科研教育场景下的人形机器人的系统架构设计要点

title: “科研教育场景下的人形机器人的系统架构设计要点”
authors: “[DeepThink.ai]”
affiliations: “[AI Genius Institute]”
keywords: “人形机器人；系统架构；科研教育；安全控制；仿真到现实；具身智能；可复现实验；人机协作”

文档状态：系统架构设计草案（v0.1）。本文给出参考架构、设计要点、解析模型与可执行的评测协议。文中所有尚未在真实平台采集的硬件参数、实验数值、成本数据与教学效果数据，一律以 [TODO: ...] 标注；本文不报告未经实测的性能结论。

Abstract

人形机器人兼具类人形态、全身运动与多模态交互能力，正在成为具身智能研究与工程教育的重要载体。现有科研平台多面向单一控制任务，教育机器人多强调低成本交互，二者都缺少覆盖安全、实时控制、学习、教学组织与数据治理的整体系统架构；直接拼接组件会带来安全边界模糊、时延不可控、实验难以复现等问题。本文面向高校实验室、职业教育和高中高年级等科研教育场景，提出六层参考架构 EDU-Humanoid：以独立安全平面约束硬件与实时控制，以类型化技能契约连接学习层与任务层，以数字孪生和数据闭环支撑仿真到现实迁移，以多租户实验管理支撑教学与科研复现。本文进一步归纳十条可操作的设计要点，给出端到端时延分解、安全不变性、可用性与成本的解析模型，并设计覆盖实时性、安全性、仿真到现实迁移、教学效果与运维成本的评测协议。本文不报告未经实测的性能数字；所有定量结论需在真实平台上按本文协议采集后补充。本文的贡献是可审查的架构框架与验证方案，而非对某一硬件或算法的性能主张。

---

你离拥有一支永不停歇、持续进化的 AI 超级研发团队，只差一次 git clone——DeepThink 是 AI Genius Institute & 光剑AI 打造的开源、免费、可自由使用的私有 AI 操作系统（AI OS）：在安全隔离的沙箱中自主执行代码、管理文件、完成超复杂长程任务，作为自托管、多用户、本地优先的 AI Agent Loop Engineering 系统，支持桌面端+浏览器+移动端，让 DeepThink 成为你的全能数字助手；它不止让你使用 AI，更要让你从工具使用者进化为代码创造者，最终成长为可自我繁衍的超级智能体，让每家企业都拥有自己的 AI 超级研发团队，一起走向 AGI——现在就去 git clone，顺手点亮 Star：你收藏的不是一个仓库，而是通往 AGI 的入场券。🚀

DeepThink，开源企业级自主 Agent 超级智能体自进化平台，是从 Harness Engineering 到 Loop Engineering 范式的先行者，面向企业客户的新一代 AI 基础设施（AI Infra）。DeepThink 平台以多 Agent 协作框架为核心，融合 AI 自主编程（AI Coding）、自主进化（Self-Evolving）、全栈可观测性（Full-Stack Observability）、Bug 自修复闭环（Bug Auto-Fix Loop） 与 程序员-Agent 共生协作（Human-Agent Symbiosis），构建一个能持续学习、自我改进、最终成长为超级智能体的企业级 AI 系统。

DeepThink 项目开源代码（如果你觉得好玩，就一起来玩， Star 一下）：
Gitcode: https://gitcode.com/AIGeniusInstitute/deepthink
Github: https://github.com/AIGeniusInstitute/deepthink

---

1 引言

1.1 研究背景与动机

人形机器人把类人形态、双足移动、双臂操作和多模态交互集中在同一个物理载体上。对具身智能研究而言，它提供了研究全身控制、接触丰富操作、人机协作和仿真到现实迁移的统一实验对象；对工程教育与人工智能教育而言，它把抽象的控制理论、机器人学、机器学习与系统软件转化为可观察、可操作、可失败的物理实验。近年来，学习型全身控制、人类动作重定向、视觉—语言—动作模型和低成本开源平台的进展，使人形机器人从少量实验室的定制设备逐步走向可复制的科研与教学基础设施 [9,10,13,18]。

科研教育场景与工业场景的约束不同。工业场景强调节拍、精度和可重复的生产流程；科研教育场景同时要求开放性、安全性、可解释性、多用户共享和长期可维护性。学生需要在同一台设备上完成从运动学标定、控制器调试到强化学习训练的不同层次实验；研究者需要采集可复现的数据并比较不同算法；教师需要编排课程、控制风险并评估学习效果；运维人员需要在不破坏实验环境的前提下完成升级和故障恢复。这些需求不能靠单一算法或单一软件包满足，必须由系统架构统一承载。

1.2 现有做法的具体局限

第一，科研型人形机器人平台通常以硬件可靠性和控制性能为中心。iCub 以开放式软硬件支持认知发展研究 [3]，Berkeley Humanoid 以低成本、抗摔和缩小仿真到现实差距为目标 [10]，HumanoidBench 提供全身运动与操作的仿真基准 [9]。这些工作为人形机器人研究提供了重要基础，但对教学组织、多用户隔离、权限治理和课程级可复现性讨论较少。

第二，教育型人形机器人通常以交互、成本和课堂可用性为中心。Poppy 以开源、3D 打印和模块化设计支持科学、艺术与教育 [2]；教育机器人综述表明，人形形态在语言学习、动机激发和社会互动中受到教师青睐 [1]。然而，教育研究常把机器人视为黑盒，较少讨论底层实时控制、安全链路、数据治理和仿真到现实迁移如何影响教学实验的可重复性。

第三，直接把研究组件、教育应用和云端大模型拼接起来，会产生结构性风险。大模型规划器可能被放入实时控制回路，导致时延抖动；安全急停可能依赖主控计算机，单点故障会放大为人身风险；不同实验使用不同关节顺序、不同标定参数和不同仿真模型，导致结果无法复现；课堂中的视频与语音数据可能被长期保存，带来隐私与合规风险。这些问题的根源不是某个模块不够强，而是架构缺少清晰的边界、契约和验证点。

1.3 本文核心思路

本文把“系统架构设计要点”理解为可落到接口、模块、指标和验证方法的架构决策集合，而不是硬件选型清单或算法综述。本文提出面向科研教育场景的六层参考架构 EDU-Humanoid，并把安全平面从业务层中独立出来，作为不依赖上层智能的强制约束通道。架构以类型化技能契约为核心连接点：学习层产生技能，任务层调用技能，教学层编排技能，安全层约束技能。数字孪生、数据闭环、可观测性和多租户实验管理作为跨层支撑，保证实验可复现、故障可定位、数据可治理。

本文强调三个设计立场。其一，安全优先于自主性：任何上层智能都不能绕过底层安全约束。其二，可复现性优先于演示效果：没有版本化配置、时钟同步和实验清单的结果，不应进入教学评价或科研比较。其三，教学有效性优先于拟人化表演：人形形态应服务于可解释的具身学习，而不是用拟人化话术替代教学设计与教师监督。

1.4 研究范围与写作假设

标题中的“科研教育场景”在本文中解释为两类场景的并集：一是高校与科研院所使用人形机器人开展具身智能、控制与交互研究；二是高校、职业院校和高中高年级使用人形机器人开展工程实践与人工智能课程教学。本文不把无人监督的家庭陪伴或低龄儿童独立使用作为目标场景。

本文采用以下写作假设，均需在后续工作中核实：

• A1（场景）：目标场景配备经过培训的教师、助教或实验室安全员；机器人运行区域有物理隔离或安全监护人。
• A2（形态）：目标机器人具有 20 至 40 个自由度、双足移动、双臂操作、本体感觉、RGB-D 视觉与麦克风阵列；力/力矩传感为可选项。
• A3（论文类型）：本文为系统架构与评测协议型论文，不报告真实平台上的实验结果；定量表格为待填占位。
• A4（标准）：文中引用的安全标准仅作为设计参考，不构成合规或认证结论；具体适用性需由具备资质的安全评估机构确认。
• A5（成本）：本文不给出具体价格，成本模型只给出结构化分解，具体数值待采购与运维数据补充。
• A6（教学效果）：教学效果的评价必须经过伦理审查、知情同意与数据最小化流程；本文不预设任何教学干预一定有效。

1.5 主要贡献

• 提出面向科研教育场景的六层参考架构 EDU-Humanoid，明确控制平面、数据平面、管理平面与独立安全平面的职责边界。
• 归纳十条可操作的设计要点，逐条给出核心机制、关键度量与典型反模式，便于架构评审和工程落地。
• 给出端到端时延分解、安全不变性条件、可用性、模块耦合与成本的解析模型，明确模型的假设与适用边界。
• 设计覆盖实时性、安全性、仿真到现实迁移、教学效果与运维成本的评测协议，并给出可直接填写的实验矩阵与结果表模板。

1.6 组织结构

第 2 节按技术流派梳理相关工作；第 3 节给出场景角色、需求与问题形式化；第 4 节描述 EDU-Humanoid 参考架构；第 5 节展开十条设计要点；第 6 节给出教学与科研工作流；第 7 节给出理论性质与复杂度分析；第 8 节给出实验设计与评价方案；第 9 节讨论适用边界、伦理与开放问题；第 10 节总结全文。附录提供符号表、安全滤波推导、架构评审清单与实验清单模板。

2 相关工作

2.1 科研型人形机器人平台

科研型平台的第一条路线是“开放硬件 + 开放软件”的认知发展平台。iCub 以约 53 个自由度、类三至四岁儿童的身形和 GPL 开放的软硬件，支持认知发展、模仿学习与人机交互研究 [3]。Poppy 以 3D 打印、模块化和 Python 可编程性降低复现门槛，明确服务科学、艺术与教育 [2]。这类平台的价值在于可修改、可复现和可教学，但其电子架构、实时控制栈和安全治理通常按研究项目定制，缺少面向多课程、多用户和长期运维的统一规范。

第二条路线是“低成本、抗摔、面向学习型控制”的研究平台。Berkeley Humanoid 通过简化机械结构、轻量化和抗冲击设计，降低学习型控制实验的硬件负担 [10]。HumanoidBench 则把全身运动与操作任务统一到仿真基准中，提供可比较的任务集合与评价接口 [9]。这些工作提高了研究效率，但其评价对象主要是控制策略，而不是“控制策略 + 教学流程 + 数据治理”的系统整体。

第三条路线是竞赛与标准化任务平台。RoboCup 通过共同任务、共同规则和公开评测推动机器人研究 [4]。竞赛平台擅长形成可比基线，但通常假设参赛队自行搭建软件栈，对安全链路、课堂权限和教学记录没有统一要求。本文与上述工作的差异在于：本文不提出新的机器人本体或控制算法，而是给出把平台、学习组件、教学流程和安全治理组织起来的参考架构与设计要点。

2.2 教育型人形机器人与教育机器人

教育机器人研究关注学习结果、动机、互动方式和教师角色。基于 TPCK 框架的系统综述分析了 92 篇实证研究，发现人形机器人是教育者偏好的形态之一，常用于语言学习、认知技能与社会互动，但教师、学习者和机器人自身仍面临显著挑战 [1]。另一类研究关注开源硬件与创客教育，Poppy 把机械、电子、编程和 3D 打印整合为可复现的教学项目 [2]。这些研究为教学设计和效果评价提供了依据，但多数把机器人当作相对稳定的教学媒介，较少讨论机器人系统升级、仿真模型变化或控制策略更新对教学实验的影响。

从系统架构角度看，教育场景有三个容易被忽视的要求。其一，课堂时间有限，开机、标定、故障恢复和课程切换必须可在分钟级完成。其二，学生操作具有不确定性，系统需要把“错误操作”视为正常输入，而不是异常攻击。其三，教学过程会产生大量视频、语音、代码和日志，必须在保护隐私的前提下支持回放、评价与研究。本文把这些要求转化为多租户管理、可观测性、渐进自主和数据治理等设计要点。

