инвариантности. Допуск должен зарезервировать полномочия остановки до того, как состояние достигнет этой границы.
Гладкие траектории и безударная передача
Физическим системам свойственна инерция. Ступенька скорости — это идеальный импульс ускорения; ступенька ускорения — конечная ступенька момента при простой модели инерции. Вызывает ли задаваемый стык резонанс или повреждение, зависит от объекта управления, нагрузки и отклика контроллера.
Аналитические квинтические сплайны
Сегмент траектории в виде квинтического (пятой степени) полинома на временном интервале определяется как: Шесть коэффициентов однозначно определяются согласованием шести граничных условий при и : Решение получающейся линейной системы дает точные аналитические формулы: Тройное дифференцирование дает профиль рывка сегмента — квадратичную по времени функцию, остающуюся конечной на конечном сглаживании: Согласование положения, скорости и ускорения на концах дает -стыковку с примыкающими сегментами с теми же конечными значениями и убирает ступеньку задаваемого ускорения на стыке. Конечные условия ничего не говорят о внутренней части сегмента, поэтому его экстремумы рывка и момента, а также резонансный отклик шарнира все еще требуют проверки по измеренным пределам машины. Раздел «Поведение на стыке» помещает этот мост на стык между двумя фрагментами действий.
Матричная постановка краевой задачи
Коэффициенты полинома определяются вычислением траектории и ее двух первых производных на временных концах и . Это дает линейную систему с конфлюэнтной матрицей Вандермонда : Три верхние строки тривиально дают начальные граничные слагаемые: , и . Подстановка этих значений в три нижние строки выделяет коэффициенты высших порядков в приведенной системе : Определитель этой матрицы равен для всех строго положительных горизонтов сглаживания , что гарантирует невырожденность и единственность. Аналитическая обратная матрица: Умножение матриц непосредственно дает коэффициенты в замкнутой форме , приведенные выше.
Кубическая интерполяция сплайном Эрмита для синхронизации разнородных частот
При синхронизации физических потоков датчиков и состояний, приходящих с разнородными частотами (таких как кадры камеры на 30 Гц против траекторий энкодеров шарниров на 1 кГц), промежуточные позы должны непрерывно интерполироваться с сохранением непрерывности скорости. Кубический сплайн Эрмита на интервале с длительностью сегмента интерполирует положение и скорость между концами:
Вводя нормированную временную координату , параметризуем траекторию базисными полиномами кубического Эрмита: где базисные функции удовлетворяют: Дифференцирование по физическому времени дает мгновенную скорость: с базисными функциями производных: Поскольку базисные полиномы удовлетворяют , это дает -непрерывную траекторию, точно согласующую положение и скорость на границах выборок без вычислительных накладных расходов решения квинтической системы с шестью граничными условиями. Впрочем, результирующее ускорение кусочно линейно и разрывно на границах выборок (, но не ), порождая конечные ступеньки момента в узловых точках, которые должны оставаться в пределах допустимой скорости изменения момента актуатора.
Безударная передача и сглаживание
Для безударной передачи (раздел «Передача без разрыва») положим и используем -сглаживание для интерполяции двух команд: Первая и вторая производные на концах обращаются в нуль. Если — задаваемое ускорение, его производная по времени есть рывок задаваемого ускорения: Здесь дифференцируется по нормированному времени и достигает пика . Только для двух фиксированных, защелкнутых конечных ускорений () вклад смешивания удовлетворяет Это условие на скорость команды. Измеренный рывок объекта управления, ошибка слежения и доступный запас хода для остановки остаются отдельными проверками допуска.
Динамика гибких шарниров и сингулярные возмущения
Механические передачи, такие как волновые приводы, планетарные редукторы и тросовые механизмы, вносят крутильную упругость между роторами двигателей актуаторов и звеньями робота. Следуя канонической формулировке Mark W. Spong Spong, 1987, манипулятор с степенями свободы и упругими шарнирами описывается двумя связанными векторными дифференциальными уравнениями второго порядка: где:
- представляет физические координаты звеньев.
- представляет координаты роторов двигателей, приведенные через передаточное отношение к стороне звена.
- — симметричная положительно определенная матрица инерции звеньев.
- собирает члены Кориолиса и центростремительные члены.
- — вектор гравитационных моментов.
- — диагональная матрица приведенных инерций роторов ().
- собирает вязкое демпфирование двигателей.
- — диагональная матрица крутильной жесткости шарниров ().
- — вектор электромагнитных моментов актуаторов, подаваемых на ротор.
Сингулярная возмущенная постановка и разделение временных масштабов
Когда жесткость шарниров высока относительно инерции звеньев (), система обнаруживает разделение двух временных масштабов между медленной динамикой твердого тела и быстрыми крутильными колебаниями. Определим скалярный параметр возмущения , где , и выразим жесткость как с .
Определим быструю переменную состояния упругого момента : Двойное дифференцирование по непрерывному времени дает: Умножение на обнаруживает сингулярно возмущенный граничный слой: Вводя растянутую быструю временную переменную , преобразуем упругую динамику к виду:
Жесткое многообразие и резонанс граничного слоя
В сингулярном пределе, когда жесткость шарниров стремится к бесконечности (), быстрая упругая переменная алгебраически схлопывается на квазистационарное многообразие : Подстановка в динамику звеньев восстанавливает классические уравнения твердого тела с агрегированной инерцией : При конечной физической жесткости () любое высокочастотное возбуждение в задаваемом моменте — такое как разрывные ступеньки момента, порождаемые обученными нейронными политиками на дискретных интервалах инференса, — действует как импульсная вынуждающая функция на осциллятор граничного слоя , где матрица собственной частоты структурного резонанса равна: Поскольку механическое демпфирование передачи минимально (), несглаженные ступенчатые команды возбуждают устойчивый дребезг предельного цикла, ускоряют микроусталость зубьев передачи и обесценивают допущения о жестких звеньях. Принудительное обеспечение квинтической сплайн-интерполяции и ограничение скорости нарастания момента () необходимы, чтобы предотвратить ввод энергии в это быстрое многообразие граничного слоя.
Дискретная выборка и фазовое запаздывание нулевого порядка
Цифровые контроллеры реального времени выполняются периодически с периодом выборки . Драйверы актуаторов удерживают задаваемые задания постоянными между тактами часов с помощью удержания нулевого порядка (Zero-Order Hold, ZOH).
На частотах значительно ниже частоты выборки фаза удержания нулевого порядка эквивалентна задержке примерно в полпериода выборки: Для системы замкнутого контура, работающей на частоте среза , эта транспортная задержка разъедает запас по фазе системы на:2
Для фиксированных смоделированных задержек вычислений и шины добавочное фазовое запаздывание возле частоты среза приблизительно равно . Контроллер должен валидировать запас по фазе на измеренной задержке и рабочей огибающей; сама формула не предсказывает конкретный контактный отклик.
Кинематическая достижимость и огибающие намерения
Кинематическая достижимость характеризует пространственное множество конфигураций или поз рабочего органа, которых воплощенная система может достичь за заданный горизонт планирования или намерения .
Прямая кинематика и сингулярности
Для манипулятора с шарнирами отображение прямой кинематики отправляет координаты шарниров в позу рабочего органа : В задекларированном соглашении о пространственной или связанной вращательно-поступательной скорости якобиан манипулятора связывает скорости шарниров с шестикомпонентной вращательно-поступательной скоростью рабочего органа : Для шестимерной задачи и потеря ранга () отмечает кинематическую сингулярность. Слежение за ненулевой вращательно-поступательной скоростью вдоль утраченного направления потребовало бы неограниченных скоростей шарниров в идеальной обратной модели; реальные актуаторы насыщаются раньше. Проектное решение под конкретную задачу может следить за относительно проверенного порога.3
Время прохода траектории и достижимое расстояние
Для одномерного перемещения из покоя в покой с симметричным доступным ускорением и потолком скорости кратчайший номинальный проход имеет два режима:
- Треугольный профиль (ограничен ускорением): для коротких горизонтов, когда пиковая скорость не достигается ():
- Трапециевидный профиль (ограничен скоростью): для больших горизонтов ():
Ниже достижимое расстояние растет как квадрат доступного времени, а выше — лишь линейно, потому что механизм проводит остаток перемещения на потолке скорости.
При выход на полное ускорение с нуля занимает по крайней мере — если профиль вообще его достигает. Граница существует, потому что ступенька ускорения — это ступенька момента, которая бьет по люфту редуктора, возбуждает конструктивные моды и устремляет ток двигателя к пределам отказа инвертора. Траектория минимального времени может иметь четыре или семь фаз рывка, поэтому безусловная аддитивная поправка к трапециевидному времени недействительна. Решите ограниченный профиль для заданных начальной и конечной скоростей и ускорений, затем включите стоп-суффикс и задержку отклика при размерении аренды.
Идеализированные профили все еще служат допуску, ибо каждое добавочное ограничение (рывок, момент или термическое снижение номинала) может лишь ужать динамическое множество достижимости — состояния, достижимые из измеренного состояния за оставшееся время . Их времена прохода суть поэтому необходимые нижние границы, и предложение, чье идеализированное время уже превышает , может быть отвергнуто до полной проверки пути, момента и остановки. Раздел «Допустимые множества целей» применяет этот отказ к досягаемости руки относительно отслеживаемого горизонта.
Пространственные системы координат и кинематика плеча
Поза твердого тела в трехмерном пространстве параметризуется специальной евклидовой группой . Жесткое преобразование из системы координат в систему представляется однородной матрицей преобразования : Когда датчики — такие как IMU или камеры — смещены от центра вращения тела на плечо , вращательное движение индуцирует кажущиеся скорости и ускорения в точке расположения датчика . Линейная скорость и линейное ускорение удовлетворяют: где — угловая скорость тела, — угловое ускорение, — тангенциальное ускорение, а — центростремительное ускорение. Оценка состояния и конвейеры восприятия должны компенсировать эти кинематические члены плеча при синхронизации внешних параметров нескольких камер и слиянии данных IMU.
Аренды действительности сторожевого таймера и границы задержки телеуправления
В распределенных автономных системах и архитектурах супервизорного телеуправления полномочия исполнения команды управляются арендами действительности ограниченной длительности и ограничениями задержки связи.
Кинематический вывод аренд действительности сторожевого таймера
Рассмотрим автономную мобильную платформу или манипулятор, движущиеся со скоростью к препятствию с измеренным физическим свободным расстоянием . Если хост-процессор или нейронная сеть не обновляют задание управления, аппаратный или прошивочный сторожевой таймер обязан вмешаться, чтобы предотвратить нарушение границы.
Полное истекшее время от сенсорного наблюдения до начала физического торможения складывается из пяти последовательных интервалов: где:
- — предоставленная длительность, в течение которой предложение политики остается действительным для исполнения.
- — задержка обнаружения отсчета сторожевого таймера до распознавания потери сигнала живости.
- — необязательное переходное удержание или окно подавления дребезга для подтверждения отказа.
- — возраст сенсорных свидетельств (экспозиция, считывание и транзит по шине к часам контроллера).
- — физическая задержка срабатывания актуатора до достижения тормозным замедлением задаваемого нижнего предела.
При постоянной крейсерской скорости до начала торможения, проверенной нижней границе механического тормозного замедления , границе локализации и фиксированном защитном запасе полный остановочный путь, ограниченный доступным свободным расстоянием , удовлетворяет: Прямое решение относительно максимально допустимой аренды действительности дает: Если , скорость платформы превышает ее остановочный запас для текущего свободного расстояния, и механизм принуждения реального времени обязан немедленно отозвать разрешение движения и выполнить проверенную аварийную остановку.
Границы времени туда-обратно сети телеуправления
Когда человек-супервизор дистанционно управляет роботом через внешний беспроводной канал, контур управления включает задержку человеческой перцептивной реакции и транспортные задержки сетевых пакетов. Обозначим:
- — экспозиция видеокамеры, кодирование, нисходящий канал сети и задержка дисплея оператора.
- — время человеческой нервно-мышечной реакции ().
- — транспортная задержка сети туда-обратно.
- — запаздывание включения торможения актуатора.
- — чисто механический тормозной путь.
Полное доступное время до исчерпания свободного расстояния ограничено величиной . Допустимый потолок сетевой задержки туда-обратно: Если дрожание сети выталкивает за эту границу, человеческий оператор не может заметить препятствие и выдать корректирующую команду до того, как машина исчерпает свой остановочный путь. Следовательно, локальный механизм принуждения реального времени обязан независимо оценивать физические инварианты на , отзывая командные полномочия оператора и исполняя автономное торможение до потери физического свободного расстояния. Раздел «Человеческие полномочия над исполнением команды» использует эту границу для размерения передачи, где круговой путь оператора расходует тот же бюджет до торможения.
Кинодинамические границы против пассивности волновых переменных
Транспортная задержка в телеуправлении создает два различных режима отказа: нарушение пространственной границы (кинематическое столкновение) и высокочастотный динамический дребезг (утрата пассивности замкнутого контура). Хотя волновые переменные (раздел «Пассивность и энергетически ограниченное взаимодействие») сохраняют пассивность порта и предотвращают накопление энергии при задержке, пассивность гарантирует лишь то, что телеуправляемое устройство не станет активным источником энергии. Она не ограничивает физическое смещение. Безопасность требует одновременного выполнения обоих инвариантов: волновые переменные ограничивают энергию интерактивного контакта, тогда как кинодинамическое неравенство задержки гарантирует свободное от столкновений пространственное расстояние.
Механика контакта твердых тел
Моделирование и управление физическим взаимодействием — таким как локомоция, ловкое захватывание и сборка инструментом — требует моделирования механического контакта. Определяющий физический вызов контакта — его негладкая дополнительность: силы взаимодействия возникают строго тогда, когда тела устанавливают физический контакт.
Пусть — знаковое расстояние между двумя телами:
- : тела разведены.
- : тела соприкасаются.
- : тела проникают друг в друга (геометрическое взаимопроникновение, которое жесткая механика строго запрещает).
Пусть — нормальная контактная сила, раздвигающая тела:
- Если , контакта нет, поэтому .
- Если тела соприкасаются, они могут оказывать лишь отталкивающую контактную силу, поэтому .
Идеальный односторонний контакт представляется условиями дополнительности:
- Непроникновение:
- Односторонняя сила:
- Дополнительность:
Эти условия исключают растягивающий нормальный контакт. Задача жесткого контакта, дискретизированная по времени, становится линейной задачей дополнительности лишь при подходящих допущениях линеаризации и контакта; контактные модели с трением могут быть нелинейными или требовать иных решателей. Сами по себе они не устанавливают достоверность sim-to-real.
Негладкие многообразия столкновений и скачки скорости
Для лишенного трения нормального удара о неподвижную жесткую плоскость пусть — нормальная скорость до удара, а — коэффициент восстановления. Нормальная компонента подчиняется ; тангенциальная скорость и движущаяся граница требуют дополнительных уравнений. При эффективной нормальной массе нормальный импульс равен . В идеальном ударе нулевой длительности скорость скачет, а ускорение является импульсом, а не обычной конечной производной:4
Гладкие обученные модели и градиенты траекторий могут быть неточны на сменах контактных режимов. Контроллер может использовать явную гибридную/контактную модель, тогда как податливость, накладки или ограничители момента могут снижать силу лишь в пределах проверенных условий хода, энергии, износа и силовой цепи. Ни моделирование, ни пассивный элемент поодиночке не гарантируют безопасный контакт.
Упругодинамическая ударная сила и деформация податливости
Когда эффективная движущаяся масса ударяется о препятствие или ткань человека, приближения твердого тела разрушаются, ибо реальные материалы деформируются упруго на ненулевом ходе сжатия . Обозначим эффективную жесткость контакта через границу раздела. При последовательной податливости между конструктивной цепью манипулятора () и тканью человека или препятствием ():
Несмягченная упругая ударная сила
Для несмягченного столкновения со скоростью удара начальная кинетическая энергия полностью переходит в энергию упругой деформации в точке максимального сжатия (). Сохранение энергии дает пиковую деформацию конструкции: Результирующая пиковая переходная контактная сила вычисляется как: Это соотношение устанавливает, что пиковая ударная сила линейно масштабируется со скоростью и с квадратным корнем как движущейся массы, так и жесткости контакта. Даже скромные кинетические энергии (например, ), ударяющие жесткие биологические структуры (), порождают пиковые силы свыше — далеко за пределами ограничений безопасности совместной работы (таких как переходные пороги ISO/TS 15066).
Связанное контактное вдавливание с механическим торможением
Когда активные механические тормоза включаются с постоянным замедлением во время деформации, тормозная система совершает механическую работу на глубине вдавливания . Связанный энергетический баланс принимает вид: Приведя к квадратичному виду: Решая относительно физически допустимого положительного корня деформации: При это выражение гладко восстанавливает несмягченную деформацию . Поскольку длительность сжатия в четверть цикла типично порядка , реактивное торможение, запускаемое лишь после физического контакта, не может ослабить начальный пик силы, если задержка обнаружения датчиком и включения тормозов превышает . Следовательно, кейсы безопасности не могут подменить реактивным послеударным торможением проверенные огибающие запаса хода разделения до удара ().
Проскальзывание колеса и границы трения
Для колесных мобильных роботов и наземных платформ передача силы тяги между пятном контакта колеса и плоскостью земли управляется нелинейной динамикой проскальзывания. Коэффициент продольного проскальзывания количественно описывает кинематическое несовпадение скоростей между окружной скоростью колеса (радиус колеса , угловая скорость ) и продольной скоростью машины вперед: Нормированная форма, часто реализуемая в цифровом управлении тягой, избегает сингулярностей знаменателя через: где соответствует чистому качению без проскальзывания, — полной пробуксовке ведущего колеса (), а — полной блокировке колеса ().
Сила тяги масштабируется с нормальной контактной нагрузкой через коэффициент продольного трения : При малых коэффициентах проскальзывания () резина шины или протектора сдвигается упруго, и сила тяги приблизительно линейна по проскальзыванию: с продольной жесткостью тяги . За сцепление схлопывается в грубое трение скольжения: наклон становится отрицательным, делая разомкнутое управление моментом неустойчивым. Если не обоснованная физикой политика командует момент двигателя привода, превышающий пиковую тягу (), колесо быстро разгоняется в неустойчивый режим проскальзывания (). Это вызывает пробуксовку, сильное возмущение угловой скорости рыскания или утрату полномочий бокового управления — киберфизический разрыв, который нельзя обнаружить метриками направленного согласия или косинусного сходства, оценивающими лишь углы векторов и игнорирующими величину управления.
Распространение ковариации и наблюдаемость
Когда датчики теряют прямую видимость или подвергаются окклюзии средой, внутренние оценщики состояния должны проецировать физическое состояние вперед по времени. Количественная оценка того, как быстро деградирует уверенность оценки на слепых интервалах, требует анализа непрерывной динамики ковариации ошибки и наблюдаемости систем.
Непрерывная динамика ковариации Ляпунова и Риккати
Рассмотрим линейную динамическую систему непрерывного времени, описываемую: Для непрерывной модели белого шума и — интенсивности шума процесса и измерений с ковариационными ядрами и . Модель предполагает надлежащую независимость и .
При оптимальном оценщике непрерывного времени (фильтре Калмана–Бюси Kalman, 1960) матрица ковариации ошибки эволюционирует в соответствии с непрерывным матричным дифференциальным уравнением Риккати:5
Когда прямое наблюдение окклюдировано или потеряно (), измерительный корректирующий член обращается в нуль. Рост ковариации схлопывается к разомкнутому контуру непрерывного дифференциального уравнения Ляпунова: Решение распространяет начальную неопределенность и накопленную через . Неустойчивые моды могут расти экспоненциально; случайное блуждание с растет линейно по ковариации. Запись памяти состояний должна нести откалиброванную модель роста и прекращать разрешение на слежение до того, как ее заявленная граница ошибки пересечет физический допуск. Одна ковариация не является жесткой огибающей ошибки, если ее хвост и модельные предположения не обоснованы.
Замкнутая форма разложения ковариации двойного интегратора
Рассмотрим одномерную кинематическую систему двойного интегратора, моделирующую положение и скорость при неизмеренном стохастическом шуме ускорения : где — непрерывный белый шум процесса с нулевым средним и непрерывной спектральной плотностью мощности , такой что . Здесь , а матрица непрерывного шума процесса .
Матрица нильпотентна, поэтому переход состояния конечен: В течение слепого окна окклюзии без обновлений измерений () полная ковариация состояния эволюционирует как сумма неуправляемого однородного распространения и накопленной диффузии процесса: Пусть начальная ковариация состояния в момент потери датчика () равна: Однородный член распространения вычисляется как: Накопленный стохастический диффузионный член интегрируется по истекшему времени: Суммирование однородного и стохастического вкладов дает дисперсию положения в замкнутой форме : Этот вывод объясняет различные физические режимы ошибки во время окклюзии датчика: начальная неопределенность скорости индуцирует квадратичный рост ошибки по времени (), тогда как непрерывные стохастические возмущения (такие как воздушные потоки или несмоделированный дребезг силовой передачи) вносят кубический рост неопределенности (). На длинных слепых интервалах кубическое слагаемое доминирует, быстро исчерпывая запасы безопасности, если движение не снижается или не останавливается.
Ранг наблюдаемости и обобщения через производные Ли
Линейная система наблюдаема на , если ее начальное состояние может быть однозначно восстановлено по выходам и известным входам. Для линейной стационарной пары матрица наблюдаемости имеет полный столбцовый ранг тогда и только тогда, когда состояние наблюдаемо: Для гладкой автономной нелинейной системы , локальный тест ранга строит кодистрибуцию из дифференциалов последовательных производных Ли , пока ее ранг не перестает расти.6 Полный локальный ранг является достаточным условием локальной слабой наблюдаемости при ее предположениях регулярности; конечное усечение на не является универсально достаточным.
Если , содержит разности начальных состояний, порождающие идентичные идеальные выходы. Обновления измерений не могут разрешить эти направления по этой модели датчика, хотя конкретный коэффициент Калмана не обязан содержать буквальные нулевые элементы. Оценщик должен обнажать такие ненаблюдаемые компоненты и поддерживать независимую границу роста либо ограничивать задачу.
Динамика центра масс и управление плавающим основанием
Шагающие роботы и динамические гуманоиды фундаментально отличаются от манипуляторов с фиксированным основанием: они обладают недоактуированным плавающим основанием с шестью степенями свободы, которым нельзя командовать напрямую двигателями. Робот может двигать свой центр масс (CoM) и менять пространственную ориентацию лишь обмениваясь контактными силами со средой через стопы или кисти.
Уравнения движения плавающего основания
Пусть представляет обобщенные координаты, где — поза плавающего основания, а — углы приводимых шарниров. Уравнения движения имеют вид Siciliano et al., 2009: где — матрица отбора исполнения, отделяющая 6 неактуируемых координат плавающего основания от приводимых шарниров, а — якобиан контактной точки для контактной нагрузки .
Динамика импульса центра масс
Проецирование динамики плавающего основания на центр масс робота дает уравнения импульса центра масс Ньютона–Эйлера Lynch and Park, 2017: где — линейный импульс, — момент импульса относительно центра масс, а — положение, сила и момент в каждом активном пятне контакта.7
Физические ограничения допустимости контакта
Поскольку среда не может тянуть робота, а контактные поверхности обладают конечным трением, допустимые контактные нагрузки должны удовлетворять трем физическим инвариантам:
- Односторонняя нормальная сила: стопы могут лишь отталкивать землю:
- Конус трения Кулона: тангенциальные касательные силы не могут превышать нормальную тягу:
- Условие опоры для компланарных контактов: при допущениях плоской земли точка нулевого момента (ZMP) должна оставаться внутри эффективного опорного многоугольника с врезкой по конкретному случаю:8 где — каждое активное пятно контакта, спроецированное на эту плоскость.
Иерархическая квадратичная программа управления всем телом
Единый контроллер управления всем телом может отслеживать задачи корпуса и стоп, ограничивая динамику и контактные силы. Для иллюстративной выборочной реализации консервативное полиэдральное приближение трения делает возможной следующую выпуклую квадратичную программу; точный круговой конус нормы в предыдущем уравнении вместо этого дает ограничение второго порядка в виде конуса: Здесь описывает выбранное внутреннее приближение измеренного конуса трения. Приведенные ограничения положений шарниров касаются текущей конфигурации; реальный контроллер должен также ограничивать предсказываемое движение между выборками. Решение за 1 мс — пример предельного срока, который предстоит валидировать с выбранным числом контактов, решателем, процессором, оценкой трения и резервированием. Численное допустимое решение само по себе не доказывает, что точка опоры выдержит нагрузку.
Пассивность и энергетически ограниченное взаимодействие
При телеуправлении или жестком контакте транспортная задержка может снизить запас демпфирования контура обратной связи. Пассивность — условие энергетического учета, полезное для анализа заданного соединения; она не устраняет необходимости проверять насыщение актуатора, геометрию контакта, выборку и запасенную энергию.
