让 Agent 获得“手、脚与反射弧”: MHS 如何重构物理世界的长程自主化基础设施

Model Hardware Standard（MHS）的真正意义，不是给大模型再增加一组"可以点按的工具"，而是尝试建立一条从自然语言意图到物理动作的可信控制链。它把异构设备转写为可发现的状态与能力，把安全边界下沉到硬件接口，并允许 Agent 将探索所得编译为确定性程序。若这一方向成立，Agent 的竞争焦点将从"会不会调用工具"，转向"能否在数小时、数天乃至更长周期内，可靠地观察、决策、执行、恢复、记忆与审计"。

Anthropic 于 2026 年 8 月 27 日发布 MHS 研究预览，并与 HHMI Janelia、Genentech、华盛顿大学、卡内基梅隆大学、QuEra、Tetsuwan Scientific 及多家硬件厂商开展受控试点。 $1$ 由于公开信息仍主要来自发起方和合作伙伴，本文把"已披露事实""可复核推论"和"工程建议"分开处理：数字只采用有明确出处的口径；架构扩展则明确作为分析框架，而不把早期演示外推成普遍可用的生产能力。

一、Agent 的"最后一公里"不在模型，[已经](#一、Agent 的“最后一公里”不在模型，已经在物理接口)在物理接口

（一）软件里的工具调用，到了实验台就变成集成债务

过去两年，Agent 在软件世界的行动能力提升很快：模型可以读取数据库、调用搜索、改代码、触发工作流，也能通过 Model Context Protocol（MCP）发现工具并按结构化参数执行。但物理世界不是一个更大的 API 集合。实验室、工厂和科研装置里的每台机器，都带着自己的通信接口、状态定义、固件版本、校准方式、时序约束和故障语义。两台都叫"移液器"的设备，可能一个通过现代 SDK 控制，另一个依赖 Windows COM；一台机械臂接受实时指令，另一台只能监听目录中的 XML 作业文件；一台读板机甚至没有公开 API，只能通过图形界面完成操作。

这类异构性制造了大量不被科研目标直接感知、却吞噬工程时间的工作：先理解厂商协议，再编写驱动；先把各设备连起来，再处理状态同步；先建立异常分支，再处理固件升级后的兼容性。Anthropic 的说明把典型集成周期描述为数周到数月，而 MHS 试图将部分工作压缩到小时或分钟。 $1$ 这个对比最值得注意的不是"快了多少倍"，而是成本结构发生变化：过去，每次实验编排都要重新支付跨设备翻译成本；标准化之后，驱动适配仍然存在，但有机会从项目费用变成可复用资产。

MHS 希望把随设备数量快速膨胀的点对点连接，收敛为"设备驱动---统一能力层---Agent"的分层结构。图示为本文重绘。

（二）进入物理世界后，错误的性质发生了变化

1、物理动作具有成本、惯性与不可逆性

在软件工具中，一次失败的查询通常可以重试，一段错误文本可以撤回，一个临时文件可以删除。物理操作则可能消耗样品、磨损器件、改变温度历史、碰撞设备、污染实验，甚至危及人员。相同的"重试"策略，在网络请求中可能是可靠性手段，在液体处理中却可能因为反复搅动而制造更多泡沫。Genentech 的试点正展示了这一差别：模型遇到由泡沫引起的液体检测错误时，一开始倾向于在同一孔位调整参数后重试，结果只会继续扰动液体；研究人员必须补充物理因果知识，告诉系统换用干净孔位并减少混合循环。 $1$

1.1 状态变化不能只用"成功/失败"表示

一次命令返回成功，并不等于实验状态仍然有效。机械臂把板移动到目标坐标，不代表板的朝向正确；移液动作完成，不代表实际转移体积符合容差；激光被重新锁定，不代表锁在正确模式。物理控制需要把"动作完成""状态符合""结果可接受"拆成不同验证层，并使用独立传感器或可观测量相互印证。

1.2 重试必须携带世界状态

软件重试经常假定请求幂等，物理动作却会改变下一次操作的初始条件。吸液失败后，枪头是否已接触样品？机械臂超时后，末端执行器位于哪里？加热中断后，样品经历了怎样的温度曲线？如果 Agent 只记得"上一步报错"，而不知道世界已经被上一步部分改变，它的恢复动作就可能比最初错误更危险。

2、长任务不是一段更长的对话

让 Agent 连续工作八小时、十六小时或跨夜运行，并不能靠无限扩展上下文窗口实现。长任务要求系统在进程崩溃、网络分区、设备离线、凭据过期、人工暂停和模型切换之后，仍能回答五个问题：现在真实世界处于什么状态；已经完成了哪些动作；哪些副作用尚未确认；下一步动作是否仍然满足前置条件；由谁、基于哪个版本的规则批准继续。

2.1 对话历史不等于执行状态

对话包含意图、解释与推理，但执行状态必须是结构化、可恢复、可比对的。例如"板已经放入读板机"必须对应设备传感器、作业编号、时间戳和验证结果，而不能只存在于模型的自然语言总结中。LangGraph 把线程级检查点与跨线程长期存储分开，Temporal 则以事件历史支持在故障后从中断处恢复；两者虽不专门控制硬件，却揭示了长程 Agent 的同一工程规律：恢复依赖持久状态与确定性边界，而不是模型"记得大概发生过什么"。 $10$ $11$

2.2 世界状态必须压过模型记忆

模型可以记住上一次实验的经验，却不能用经验覆盖当前传感器读数；可以推测设备正在降温，却不能把推测当成安全联锁已经满足。面向物理世界的记忆系统必须带有来源、时间、适用设备、固件和校准版本，并明确可信度与失效条件。否则，越"有记忆"的 Agent，反而越可能把过时经验自信地施加到新设备上。

（三）本文的判断：MHS 是控制面的候选标准，不是完整自治系统

MHS 解决的是一个关键但有限的问题：如何让设备以统一方式被发现、读取、操作和约束。它并不自动提供完整的任务调度、可靠执行、长期记忆、资源锁、权限治理、事故响应与合规体系。把 MHS 接上大模型，不会自然产生一个能安全运行数天的自主实验室；但如果缺少类似 MHS 的硬件抽象，长程 Agent 的上层编排又会被每台设备的细节拖住。