2.3 学习型全身控制与仿真到现实迁移

学习型全身控制是近年来人形机器人进展最快的方向。Radosavovic 等展示了强化学习策略在真实人形机器人上的行走能力 [11]；后续工作把本体感觉与动作序列建模为自回归的下一 token 预测问题 [12]。人类动作重定向与遥操作把人类示范转化为机器人可执行数据：HumanPlus 通过影子跟随与行为克隆学习全身技能 [13]，H2O 使用 RGB 相机实现实时全身遥操作 [14]，OmniH2O 进一步支持多种输入接口与自主技能学习 [15]。

仿真到现实迁移是上述方法落地的关键。Humanoid-Gym 通过 Isaac Gym 训练与 MuJoCo 复核实现零样本迁移 [17]；ASAP 通过在真实数据上学习残差动力学模型，缩小仿真与现实的物理差异 [16]。视觉—语言—动作模型把互联网规模语义知识引入机器人控制，RT-2 展示了视觉—语言—动作联合建模的迁移能力 [20]，Open X-Embodiment 通过跨本体数据推动通用策略研究 [19]，GR00T N1 则以双系统结构面向通用人形机器人 [18]。

这些工作为本文提供了技能层与学习层的算法选项，但其评价目标通常是任务成功率或跟踪误差。本文关注的是：这些算法被放入教学与科研系统后，如何被安全约束、版本管理、数据治理和评价流程所包围。换言之，本文不比较具体算法的优劣，而是规定算法进入系统时必须满足的接口、门禁与可观测性要求。

2.4 机器人中间件与系统集成

机器人中间件为模块通信、进程管理和工具复用提供基础设施。ROS 以话题、服务和包管理推动了机器人软件复用 [5]；ROS 2 面向生产环境重新设计了发现、实时性和安全机制，并在多种真实系统中得到应用 [6]。仿真器方面，MuJoCo 以接触动力学和模型化控制见长 [7]，Isaac Gym 把物理仿真与策略训练放到 GPU 上以提高吞吐 [8]。

中间件解决了“模块如何通信”，但没有自动解决“哪些模块可以影响安全”“实验如何复现”“多用户如何隔离”“模型与配置如何版本化”等架构治理问题。本文把中间件视为数据平面与控制平面的实现基础，并在其上增加独立安全平面、技能契约、实验清单和权限模型。与单纯选型 ROS 2 相比，本文更强调跨层约束和验证点。

2.5 小结

现有研究分别在平台、算法、教育和中间件层面取得了进展，但缺少面向科研教育场景的整体架构。本文的差异可以概括为三点：以安全平面约束全部智能组件；以类型化技能契约连接学习、任务与教学；以实验清单、时钟同步和数据治理保证可复现性。下一节把这些差异转化为需求与形式化问题。

3 需求分析与问题形式化

3.1 场景角色与运行模式

科研教育场景包含五类角色。不同角色的权限、可见数据和可执行操作必须分离，不能用一个“管理员账号”覆盖全部操作。

角色	主要目标	典型操作	关键约束
学生	完成课程实验、观察具身智能现象	运行教学脚本、遥操作、修改受限参数、提交实验报告	不得绕过安全限制；不得访问他人数据
教师/助教	编排课程、演示、评价	创建课程、配置任务、启动示范、查看班级数据	需接受安全培训；操作留痕
研究者	验证假设、采集数据、比较算法	配置实验、训练策略、部署模型、导出数据	需实验审批；遵守数据协议
安全员/运维	保障人身与设备安全、维护系统	急停、故障诊断、升级、标定、恢复	拥有最高物理安全权限
访客	参观、公开演示	观看演示、受限交互	仅只读或受控交互；不得进入运动区域

系统至少支持六种运行模式：初始化、标定、空闲、教学示范、遥操作/共享控制、自主技能、维护。模式之间通过显式状态机切换，任何模式都不能隐式继承上一模式的安全假设。

3.2 功能需求与非功能需求

表 1 给出需求清单。表中“设计目标”是架构设计希望达到的工程目标，不是实测结果；验收方式说明后续如何验证。凡涉及具体数值的目标，均需在真实平台上按第 8 节协议测量后确认。

编号	类别	需求描述	设计目标（待实测确认）	验收方式
F1	功能	支持双足移动、双臂操作与多模态交互	覆盖课程与科研任务集合	任务清单评审
F2	功能	支持人类示范、遥操作与自主技能	三种模式可切换且有明确权限	模式切换测试
F3	功能	支持课程编排、实验配置与回放	教师可独立创建课程	课程沙盒测试
F4	功能	支持多用户、多课程共享同一机器人	角色与数据隔离	权限渗透测试
F5	功能	支持仿真训练与真机部署	模型、配置、数据可追溯	实验清单审计
N1	安全	任何单点软件故障不得导致不可控运动	独立安全链路；故障注入通过	风险评估与故障注入
N2	实时	全身控制回路稳定运行	控制周期 1 ms（设计目标）；截止时间错过率待实测	时延与抖动测量
N3	感知	支持视觉、语音与本体状态融合	感知链路 30 至 60 Hz（设计目标）	端到端时延测量
N4	规划	任务规划不阻塞控制回路	规划异步执行；可抢占	调度与压力测试
N5	可靠性	支持长时间课堂与实验使用	MTBF/MTTR 目标待现场数据确定	运维记录统计
N6	可复现	实验可被第三方复现	配置、代码、模型、数据、环境全版本化	复现实验审计
N7	隐私	学生数据最小化采集与受控使用	知情同意覆盖率 100%；保留期可配置	数据治理审计
N8	成本	适配院校预算与维护能力	BOM 与运维成本目标由机构设定	成本核算
N9	教学	支持可解释的具身教学与评价	学习增益用标准化量表测量	伦理审查后的教学研究
N10	可扩展	支持新传感器、新执行器与新技能	接口变更不影响安全链路	架构评审与回归测试

3.3 符号与问题形式化

设参考架构为 $\mathcal{A}$，其模块集合为 M = { m 1 , … , m n } \mathcal{M}=\{m_1,\dots,m_n\} M={m1​,…,mn​}，接口集合为 $\mathcal{I}$，配置集合为 $\mathcal{C}$。设 $U(\mathcal{A})$ 为机构定义的综合效用，包含学习增益、科研产出、参与度、可维护性等分量；设 $P_{safe}(\mathcal{A})$ 为在给定使用条件下发生安全违规的概率；设 $T_{e2e}^{p99}(\mathcal{A})$ 为端到端响应时延的 99 分位数；设 $C(\mathcal{A})$ 为全生命周期成本；设 $R(\mathcal{A})$ 为可复现性评分。架构设计问题可写为带约束的多目标优化：

$$\underset{\mathcal{A}\in \mathfrak{A}}{\max }U(\mathcal{A})$$

$$\text{s.t.}{P}_{safe}(\mathcal{A})\le {ϵ}_s,T_{e2e}^{p99}(\mathcal{A})\le T_{\max },C(\mathcal{A})\le C_{\max },R(\mathcal{A})\ge R_{\min }$$

其中 $\mathfrak{A}$ 为候选架构集合，${ϵ}_s$ 为机构可接受的安全风险阈值，$T_{\max }$ 为场景允许的最大响应时延，$C_{\max }$ 为预算上限，$R_{\min }$ 为可复现性最低要求。该形式化的作用不是求出一个唯一最优解，而是迫使设计者在架构评审时明确约束、量纲与验证方法。若某项约束无法量化，应记录为待验证假设，而不是用主观判断替代。

综合效用可以展开为：

$$U(\mathcal{A})=w_1\Delta L+w_{2}E+w_{3}Q+w_{4}M-w_5{C}_{op}-w_6{R}_{risk}$$

其中 $\Delta L$ 为学习增益，$E$ 为参与度，$Q$ 为科研任务完成质量，$M$ 为可维护性，$C_{op}$ 为运营成本，$R_{risk}$ 为残余风险；$w_i$ 为机构设定的权重。本文不预设权重，也不把该式当作已验证的因果模型；它只是评价框架，权重的合理性需通过利益相关者访谈和敏感性分析确定。

3.4 设计约束与权衡

科研教育场景存在四组核心权衡。

安全与开放性。 学生需要修改参数、编写脚本、尝试失败；安全链路要求关键约束不可被上层修改。解决方式不是关闭开放性，而是把开放空间限制在“安全包络内”：学生可以改变任务、策略和参数，但不能改变关节限位、速度上限、急停逻辑和人机距离约束。

自主性与可解释性。 自主技能可以减少教师负担，但学生需要理解机器人为什么这样行动。架构应要求技能输出可解释的执行摘要、失败原因和置信度，而不是只输出动作。对于教学场景，默认自主等级不应超过“监督自主”。

实时性与智能性。 大模型和复杂规划器能提升任务泛化，但其时延和不确定性不适合放入毫秒级控制回路。架构应把智能放在异步任务层，把实时性留给控制层，并通过技能契约和计划验证器约束智能层的输出。

标准化与差异化。 统一接口便于课程复用和跨校协作，但不同研究方向需要不同的传感器、执行器和算法。架构应标准化“接口与安全语义”，允许“实现与算法”差异化。标准化过度会抑制研究，标准化不足会导致无法复现。

3.5 从需求到设计要点的映射

第 5 节的十条设计要点分别回应上述需求：P1 与 P2 回应 N1 与 N2；P3 与 P4 回应 N6 与 N10；P5 回应 F5 与 N6；P6 回应 N6 与 N5；P7 回应 F2 与 N9；P8 回应 N7；P9 回应 N8 与 N5；P10 回应全部需求的持续验证。该映射不是一一对应，而是说明每条设计要点至少服务一个可验收的需求，避免出现“为了架构而架构”的模块。

4 参考架构 EDU-Humanoid

4.1 总体分层

EDU-Humanoid 采用六层结构，并把控制平面、数据平面、管理平面和安全平面作为跨层关注点。图 1 给出总体分层。层间依赖遵循两条规则：上层可以请求下层能力，但不能直接改写下层的安全约束；安全平面可以中断任何层，但不参与教学与科研业务逻辑。

┌──────────────────────────────────────────────────────────────────────┐
│ L5 教学交互与实验管理                                                │
│ 课程编排 │ 角色权限 │ 会话管理 │ 记录回放 │ 学习评价 │ 多租户调度      │
├──────────────────────────────────────────────────────────────────────┤
│ L4 任务与认知层                                                      │
│ 任务规划 │ 语言/视觉理解 │ 教学策略 │ 计划验证 │ 失败恢复 │ 解释生成  │
├──────────────────────────────────────────────────────────────────────┤
│ L3 技能与学习层                                                      │
│ 技能库 │ 技能运行时 │ 模仿学习 │ 强化学习 │ VLA │ 仿真训练 │ 技能门禁 │
├──────────────────────────────────────────────────────────────────────┤
│ L2 感知与状态估计层                                                  │
│ RGB-D │ 语音 │ 人体跟踪 │ 本体感觉融合 │ 接触估计 │ 场景图 │ 不确定性 │
├──────────────────────────────────────────────────────────────────────┤
│ L1 实时控制层                                                        │
│ 全身控制 WBC │ MPC/QP │ 关节伺服 │ 安全滤波 │ 看门狗 │ 状态机        │
├──────────────────────────────────────────────────────────────────────┤
│ L0 硬件与安全层                                                      │
│ 执行器 │ 传感器 │ 急停 │ STO │ 抱闸 │ 限位 │ 独立安全 MCU │ 电源管理  │
└──────────────────────────────────────────────────────────────────────┘
   跨层平面：控制平面（确定性指令）│ 数据平面（感知/日志）│
             管理平面（配置/权限/升级）│ 安全平面（急停/限速/包络）

图 1：EDU-Humanoid 六层参考架构。安全平面独立于业务层，可中断任意层。

层间交互采用“请求—响应—事件”模型。请求携带调用者身份、技能版本、参数、超时和优先级；响应携带执行结果、置信度、资源消耗和错误码；事件用于安全告警、状态变化和审计记录。所有跨层调用必须可追踪，禁止通过共享内存或全局变量隐式传递关键状态。