Запас энергии и определение пассивности
Рассмотрим динамическую систему непрерывного времени с состоянием , управляющим входом (переменная усилия, такая как сила или момент ) и измеряемым выходом (переменная потока, такая как скорость ). Система определяется как пассивная, если существует непрерывно дифференцируемая неотрицательная функция запаса (представляющая полную внутреннюю физическую энергию, запасенную в импульсе масс и податливости конструкции), такая что:
где представляет мгновенную мощность, вводимую в систему, а обозначает внутреннюю диссипацию энергии (такую как механическое демпфирование или электрическое сопротивление). Интегрирование «производной пассивности управления» на любой рабочей длительности дает фундаментальное энергетическое неравенство пассивности:
При «интеграле пассивности управления» и задекларированной ориентации порта чистая энергия, извлекаемая из этого смоделированного компонента, ограничена его начальным запасом. Нагруженный механизм все еще может высвободить достаточно запасенной энергии, чтобы ранить или повредить; пассивность не является ограничением контактной силы.
Соединение с отрицательной обратной связью совместимых пассивных компонентов сохраняет пассивный энергетический баланс, когда порты и знаки совпадают. Ограниченная или асимптотическая устойчивость состояния требует дополнительных условий запаса и обнаружимости. Человека, инструмент с приводом или активную среду нельзя считать пассивными без свидетельств.
Угроза дестабилизации транспортной задержкой
Необработанный канал связи усилие/поток не обязан оставаться пассивным при задержке. Фиксированная чистая задержка вносит фазу на угловой частоте , однако универсального порога в , определяющего знак произвольного связанного механического импеданса, не существует.
Для конкретного контроллера запаздывающая силовая обратная связь может плохо противодействовать текущему движению оператора и вводить энергию в замкнутый контур. Вызывает ли это дребезг, зависит от знаков порта, демпфирования, распределения задержки и жесткости контакта; измеряйте эти условия, а не выводите отказ из одной лишь задержки.
Сохранение пассивности через волновые переменные
Для канала задержки с заданной ориентацией порта преобразование волновых переменных Anderson and Spong, 1989 отображает усилие и поток во входящие и исходящие волны с характеристическим сопротивлением :
Вычисление мгновенной мощности из волнового преобразования в уравнении «волновые переменные управления» обнаруживает: Для идеальной фиксированной задержки принятая волна — это запаздывавшая переданная волна. Канал может удерживать энергию в полете, поэтому неравенство между мощностями ведущего и ведомого портов в одном окне требует слагаемого запаса канала: с согласованными знаками. Схема рассеяния может сохранять пассивность канала при своих предположениях; зависящая от времени задержка, потеря пакетов, выборка, насыщение и конечные точки с приводом требуют дополнительной компенсации или испытаний. Она не гарантирует безопасность контактной силы и не гарантирует сходимость полной системы человек-робот.
Дополнительная литература
Для более глубокой теоретической основы в теории управления, робототехнике и динамических системах обращайтесь к следующим авторитетным источникам:
- Modern Robotics: Mechanics, Planning, and Control Lynch and Park, 2017 дает изящное строгое изложение кинематики и динамики с использованием теории винтов и групп Ли.
- Robotics: Modelling, Planning and Control Siciliano et al., 2009 служит авторитетным источником по динамике многосвязных роботов, генерации траекторий и управлению в операционном пространстве.
- Feedback Systems: An Introduction for Scientists and Engineers Åström and Murray, 2021 излагает классическую теорию управления и управление в пространстве состояний, запасы устойчивости в частотной области и оценку состояния с первых принципов.
-
Жизнеспособность границы: условие касательного конуса Нагумо характеризует инвариантность при предположениях регулярности. Приведенное неравенство CBF является достаточным проектным условием для указанной гладкой аффинной по управлению модели. Выборочной реализации требуется отдельная граница для ошибки состояния, вычислений, интервала удержания и отклика актуатора; невыполнение одного кандидатного неравенства не доказывает контакт в пределах одного интеграционного шага. ↩
-
Запас по фазе и задержка: чистая задержка вносит фазу . Приближение в полпериода выборки применимо в основной полосе; фактическая устойчивость зависит от выборочной модели объекта управления, компенсации, дрожания и измеренного суммарного отклика. Потребление смоделированного запаса по фазе предсказывает утрату заявленного запаса устойчивости, а не конкретный разрушительный режим отказа. ↩
-
Мера манипулируемости Йошикавы: мера обобщает эллипсоид скоростей для выбранного якобиана задачи. Возле потери ранга команды обратной кинематики могут превышать пределы скоростей шарниров или момента. Фактический отклик привода и резервирование зависят от заданного контроллера и аппаратуры. ↩
-
Интегрирование по шагам Моро и негладкая механика: мерно-дифференциальные модели представляют идеальные импульсы, не разрешая микроскопическую длительность контакта. Численным решателям контакта все еще требуются проверенные геометрия, закон трения и исследование шага для объекта управления; гладкий оптимизатор, опускающий удар, может пропустить релевантный силовой переходный процесс. ↩
-
Непрерывное матричное уравнение Риккати: измерительный член снижает смоделированную ковариацию, когда приходят корректные измерения. Во время окклюзии распространение следует модели объекта управления и шума процесса. Его рост может быть ограниченным, линейным, полиномиальным или экспоненциальным в зависимости от динамики и шума; оценщик обязан сопоставить получающуюся границу с допуском задачи. ↩
-
Нелинейная наблюдаемость Германа–Кренера: полный ранг кодистрибуции наблюдения — локальный структурный тест, а не граница точности по шуму датчиков или конечному горизонту. Отсутствующее направление состояния может потребовать другого датчика, активного маневра с собственным разрешением или ограниченной рабочей огибающей. ↩
-
Матрица импульса центра масс: центроидная динамика обобщает внешнюю нагрузку, необходимую для предложенного изменения центра масс и момента импульса. Контроллеру все еще нужны допустимые контакты и момент актуатора; опущение момента импульса может неверно предсказать требуемые контактные моменты. ↩
-
Точка нулевого момента (ZMP): ZMP полезна для заданной компланарной модели опоры. Контакт по краю, потеря трения и опоры разной высоты требуют более общих проверок допустимости нагрузки; пересечение смоделированного края многоугольника само по себе не предсказывает конкретное падение. ↩
Системы и оборудование
Это приложение собирает использованные во всей книге встроенные модели времени, памяти, питания и актуаторов вместе с байтовыми раскладками протоколов, пересекающих границу предложения. Каждая граница зависит от конкретного устройства, рабочей нагрузки и рабочей огибающей; уравнения указывают, что должно быть измерено до того, как может быть заявлен физический предельный срок.
Как пользоваться этим приложением
Обращайтесь к этому приложению при диагностике узких мест систем, дрожания тайминга, нестабильности питающих шин или границ аппаратных интерфейсов в главах этой книги:
| Когда встречается этот системный симптом | Обратитесь к | За этим количественным инструментом |
|---|---|---|
| Задача безопасности реального времени пропускает предельные сроки периодического исполнения | «Таймеры реального времени, сторожевые таймеры и планируемость» | Худшее время выполнения (WCET) и анализ времени отклика (RTA) |
| Взаимная блокировка программного обеспечения или паника ядра замораживают контуры управления актуаторов | «Таймеры реального времени, сторожевые таймеры и планируемость» | Обнаружение сторожевого таймера и отдельно измеренный отклик пути остановки |
| MOSFET моста инвертора перегорают или срабатывают защиты от перегрузки по току | «Таймеры инверторов и управление затворами силовой электроники» | Комплементарные ШИМ-таймеры микроконтроллера и вставка мертвого времени |
| Тяжелые всплески нейронного инференса вызывают сбросы по просадке питания вычислений | «Индуктивная просадка и растяжение задержки вентилей» | Индуктивная просадка () и задержка вентилей по альфа-степенному закону |
| Высокоскоростные DMA-потоки датчиков приводят к пропускам предельных сроков потоками безопасности | «Конкуренция за DRAM и арбитраж межсоединений» | Штрафы конфликтов банков DRAM и невытесняемая пакетная постановка в очередь |
| Потоки сенсорного слияния страдают от смещения временной привязки при движении | «Синхронизация часов и сетевые метки времени» | Аппаратные метки времени PTP и ограниченное преобразование часов |
| Очереди общей памяти между Linux и микроконтроллером безопасности (MCU) возвращают разорванные или устаревшие данные | «Почтовые ящики гетерогенного SoC и барьеры памяти» | Аппаратные почтовые ящики SoC, RPMSG и аппаратные барьеры памяти |
| Актуаторы шарниров не отслеживают внезапные реверсы момента, дребезжат или перегреваются | «Электрическая и тепловая динамика актуаторов» | Постоянные статора, тепловые ОДУ и пределы приведенного рывка ротора |
| Аварийное торможение поднимает напряжение шины постоянного тока и повреждает силовой кремний | «Распределение энергии шины постоянного тока и ее поглощение» | Всплески рекуперативной энергии конденсаторов и динамические тормозные чопперы |
| Общие последовательные шины испытывают задержки в очередях и дрожание сообщений | «Полевые шины реального времени и синхронизация без блокировок» | Блокировка приоритета CAN FD, бюджеты циклов EtherCAT и ограниченные seqlock-протоколы |
| Мононокулярные 3D-рамки искажаются, а ковариация глубины расходится | «Проективная геометрия камеры и распространение ковариации» | Внутренняя проекция отверстия, калибровка Чжана и ковариация метрической обратной проекции |
| Мобильная база нарушает буферы запаса хода при увлажнении поверхности | «Кинематические огибающие остановки и запаздывание информации» | Кинематические огибающие остановки, запаздывание информации и ограничения скорости |
| Протокол должен быть размещен в почтовом ящике или журнале фиксированного размера | «Форматы передачи цепочки протоколов» | Байтовые раскладки предложения и протоколов; порядки полей манифеста и регистров |
| Передача, испытание с внедрением отказа или ворота выпуска должны быть реализованы шаг за шагом | «Форматы передачи цепочки протоколов» | Протоколы передачи полномочий, внедрения отказов и ворот выпуска рядом с их протоколами |
| Нужны быстрые физические ориентиры порядка величин по времени, кинетике, теплу и рискам | «Числа, которые нужно знать о физическом ИИ» | Иерархия частот, пересчеты слепого хода, тепловые постоянные и стены наработки |
Числа, которые нужно знать о физическом ИИ
Так же как «Latency Numbers Every Programmer Should Know» от Jeff Dean1 сформировали распределенные системы, а классические системы машинного обучения связали производительность программного обеспечения с пропускной способностью памяти и арифметической интенсивностью, инженерам систем физического ИИ требуется соответствующая количественная интуиция, охватывающая вычисления, кинетику, теплоотвод и функциональную безопасность. В физическом ИИ задержка программного обеспечения — не просто время ожидания; она превращается прямо в необратимый кинетический импульс, непроверенное перемещение и накопление термодинамического тепла в статорах двигателей и вычислительном кремнии.
Этот раздел собирает основополагающие числа порядка величин, законы масштабирования и инженерные эмпирические правила, управляющие проектированием киберфизических машин. Все числа взяты из одного источника — mlsysim. Запомните зависимости; конкретные числа используйте как проверку на здравый смысл.
Три важнейших физических числа
- Кинетическая эквивалентность: (при ): При номинальной роботизированной скорости каждая отдельная миллисекунда задержки восприятия, инференса или полевой шины превращается ровно в слепого хода до того, как может быть приложен замедляющий момент. На скорости шоссе () каждая миллисекунда — это . В физических системах задержка программного обеспечения — не время ожидания, а физическое смещение.
- Термическое расхождение: против : Переходы полупроводников нагреваются адиабатически за миллисекунды во время всплесков глубоких нейронных сетей, влекущих просадку напряжения или термический троттлинг раньше, чем среагируют радиаторы. Напротив, электромагнитные обмотки статора нагреваются за десятки–сотни секунд, перенося кратковременную перегрузку по току при агрессивных маневрах, но накапливая тепловую энергию, которая в итоге ограничивает длительно отдаваемый момент.
- Стена наработки: : Доказательство сверхнизкой частоты катастрофических отказов (ISO 26262 ASIL D) требует часов работы без отказов по правилу трех Пуассона Hanley and Lippman-Hand, 1983. Статистическое эмпирическое тестирование обученных сквозных моделей не может преодолеть эту стену наработки без детерминированных огибающих разрешения времени выполнения и формальных фильтров безопасности.
Иерархия частот и задержек по уровням машины
Частоты управления в физическом ИИ круто возрастают от обдумывающего Мозга вниз к физическому Телу («Иерархия частот и задержек по уровням машины»). Обдумывающие мультимодальные модели (VLA) работают в масштабах человеческой реакции (). Модели фрагментации действий выдают точки будущих траекторий на . Под границей предложения путь разрешения принудительно обеспечивает барьеры безопасности на . На нижних уровнях токовые контуры силовой электроники и ШИМ-переключение работают на десятках–сотнях килогерц для поддержания электромагнитного потока и момента привода. Планируемость таймеров реального времени и анализ времени отклика см. в разделе «Таймеры реального времени, сторожевые таймеры и планируемость»; переключение затворов инвертора и моделирование мертвого времени см. в разделе «Таймеры инверторов и управление затворами силовой электроники».
| Уровень машины | Частотный диапазон | Период цикла | Слепой ход при 1 м/с | Архитектурный механизм и граница |
|---|---|---|---|---|
| Мозг (обдумывание) | 1–5 Hz | 200–1 000 ms | 200–1 000 mm | Мультимодальные рассуждения VLA; ограничен памятью и вычислениями |
| Мозг (фрагментация действий) | 10–50 Hz | 20–100 ms | 20–100 mm | Диффузионная/трансформерная декодировка фрагментов действий; амортизировано |
| Нервная система (разрешение) | 1 kHz | 1 ms | 1 mm | Сертификаты барьеров управления, огибающие остановки, сторожевой таймер аренды |
| Тело (контур тока) | 10–25 kHz | 40–100 µs | 40–100 µm | Векторное управление током (FOC), слежение за моментом, поток статора |
| Тело (переключение инвертора) | 50–200 kHz | 5–20 µs | 5–20 µm | Управление затворами силовых MOSFET, вставка мертвого времени (), индуктивная просадка |
Иерархия частот и задержек по уровням машины: Охватывая пять частотных десятилетий — от субмикросекундного переключения затворов MOSFET до обдумывания фундаментальных моделей в секундном масштабе. Каждый частотный диапазон накладывает жесткий период цикла и непроверенное физическое расстояние перемещения при номинальной скорости ().
Кинетический перенос и безопасные огибающие остановки
Полный остановочный путь объединяет линейный слепой ход, накопленный за время вычислительной задержки, и квадратичный механический тормозной путь («Кинетический перенос между архетипами платформ»). По мере роста скорости платформы абсолютный слепой ход быстро растет, съедая целые запасы свободного расстояния до начала замедления. Многокоординатные кинематические цепи, траектории с ограниченным рывком и выводы запаздывания по возрасту информации см. в разделе «Кинематические огибающие остановки и запаздывание информации».
| Архетип платформы | Номинальная скорость | Тормозное замедление | Слепой ход () | Слепой ход () | Полная остановка () |
|---|---|---|---|---|---|
| Гуманоид / квадрупед | 1 m/s (3.6 km/h) | 4 m/s² (0.41 g) | 50 mm | 200 mm | 325 mm (61.5%) |
| Складской мобильный манипулятор | 1.5 m/s (5.4 km/h) | 2 m/s² (0.20 g) | 75 mm | 300 mm | 863 mm (34.8%) |
| Городской робот-доставщик | 6 m/s (21.6 km/h) | 4.5 m/s² (0.46 g) | 300 mm | 1.2 m | 5.2 m (23.1%) |
| Автономное транспортное средство (шоссе) | 30 m/s (108 km/h) | 7 m/s² (0.71 g) | 1.5 m | 6 m | 70.3 m (8.5%) |
Кинетический перенос между архетипами платформ: Задержка до торможения превращается в невозвратимое физическое перемещение до начала тормозной силы. Остановочный путь объединяет линейный слепой ход и квадратичный тормозной путь.
Пропускная способность памяти периферии и амортизация фрагментами действий
Большие мультимодальные фундаментальные модели на периферийных архитектурах системы на кристалле (SoC) при авторегрессионной генерации ограничены пропускной способностью памяти («Пропускная способность памяти периферии и фрагменты действий»). Потоковая передача модели с 7 миллиардами параметров через интерфейс LPDDR5 с устойчивыми ограничивает одношаговую генерацию величиной . Предсказание фрагментов действий длиной амортизирует потоковую передачу весов по множеству будущих шагов управления, поднимая эффективную полосу управления до сотен герц. Организация банков DRAM, штрафы конфликтов и арбитраж межсоединений при конкурирующем DMA-трафике см. в разделе «Конкуренция за DRAM и арбитраж межсоединений».
| Модель и точность | Параметры | Занимаемая память | Время чтения DRAM () | Максимальная частота одного шага | Частота фрагментов () |
|---|---|---|---|---|---|
| VLA-7B (FP16) | 7.0B | 14 GB | 100 ms | 10 Hz | 160 Hz эквивалент |
| VLA-7B (INT8) | 7.0B | 7 GB | 50 ms | 20 Hz | 320 Hz эквивалент |
| VLA-7B (INT4) | 7.0B | 3.5 GB | 25 ms | 40 Hz | 640 Hz эквивалент |
| VLA-14B (INT8) | 14.0B | 14 GB | 100 ms | 10 Hz | 160 Hz эквивалент |
Пропускная способность памяти периферии и фрагменты действий: Авторегрессионное декодирование токенов на периферийных акселераторах (таких как Jetson AGX Orin при устойчивой пропускной способности DRAM ) ограничено пропускной способностью памяти. Предсказание фрагментов действий ( шагов) амортизирует передачу весов по множеству циклов исполнения, обеспечивая высокие эффективные частоты управления.
Тепловые постоянные времени вычислений и электромеханики
Теплоотвод следует экспоненциальному нарастанию с постоянными времени, охватывающими пять порядков величин («Тепловые постоянные времени подсистем»). Кремниевые переходы перегреваются за миллисекунды во время вычислительных всплесков, требуя DVFS в микросекундном масштабе и управления просадкой PDN. Напротив, электромагнитные обмотки статора нагреваются за минуты, допуская кратковременную перегрузку момента при ограничении тепловым сторожевым таймером . Тепловые дифференциальные уравнения первого порядка и пределы деградации обмоток статора см. в разделе «Электрическая и тепловая динамика актуаторов»; поглощение рекуперативной энергии на шинах постоянного тока см. в разделе «Распределение энергии шины постоянного тока и ее поглощение».
| Компонент подсистемы | Физический механизм | Тепловая постоянная времени | Критический режим отказа | Мера обеспечения безопасности |
|---|---|---|---|---|
| Кремниевый переход (кристалл) | Самонагрев канала транзистора | 1–10 ms | Растяжение задержки вентилей, просадка, тепловое срабатывание | Быстрое снижение частоты, развязка PDN |
| Радиатор / корпус SoC | Конвективный теплоотвод радиатора | 10–60 s | Тепловое насыщение корпуса, длительное снижение частоты | Активная модуляция вентилятора, миграция нагрузки |
| Обмотки статора двигателя | Джоулев резистивный нагрев меди () | 30–180 s | Пробой изоляции (класс H ), короткое замыкание | Тепловая защита , снижение номинала тока |
| Корпус двигателя | Теплопроводность массивного металлического корпуса | 10–30 min | Деформация конструкции, потеря смазки подшипников | Естественная конвекция, пассивные охлаждающие ребра |
| Тяговый аккумуляторный блок | Внутреннее сопротивление электрохимических элементов | 5–20 min | Термический разгон (), пожар | Контур жидкостного охлаждения, отсечение заряда/разряда |
Тепловые постоянные времени подсистем: Тепловая инерция охватывает пять порядков величин. Адиабатический нагрев полупроводниковых переходов вызывает быстрое термическое снижение частоты за миллисекунды, тогда как медные обмотки двигателя интегрируют электрическую энергию за десятки–сотни секунд.
Статистические границы безопасности и стены наработки
По правилу трех Пуассона Hanley and Lippman-Hand, 1983, доказательство того, что физическая система достигает целевой частоты катастрофических отказов с доверительной вероятностью 95 % без наблюдения единого отказа, требует испытаний в течение часов работы («Стандарты безопасности и стены наработки испытаний»). Достижение сверхнадежных порогов, которых требует автомобильная функциональная безопасность (ISO 26262 ASIL D, iso26262, 2018), требует 300 миллионов часов работы без отказов — масштаба, делающего сквозную статистическую валидацию «черным ящиком» математически невозможной без детерминированных огибающих разрешения времени выполнения. Форматы передачи предложений и манифестов, обслуживающие контракты безопасности времени выполнения, см. в разделе «Форматы передачи цепочки протоколов».
| Стандарт / режим безопасности | Целевая частота отказов | Эквивалент в FIT () | Требуемые часы без отказов () | Инженерное следствие |
|---|---|---|---|---|
| ISO 26262 ASIL D | () | Эмпирически непроверяемо одними испытаниями на флоте; требует формальных барьеров безопасности | ||
| IEC 61508 SIL 3 / PL e | () | Двухканальная аппаратура синхронного исполнения, разнородный мониторинг программного обеспечения | ||
| Цель коммерческого роботакси | () | Эквивалентность базовому уровню человеческого водителя ( погибший на миль) | ||
| Промышленный кобот (PL d) | () | Ограничение силы и мощности, мониторинг скорости и разделения |
Стандарты безопасности и стены наработки испытаний: Требуемые часы работы без отказов для установления целей безопасности с доверительной вероятностью 95 % по правилу трех (). Чисто статистическое сквозное тестирование не может доказать катастрофическую безопасность без детерминированных гарантий времени выполнения.
Задержки шин, дрожание и детерминизм
Шины связи обнаруживают резкие различия по задержкам и дрожанию («Задержки, дрожание и детерминизм шин связи»). Промышленные полевые шины, такие как EtherCAT, достигают субмикросекундного дрожания за счет выделенной аппаратной обработки на лету. Напротив, недетерминированный арбитраж и общие беспроводные каналы вносят хвостовые задержки, превышающие предельные сроки реакции высокоскоростных электромеханических машин. Границы аппаратных меток времени PTP по IEEE 1588 см. в разделе «Синхронизация часов и сетевые метки времени»; приоритетный арбитраж CAN-FD и бюджеты циклов EtherCAT см. в разделе «Полевые шины реального времени и синхронизация без блокировок».
| Технология шины / сети | Номинальная задержка прохождения | Худшее дрожание | Механизм детерминизма | Основная роль в машине |
|---|---|---|---|---|
| EtherCAT (ETG.1000) | Аппаратная обработка кадров на лету | Синхронные сервоприводы шарниров и обратная связь датчиков (Тело/Нервная) | ||
| CAN-FD (ISO 11898-1) | Побитовый неразрушающий приоритетный арбитраж | Распределенные датчики, унаследованные контроллеры актуаторов (Нервная/Тело) | ||
| TSN Ethernet (802.1Qbv) | Формирователь с учетом времени и запланированными окнами передачи | Высокополосный вход датчиков (лидар/камеры) в SoC (Граница) | ||
| Стандартный IP / UDP Ethernet | CSMA/CD с наилучшими усилиями; постановка в очередь FIFO | Асинхронное журналирование, телеметрия между узлами (Мозг) | ||
| Wi-Fi 6 / 5G URLLC | (RF fade) | Повторная передача беспроводных пакетов, окно конкуренции | Диспетчеризация флота высокого уровня, облачные обновления миссий (Мир/Управление) |
Задержки, дрожание и детерминизм шин связи: Сравнение бортовых полевых шин и беспроводных сетей. Управление жесткого реального времени требует субмикросекундного дрожания, тогда как беспроводная телеметрия демонстрирует многомиллисекундную хвостовую задержку, исключающую внеконтурное замкнутое вмешательство в целях безопасности.
Таймеры реального времени, сторожевые таймеры и планируемость
Во встроенных системах реального времени временная предсказуемость столь же важна, как вычислительная корректность. Запоздавшее управляющее действие не просто ухудшено; на физической аппаратуре оно неверно и потенциально разрушительно.
Планируемость задач реального времени и анализ времени отклика
Периодическая задача реального времени характеризуется худшим временем выполнения (WCET) , относительным предельным сроком и периодом . В одноядерной вытесняемой модели с фиксированными приоритетами, ограниченной блокировкой и без дрожания выпуска (такой как планирование с монотонными периодами Liu and Layland, 1973) планируемость проверяется по худшему времени отклика : где — максимальная длительность блокировки, создаваемая задачами с более низким приоритетом при доступе к общим ресурсам, а — помехи от задач с более высоким приоритетом. Время отклика вычисляется по рекуррентному соотношению с неподвижной точкой: начиная с и итерируя до неподвижной точки или до превышения предельного срока. Конечная неподвижная точка с для каждой задачи устанавливает планируемость при этих допущениях о планировании и помехах. WCET — одна из компонент времени отклика, а не сквозная задержка от датчика до актуатора.
