人形机器人大脑体系 · 安全专项
人形机器人三级牺牲通行体系

预标 → 重定位 → 兜底
电梯/扶梯场景的安全设计
系列：人形机器人大脑体系 · 安全专项
数据边界：本文全部量化数据来自仿真验收级实测，几何参数为标称配置
真机部署需与本体方联合标定

摘　要
人形机器人过台阶、跨电梯门槛、上扶梯，最容易出事的不是"上不去"，而是"差一点点"——关节余量只剩一两度，还继续往前走。传统做法只有两条路：硬闯，或者整段放弃重来。前者伤机器，后者效率不可接受。
本文拆解第三条路：牺牲位——在限位约束内主动让出一部分落点自由度，换取通行安全。结论是一套三级串联结构：通行前预标、起步瞬间重定位、运行中兜底回退，外加跨步预算管控。每一条都对应可指认的代码与可复现的测试，不是设计意图。
边界声明：本文讨论决策层软件的安全机制设计，不构成功能安全认证。本体急停、硬件安全联锁、力矩兜底防护，属于硬件厂商本体安全系统的职责范围。

目录
一、问题：剩下的余量，是用"位置"换的 1
二、核心设计：三级各管一个时间窗 1
三、三个工程坑：都是真实踩过、修掉、写进测试的 3
四、实测数据（仿真验收级） 4
五、验证方法：怎么证明这套东西"真的有" 5
结语 6
获取与部署 6

一、问题：剩下的余量，是用"位置"换的
先建立一个直觉。机器人单步通行时，落点选在哪里，决定了摆动腿全程的关节余量分布。落点选得好，全程余量都宽；落点偏一点，某一段就贴着限位走。
关键事实是：余量和落点不是单调关系。
我们实测了 8 组台阶几何工况（不同踏步高×深组合、上行/下行），把落点从"最近"扫到"最远"，余量曲线是起伏的——有的工况在最优点附近余量高出 2°，有的工况挪动落点反而更差。这意味着：
 固定偏移调参不可用。"往前挪 3 厘米更安全"这类经验公式，换个台阶深度就反号。
 必须搜索寻优。但搜索是有代价的，这就引出了第二个问题。
单步落点决策如果做成运行时在线搜索，以我们的步态模型，一次完整搜索约需 205 次逆解运算。这个量级在仿真里无所谓，放到真机上，决策层的算力预算根本撑不住——更不用说搜索期间机器人还在动。
所以整个体系要回答的问题其实是两个：