因此，更准确的定位是：MHS 有望成为 Agent 基础设施中的"物理能力与状态层"。它向下连接厂商驱动、PLC、机器人控制器和仪器软件，向上连接工具路由、工作流引擎、记忆系统与人类审批。它不是替代所有既有标准的一层，而是尝试把那些标准已经解决的通信、实时和安全能力，转化为 Agent 能理解和使用的接口。

二、MHS 到底标准化了什么

（一）不是消灭驱动，而是把驱动变成可共享契约

1、设备清单描述"它是谁、能做什么、受什么限制"

按照公开介绍，MHS 驱动不仅翻译底层协议，还提供设备特征、可测量量、可调整量与强制安全边界。用户可通过标签补充那些代码本身看不出来的信息，例如机械臂重量、样品易受何种影响、某个动作的物理含义；系统据此生成 Agent 可读的参考描述。 $1$ 这相当于把散落在纸质手册、工程师电脑和口头经验里的知识，聚合到设备接口附近。

设备清单的价值在于把"发现端口"升级为"发现能力"。普通网络发现只能告诉客户端某个服务存在；Agent 还需要知道服务对应哪台真实设备、当前是否可用、动作需要哪些前置条件、执行会产生什么副作用、失败后是否可重试。如果这些语义缺席，模型看到的只是一串函数名，仍然要靠猜测或额外提示完成路由。

2、read/write 是最小原语，状态与 procedures 才构成可用接口

MHS 用 read 与 write 一类简单原语统一硬件访问：read 可获取温度、位置、读数和运行状态，write 可设置温度、移动坐标或触发操作。 $1$ 但工程上不能把这理解为任意键值存储。CMU 案例把统一清单描述为 states 与 procedures：前者代表系统所处条件，后者代表设备可执行的操作。 $1$ 两者共同形成一个受类型、单位、范围、时序和权限约束的状态机。

一个成熟接口至少需要为每个字段声明：数据类型与单位、读写属性、新鲜度、允许范围、前置条件、后置条件、超时、幂等性、资源占用、风险级别、故障码以及补偿动作。例如 temperature=37 如果没有摄氏度、传感器位置和采样时间，就不是可安全使用的状态；move(x,y,z) 如果没有坐标系、负载、速度上限与占用区，就不是可可靠执行的动作。

3、自动发现把集成入口从"配置文件"变成"能力注册表"

MHS 让设备以标准格式在网络中被枚举，Agent 可以发现设备及其能力，而无需为每个组合编写专用翻译程序。 $1$ 这对设备经常增减的科研环境尤其重要。但自动发现本身不是安全保证：系统还必须确认发现到的是哪台设备、清单是否由可信主体签名、驱动版本是否匹配固件、设备是否经过校准，以及当前用户是否有权执行写操作。

MHS 更适合作为物理能力层，而不是包揽任务编排、长期记忆和治理。图中的上层能力属于本文的扩展架构。

（二）共享状态字典：把多台设备投影成一个可观察世界

关键不是"字典"这种数据结构，而是统一事实面。MHS 的思想源头来自 Janelia 的显微成像装置：激光、镜片和传感器的状态被放入标准化共享内存字典，使组件可以以内存速度交换状态，后来再加入模型控制。 $1$ 对 Agent 而言，这种设计降低了认知负担：它不必在七个厂商程序之间追踪同一块样品，而是面对一个统一、可查询的当前世界。

共享状态字典应被理解为"规范化状态投影"，而不是把所有设备内存粗暴合并。它需要处理同名字段、跨设备时钟、读数延迟、断线状态、并发写入和部分失败。特别是在网络分布式场景中，"单一字典"不等于"瞬时一致"。如果一台相机的 plate_present=true 已经两秒没有更新，机械臂就不应把它当成当前事实。

1、每个状态值都应携带证据元数据

一个可用于安全决策的状态条目，至少应包含值、单位、采集时间、设备身份、质量标记、序列号和有效期。例如：

python 复制代码

{
  "value": 24.8,
  "unit": "°C",
  "observed_at": "2026-09-06T03:20:14.182Z",
  "device_id": "incubator-02",
  "sequence": 883104,
  "quality": "verified",
  "valid_for_ms": 2000
}

没有这些信息的字典很适合做仪表盘，却不足以支撑自动控制。

2、写入不是修改内存，而是提交带条件的动作

write 应包含预期版本或前置状态，例如"仅当舱门关闭、设备处于空闲且温度读数新鲜时，把设定点改为 37°C"。这样可以避免 Agent 在读取之后、写入之前世界已经变化却仍继续操作。工程上可采用 compare-and-set、幂等键、租约和事务式补偿，把"我想写什么"与"系统最终允许什么"区分开。

状态值、来源、新鲜度与前置条件共同构成可执行事实；模型推测只能作为候选解释，不能覆盖设备证据。

（三）三种控制方式对应三种工程任务

1、MCP：适合发现、交互与高层决策

MCP 允许服务器向模型暴露带名称、描述和输入模式的工具，客户端可以列出并调用这些工具。 $3$ $4$ 对 MHS 而言，MCP 是让 Agent 发现设备和发起操作的自然入口。它适合"检查有哪些仪器""读取当前状态""为高层步骤选择下一台设备"这类需要上下文推理的任务。

但 MCP 规范本身并不保证物理安全。其工具规范明确要求服务器验证输入、实施访问控制和限流，并建议客户端对敏感操作确认、展示参数、设置超时和记录审计；工具注解若来自不可信服务器，也不能直接采信。 $4$ 因此，MCP 是控制请求的载体，不是安全联锁的替代品。

2、CLI：适合人类调试、验收与应急操作

命令行接口的价值不是"另一种调用方式"，而是给工程师提供可重复、可观察的最小路径。驱动联调时，人可以绕过模型直接发现设备、读取状态、执行低风险测试；事故处置时，也可以在 Agent 被停用后保留受控操作入口。一个无法脱离模型调试的硬件系统，很难通过严肃的验证与运维审查。

3、代码文件：适合低延迟、批量和确定性执行

当任务运行时间很长，或设备动作速度超过在线推理可承担的节奏，MHS 允许把多条驱动命令组合成代码文件，让设备在不要求模型逐步推理的情况下执行。 $1$ 这是整个设计最重要、也最容易被忽略的机制：Agent 不必永远处在每个控制周期里。它可以探索、观察、提出策略，再把成熟策略固化为可审查、可测试、可回滚的程序。