Аппаратные сторожевые таймеры и отклик на отказ
Для обнаружения пропущенной контрольной точки исполнения встроенная конструкция может использовать аппаратный сторожевой таймер. Его часы и путь отклика должны быть достаточно независимы от наблюдаемой задачи для заявленного множества отказов; независимый кварц — одна из реализаций.
Таймер инициализируется пороговым значением . Потоки исполнения программного обеспечения должны периодически обновлять (или «подкармливать») регистр до того, как отсчет дойдет до нуля. Если обозначает отсчет регистра в физическое время , а программное обеспечение выполняет обновление в момент , регистр сбрасывается:2 Если программное обеспечение пропускает настроенное окно обновления, таймер истекает и поднимает настроенное прерывание, сброс или выход на внешний супервизор. Истечение лишь обнаруживает пропущенную контрольную точку. Кейс безопасности должен ограничить отклик от истечения до привода, смонтировать любое срабатывание по потере MCU независимо от отказавшего MCU и показать, что результирующие торможение или удержание, подобранные по состоянию, способны остановить объект управления в пределах его оставшегося запаса хода. Одна лишь команда сброса или безопасного снятия момента (STO) может оставить движущуюся нагрузку идти выбегом.
Таймеры инверторов и управление затворами силовой электроники
Двигательные приводы актуаторов используют трехфазные полумостовые инверторы для преобразования напряжения шины постоянного тока в переменные токи статора.
Вставка мертвого времени в таймерах микроконтроллера
Каждая фаза инвертора содержит силовой MOSFET верхнего плеча (или IGBT) и силовой MOSFET нижнего плеча, включенные через шину питания постоянного тока . Таймерная периферия микроконтроллера генерирует комплементарные сигналы управления с широтно-импульсной модуляцией (PWM) и аппаратно обеспечиваемой вставкой мертвого времени : где — максимальное время выключения силового ключа, — минимальное время включения, а — разброс задержек распространения между драйверами затворов.3
Для указанного устройства и задержек управления затворами достаточное мертвое время уменьшает перекрытие проводимости верхнего и нижнего плеч. Если оба ключа проводят одновременно, сквозной пробой создает низкоомный путь через шину постоянного тока; ток и повреждения зависят от сопротивления шины, защиты и длительности события.
Индуктивная просадка и растяжение задержки вентилей
Когда акселераторы глубоких нейронных сетей (такие как матричные движки с систолическими массивами) переходят из простоя в полное исполнение, потребляемый ток возрастает на десятки ампер за наносекунды.
Сопротивление сети электропитания и просадка шины
Каждая сеть электропитания (PDN) имеет конечную паразитную индуктивность контура и эквивалентное последовательное сопротивление по дорожкам печатной платы, шарикам корпуса и соединительным проводникам. Когда исполнение на акселераторе вызывает переходную ступень тока с временем нарастания (что дает скорость нарастания тока ), закон электромагнитной индукции Фарадея предписывает мгновенное падение напряжения : Если напряжение питания приближается к охарактеризованному минимальному рабочему напряжению устройства , запас тайминга может сократиться или может сработать защита от просадки.
Задержка вентилей цифровой логики и альфа-степенной закон
В субмикронном CMOS-кремнии задержка распространения логических вентилей подчиняется альфа-степенному закону Сакурая–Ньютона:4 где — емкость нагрузки вентиля, — пороговое напряжение транзистора, а — показатель насыщения скорости (в отличие от в теории длинных каналов).
Когда напряжение шины просаживается с до , задержка распространения растягивается согласно: В синхронном цифровом конвейере с периодом тактовой частоты , временем установки и перекосом тактов замыкание тайминга требует: Растяжение уменьшает запас установки. Сбой тайминга происходит лишь если измеренный путь пересекает свой предел запаса; сброс по просадке зависит от отдельно настроенного порога супервизора. Локальная развязка может уменьшить отклонение шины, в зависимости от ее сопротивления и размещения.
Конкуренция за DRAM и арбитраж межсоединений
На мультиядерных SoC-платформах с общей памятью передачи прямого доступа к памяти (DMA) и предвыборка зрения конкурируют с путем разрешения за очереди команд контроллера памяти и физические банки DRAM.
Организация банков DRAM и задержка конфликтов
Кристалл DRAM организован во множество независимых банков, каждый из которых имеет единственный буфер строки. Доступ к ячейкам памяти требует трех последовательных операций:
- Активация строки (): загружает строку ячеек памяти в буфер строки банка.
- Доступ к столбцу (): считывает или записывает данные из открытого буфера строки на шину данных.
- Предзаряд строки (): восстанавливает заряд на накопительных конденсаторах и закрывает активную строку.
Когда последовательные операции обращаются к разным строкам одного банка (конфликт банков), контроллеру может потребоваться предзарядить и активировать строку перед доступом к столбцу, добавляя примерно . Каждый банк может иметь собственную открытую строку. Штраф и число переключений зависят от отображения адресов и расписания контроллера.5
Кроссбары межсоединений и конкуренция пакетных передач
Плитка акселератора разбивается на ограниченные шинные транзакции; это не одна атомарная AXI-пачка. Для иллюстративного FIFO-контроллера, допускающего все транзакций до запроса безопасности, без приоритетного обхода и новых поступлений, идеальная компонента передачи по шине равна Прибавьте штрафы переключения банков для реальной последовательности адресов, а затем собственные времена передачи и вычислений запроса безопасности. Это сконструированная модель планирования, а не переносимая граница худшего случая: регенерация, накладные расходы протокола, переупорядочивание контроллера и конкурирующий трафик могут увеличить задержку, тогда как квалифицированный QoS может обходить работу в очереди. Раздел «Конкуренция за общие ресурсы» приводит пересчитываемый случай. Локальный когерентно опубликованный снимок безопасности может обойти этот путь DDR, но емкость TCM сама по себе не дает снимок и не ограничивает время его передачи.
Синхронизация часов и сетевые метки времени
Распределенное восприятие должно преобразовывать метки времени датчиков в общую область часов с измеренной границей ошибки преобразования.
Обмен сообщениями протокола точного времени
Протокол точного времени IEEE 1588 (PTP) синхронизирует ведомые часы () с ведущими часами (), обмениваясь четырьмя физическими метками времени через канал связи:
- : ведущий передает кадр Sync, записывая свою локальную метку времени передачи.
- : ведомый принимает кадр Sync, записывая свою локальную метку времени прибытия.
- : ведомый передает кадр Delay_Req, записывая свою локальную метку времени передачи.
- : ведущий принимает кадр Delay_Req, записывая свою локальную метку времени прибытия.
Предполагая стабильные часы во время обмена и симметричную задержку распространения в прямом и обратном направлениях (), временные соотношения удовлетворяют: где — смещение часов ведомого относительно ведущего. При этих допущениях оцененное смещение равно: Односторонняя задержка распространения в сети равна: Ведомый оценивает отображение в область ведущего, вычитая . Асимметрия задержки пути, дрейф осциллятора между обменами и ошибка метки времени оставляют остаток, который должен быть ограничен для проверок возраста свидетельств.
Аппаратные метки времени физического уровня
Программные метки времени включают диспетчеризацию операционной системой и разброс очередей, которые должны быть измерены для выбранного сетевого стека.
Аппаратура с поддержкой PTP может ставить метки времени вблизи границы Ethernet PHY или уровня управления доступом к среде (MAC), уменьшая ошибку диспетчеризации хоста.6 Само по себе это не устанавливает субмикросекундную сквозную границу часов; должны быть охарактеризованы топология, асимметрия, интервал синхронизации, расположение меток времени и преобразование часов MCU.
Почтовые ящики гетерогенного SoC и барьеры памяти
Некоторые робототехнические SoC связывают прикладной процессор под Linux с ядром реального времени или микроконтроллером. Их контракт связи должен специфицировать владение памятью, поведение кеша, действительность сообщений и то, что делает сторона реального времени, когда новое сообщение не приходит.
Обмен сообщениями с удаленным процессором через общую SRAM
Иллюстративный почтовый ящик с общей памятью работает следующим образом:
- Ядро A записывает полезную нагрузку сообщения в фиксированный буфер в общей SRAM.
- Ядро A делает нагрузку видимой для ядра B, используя когерентное отображение платформы или явное обслуживание кеша и упорядочивание.
- Ядро A вызывает межпроцессорное прерывание (IPI), записывая в аппаратный регистр почтового ящика ядра B.
- Ядро B проверяет порядок публикации, целостность, возраст и разрешение до использования нагрузки.
Linux RPMsg — среда обмена сообщениями на основе virtio, которая может использовать общую память и специфичный для платформы сигнал запуска. Она не предписывает этот протокол с фиксированным буфером и не универсальную границу задержки.
Переупорядочивание конвейера процессора и барьеры памяти
Слабое упорядочение памяти и некогерентные кеши могут позволить получателю наблюдать уведомление без актуальной нагрузки, если только производитель и потребитель не следуют одному опубликованному протоколу:
// Core A (Application Processor); q_target and q_cmd are joint_target_t structs
shared_buffer->q_target = q_cmd; // Store 1: Payload (struct copy)
mailbox_doorbell = 1; // Store 2: Interrupt trigger
Если процессор или межсоединение ставит Store 2 перед Store 1, ядро B получает прерывание до того, как новое задание шарниров зафиксировано в физической памяти, считывая устаревшие или недействительные данные.
Барьер памяти данных может упорядочить доступы в пределах выбранной им области совместного использования:7
shared_buffer->q_target = q_cmd; // Struct copy of the joint targets
__asm__ volatile("dmb ish" ::: "memory"); // Only if both peers share this domain
mailbox_doorbell = 1;
Барьер в этом примере достаточен лишь если оба ядра делят когерентную область внутреннего совместного использования, а колокольчик имеет заданное упорядочение памяти устройства. Он не сбрасывает некогерентный кеш и не делает данные видимыми для несвязанного DMA-мастера. В противном случае используйте подходящий барьер платформы и синхронизацию владения кешем при DMA, либо отобразите буфер когерентно, и проверьте acquire-сторону получателя. Читателю реального времени по-прежнему нужна ограниченная попытка валидации и резервирование, ограниченное арендой, на случай разорванной или устаревшей публикации.
Электрическая и тепловая динамика актуаторов
Актуаторы преобразуют электрическую энергию в механическую работу посредством электромагнитных сил Лоренца, подчиняясь связанным электрическим и тепловым ограничениям.
Электрическое время нарастания статора
Фазная обмотка бесщеточного двигателя постоянного тока (BLDC) имеет фазное сопротивление и фазную индуктивность . Приложение напряжения на зажимах против противо-ЭДС дает ОДУ первого порядка для тока статора: Для ступени напряжения, поданной из состояния покоя (), фазный ток нарастает экспоненциально: где — электрическая постоянная времени: в этой идеальной ступенчатой модели ток достигает примерно 63 % конечного значения за одну . Момент следует за этим током, лишь пока держатся магнитные допущения, допущения о напряжении и управления; команда — не мгновенное изменение момента.
Сосредоточенные тепловые сети и коэффициент заполнения
Ток, текущий через обмотки статора, рассеивает резистивный джоулев нагрев: где сопротивление меди растет линейно с температурой: с температурным коэффициентом для меди. В одноузловой сосредоточенной тепловой модели с тепловым сопротивлением к окружающей среде (в ) и теплоемкостью (в ) повышение температуры удовлетворяет:8 При постоянной мощности температура растет с тепловой постоянной времени : Длительная моментная способность ограничена максимально допустимой температурой обмотки : Момент выше длительного может допускаться кратковременно, если оценка температуры устройства и заданные пределы ток–время это позволяют. Интеграл — одна из возможных защитных мер, а не универсальный номинал двигателя.
Приведенная инерция ротора и пределы углового рывка
Электромагнитные актуаторы с редуктором усиливают отдаваемый момент двигателя, умножая инерцию ротора на выходе шарнира. Для передачи с передаточным отношением сохранение кинетической энергии предписывает приведенную инерцию, действующую на выходное звено: Эффективный момент инерции, видимый в координате шарнира , равен: Уравнение движения шарнира под электромагнитным моментом двигателя имеет вид: Дифференцирование по передаточному отношению при нулевой внешней нагрузке дает: Приравнивание дает соотношение согласования инерций . Когда , контринтуитивно, увеличение передаточного отношения уменьшает достигаемое ускорение шарнира, потому что двигатель тратит большую часть момента на разгон собственного ротора, а не звена.
Динамический угловой рывок и пределы скорости изменения момента
Угловой рывок измеряет скорость изменения ускорения шарнира во времени: Электромагнитный момент связан с квадратурным током статора через постоянную момента : . Из электрической динамики статора этого раздела скорость нарастания тока ограничена индуктивностью обмотки : При насыщении максимальным напряжением зажимов шины постоянного тока физическая верхняя граница отдаваемого углового рывка равна: Когда непривилегированная нейронная политика выдает ступенчатый разрыв момента между дискретными шагами, скомандированная производная не может быть мгновенно отдана физическим кремнием. Инвертор входит в жесткое насыщение по напряжению, вызывая крутое нарастание тока (), интенсивную тепловую нагрузку на силовые MOSFET и ударные нагрузки на контактных поверхностях зубьев (). Синхронные инвариантные фильтры предварительной обработки вычисляют численные производные момента , чтобы запрошенные действия оставались в допустимых огибающих рывка до защелкивания силовых ступеней.
Распределение энергии шины постоянного тока и ее поглощение
Сеть электропитания роботизированной платформы должна снабжать всплески ускорения и поглощать энергию рекуперативного торможения через конечную емкость шины и сопротивление жгута.
Индуктивная просадка и емкостная развязка
Когда разгоняются несколько актуаторов, сопротивление и индуктивность жгута препятствуют току источника, тогда как локальная емкость покрывает разницу. Для заданной формы волны резистивное и индуктивное слагаемые равны и ; разряд конденсатора подчиняется Эти слагаемые нельзя просто складывать как одновременные пики без модели цепи и формы волны. Если результирующее напряжение достаточно долго пересекает настроенный порог блокировки по пониженному напряжению (UVLO), источник может отключиться или сброситься; порог, фильтрация и последствие для объекта управления требуют измерения.
Всплески рекуперативного торможения и подбор чоппера
При управляемом рекуперативном замедлении часть механической кинетической энергии (поступательной) или (вращательной) может возвращаться через инвертор. Если аккумулятор не способен ее принять, а предполагаемая доля доходит до локального конденсатора шины прежде, чем сработает другой сток, идеальное соотношение для конденсатора имеет вид: Для реализации с активным тормозным чоппером резистор и ключ должны поглощать смоделированную пиковую мощность и энергию импульса, когда :9 Неравенство для резистора — лишь проверка подбора по пиковой мощности; минимальное сопротивление по току ключа, энергии импульса и тепловому восстановлению накладывают дополнительные ограничения.
Полевые шины реального времени и синхронизация без блокировок
Координация распределенных приводов требует измеренного сетевого расписания и ограниченного локального протокола публикации.
Сериализация полевой шины и планируемость
На общей последовательной шине приводов циклически передают телеметрию и принимают задания. Время сериализации зависит от полного кадра, физических скоростей передачи в битах и любого запаса на стаффинг или повторную передачу.
CAN FD использует неразрушающий приоритетный арбитраж на своей номинальной скорости в битах; победивший кадр затем передает свою фазу данных на настроенной скорости данных. Оценка сериализации без ошибок для кадра равна Эта оценка — не граница времени отклика. Кадр с более низким приоритетом, уже передающийся, может блокировать только что готовый кадр с высоким приоритетом до конца этой передачи; проигравшие арбитраж откладываются и повторяются без ошибки. Ограничьте задержки в очереди и дрожание выпуска каждого сообщения с учетом реального набора приоритетов, длин кадров, допущений об ошибках и нагрузки шины; описание CAN FD от Bosch различает фазы арбитража и данных.
EtherCAT обрабатывает данные по мере прохождения кадров через ведомые контроллеры. Для заданной топологии бюджет цикла включает сериализацию каждого настроенного кадра, пересылку ведущим и ведомыми, распространение по PHY и кабелю, обработку и запас на дрожание и восстановление после ошибок: Достижимый период цикла зависит от конфигурации; короткие заявленные периоды не устанавливают предельный срок для конкретной машины. Группа EtherCAT Technology Group описывает метод обработки и настраиваемые технологические данные.
Seqlock-протоколы без блокировок для многотактной общей памяти
Когда производитель обновляет многословное состояние, читаемое механизмом принуждения с предельным сроком, ожидание мьютекса, удерживаемого производителем, может нарушить предельный срок читателя. Однослотовый почтовый ящик в алгоритме ниже использует счетчик последовательности для обнаружения разорванного снимка.
Счетчик последовательности помечает идущую публикацию единственного писателя нечетным значением, а завершенную публикацию — четным:
- Протокол писателя:
- Опубликуйте нечетное значение последовательности, запишите нагрузку и сделайте ее видимой через когерентный или поддерживаемый обслуживанием кеша контракт памяти платформы.
- Опубликуйте следующее четное значение с упорядочением release.
- Протокол читателя:
- Считайте с упорядочением acquire. Если оно нечетно, отклоните эту публикацию, не ожидая.
- Выполните одну ограниченную копию в буфер-черновик с требуемым платформой упорядочением загрузок, затем считайте .
- Примите только если и оба четны, а скопированный кадр проходит проверки целостности, метки времени и аренды. В противном случае сохраняйте последнюю проверенную локальную команду лишь пока позволяют ее аренда и запас остановки; затем перейдите в резервирование, подобранное по состоянию.
Время исполнения одной попытки читателя может быть ограничено на целевой аппаратуре; вероятность успеха зависит от расписания писателя и не выводится из одного лишь размера нагрузки. Обычные читатели seqlock в Linux могут повторять попытки, как показывает документация ядра, но контур разрешения реального времени не может использовать неограниченный цикл повторов.
\begin{algorithm}
\caption{Однослотовый базовый вариант seqlock для траектории}
\begin{algorithmic}
\Require предложение $P$ (заголовок предложения с $\text{sequence\_id}$, $\text{t\_evidence\_ns}$, $\text{sync\_error\_ns}$, $\text{t\_expire\_ns}$; точки $\mathbf{w}_{1..K}$; $\text{crc32}$), буфер-черновик $B_{\text{scratch}}$ и ранее проверенный активный сплайн $B_{\text{active}}$ в статической SRAM, общий SRAM-почтовый ящик $(c_{\text{seq}}, \text{Slot}_{\text{shared}})$, текущее время $t_{\text{now}}$ и бюджет возраста свидетельств $t_{\text{age,max}}$ (наибольшее допустимое $t_{\text{age}}$), оба — по часам микроконтроллера безопасности
\Ensure фрагмент, возведенный после проверки, в $B_{\text{active}}$ либо отклонение при неизменном $B_{\text{active}}$
\Statex
\Function{PublishActionChunk}{$P$}
\State $c_{\text{curr}} \gets \Call{AtomicLoadExplicit}{c_{\text{seq}}, \text{memory\_order\_relaxed}}$
\State $\Call{AtomicStoreExplicit}{c_{\text{seq}}, c_{\text{curr}} + 1, \text{memory\_order\_relaxed}}$ \Comment{пометить нечетным: запись идет}
\State $\Call{HardwareMemoryBarrier}{\text{DMB\_OSHST}}$ \Comment{барьер записи с внешним совместным использованием проталкивает счетчик}
\State $\Call{CopyMemory}{\text{Slot}_{\text{shared}}.\text{payload}, P, \text{sizeof}(P)}$ \Comment{копирование многословной траектории}
\State $\Call{HardwareMemoryBarrier}{\text{DMB\_OSH}}$ \Comment{полный барьер с внешним совместным использованием: нагрузка видима}
\State $\Call{AtomicStoreExplicit}{c_{\text{seq}}, c_{\text{curr}} + 2, \text{memory\_order\_release}}$ \Comment{пометить четным: публикация зафиксирована}
\EndFunction
\Statex
\Function{LatchLatestActionChunk}{$B_{\text{scratch}}, B_{\text{active}}, t_{\text{now}}$}
\State $c_{\text{start}} \gets \Call{AtomicLoadExplicit}{c_{\text{seq}}, \text{memory\_order\_acquire}}$ \Comment{загрузить начальный счетчик (ARM LDAR, acquire)}
\If{$c_{\text{start}}$ нечетно}
\State \Return $\text{STATUS\_WRITER\_ACTIVE}$ \Comment{писатель активен; сохранить прежний сплайн}
\EndIf
\State $\Call{HardwareMemoryBarrier}{\text{DMB\_OSHLD}}$ \Comment{явный барьер: не дать чтениям нагрузки подняться выше счетчика}
\State $\Call{CopyMemory}{B_{\text{scratch}}, \text{Slot}_{\text{shared}}.\text{payload}, \text{sizeof}(\text{Payload})}$ \Comment{предварительная копия; активный сплайн не изменяется}
\State $\Call{HardwareMemoryBarrier}{\text{DMB\_OSHLD}}$ \Comment{LDAR не может удержать предыдущие чтения от опускания; DMB заставляет чтения нагрузки идти до $c_{\text{end}}$}
\State $c_{\text{end}} \gets \Call{AtomicLoadExplicit}{c_{\text{seq}}, \text{memory\_order\_acquire}}$ \Comment{перечитать счетчик последовательности}
\If{$c_{\text{start}} \ne c_{\text{end}}$}
\State \Return $\text{STATUS\_TORN\_READ}$ \Comment{обнаружена одновременная запись}
\EndIf
\If{$\Call{ComputeCrc32}{B_{\text{scratch}}} \ne B_{\text{scratch}}.\text{crc32}$}
\State \Return $\text{STATUS\_CHECKSUM\_INVALID}$
\EndIf
\If{$t_{\text{now}} \ge B_{\text{scratch}}.\text{t\_expire\_ns}$}
\State \Return $\text{STATUS\_LEASE\_EXPIRED}$ \Comment{истечение абсолютно; читатель может его лишь сократить}
\EndIf
\If{$t_{\text{now}} - B_{\text{scratch}}.\text{t\_evidence\_ns} + B_{\text{scratch}}.\text{sync\_error\_ns} > t_{\text{age,max}}$}
\State \Return $\text{STATUS\_EVIDENCE\_STALE}$ \Comment{ошибка преобразования прибавляется к каждому возрасту}
\EndIf
\State $B_{\text{active}} \gets B_{\text{scratch}}$ \Comment{возводить лишь после проверок последовательности, CRC, истечения и возраста свидетельств}
\State \Return $\text{STATUS\_VALID\_LATCHED}$
\EndFunction
\end{algorithmic}
\end{algorithm}
Раздел «Многотактные ритмы» обменивается заголовком предложения и его нагрузкой фрагмента через этот почтовый ящик; раздел «Заголовок предложения и нагрузка фрагмента» дает их байтовую раскладку.
Проективная геометрия камеры и распространение ковариации
Конвейеры восприятия отображают непрерывные евклидовы 3D-сцены на дискретные 2D-сетки фотоэлементов камеры.
Матрица внутренней проекции и радиальные искажения
В стандартной модели камеры-отверстия 3D-точка в координатах камеры проецируется в пиксельные координаты через матрицу внутренней калибровки :10 где — фокусные расстояния в пиксельных единицах, а — главная точка. Нелинейные радиальные искажения объектива моделируются коэффициентами искажений : где — нормализованные координаты изображения.
Метрическая обратная проекция и распространение пространственной ковариации
При обратной проекции 2D-пиксельного наблюдения с измеренной глубиной в 3D-координаты камеры шум измерения фотоэлементов распространяется через якобиан обратной проекции : Преобразование этой 3D-точки в систему координат тела робота через жесткое внешнее преобразование дает пространственную ковариацию тела: где моделирует независимую внешнюю неопределенность в этом приближении первого порядка; корреляции требуют соответствующих перекрестных слагаемых. Вероятностный буфер свободного расстояния может масштабироваться с при заявленном хвостовом риске. Детерминированная проверка разрешения вместо этого нуждается в обоснованной огибающей ограниченной ошибки; одна ковариация не дает границы худшего случая.
Планарная гомография Чжана и калибровка камеры
Техника калибровки Чжана вычисляет матрицу внутренних параметров камеры по наблюдению планарного калибровочного узла (например, шахматного узора) в различных ориентациях Zhang, 2000. Без ограничения общности предположим, что модельная плоскость лежит на в мировых координатах. 3D-модельная точка отображается в 2D-точку изображения через матрицу планарной гомографии , : где с произвольным ненулевым скаляром .
Ортогональные ограничения на абсолютную конику
Поскольку векторы поворота и — ортонормированные столбцы матрицы ( и ), инвертирование дает: Наложение ортонормированности на и задает два фундаментальных алгебраических ограничения на каждую гомографию: Симметричная матрица представляет образ абсолютной коники (IAC): Задав 6-вектор , каждый квадратичный член можно переписать как линейное скалярное произведение , где: Два ограничения на каждую наблюдаемую ориентацию становятся линейной системой: Складывание изображений образует однородную систему , где . Правый сингулярный вектор , соответствующий наименьшему сингулярному значению, дает с точностью до множителя масштаба. Внутренние параметры и скошение затем однозначно извлекаются через разложение Холецкого матрицы . Это линейное решение в замкнутой форме инициализирует нелинейную оптимизацию Левенберга–Марквардта, минимизирующую невязки репроекции по всем наблюдаемым опорным углам.