4.2 L0：硬件与安全层

L0 的职责是把物理世界的不确定性挡在软件系统之外。硬件设计应优先考虑抗摔、可维护和可校准，而不是追求极限运动性能。机械结构应保留足够的被动柔顺与限位保护；双足机器人应配置安全带、软垫或物理围栏；电池应具备过流、过温、欠压和短路保护；执行器应提供温度、电流、位置和故障码。

安全链路必须独立于主控计算机。急停按钮、使能开关（deadman switch）、安全扭矩关断（Safe Torque Off，STO）、抱闸和独立安全微控制器构成硬件安全通道。即使主控计算机死机、网络断开或上层规划器输出异常，安全通道仍能把机器人带入安全状态。安全状态至少包括：阻尼停止、保持位置、坐下或降低重心、断电抱闸。不同状态的选择取决于机器人姿态、负载和周围人员距离，不能只实现一种“急停即断电”。

硬件抽象层（Hardware Abstraction Layer，HAL）向上提供统一接口：

read_state()      -> 关节位置、速度、力矩、温度、IMU、故障码、时间戳
write_command()   -> 位置/速度/力矩/阻抗指令、使能、模式切换
get_faults()      -> 故障等级、故障源、建议恢复动作
set_safety_mode() -> 仅安全员可调用；普通业务无权调用

HAL 必须定义关节顺序、符号约定、单位、零位、减速比、力矩常数和标定参数。任何一项不一致都可能让上层算法在仿真中正确、在真机上危险。L0 还应提供故障码字典和恢复流程，避免学生面对“机器人不动了”时只能重启。

4.3 L1：实时控制层

L1 以固定周期运行全身控制器（Whole-Body Controller，WBC）。设计目标周期为 1 ms，即 1 kHz；实际周期需根据执行器、总线和计算平台确定。控制回路应运行在实时操作系统或带实时补丁的内核上，关键线程绑定 CPU 核，控制线程避免动态内存分配、垃圾回收、阻塞 I/O 和同步网络调用。执行器总线优先使用 EtherCAT 或确定性 CAN FD；若使用以太网，应配置时间同步与优先级队列。

WBC 的常见形式是二次规划（Quadratic Programming，QP）：

$$\underset{\dot{\nu },\tau }{\min }\sum _i{w}_i{\Vert J_i\dot{\nu }+{\dot{J}}_i\nu -{\dot{x}}_i^{des}\Vert }^2+w_{\tau }\Vert \tau {\Vert }^2$$

约束包括浮动基动力学、接触约束、摩擦锥、关节位置/速度/力矩限位、自碰撞避免和支撑多边形约束。任务优先级通常为：保持平衡、支撑脚接触、摆动脚轨迹、手部位姿、姿态与头部指向。控制器的输出必须经过安全滤波后才能下发执行器。

安全滤波是 L1 与安全平面的交汇点。安全滤波不改变正常任务的目标，只在指令接近安全边界时做最小修正。第 7.2 节给出基于控制屏障函数（Control Barrier Function，CBF）的形式化描述 [21]。工程实现中还应加入离散时间裕量、模型误差裕量和传感器故障降级策略；当状态估计不可信时，安全滤波应切换到保守模式，而不是继续使用不可信状态。

L1 维护显式状态机。表 2 给出建议状态与迁移条件；实际状态命名可调整，但迁移必须可审计。

状态	含义	允许的关键操作	典型迁入事件
INIT	上电自检	读取故障码、检查总线	上电
CALIBRATE	零位与传感器标定	低速点动、标定记录	自检通过
IDLE	站立或安全坐姿	使能、切换模式	标定完成
TEACH	人类示范/遥操作	受限速度、接管	教师授权
SHARED	共享控制	人机混合指令	学生练习
AUTONOMOUS	自主技能	调用已注册技能	技能门禁通过
PROTECTIVE_STOP	保护性停止	保持/阻尼/坐下	安全事件
FAULT	故障	只读诊断	不可恢复故障
MAINTENANCE	维护	拆装、标定、升级	安全员授权

4.4 L2：感知与状态估计层

L2 以多速率方式运行。视觉、语音和人体跟踪通常为 15 至 60 Hz；状态估计与接触估计可为 100 至 500 Hz；高层场景图更新可为 1 至 10 Hz。所有传感器数据必须带统一时间戳，并通过时钟同步机制对齐。时间戳缺失或时钟漂移超限的数据应被丢弃或降权，而不是被静默使用。

状态估计至少包括：浮动基位置与速度、关节状态、接触状态、外部扰动估计和置信度。视觉惯性里程计可提供全局位姿，但在纹理缺失、光照突变或快速运动时可能失效；此时应融合轮式/足式里程计、IMU 和接触信息，并输出退化标志。人体跟踪应区分“授权操作者”“周围人员”和“未知人员”，不同类别触发不同的速度与距离约束。

感知层应遵循隐私最小化原则。人脸、语音和课堂视频属于敏感数据，默认在设备端处理；需要上传时，应进行脱敏、加密和访问控制。感知结果应以结构化事件而非原始视频向上层传递，例如“检测到人员进入 1.5 米范围”“检测到手势指向左侧物体”。原始数据仅在获得同意的研究场景中保存，并设置保留期。

4.5 L3：技能与学习层

L3 是学习算法与系统安全之间的缓冲层。技能是“可被任务层调用、可被安全层约束、可被教学层评价”的最小能力单元。技能不是一段任意脚本，而是带契约的模块。表 3 给出技能契约的建议字段。

字段	说明	示例
技能标识	全局唯一名称与版本	walk_forward@2.1.0
前置条件	调用前必须满足的状态	机器人站立、电量高于阈值、区域清空
后置条件	成功结束时保证的状态	到达目标附近、双脚着地
参数模式	参数类型、范围与默认值	目标速度 0 至 0.8 m/s
观测模式	所需传感器与频率	本体感觉 500 Hz、RGB-D 30 Hz
安全包络	速度、力矩、工作空间、人机距离	人员 1.5 m 内限速
资源锁	占用的执行器、相机、计算资源	双足、右臂、前视相机
预期时长	正常完成时间与超时	8 s，超时 15 s
失败模式	可识别故障与恢复策略	打滑、遮挡、接触丢失
评价记录	仿真/真机通过率与回归结果	版本发布前必须填写
责任人	技能维护者与审批者	课程组/研究组

技能类型可分为运动技能、操作技能、交互技能和教学演示技能。运动技能包括行走、转向、起立、坐下和平衡恢复；操作技能包括抓取、放置、推拉、开门和工具使用；交互技能包括问候、指向、语音问答和手势模仿；教学演示技能用于展示特定物理或算法现象，例如“改变质心位置观察平衡恢复”。

学习层包括数据采集、训练、仿真评价、真机门禁和部署。数据采集应记录观测、动作、语言指令、时间戳、机器人型号、末端执行器、控制模式和随机种子。训练应在版本化的容器或虚拟环境中进行，记录代码提交、依赖版本、硬件型号和超参数。仿真评价至少在一个物理引擎中进行，建议在第二个引擎中复核，以降低单一仿真器的偏差 [7,8,9]。真机部署前必须经过“影子模式”：技能在后台运行但不驱动执行器，与现有策略对比输出；通过后再进入“监督模式”，由安全员随时接管；最后才进入“受限自主模式”。

4.6 L4：任务与认知层

L4 把自然语言指令、课程目标和感知事件转化为技能调用序列。典型组件包括任务规划器、语言理解、视觉问答、教学策略、计划验证器和失败恢复器。大模型可以作为规划器的候选生成器，但不能直接输出关节指令，也不能绕过技能契约调用未注册能力。

推荐采用“大模型提议、验证器裁决、技能执行”的模式：

自然语言/课程目标
      │
      ▼
┌───────────────┐    候选计划     ┌───────────────┐
│ LLM/VLM 规划器 │ ─────────────▶ │ 计划验证器     │
└───────────────┘                │ 语法/语义/安全 │
      ▲                          └───────┬───────┘
      │ 反馈/重规划                       │ 合法计划
      └──────────────────────────────────┘
                                          ▼
                                  ┌───────────────┐
                                  │ 技能运行时     │
                                  │ 行为树/状态机  │
                                  └───────────────┘

图 2：任务层的“提议—验证—执行”结构。验证器检查技能是否存在、参数是否在范围内、前置条件是否满足、计划是否违反安全约束。

计划验证器至少检查四类约束：技能注册表约束（名称、版本、权限）、参数约束（类型、范围、单位）、状态约束（前置条件、资源锁）和安全约束（人员距离、速度上限、工作空间）。验证失败的候选计划不应被执行，而应触发重规划或向教师/学生解释失败原因。解释生成应基于验证器返回的结构化错误码，而不是让语言模型自由发挥。

教学策略组件负责脚手架（scaffolding）、提示、反馈和难度调整。它应遵循教学规则，而不是仅追求任务完成率。例如，当学生连续失败时，系统可以降低任务难度、增加演示或提示；当学生依赖提示时，系统应逐步撤除脚手架。教学策略的输出应可被教师审查和覆盖。

4.7 L5：教学交互与实验管理层

L5 面向人、课程和实验，而不是机器人控制。核心功能包括课程编排、会话管理、角色权限、记录回放、学习评价、多租户调度和审计。课程编排把教学目标、技能、场景、评价量规和安全要求组织成可执行的课程包；课程包应版本化，并与机器人型号、软件版本和技能版本绑定。

多租户调度解决“一台机器人多人使用”的问题。调度器应支持预约、优先级、时间片、资源锁和故障转移。学生会话应在隔离的命名空间或容器中运行，不能访问其他会话的数据和模型。教师可以查看班级汇总数据，但不应默认查看学生原始视频；研究用途的数据访问应经过额外审批。

实验管理面向科研复现。每个实验生成一份“实验清单”（manifest），至少包含：实验标识、假设、负责人、机器人型号与序列号、软件提交哈希、容器镜像摘要、技能版本、配置文件哈希、随机种子、仿真器版本、数据集版本、运行时间、环境条件、评价指标和结果路径。实验清单应与结果一起归档，支持一键回放和差异对比。没有清单的实验不应进入论文比较或课程评价。

4.8 跨层支撑：数字孪生、数据闭环与可观测性

数字孪生是连接仿真与现实的共享模型。它至少包含：运动学模型、动力学参数、执行器模型、传感器模型、通信时延模型和安全包络。运动学与动力学模型应由同一源文件生成 URDF、MJCF 和 USD，避免手工维护多份模型导致关节顺序或惯性参数不一致。执行器模型应通过系统辨识获得，至少覆盖摩擦、死区、延迟和饱和。数字孪生不是一次性交付物，而是随标定、维修和硬件更换持续更新的资产。

数据闭环包括采集、清洗、标注、训练、评价、部署和监控。每个环节都应记录数据血缘：一条训练数据来自哪个会话、哪台机器人、哪个技能版本、哪次标定。数据闭环的价值不仅是提升模型，也包括发现系统性故障，例如某批次执行器温升异常、某个相机标定漂移、某类教学场景成功率下降。

可观测性包括日志、指标、追踪和回放。日志采用结构化格式，包含时间戳、级别、模块、会话、实验标识和关联标识；指标包括控制周期、截止时间错过率、总线错误、传感器丢帧、技能成功率、接管次数和安全事件；追踪把一次用户请求从教学层一直关联到执行器指令；回放基于 MCAP 或 rosbag2 等格式，支持按时间、模块和事件过滤。所有节点应使用同一时钟源，否则回放中的因果关系不可信。

4.9 部署拓扑与网络分区

图 3 给出建议的部署拓扑。机器人本体计算单元负责 L0 至 L2 和 L3 的实时推理；实验室边缘服务器负责多机器人调度、日志聚合、仿真训练和较大模型的推理；云端仅用于可选的训练、数据分析和跨校区协作。安全链路不得依赖任何网络。