MCP、CLI 与代码文件不是重复入口，而是分别服务于高层推理、人类运维和确定性执行。毫秒级闭环仍应留在控制器一侧。

（四）安全标注的正确理解：自然语言负责解释，硬约束负责阻断

1、自然语言让 Agent 理解"为什么危险"

"样品易起泡""镜头接近样品时需要减速""该激光功率可能造成光漂白"等知识，很难全部表达为单一数值范围。自然语言描述能补充物理语义，帮助模型规划、诊断并向人解释风险。它也降低了领域专家参与设备建模的门槛：专家不必先写复杂代码，便可把隐性经验说出来。

2、机器可检验约束决定"是否允许执行"

安全底线不能依赖模型对句子的理解。最大转速、允许温度、禁入区域、门锁状态、急停信号、负载上限和动作速率都应以结构化约束或独立安全控制器强制执行。QuEra 明确说明，MHS 在模型之外执行设备声明的边界、联锁和急停；Universal Robots 也强调，智能层位于上方，原有安全架构始终掌握最终控制权。 $2$ $13$

因此，MHS 不是"用自然语言替代程序化检查"。更稳妥的理解是"双语合同"：自然语言描述意图、情境与因果，机器规则定义不可越过的边界。若二者冲突，系统必须以可执行安全规则和独立联锁为准，并把冲突记录为需要人工处理的事件。

三、真正的代际跃升：从模型实时操作到模型编译控制策略

（一）QuEra 的关键证据不是 99.3%，而是 Agent 退出了生产闭环

1、先把数字说准确

QuEra 在钛蓝宝石激光复锁任务上提供了目前最醒目的 MHS 量化结果。此前由激光工程、软件、算法和测试人员编写的固定脚本，大约有 58% 的成功率，每次约 150 秒。 $1$ 在开发阶段，Agent 经过数百轮无人值守迭代后，把平均表现推进到约 6 秒、96% 成功率；随后完成的盲测覆盖七类扰动、每类 100 次，共 700 次，成功 695 次，即 99.3%。不同扰动的恢复时间为 0.9--5.4 秒或约 10--14 秒，而人工恢复通常需要 5--10 分钟。 $1$ $2$

这些数字不能合并成一个简单的"58%/150 秒变成 99.3%/6 秒"：6 秒与 96%属于开发阶段，99.3%来自后续盲测，且盲测耗时随扰动不同。把实验阶段和验证阶段区分开，反而更能说明结果可信度。

2、性能提升来自从线性脚本改造成状态决策树

旧脚本逐项执行固定恢复步骤。一旦温度或压力变化让已经完成的步骤失效，就必须重新开始。Agent 通过 MHS 反复读取仪器、诱发扰动、试验恢复并记录结果，最终把线性序列重写为根据当前状态分支的决策树：轻微偏移只调整少数控制项，严重模式跳变才启用更大范围的扫描，并通过绝对波长验证避免"锁在错误模式却宣布成功"。 $1$ $2$

这揭示了 Agent 在物理闭环中的优势边界。它未必拥有比专家更强的先验物理直觉，却可以在安全包络内以远高于人工的频率探索组合、保留每次结果，并把经验压缩进条件分支。模型的价值不只是执行，而是搜索控制策略空间。

3、上线的是可检查程序，而不是持续在线的大模型

QuEra 特别强调：MHS 是 Claude 设计、编写和验证控制器的环境，最终在实验台运行的是确定性、完全可检查的独立程序，复锁时 AI 已经退出运行环；仍由 AI 在线参与的是后续调参工作流。 $2$ Agent 代码在微秒级伺服环之上监督，而不是进入最底层实时控制。 $2$

这是面向生产环境最值得复制的模式：

人类定义目标、边界和验收标准；
Agent 在隔离测试台或仿真环境中探索；
独立评估器验证正确性、速度、稳定性和失败行为；
通过审查的策略被编译为版本化程序；
运行时由确定性软件执行，Agent 只在异常或再优化阶段介入。

开发表现、盲测结果与最终运行形态应分开阅读。数据来自 Anthropic 与 QuEra 的公开说明。 $1$ $2$

（二）三档控制时钟决定谁应该留在闭环里

1、微秒到毫秒：控制器负责反射动作

伺服、PID、急停、硬件联锁和确定时延通信需要可证明的响应上限。这一层不适合依赖远程模型推理，也不应因模型服务中断而失效。它的目标是稳定、安全和可预测，而不是开放式推理。

2、秒到分钟：脚本与有界策略负责监督控制

复锁、板转移、读数确认、故障分类和参数微调常处于这一层。Agent 可以在开发或特殊异常中参与，但稳定路径应尽量固化为状态机、决策树或经验证的程序。系统需要超时、重试上限、补偿动作与安全停止。

3、小时到天：Agent 负责目标分解和实验迭代

长时段工作包括选择下一批实验、比较结果、修改参数空间、调度多台设备、请求人类批准和总结新知识。这一层需要持久化编排和长期记忆，允许模型替换、暂停与恢复。它可以容忍秒级推理延迟，却不能容忍状态丢失和未经验证的副作用。

（三）知识资产的单位从"提示词"变成"可验证策略包"

一次成功探索若只留在聊天记录中，下一次仍需重新付出推理成本。可复用的产物应是一个策略包：包含适用设备与固件、前置条件、安全边界、代码或状态机、测试用例、已知失败模式、校准数据、评估结果和回滚版本。QuEra 把激光复锁经验固化为独立脚本，Genentech 则把泡沫处理经验编码成可复用液体处理技能。 $1$ $2$ 两者都说明，长程自主系统的"程序性记忆"最终要落到可执行、可审查的工件，而不是让模型每次临场回忆。

四、六组试点共同说明了什么

（一）Genentech：Agent 可以优化参数，却仍会缺失物理直觉

1、从"会控制设备"走向"会定义评价函数"

在蛋白浓度检测流程中，Agent 连接液体处理设备和读板机，围绕移液速度、混合次数等变量自动搜索。公开结果显示，它为水找到约 140 微升/秒的速度，均方根误差为 0.016；面对黏度更高的牛血清白蛋白溶液，则把速度降至约 10 微升/秒，均方根误差为 0.181。 $1$ 重要之处不在某个速度值可以直接迁移，而在系统能够根据材料性质与测量误差形成闭环：提出参数、执行实验、读取结果、比较目标，再决定下一轮。