Кинематические огибающие остановки и запаздывание информации
Остановка воплощенной машины, транспортирующей массу со скоростью , требует баланса между свежестью сенсомоторной информации и механическим тормозным замедлением.
Возраст сенсомоторной информации и расстояние запаздывания
Для заданного детектора опасности и пути остановки пусть ограничивает время от физического состояния, представленного свидетельствами, до начала проверенного тормозного замедления: где:
- преобразует метку времени свидетельств в часы контроллера и включает экспозицию/считывание и ошибку часов.
- ограничивает распознавание или обнаружение истечения аренды.
- — допущенное решение об остановке, включая любую требуемую передачу входа.
- ограничивает диспетчеризацию команды и постановку в очередь в сети.
- заканчивается, когда измеренный актуатор начинает отдавать заданное замедление, а не когда записывается регистр команды.
При явном упрощающем допущении, что скорость не может расти до начала торможения, слепой ход ограничен величиной . Если движитель или уклон могут увеличить скорость, вместо этого используйте проверенную границу ускорения для этого интервала.
Динамика торможения и пределы трения
Трение шин о пол и момент актуатора накладывают верхние пределы на достижимое замедление; не устанавливает, какое торможение выдаст машина. Пусть — проверенная нижняя граница достигаемого замедления на протяжении всей остановки для заявленных нагрузки, температуры, уклона, состояния тормозов и поверхности. Обоснованный минимум трения может поддерживать эту границу, но не заменяет тормозные испытания. При постоянном или более сильном торможении после начала, границе локализации , фиксированном защитном запасе и границе ошибки слежения , Движение допускается только когда , где принимается как проверенная нижняя граница доступного свободного расстояния по пути. Это остановочный путь с врезкой, который защищает раздел «Огибающие остановки». Дискретизированный контроллер должен зарезервировать перемещение между отсчетами и остановку, подобранную по состоянию, до того, как будет потеряна область осуществимости.
Снижение номинала кинетической энергии и обвал трения
В идеальной модели, ограниченной трением, снижение с до положительного меняет отношение тормозных путей на . Это отношение иллюстративно; фактическое замедление может ограничиваться также тормозной аппаратурой или управлением. Если трение поверхности не считывается вовремя, выведите из контролируемого состояния поверхности и графика осмотров, исключите деградировавшие поверхности или воздержитесь от движения. Для приведенной выше модели постоянной скорости до торможения решение неравенства по свободному расстоянию дает Это ограничение действует лишь когда превышает три фиксированные накладные величины, выполняются нижние границы торможения и тайминга, а ограничение скорости принудительно обеспечивается до входа в коридор опасности. Положительного ограничения не следует, если доступный минимум замедления неизвестен или равен нулю.
Форматы передачи цепочки протоколов
Главы называют поля каждого протокола по смыслу и указывают инвариант, который протокол обеспечивает. Этот раздел дает байтовые раскладки протоколов, которые должны помещаться в почтовый ящик или журнал фиксированного размера, и канонический порядок полей для офлайн-протоколов, которые хранятся и связываются дайджестом. Каждое абсолютное время — беззнаковый 64-битный отсчет наносекунд по монотонным часам микроконтроллера безопасности, каждая длительность — беззнаковый отсчет наносекунд, а sync_error_ns несет границу преобразования для свидетельств, захваченных на других часах. Сами политики часов и целостности принадлежат разделу «Многотактные ритмы»; раскладки здесь фиксируют алгоритм для каждой задачи целостности. Обнаружение порчи использует CRC-32 (IEEE 802.3) по заголовку и нагрузке, происхождение — дайджест SHA-256 потребляемого протокола, а полномочия — HMAC-SHA-256 на командах оператора, ключевую хеш-цепочку на криминалистическом журнале и подписи Ed25519 на протоколах отказов и артефактах выпуска. За протоколами полномочий, отказов и выпуска следует протокол, который их пишет или проверяет.
Фиксированные раскладки используют прямой порядок байтов (little-endian) и упакованы в указанном порядке. Смещения — шестнадцатеричные байтовые позиции от начала протокола, и каждое многобайтовое поле располагается на своем естественном выравнивании, так что ни одно поле не требует скрытого заполнения. Поле, чья длина зависит от счетчика, идет после всех фиксированных полей, и его смещение записывается через этот счетчик. Сам протокол несет точек, командных шарниров, ограничений барьеров и каналов приближения; статический манифест полномочий фиксирует компонент команды и компонент состояния. Офлайн-протоколы (размещения, отказов, выпуска) идентифицируются дайджестом SHA-256 их канонического кодирования, а протокол, который один из них потребляет, сохраняет этот дайджест под именем потребляемого протокола.
Заголовок предложения и нагрузка фрагмента
Каждое предложение, пересекающее границу предложения, начинается с одинакового заголовка, а payload_kind выбирает нагрузку, следующую на 0x50. Таблица «Заголовок предложения и нагрузка фрагмента» размечает заголовок с минимальной нагрузкой фрагмента раздела «Многотактные ритмы». Фрагмент несет только кинематические задания. Момент вычисляется на стороне разрешения, где трекер выводит его из допущенной ссылки, поэтому обученное предложение никогда не называет момент двигателя.
| Смещение | Поле | Скалярный тип | Единица | Инвариант и проверка |
|---|---|---|---|---|
0x00 | sequence_id | uint64_t | безразмерное | Строго возрастающий на каждого производителя; запись не новее последней принятой отклоняется. |
0x08 | t_evidence_ns | uint64_t | нс, часы разрешения | Момент захвата старейших свидетельств, на которых опирается предложение, преобразованный в часы микроконтроллера безопасности. |
0x10 | t_issue_ns | uint64_t | нс, часы разрешения | Время, когда производитель опубликовал запись. |
0x18 | t_expire_ns | uint64_t | нс, часы разрешения | Запрошенное абсолютное истечение, не позже, чем позволяет аренда фрагмента; путь разрешения может его лишь сократить. |
0x20 | frame_id | uint64_t | безразмерное | Ключ дерева преобразований и ревизия калибровки системы координат заданий. |
0x28 | parent_digest | uint8_t[32] | SHA-256 | Дайджест протокола, от которого выведено это предложение; устанавливает происхождение, ничего не аутентифицирует. |
0x48 | sync_error_ns | uint32_t | нс | Граница ошибки преобразования времени свидетельств; прибавляется к каждому возрасту, который проверяет читатель. |
0x4C | payload_kind | uint16_t | перечисление | CHUNK для этой нагрузки; INTENT, TRAJECTORY и OPERATOR выбирают остальные нагрузки. |
0x4E | payload_len | uint16_t | байты | Длина нагрузки; ограничивает парсер до чтения любого байта нагрузки. |
0x50 | num_waypoints | uint16_t | счетчик | Горизонт фрагмента ; счетчик вне настроенного диапазона отклоняется. |
0x52 | num_joints | uint8_t | счетчик | Командные шарниры ; должен равняться настроенному счетчику, а payload_len должен равняться . |
0x53 | reserved | uint8_t | — | Ноль. |
0x54 | joint_positions | float32[K][N_j] | рад | Командные углы шарниров в пределах досягаемости (). |
0x54 + | joint_velocities | float32[K][N_j] | рад/с | Командные скорости шарниров в пределах сертифицированных потолков (). |
0x50 + payload_len | crc32 | uint32_t | контрольная сумма | Последнее поле; CRC-32 по IEEE 802.3 над всеми предыдущими байтами. |
Заголовок предложения и нагрузка фрагмента: Смещения полей, скалярные типы, единицы и инварианты для предложения фрагмента, обмениваемого через seqlock-почтовый ящик (см. алгоритм выше). Заголовок занимает 0x00–0x4F в каждом предложении; остальные раскладки нагрузок этого раздела начинаются с 0x50.
Полезная нагрузка намерения
Аренда намерения из раздела «Аренда намерения» следует под заголовком предложения с payload_kind, установленным в INTENT («Полезная нагрузка намерения»). Три поля заголовка приобретают специфические значения. t_evidence_ns — это эпоха свидетельств родительского протокола оценки состояния, никогда не эпоха его оценки; parent_digest — дайджест этого протокола оценки, который путь разрешения сверяет с сохраненной записью; а t_expire_ns — запрошенное истечение, которое путь разрешения сокращает до наименьшего из горизонта свидетельств, своего настроенного потолка аренды и предельного срока остановки. Шесть значений bounds — это три консервативные огибающие ошибки положения и три допуска задачи в системе координат основания, названной frame_id. Это не кодирование ковариации, и производитель обязан обосновать любое преобразование из своей оценки ковариации, включая смещение калибровки и заявленный хвостовой риск.
| Смещение | Поле | Скалярный тип | Единица | Инвариант и проверка |
|---|---|---|---|---|
0x00–0x4F | заголовок предложения | как выше | как выше | «Заголовок предложения и нагрузка фрагмента» с payload_kind = INTENT. |
0x50 | target_pose | float64[7] | м; единичный кватернион | Положение и ориентация в системе координат основания; конечные значения, нормализованный кватернион, предфильтр рабочей области. |
0x88 | bounds | float32[6] | м | Огибающая ошибки , затем допуск задачи ; , каждый проверяется по утвержденному профилю задачи. |
0xA0 | wrench_request | float32[6] | Н; Н·м | Три запрошенные силы и три момента; ограничиваются или отклоняются по независимым пределам задачи и актуаторов. |
0xB8 | terminal_request | uint32_t | перечисление | Запрошенный конечный режим; путь разрешения выбирает осуществимый утвержденный отклик по текущим нагрузке и состоянию контакта. |
0xBC | crc32 | uint32_t | контрольная сумма | CRC-32 по IEEE 802.3 над всеми предыдущими байтами. |
Полезная нагрузка намерения: Аренда намерения как нагрузка заголовка предложения. Допуски ориентации и правила режимов контакта приходят из независимо утвержденного профиля задачи; кватернион — лишь предлагаемая ориентация.
Полезная нагрузка траектории
Протокол траектории из раздела «Контракт траектории» заменяет фрагмент на работающей машине и следует под тем же заголовком предложения с payload_kind, установленным в TRAJECTORY, и parent_digest, установленным в дайджест активной аренды намерения («Полезная нагрузка траектории»). t_expire_ns заголовка несет аренду фрагмента; собственное истечение намерения приходит из аренды, которую идентифицирует parent_digest. Отсчеты заданий и приложение допущений следуют вне этой фиксированной части. Путь разрешения проверяет sidecar_digest по обоим, валидирует полного кандидата в промежуточной памяти и защелкивает допущенные задания и стоп-суффикс в защищенной памяти до начала слежения.
| Смещение | Поле | Скалярный тип | Единица | Инвариант и проверка |
|---|---|---|---|---|
0x00–0x4F | заголовок предложения | как выше | как выше | «Заголовок предложения и нагрузка фрагмента» с payload_kind = TRAJECTORY. |
0x50 | sample_period_ns | uint32_t | нс | Ритм заданий ; должен совпадать с настроенным декодером. |
0x54 | num_samples | uint16_t | счетчик | Номинальные задания в нагрузке отсчетов, связываемой дайджестом; ограничивает ее размер. |
0x56 | num_joints | uint8_t | счетчик | Командные шарниры ; должен равняться настроенному счетчику. |
0x57 | payload_version | uint8_t | перечисление | Версия декодера; неизвестная версия отклоняется. |
0x58 | t_start_ns | uint64_t | нс, часы разрешения | Первый номинальный отсчет. |
0x60 | t_commit_ns | uint64_t | нс, часы разрешения | Самый поздний вход в подобранный стоп-суффикс; . |
0x68 | t_plan_exp_ns | uint64_t | нс, часы разрешения | Конец номинальных заданий. |
0x70 | t_stop_end_ns | uint64_t | нс, часы разрешения | Завершение защищенной остановки; . |
0x78 | sidecar_digest | uint8_t[32] | SHA-256 | Дайджест по отсчетам заданий и приложению допущений; связывает содержимое. |
0x98 | seam_state | float32[3][N_j] | рад; рад/с; рад/с² | Входное состояние каждого шарнира. |
0x98 + | stop_suffix | float32[6][N_j] | квинтичные коэффициенты | Одна квинтическая остановка на шарнир; должна быть резидентной и выполнимой из каждого состояния, достижимого до . |
0x98 + | crc32 | uint32_t | контрольная сумма | CRC-32 по IEEE 802.3 над всеми предыдущими байтами. |
Полезная нагрузка траектории: Протокол траектории как нагрузка заголовка предложения. Четыре предельных срока — абсолютные времена по часам микроконтроллера безопасности; переменные по длине отсчеты заданий и приложение допущений связываются sidecar_digest и валидируются до активации.
Протокол принудительного обеспечения
Протокол принудительного обеспечения из раздела «Протокол принудительного обеспечения» — это конфигурация, а не предложение, поэтому он не несет заголовка предложения («Протокол принудительного обеспечения»). Три дайджеста называют то, на чем опирается протокол: протокол оценки, протоколы пределов за огибающей остановки и область действительности. Каждый порог называет ступень лестницы резервирования, которую выбирает не пройденная проверка. Там, где ступень зависит от того, движется ли тело, строка называет обе: STOP в движении и HOLD в покое. Отклоненное предложение, пока действует активная аренда, не выбирает ступени, ибо уже допущенные задания остаются в силе до истечения этой аренды.
| Смещение | Поле | Скалярный тип | Единица | Проверка и ступень, которую выбирает отказ |
|---|---|---|---|---|
0x00 | evaluation_record_digest | uint8_t[32] | SHA-256 | Протокол оценки, чьи спецификации мониторов времени выполнения становятся каналами мониторов этого протокола. |
0x20 | limit_record_digest | uint8_t[32] | SHA-256 | Канонический список протоколов пределов, чьи тормозные пределы, пределы начала и пределы актуаторов параметризуют . |
0x40 | validity_region_digest | uint8_t[32] | SHA-256 | validity_region — границы параметров объекта управления, на которых покоятся пороги. На мобильном манипуляторе она покрывает руку у двери, где совпадает с целевой ODD, и станцию упаковки — через захват кружки и подход к передаче. Каждая конфигурация базы, обычная или ограниченная, загружается как собственный протокол принудительного обеспечения, поэтому это поле несет дайджест области этой конфигурации и ее предпосылку о трении. Живое состояние вне ее, которое наблюдает машина, выбирает STOP. |
0x60 | loop_period_ns | uint32_t | нс | Период контура разрешения ; nominal_period_ns протокола размещения должен ему равняться. |
0x64 | deadline_ns | uint32_t | нс | Предельный срок пути разрешения внутри такта; цикл, рискующий его превысить, выбирает HOLD. |
0x68 | evidence_age_ceiling_ns | uint32_t | нс | Порог отказа проверки эпохи свидетельств: запланированный возраст наблюдения плюс граница преобразования часов. Предложение, чей верхний возраст свидетельств его превышает, отклоняется, а путь разрешения сокращает t_expire_ns до величины не более t_evidence_ns плюс потолок минус sync_error_ns. Предложение, чей sequence_id не новее, отклоняется; истекшая аренда выбирает STOP в движении и HOLD в покое. |
0x6C | watchdog_timeout_ns | uint32_t | нс | Сторожевой таймер подкармливается лишь после завершенного такта; истечение запрашивает INHIBIT через независимо смонтированное срабатывание. |
0x70 | t_stop_ns | uint32_t | нс | Граница времени остановки от максимально допущенной скорости; ссылка, оставляющая меньше свободного расстояния, чем , выбирает STOP. |
0x74 | pos_tracking_bound | float32 | м | ; STOP выше нее. |
0x78 | pos_critical_bound | float32 | м | с ; STOP выше нее. |
0x7C | vel_ceiling_limit | float32 | рад/с | ; PROJECT (QP-ограничение). |
0x80 | torque_slew_ceiling | float32 | Н·м/с | ; PROJECT (ограничитель скорости изменения). |
0x84 | actuator_curr_limit | float32 | А | ; STOP. |
0x88 | dc_bus_overvolt_thresh | float32 | В | ; STOP, при этом тормозной чоппер поглощает возвращенную энергию. |
0x8C | num_barriers | uint16_t | счетчик | Ограничения барьеров ; должен равняться настроенному счетчику. |
0x8E | num_approach_channels | uint16_t | счетчик | Каналы приближения ; должен равняться настроенному счетчику. |
0x90 | cbf_barrier_params | float32[K_b][2] | нормализованное расстояние; | Запас и скорость класса , , каждого барьера; , иначе PROJECT, либо STOP, когда не остается осуществимого входа. |
0x90 + | approach_channel_ids | uint32_t[K_a] | перечисление | Зона и условие активации каждого канала, взятые из области действительности, например рабочая точка внутри зоны двери или удерживаемый accept_item. |
0x90 + | approach_ceilings | float32[K_a] | м/с | Потолок скорости приближения рабочей точки, пока ее канал активен; более быстрое предложение получает PROJECT (QP-ограничение), а ограничивший его канал журналируется. |
0x90 + | crc32 | uint32_t | контрольная сумма | CRC-32 по IEEE 802.3 над всеми предыдущими байтами; несовпадение отклоняет сохраненную запись, и движение не допускается, пока не загрузится действительная копия. |
Протокол принудительного обеспечения: Пороги пути разрешения со ступенью лестницы резервирования, которую выбирает каждая не пройденная проверка, и дайджесты протокола оценки, протоколов пределов и области действительности, на которых покоятся пороги. Протокол — это конфигурация и телеметрия; он не добавляет ни одного пакета в поток предложений.
Протокол размещения
Протокол размещения из раздела «Распределение аппаратных ресурсов» — офлайн-свидетельство с фиксированным заголовком и связанным журналом испытаний («Заголовок протокола размещения»). Он не несет собственной подписи; подписанный манифест выпуска связывает его через placement_record_digest. enforcement_record_digest называет протокол принудительного обеспечения, чей deadline_ns испытывался, а test_ledger_digest идентифицирует внешний журнал, который указывает заявленное худшее время выполнения, не превышаемое загруженным испытанием, вместе с распределениями, числом выборок, условиями испытаний, мерами устранения и непроверенными состояниями. Не измеренный максимум хранится как все единицы, никогда как ноль, — то же соглашение о недоступном значении, которым пользуется протокол отказа.
| Смещение | Поле | Скалярный тип | Единица | Инвариант и проверка |
|---|---|---|---|---|
0x00 | execution_domain_id | uint64_t | перечисление | Должен совпадать с заявленной топологией (прикладной процессор, NPU, GPU, MCU, контроллер синхронного исполнения). |
0x08 | privilege_and_ring | uint64_t | уровень привилегий | Инициатор на EL0; механизм принуждения на EL1 или выше, либо в защищенной среде. |
0x10 | nominal_period_ns | uint32_t | нс | Такт механизма принуждения; равен loop_period_ns протокола принудительного обеспечения. |
0x14 | hard_deadline_ns | uint32_t | нс | Предельный срок пути разрешения внутри такта; равен deadline_ns протокола принудительного обеспечения. |
0x18 | unloaded_observed_max_ns | uint64_t | нс | Наибольший отклик, наблюдавшийся без конкурирующей нагрузки; выборочный максимум, а не WCET. |
0x20 | loaded_observed_max_ns | uint64_t | нс | Наибольший отклик под заявленной нагрузкой; все единицы, пока не выполнено испытание под нагрузкой. Независимость держится, лишь пока он не превышает заявленный WCET. |
0x28 | shared_axi_channel_qos | uint64_t | настроенный QoS | Приоритет арбитража для каждого претендента; семантика контроллера проверяется захватом регистров и стресс-испытанием. |
0x30 | max_pdn_droop_thermal_trip | uint32_t[2] | мВ; м°C | Настроенные пороги просадки шины и теплового срабатывания; журнал фиксирует испытания за ними. |
0x38 | hardware_mitigation_flags | uint8_t[32] | битовая маска | Активные меры, такие как снимок TCM, разбиение памяти или изолированная шина; блокируются регистром после загрузки. |
0x58 | enforcement_record_digest | uint8_t[32] | SHA-256 | Протокол принудительного обеспечения, чьи loop_period_ns и deadline_ns испытывает этот протокол. |
0x78 | test_ledger_digest | uint8_t[32] | SHA-256 | Внешний журнал испытаний, включая дайджесты модели и прошивки, находящиеся на испытании. |
Заголовок протокола размещения: Конфигурационные значения и наблюдаемые максимумы с дайджестами, связывающими испытанный протокол принудительного обеспечения и внешний журнал испытаний. Один заголовок не устанавливает свободу от помех.
Протокол полномочий и полезная нагрузка оператора
Протокол полномочий из раздела «Журнал полномочий» имеет две раскладки времени выполнения. Команда сетевого оператора — это нагрузка заголовка предложения («Полезная нагрузка оператора»), и это единственное предложение, чья идентичность отправителя наделяет полномочиями, поэтому оно несет метку HMAC-SHA-256 под ключом роли оператора. Статический манифест полномочий фиксирует выдачу каналов каждой роли, счетчик компонент команды, порядок и единицы, а также хранение ключей.
| Смещение | Поле | Скалярный тип | Единица | Инвариант и проверка |
|---|---|---|---|---|
0x00–0x4F | заголовок предложения | как выше | как выше | «Заголовок предложения и нагрузка фрагмента» с payload_kind = OPERATOR. |
0x50 | nonce | uint64_t | — | Никогда не повторяется в течение срока жизни ключа; повторный nonce отклоняется как повтор. |
0x58 | requested_channel_mask | uint16_t | битовая маска | Запрошенные каналы; должны находиться в пределах выдачи роли в статическом манифесте. |
0x5A | operator_role_id | uint8_t | перечисление | Роль, чей ключ произвел mac. |
0x5B | reserved | uint8_t | — | Ноль. |
0x5C | command | float32[N_c] | по манифесту | Запрошенные компоненты команды в порядке манифеста, допускаемые как любое другое предложение. |
0x5C + | mac | uint8_t[32] | HMAC-SHA-256 | Метка над всеми предыдущими байтами; недействительная метка блокирует канал. |
0x7C + | crc32 | uint32_t | контрольная сумма | CRC-32 по IEEE 802.3 над всеми предыдущими байтами. |
Полезная нагрузка оператора: Команда сетевого оператора под заголовком предложения. Метка аутентифицирует роль; путь разрешения тем не менее допускает команду по ее содержимому.
Криминалистический протокол полномочий («Протокол полномочий для расследования») — журнал, записываемый один раз за такт, а не пакет. Его время — по часам микроконтроллера безопасности; отображение, связывающее его с PTP и календарным временем, с границей ошибки, живет в статическом манифесте вместе с длинами векторов, единицами и порядком компонент. chain_link каждой записи — HMAC-SHA-256 под ключом журнала по ссылке предыдущей записи и предыдущим полям этой записи, так что измененная или удаленная запись разрывает каждую более позднюю ссылку.
| Смещение | Поле | Скалярный тип | Единица | Записываемые свидетельства и предел |
|---|---|---|---|---|
0x00 | t_mcu_ns | uint64_t | нс, часы разрешения | Время события решения этого такта. |
0x08 | actuator_channel_mask | uint16_t | битовая маска | Каналы, к которым применяется это решение; разрешения шины и DMA принудительно ограничивают область записи. |
0x0A | preempt_trigger_code | uint16_t | перечисление | Причина: запрос, тайм-аут, потеря разрешающего устройства или защитный вход. |
0x0C | authority_state | uint8_t | перечисление | AUTO, PEND, BLEND, MAN, FALLBACK или PROTECTIVE. |
0x0D | fallback_rung | uint8_t | перечисление | PROJECT, HOLD, STOP или INHIBIT, когда состояние FALLBACK; иначе NONE. |
0x0E | operator_role_id | uint8_t | перечисление | Аутентифицированная роль источника, интерпретируемая по статическому манифесту. |
0x0F | reserved | uint8_t | — | Ноль. |
0x10 | blend_factor_alpha | float32 | безразмерное | Прогресс в профиля смешивания, принадлежащего механизму принуждения. |
0x14 | policy_proposed_cmd | float32[N_c] | по манифесту | Компоненты команды до разрешения; не запись в двигатель. |
0x14 + | enforcer_clamped_cmd | float32[N_c] | по манифесту | Компоненты, допущенные после текущей проверки ограничений. |
0x14 + | actuator_delivered_cmd | float32[N_c] | по манифесту | Диспетчеризованные компоненты задания; доставка на привод требует отдельных свидетельств. |
0x14 + | measured_plant_state | float32[N_s] | по манифесту | Отсчитанные компоненты состояния с временем датчиков в манифесте. |
0x14 + | chain_link | uint8_t[32] | HMAC-SHA-256 | Ключевая ссылка по предыдущей ссылке и предыдущим полям этой записи; свидетельство вмешательства, лишь пока ключ и якорь остаются под охраной. |
Протокол полномочий для расследования: Одна запись на такт контура разрешения. Отсутствующая запись — пробел в цепочке, никогда не подразумеваемое одобрение, и запись — это выборочная трассировка решения, а не доказательство отданной силы или контакта.