┌──────────────────────────── 云端（可选） ────────────────────────────┐
│ 训练集群 │ 实验归档 │ 跨校区课程 │ 分析看板 │ 模型仓库                 │
└───────────────────────────────┬──────────────────────────────────────┘
                                │ 受控、加密、可断网
┌───────────────────────────────▼──────────────────────────────────────┐
│ 实验室边缘服务器                                                     │
│ 多机器人调度 │ 日志/指标聚合 │ 仿真与回放 │ 边缘推理 │ 身份与权限       │
└───────────────┬───────────────────────────────┬──────────────────────┘
                │ 有线/高可靠无线                │ 只读监控
┌───────────────▼──────────────┐   ┌────────────▼─────────────────────┐
│ 机器人本体计算单元            │   │ 教师/学生终端                     │
│ L1 实时控制 │ L2 感知 │ L3 推理│   │ 课程界面 │ 回放 │ 评价 │ 急停镜像 │
└───────────────┬──────────────┘   └──────────────────────────────────┘
                │ 确定性总线
┌───────────────▼──────────────────────────────────────────────────────┐
│ 执行器/传感器/独立安全 MCU/急停/抱闸                                  │
└──────────────────────────────────────────────────────────────────────┘

图 3：建议部署拓扑。安全平面在机器人本体内闭环，不依赖边缘服务器或云端。

网络分区应遵循“故障降级”原则：云端断开时，机器人在受限自主模式下继续运行或安全停止；边缘服务器断开时，机器人保持本地技能与安全监控；本体计算单元故障时，独立安全 MCU 接管并进入保护性停止。任何降级都应在界面上明确显示，而不是静默继续。

4.10 层间失败处理

失败处理按“检测—隔离—降级—恢复—复盘”五步执行。检测依赖心跳、超时、置信度、看门狗和一致性检查；隔离通过进程边界、资源锁和权限实现；降级定义每层的安全回退状态；恢复需要显式授权和自检；复盘生成事件报告并更新测试用例。

跨层失败不应被上层吞掉。例如，感知层丢失人体跟踪时，任务层不能假设“没有人”；技能层不能继续执行靠近人员的高速动作；安全层应触发限速或停止。错误码应区分“可重试”“需降级”“需人工介入”“不可恢复”，并在界面上给出下一步操作建议。

5 系统架构设计要点

5.1 设计要点总览

表 4 汇总十条设计要点。每条要点都对应一个可审查的机制和一组度量，避免停留在原则口号。

编号	设计要点	核心机制	关键度量	典型反模式
P1	安全内建与独立安全平面	硬件急停、STO、独立 MCU、安全滤波、分级安全状态	安全事件率、急停响应、故障注入通过率	急停依赖主控；只做软件限幅
P2	实时分级与截止时间隔离	多速率分层、实时线程、优先级、看门狗	p99 时延、抖动、截止时间错过率	大模型进入 1 kHz 回路；控制线程写日志
P3	单一模型源与配置版本化	统一模型生成、标定参数、配置哈希	模型漂移、标定耗时、配置事故数	手工维护多份模型；关节顺序不一致
P4	技能原子化与类型化契约	技能注册表、前后置条件、安全包络	复用率、集成耗时、回归通过率	一次性脚本；参数无边界
P5	仿真—现实一致性闭环	数字孪生、系统辨识、域随机化、残差适配	仿真现实差距、适配数据量、迁移成功率	只在单一仿真器验证；过度随机化
P6	可观测性与可复现实验	统一时钟、结构化日志、实验清单、回放	回放一致率、复现率、MTTR	只留终端日志；不记录种子
P7	渐进自主与人机接管	自主等级、接管协议、置信度、解释	接管时延、干预率、信任校准	全有或全无的自主；无接管路径
P8	数据最小化与教育伦理	端侧处理、同意管理、保留期、审计	同意覆盖率、保留合规率、事件数	长期保存原始视频；无同意上传
P9	低成本、可维护、可扩展	模块化硬件、标准件、备件、文档	BOM、MTBF、MTTR、利用率	全定制；无备件；封闭固件
P10	评测驱动与持续验证	基准套件、回归测试、安全案例、现场研究	覆盖率、通过率、安全案例完整度	演示驱动；挑选种子；无基线

5.2 P1：安全内建与独立安全平面

安全不能作为事后补丁。人形机器人在教室中与未受过专业训练的学生共享空间，错误操作、误触、摔倒和网络中断都属于正常事件。架构应把安全做成三层防护：硬件层阻止危险能量，控制层约束运动包络，任务层限制任务与权限。

硬件层包括急停按钮、使能开关、STO、抱闸、限位开关、过流/过温保护和独立安全微控制器。急停按钮应布置在机器人本体和教师终端等可达位置；使能开关要求操作者持续按住，松手即停；STO 在触发后切断执行器力矩，抱闸防止重力下落。独立安全 MCU 应运行最小化固件，具备看门狗、心跳超时和故障锁存能力，不依赖主控操作系统。

控制层包括安全滤波、速度/力矩限位、工作空间约束、自碰撞避免和人机距离监控。安全滤波应在 WBC 输出之后、执行器之前运行，对危险指令做最小修正；当修正不可行时进入保护性停止。人机距离监控应结合视觉、深度和人体跟踪，但不应把视觉作为唯一安全传感器；高风险区域应使用物理围栏、安全地毯或安全激光扫描仪等更可靠的防护。

任务层包括权限、模式、技能包络和任务级安全规则。学生不能调用超出其权限的技能；教师可以启动演示，但不能关闭硬件急停；研究者可以调整参数，但不能修改安全包络；安全员拥有最高物理安全权限。任务级规则应显式定义“什么情况下不允许启动”，例如人员进入运动区域、电池电量过低、地面湿滑或传感器故障未清除。

安全状态应分级。保护性停止不等于断电：对于站立姿态，突然断电可能导致摔倒；更合理的顺序是阻尼停止、保持、降低重心、坐下、断电抱闸。不同状态由安全 MCU 根据姿态、速度、负载和人员距离选择，并在事件日志中记录选择依据。安全状态之间的迁移必须经过验证，不能只实现一个“急停”按钮。

度量方面，建议记录每千小时安全事件数、急停响应时间、保护性停止成功率、故障注入通过率和未授权操作拦截率。所有指标应在标准化场景中测量，并区分“真实安全事件”和“演练/测试事件”。反模式包括：急停只关闭应用进程；安全逻辑运行在可被学生终止的容器中；用摄像头替代物理防护；在人员靠近时仍允许高速动作。

5.3 P2：实时分级与截止时间隔离

人形机器人同时运行毫秒级控制、几十毫秒级感知和秒级规划。把所有计算放进同一个调度域，会导致规划或日志阻塞控制，产生时延抖动，甚至触发不稳定。架构应按时间尺度分层，并为每层定义截止时间、优先级和降级策略。

L1 控制回路是硬实时或软实时核心，周期设计目标为 1 ms；L2 感知为 15 至 60 Hz；L3 技能推理为 10 至 50 Hz；L4 任务规划为 0.2 至 2 Hz；L5 教学管理为事件驱动。不同层通过有界队列通信，队列满时采取“丢弃旧数据”或“降采样”策略，而不是无限阻塞。控制线程不得执行文件写入、网络请求、模型加载或垃圾回收；日志与指标通过无锁环形缓冲区交给低优先级线程。

实时性实现包括：实时内核或 RTOS、CPU 亲和性与隔离、优先级继承、内存预分配、确定性总线、时间同步和看门狗。对于基于 ROS 2 的系统，应明确每个话题的服务质量（QoS）配置：控制指令使用可靠、低延迟、有限深度的队列；高频传感器数据可使用尽力而为模式并在消费端丢弃过期帧；大消息使用零拷贝或共享内存。QoS 配置不一致是常见的隐性故障，应在集成测试中检查。

截止时间隔离要求“上层慢，不拖垮下层”。任务规划器可以运行数秒，但必须异步执行，并支持取消和抢占；技能推理可以排队，但不能占用控制线程的 CPU；教学界面可以卡顿，但不能影响安全监控。看门狗监控每个关键线程的心跳，超时后进入降级状态。降级策略应预先定义，例如“感知超时 → 限速”“规划超时 → 保持当前技能”“控制超时 → 保护性停止”。

度量包括各层 p50/p95/p99 时延、抖动、截止时间错过率、CPU/内存占用、队列长度和降级次数。测试应覆盖正常负载、峰值负载、网络抖动、传感器丢帧和故障注入。反模式包括：在控制回路中调用云端大模型；在控制线程中同步写日志；用普通 Linux 桌面环境运行硬实时控制；把所有消息设为可靠传输导致队列堆积。

5.4 P3：单一模型源与配置版本化

仿真与现实不一致，很多时候不是算法问题，而是模型和配置不一致。URDF、MJCF、USD 中的关节顺序、惯性参数、碰撞几何、执行器限位和传感器外参，只要有一处不同，就可能导致策略在仿真中成功、在真机上失败。架构应建立“单一模型源”（single source of truth），由同一份带版本的模型描述生成不同仿真器所需的格式，并在运行时校验。

模型源至少包含：运动学树、关节限位、质量与惯性、碰撞几何、视觉几何、执行器参数、传感器外参、标定参数和安全包络。模型文件应使用版本控制，变更需经过评审和回归测试。每次实验记录模型哈希；真机部署前比对仿真模型与真机模型的关键参数，超差则阻止部署或发出告警。

配置版本化覆盖软件、模型、技能、课程和数据。配置文件应使用结构化格式，禁止在代码中硬编码关节索引、相机内参或网络地址。配置应有模式校验、默认值、迁移脚本和回滚机制。对于教学场景，课程包应锁定其依赖的模型、技能和软件版本，避免“同一课程在不同学期行为不同”。

标定是配置的重要来源。零位、减速比、关节方向、相机内参、外参、IMU 偏置、足底接触阈值和力矩传感器偏置都应记录标定时间、方法、环境和残差。标定结果应随机器人序列号存储，而不是随代码仓库存储。维修或更换部件后，应自动标记相关标定失效，并阻止未重新标定的技能进入自主模式。

度量包括模型漂移指标（关键参数相对标定值的偏差）、标定耗时、配置相关事故数、仿真与现实参数一致性检查通过率。反模式包括：手工维护多份模型；在不同机器上使用不同关节顺序；把标定参数写在学生可修改的脚本里；升级固件后不重新标定。

5.5 P4：技能原子化与类型化契约

技能是架构的核心抽象。没有技能契约，学习算法、任务规划和教学脚本会直接耦合到具体代码，导致复用困难、安全边界模糊、回归测试无法覆盖。技能原子化要求每个技能只完成一个可定义、可评价、可恢复的能力，并通过类型化契约对外暴露。

技能契约应包含表 3 中的字段，并进一步规定：输入输出的数据类型与单位；前置条件与后置条件的检查方法；安全包络的参数化方式；资源占用与并发限制；失败模式与恢复策略；版本兼容性；测试用例与评价记录。技能注册表负责登记技能、校验契约、管理版本和权限。任务层只能调用注册表中已批准且版本匹配的技能。

技能运行时可以采用行为树、状态机或分层任务网络。行为树适合表达可组合的成败条件与恢复逻辑；状态机适合表达明确的模式切换；分层任务网络适合表达任务分解。无论采用哪种形式，运行时都应提供：执行追踪、超时控制、取消、资源释放、失败原因和解释摘要。技能执行结束后，应检查后置条件；若后置条件不满足，不能简单报告成功。

技能组合应遵循“原子技能 + 编排”的原则，而不是把复杂逻辑塞进一个技能。例如，“把杯子放到桌上”可以分解为“接近杯子”“抓取杯子”“移动到桌上”“放置杯子”“松手”“退回安全位姿”；每个子技能有独立的安全包络和失败恢复。这样既能复用，也能在失败时定位问题。

度量包括技能复用率、新技能集成耗时、回归测试通过率、技能失败率、平均恢复时间和跨机器人迁移成功率。反模式包括：每个任务写一个一次性脚本；技能参数没有上下界；技能内部隐藏状态；技能失败后直接重启整机；技能版本与任务版本不匹配。