1. 怎么找到好落点？——搜索，但要找到"什么时候搜"。
2. 搜索的代价怎么付？——把搜索从"运行中"挪到"运行前"。
   二、核心设计：三级各管一个时间窗
   三级防线的划分依据不是重要性，是时间窗——机器人在不同的时间点上，拥有不同的信息量和不同的可回退余地。
   2.1 第一级：通行前预标（时间窗：出发之前）
   台阶高度、踏面深度、门槛缝宽、扶梯节距——这些场景参数在通行之前就已知。所以好落点完全可以提前算好：
   通行前（离线）：
   对整条路径逐步做全量搜索
   → 生成"牺牲位标记表"：每一步的推荐落点 + 预期增益 + 置信级
   运行时：
   走到某一步 → 查表 → O(1) 拿到推荐落点 → 1 次复核预演 → 注入
   运行时单步决策从约 205 次逆解降到 5 次（1 次基线预演 + 1 次复核 + 少量兜底），压降约 40 倍。这是整个体系能上真机的前提。
   预标表还有一个容易忽略的设计点：无空间就如实标 none。实测中台阶工况 H20D30（高 20cm×深 30cm 上行）的默认落点已经是理论最优，搜索找不到任何正增益点——标记表就写 none，运行时直接跳过重定位。不硬造参数，是这套体系可信度的一部分。
   2.2 第二级：起步瞬间重定位（时间窗：单步相位零点）
   预标给出的是"建议"，真正改落点的动作发生在每一步的起步瞬间（步态相位 s=0）。选这个窗口不是随意的：
    此时摆动轨迹还没展开，改落点不产生任何轨迹跳变；
    步时高可以同步重算，不会留下"改了落点没改时长"的半状态。
   我们给这个动作定了三条铁律，写成接口约束而不是注释：
   铁律一：只允许在 ALIGN 相位（相位零点）改落点，其他相位一律拒绝；
   铁律二：每步只允许改一次，改过就锁；
   铁律三：改落点必须同步重算步时高，两操作原子提交，失败即回滚。
   铁律的价值在异常场景。如果中途断电、上层复位、或者决策层重启，FSM 恢复后不可能处于"落点改了一半"的状态——要么没改，要么改完整。这类半状态在仿真里很难触发，但在真机上就是摔机隐患。
   2.3 第三级：运行中兜底（时间窗：步中任意时刻）
   前两级把 95% 以上的情况都处理掉了，但总有意外：突发扰动、参数漂移、预标时没预见的状态。第三级是运行中的最后防线——检测到贴边就中止本次尝试，退回保守参数重试。
   它的语义和前两级不同：前两级是"优化"，这一级是"止损"。它不追求找到好落点，只保证一件事：不硬闯限位。中止-重试会有效率损失，但安全兜底路径的效率和安全性从来不是同一优先级。
   2.4 跨层预算：单轮通行不允许无限重试
   三级串联后还有一个整体风险：某一步反复触发兜底，循环重试，机器人卡在原地。所以我们加了第四道机制——跨步预算管控：单轮通行允许的落点重定位总次数有限，预算耗尽后自动降级到纯兜底模式，行为可预期。
   这个机制在多步场景实测中验证过：三步通行、逐步注入参数漂移，前两步正常使用预标重定位，第三步预算耗尽被拒绝、交回兜底，整轮通行最终完成。预算防线起作用，且场景不失败。
   三、三个工程坑：都是真实踩过、修掉、写进测试的
   这一节是本文最想留给同行的部分。三个坑都有共同特征：逻辑上说得通，实测才发现反了。
   3.1 坑一：预标点的"改善"必须用标称相对差来判
   预标器在标称参数下扫描候选落点，很自然的写法是：候选点的余量 ≥ 某个绝对阈值 → 标为可用。我们最初也这么写，结果在楼梯电梯工况发现一个标为"优先"的候选点，预期增益是 −1.10°——比不改还差。
   原因：预标是"假设将来贴边"的条件下评估的，漂移对基线落点和候选落点的影响是同向的。绝对阈值判据在漂移语境下失真。修复方法是改用标称相对差：候选点余量相对基线落点的差值才是判据——漂移同减两边，相对关系不随漂移改变。
   3.2 坑二：“脚心合法"不等于"脚踩实了”
   落点合法性最初只校验脚中心坐标处的表面高度。这在台阶场景够用，直到电梯场景出现一类形状：脚中心落在轿厢地板上（合法），但脚掌横跨门槛缝（脚下悬空）。
   这是纯几何校验的盲区：点采样合法，支撑面不连续。修复是在合法性判定里加足底全支撑校验——沿足底轮廓对支撑表面做真值查询，任何一点悬空即拒绝。这个校验后来成为电梯/扶梯场景拦截伪合法落点的主防线。