Протокол передачи полномочий
Используется в разделах «Переходы полномочий» и «Передача без разрыва». Протокол выполняется в контуре механизма принуждения на микроконтроллере безопасности, где четырехфазное рукопожатие, предсмещение интегратора и квинтическое смешивание становятся одной последовательностью шагов по состояниям. Каждый такт пишет криминалистический протокол полномочий из таблицы «Протокол полномочий для расследования» под именами состояний, используемыми ниже.
Ритм и инварианты.
- Ритм исполнения: периодическое таймерное прерывание жесткого реального времени (, период , аппаратное дрожание тайминга ).
- Инвариант памяти: нулевое динамическое выделение кучи (
malloc/freeзапрещены; все переменные состояния, почтовые ящики и кольцевые буферы журнала статически предварительно выделены в DTCM SRAM). - Аппаратные полномочия: исключительная запись допущенных заданий, подготовленных для следующего кадра EtherCAT, к приводам, и аппаратных отсечек безопасного снятия момента (STO).
Протокол исполнения.
- Отберите и провалидируйте состояние объекта управления, доступный резерв остановки, независимые защитные входы и текущую аренду полномочий. Независимый защитный вход выбирает свой проверенный путь остановки, подобранный по состоянию, из раздела «Лестница резервирования».
- В
AUTOручной запрос или запрос передачи политике переходит вPEND; политика может предлагать, лишь пока действует ее существующее разрешение. Установите на меньшее из потолка протокола и предельного срока, выводимого из свободного расстояния. Не позже последнего такта разрешения до передайте управление резервированию, подобранному по состоянию. Недействительный сетевой пакет отклоняется и журналируется, а не интерпретируется как запрос остановки. - В
PENDпроверьте учетные данные оператора, nonce, разрешающий вход, свежесть цели, пределы актуаторов и полный запас передачи плюс остановки. ПоACKна следующем квалифицированном такте Commit отзовите токен исполнения политики на маскированных каналах, защелкните как ее последнюю допущенную команду, защелкните проверенную человеческую цель и установитеBLEND. Механизм принуждения остается единственным писателем актуаторов. Если допуск не удался, сохраните или перейдите в независимо проверенное резервирование. - В
BLENDвычислите и . Механизм принуждения предлагает , затем проверяет этого кандидата по текущему состоянию, моменту и скорости изменения и пределам остановки до диспетчеризации. Это защелкнутые конечные точки, а не одновременные живые потоки политики и человеческого актуатора. Если аренда, свободное расстояние или допущение слежения не выполняются, используйте резервирование, подобранное по состоянию. При с действующей ручной арендой установитеMANи подтвердите это состояние оператору. - В
MANмеханизм принуждения проверяет каждое живое человеческое предложение. Истечение аренды или потеря разрешающего устройства отзывает ручные предложения и передает управление проверенному резервированию. Отдельно журналируйте запрос, ACK, фиксацию, кандидата, допущенную команду, измеренный отклик и неопределенность часов; ограниченная высокочастотная запись не должна блокировать такт управления.
Протокол отказа
Протокол отказа из раздела «Манифест отказов» — офлайн-свидетельство, фиксированный заголовок, подписанный Ed25519, который связывается с сохраненным пакетом свидетельств по дайджесту («Заголовок протокола отказа»). Корень журнала отказов, который связывает манифест выпуска, вычисляется по каноническим кодированиям этих заголовков. envelope_point имеет свое определение для каждой машины в версионированном манифесте классов отказов; для мобильного манипулятора его четыре значения — скорость в проходе (м/с), нагрузка (кг), коэффициент трения пола и температура окружающей среды (K).
| Смещение | Поле | Скалярный тип | Единица | Назначение и интерпретация |
|---|---|---|---|---|
0x00 | trial_id | uint64_t | — | Уникальный идентификатор испытания в версионированном журнале. |
0x08 | claim_ref_id | uint32_t | индекс | Предварительно зафиксированное физическое утверждение и его единицы. |
0x0C | envelope_point | float32[4] | по манифесту | Заявленная рабочая точка испытания. |
0x1C | fault_injection_mode | uint16_t | перечисление | Внедренный класс отказа. |
0x1E | injection_target_node | uint16_t | перечисление | Аппаратная граница, принимающая внедрение. |
0x20 | fault_magnitude | float32 | по классу отказа | Амплитуда внедрения; ее единица фиксируется манифестом классов отказов. |
0x24 | t_det_ns | uint32_t | нс | От триггера отказа до срабатывания детектора. |
0x28 | t_takeover_ns | uint32_t | нс | От триггера отказа до измеренного перехвата; вычтите t_det_ns для интервала после обнаружения. |
0x2C | stl_robustness_rho | float32 | единица утверждения | Необработанный знаковый запас для claim_ref_id; запасы остальных предикатов остаются в пакете. |
0x30 | verdict_status | uint8_t | перечисление | PASS, FAIL, INVALID или UNOBSERVABLE. |
0x31 | reserved | uint8_t[3] | — | Ноль. |
0x34 | oracle_digest | uint8_t[32] | SHA-256 | Неизменяемые предикат и конфигурация оракула. |
0x54 | evidence_digest | uint8_t[32] | SHA-256 | Отдельно сохраненный пакет свидетельств испытания. |
0x74 | signature | uint8_t[64] | Ed25519 | Подпись над всеми предыдущими байтами; идентификатор ключа — в версионированном манифесте. |
Заголовок протокола отказа: Фиксированная часть одного испытания с внедрением отказа. Связанный пакет свидетельств несет длительность отказа, идентификаторы сборок аппаратуры и программного обеспечения, ссылки на необработанные трассировки и области часов, идентичность детектора, каждое значение запаса и его масштаб, измеренный физический исход, вторичные аномалии и частичные трассировки для вердиктов, отличных от успешных.
Для испытания, прерванного до внедрения, время детектора, время перехвата и запас робастности недоступны, а не равны нулю. Раскладка хранит все единицы (0xFFFFFFFF) в недоступном временном слоте uint32_t и канонический тихий NaN в недоступном слоте запаса float32, а подписанный пакет свидетельств записывает флаг действительности для каждого измеренного поля и причину его отсутствия. Оракул проверяет эти флаги и вердикт до выполнения арифметики и исключает недоступные слоты из счетчиков успеха и из статистик задержек или запасов. Версионированный манифест фиксирует битовый шаблон NaN, чтобы хеширование оставалось воспроизводимым.
Протокол внедрения отказов
Используется в разделе «Внедрение отказов на аппаратуре». Протокол выполняет одно испытание с аппаратурой в контуре на целевом кремнии, от аудита предусловий до подписанного заголовка из таблицы «Заголовок протокола отказа», и каждый выход, который он берет, устанавливает одно значение verdict_status этого заголовка.
Подложка и инварианты.
- Подложка исполнения: стенд объекта управления на программируемой вентильной матрице (FPGA) жесткого реального времени и оркестратор испытательного стенда (, дрожание аппаратных меток времени ).
- Инвариант памяти: предварительно выделенные статические DMA-буферы в хост-оркестраторе испытаний; нулевое динамическое выделение кучи во время выполнения на микроконтроллере безопасности.
- Полномочия защитной блокировки: независимые оптические или лазерные эталонные датчики, подключенные к аппаратным реле-шунтам (crowbar), способным обесточить целевой актуатор в пределах после нарушения физической огибающей.
Протокол исполнения.
-
Аудит предусловий (стадия 1). Отберите базовые датчики окружающей среды через (температуру, напряжение шины и скорость колеса). Сопоставьте каждое измерение с его заявленным допуском в тех же единицах; не берите одну норму по кельвинам, вольтам и метрам в секунду. Если какое-либо предусловие не выполнено, запишите
ERR_PRECONDITION_OUT_OF_SPEC, установите вердиктINVALIDи прервите. -
Синхронизация и взведение стационарного режима (стадия 2). Взведите симулятор объекта управления на FPGA, запитайте целевую двухпроцессорную систему и запустите периодический контур управления (). Установите синхронизированные опорные часы для логического анализатора, объекта на FPGA и эталонных преобразователей через часы PXI . Дайте физическому состоянию объекта стабилизироваться в номинальной рабочей огибающей в течение . Если базовая ошибка слежения , поднимите
ERR_BENCH_INSTABILITY, установите вердиктINVALIDи прервите. -
Триггер внедрения отказа (стадия 3). В монотонный момент испытания аппаратный оркестратор испытаний поднимает линию триггера к встроенному стенду внедрения:
- Зависание инициатора (F1): оркестратор убивает задачу политики фрагментов через один такт после продления аренды.
- Задержка или смещение датчика (F2): перехватчик на FPGA защелкивает кадр навигационной камеры или удерживает устаревшую нагрузку энкодера, сохраняя его действительную аппаратную метку времени.
- Потеря кадров (F3): узел возмущения полевой шины теряет или портит кадры EtherCAT на ведомом порту привода.
- Просадка управляющей шины (F4a): программируемая электронная нагрузка снимает переходный процесс F4a из таблицы «Классы аппаратных и киберфизических отказов» с общей управляющей шины в точке разряженного аккумулятора в течение , пока независимый преобразователь записывает шину разрешения и сигнал живости пути разрешения.
- Потеря питания шины разрешения (F4b): твердотельный ключ разрывает питание шины разрешения в момент начала резидентной остановки с потолка обследованного пола.
- Механическое заклинивание актуатора: четырехквадрантный динамометр прикладывает ступень противодействующего момента .
Запишите метку времени внедрения в наносекундах по опорным часам.
-
Отклик механизма принуждения и аудит перехвата (стадия 4). Наблюдайте через изолированный логический анализатор выводы механизма принуждения безопасности целевого MCU, телеметрию шины CAN и ШИМ-линии драйверов затворов:
- Обнаружьте срабатывание немаскируемого прерывания (NMI) или диагностического флага: .
- Обнаружьте аппаратное вытеснение мультиплексором драйвера двигателя: .
- Обнаружьте переход физического объекта управления в безопасный ограниченный режим: .
Если внешний стенд сдерживания срабатывает на нарушении конструктивной огибающей, аппаратный шунт обесточивает актуатор; поднимите
ERR_PHYSICAL_BREACHи доведите испытание до стадии 5, где нарушенный предикат сдерживания возвращаетFAIL. -
Оценка робастности и сериализация в журнал (стадия 5). Считайте эталонную траекторию от независимой измерительной аппаратуры в пределах заявленного окна испытания. Если требуемые эталонные кадры отсутствуют, установите вердикт
UNOBSERVABLEи сохраните частичную трассировку. Для наблюдаемого испытания вычислите знаковый запас каждого предварительно зафиксированного предиката в его собственной единице, как его определяет STL-робастность из раздела «Сигнальная временная логика и непрерывная робастность». ВозвращайтеPASSтолько когда каждый требуемый запас неотрицателен и оба измеренных времени — от отказа до обнаружения и от отказа до перехвата привода — удовлетворяют своим заявленным границам; иначе возвращайтеFAIL. Безразмерный агрегат может вычисляться лишь после предварительно объявленной нормировки по каждому предикату. Свяжите фиксированный заголовок протокола отказа с пакетом свидетельств переменной длины по дайджесту, подпишите заголовок по указанной схеме хранения и сохраните оба.
Манифест выпуска
Манифест выпуска из раздела «Манифест выпуска» — подписанный офлайн-артефакт, а не запись почтового ящика, поэтому он имеет каноническое кодирование вместо фиксированных смещений. Поля идут в порядке, который перечисляет таблица «Манифест выпуска», каждое поле переменной длины несет префикс длины, а подпись арбитра Ed25519 покрывает кодирование каждого предыдущего поля. Каждый дайджест — SHA-256. Истечение — единственное календарное время в цепочке протоколов, и оно проверяется по защищенным от несанкционированного доступа часам реального времени, а не по монотонным часам микроконтроллера безопасности.
| Поле | Кодирование | Связывает | Проверка перед разрешением |
|---|---|---|---|
claim_manifest_id | uint8_t[16] UUID | Утверждение безопасности верхнего уровня | Связан с корневым узлом подписанного графа аргументов. |
argument_digest | uint8_t[32] | Полный граф утверждение–аргумент–свидетельство | Совпадает с графом, который рассматривал арбитр. |
policy_weights_digest | uint8_t[32] | Веса обученной модели | Несовпадение отказывает в выпуске. |
enforcer_bitstream_digest | uint8_t[32] | Образ логики механизма принуждения | Несовпадение отказывает в выпуске. |
rtos_kernel_digest | uint8_t[32] | Образ ядра реального времени и драйверы | Проверяется аппаратным корнем доверия при включении питания. |
calib_trace_pointers | список подписанных ссылок на свидетельства с префиксом длины | Сертификаты калибровки | Отсутствующие или устаревшие свидетельства отказывают, если их не покрывает отдельно подписанный ограниченный вариант. |
fault_ledger_root | uint8_t[32] | Подписанные заголовки протоколов отказов («Протокол отказа») | Отсутствующий, неаутентифицированный или несовпадающий журнал отказывает. |
authority_record_digest | uint8_t[32] | Статический манифест полномочий и начальный якорь цепочки криминалистического журнала («Протокол полномочий и полезная нагрузка оператора») | Несовпадение отказывает в выпуске. |
placement_record_digest | uint8_t[32] | Протокол размещения («Протокол размещения») | Несовпадение отказывает в выпуске. |
evaluation_record_digest | uint8_t[32] | Протокол оценки | Несовпадение отказывает в выпуске. |
verdict_classification | перечисление uint8_t | UNCOND, COND или REFUSE | Выбирает разрешенную рабочую огибающую. |
standing_conditions | массив с префиксом длины из (предпосылка, темп проверки, срабатывание) | Физические предпосылки, проверяемые в эксплуатации | Проверяются на каждом такте разрешения; неизвестная предпосылка берет оцененную остановку. |
telemetry_drift_budget | специфичные для задачи пределы и триггеры с префиксом длины | Дрейф слежения и тайминга | Нарушение границы отзывает; тенденция побуждает к осмотру. |
verdict_expiry | календарное время UTC (ISO 8601) | Период действительности вердикта | Показание часов реального времени после истечения аннулирует разрешение. |
lifecycle_budget | uint64_t[2] (часы, циклы) | Допуск износа | Превышенный бюджет или недействительный счетчик отказывает в движении. |
adjudicator_signature | идентификатор ключа плюс подпись uint8_t[64] Ed25519 | Весь манифест | Проверяется авторизованным, неотозванным ключом арбитра. |
Манифест выпуска: Канонический порядок полей подписанного артефакта выпуска. Новая подписанная версия может заменить манифест лишь после проверки текущих физических условий, а аппаратный корень закрепляет ключи, а не хранит изменяемые дайджесты.
Протокол ворот выпуска
Используется в разделе «Манифест выпуска». Прежде чем силовые ступени двигателей получат питание, ворота выпуска свидетельствуют состояние кремния, проверяют манифест из таблицы «Манифест выпуска» и дайджесты его образов и аудируют постоянные условия в указанном ниже порядке.
Подложка и подпись. Аппаратный корень доверия закрепляет авторизованную, отзывную цепочку ключей проверки арбитра. Защищенное хранилище держит подписанный манифест и подписанный граф свидетельств. Подпись покрывает каждое версионированное поле манифеста, включая идентичность подписывающего ключа, а проверяющий сверяет цепочку ключей и ее состояние отзыва до доверия подписи. Индивидуально подписанные протоколы отказов из раздела «Протокол отказа» входят в манифест как один дайджест по полному журналу в его заявленном порядке. Проверяющий сверяет подпись каждой записи, упорядоченность, полноту и этот корень с рассмотренным индексом свидетельств. Один дайджест не устанавливает ни действительности записи, ни достаточности испытаний.
Авторизация с отказом в сторону блокировки. Начните с Permit_gate = 0 и физического объекта управления в его оцененном нерабочем состоянии. Все возвращаемые решения используют подписанный перечислимый тип UNCOND, COND или REFUSE; реализация может отдельно журналировать код причины.
- Проверьте цепочку ключей арбитра и состояние отзыва, подпись манифеста, истечение, подписанные бюджеты рабочих часов и циклов и каждый активный дайджест образа. Любая недействительная, отсутствующая или истекшая позиция возвращает
REFUSE. Другой программный банк требует собственного подписанного варианта и новой проверки физических условий. - Аутентифицируйте полный журнал отказов и ссылки на калибровку по подписанному графу. Отсутствующий журнал, плохая подпись записи или несовпадение корня возвращает
REFUSE, даже если манифест говоритUNCOND. Устаревшая калибровка также возвращаетREFUSEв полном варианте. Она может поддерживатьCONDлишь когда отдельно подписанный ограниченный вариант явно покрывает это состояние калибровки и все его свидетельства и пределы по-прежнему валидны. - Проверьте зависящие от состояния постоянные условия, включая тормозное испытание, разделение, базу времени и здоровье мониторинга. И
KNOWN_FALSEиUNKNOWNвозвращаютREFUSE, сохраняя различные журналируемые причины. Примените утвержденные остановку или удержание, подобранные по состоянию, из раздела «Лестница резервирования». - Если все проверки пройдены и подписанный вердикт
UNCOND, загрузите подписанную полную огибающую и вернитеUNCOND. Если все ограниченные условия выполняются в подписанном вариантеCOND, загрузите его подписанную сокращенную огибающую и вернитеCOND. Подписанный вариантREFUSEили любое другое состояние возвращаетREFUSE. В обоих режимах работа обученная политика лишь предлагает действия; независимый механизм принуждения проверяет каждого кандидата и контролирует разрешение актуаторов. Пороги срабатывания по силе должны включать измеренный запас обнаружения и отклика ниже контактного критерия.
Реестр остаточных утверждений
Реестр остаточных утверждений из раздела «Реестр остаточных утверждений» отслеживает каждую физическую предпосылку, на которой покоится выпуск, но которую он не наблюдает, так что открытое утверждение переносится через развертывания программного обеспечения и ревизии аппаратуры. Как и манифест выпуска, это офлайн-артефакт, чьи обязательные поля («Эпистемический реестр остаточных утверждений») следуют каноническому порядку, а не фиксированным смещениям.
| Категория манифеста | Поле | Физическая единица | Инвариант и эксплуатационный контракт |
|---|---|---|---|
| Заголовок манифеста | system_identifier | — | Уникальный идентификатор воплощенной платформы (например, WMM-AISLE-01) |
| Заголовок манифеста | hardware_build_rev | — | Ревизия целевого кремния и шасси (HW-REV-3.2) |
| Заголовок манифеста | software_digest | — | Дайджест выпущенного бинарного файла |
| Заголовок манифеста | validity_limit_hours | часы | Настроенное рабочее окно до пересмотра |
| Остаточные утверждения | entry_id | — | Уникальная метка утверждения (например, CLAIM-FRIC-001) |
| Остаточные утверждения | target_safety_claim | — | Явный инвариант безопасности () |
| Остаточные утверждения | missing_observable | единицы СИ | Неизмеренное физическое состояние (например, трение поверхности ) |
| Физическая опасность | governing_law | — | Ньютон–Эйлер, Навье–Стокс, джоулев нагрев |
| Физическая опасность | time_to_harm | секунды | Время от неучтенного перехода до необратимого разрушения |
| Эксплуатационное сдерживание | containment_type | — | FIRMWARE_PARAM_CLAMP, PASSIVE_MECHANICAL или OPERATING_RESTRICTION; провалидируйте выбранный предел |
| Эксплуатационное сдерживание | authority_limit | Жесткий числовой потолок задания () | |
| Эксплуатационное сдерживание | kinetic_energy_ceiling | Максимально допустимая кинетическая энергия при отказе () | |
| Обеспечение и осмотр | proof_test_interval | часы | Запланированный интервал испытаний; свидетельства между испытаниями по-прежнему зависят от эксплуатационного ограничения |
| Предварительно объявленное закрытие | closure_modality | — | Требуемая технология преобразователя или формальный метод |
| Предварительно объявленное закрытие | sample_trials | счетчик | Специфичная для варианта независимая наработка, размер которой задает правило нулевых отказов из раздела «Испытания без отказов и стена наработки» для заявленной границы частоты пропусков |
| Предварительно объявленное закрытие | confidence_level | — | Заявленный односторонний уровень доверия этой границы |
Эпистемический реестр остаточных утверждений: Канонический порядок полей реестра. Заголовок связывает его с одной платформой, сборкой и рабочим окном; каждая запись должна нести свое утверждение, недостающее наблюдение, опасность и время до вреда, сдерживание, действующее в ожидании, и предварительно объявленное испытание, которое закрыло бы его.
Для дальнейшего чтения
Для более глубокого основополагающего понимания встроенных архитектур, операционных систем реального времени и силовой электроники обратитесь к следующим авторитетным источникам:
- Computer Organization and Design: The Hardware/Software Interface Hennessy and Patterson, 2019 дает исчерпающее изложение архитектур процессоров, иерархий кеша и компромиссов подсистем памяти.
- Scheduling Algorithms for Multiprogramming in a Hard-Real-Time Environment Liu and Layland, 1973 устанавливает математические основы планирования с монотонными периодами и планируемости задач реального времени.
- Modern Operating Systems авторов Andrew S. Tanenbaum и Herbert Bos дает исчерпающий охват межпроцессорного взаимодействия, синхронизации без блокировок и управления памятью.
- Real-Time Systems автора Jane W. S. Liu дает авторитетную математическую формулировку алгоритмов планирования реального времени, инверсии приоритетов и анализа времени отклика.
-
Jeff Dean: Google Senior Fellow и системный архитектор. Его числа задержек, впервые представленные вместе с Peter Norvig около 2010 года, установили каноническую иерархию задержек между уровнями хранения, памяти и сети Scott, 2012. Физический ИИ распространяет эту иерархию вниз, на электромеханические актуаторы, кинематику остановки и тепловые постоянные времени. ↩
-
Аппаратные сторожевые таймеры с обратным отсчетом: Настроенный сторожевой таймер истекает, когда ожидаемое обслуживание не происходит. Его осциллятор, тайм-аут, коммутация выхода и отклик объекта управления различаются от устройства к устройству. Простая подкормка из несвязанного прерывания не доказывает, что наблюдаемое вычисление управления продвигалось; сброс, питаемый прошивкой, также не обязан подавать сигнал приводу. Поведение сброса см. в Linux watchdog API, а выбор остановки — в разделе «Лестница резервирования». ↩
-
Вставка мертвого времени в инверторе: Мертвое время таймера выбирается по временным характеристикам ключей и драйверов в диапазоне температур и нагрузок, затем проверяется по фактическим волнам затворов. Перекрытие может создать разрушительное короткое замыкание шины; численный исход по току или предохранителю требует сопротивления цепи и отклика защиты. ↩
-
Моделирование задержки по Сакураю–Ньютону: Альфа-степенной закон моделирует зависящую от напряжения задержку вентиля; его параметры зависят от технологии. Модель предсказывает уменьшение запаса установки при просадке, тогда как пропуск предельного срока, ошибка регистра или сброс должны устанавливаться по измеренному запасу пути и порогам устройства. ↩
-
Штрафы конфликтов банков DRAM: Смена строки в одном банке может добавить время предзаряда и активации. Видео-DMA также может ставить транзакции в очередь перед чтением безопасности. Результирующая задержка должна быть ограничена для конкретного отображения адресов, политики арбитража и рабочей нагрузки; фиксированный штраф за запрос обычно не обоснован. ↩
-
Аппаратные метки времени: Совместимый PHY или MAC ставит метки на кадры ближе к линии, чем программный обработчик прерываний. Аппаратные метки времени устраняют один источник разброса диспетчеризации, тогда как асимметрия пути и преобразование часов остаются. Неопределенность метки времени принадлежит физическому протоколу оценки состояния и бюджету разрешения. ↩
-
Аппаратные барьеры памяти: Барьеры упорядочивают доступы только в пределах своего заданного контракта совместного использования и атрибутов памяти. На некогерентном маршруте также требуются операции очистки/инвалидации кеша или когерентные отображения. Руководство Arm по упорядочению памяти отличает упорядочение от когерентности. ↩
-
Тепловые постоянные времени статора: Резистивный джоулев нагрев повышает температуру фазных обмоток двигателя при длительных маневрах с высоким моментом. Поскольку удельное электрическое сопротивление меди растет линейно с температурой, горячие обмотки имеют большее сопротивление, уменьшая отдачу момента при насыщении напряжения на зажимах. Превышение пределов температуры изоляции обмоток разрушает диэлектрические покрытия, вызывая межвитковые короткие замыкания и необратимое разрушение актуатора. ↩
-
Тормозные чопперы динамического торможения: Квалифицированный чоппер способен рассеивать возвращенную энергию, когда аккумулятор недоступен как сток. Его порог, номиналы ключа и резистора, длительность импульса и тепловое восстановление должны быть испытаны. Рекуперация и работа чоппера не присущи каждой аварийной остановке; безопасное снятие момента может вместо этого оставить двигатель идти выбегом. ↩
-
Внутренняя проекция отверстия: Модель отверстия проецирует 3D-точки на 2D-датчик через откалиброванные внутренние параметры. При фиксированном шуме пикселей боковая дисперсия после обратной проекции по глубине растет с квадратом расстояния; слагаемые ошибки глубины и калибровки подчиняются собственным моделям. Некалиброванные внутренние параметры могут смещать оценку свободного расстояния и должны входить в ее огибающую ошибки. ↩
Диагностический справочник S·P·A
Когда основание складского мобильного манипулятора останавливается за свободным расстоянием у торца стеллажа, причиной могут быть устаревшие сенсорные свидетельства (Восприятие), неосуществимая путевая точка (Планирование) или изношенный тормоз, отдающий меньшее замедление, чем предполагалось (Действие). Таксономия S·P·A находит первый нарушенный контракт среди Восприятия, Планирования и Действия. Журналы и физические измерения затем проверяют этот диагноз до того, как будет допущено средство.