5.6 P5：仿真—现实一致性闭环

仿真到现实迁移不是一次性的“调参”，而是持续的一致性管理。架构应把数字孪生、系统辨识、域随机化、残差适配和多仿真器验证组合成闭环，并在部署前后持续监测差距。

第一步是建立可信的数字孪生。通过系统辨识估计质量、惯性、摩擦、执行器延迟、死区、饱和和接触参数；通过标定获得相机、IMU 和力传感器参数；通过真实轨迹回放检查仿真与现实的偏差。辨识应在多个姿态、速度和负载下进行，避免只在单一工况下拟合。

第二步是训练与验证。训练时可以使用域随机化覆盖参数不确定性，但随机化范围应有物理依据，不能无限扩大导致策略过度保守。建议在一个仿真器中训练，在另一个仿真器中复核，再在真机上分级验证 [7,8,9]。多仿真器复核不能替代真机验证，但能发现对单一引擎过拟合的策略。

第三步是差距度量。定义仿真成功率与真机成功率之差、轨迹跟踪误差、接触力误差、能耗差异和恢复行为差异。差距应在任务、初始条件、负载和光照等多个维度上分层报告，而不是只给一个平均值。若差距超过阈值，应回到辨识或模型修正，而不是盲目增加随机化。

第四步是部署后监测。真机运行数据应回流到数字孪生，用于更新执行器模型、摩擦参数和接触模型。更新后的模型应经过回归测试，避免“越更新越偏”。对于教学场景，模型更新应锁定在课程之间，避免同一学期内行为漂移。

度量包括仿真现实差距、迁移所需真机数据量、适配时间、跨任务泛化成功率、模型更新后的回归通过率。反模式包括：只在仿真中评价；只在单一仿真器中验证；用真机数据反复微调到过拟合；忽略执行器温升和电池电压对动力学的影响。

5.7 P6：可观测性与可复现实验

科研教育的核心产出之一是可复现的实验。若无法回答“这次运行为什么成功或失败”“与上次相比改变了什么”“第三方能否重复”，系统就不具备科研与教学价值。可观测性和实验管理应作为架构的一等公民，而不是事后加日志。

可观测性包括日志、指标、追踪和回放。日志应结构化，包含时间戳、模块、级别、会话、实验标识、事件类型和关联标识；避免只打印自由文本。指标应覆盖控制周期、时延、队列、传感器健康、技能状态、安全事件、资源占用和教学交互。追踪应把一次课程任务从用户请求关联到技能调用和执行器指令，便于跨层定位。回放应保存足够的信息，使同一实验可在仿真或真机中重放；回放格式应支持按时间、模块和事件过滤。

实验清单是可复现性的最小单元。清单至少包含：实验标识、假设、负责人、机器人型号与序列号、软件提交、容器镜像摘要、依赖版本、模型版本、技能版本、配置哈希、随机种子、数据集版本、仿真器版本、运行时间、环境条件、评价指标、结果路径和异常记录。清单应与结果一起归档，并支持差异对比。没有清单的实验不应进入论文比较或课程评价。

对于教学场景，回放还应支持教学复盘：教师可以选择关键片段，查看学生的操作、机器人的状态和系统提示；学生可以对比自己的操作与示范。回放界面应默认脱敏，不展示与教学无关的个人信息。对于研究场景，回放应支持导出为标准数据格式，便于跨机构比较。

度量包括回放一致率、实验复现率、平均故障定位时间（MTTR）、日志覆盖率、时钟同步误差和清单完整率。反模式包括：只保留终端输出；不同节点使用不同时钟；不记录随机种子；实验目录靠人工命名；升级后无法回放旧数据。

5.8 P7：渐进自主与人机接管

科研教育场景不应追求“无人化”。学生需要观察、干预和理解机器人的行为；教师需要对课堂安全负责；研究者需要控制实验变量。架构应支持渐进自主，并把人机接管设计成可预测、可测量、可审计的流程。

本文建议把自主等级分为五级：

等级	名称	人的角色	适用场景
A0	遥操作	人持续控制	初始教学、危险任务
A1	共享控制	人与系统共同控制	学生练习、技能辅助
A2	监督自主	系统执行，人监督并可随时接管	常规教学、演示
A3	条件自主	系统在限定条件下自主，人抽查	受控实验、重复任务
A4	完全自主	系统在安全包络内自主	研究验证，需严格风险评估

教育场景默认不超过 A2；A3 需要安全员批准、风险评估和接管演练；A4 只应在隔离环境和充分验证后使用。自主等级不是永久设置，应随任务、人员密度、环境复杂度和系统健康动态调整。例如，检测到人员进入运动区域时，应从 A3 降到 A2 或 A1；检测到传感器退化时，应降到 A0 或保护性停止。

接管协议应规定：谁可以接管、如何接管、接管后原任务如何处理、如何归还控制权。接管必须低时延、低认知负担，并有明确的物理或界面反馈。建议同时提供硬件使能开关和界面接管按钮；接管后系统应保持安全姿态，而不是继续执行旧指令。控制权归还应经过自检和确认，避免“误归还”导致突然运动。

系统应输出置信度和解释。置信度可以来自策略集成、预测误差、分布外检测或规则检查；解释应说明当前技能、目标、关键约束和失败原因。置信度低时应主动降级或请求帮助，而不是继续执行。教师界面应显示当前自主等级、接管状态、安全包络和最近事件，避免“自动化偏见”导致监督失效。

度量包括接管时延、干预率、接管成功率、误接管率、任务恢复时间、置信度校准误差和教师/学生信任度。反模式包括：只提供全自主模式；接管需要多层菜单；接管后机器人继续执行旧动作；没有接管演练；把置信度当作装饰性数字。

5.9 P8：数据最小化与教育伦理

教育场景的数据具有特殊性：学生可能未成年，课堂视频可能包含面部、声音、书写内容和同伴互动；研究数据可能被用于论文、模型训练或跨机构共享。架构应把数据最小化、知情同意、目的限定、保留期和访问审计作为默认配置，而不是可选项。

数据分类至少包括：运行遥测（关节状态、故障码）、交互数据（语音、文本、手势）、课堂影像（视频、音频）、教学结果（测验、作品、评价）和研究数据（实验记录、模型、标注）。不同类别应有不同的采集、存储、访问和删除策略。默认只采集运行所需的最少数据；课堂影像默认端侧处理，不上传；研究用途需要单独同意和伦理审查。

同意管理应覆盖采集目的、数据类型、保留期限、共享范围和撤回方式。对未成年人，应取得监护人同意，并尊重未成年人的反对意愿。同意不应捆绑在课程注册中，学生应能选择不参与研究而不影响学习。数据访问应基于角色和目的，记录谁在何时访问了什么数据；导出数据应脱敏并加水印。

教学伦理还包括：避免用拟人化话术夸大机器人能力；避免用情感操纵提高参与度；明确机器人不是教师替代品；对特殊教育场景进行额外风险评估；对文化、性别和语言差异保持敏感。IEEE 7007 等伦理标准可作为参考 [24]，但不能替代本地法律、学校政策和伦理审查。

度量包括同意覆盖率、数据保留合规率、访问审计完整率、脱敏失败率、隐私事件数和学生/家长满意度。反模式包括：默认录制并永久保存课堂视频；把研究数据上传到未审计的云端；用“同意上课”替代“同意研究”；把学生表现数据用于商业推荐。

5.10 P9：低成本、可维护与可扩展

科研教育平台的可持续性取决于成本、维护和扩展能力。高成本平台难以进入普通院校；封闭平台难以支持课程定制；缺乏备件的平台一旦故障就会长期停摆。架构应在性能、成本、可维护性和扩展性之间取得平衡。

硬件应优先采用标准件、开源设计和模块化接口。易损件（足端、外壳、线缆、电池）应可快速更换；关键执行器和传感器应保留备件；机械结构应便于拆装和标定。对于教学平台，可以牺牲部分极限性能，换取抗摔、低噪音、低维护和安全特性。对于研究平台，应保留传感器和执行器扩展接口，支持不同末端执行器、相机和计算单元。

软件应模块化、可配置、可测试。模块边界应与组织边界一致，便于课程组和研究组独立开发。接口应有版本号和兼容性策略；升级应支持灰度、回滚和离线验证。文档应包含架构图、接口说明、标定流程、故障排查和课程示例。对于教学场景，文档质量直接影响教师能否独立开课。

成本模型应覆盖采购、部署、培训、维护、停机和淘汰。仅比较 BOM 会低估运维和停机成本。对于多用户平台，利用率是关键变量：设备闲置时，单位学生小时成本会显著上升。架构应支持预约、共享和远程实验，以提高利用率。

度量包括 BOM 成本、备件覆盖率、平均故障间隔时间（MTBF）、平均修复时间（MTTR）、利用率、单位学生小时成本、扩展新传感器/执行器的集成耗时。反模式包括：全部定制导致无法替换；没有备件；固件封闭导致无法诊断；升级无回滚；文档只面向开发者。

5.11 P10：评测驱动与持续验证

架构设计需要可验证的证据。没有评测，设计要点会退化为口号；没有回归测试，升级会引入隐性风险；没有现场研究，教学效果只能靠主观印象。评测应覆盖单元、集成、系统、现场和长期五个层次。

单元与集成测试验证接口、契约、时延和故障处理；系统测试验证端到端任务、安全注入和降级；现场测试验证课堂可用性、教师操作和维护流程；长期研究验证学习效果、参与度和持续使用意愿。安全验证应独立于功能验证，包含故障注入、边界条件、误操作和网络攻击场景。

评测应使用公开基准与自定义任务相结合。公开基准便于跨机构比较，自定义任务贴近课程与科研目标。基准选择应说明任务、观测、动作、成功判据和终止条件；自定义任务应公开配置和评价脚本。对于仿真到现实迁移，应同时报告仿真和真机结果，不能只报告较好的一面。

回归测试应覆盖技能、模型、配置和中间件升级。每次发布前运行固定种子集合和边界用例；发布后监控线上指标。对于安全相关变更，应执行额外的安全案例评审。安全案例应说明：危险源、风险控制措施、验证证据、残余风险和适用边界。

度量包括测试覆盖率、回归通过率、安全注入通过率、基准任务覆盖率、现场可用率、复现率和安全案例完整度。反模式包括：只做演示不做测试；只挑成功案例；没有基线；升级后不回归；把仿真结果当作真机结论。

6 教学与科研工作流

6.1 教学闭环

教学闭环由“目标—示范—练习—评价—反馈—归档”六个环节组成。每个环节都应有明确的系统支持和安全边界。

环节	教师动作	学生动作	系统支持	安全要求
目标	设定学习目标与评价量规	理解任务与约束	课程包、示例、术语表	任务在安全包络内
示范	启动示范或遥操作	观察、记录	演示模式、回放、标注	教师授权；区域清空
练习	选择自主等级、提供提示	遥操作/共享控制/调试	脚手架、提示、限速	默认不超过 A2
评价	审核结果与过程	提交报告、自评	评价量规、日志、回放	数据最小化
反馈	讲评、调整难度	修改、重试	对比回放、错误解释	不泄露他人数据
归档	选择教学样本	导出个人报告	课程档案、版本锁定	保留期与访问控制

教学脚本应显式声明目标技能、先决条件、安全等级、评价量规和失败处理。例如，“平衡恢复”课程可以先演示质心偏移，再让学生在共享控制下尝试恢复，最后在监督自主模式下观察不同控制参数的效果。脚本不应假设学生已经掌握底层接口；系统应提供分层次的抽象，从图形化参数到代码接口逐步开放。

脚手架应逐步撤除。初始阶段提供演示、提示和限速；学生熟练后减少提示、提高速度上限、允许修改策略参数；最后进入开放式项目。系统应记录提示使用、接管次数、失败类型和完成时间，用于教师判断学生是否需要更多支持。评价不应只看任务成功率，还应看过程性指标，例如是否理解安全约束、是否能诊断失败、是否能解释策略行为。