这类流程要求评价函数比自然语言目标更精确。"把误差降下来"至少要定义重复次数、异常值规则、允许耗材、时间预算以及对样品损伤的惩罚。若只追求单一精度指标，Agent 可能选择极慢但不可生产的方案；若只追求速度，又可能把气泡、交叉污染或设备磨损转化为以后才显现的代价。因此，参数优化必须在多目标约束下进行，且每次探索都要有预算上限。

2、失败暴露了"语义正确但物理错误"的风险

泡沫案例很有代表性：模型能识别液体检测异常，却没有自然推断出"继续在同一孔中混合会让气泡更严重"。在人类提示后，它才改用干净孔位并减少混合循环，随后把这条经验固化为技能。 $1$ 这说明大模型的语言知识并不等于实验现场的因果模型。一个回答听起来合理的动作，可能因为表面张力、热惯性、材料疲劳或空间遮挡而失败。

工程上应把这种失败转化为"反例记忆"：记录观测、动作、未满足的隐含假设、造成的副作用、人工修正与适用范围。下次系统遇到相似液体和容器时可以检索，但仍需核对设备、耗材与配方版本。经验可以缩短探索，不能越过现场验证。

（二）华盛顿大学：价值来自跨设备交接，而非单机遥控

1、一周内接入六台仪器，验证了接口复用的潜力

华盛顿大学团队在一周内接入六台仪器，并包含驱动开发；其中一项流程让 Agent 监测定量 PCR 仪，在运行结束后触发机械臂与液体处理设备协同，约十秒内开始后续动作。 $1$ 这一结果表明，当设备能力能被统一描述时，编排者可以把注意力从厂商命令移向实验条件：何时算完成、哪些结果需要读取、下一台设备何时可接收样品。

不过，"六台、一周"仍是受控试点，不应直接换算为任意实验室的固定交付周期。公开信息没有给出旧设备比例、驱动复杂度、测试覆盖率、维护工时和网络隔离要求。合理的解读是：接口层有机会显著降低连接成本，但实际周期仍取决于设备是否提供可用 API、是否需要 GUI 自动化、是否涉及受监管记录，以及供应商是否配合。

2、设备交接必须成为一等对象

跨设备流程最危险的地方往往不是单个动作，而是"交接"。上游报告完成时，下游设备可能尚未空闲；机器人拿到的板型可能与作业清单不一致；一个操作实际完成，但确认消息因网络故障丢失。系统不能用一句"PCR 完成后移动样品"掩盖这些条件。

可靠交接至少要有唯一载荷身份、所有权转移、源位置与目标位置、接受条件、超时、双侧确认和异常停放点。若板已经离开 PCR 仪却未进入液体处理设备，编排器必须把它标记为"在途且位置待核验"，而不是简单回滚数据库状态。物理世界没有真正的事务回滚，只能依靠补偿动作和人工处置把系统带回已知安全状态。

（三）卡内基梅隆大学：八小时集成展示速度，六次拦截展示边界

1、异构通信被收敛成同一任务面

CMU 的剂量---响应实验横跨三台计算机和多种控制方式，包括作业文件、Windows COM 以及图形界面。团队报告约八小时完成驱动与编排，传统集成通常需要数周；整体流程速度约提升三倍。 $1$ 这说明标准化的实际价值不是强迫所有设备改用同一种底层协议，而是允许驱动把遗留接口翻译成统一的状态与操作。

这种"北向统一、南向兼容"很适合现实设备栈。实验室不可能因采用 Agent 而更换所有仪器；工业现场更不可能抛弃已经认证的 PLC、机器人控制器和 OPC UA 网络。MHS 若要扩展，核心不是成为又一个底层总线，而是稳定承接下方多种协议，同时向上提供一致的能力语义。

2、拦截危险动作与纠正科学方案同样重要

团队主动制造六种安全违规条件，系统在机械运动之前全部阻断。 $1$ 这类测试比"正常流程跑通"更接近生产验收，因为安全系统的价值体现在拒绝了什么。试点还显示，第一条剂量---响应曲线的拟合优度低于 0.9，Agent 将最高浓度从 200 微克/毫升调整为 100 微克/毫升后重跑，第二次拟合优度超过 0.98。 $1$

两组结果分别对应"控制正确性"和"科学有效性"。前者确保动作没有越界，后者判断得到的数据是否值得相信。一个成熟系统必须同时拥有设备级验证、流程级验证和科学级验证：设备是否按命令运行，样品链是否完整，结果是否满足统计与领域标准。只通过其中一层，都不等于任务真正成功。

（四）Janelia：共享字典解决的是系统可观察性

Janelia 把七个厂商程序控制的显微成像组件汇入标准化共享状态字典。 $1$ 对复杂仪器而言，这一做法的首要收益是可观察性：每个组件当前处于什么状态，最后一次更新是什么时候，哪项动作改变了它，以及多个读数是否相互矛盾，都可以被统一查询。Agent 只是这个事实面的一个消费者，人类界面、报警系统和确定性工作流也能复用同一数据。

这种设计还能减少"隐藏自动化"。过去，某个脚本可能悄悄改变激光功率，而另一个程序只看到结果；统一状态面要求变化携带来源与事件记录。但共享字典也会成为关键依赖，需要权限隔离、写入仲裁、版本控制和故障降级。它不能成为任何组件都能任意改写的全局变量。

（五）QuEra：高价值来自稀缺设备的持续可用性

QuEra 的测试台价值约 70 万美元，模型在明确的硬件边界内完成约 12,500 次调谐评估，并报告没有发生模式跳变；在一段 19 小时运行中没有出现锁定丢失，而旧方案平均每小时约 1.6 次。 $2$ 这些结果说明，物理 Agent 的商业价值不必来自"省掉一个操作员"，也可能来自提高昂贵资产利用率、减少夜间中断、缩短专家响应时间和暴露人工难以发现的耦合变量。

同时，QuEra 的装置、扰动类型和验收方法都高度特定。把这一成绩推广到其他激光器、其他量子硬件甚至一般工业闭环，需要新的设备模型、数据与安全验证。它证明的是一种工程模式可行，而不是已经证明一个通用模型能接管任意控制对象。