Как использовать это приложение
Используйте этот диагностический справочник, когда воплощенная система нарушает огибающую безопасности, пропускает предельный срок исполнения, дребезжит при контакте или сбивает аппаратные блокировки. Проработайте диагностику четырьмя систематическими проходами:
- Описать физический симптом и связывающий бюджет: Зафиксировать наблюдаемое нарушение остановочного пути, переход контактной силы, тепловое срабатывание или превышение предельного срока механизмом принуждения, включая единицы, нагрузку, эксплуатационное состояние и предел, настроенный для этой машины.
- Локализовать кандидатную ось или пересечение: Использовать «Справочник осей S·P·A» для первого прохода по трем основным осям. Когда симптом затрагивает тайминг интерфейсов, представления состояния или полномочия исполнения команды, перейти прямо к ландшафту пересечений в разделе «Таксономия пересечений S·P·A».
- Проверить количественную гипотезу: Измерить кандидатное ограничение или бюджет приборами из раздела «Матрица поиска неисправностей производства физического ИИ», такими как рассинхронизация меток времени, время очереди шины, фазовый ток или ошибка слежения.
- Вмешаться и переснять через каузальную границу: Применить средство и заново провести измеренный тест на заявленной огибающей нагрузки, тайминга и отказов.
Физический симптом определяет наиболее эффективную точку входа. Нестабильные контактные колебания должны немедленно обследовать границу Действие–Восприятие (). Внезапный разрыв задания или измеренный переход момента указывают на границу Планирование–Действие (). Торможение при фантомном препятствии или дрейф под окклюзией указывают на интерфейс Восприятие–Планирование (). Дрожание предельного срока при одновременном нейронном инференсе указывает прямо на решение о разрешении в центре ().
Диагностическое резюме: оси S·P·A
Таксономия S·P·A разлагает киберфизическую петлю на три оси. Раздел «Справочник осей S·P·A» перечисляет ограничение или бюджет для проверки для каждой из них; это не исчерпывающий перечень законов сохранения.
| Ось | Эксплуатационная роль | Ограничение или бюджет для проверки | Диагностическое действие | Место в книге |
|---|---|---|---|---|
| Восприятие (S) | Захват и оценка физического состояния | Возраст свидетельств, поле зрения, пересчет часов, неопределенность и транспорт сенсоров | Сравнить эпохи захвата и свидетельств каждой ячейки с измеренным состоянием и предельным сроком разрешения | «Пространственная память» |
| Планирование (P) | Предложить цель и траекторию | Действительность намерения, вычислительная задержка, динамика и допуск стоп-суффикса | Сравнить предложенные цели и будущие состояния с независимо проверенными пределами | «Планирование траекторий» |
| Действие (A) | Приложить и измерить силу | Ток, момент, тепловой запас, отклик тормоза и кинетический запас хода | Измерить отклик от команды до силы и достигнутую остановку под заявленной нагрузкой | «Обеспечение безопасности» |
Справочник осей S·P·A: Оси организуют диагностику вокруг измеренных ограничений и бюджетов, с главой, развивающей каждый контракт.
Хотя это разделение по одной оси полезно для первичной сортировки, производственные отказы редко зарождаются в одном изолированном компоненте. Чаще отказ сидит на границе между двумя осями — такой как несглаженная ступень траектории, возбуждающая механические колебания высокоинерционного ротора, или вход прямого доступа к памяти (DMA) камеры, насыщающий кроссбар памяти, нужный таймерам двигателей реального времени. Разрешение таких отказов требует картирования ландшафта пересечений.
Ландшафт пересечений
Раздел «Ландшафт пересечений S·P·A» показывает, как пересекаются Восприятие, Планирование и Действие, с решением о разрешении в центре, где встречаются все три. В этом приложении мы формализуем этот ландшафт в эксплуатационную системную диагностическую матрицу.
Ландшафт пересечений S·P·A: Восприятие, Планирование и Действие встречаются попарно в трех физических решениях: обнаружить объект сейчас, проверить, что предложенное движение укладывается в пределы, и измерить, что изменилось после действия. Их центр — решение о разрешении, где независимый путь разрешения проверяет общий физический бюджет до исполнения команды.
Каждое пересечение — проверяемая передача. Раздел «Таксономия пересечений S·P·A» называет режим отказа и свидетельства, необходимые прежде чем предложенное исправление заслужит разрешения.
| Пересечение | Контракт передачи | Отказ для проверки | Свидетельства и кандидатное средство |
|---|---|---|---|
| — оценка | Наблюдения становятся оценками состояния с метками времени и системой координат | Свежая публикация карты скрывает старый воксель или незамеченный предмет остается неизвестным | Проверить эпохи свидетельств каждой ячейки, свободные и занятые лучи и преобразования систем координат; использовать отдельно проверенный слой коллизий |
| — движение | Предложение становится допущенной, согласованной по состоянию траекторией | Стык запрашивает ступень момента или стоп-суффикс больше не помещается в запас хода | Проверить входное состояние, производные, аренду и запас хода; отвергнуть неосуществимый стык и использовать резидентную остановку |
| — обратная связь | Исполнение команды меняет состояние, о котором докладывают сенсоры | Контактная сила растет до следующего полезного семпла или актуатор насыщается | Измерить отклик от команды до силы и задержку возврата сенсора; выбрать локальный рефлекс и пассивный предел там, где это обосновано |
| — разрешение | Независимые ворота превращают предложение в физическое действие | Помехи вычислений, памяти, питания или часов задерживают отказ | Измерить отклик под конкуренцией; отозвать слежение и квалифицировать изоляцию или переместить путь, если его граница не держится |
Таксономия пересечений S·P·A: Четыре передачи находят самый ранний нарушенный физический контракт и свидетельства, требуемые для его починки; справочник осей выше ссылается на лежащие в основе главы.
Матрица поиска неисправностей производства физического ИИ
Когда работающая машина нарушает физические пределы или программные инварианты, используйте раздел «Матрица поиска неисправностей производства физического ИИ», чтобы сопоставить наблюдаемые диагностические симптомы со связывающей осью и высокоэффективным средством.
| Наблюдаемый симптом | Кандидатная граница | Различающее измерение | Кандидатный отклик |
|---|---|---|---|
| Контактные колебания, пока рука открывает дверь клетки с пружинным замком | Измерить фазовый запас и нарастание силы против задержки от сенсора до момента при фактической жесткости контакта | Квалифицировать локальный контур импеданса, предел скорости подхода и пассивную податливость для этого контакта | |
| Ступень момента или тока на стыке фрагмента действий | Сравнить трассы энкодера, фазового тока и запрошенного ускорения на измеренном входном состоянии | Допустить согласованный по состоянию мост и зарезервировать стоп-суффикс; сведение в разделе «Планирование траекторий» специфично для профиля | |
| Остановка при фантомном препятствии в проходе | Различить наблюдаемые свободные, занятые и неизвестные лучи; проверить возраст свидетельств по вокселям | Очищать лишь наблюдаемое свободное пространство и заново проверить преобразование занятости в разрешение | |
| Механизм принуждения пропускает свой настроенный предельный срок при входе камеры | Соотнести пропуски времени отклика с очередью шины, переключениями банков, промахами кеша и владением DMA | Квалифицировать обход QoS или когерентный локальный снимок безопасности; переснять под конкуренцией | |
| Звено или деталь пластически деформируются при контакте | Сравнить измеренные силу и смещение с испытанными пределами материала и оснастки | Снизить допущенную скорость или силу и квалифицировать податливый путь нагрузки | |
| Обновление политики приходит после ее допущенного горизонта фрагмента | Измерить хвост обновления, истечение аренды и состояние передачи резервирования | Укоротить допущенное действие или использовать остановку, которой владеет путь разрешения; не продлевать разрешение от одного лишь процентиля | |
| Просадка шины питания микроконтроллера безопасности (MCU) во время всплесков ускорителя | Измерить осциллограмму шины, запас пути, порог супервизора и результирующее время отклика | Охарактеризовать развязку, скорость нарастания тока или физическую изоляцию питания | |
| Основание дрейфует к торцу стеллажа несмотря на низкую офлайн-ошибку предсказания | Сравнить смещение по курсу в замкнутом контуре, боковой запас хода и зависящее от поверхности торможение | Испытать прогоны в замкнутом контуре и наложить осуществимый коридор и границу остановки |
Матрица поиска неисправностей производства физического ИИ: Каждая строка — гипотеза, измерение и кандидатное средство; приемка зависит от заявленных пределов машины.
Системная карта показателей S·P·A
До выпуска используйте раздел «Карта показателей систем физического ИИ S·P·A», чтобы назвать свидетельства, необходимые для каждой передачи. Ее проверки — примеры, а не переносимые пороги прохождения: подписанный кейс выпуска должен поставить фактические пределы, эксплуатационную огибающую, семантику достоверности или жесткой границы и резервирование для машины.
| Граница | Пример проверки приемки для заявленной машины | Отклик, если проверка не проходит |
|---|---|---|
| Восприятие — часы захвата | Ограничить ошибку пересчета от захвата до MCU и включить ее в возраст свидетельств | Пересинхронизировать или удержать движение, когда граница истекает |
| Восприятие — прием данных | Измерить худшую допущенную заполненность очереди сенсоров/DMA, долю потерь и время передачи под одновременной нагрузкой | Зарезервировать емкость или снизить нагрузку сенсорики; потерянные кадры не обновляют оценку |
| Планирование — горизонт фрагмента | Допустить преемника до предельного срока обязательства либо передать резидентной или согласованной по состоянию остановке | Использовать измеренные хвосты обновления как свидетельства, а не как гарантию худшего случая |
| Планирование — динамика | Проверить положение, скорость, ускорение, момент и стоп-суффикс против фактических пределов шарниров и пути | Отвергнуть или перепланировать неосуществимый фрагмент |
| Действие — тормоз и контакт | Проверить достигнутое замедление и отклик силы по нагрузке, износу, поверхности и температуре | Снизить номинал скорости, сменить оснастку или отказаться от неиспытанного состояния |
| Действие — тепло | Удерживать измеренные температуры обмотки и привода внутри номиналов устройства при заявленном режиме нагрузки | Снизить нагрузку или войти в проверенный режим остановки/удержания |
| — пространственные свидетельства | Сохранять эпоху свидетельств каждой ячейки и различать наблюдаемые свободное, занятое и неизвестное | Отказывать в неизвестном запасе хода или получить новое наблюдение |
| — стык | Проверить согласованное входное состояние, пределы производных и полный запас хода для остановки до обязательства | Использовать резидентную или согласованную по состоянию остановку, которой владеет путь разрешения, если преемник отсутствует или недействителен |
| — рефлекс | Ограничить отклик от сенсора до силы относительно специфичного для контакта предельного срока вреда | Снизить энергию подхода или добавить проверенный пассивный предел |
| — вычисления | Квалифицировать WCET пути разрешения относительно его предельного срока в бюджете цикла раздела «Обеспечение безопасности», с отдельно забюджетированными опросом, валидацией, записью и диспетчеризацией | Отозвать разрешение слежения до того, как превышение цикла израсходует запас остановки |
| — общий кремний | Измерить отклик механизма принуждения при худшей допущенной конкуренции шины, питания и тепла | Квалифицировать QoS/локальные снимки или переместить путь, если изоляцию нельзя показать |
| — разрешение | Верифицировать допущения модели/состояния, осуществимый вход CBF, запасы часов и оценки и согласованное по состоянию резервирование | Отвергать предложение, когда предпосылка отсутствует; один лишь результат QP не доказывает безопасности пути |
Карта показателей систем физического ИИ S·P·A: Примеры проверок выпуска по трем осям и их передачам. Каждая строка требует специфичного для случая порога и свидетельств.
Глоссарий
Настоящий глоссарий определяет ключевые термины, используемые во всей книге Системы физического ИИ. Термины расположены в алфавитном порядке.
A
- Action Chunking («временное фрагментирование действий»)
- Техника исполнения политики, при которой модель предсказывает разомкнутую последовательность будущих действий на многошаговом горизонте, а не одно действие за шаг. Она амортизирует задержку медленного нейронного вывода по нескольким интервалам управления и гасит высокочастотный нарастающий ковариантный сдвиг, порождая кинематически согласованные траектории. В замкнутом контуре перекрывающиеся фрагменты выполняются по принципу скользящего горизонта или смешиваются временным ансамблированием, чтобы сохранить реактивность на динамические возмущения среды. («Когнитивный мозг», «Планирование траекторий», «Обучение политики»)
B
- Behavioral Cloning (BC) («поведенческое клонирование»)
- Базовая парадигма обучения с подражанием, обучающая политику с помощью контролируемого обучения напрямую отображать сенсорные наблюдения в экспертные управляющие действия и рассматривающая физическое последовательное принятие решений как задачу прямой регрессии или классификации. Вычислительно эффективное на статических архивах демонстраций, стандартное поведенческое клонирование игнорирует последствия собственных управляющих выходов для замкнутого контура. Вследствие этого малые одношаговые ошибки вывода порождают нарастающий ковариантный сдвиг, уводя физического робота со многообразия демонстраций в невосстановимые состояния отказа. («Обучение политики», «Физические данные»)
- Belief State Invalidation Horizon () («горизонт инвалидации оценки состояния»)
- Продолжительность времени, за пределами которой ненаблюдаемая оценка пространственного или кинематического состояния больше не может быть засвидетельствована как лежащая внутри допускаемой задачей безопасной огибающей. Оцениваемый из динамики возмущений среды, скоростей несмоделированных препятствий и дрейфа оценщика, он устанавливает срок годности перцептивной памяти. Нисходящие планировщики, считающие пространственные оценки старше этого горизонта допустимым свободным пространством, рискуют отдать команду на столкновение с динамическими препятствиями. («Пространственная память», «Распространение ковариации и наблюдаемость»)
- Bumpless Transfer («безударная передача»)
- Протокол динамической передачи управления, который в момент переключения согласует эталоны состояния, скорости и усилия между органами управления, устраняя переходные ступенчатые изменения заданных моментов актуаторов. Когда супервизорское управление резко переходит от автономной нейронной политики к оператору, грубое переключение полномочий вызывает механические удары, структурные колебания и потерю сцепления шин. Безударная передача использует динамические переходные рампы и отслеживание состояния по обратной связи, чтобы плавно передать энергию управления внутри физической полосы пропускания актуатора. («Вмешательство супервизора», «Гладкие траектории и безударная передача»)
C
- Causal Boundary («каузальная граница»)
- Физический, энергетический и архитектурный порог в воплощенной системе, где заканчиваются обратимые цифровые вычисления, а над внешней средой совершается необратимая физическая работа (). За этой границей вычислительные ошибки нельзя откатить программными обработчиками исключений или процедурами аварийного прекращения, поэтому инварианты безопасности должны быть верифицированы до записи в регистры актуаторов. Путь разрешения расположен выше этой границы — на границе предложения из раздела «Машина в пяти уровнях». («Каузальная граница», «Физическое тело»)
- Causal Confusion (Causal Misidentification) («каузальная путаница (ошибочная каузальная идентификация)»)
- Режим отказа обучения с подражанием, при котором политика опирается на ложные, не каузальные признаки, коррелирующие с действиями эксперта в обучающих демонстрациях, вместо истинных физических аффордансов задачи. Модели нейронных сетей большой емкости используют случайные визуальные подсказки (такие как индикаторы интерфейса, лампы приборной панели или прошлые действия), которые исчезают или меняются при физическом развертывании. Развернутые политики замкнутого контура катастрофически отказывают, когда воздействия на этапе тестирования разрывают эти не каузальные корреляции. («Обучение политики»)
- Clearance Inset Margin («запас врезки свободного расстояния»)
- Детерминированный геометрический буфер безопасности, вычитаемый из воспринятых границ свободного пространства для гарантирования избегания столкновений при наличии пространственной неопределенности измерений. Отступ формально вычисляется как векторная сумма ошибки калибровки датчика, ковариации глубины, кинематических допусков цепочки преобразований и огибающих ошибки динамического отслеживания. Принудительное обеспечение отступа запаса не позволяет планировщику прокладывать траектории вдоль границы сырых обнаружений датчиков, гарантируя свободное расстояние в худшем случае дрейфа восприятия. («Сенсорное восприятие», «Планирование траекторий»)
- Closed-Loop Evaluation («оценка в замкнутом контуре»)
- Метрологическая парадигма физического ИИ, измеряющая производительность, безопасность и устойчивость политики через интерактивные прогоны на физическом оборудовании или высокоточном моделировании, а не через статические функции потерь на отложенной выборке. Поскольку автономная политика непрерывно возмущает собственную рабочую среду, содержательная оценка требует регистрации метрик замкнутого контура, таких как доля выполнения задач, нарушения динамического запаса безопасности и среднее время работы между вмешательствами. Оценка политик исключительно по ошибке разомкнутого контура затушевывает катастрофический нарастающий ковариантный сдвиг. («Оценка в замкнутом контуре», «Обучение политики»)
- Compounding Rollout Error («нарастающая ошибка прокатки»)
- Теоретическое и эмпирическое накопление отклонений траекторий в разомкнутоконтурном обучении с подражанием, где ошибка политики за шаг порождает полную ошибку траектории, нарастающую квадратично () на горизонте исполнения . Поскольку агент встречает неизвестные состояния, как только отклоняется от пути демонстрации, его условная вероятность ошибки взлетает, а не остается постоянной. В физической робототехнике этот квадратичный рост превращает небольшой дрейф отслеживания в быстрые столкновения с препятствиями или механическое насыщение пределов шарниров. («Обучение политики», «Обучение с подражанием и нарастающий ковариантный сдвиг»)
- Control Barrier Function (CBF) («функция барьера управления»)
- Непрерывно дифференцируемая скалярная сертифицирующая функция , которая определяет и гарантирует прямую инвариантность допустимого безопасного множества в пространстве состояний динамической системы. Обеспечивая условие скорости приближения к границе , CBF переводит сложные ограничения на состояния в мгновенные аффинные ограничения-неравенства на управляющие входы. Это позволяет проецировать кандидатные предложения неверифицированных нейронных политик на безопасные управляющие входы в реальном времени с помощью выпуклого квадратичного программирования. («Обеспечение безопасности», «Безопасность и функции барьера управления»)
- Cross-Embodiment Transfer («перенос между воплощениями»)
- Парадигма обучения, в которой единая политика или базовая модель обучается на сенсомоторных данных, собранных на разнородных морфологиях роботов, кинематических цепочках и динамике актуаторов, чтобы обобщаться на новые целевые воплощения. Достижение обобщения между воплощениями требует нормализации различных пространств наблюдений в унифицированные системы координат и отображения разнородных пространств действий через представления, не зависящие от воплощения. Главная трудность — не допустить отрицательный перенос, вызванный несмоделированными расхождениями динамики, вариациями инерции звеньев и различными границами скоростей шарниров. («Физические данные», «Обучение политики»)
D
- Diffusion Policy («диффузионная политика»)
- Генеративная архитектура политики, которая моделирует непрерывные мультимодальные траектории действий робота, обращая параметризованный стохастический диффузионный процесс, обусловленный сенсорными наблюдениями. Обучая оценочную функцию (score function) распределения демонстраций, диффузионные политики генерируют гладкие многошаговые фрагменты действий из гауссова шума, не разрушаясь в усреднение по модам и не требуя явной дискретизации непрерывных пространств управления. Их выразительное моделирование плотности делает их исключительно эффективными для сложных богатых контактами манипуляционных задач. («Обучение политики», «Непрерывная диффузия траекторий и сопоставление потоков»)
- Domain Randomization (DR) («рандомизация домена»)
- Методология переноса из симуляции в реальность, которая систематически возмущает физические параметры (масса, трение, демпфирование, пределы момента двигателя), характеристики датчиков (ковариация шума, задержка, положение камеры) и визуальные текстуры по обучающим эпизодам в симуляции. Подвергая политику широкому распределению смоделированных сред, рандомизация домена побуждает нейронную сеть выучивать инвариантные представления и устойчивые поведения с обратной связью, рассматривающие несмоделированный физический мир как еще один рандомизированный экземпляр в пределах своего обучающего охвата. При слишком узкой рандомизации реальный мир выпадает из обучающей оболочки; при слишком широкой производительность политики деградирует из-за чрезмерного консерватизма. («Обучение политики»)
- Dynamic Stopping Distance () («динамический остановочный путь»)
- Свободное расстояние, необходимое движущейся воплощенной системе, чтобы остановиться с текущей скорости при достоверном торможении и полной предтормозной задержке: . Он включает путь, пройденный за время задержки от обнаружения до тормозного усилия, который растет линейно с этой задержкой, тормозной путь при проверенном нижнем пределе замедления, который растет с квадратом скорости, и фиксированные поправки на ошибку локализации и защитный запас. Путь разрешения допускает команду только если этот путь, уменьшенный на границу отслеживания, умещается в свободное расстояние до границы. («Физическое тело», «Обеспечение безопасности»)
E
- Endogenous Covariate Shift («эндогенный ковариантный сдвиг»)
- Сдвиг распределения в последовательном принятии решений, при котором собственные ошибки исполнения воплощенного агента уводят его физическое тело в состояния, не представленные в обучающих демонстрациях, подвергая политику новым наблюдениям вне распределения. Поскольку офлайновое контролируемое обучение предполагает независимые одинаково распределенные данные, ошибки политики при эндогенном сдвиге накапливаются вдоль траектории, а не усредняются до нуля. В физических системах этот сдвиг приводит к отказу задачи или нарушению границ, если его не смягчать корректирующими данными замкнутого контура или перепланированием по скользящему горизонту. («Каузальная граница», «Физические данные», «Обучение политики»)
- Endogenous Experience (The Action–Observation Loop) («эндогенный опыт (контур действия–наблюдения)»)
- Свойственный именно воплощенным системам процесс генерации данных замкнутого контура, в котором выполненные агентом действия каузально определяют его последующие физические состояния и сенсорные наблюдения (). В отличие от пассивного контролируемого обучения на фиксированных экзогенных датасетах, генерация опыта физического ИИ образует необратимую динамическую петлю обратной связи, где малые возмущения управления меняют будущие траектории сбора данных. Поэтому генерация данных и развертывание политики в воплощенных агентах принципиально неразделимы. («Каузальная граница», «Физические данные»)
- Envelope Trichotomy («трихотомия огибающих»)
- Трехзначная эпистемическая классификация состояния киберфизической системы во время выполнения, разбивающая статус системы относительно ее сертифицированной рабочей огибающей на известно-истинное (верифицированная достоверная телеметрия внутри границ), известно-ложное (верифицированное нарушение предела) и неизвестное (эпистемическая неопределенность из-за порчи данных датчиков, потери кадров или расхождения оценщика). В воплощенном ИИ и известно-ложное, и неизвестное безусловно отказывают в разрешении на слежение и запускают безопасное резервирование, не позволяя неизмеренной кинетической энергии накапливаться в перцептивных слепых зонах. Это принципиально отличается от невоплощенного программного обеспечения, которое часто предполагает безопасность исполнения при отсутствии явных флагов ошибок. («Выпуск в эксплуатацию»)
- Exposure Wall («стена наработки»)
- Предел того, что может установить одна лишь безотказная работа о редкой частоте отказов. При стационарной пуассоновской модели отказов ограничение катастрофической частоты в час с уровнем доверия 95 % требует около безотказных часов наработки в одной и той же конфигурации — аргумент, который Батлер и Финелли привели для программного обеспечения полетов. Испытание без единого события не может выйти на такую частоту, поэтому утверждения на этом уровне опираются на архитектурные свидетельства, внедрение отказов и мониторы времени выполнения, а не на накопленные часы работы. («Пределы физических испытаний», «Верификация», «Испытания без отказов и стена наработки»)
F
- Fallback Ladder («лестница резервирования»)
- Упорядоченный набор реакций, который путь разрешения выбирает, когда предложение нельзя допустить без изменений или его предпосылки нарушаются. Ее ступени — PROJECT (проекция предложения на безопасное множество с минимальным вмешательством), HOLD (удержание с питанием, согласованное по состоянию), STOP (управляемая остановка, согласованная по состоянию) и INHIBIT (блокировка приводного момента с отдельно рассчитанным тормозом). Каждая ступень выбирается до того, как допустимое множество станет пустым, и каждая является проверенной реакцией для заявленной нагрузки и тайминга, а не универсальным прекращением. («Лестница резервирования», «Вмешательство супервизора»)
- Flow Matching Policy («политика сопоставления потоков»)
- Непрерывная генеративная архитектура политики, обучающая нейронное векторное поле преобразовывать базовое вероятностное распределение в эмпирическое распределение действий вдоль детерминированных прямолинейных оптимальных транспортных путей. По сравнению с диффузионными политиками на основе оценочной функции, модели сопоставления потоков достигают сопоставимой выразительности распределения, требуя значительно меньшего числа шагов численного интегрирования для генерации фрагмента действий. Это ускорение вывода существенно снижает задержку генерации на самом устройстве, делая выполнение высокочастотного замкнутого контура в реальном времени осуществимым на встроенных периферийных вычислительных кристаллах. («Обучение политики»)