6.2 科研闭环

科研闭环由“假设—配置—仿真—真机—分析—归档—复现”七个环节组成。每个实验都应从假设开始，而不是从调参开始。实验清单在第 5.7 节定义；本节强调流程上的门禁。

仿真阶段应验证实验设计是否可行、基线是否合理、评价指标是否敏感。真机阶段应分级进行：先影子模式，再监督模式，最后受限自主。分析阶段应报告失败案例、置信区间和效应量，而不是只报告平均值。归档阶段应保存代码、配置、模型、数据、日志和实验清单；复现阶段应由未参与原实验的人员执行，并记录差异。

科研闭环还应支持负结果。负结果同样是知识，尤其在教学场景中，某些看似有效的交互设计可能在长期使用中失效。系统应允许研究者登记假设、预注册评价指标，并在结果不符合预期时仍然归档。预注册不能保证结论正确，但能减少事后挑选指标的风险。

6.3 训练与部署流水线

技能从数据到部署应经过门禁。表 5 给出建议的流水线与门禁条件。所有门禁条件均为流程要求，具体阈值需根据任务风险设定。

阶段	输入	输出	门禁条件
G0 数据采集	遥操作/示范/仿真	原始数据与元数据	同意、时间戳、标定有效
G1 数据整理	原始数据	训练集/验证集/测试集	去重、脱敏、血缘完整
G2 训练	数据集、配置	模型与训练日志	代码/依赖/种子可追溯
G3 仿真评价	模型、仿真场景	指标与失败分析	多场景、多初始条件、基线对比
G4 影子模式	模型、真机	离线对比报告	不驱动执行器；安全员审核
G5 监督模式	模型、真机	受限运行报告	可随时接管；无安全事件
G6 受限自主	模型、真机	运行指标	风险评估、回滚方案、监控就绪

门禁不是一次性审批，而是持续监控。部署后若技能成功率、接管率或安全事件超过阈值，应自动降级或回滚。模型更新应保留旧版本，支持快速切换。对于教学场景，模型更新应避开课程关键节点，并提前通知教师。

6.4 渐进自主与接管流程

接管流程应包括预警、切换、稳定、确认和归还五个步骤。预警通过界面、声音或灯光提示操作者；切换要求操作者在规定时间内完成动作；稳定阶段机器人保持安全姿态；确认阶段检查操作者意图和环境状态；归还阶段执行自检并逐步恢复自主。

接管演练应纳入教师培训和课程准备。演练内容包括：人员突然进入运动区域、传感器失效、网络中断、执行器过热、学生误操作和急停触发。演练记录应归档，并用于更新安全案例。对于学生，应在课程开始前说明急停位置、接管方式和禁止行为；对于未成年人，应使用更严格的速度和距离限制。

7 理论性质与复杂度分析

7.1 端到端时延分解

设一次感知—决策—执行流程的端到端时延为：

$$T_{e2e}=T_s+T_p+T_d+T_k+T_c+T_b+T_a$$

其中 $T_s$ 为传感器采样与时间戳延迟，$T_p$ 为感知与状态估计，$T_d$ 为任务规划与决策，$T_k$ 为技能推理，$T_c$ 为全身控制计算，$T_b$ 为总线传输，$T_a$ 为执行器响应。对于安全相关反应，可以绕过任务规划：

$$T_{react}=T_s^{fast}+T_p^{fast}+T_c+T_b+T_a$$

其中上标 $fast$ 表示专用的低延迟感知通道。安全反应不应依赖大模型或云端服务。

若为各环节分配截止时间 $D_i$，且 ${\sum }_i{D}_i=D$，则由布尔不等式可得：

$$P(T_{e2e}>D)\le \sum _{i}P(T_i>D_i)$$

该上界不要求各环节独立，因此适用于存在相关性的系统。它只给出保守上界；若需要更紧的界，应使用联合分布建模或极值理论。工程上，该式可用于把端到端可靠性目标分解为各模块的截止时间目标，并通过测量验证。

时延预算应按任务风险分层。人员近距离交互应采用更严格的预算；远离人员的操作可以放宽。表 6 给出示例性设计预算，所有数值均为设计目标，不是实测结果。

环节	符号	示例预算（设计目标）	说明
传感器采样	$T_s$	1 至 5 ms	取决于相机曝光与总线
感知/状态估计	$T_p$	20 至 50 ms	RGB-D 与融合
任务规划	$T_d$	0.5 至 5 s	异步，不进入控制回路
技能推理	$T_k$	10 至 100 ms	取决于模型规模与硬件
全身控制	$T_c$	1 ms	1 kHz 设计目标
总线传输	$T_b$	0.2 至 1 ms	确定性总线
执行器响应	$T_a$	0.5 至 2 ms	取决于驱动器
安全反应	$T_{react}$	由风险评估确定	独立安全通道

7.2 安全不变性条件

考虑控制仿射系统：

$$\dot{x}=f(x)+g(x)u$$

设安全集为：

S = { x ∈ R n ∣ h j ( x ) ≥ 0 ,    j = 1 , … , m } \mathcal{S} = \{x \in \mathbb{R}^n \mid h_j(x) \ge 0,\; j=1,\dots,m\} S={x∈Rn∣hj​(x)≥0,j=1,…,m}

其中 $h_j$ 为连续可微的安全函数，例如关节限位、工作空间边界、人机距离或速度上限。若存在类 $\mathcal{K}$ 函数 ${\alpha }_j$ 使得：

$${\dot{h}}_j(x,u)+{\alpha }_j(h_j(x))\ge 0$$

则称 $h_j$ 为控制屏障函数（Control Barrier Function，CBF）[21]。在 $x_0\in \mathcal{S}$ 且控制器满足上述条件的前提下，$\mathcal{S}$ 是前向不变的。工程上通常求解如下最小修正问题：

$$u^{\ast }=\arg \underset{u}{\min }\frac{1}{2}\Vert u-u_{nom}{\Vert }_2^2$$

$$\text{s.t.}{\dot{h}}_j(x,u)+{\alpha }_j(h_j(x))\ge 0,j=1,\dots ,m$$

$$u\in \mathcal{U},\text{关节限位、力矩限位、摩擦锥等}$$

其中 $u_{nom}$ 为标称控制器输出。该 QP 在约束可行时给出最接近标称指令的安全指令；不可行时进入保护性停止。离散时间实现应加入裕量，例如要求 $h_j(x_{t+1})\ge (1-{\gamma }_j)h_j(x_t)$，其中 ${\gamma }_j\in (0,1]$，以抵消采样延迟和模型误差。

需要强调三点边界。其一，CBF 的保证依赖模型准确性；执行器延迟、摩擦和外部扰动会破坏理论条件，因此需要鲁棒或自适应扩展，并保留硬件安全通道。其二，多约束 QP 可能不可行；不可行时的回退策略必须经过验证。其三，安全函数的选择本身是设计问题；遗漏危险源，形式化保证也无意义。因此，CBF 不能替代风险评估，只能作为控制层的补充。

7.3 可用性与故障传播

对于串联系统，稳态可用性可近似为：

$$A_{sys}=\prod _{i=1}^n{A}_i$$

其中 $A_i=MTB{F}_i/(MTB{F}_i+MTT{R}_i)$。串联环节越多，系统可用性越低；这也是架构要减少不必要串联依赖、把安全通道独立出来的原因。

若安全通道由 $k$ 个独立通道并联构成，则其可用性为：

$$A_{safety}=1-\prod _{j=1}^k(1-A_j)$$

但该式假设通道之间相互独立。实际系统中，共因故障（例如同一电源、同一线束、同一软件库）会破坏独立性。因此，安全通道应在供电、通信、计算和物理布局上尽量分离，并通过故障树分析识别共因。并联冗余不能替代风险评估。

故障传播可以用依赖图描述。设模块 $i$ 依赖模块 $j$ 时存在边 $i\to j$；一次故障的影响范围是依赖图中可达的模块集合。架构应限制跨层反向依赖，避免单点故障沿业务链扩散。对于关键路径，应定义降级状态和恢复时间目标。可用性指标应区分“任务可用性”和“安全可用性”：任务可用性允许停机维修，安全可用性要求安全功能始终可用。

7.4 模块耦合与变更影响

设模块依赖矩阵为 M ∈ { 0 , 1 } n × n M \in \{0,1\}^{n \times n} M∈{0,1}n×n，$M_{ij}=1$ 表示模块 $i$ 依赖模块 $j$。定义耦合分数：

$$\kappa =\frac{1}{n(n-1)}\sum _{i\ne j}{d}_{ij}$$

其中 $d_{ij}$ 为从 $i$ 到 $j$ 的最短依赖路径长度，若不可达则取 0。$\kappa$ 越大，变更越容易传播。该指标只是相对度量，不能直接比较不同规模的系统；它适合跟踪同一系统在重构前后的变化。

降低耦合的工程手段包括：类型化接口、依赖倒置、事件驱动、版本化契约、资源锁和显式状态机。对于安全相关模块，耦合应进一步降低：安全滤波不应依赖任务规划器的内部状态；安全 MCU 不应依赖主控操作系统；急停不应经过业务网络。架构评审应检查“变更一个模块需要重新验证哪些模块”，并把答案记录在接口文档中。

7.5 成本与利用率

全生命周期成本可分解为：

$$C_{total}=C_{hw}+C_{dev}+C_{train}+C_{maint}+C_{downtime}+C_{governance}$$

其中 $C_{hw}$ 为硬件采购，$C_{dev}$ 为软件开发与集成，$C_{train}$ 为教师与运维培训，$C_{maint}$ 为维护与备件，$C_{downtime}$ 为停机损失，$C_{governance}$ 为安全、伦理与合规成本。单位学生小时成本为：

$$C_{sh}=\frac{C_{total}}{N_{s}H}$$

其中 $N_s$ 为受益学生数，$H$ 为每名学生的有效使用小时。该式说明，提高利用率与共享范围可以显著降低单位成本；反之，设备闲置会让低成本硬件也变成高成本平台。架构应支持预约、共享、远程实验和课程复用，但共享不能牺牲安全与隐私。

成本分析应包含敏感性分析：当利用率、故障率、备件价格或培训时间变化时，单位成本如何变化。本文不给出具体数值，因为不同院校、不同机器人和不同课程结构差异很大；所有数值应以实际采购和运维记录为准。

7.6 教学效果度量

教学效果不能用任务成功率替代。建议同时测量认知、技能、态度和行为四个层面。认知层面可使用概念测验；技能层面可使用操作评分量规；态度层面可使用经过验证的动机或自我效能感量表；行为层面可观察提示使用、接管次数、调试策略和协作行为。

归一化学习增益可定义为：

$$g=\frac{S_{post}-S_{pre}}{S_{\max }-S_{pre}}$$

其中 $S_{pre}$ 与 $S_{post}$ 为前测与后测分数，$S_{\max }$ 为量表满分。该指标便于跨班级比较，但不能替代统计检验，也不能证明因果关系。教学研究应设置对照或准实验设计，控制先前经验、教师差异和课程时长，并报告效应量与置信区间。

教学效果评价必须经过伦理审查。对未成年人，应取得监护人同意并尊重本人意愿；对课堂视频，应默认最小化采集；对研究数据，应明确用途、保留期和共享范围。评价结果不应被用于对学生进行高风险排序或标签化。

7.7 模型边界

上述模型均为解析框架，不是对真实系统的性能保证。时延分解假设各环节可测量且时间戳可信；CBF 保证假设模型准确且约束可行；可用性公式假设故障率稳定且通道独立；成本模型假设数据可获取；学习增益假设量表有效。任何一项假设不成立，结论都应重新审视。本文在第 8 节给出验证这些假设的实验设计，在第 9 节讨论适用边界。

8 实验设计与评价方案

8.1 研究问题

本文提出五个研究问题，分别对应架构的不同维度：

• RQ1（实时与安全）：分层架构与独立安全平面能否在故障注入和峰值负载下维持控制回路稳定，并把安全事件限制在可控范围？
• RQ2（模块化与可维护性）：类型化技能契约与版本化配置能否降低新技能集成耗时和变更失败率？
• RQ3（仿真到现实）：数字孪生与分级部署流程能否缩小仿真现实差距，并减少迁移所需的真机数据？
• RQ4（教学效果）：教学闭环与渐进自主能否在保证安全的前提下提升学习增益与参与度？
• RQ5（成本与可持续性）：架构的采购、维护和停机成本是否在院校可接受范围内，利用率如何影响单位成本？