（六）Tetsuwan：经验数据可以反过来校准设备规格

1、大规模执行让控制系统获得经验模型

Tetsuwan 在自动化湿实验室中完成 9,143 次分液，覆盖约 300 种转移类型、1,508 组条件和四种液体。 $1$ 在留出测试上，系统对精度的预测相较厂商规格约提高 12%；在 45 个直接比较中胜出 31 个，披露的统计显著性约为 p=0.001，在重复次数最多的条件上提升约 17%。 $1$

这表明标准接口不仅输出动作，也能积累跨批次、跨条件的"设备经验曲线"。厂商规格通常是静态范围，而真实表现与液体、体积、枪头、环境和维护状态共同相关。长期运行数据可以形成动态能力画像：在何种条件下可靠、何时需要降速、哪些组合应主动拒绝。

2、经验模型必须避免把偏差固化

历史数据并不天然中立。如果传感器校准错误、某批耗材异常或操作流程带有系统性偏差，模型可能把它们学习为"最佳实践"。因此，每条性能知识都应绑定数据来源、校准链、样本量、置信区间与适用条件，并允许新证据推翻旧结论。生产系统还需要保留厂商安全范围作为硬边界；经验模型可以在边界内优化，却不能因为过去没有出事就放宽额定限制。

六组试点覆盖参数优化、设备交接、安全阻断、统一状态、快速闭环与经验建模，但证据大多仍来自发起方及合作机构的受控环境。

试点	主要回答的问题	最强证据	尚未回答的问题
Genentech	Agent 能否通过实验反馈优化液体处理	不同液体出现不同最优速度，且形成可复用技能	迁移到更多液体、板型和生产批次后的稳定性
华盛顿大学	多台仪器能否快速接入并交接任务	六台设备、一周接入，完成 qPCR 后续触发	长期维护成本、老旧设备与监管环境适配
CMU	遗留接口能否被统一编排并安全阻断	约八小时集成，六种违规动作均在运动前被阻止	更大规模并发、复杂故障和独立安全认证
Janelia	多厂商组件能否共享统一状态	七个程序汇入标准化字典	分布式一致性、性能上限和单点故障治理
QuEra	Agent 能否发现并固化更优控制策略	700 次盲测成功 695 次，运行程序不依赖在线模型	跨设备泛化、长期漂移与第三方复现实验
Tetsuwan	大规模运行数据能否形成设备经验模型	9,143 次分液，留出预测优于静态规格	数据偏差、校准漂移与跨实验室可迁移性

五、MHS 与既有标准不是零和替代

（一）MCP：解决模型到工具的会话，不解决设备本体

MCP 是开放协议，提供客户端---服务器交互、工具发现和结构化调用机制，并已被多种 AI 客户端与开发工具支持。 $3$ MHS 可以通过 MCP 暴露硬件能力，但两者位于不同层次：MCP 规定模型怎样发现和调用工具，MHS 关注工具背后的设备如何统一描述状态、动作与安全边界。把设备函数包成 MCP 工具，并不会自动获得单位一致性、状态新鲜度、校准追踪或物理联锁。

这也修正了一个常见误解：MHS 并不等同于 Claude 专用接口。Anthropic 把它描述为模型无关的标准，可通过 MCP 等标准协议接入不同 Agent 框架。 $1$ 生态是否真正中立，还要看规范许可、治理机制、兼容性测试和其他模型厂商的实现；但从公开定位看，"支持 MCP"不能推导出"绑定单一模型"。

（二）ROS 2：擅长机器人通信和实时生态，MHS 擅长 Agent 语义入口

ROS 2 以 DDS 为核心，提供发布---订阅、服务、动作、服务质量策略、受管节点、实时设计与安全机制，是机器人系统中成熟度很高的软件生态。 $5$ 它并非简单的"面向人类开发者、缺乏 AI 支持"。开发者完全可以在 ROS 2 上构建 Agent 桥接层，机器人驱动、运动规划、坐标变换和仿真也远超早期 MHS 披露范围。

MHS 的差异更适合表述为"向 Agent 提供更小、更语义化的北向表面"：设备能力可被自动发现，安全说明可以同时包含人类可读描述与机器约束，Agent 不必直接理解大量 topic、QoS 和机器人中间件细节。实践中，合理架构往往是 ROS 2 继续承担机器人内部通信与控制，MHS 驱动在上方汇总经批准的能力，而不是让两者争夺同一层。

（三）SiLA 2：实验室互操作的成熟近邻

SiLA 2 是专门面向实验室自动化的开放标准，以 HTTP/2、Protocol Buffers 和 gRPC 为基础，把设备功能表达为 Feature，其中包含命令、属性及元数据，并提供发现、安全和认证机制。 $6$ 它与 MHS 在实验室设备抽象、能力发现和厂商互操作方面存在明显重叠，因而是评估 MHS 时不能跳过的近邻。

MHS 当前展示出的独特重心，是让模型直接参与驱动生成、设备理解和策略探索，并把自然语言知识靠近控制接口。SiLA 2 的优势则是已有较明确的规范化机制和实验室生态。未来最有价值的路径可能不是重新实现所有设备驱动，而是建立 SiLA 2---MHS 适配：下层复用成熟设备服务，上层为 Agent 提供受限、可解释的能力清单。

（四）OPC UA：工业现场的安全与信息模型不能被轻视

OPC UA 为工业自动化提供跨平台的信息建模、发现、会话、安全通信与审计能力，其安全模型覆盖身份认证、授权、完整性、机密性和审计等方面。 $7$ 在 CNC、PLC、过程控制和关键基础设施中，这套生态的成熟度、供应商覆盖和治理深度都不是研究预览阶段的 MHS 可以替代的。

MHS 若进入工业场景，更现实的位置是 OPC UA 之上的受控 Agent 门面：只把经过白名单和风险分级的节点映射为高层能力，保留现场控制器、联锁和安全区划。Agent 发出的请求需要通过策略网关翻译为现有命令，并把执行证据回写到审计系统。这样既利用模型的任务理解与异常分析能力，又不把工业控制平面的最终权力交给概率系统。

（五）LabVIEW：强在工程师编排，弱点不是"只有低层采集"

LabVIEW 通过图形化数据流编程和仪器驱动让工程师构建测量与控制系统。NI 提供的驱动包含高层虚拟仪器，并通过 VISA 等接口连接大量设备；官方资料称生态覆盖 275 家以上厂商、8,000 多种驱动。 $8$ 因此，把 LabVIEW 简化为"每台设备都从零手工写底层 VI"并不准确。