- Forward Invariance («прямая инвариантность»)
- Математическое свойство динамической системы и безопасного множества , утверждающее, что любая траектория состояния, инициализированная внутри , остается строго ограниченной на все будущее время при допустимой политике управления. В физическом ИИ прямая инвариантность служит фундаментальной математической формулировкой безопасности, гарантируя, что воплощенный агент никогда не нарушает кинематические, динамические или тепловые границы опасности во время работы в замкнутом контуре. Она сертифицируется во время выполнения проверкой того, что управляющие входы удовлетворяют субтангенциальным граничным условиям на периметре безопасного множества. («Обеспечение безопасности», «Безопасность и функции барьера управления»)
G
- Grounded Affordance («обоснованный аффорданс»)
- Связанное с объектом или участком местности пространственное, кинематическое и динамическое многообразие взаимодействия, определяющее, где и как воплощенный агент может начать, поддержать и завершить физический манипуляционный или локомоторный примитив. В отличие от чисто семантических меток объектов, обоснованный аффорданс параметризует нормали поверхностей контакта, границы конуса трения, коридоры подхода исполнительного органа и кинематически осуществимые позы захвата относительно физического воплощения робота. Семантический запрос задачи нельзя перевести в физическое действие, пока его лежащий в основе аффорданс строго не обоснован в достижимом рабочем пространстве робота. («Обоснованное намерение», «Сенсорное восприятие»)
H
- Heterogeneous Silicon Partitioning («разбиение гетерогенного кремния»)
- Принудительно обеспечиваемая оборудованием стратегия распределения, которая физически изолирует стохастические недетерминированные рабочие нагрузки машинного обучения (выполняемые на GPU или NPU под общими операционными системами) от детерминированных критичных для безопасности контуров рефлексов (выполняемых на ядрах с «голым железом» или RTOS). Обеспечивая аппаратные границы защиты памяти и выделенный доступ к периферии, она устраняет паники ОС общего режима и конкуренцию за память между нейронными конвейерами и микросекундными контурами управления двигателями. Это гарантирует, что путь разрешения сохраняет гарантированные бюджеты исполнения и неразделяемый доступ к шине при любой вычислительной нагрузке. («Размещение на кремнии», «Почтовые ящики гетерогенного SoC и барьеры памяти»)
I
- Inevitable Collision State (ICS) («состояние неизбежного столкновения»)
- Состояние физической системы , из которого не существует допустимой физически выполнимой управляющей траектории — в пределах динамических ограничений актуаторов и трения — способной предотвратить удар о препятствия среды на бесконечном временном горизонте. В отличие от геометрического запаса до препятствий, ICS явно учитывает импульс объекта управления, пределы трения, траектории динамических препятствий и ограниченные тормозные возможности актуаторов. Агент физического ИИ попадает в ICS задолго до геометрического контакта, если его скорость превышает его тормозные возможности в пределах имеющегося запаса хода. («Физическое тело», «Планирование траекторий», «Обеспечение безопасности»)
- Intent Grounding Refusal («отказ при обосновании намерения»)
- Детерминированный механизм отказа по соображениям безопасности, при котором двигатель перевода намерений или допускающий затвор формально отказывается выполнять высокоуровневую команду, потому что запрошенную цель нельзя физически или безопасно обосновать. Отказ срабатывает, когда семантические цели не имеют достижимых многообразий аффордансов, требуют траекторий, нарушающих кинодинамическую осуществимость, или конфликтуют с верифицированными инвариантами безопасности. Вместо того чтобы молча пытаться выполнить недоактуированное или опасное движение, система выдает явный диагностический отказ, сигнализируя о вмешательстве супервизора или обдуманном перепланировании. («Обоснованное намерение», «Вмешательство супервизора»)
- Intent Lease («аренда намерения»)
- Ограниченный по времени и состоянию токен авторизации, по которому высокоуровневая когнитивная цель или целевой аффорданс остаются действительными для физического исполнения нисходящими планировщиками. Поскольку динамические среды непрерывно развиваются, невыполненное намерение физически устаревает или становится опасным, если откладывается за пределы сертифицированной временной аренды или если лежащие в его основе свидетельства сцены дрейфуют за указанные пространственные допуски. Истечение аренды намерения вынуждает к немедленному обдуманному пересогласованию или к безопасному переходу в неподвижное состояние, не позволяя роботу следовать устаревшим перцептивным предпосылкам. («Обоснованное намерение», «Планирование траекторий»)
- Intervention Masking («маскировка вмешательств»)
- Эмпирическая оценочная и связанная с безопасностью патология, при которой повторяющиеся проактивные вмешательства человеческих супервизоров систематически искажают метрики автономности, перехватывая политику до того, как она встретит критические пограничные отказы. Поскольку супервизор вмешивается на стадии зарождающегося дрейфа, записанные журналы телеметрии политики содержат искусственно завышенные доли успеха и ноль наблюдавшихся происшествий, скрывая истинную лежащую в основе частоту отказов и не давая собирать данные восстановления. Если это явно не учитывается метриками со скидкой на вмешательства, маскировка вмешательств создает ложное представление о готовности политики, ведущее к катастрофическим отказам при развертывании без наблюдения. («Вмешательство супервизора», «Оценка в замкнутом контуре»)
- Intervention Rate (Mean Time Between Interventions) («частота вмешательств (среднее время между вмешательствами)»)
- Стандартизованная метрика надежности и безопасности физического ИИ, определяемая как общее число супервизорских перехватов управления или аварийных срабатываний систем безопасности, деленное на суммарное время работы или пройденное расстояние по физическим прогонам. В отличие от бинарных долей выполнения задач, MTBI дает нецензурированную, статистически строгую меру автономной выживаемости воплощенного агента в открытых средах. Отслеживание MTBI показывает, не является ли высокая доля выполнения задач иллюзией, создаваемой частыми человеческими вмешательствами по безопасности, которые не дают политике встретить свои границы отказа. («Оценка в замкнутом контуре», «Вмешательство супервизора»)
K
- Kinodynamic Feasibility («кинодинамическая осуществимость»)
- Математическое свойство планируемой физической траектории, одновременно удовлетворяющей ограничениям геометрического избегания столкновений в конфигурационном пространстве, кинематическим пределам механизма (положения и скорости шарниров) и динамическим границам объекта управления (моменты актуаторов, ускорения шарниров, приведенный рывок и конусы трения контакта). Чисто кинематическая траектория, игнорирующая кривые момент–скорость актуаторов или пределы сцепления шин транспортного средства, физически невыполнима и вызовет насыщение актуаторов, фазовое запаздывание и уход управления в разнос. Синтез траекторий в физическом ИИ требует проверки кинодинамической осуществимости на всем горизонте движения до исполнения. («Планирование траекторий», «Физическое тело»)
M
- Metric 3D Lifting (Spatial Grounding) («метрический подъем в 3D (пространственное обоснование)»)
- Геометрический и обучающий процесс проецирования неоткалиброванных признаков, масок или семантических токенов 2D-пространства изображения в метрические евклидовы трехмерные представления, закрепленные в системе координат физического робота. Методы вроде подъема лучевой пирамиды вокселями (Ray Frustum Voxel Lifting), слияния усеченных функций знакового расстояния и 3D-гауссова сплаттинга превращают неоднозначные по масштабу пиксельные шаблоны в метрические границы препятствий и сетки занятости свободного пространства. Пространственное обоснование гарантирует, что высокоуровневые нейронные семантические утверждения соответствуют физически достижимым, проверяемым на столкновения координатным многообразиям в рабочем пространстве. («Сенсорное восприятие», «Обоснованное намерение»)
- Minimal Risk Maneuver (MRM) («маневр минимального риска»)
- Автономная детерминированная аварийно-безопасная траектория, выполняемая при обнаружении критического отказа или потере рабочей огибающей, чтобы перевести воплощенную систему из активного миссионного состояния в неподвижное низкоэнергетическое безопасное состояние. В отличие от резкой остановки без питания, которая может вызвать динамическое опрокидывание, потерю управления рулем или сброс груза, MRM активно выполняет управляемое замедление, освобождение полосы или податливое приземление. Он представляет собой конечную поведенческую гарантию пути разрешения, когда номинальные полномочия на слежение отозваны навсегда. («Обеспечение безопасности», «Вмешательство супервизора»)
- Minimal-Intervention Safety Shield («щит безопасности минимального вмешательства»)
- Супервизорский проекционный фильтр реального времени, который посредничает между неверифицированной обученной политикой и физическими приводами актуаторов, решая квадратичную программу на каждом цикле управления: при ограничениях барьера и актуаторов. Он пропускает номинальные предложения нейронной сети без изменений, пока они соблюдают безопасную динамику, вмешиваясь лишь на границе безопасного множества, чтобы минимально перенаправить управляющие команды вдоль касательного конуса прямой инвариантности. Это гарантирует физическую безопасность, сохраняя максимальную производительность задачи и поведенческую выразительность лежащей в основе модели. («Обеспечение безопасности», «Безопасность и функции барьера управления»)
- Mode Averaging (Multimodality Catastrophe) («усреднение по модам (мультимодальная катастрофа)»)
- Катастрофический отказ обучения, возникающий, когда одномодальная политика, параметризованная стандартной функцией потерь регрессии (такой как среднеквадратичная ошибка), обучается на мультимодальных данных демонстраций, демонстрирующих несколько допустимых путей. Когда человеческие демонстраторы обходят препятствие, выбирая левый или правый объезд, наивная регрессионная модель усредняет конкурирующие моды действий, задавая интерполяцию, которая направляет робота прямо в препятствие. Устранение усреднения по модам требует выразительных генеративных декодеров, способных моделировать произвольные мультимодальные распределения на непрерывных траекториях действий. («Обучение политики», «Когнитивный мозг»)
- Mode Confusion («путаница режимов»)
- Критичная для безопасности когнитивная рассогласованность между оператором и автоматизированной системой относительно того, какой субъект обладает активными полномочиями управления конкретными физическими степенями свободы. Путаница режимов возникает, когда автономные переопределения включаются или выключаются молча, без яркой мультисенсорной обратной связи, заставляя человека считать, что он управляет, тогда как автономная политика сопротивляется, или наоборот. В робототехнике, критичной для безопасности, путаница режимов вызывает разрушительные конфликты управления, длительные задержки реакции на перехват и случайное отключение критичных щитов безопасности. («Вмешательство супервизора»)
- Monitored Premise Expiration («истечение контролируемой предпосылки»)
- Автоматизированный отзыв во время выполнения действительности кейса безопасности, срабатывающий, когда эмпирические эксплуатационные условия (такие как коэффициенты трения, температура окружающей среды, потеря пакетов датчиков или внутреннее сопротивление батареи) нарушают основные проектные предпосылки, по которым система была квалифицирована. Связывая мониторы телеметрии времени выполнения прямо с основаниями кейса безопасности, он не позволяет молчаливой деградации физических запасов подвергать машину незащищенным опасностям. Когда контролируемая предпосылка истекает, система автономно переходит в ограниченный режим или режим отказа. («Выпуск в эксплуатацию»)
O
- Observation Contract («контракт наблюдений»)
- Формальная детерминированная спецификация, устанавливающая точные пространственные, временные и семантические гарантии, которые подсистема восприятия берется предоставить нисходящим модулям планирования и безопасности. Контракт определяет соглашения о системах координат, максимально допустимый возраст пространственной информации, минимальное разрешение по глубине и ограничивающие ковариационные эллипсоиды для обнаруженных препятствий. Если динамические окклюзии, выпадения датчиков или конкуренция за вычислительную шину приводят к нарушению этих заявленных границ на выходе восприятия, контракт срабатывает как немедленный флаг перцептивного отказа, а не передает устаревшие или непроверенные пространственные утверждения. («Сенсорное восприятие», «Когнитивный мозг»)
- Observational Indistinguishability («наблюдаемая неразличимость»)
- Фундаментальное перцептивное ограничение, при котором два различных состояния физического мира — одно номинальное и одно катастрофическое — производят идентичную телеметрию датчиков вплоть до предельного срока физического вмешательства машины (). Когда физика датчиков не дает различающей энергии до истечения времени до вреда, никакой программный алгоритм, никакое масштабирование емкости нейронной сети и никакой детектор аномалий не могут предотвратить отказ. Смягчение наблюдаемой неразличимости требует консервативных механических границ, пассивной физической податливости или плановых неразрушающих проверок, а не более глубоких нейронных сетей. («Эпистемическая граница»)
- Operational Design Domain (ODD) («область эксплуатационного назначения (ODD)»)
- Позы объектов, состояния поверхностей, грузы, скорости и возмущения, в которых машина предназначена работать, записанные в виде журнала сценариев. Датасет поддерживает ту часть ODD, которую покрывает его перекрытие по занятости; остальное — его известное отсутствие. Множества вложены: манифест политики определяет заявленную ODD в пределах ODD, оценка отбирает целевую ODD в пределах заявленной ODD, а верификация распространяет целевую ODD на внутренние условия машины как рабочую огибающую, которую вердикт выпуска авторизует целиком, частично или не авторизует вовсе. («Охват политики сбора», «Обучение политики», «Оценка в замкнутом контуре», «Верификация», «Выпуск в эксплуатацию»)
P
- Physical Artificial Intelligence (Physical AI) («физический искусственный интеллект (физический ИИ)»)
- Междисциплинарная ветвь искусственного интеллекта, занимающаяся вычислительными системами, чьи сенсорные входы, рассуждения при выводе и алгоритмы обучения внутренне связаны с физическими телами, действующими в непрерывных нестационарных физических средах. В отличие от невоплощенных систем искусственного интеллекта, работающих на статических цифровых токенах, система физического ИИ должна непрерывно согласовывать задержку нейронного вывода с реальными динамическими временными масштабами, необратимыми термодинамическими контактами и аппаратными ограничениями безопасности. Ее центральная цель — синтез политик замкнутого контура, достигающих обобщаемого выполнения задач и строго предотвращающих катастрофический физический вред. («Каузальная граница», «Когнитивный мозг»)
- Proposal Boundary («граница предложения»)
- Граница между обученной моделью, которая может лишь предлагать действие, и путем разрешения — независимым механизмом с ограниченной задержкой, которую модель не может задержать или исказить и который один может пропустить действие к актуатору. Путь разрешения проверяет каждое предложение по свежим свидетельствам, огибающей остановки и осуществимому из текущего состояния резервированию и отказывает, если провалена любая проверка. Граница предложения отделяет Мозг от Нервной системы в пятиуровневой машине книги. («Машина в пяти уровнях», «Нервная система», «Обеспечение безопасности»)
Q
- Qualification Ladder (XIL) («лестница квалификации»)
- Структурированная киберфизическая верификационная последовательность, которая систематически испытывает воплощенные системы ИИ на подложках оценки с возрастающей физической и временной реалистичностью: модель в контуре (MIL), программное обеспечение в контуре (SIL), процессор в контуре (PIL), оборудование в контуре (HIL) и внедрение физических отказов in situ. Поскольку каждая стадия замыкает или подменяет различные физические и вычислительные контуры обратной связи, верхние ступени дают подлинную конкуренцию за шину, электрические переходные процессы и динамику актуаторов, но жертвуют комбинаторной пропускной способностью испытаний виртуальных ступеней. Полная гарантия требует пройти всю лестницу, а не полагаться на какую-либо одну испытательную среду. («Верификация»)
S
- Safe Torque Off (STO) («безопасное снятие момента»)
- Сертифицированная аппаратная функция безопасности (IEC 61800-5-2), которая электронно отключает сигналы широтно-импульсной модуляции на затворы силовых транзисторов инвертора двигателя, препятствуя возникновению электромагнитного вращающего момента. Являясь основой аварийных остановов категории 0, STO гарантирует, что ни один программный сбой, ни порча памяти, ни зависание процессора не могут командовать исполнение команды двигателем, оставляя объект управления выбегом или полагаться на пассивные механические тормоза. Это высший независимый от программного обеспечения аппаратный аварийный предохранитель в стеке физического ИИ. («Обеспечение безопасности», «Физическое тело»)
- Safety Case (Claim–Argument–Evidence) («кейс безопасности утверждение–аргумент–свидетельство»)
- Структурированный проверяемый аргумент гарантии, показывающий, как воплощенная система ИИ удовлетворяет своим явным требованиям безопасности в пределах заявленной области эксплуатационного назначения. Он организует гарантию иерархически, связывая высокоуровневые утверждения с эмпирическими и формальными свидетельствами (такими как манифесты внедрения отказов, результаты квалификации HIL и доказательства барьеров) через прозрачные фальсифицируемые инженерные аргументы. В физическом ИИ кейс безопасности явно связывает производительность программного обеспечения с физическими аппаратными пределами и рабочими огибающими. («Выпуск в эксплуатацию»)
- Коллаборативная архитектура управления, в которой человеческий супервизор и автономная политика одновременно осуществляют полномочия управления над физическими степенями свободы воплощенной системы. Распределение полномочий может быть реализовано через непрерывные тактильные виртуальные приспособления, динамическое смешивание податливости или привилегированное разбиение задачного пространства. Центральная трудность разделяемой автономии — поддерживать интуитивное, прозрачное распределение полномочий, не допускающее борьбы человека с роботом и одновременно гарантирующее инварианты безопасности системы. («Вмешательство супервизора»)
- Sim-to-Real Contact Exploit («контактный эксплойт sim-to-real»)
- Патология оптимизации, при которой политика обучения с подкреплением обнаруживает и использует нефизические численные артефакты решателя контактов в симуляторе — такие как пружинное восстановление при проникновении, залипание при бесконечном трении или мгновенная релаксация импульса — чтобы достичь высокой симулированной награды. Поскольку этих математических ослаблений решателя не существует в физическом мире, обученная политика испытывает катастрофический отказ, едва встретив реальное кулоново трение и непроницаемые границы материалов. Смягчение контактных эксплойтов требует сглаженной регуляризации контактов, рандомизированных контактных параметров и строгих ограничений энергетической пассивности при обучении. («Обучение политики»)
- Sim-to-Real Gap (Sim-to-Reality Gap) («разрыв sim-to-real (разрыв реальности)»)
- Систематическое расхождение в динамике, механике контактов, преобразовании в датчиках и задержке исполнения между вычислительной физической симуляцией и реальной физической средой. Политики, оптимизированные исключительно в симуляции, часто отказывают при физическом развертывании, потому что симулированные решатели динамики твердых тел линеаризуют трение в контактах, пренебрегают люфтом и податливостью трансмиссии и не включают высокочастотные задержки электрических шин. Преодоление этого разрыва — центральная задача обучения политик на основе моделирования в физическом ИИ. («Обучение политики», «Оценка в замкнутом контуре»)
- Spatial Information Age () («возраст пространственной информации»)
- Полное истекшее время по часам между моментом физического захвата сенсорного наблюдения и точным моментом, когда это наблюдение используется для принятия решения об исполнении команды: . В динамических средах ненулевой возраст информации искусственно раздувает эффективный объем физических препятствий на их максимальную скорость дрейфа (), наказывая медленные конвейеры вывода серьезной деградацией пространственного запаса. Конвейеры оценки состояния должны принудительно обеспечивать явные границы возраста информации, чтобы не дать политикам действовать по устаревшим представлениям мира. («Сенсорное восприятие», «Пространственная память»)
- Stopping Suffix («стоп-суффикс»)
- Предварительно вычисленная, кинодинамически верифицированная тормозная траектория, навсегда зарезервированная в терминальном хвосте допущенного фрагмента действий и предназначенная для приведения физического робота к управляемой свободной от столкновений остановке в пределах имеющихся ограничений трения и актуаторов. Если вывод нейронной сети в реальном времени зависает, связь прерывается или следующий фрагмент действий не проходит кинематическую проверку, робот плавно переходит в стоп-суффикс, а не выполняет разомкнутую экстраполяцию или резкое аварийное торможение. Стоп-суффикс гарантирует, что потеря высокоуровневого интеллекта никогда не ставит под угрозу низкоуровневое физическое выживание. («Планирование траекторий», «Вмешательство супервизора»)
T
- Takeover Reaction Budget () («бюджет реакции перехвата»)
- Совокупное временное выделение (), необходимое человеческому супервизору, чтобы обнаружить молчаливый отказ автономности, оценить опасность, физически включиться в управление и отдать команду на динамический маневр во избежание вреда до того, как система войдет в состояние неизбежного столкновения. Если время до вреда физической системы короче минимального физиологического и механического бюджета перехвата, супервизорское вмешательство математически невозможно. Системы, работающие в этом режиме, должны полностью полагаться на автономное обеспечение безопасности реального времени, а не на человеческое аварийно-безопасное вмешательство. («Вмешательство супервизора»)
- Temporal Ensembling («временное ансамблирование»)
- Техника фильтрации траекторий в реальном времени для политик с фрагментами действий, вычисляющая итоговую выполняемую команду двигателю как взвешенное экспоненцией среднее перекрывающихся предсказаний действий, порожденных на последовательных шагах наблюдения. Непрерывно смешивая предсказания, полученные в различных исторических контекстах, временное ансамблирование сглаживает разрывы между фрагментами и устраняет высокочастотный рывок, не требуя явной оптимизации траекторий. Однако тяжелые окна ансамблирования вносят эффективное фазовое запаздывание, снижая пиковую реактивность робота при резких физических столкновениях или внезапном появлении препятствий. («Когнитивный мозг», «Обучение политики», «Планирование траекторий»)
- Time-to-Harm () («время до вреда»)
- Минимальная физическая продолжительность, необходимая для того, чтобы текущее кинетическое состояние системы перешло в необратимое столкновение, разрушение конструкции или травму человека при худших несмоделированных динамике и возмущениях. Чтобы сохранить прямую инвариантность, путь разрешения должен непрерывно проверять, что остается строго больше худшего бюджета реакции системы (). Если сжимается ниже этого порога реакции, машина исчерпала свой запас на решение и должна начать аварийное торможение. («Эпистемическая граница»)
- Trajectory Spline Blending ( Jerk Continuity) («сплайновое сглаживание траекторий (непрерывность рывка )»)
- Метод интерполяции траекторий и сглаживания стыков, который сшивает последовательно допущенные фрагменты действий или сегменты траекторий квинтическими полиномами или сплайнами Эрмита, обеспечивая непрерывность положения (), скорости () и ускорения () на границах фрагментов. Неуправляемое ступенчатое изменение ускорения запрашивает мгновенный скачок момента двигателя (), что означает бесконечный приведенный рывок, возбуждающий податливость механической передачи, повреждающий трансмиссии и вызывающий перегрузку по току инвертора. Обеспечение непрерывности гарантирует, что заданные усилия актуаторов остаются в пределах динамической полосы пропускания на циклах перепланирования по скользящему горизонту. («Планирование траекторий», «Когнитивный мозг»)
V
- Vision-Language-Action (VLA) Model («модель зрение–язык–действие (VLA)»)
- Сквозная мультимодальная базовая модель, потребляющая токены визуальной сцены, естественноязыковые запросы задач и проприоцептивные состояния робота и напрямую генерирующая непрерывные низкоуровневые токены действий или фрагменты траекторий. Построенные на трансформерных основах большой емкости, предобученных на датасетах зрение–язык масштаба Интернета и дообученных на робототехнических демонстрациях, модели VLA совмещают семантические рассуждения с открытым словарем с пространственным обоснованием аффордансов. Поскольку их внутренние веса лишены гарантий физической безопасности и устойчивости, их выходы рассматриваются как непривилегированные кандидатные предложения, требующие нисходящего кинодинамического и барьерного фильтрования. («Когнитивный мозг», «Обоснованное намерение»)
W
- World Model («мировая модель»)
- Внутренняя генеративная модель, которая учится симулировать динамику переходов вперед, механику контактов и сенсорные наблюдения физической среды, обусловленные будущими действиями агента. В физическом ИИ мировые модели служат обученными цифровыми двойниками, позволяющими ментальное моделирование, контрфактическую оценку траекторий и прогоны на основе модели без физического износа и аппаратного риска. Их надежность в корне ограничена эпистемической неопределенностью на несглаженных бифуркациях контактов и разрывом реальности sim-to-real. («Когнитивный мозг», «Планирование траекторий», «Обучение политики»)
Список литературы
Библиографические записи приведены на языке оригинала.