8.2 平台、基线与任务

候选平台。 仿真平台可选择 MuJoCo [7] 与 Isaac Gym [8]，任务可参考 HumanoidBench [9] 的任务定义。真机平台应至少覆盖两种形态：一种面向科研的 20 至 40 自由度人形机器人（例如 Berkeley Humanoid 类平台 [10]），一种面向教学的低成本平台（例如 Poppy 类开源平台 [2]）。具体型号、序列号、执行器参数和传感器配置待定 [TODO: 平台选型与硬件参数待补充]。本文不声称已获得任何平台的实验数据。

基线。 建议设置四类基线：单体式架构（所有功能运行在同一进程，无独立安全平面）；无安全滤波架构（仅依赖关节限位）；无数字孪生架构（直接仿真到现实）；云依赖架构（规划与感知依赖云端）。基线应尽可能保持硬件、任务和数据相同，以隔离架构变量的影响。

任务。 科研任务包括平地行走、转向、上下台阶、抗扰动、抓取放置、开门、工具使用和全身协调操作；教学任务包括机器人问候、手势模仿、物体分类、积木搭建、语音问答和安全演示。任务应定义初始条件、成功判据、终止条件、允许的干预和安全约束。所有任务应在仿真与真机中尽量保持一致。

8.3 评价指标

表 7 给出建议指标。所有指标应报告均值、标准差、95% 置信区间和样本量；比例类指标应同时报告分子与分母。

维度	指标	定义	方向
任务	成功率	成功回合数 / 总回合数	越高越好
任务	完成时间	从开始到成功/终止的时间	越低越好
安全	安全事件率	安全事件数 / 运行小时	越低越好
安全	急停响应时间	触发到进入安全状态的时间	越低越好
实时	p99 端到端时延	99 分位响应时延	越低越好
实时	截止时间错过率	超过截止时间的周期数 / 总周期数	越低越好
人机	接管率	接管次数 / 回合数	越低越好（在安全前提下）
人机	接管时延	请求到完成接管的时间	越低越好
迁移	仿真现实差距	仿真与真机成功率之差的绝对值	越低越好
迁移	适配数据量	达到目标成功率所需真机数据量	越低越好
维护	MTBF	平均故障间隔时间	越高越好
维护	MTTR	平均修复时间	越低越好
维护	可用性	MTBF / (MTBF + MTTR)	越高越好
成本	单位学生小时成本	全生命周期成本 / (学生数 × 小时)	越低越好
教学	归一化学习增益	式（7.6）	越高越好
教学	参与度	经验证量表或行为指标	越高越好
复现	复现率	成功复现实验数 / 尝试复现数	越高越好

8.4 实验矩阵

表 8 给出实验矩阵。每个实验应预注册主要指标和停止条件；探索性分析应明确标注。

实验	对应 RQ	自变量	主要指标	平台	样本量
E1 时延与抖动	RQ1	架构（分层/单体）、负载、故障注入	p99 时延、错过率、降级次数	仿真 + 真机	[TODO: 待定]
E2 安全注入	RQ1	安全平面（有/无）、故障类型	安全事件率、急停响应、恢复率	真机（受控）	[TODO: 待定]
E3 技能集成	RQ2	契约（有/无）、技能数量	集成耗时、回归通过率、复用率	开发环境 + 真机	[TODO: 待定]
E4 仿真到现实	RQ3	数字孪生、域随机化、残差适配	迁移成功率、差距、适配数据量	仿真 + 真机	[TODO: 待定]
E5 教学干预	RQ4	教学闭环（完整/简化）、自主等级	学习增益、参与度、接管率	课堂	[TODO: 待定]
E6 运维成本	RQ5	平台配置、利用率、备件策略	MTBF、MTTR、单位成本	现场	[TODO: 待定]

8.5 主结果（占位）

表 9 为主结果占位表。所有单元格必须由真实实验填写；在未采集数据前，不得用估计值替代。

架构/方法	任务成功率 ↑	p99 时延 ↓	截止时间错过率 ↓	接管率 ↓	故障恢复率 ↑	单位学生小时成本 ↓
单体式基线
无安全滤波
无数字孪生
云依赖基线
EDU-Humanoid（本文）

8.6 消融实验（占位）

表 10 给出消融设计。消融的目的是识别哪条设计要点对哪个指标有贡献，而不是证明“本文方法全面更优”。

变体	移除/替换的组件	预期影响（待验证）	主要指标
V1	移除独立安全平面	安全事件与恢复时间可能恶化	安全事件率、急停响应
V2	移除安全滤波	边界工况可能越界	越界次数、保护性停止率
V3	移除技能契约	集成耗时与回归失败可能增加	集成耗时、回归通过率
V4	移除数字孪生	仿真现实差距可能扩大	迁移成功率、适配数据量
V5	移除实验清单/时钟同步	复现率与故障定位可能下降	复现率、MTTR
V6	移除渐进自主/接管协议	接管时延与误操作可能增加	接管时延、干预率
V7	移除数据最小化流程	隐私合规风险可能上升	同意覆盖率、保留合规率
V8	移除多仿真器复核	单一引擎过拟合风险可能上升	跨引擎迁移差距

8.7 故障注入与分析

故障注入应覆盖感知、规划、控制、通信、电源和人为操作六类。表 11 给出故障分类与建议的检测/缓解手段。

类别	示例	检测手段	缓解策略
感知故障	相机遮挡、深度缺失、语音噪声	置信度、时间戳、健康检查	降级到本体感觉、限速、请求帮助
状态估计故障	里程计漂移、IMU 饱和	残差监控、融合一致性	切换估计器、保护性停止
规划故障	计划超时、非法技能、参数越界	计划验证器、超时	重规划、回退到安全技能
技能故障	抓取失败、打滑、接触丢失	后置条件、力/视觉反馈	重试、恢复技能、人工接管
执行器故障	过热、编码器异常、力矩饱和	温度/电流/位置监控	降额、保护性停止、抱闸
通信故障	总线丢帧、网络断连、时钟漂移	心跳、超时、时间戳	本地降级、安全停止、重连
电源故障	欠压、过流、电池过热	BMS 监控	降载、安全坐下、断电抱闸
人为操作	误触、越权、错误参数	权限、参数校验、审计	拒绝、提示、锁定、培训

分析应报告失败模式分布、平均恢复时间、未恢复事件和根因。对于安全事件，应进行独立复盘，区分“系统缺陷”“操作失误”“环境因素”和“未知原因”。复盘结果应转化为测试用例和设计变更，而不是只写进报告。

8.8 教学实验设计

教学实验应采用准实验或随机对照设计，至少包含实验组与对照组。实验组使用完整教学闭环与渐进自主；对照组使用简化流程或传统演示。主要终点为归一化学习增益，次要终点为参与度、自我效能感、接管次数和教师负担。评价工具应使用经过验证的量表，并提供信度与效度信息 [TODO: 量表选型与信效度待补充]。

样本量应通过功效分析确定；分析应控制先前经验、班级、教师和课程时长。由于课堂条件难以完全随机化，建议采用交叉设计或分层分析，并报告局限性。对于未成年人，应取得监护人同意并尊重本人意愿；对于视频数据，应默认端侧处理、最小化保存。

教学实验的失败同样是结果。若学习增益不显著，应分析原因：是教学任务与量表不匹配、干预时间太短、教师培训不足，还是机器人可用性限制了教学时间。报告负结果有助于避免重复投入。

8.9 统计与可复现性

所有随机实验应至少运行 5 个种子；强化学习实验应报告种子间方差。比例指标应使用自助法或二项分布置信区间；连续指标应报告均值、标准差和 95% 置信区间。两组比较可使用 Wilcoxon 符号秩检验或 Mann-Whitney U 检验；多组比较应校正多重检验。效应量应报告，例如 Cliff’s delta 或 Cohen’s d，并解释其实际意义。

实验应预注册主要指标、样本量、排除标准和停止条件。探索性分析应明确标注为探索性。所有代码、配置、模型、数据清单和日志应归档，并提供复现脚本。复现应由未参与原实验的人员执行，记录环境差异和结果差异。若数据因隐私不能公开，应提供合成数据或访问申请流程。

8.10 实施细节与待补充项

以下内容在本文中无法核实，需在真实平台实施时补充：

• 机器人型号、序列号、自由度、执行器参数、传感器配置与固件版本：[TODO: 待补充]
• 计算单元、实时内核、总线类型与网络配置：[TODO: 待补充]
• 控制周期、WBC 求解器、QP 参数与安全滤波参数：[TODO: 待补充]
• 感知模型、技能模型、VLA 模型与推理硬件：[TODO: 待补充]
• 仿真器版本、场景资产、域随机化范围与系统辨识结果：[TODO: 待补充]
• 数据集规模、采集协议、标注规范与伦理审批编号：[TODO: 待补充]
• 教学实验的学校、班级、样本量、量表与审批信息：[TODO: 待补充]
• 成本、备件、MTBF/MTTR 与利用率数据：[TODO: 待补充]

8.11 局限

本文的评测方案尚未执行，因此不能提供任何性能结论。实验设计也面临若干局限：不同硬件平台的动力学差异可能掩盖架构效应；课堂环境难以完全随机化；安全事件在受控实验中可能样本不足；教学效果的长期保持需要纵向研究；仿真到现实的差距可能随任务而变化。上述局限应在结果报告中明确说明，不能用单次演示替代系统验证。

9 讨论

9.1 为什么这些设计要点重要

科研教育场景的系统架构不是“把最强算法装进最强硬件”的问题，而是“让不同角色在可接受风险下持续使用同一套基础设施”的问题。安全平面、实时分级、技能契约、数字孪生和实验清单看似分散，实际上共同回答三个问题：谁可以做什么，系统在异常时如何退化，结果如何被信任。缺少任何一个，系统都可能在演示中表现良好，却在课堂或长期研究中失效。

从工程角度看，十条设计要点之间存在依赖关系。P1 与 P2 是基础，没有安全与实时性，其他能力无法在真实场景中稳定运行；P3 与 P4 是复用与集成的前提；P5 与 P6 是可复现研究的支撑；P7 与 P8 处理人与数据的边界；P9 与 P10 决定系统能否长期维持。架构评审可以先检查基础项，再检查复用与复现项，最后检查治理与可持续项。

9.2 适用边界

本文架构适用于有教师或安全员监督的高校、职业院校和高中高年级实验室。它不适用于无人监督的家庭环境、低龄儿童独立使用或高密度人群中的开放演示。对于工业场景，本文的安全分析不能替代机器安全标准要求的风险评估与认证；对于医疗或康复场景，还需要额外的临床与法规评估。

本文假设机器人具有双足移动与双臂操作能力，但许多设计要点同样适用于轮式人形、固定底座双臂平台或教育机械臂。安全平面、技能契约、实验清单和数据治理与形态无关；实时分级和仿真到现实的具体参数则需根据平台调整。

9.3 与通用人形机器人架构的差异

通用人形机器人架构通常以任务泛化、运动能力和自主性为核心指标；科研教育架构还必须把教学组织、多用户隔离、可解释性和长期维护作为一等目标。这带来三个差异。其一，教育场景更强调“可理解的失败”：学生需要知道机器人为什么失败，而不是只看到一个成功率的数字。其二，教育场景更强调“可恢复的停机”：课堂时间有限，系统必须快速恢复到可用状态。其三，教育场景更强调“数据治理”：课堂数据涉及未成年人，不能按互联网产品的默认方式采集和使用。

这些差异不意味着科研教育架构在技术上更低端。相反，它要求系统在安全、实时、可复现和可维护方面做得更扎实，因为使用者不是专业工程师，错误操作是常态，设备停机有明确的教学成本。