它与 MHS 的主要差别在交互对象和复用方式：LabVIEW 以工程师构建确定性程序为中心，MHS 尝试让 Agent 发现能力、生成驱动、探索策略并形成程序。二者可以组合：已有 LabVIEW 流程继续承担已验证采集与控制，MHS 只暴露参数化、高层、可审计的入口。迁移的目标应是减少重复编排，不是为了"AI 原生"而丢弃已验证资产。

（六）Opentrons API：领域专用性既是限制，也是优势

Opentrons Python API 面向 Flex、OT-2 及其模块，以接近实验步骤的代码描述吸液、分液、混合和温控等操作。 $9$ 它的设备范围不如 MHS 宽，但领域专用接口能表达实验室用户熟悉的概念，并已经围绕液体处理形成工具、验证和社区知识。

通用标准并不天然优于领域 API。Agent 需要的不是最少的函数，而是最可靠的语义。一个 write 若抹掉枪头、孔板和污染控制等领域概念，反而会增加错误。MHS 更适合将 Opentrons 一类领域系统注册为高层能力，并保留其内部语义，而不是强行把所有动作压扁成无类型的读写键。

同类技术的优势分布在不同层。图中建议把 MHS 放在现有设备协议和 Agent 编排之间，以适配、包装和策略治理为主。

体系	主要抽象	已有强项	与 Agent 结合时的合理位置	不宜被忽略的局限
MHS	可发现设备、状态、动作与安全边界	Agent 语义入口、驱动生成、统一事实面	物理能力层	研究预览，公开规范、治理与独立验证仍有限
MCP	模型与工具的会话和调用	工具发现、输入模式、广泛客户端支持	Agent 接口层	不定义硬件实时性、校准与联锁
ROS 2	节点、主题、服务、动作	机器人生态、QoS、实时与仿真	机器人内部与设备中间件	Agent 仍需语义包装和权限收敛
SiLA 2	实验室设备 Feature	实验室互操作、命令与属性模型	实验设备服务层	模型策略探索不是其核心目标
OPC UA	工业信息模型与安全通信	工业治理、发现、安全与供应商生态	工业现场控制与信息层	直接暴露全部节点会给 Agent 带来过大攻击面
LabVIEW	图形化数据流与虚拟仪器	测量控制、丰富驱动、工程验证	已验证流程与采集层	自动发现与 Agent 可读语义需要额外封装
Opentrons API	液体处理实验协议	领域语义清晰、上手快	液体处理执行引擎	设备范围集中于自家平台和相关模块

六、完整的长程自主化栈：MHS 之上还缺什么

（一）五个平面必须分工，而不是堆在一个 Agent 进程里

1、物理与驱动平面：提供真实、受限的动作

最底层包含传感器、执行器、仪器控制器、PLC、机器人控制栈及厂商软件。MHS 驱动在这一层边缘完成协议翻译、身份绑定、单位归一和安全边界声明。它必须能在模型服务完全不可用时保持联锁、急停和基本稳定控制；对外只暴露任务真正需要的能力，不把调试寄存器和危险维护命令全部开放。

驱动的质量决定整个系统的事实基础。应对每个驱动进行契约测试：给定合法输入是否产生预期动作，越界输入是否在运动前阻断，断线时状态是否变为未知，固件升级后兼容性是否重新验证。未经测试的自动生成驱动只能进入仿真或只读模式，不能因为代码能编译就直接接触设备。

2、能力注册与工具路由平面：决定"此刻该用哪一个能力"

自动发现只解决"有哪些设备"，工具路由还要回答"哪台设备适合这个任务"。选择依据包括能力匹配、校准状态、当前负载、位置、耗材、权限、风险、预计完成时间和数据驻留要求。两个光谱仪都能测吸光度，但其中一个刚完成校准，另一个正在维护；路由结果不能只由名称相似度决定。

注册表还需区分物理设备、逻辑能力和具体会话。一台读板机可以提供多个测量模式，同一能力可能由多台设备实现，而一次作业又会临时锁定其中一台。把三者混成一个工具 ID，会造成资源争用和错误重试。更稳妥的做法是先按能力计划，再由调度器在执行时解析到符合条件的实例，并写入不可变作业记录。

3、持久编排平面：保证长任务能恢复

长程流程应由持久工作流引擎管理，而不是依赖一个常驻模型会话。每个步骤都要有开始、接受、完成、失败、超时和人工暂停等状态；每次外部副作用都带幂等键；每个等待条件都可在进程重启后继续。Temporal 所代表的耐久执行思想，是把事件历史作为恢复依据，使应用在崩溃或网络故障后从已确认节点继续。 $11$

对硬件任务而言，工作流引擎不能仅重放软件命令。恢复前必须先重新读取世界状态：如果上次"关门"请求超时，但门传感器现在显示已关闭，就不应再次驱动电机；如果动作结果未知且重复执行有风险，应进入人工核验。恢复逻辑需要明确区分"未发出""已发出未确认""物理完成未记账"和"已验证完成"。

4、记忆与知识平面：把经验变成有版本的证据

Agent 需要回忆实验方案、设备特性、历史异常和已验证策略，但记忆不是一个无限增长的向量库。它应按用途拆分、带出处和生命周期，并与当前设备状态隔离。LangGraph 将线程检查点与跨线程存储区分，并把长期记忆进一步划分为语义、情景和程序性知识，这一分法很适合作为起点。 $10$ $12$

物理系统还需要两类额外记忆：一是不可变的操作与审计事件，回答谁在何时请求、批准和执行了什么；二是策略与合规知识，定义哪些动作需要何种资质和审批。前者用于事故复盘，后者用于实时授权，两者都不应被模型总结覆盖。

5、策略治理与人类协作平面：决定"谁有权让世界改变"

最高层管理身份、角色、风险级别、审批、预算、变更控制和事故响应。人类介入不能只是界面上的"确认"按钮，而要显示动作对象、参数、预计影响、证据新鲜度、不可逆性和回滚方案。高风险请求应由具备相应职责的人批准，审批令牌绑定具体参数和有效期，防止在参数变化后继续复用旧批准。