   3.3 坑三：上层重建会冲掉预标状态
   长稳测试中发现的集成层问题：运行失败后上层会重建搜索器，重建用的是默认构造——把注入的预标搜索器换回了原生在线搜索器。功能不坏（在线搜索是合法回退），但预标优化静默失效，算力悄悄回到 205 次/步。
   修复不复杂（读取侧做类型防御），但暴露的规律值得记住：注入式架构的失效模式往往不是报错，而是静默降级。集成测试必须覆盖"注入是否还在"这一项。
   四、实测数据（仿真验收级）
   几何参数为标称配置，换几何即变，不构成真机承诺：
   场景 配置 预标/重定位增益（仿真） 备注
   台阶上行 8 组工况 0.53°～2.14° 其中 4 组有空间、4 组如实标 none
   台阶下行 8 组工况 ≤0.59° 几何自由度天然受限
   台阶 H20D30 上行 — 无空间 默认落点已是理论最优
   厢式电梯 含门槛缝 +1.11° 足底全支撑校验启用
   电动扶梯 梯级间隙+漂移 +0.84° 漂移参数静态化，真机需重标
   楼梯电梯 分段+平台 +0.53°～1.06° 跨步预算防线实测触发
   预演精度：预演模型与执行侧实测的最大偏差 ≤0.14°（全工况对拍，仿真）。
   五、验证方法：怎么证明这套东西"真的有"
   安全机制的验证有个特殊性：它防的是低概率事件，正常跑一万次也未必触发一次。所以我们的验证重心不在"跑通"，而在两件事：
   其一，缺陷注入测试。把已知的三类错误——方向写反、越权改相位、漏算坐标——逐个注入代码，验证防线全部变红。5 组注入全部触发失败，说明防线是真的连着的，不是摆设。工程上有个反直觉的推论：一条"拆掉之后测试照样全绿"的防线，比没有防线更糟——因为它给人虚假的安全感。我们的做法是每条防线都必须有对应的注入用例，拆了必须红。
   其二，基线不可变。决策内核以基线包形式指纹锁定，三级体系全部以增量方式叠加，不改内核一行代码。这意味着：安全性增强不会引入内核回归——全量验收锚在体系上线前后零失败。接入方式也极简：外部场景只需实现"几何描述 + 表面高度查询"两个最小接口，即可获得全场景能力，包括电梯门槛缝这类异形几何。
   结语
   三级牺牲体系的本质，是把"贴边行走"这个危险状态，拆解到三个时间窗里分别处理：信息最全的时候预标，回退余地最大的时候修正，还来不及的时候止损——再用预算管控兜住整体的失控风险。
   能说清哪里不行（H20D30 无空间就标 none），比说哪里都行更重要。这套体系目前的边界很清楚：仿真验收级完整验证，真机接口层就绪，整机联动与场景参数标定需要和本体方联合进行。
   获取与部署
   ⚠ 重要说明：软件包托管于我方阿里云 ECS 静态服务节点，链接为配套文章专属访问地址。服务仅用于本次文稿配套评估试用，链接会按需维护，我方有权随时关停访问。文件禁止二次分发、转存商用；如需商用正式包与持续技术支持，请联系我方商务对接获取正式发布渠道。
   版本边界：本文所述三级牺牲通行体系（预标 / 重定位 / 兜底 / 跨步预算）为 V3.3 仿真侧能力，尚未进入公开评估包。当前评估包版本为 v3.1.2（配套《急停优先》一文发布），包含急停优先、质量门、仲裁等基础安全链路机制，不含本文的场景通行体系。V3.3 能力的配套评估包将随版本发布节奏另行提供，届时在本节更新下载地址与 MD5。
   当前可获取（v3.1.2 评估包）
   http://47.119.135.145:8080/lumina_pmd_v3.1.2_so_publish.tar.gz
    总包 MD5：eab169edc7a6d31ee636c8edc0f6c99c
    部署步骤与文件级验真方法见《急停优先：安全链路为什么必须独立于智能决策主线》一文"获取与部署"节，两包一致；
    环境要求：Ubuntu 22.04 LTS · Python 3.10 · x86_64 · 内存 8GB 起（推荐 16GB）。
   系列文章：《急停优先：安全链路为什么必须独立于智能决策主线》｜本文｜（下一篇）长稳测试落地：12 小时金标准里的两个判据互斥问题