9.4 伦理、隐私与治理

人形机器人在教育场景中的伦理问题至少包括四类。第一，隐私与数据治理：课堂视频、语音、作业和行为数据可能揭示学生的能力、情绪和家庭信息；采集应最小化，使用应目的限定，保存应有期限，访问应审计。第二，自主与责任：当机器人造成伤害或教学损失时，责任如何在教师、学校、开发者和运维之间分配，需要事先约定。第三，拟人化与依赖：人形形态可能引发过度信任或情感依赖，系统应避免夸大能力、避免情感操纵，并明确机器人不是教师替代品。第四，公平与可及性：语音、视觉和语言能力差异可能影响部分学生的使用体验，系统应提供多模态替代方案，并避免用单一指标评价学生。

治理机制包括伦理审查、知情同意、风险评估、安全培训、事件报告和定期审计。IEEE 7007 等标准可以提供术语与原则参考 [24]，但具体合规要求取决于所在国家、地区和学校政策。本文建议在课程开始前完成风险评估，在系统上线前完成安全演练，在每学期结束后完成数据与事件审计。

9.5 开放问题

本文留下若干开放问题。其一，如何为教育场景定义可比较的安全基准？现有机器人安全标准主要面向工业或个人护理场景 [22,23]，教育人形机器人往往处于两者之间。其二，如何评价“可解释的失败”？失败解释的质量难以量化，需要结合教师判断与学生理解。其三，如何在不同硬件平台之间迁移技能与课程？技能契约提供了接口，但动力学差异仍需系统辨识与适配。其四，如何长期维持开源硬件与软件生态？这涉及供应链、备件、文档和社区治理。其五，如何在不侵犯隐私的前提下开展纵向教学研究？联邦学习、端侧处理和合成数据可能是方向，但需要验证其有效性。

10 结论

本文面向科研教育场景，提出人形机器人系统架构 EDU-Humanoid 及十条设计要点。架构以独立安全平面约束硬件、控制和任务层，以类型化技能契约连接学习、任务与教学，以数字孪生、可观测性和实验清单支撑仿真到现实迁移与可复现研究，以多租户管理和数据治理支撑教学组织与隐私保护。本文给出端到端时延、安全不变性、可用性、模块耦合和成本的解析模型，并设计了覆盖实时性、安全性、迁移、教学效果与运维成本的评测协议。

本文不报告未经实测的性能数字，也不声称某一硬件或算法优于现有方案。本文的贡献是可审查的架构框架、设计要点与验证方案；其有效性需要在真实平台上按第 8 节协议采集数据后判断。未来工作包括：在至少两种硬件平台上实现参考架构；完成安全注入与长期运维评估；开展经过伦理审查的教学研究；建立跨机构的技能与课程复用规范；探索教育场景的安全认证路径。

参考文献

[1] Wang, H., Luo, N., Zhou, T., Yang, S. Physical Robots in Education: A Systematic Review Based on the Technological Pedagogical Content Knowledge Framework. Sustainability, 2024, 16(12): 4987. DOI: 10.3390/su16124987.

[2] Lapeyre, M. Poppy: open-source, 3D printed and fully-modular robotic platform for science, art and education. PhD thesis, University of Bordeaux, 2014. HAL: tel-01104641.

[3] Metta, G., Natale, L., Nori, F., Sandini, G., Vernon, D., Fadiga, L., von Hofsten, C., Rosander, K., Lopes, M., Santos-Victor, J., Bernardino, A., Montesano, L. The iCub humanoid robot: An open-systems platform for research in cognitive development. Neural Networks, 2010, 23(8-9): 1125-1134. DOI: 10.1016/j.neunet.2010.08.010.

[4] Kitano, H., Asada, M., Kuniyoshi, Y., Noda, I., Osawa, E. RoboCup: The Robot World Cup Initiative. Proceedings of the First International Conference on Autonomous Agents (Agents '97), 1997.

[5] Quigley, M., Conley, K., Gerkey, B., Faust, J., Foote, T., Leibs, J., Wheeler, R., Ng, A. Y. ROS: an open-source Robot Operating System. ICRA Workshop on Open Source Software, 2009.

[6] Macenski, S., Foote, T., Gerkey, B., Lalancette, C., Woodall, W. Robot Operating System 2: Design, architecture, and uses in the wild. Science Robotics, 2022, 7(66): eabm6074. DOI: 10.1126/scirobotics.abm6074.

[7] Todorov, E., Erez, T., Tassa, Y. MuJoCo: A physics engine for model-based control. 2012 IEEE/RSJ International Conference on Intelligent Robots and Systems (IROS), 2012.

[8] Makoviychuk, V., Wawrzyniak, L., Guo, Y., Lu, M., Storey, K., Macklin, M., Hoeller, D., Rudin, N., Allshire, A., Handa, A., State, G. Isaac Gym: High Performance GPU-Based Physics Simulation For Robot Learning. arXiv:2108.10470, 2021.

[9] Sferrazza, C., Huang, D.-M., Lin, X., Lee, Y., Abbeel, P. HumanoidBench: Simulated Humanoid Benchmark for Whole-Body Locomotion and Manipulation. arXiv:2403.10506, 2024.

[10] Liao, Q., et al. Berkeley Humanoid: A Research Platform for Learning-based Control. arXiv:2407.21781, 2024.

[11] Radosavovic, I., Xiao, T., Zhang, B., Darrell, T., Malik, J., Sreenath, K. Real-World Humanoid Locomotion with Reinforcement Learning. arXiv:2303.03381, 2023.

[12] Radosavovic, I., Zhang, B., Shi, B., Rajasegaran, J., Kamat, S., Darrell, T., Sreenath, K., Malik, J. Humanoid Locomotion as Next Token Prediction. arXiv:2402.19469, 2024.

[13] Fu, Z., Zhao, Q., Wu, Q., Wetzstein, G., Finn, C. HumanPlus: Humanoid Shadowing and Imitation from Humans. arXiv:2406.10454, 2024.

[14] He, T., Luo, Z., Xiao, W., Zhang, C., Kitani, K., Liu, C., Shi, G. Learning Human-to-Humanoid Real-Time Whole-Body Teleoperation. arXiv:2403.04436, 2024.

[15] He, T., Luo, Z., He, X., Xiao, W., Zhang, C., Zhang, W., Kitani, K., Liu, C., Shi, G. OmniH2O: Universal and Dexterous Human-to-Humanoid Whole-Body Teleoperation and Learning. arXiv:2406.08858, 2024.

[16] He, T., Gao, J., Xiao, W., Zhang, Y., Wang, Z., Wang, J., Luo, Z., He, G., Sobanbabu, N., Pan, C., Yi, Z., Qu, G., Kitani, K., Hodgins, J., Fan, L., Zhu, Y., Liu, C., Shi, G. ASAP: Aligning Simulation and Real-World Physics for Learning Agile Humanoid Whole-Body Skills. arXiv:2502.01143, 2025.

[17] Gu, X., Wang, Y.-J., Chen, J. Humanoid-Gym: Reinforcement Learning for Humanoid Robot with Zero-Shot Sim2Real Transfer. arXiv:2404.05695, 2024.

[18] NVIDIA. GR00T N1: An Open Foundation Model for Generalist Humanoid Robots. arXiv:2503.14734, 2025.

[19] Open X-Embodiment Collaboration. Open X-Embodiment: Robotic Learning Datasets and RT-X Models. arXiv:2310.08864, 2023.

[20] Brohan, A., et al. RT-2: Vision-Language-Action Models Transfer Web Knowledge to Robotic Control. arXiv:2307.15818, 2023.

[21] Ames, A. D., Coogan, S., Egerstedt, M., Notomista, G., Sreenath, K., Tabuada, P. Control Barrier Functions: Theory and Applications. 2019 18th European Control Conference (ECC), 2019.

[22] ISO 13482:2014. Robots and robotic devices — Safety requirements for personal care robots. International Organization for Standardization, 2014.

[23] ISO 10218-1:2011. Robots and robotic devices — Safety requirements for industrial robots — Part 1: Robots. International Organization for Standardization, 2011.

[24] IEEE 7007-2021. IEEE Ontological Standard for Ethically Driven Robotics and Automation Systems. IEEE, 2021.

附录

附录 A 符号表

符号	含义	单位/取值
$\mathcal{A}$	参考架构	—
$\mathcal{M}$	模块集合	—
$\mathcal{I}$	接口集合	—
$x$	机器人状态	依系统定义
$u$	控制输入	依系统定义
$h_j$	第 $j$ 个安全函数	实数
${\alpha }_j$	类 $\mathcal{K}$ 函数	—
$T_{e2e}$	端到端时延	s
$D$	端到端截止时间	s
$A_i$	第 $i$ 个模块可用性	[0,1]
$C_{total}$	全生命周期成本	货币单位
$C_{sh}$	单位学生小时成本	货币单位/小时
$g$	归一化学习增益	实数
$\kappa$	耦合分数	非负实数

附录 B 安全滤波 QP 的离散实现

连续时间 CBF 条件在离散时间控制器中不能直接保证。一种常用做法是要求下一步的安全函数值满足：

$$h_j(x_{t+1})\ge (1-{\gamma }_j)h_j(x_t),{\gamma }_j\in (0,1]$$

将 $x_{t+1}\approx x_t+\Delta t(f(x_t)+g(x_t)u_t)$ 代入，可得关于 $u_t$ 的线性约束。若 $h_j$ 非线性，可在当前状态附近线性化，并加入信赖域或二阶修正。线性化误差、执行器延迟和状态估计误差应通过保守裕量处理。若 QP 不可行，应按预定义顺序放松低优先级约束，但不得放松硬件安全约束；若仍不可行，进入保护性停止。

该实现不构成安全认证。实际系统应通过故障注入、硬件在环测试和风险评估验证安全功能，并保留独立硬件安全通道。

附录 C 架构评审清单

检查项	问题	通过标准
安全链路	急停是否独立于主控？	主控断电/死机仍可急停
安全状态	是否定义分级安全状态？	至少包含阻尼、保持、坐下、断电抱闸
实时性	控制线程是否有界？	无阻塞 I/O、无动态分配、无 GC
优先级	上层任务能否阻塞控制？	队列有界；超时降级
模型一致性	仿真与真机模型是否同源？	关键参数哈希一致
标定	标定是否随序列号管理？	维修后自动失效并提示
技能契约	是否有前后置条件与包络？	注册表可校验；失败可恢复
数据治理	是否默认最小化采集？	同意、保留期、访问审计可配置
可复现	是否有实验清单？	代码、配置、模型、种子、数据全记录
接管	是否可低时延接管？	硬件与界面双通道；演练通过
维护	是否有备件与文档？	关键易损件有库存；MTTR 可测
评测	是否有回归与安全注入？	发布前固定种子与故障用例通过

附录 D 实验清单模板

experiment_id:
hypothesis:
owner:
robot_model:
robot_serial:
software_commit:
container_digest:
dependency_lock:
model_version:
skill_versions:
config_hash:
random_seed:
dataset_version:
simulator_version:
environment_conditions:
start_time:
end_time:
metrics:
result_path:
safety_events:
deviations:
reviewer:

附录 E 待补充与待核实清单

• [TODO: 机器人平台型号、自由度、执行器与传感器参数待补充]
• [TODO: 实时计算单元、操作系统、总线与网络配置待补充]
• [TODO: WBC/QP 参数、安全滤波参数与安全包络阈值待补充]
• [TODO: 感知、技能与 VLA 模型的具体选型待补充]
• [TODO: 仿真器版本、场景资产、系统辨识与域随机化范围待补充]
• [TODO: 主实验、消融实验与故障注入的全部数值待实测填写]
• [TODO: 教学实验的学校、班级、样本量、量表与伦理审批信息待补充]
• [TODO: BOM、备件、MTBF/MTTR 与利用率数据待补充]
• [TODO: 安全标准适用性与认证路径待专业机构确认]
• [TODO: 参考文献的卷期、页码与最新版本信息在投稿前统一核对]