这一层也负责定义自治边界：哪些动作可自动执行，哪些只能在影子模式中建议，哪些需要双人复核，哪些无论谁批准都禁止。自治程度应随证据增长逐步提高，而不是一次性把"手动"切成"全自动"。

MHS 主要位于物理与能力平面；持久编排、记忆、策略治理共同补足跨小时、跨故障和跨人员的连续性。

（二）六类记忆各自回答不同问题

1、运行事实：世界此刻怎样

运行事实来自传感器、控制器和设备状态，强调低延迟、来源明确和有效期短。它回答温度、位置、占用、门锁、作业阶段等问题，是下一步动作的首要依据。过期事实必须显式变为 stale 或 unknown，不能静默沿用最后一个值。

2、流程检查点：任务走到了哪里

检查点记录工作流变量、已确认副作用、等待条件和可恢复位置。它的目标不是教 Agent 新知识，而是确保一次运行不会因进程故障丢失进度。检查点更新要与外部动作采用可验证的提交协议，避免"设备已动、系统未记"或"系统记了、设备未动"。

3、情景记忆：以前发生过什么

情景记忆保存带时间线的具体事件，例如某批次样品出现泡沫、某型号机械臂在特定负载下触发过振动报警。它适合支持诊断和相似案例检索，但不能直接成为控制指令。检索结果必须展示差异：设备序列号、耗材、环境、固件和操作者是否相同。

4、语义记忆：我们相信哪些稳定知识

语义记忆包含单位换算、样品性质、设备说明、实验室约定和经过审核的因果知识。它应有所有者、评审日期和证据链接，并允许知识相互冲突时并列存在。模型生成的总结在专家批准前只能处于候选状态。

5、程序性记忆：已经验证怎样做

程序性记忆是脚本、状态机、技能和测试套件。它比自然语言回忆更接近生产资产：可版本化、可静态分析、可在沙箱重放，也可绑定设备范围。QuEra 的独立复锁程序与 Genentech 的液体处理技能，都属于这一层。 $1$ $2$

6、策略与审计记忆：为什么允许这样做

策略记忆保存权限规则、安全包络和审批模板；审计记忆保存不可变事件。前者可能随着法规、组织和风险判断而变化，后者则应防篡改、可追溯。二者共同回答：当时依据哪条规则、谁批准、系统看到什么证据、为什么执行或拒绝。

记忆类型	典型时效	主要写入者	允许覆盖现场状态吗	典型失效条件
运行事实	毫秒至分钟	设备与传感器	是，它本身就是现场证据	超过有效期、设备断线、质量标记异常
流程检查点	分钟至数天	工作流引擎	否，恢复时仍要重新观测	流程版本不兼容、外部副作用未知
情景记忆	数天至数年	事件管道与复盘人员	否	环境、设备或耗材差异超出适用范围
语义记忆	数周至数年	专家与知识治理流程	否	新证据推翻、评审过期、规范更新
程序性记忆	版本周期	工程师与 Agent，经验证发布	仅通过受控动作影响现场	固件、驱动、校准或安全规则变化
策略与审计记忆	长期	策略服务与不可变日志	策略决定权限，审计不参与控制	策略撤销、证书过期；审计记录原则上不失效

（三）工具路由要从"语义匹配"升级为"受约束调度"

1、候选生成可以用模型，最终授权必须确定

模型擅长把"测量这批样品的吸光度"映射到可能的能力，但最终选择必须经过确定性过滤：设备是否在线、校准是否有效、用户是否有权、资源是否空闲、输入类型是否兼容、安全前置条件是否满足。模型给出的相似度分数只能排序候选，不能越过硬条件。

2、能力清单本身也是攻击面

自动发现的设备描述会进入模型上下文。如果恶意或受损设备在描述中加入指令，可能形成工具侧提示注入；如果设备冒用可信名称，也可能诱导路由器把敏感样品送往错误位置。MCP 规范提醒客户端，不应信任来自未知服务器的工具注解。 $4$ 物理系统应进一步要求设备身份、清单签名、驱动哈希、网络分区与允许列表，并把自由文本描述视为不可信数据。

3、资源锁与调度要理解空间冲突

普通云任务争用 CPU 或数据库连接，物理任务还会争用空间、耗材、通道和环境条件。两台机械臂可能不操作同一对象，却在同一安全区域内碰撞；一台离心机空闲，但转子配置与样品不兼容。调度器需要资源图和空间占用模型，写操作先获取带租约的锁，并在租约失效时进入安全停止，而不是任由另一个 Agent 接管。

七、安全工程：从一句警告到可验证的防护链

（一）安全必须是双通道合同

1、语义通道负责理解与解释

自然语言适合表达场景知识："高黏度样品应降低吸液速度""这个视野已包含不可替代样本""靠近光学平台时避免快速加速度"。这些说明帮助 Agent 做计划，也帮助人理解拒绝原因。但语言会歧义、遗漏，并可能受到上下文攻击，不能单独担任保护机制。

2、执行通道负责验证与阻断

机器规则应将关键边界表达为类型、范围、前置条件、不变量、速率限制和互锁信号。设备驱动在任何 write 到达硬件之前验证；更高风险动作还要通过独立策略服务和设备控制器。若语义说明说"可以"，结构化规则说"不可以"，结果只能是拒绝。若规则无法判断，系统应进入安全等待而不是让模型补猜。

3、两条通道必须可追溯到同一风险分析

自然语言说明与机器规则若由不同团队维护，很容易漂移。例如说明已把最大转速降到 2,500 RPM，而驱动仍允许 3,000 RPM。每条高风险描述都应关联一个可执行约束 ID、责任人和测试用例；发布时同时检查说明、规则和设备固件的兼容性。

（二）事实优先级必须写进系统，而不是留给模型判断

物理 Agent 可以采用如下证据优先级：独立联锁与安全传感器最高，其次是经过身份验证且新鲜的设备状态，再次是本次运行中已确认的事件与校准数据，然后才是历史经验、文档和模型推测。低层证据可以触发对高层知识的复核，却不能被高层推测覆盖。

当证据冲突时，应进入"保守一致性"状态。例如视觉模型认为舱门已关，但安全开关报告打开，系统必须阻止运动；工作流日志显示板已放入，但位置传感器没有确认，系统应标记结果未知并请求核验。不要让模型以多数投票方式消解安全冲突，因为多个低可信信号并不会自动胜过一个经认证的联锁。