-
Ahn et al. (2023). Do As {I} Can, Not As {I} Say: Grounding Language in Robotic Affordances. Proceedings of the 6th Conference on Robot Learning (CoRL).
-
Ahn et al. (2024). {AutoRT}: Embodied foundation models for large scale orchestration of robotic agents. arXiv preprint arXiv:2401.12963.
-
Amanatides and Woo (1987). A fast voxel traversal algorithm for ray tracing. Eurographics ’87.
-
Ames et al. (2014). Control barrier function based quadratic programs with application to adaptive cruise control. 53rd IEEE Conference on Decision and Control.
-
Ames et al. (2016). Control barrier function based quadratic programs for safety critical systems. IEEE Transactions on Automatic Control.
-
Ames et al. (2019). Control barrier functions: Theory and applications. European Control Conference (ECC).
-
An et al. (2023). {ETPNav}: Evolving Topological Planner for Vision-Language Navigation in Continuous Environments. arXiv preprint arXiv:2304.03047.
-
Anderson and Spong (1989). Bilateral control of teleoperators with time delay. IEEE Transactions on Automatic Control.
-
Andrychowicz et al. (2020). Learning Dexterous In-Hand Manipulation. The International Journal of Robotics Research.
-
Asada and Kanade (1983). Design of Direct-Drive Mechanical Arms. ASME Journal of Vibration, Acoustics, Stress, and Reliability in Design.
-
Ashby (1956). An Introduction to Cybernetics. Chapman & Hall.
-
Åström and Hägglund (2006). Advanced PID Control. ISA-The Instrumentation, Systems, and Automation Society.
-
Åström and Murray (2021). Feedback systems: an introduction for scientists and engineers. Princeton university press.
-
Barr (2013). Bookout v. Toyota Motor Corp.: 2005 {C}amry {L4} Software Analysis.
-
Bellman (1957). Dynamic Programming. Princeton University Press.
-
{Main Commission Aircraft Accident Investigation Warsaw and German Federal Bureau of Aircraft Accident Investigation} (1994). Report on the Accident to Airbus A320-211 Aircraft in Warsaw on 14 September 1993.
-
Black et al. (2024). {}: A Flow-Matching Foundation Model for Generalist Robots. arXiv preprint arXiv:2410.24164.
-
Brohan et al. (2023). {RT-1}: {Robotics Transformer} for real-world control at scale. Robotics: Science and Systems (RSS).
-
Brohan et al. (2023). Rt-2: Vision-language-action models transfer web knowledge to robotic control. arXiv preprint arXiv:2307.15818.
-
Brooks (1986). A robust layered control system for a mobile robot. IEEE Journal on Robotics and Automation.
-
Brooks (1986). A robust layered control system for a mobile robot. IEEE Journal on Robotics and Automation.
-
Brooks (1991). Intelligence without representation. Artificial Intelligence.
-
Bryant and O’Hallaron (2015). Computer Systems: A Programmer’s Perspective. Pearson.
-
Butler and Finelli (1993). The infeasibility of quantifying the reliability of life-critical real-time software. IEEE Transactions on Software Engineering.
-
Cadene et al. (2024). Le{R}obot: State-of-the-art machine learning for real-world robotics in {PyTorch}. arXiv preprint arXiv:2410.09312.
-
Chi et al. (2024). Diffusion policy: Visuomotor policy learning via action diffusion. The International Journal of Robotics Research.
-
Clopper and Pearson (1934). The Use of Confidence or Fiducial Limits Illustrated in the Case of the Binomial. Biometrika.
-
Cohen (1988). Statistical Power Analysis for the Behavioral Sciences. Routledge.
-
Coles (2001). An Introduction to Statistical Modeling of Extreme Values. Springer.
-
Craig (2005). Introduction to Robotics: Mechanics and Control. Pearson Prentice Hall.
-
{U.S. Chemical Safety and Hazard Investigation Board} (2014). Investigation Report: Drilling Rig Explosion and Fire at the Macondo Well (Deepwater Horizon).
-
Curless and Levoy (1996). A volumetric method for building complex models from range images. Proceedings of the 23rd Annual Conference on Computer Graphics and Interactive Techniques (SIGGRAPH ’96).
-
Driess et al. (2023). PaLM-E: An embodied multimodal language model. International Conference on Machine Learning (ICML).
-
Durrant-Whyte and Bailey (2006). Simultaneous Localization and Mapping: Part {I}. IEEE Robotics & Automation Magazine.
-
Elfes (1989). Using Occupancy Grids for Mobile Robot Perception and Navigation. Computer.
-
{ESA Investigation Board} (2017). ExoMars 2016 - Schiaparelli Anomaly Inquiry.
-
{Exponent, Inc.} (2023). Cruise {AV} {SF} Incident—Pedestrian Collision: Technical Root Cause Analysis.
-
Florence et al. (2022). Implicit Behavioral Cloning. Conference on Robot Learning (CoRL).
-
Foote (2013). tf: The transform library. IEEE International Conference on Technologies for Practical Robot Applications (TePRA).
-
Forster et al. (2017). On-Manifold Preintegration for Real-Time Visual–Inertial Odometry. IEEE Transactions on Robotics.
-
Franklin et al. (1998). Digital Control of Dynamic Systems. Addison-Wesley.
-
Fu et al. (2024). Mobile {ALOHA}: Learning Bimanual Mobile Manipulation with Low-Cost Whole-Body Teleoperation. Proceedings of the 8th Conference on Robot Learning (CoRL).
-
Furgale et al. (2013). Unified temporal and spatial calibration for multi-sensor systems. 2013 IEEE/RSJ International Conference on Intelligent Robots and Systems (IROS).
-
Gibson (1979). The Ecological Approach to Visual Perception. Houghton Mifflin.
-
Gray and Cheriton (1989). Leases: An efficient fault-tolerant mechanism for distributed file cache consistency. ACM SIGOPS Operating Systems Review.
-
Greydanus et al. (2019). Hamiltonian Neural Networks. Advances in Neural Information Processing Systems (NeurIPS).
-
Gu et al. (2022). Open-vocabulary object detection via vision and language knowledge distillation. International Conference on Learning Representations.
-
Hafner et al. (2025). Mastering diverse control tasks through world models. Nature.
-
Hanley and Lippman-Hand (1983). If Nothing Goes Wrong, Is Everything All Right? Interpreting Zero Numerators. JAMA.
-
Harnad (1990). The symbol grounding problem. Physica D: Nonlinear Phenomena.
-
Hartley and Zisserman (2003). Multiple view geometry in computer vision. Cambridge university press.
-
Hennessy and Patterson (2019). Computer Architecture: A Quantitative Approach. Morgan Kaufmann.
-
Hermann and Krener (1977). Nonlinear controllability and observability. IEEE Transactions on Automatic Control.
-
Hogan (1985). Impedance control: An approach to manipulation: Part I–Theory, Part II–Implementation, Part III–Applications. Journal of Dynamic Systems, Measurement, and Control.
-
Hornung et al. (2013). Octo{M}ap: An efficient probabilistic {3D} mapping framework based on octrees. Autonomous Robots.
-
Huang et al. (2023). {VoxPoser}: Composable {3D} Value Maps for Everyday Robot Manipulation with Language Models. arXiv preprint arXiv:2307.05973.
-
Hughes et al. (2022). Hydra: A Real-time Spatial Perception Engine for {3D} Scene Graph Construction and Optimization. Proceedings of Robotics: Science and Systems (RSS).
-
iso21448 (2022). ISO 21448: Road Vehicles, Safety of the Intended Functionality.
-
iso26262 (2018). ISO 26262: Road Vehicles, Functional Safety.
-
isots15066 (2016). ISO/TS 15066: Robots and Robotic Devices, Collaborative Robots.
-
Jatavallabhula et al. (2023). {ConceptFusion}: Open-set Multimodal {3D} Mapping. Proceedings of Robotics: Science and Systems (RSS).
-
{Joint Authorities Technical Review} (2019). Boeing 737 MAX Flight Control System: Observations, Findings, and Recommendations.
-
Johannink et al. (2019). Residual reinforcement learning for robot control. IEEE International Conference on Robotics and Automation (ICRA).
-
Kalman (1960). A new approach to linear filtering and prediction problems. Journal of Basic Engineering.
-
Kalra and Paddock (2016). Driving to safety: How many miles of driving would it take to demonstrate autonomous vehicle reliability?. Transportation Research Part A: Policy and Practice.
-
Kamath et al. (2021). Mdetr-modulated detection for end-to-end multi-modal understanding. Proceedings of the IEEE/CVF International Conference on Computer Vision.
-
Katz et al. (2017). Reluplex: An Efficient {SMT} Solver for Verifying Deep Neural Networks. International Conference on Computer Aided Verification (CAV).
-
Katz et al. (2019). Mini Cheetah: A Platform for Dynamic Locomotion. IEEE International Conference on Robotics and Automation (ICRA).
-
Kavraki et al. (1996). Probabilistic Roadmaps for Path Planning in High-Dimensional Configuration Spaces. IEEE Transactions on Robotics and Automation.
-
Kelly (1998). Arguing Safety: A Systematic Approach to Managing Safety Cases.
-
Kelly and Weaver (2004). The Goal Structuring Notation: A Safety Argument Notation. Proceedings of the Dependable Systems and Networks Workshop on Assurance Cases.
-
Kerbl et al. (2023). {3D} {G}aussian splatting for real-time radiance field rendering. ACM Transactions on Graphics.
-
Kerr et al. (2023). {LERF}: Language Embedded Radiance Fields. Proceedings of the IEEE/CVF International Conference on Computer Vision (ICCV).
-
Khazatsky et al. (2024). {DROID}: A Large-Scale In-The-Wild Robot Manipulation Dataset. Robotics: Science and Systems (RSS).
-
Kim et al. (2024). OpenVLA: An open-source vision-language-action model. arXiv preprint arXiv:2406.09246.
-
Kirillov et al. (2023). Segment Anything. Proceedings of the IEEE/CVF International Conference on Computer Vision (ICCV).
-
Koopman (2020). How Safe Is Safe Enough? Measuring and Predicting Autonomous Vehicle Safety. BookBaby.
-
Kopetz (2011). Real-Time Systems: Design Principles for Distributed Embedded Applications. Springer.
-
Krotkov et al. (2017). The {DARPA} Robotics Challenge Finals: Results and Perspectives. The DARPA Robotics Challenge Finals: Humanoid Robots To The Rescue.
-
Kumar et al. (2020). Conservative Q-Learning for Offline Reinforcement Learning. Advances in Neural Information Processing Systems (NeurIPS).
-
Kuwajerwala et al. (2024). {ConceptGraphs}: Open-Vocabulary {3D} Scene Graphs for Perception and Planning. 2024 IEEE International Conference on Robotics and Automation (ICRA).
-
Landauer (1961). Irreversibility and Heat Generation in the Computing Process. IBM Journal of Research and Development.
-
LaValle (1998). Rapidly-Exploring Random Trees: A New Tool for Path Planning.
-
Leveson and Turner (1993). An investigation of the Therac-25 accidents. Computer.
-
Leveson (2011). Engineering a safer world: Systems thinking applied to safety. MIT Press.
-
Levine et al. (2018). Learning hand-eye coordination for robotic grasping with deep learning and large-scale data collection. The International Journal of Robotics Research.
-
Li and Mourikis (2014). Online temporal calibration for camera–{IMU} systems: Theory and algorithms. The International Journal of Robotics Research.
-
Li et al. (2024). {SIMPLER}: Simulated Evaluation of Manipulator Policy with Real-World Robot Environments. Proceedings of the 8th Conference on Robot Learning (CoRL).
-
Liang et al. (2023). Code as Policies: Language Model Programs for Embodied Control. 2023 IEEE International Conference on Robotics and Automation (ICRA).
-
Lions (1996). {ARIANE} 5 Flight 501 Failure: Report by the Inquiry Board.
-
Lipman et al. (2022). Flow matching for generative modeling. arXiv preprint arXiv:2210.02747.
-
Liu and Layland (1973). Scheduling Algorithms for Multiprogramming in a Hard-Real-Time Environment. Journal of the ACM.
-
Liu et al. (2023). {BEVFusion}: Multi-Task Multi-Sensor Fusion with Unified Bird’s-Eye View Representation. IEEE International Conference on Robotics and Automation (ICRA).
-
Liu et al. (2023). Grounding DINO: Marrying DINO with grounded pre-training for open-set object detection. arXiv preprint arXiv:2303.05499.
-
Liu et al. (2024). {OK-Robot}: What Really Matters in Integrating Open-Knowledge Models for Robotics. arXiv preprint arXiv:2401.12202.
-
Lozano-Pérez (1983). Spatial Planning: A Configuration Space Approach. IEEE Transactions on Computers.
-
Lynch and Park (2017). Modern Robotics: Mechanics, Planning, and Control. Cambridge University Press.
-
Ma et al. (2024). A Survey on Vision-Language-Action Models for Embodied {AI}. arXiv preprint arXiv:2405.14093.
-
Mandlekar et al. (2020). Human-in-the-Loop Imitation Learning using Remote Teleoperation. arXiv preprint arXiv:2012.06733.
-
Marr (1982). Vision: A Computational Investigation into the Human Representation and Processing of Visual Information. W. H. Freeman and Company.
-
{NASA Manned Spacecraft Center} (1969). Apollo 11 Mission Report.
-
Matsuki et al. (2024). Gaussian Splatting {SLAM}. Proceedings of the IEEE/CVF Conference on Computer Vision and Pattern Recognition (CVPR).
-
Maxwell (1868). On governors. Proceedings of the Royal Society of London.
-
Mindell (2008). Digital Apollo: Human and Machine in Spaceflight. MIT Press.
-
Mitchell et al. (2005). A Time-Dependent {Hamilton-Jacobi} Formulation of Reachable Sets for Continuous Dynamic Games. IEEE Transactions on Automatic Control.
-
Moravec and Elfes (1985). High resolution maps from wide angle sonar. IEEE International Conference on Robotics and Automation.
-
Moravec (1988). Mind Children: The Future of Robot and Human Intelligence. Harvard University Press.
-
Museth (2013). {VDB}: High-resolution sparse volumes with dynamic topology. ACM Transactions on Graphics.
-
Stephenson and others (1999). Mars Climate Orbiter Mishap Investigation Board Phase I Report.
-
Newcombe et al. (2011). KinectFusion: Real-time dense surface mapping and tracking. IEEE International Symposium on Mixed and Augmented Reality (ISMAR).
-
{National Highway Traffic Safety Administration (NHTSA)} (2017). {PE 16-007}: Investigation of {Tesla Motors Model S} Automatic Emergency Braking and Autopilot Systems.
-
{National Highway Traffic Safety Administration, Office of Defects Investigation} (2023). {ODI} Resume, Investigation {PE23-018}: Automated Driving System.
-
{Cruise LLC} (2023). Part 573 Safety Recall Report 23{E}-086: {C}ruise {LLC} Automated Driving System Collision Detection Subsystem.
-
{National Transportation Safety Board} (2017). Collision Between a Car Operating With Automated Vehicle Control Systems and a Tractor-Semitrailer Truck Near {W}illiston, {F}lorida, {M}ay 7, 2016.
-
{National Transportation Safety Board} (2019). Collision Between Vehicle Controlled by Developmental Automated Driving System and Pedestrian, {T}empe, {A}rizona, {M}arch 18, 2018.
-
{Octo Model Team} et al. (2024). Octo: An Open-Source Generalist Robot Policy. arXiv preprint arXiv:2404.08839.
-
Oleynikova et al. (2017). Voxblox: Incremental {3D} {E}uclidean signed distance fields for on-board {MAV} planning. IEEE/RSJ International Conference on Intelligent Robots and Systems (IROS).
-
{Open X-Embodiment Collaboration} et al. (2024). Open {X-Embodiment}: Robotic Learning Datasets and {RT-X} Models. 2024 IEEE International Conference on Robotics and Automation (ICRA).
-
Oquab et al. (2023). Dinov2: Learning robust visual features without supervision. arXiv preprint arXiv:2304.07193.
-
Parasuraman et al. (2000). A Model for Types and Levels of Human Interaction with Automation. IEEE Transactions on Systems, Man, and Cybernetics - Part A: Systems and Humans.
-
Philion and Fidler (2020). Lift, Splat, Shoot: Encoding Images from Arbitrary Cameras by Predicting Depth. Proceedings of the European Conference on Computer Vision (ECCV).
-
Pomerleau (1989). {ALVINN}: An Autonomous Land Vehicle in a Neural Network. Advances in Neural Information Processing Systems (NeurIPS).
-
{Quality Control Systems Corp.} (2019). {NHTSA}’s implausible safety claim for {Tesla}’s {Autosteer} driver assistance system.
-
{Quinn Emanuel Urquhart and Sullivan, LLP} (2024). Report to the Boards of Directors of {C}ruise {LLC}, {GM} {C}ruise Holdings {LLC}, and {G}eneral {M}otors Holdings {LLC} Regarding the {O}ctober 2, 2023 Accident in {S}an {F}rancisco.
-
Radford et al. (2021). Learning transferable visual models from natural language supervision. International Conference on Machine Learning.
-
Reeves (1997). What Really Happened on {M}ars?. Electronic mail message, Jet Propulsion Laboratory.
-
{Presidential Commission on the Space Shuttle Challenger Accident} (1986). Report of the Presidential Commission on the Space Shuttle Challenger Accident.
-
Rosinol et al. (2021). Kimera: From {SLAM} to Hierarchical 3D Dynamic Scene Graphs. The International Journal of Robotics Research.
-
Ross et al. (2011). A reduction of imitation learning and structured prediction to no-regret online learning. Proceedings of the Fourteenth International Conference on Artificial Intelligence and Statistics.
-
Saltzer et al. (1984). End-to-end arguments in system design. ACM Transactions on Computer Systems (TOCS).
-
Satyanarayanan (2001). Pervasive Computing: Vision and Challenges. IEEE Personal Communications.
-
Seok et al. (2015). Design principles for energy-efficient legged locomotion and implementation on the {MIT} Cheetah robot. IEEE/ASME Transactions on Mechatronics.
-
Sha et al. (1990). Priority Inheritance Protocols: An Approach to Real-Time Synchronization. IEEE Transactions on Computers.
-
Sha (2001). Using Simplicity to Control Complexity. IEEE Software.
-
Sheridan and Verplank (1978). Human and Computer Control of Undersea Teleoperators.
-
Sheridan (1992). Telerobotics, Automation, and Human Supervisory Control. Wiley.
-
Siciliano et al. (2009). Robotics: Modelling, Planning and Control. Springer Science & Business Media.
-
Slotine and Li (1991). Applied Nonlinear Control. Prentice Hall.
-
Spencer et al. (2021). Feedback in Imitation Learning: The Three Regimes of Covariate Shift. arXiv preprint arXiv:2102.02872.
-
Spong (1987). Modeling and control of elastic joint robots. Journal of Dynamic Systems, Measurement, and Control.
-
Sundaralingam et al. (2023). cu{R}obo: Parallelized Collision-Free Robot Motion Generation. IEEE International Conference on Robotics and Automation (ICRA).
-
Sutton and Barto (2018). Reinforcement Learning: An Introduction. MIT Press.
-
Szeliski (2022). Computer Vision: Algorithms and Applications. Springer.
-
Tedrake (2023). Robotic Manipulation: Perception, Planning, and Control. Massachusetts Institute of Technology.
-
Toulmin (1958). The Uses of Argument. Cambridge University Press.
-
Vaughan (1996). The Challenger Launch Decision: Risky Technology, Culture, and Deviance at NASA. University of Chicago Press.
-
Wabersich and Zeilinger (2021). A Predictive Safety Filter for Learning-Based Control of Constrained Nonlinear Dynamical Systems. Automatica.
-
Wald (1945). Sequential Tests of Statistical Hypotheses. The Annals of Mathematical Statistics.
-
Walke et al. (2023). {BridgeData V2}: A Dataset for Robot Learning at Scale. Conference on Robot Learning (CoRL).
-
Wensing et al. (2017). Proprioceptive actuator design in the {MIT} Cheetah: Impact mitigation and high-bandwidth physical interaction for dynamic legged robots. IEEE Transactions on Robotics.
-
Wiener (1948). Cybernetics: Or Control and Communication in the Animal and the Machine. John Wiley & Sons.
-
Williams et al. (2009). Roofline: an insightful visual performance model for multicore architectures. Communications of the ACM.
-
Wu et al. (2024). GELLO: A General, Low-Cost, and Intuitive Teleoperation Framework for Robot Manipulation. IEEE/RSJ International Conference on Intelligent Robots and Systems (IROS).
-
Xiao et al. (2024). Efficient Streaming Language Models with Attention Sinks. International Conference on Learning Representations (ICLR).
-
Yun et al. (2013). {MemGuard}: Memory Bandwidth Reservation System for Efficient Performance Isolation in Multi-Core Platforms. Proceedings of the 19th IEEE Real-Time and Embedded Technology and Applications Symposium (RTAS).
-
Zhang (2000). A Flexible New Technique for Camera Calibration. IEEE Transactions on Pattern Analysis and Machine Intelligence.
-
Zhao et al. (2023). Learning fine-grained bimanual manipulation with low-cost hardware. Robotics: Science and Systems (RSS).
Уведомление об авторстве
Системы физического ИИ — русский перевод тома IV учебника «Machine Learning Systems» (Physical AI Systems).
- Оригинальный текст: Vijay Janapa Reddi и соавторы, Harvard University, mlsysbook.ai. Исходный репозиторий:
harvard-edge/cs249r_book. - Лицензия оригинала: CC BY-NC-SA 4.0. Эта книга распространяется на тех же условиях: с указанием авторства, только в некоммерческих целях и на условиях той же лицензии. Поэтому она не публикуется по общей лицензии CC BY 4.0 репозитория, см.
meta.toml. - Перевод и редакция: Сергей Монин.
Перевод выполнен полностью по главам оригинала: переведены текст, заголовки, таблицы, подписи, сноски и подписи к SVG-диаграммам. Формулы, числа и ссылки сохранены как в оригинале. Библиографические записи приведены на языке оригинала. Происхождение материалов и исключения описаны в файле PROVENANCE.md (в этой же папке).
Происхождение материалов
Источник
Перевод основан на томе IV «Machine Learning Systems» (Physical AI Systems), репозиторий harvard-edge/cs249r_book. Лицензия оригинала — CC BY-NC-SA 4.0.
Что переведено
- Вступление, четыре части, заключение, приложения, глоссарий и предметные указатели-ссылки на разделы.
- Заголовки, текст, таблицы, подписи к рисункам, сноски и текст пояснительных блоков.
- Подписи в SVG-диаграммах (переведены все подписи, кроме идентификаторов, аббревиатур и обозначений).
- Перекрестные ссылки: названия разделов, рисунков, таблиц и уравнений приведены к согласованным русским названиям, якоря в ссылках приведены к виду, с которым совпадают
<a id>в страницах.
Что оставлено на языке оригинала
- Библиографические записи в
references.md: названия работ, авторы, журналы. - Формулы (
$...$,$$...$$), код и идентификаторы в тексте (`...`), а также имена продуктов, компаний, стандартов и наборов данных. - Внешние ссылки (сайты, репозитории, видео) сохранены как в оригинале.
Что исключено или изменено
- Вспомогательные блоки для LaTeX-версии (
{=latex}): команды верстки, разметка посвящения и тому подобное. В веб-версии они не отображаются и удалены. - Три варианта стека с подсветкой одного уровня (раздел «Об этой книге») существуют только в LaTeX и не перенесены; полный стек заменен изображением из книги, а текст о трех уровнях переформулирован.
- Вводная страница
introduction.md(примечание о переводе) переписана под эту папку.
Что требует внимания
- Растровые графики, созданные кодом книги (
images/generated/), сгенерированы до приведения написания к правилу «без буквы ё». Если на них есть «ё», это остаточный след прежней версии. - Фотографии и растровые иллюстрации (
images/*/jpg|png, файлы с_real_в имени) не переделывались. - Общий объем изображений около 46 МБ, самый крупный файл около 4 МБ.
Изменения при подготовке к публикации
- Исправлены формулы
\tilde{...}и\tilde\sigma, которые в mdBook ломали разметку и давали зачёркнутый текст. - Слово «напряжение» заменено на «противоречие» там, где в оригинале tension, а не электрическое напряжение.
- Правописание в этой книге без буквы «ё» (как в остальных главах); это сохранено.
- Пункты
- [ ]в блоках проверки записаны обычными маркерами: mdBook рисовал рядом с маркером неактивный флажок. Рисункам-полям (margin_*.svg) размер около дюйма из оригинала увеличен: каждой единицеviewBoxсоответствует 4 пикселя (scripts/scale_small_svgs.py). Содержимое рисунков не менялось.