（三）风险分级决定 Agent 能走多远

1、只读与模拟：建立可观察性

最低风险阶段只允许发现设备、读取状态、生成建议和在数字孪生中试运行。系统记录模型会选择什么动作，但不把写入送到设备。这个阶段可以发现单位误解、工具误选和状态遗漏，并建立人工操作基线。

2、低风险可逆动作：允许自动执行

对已验证、可停止、影响局部且有明确后置确认的动作，可在严格白名单内自动执行，例如读取测量值、移动到安全观察位或调整仿真参数。每个动作仍要有速率限制、幂等键、资源锁和自动核验。

3、中风险动作：需要情境化审批

会消耗样品、改变设备配置或影响后续实验的动作，应展示计划、关键参数、证据和补偿方案，由责任人批准。批准只对指定设备、批次、参数范围和时间窗口有效。任何重要变化都使批准失效。

4、高风险与不可逆动作：保持独立控制或人工在场

涉及人员安全、昂贵不可替代样品、危险能量、法规关键记录或不可逆设备状态的操作，不应因模型表现良好就取消独立联锁与人工职责。NIST 针对运行技术的安全指南强调，这类系统具有独特的性能、可靠性和安全要求；ISA/IEC 62443 的区域与通道思想则支持按风险把资产、通信和权限分段。 $14$ $15$

请求只有依次通过身份、输入、前置状态、风险授权与设备联锁，才会进入执行；任何不确定性都应导向拒绝、等待或人工核验。

（四）九类失败模式应在试点前写进测试计划

失败模式	典型后果	必须具备的防护
状态陈旧	基于两秒前的位置继续运动	有效期、序列号、断线即未知、执行前重读
部分副作用	动作完成但确认丢失，重试造成重复操作	幂等键、独立传感器验证、结果未知分支
单位或坐标错误	摄氏与华氏、毫米与米、坐标系混淆	强类型、单位转换、坐标系 ID、边界测试
固件或驱动漂移	已验证能力的行为变化	版本绑定、签名、兼容性矩阵、变更后再认证
资源争用	多 Agent 同时占用设备或空间	租约、资源图、空间互斥和优先级仲裁
恶意设备描述	工具提示注入或冒名设备被选中	身份认证、清单签名、自由文本隔离、允许列表
模型服务中断	长流程失去下一步决策	持久工作流、安全停机、确定性降级路径
错误成功判定	锁在错误模式、样品在错误位置	独立后置验证、多模态交叉检查、科学验收
人工接管失败	自动与人工同时发命令	明确控制权令牌、模式指示、接管确认与演练

安全测试必须覆盖拒绝行为，而不只覆盖成功路径。至少包括边界值、传感器矛盾、网络分区、重复消息、延迟消息、设备重启、模型超时、权限撤销、急停、人工接管和恢复后的状态核验。每个场景都要定义"设备最终停在哪里""样品如何标记""谁收到告警"和"哪些日志可用于复盘"。

八、生态与商业判断：标准能否越过研究预览

（一）合作伙伴名单说明方向，不能替代生态成熟度

公开介绍列出 Raspberry Pi、Hugging Face LeRobot、Universal Robots，以及 Automata、Danaher、Doosan、MBF、QIAGEN、Tecan 等合作或支持方。 $1$ Universal Robots 的试点强调，MHS 位于既有安全架构之上，稳定运行阶段仍采用确定性程序。 $13$ 这些信号说明硬件厂商和机器人生态愿意探索统一 Agent 接口，但"参与预览"不等于已经提供长期支持的产品、认证驱动或互操作承诺。

判断一个标准是否形成生态，应观察更硬的指标：规范是否公开且有版本策略；参考实现是否以可审查许可发布；是否存在供应商中立治理；不同团队实现能否通过一致性测试；驱动是否有签名、维护者、生命周期与安全通告；故障语义和兼容性是否跨厂商一致。截至此次分析时，MHS 仍是有限研究预览，尚未公开完整规范与开源实现。 $1$

（二）商业价值来自四个乘数，而不只是节省集成工时

第一是集成复用：同一驱动和能力描述可被多个 Agent 与工作流使用。第二是设备利用率：快速恢复、跨夜运行和主动维护减少昂贵设备闲置。第三是知识复利：探索结果被固化为策略包，下一批实验不再从零开始。第四是组织吞吐：领域专家把时间用于定义目标、判断异常与设计新实验，而不是反复连接接口。

但这些收益要扣除新的成本：驱动认证、网络分区、传感器冗余、审计存储、模型与仿真费用、持续评估、合规审查以及事故责任保险。最好的首批项目往往不是"设备最多"的流程，而是重复频率高、成功标准明确、当前停机代价大、动作可隔离且有丰富反馈信号的瓶颈环节。

（三）最可能形成护城河的是验证数据，而不是 read/write 语法

基础接口容易模仿，难复制的是经过真实运行积累的设备能力曲线、失败反例、跨版本测试和安全证据。一家平台如果知道某型号移液器在不同液体、体积、枪头和环境下的实际误差，并能说明数据来自哪些校准批次，就能做出比静态规格更好的调度与参数选择。Tetsuwan 的结果正指向这种数据资产。 $1$

因此，生态竞争可能围绕四类资产展开：可信驱动目录、设备语义与本体、可复现策略包、跨机构评估基准。开放规范可以扩大总市场，但驱动维护质量、数据治理和认证服务仍会成为差异化来源。

（四）采用前必须回答七个开放问题

规范由谁治理，版本变更如何兼容，厂商是否拥有平等话语权？
驱动和设备清单怎样签名、撤销与发布安全更新？
状态字典在跨计算机环境中的一致性、时钟和断线语义是什么？
自然语言说明怎样映射到可执行约束，二者漂移如何自动检测？
哪些测试足以让自动生成驱动从模拟进入真实设备？
事故发生时，模型提供商、驱动维护者、设备厂商与运营方怎样分责？
是否有独立第三方复现试点数字，并覆盖长期漂移、恶意输入和极端故障？

在这些问题得到稳定答案之前，企业应把 MHS 视作值得投入试点的接口方向，而不是已经成熟的生产安全标准。

九、90 天落地路线：用证据逐步购买自治权

（一）第 0---15 天：选对问题并建立基线

1、挑选一个闭环清晰的瓶颈

首个场景应同时满足：任务重复、输入输出可测、设备数量有限、动作风险可隔离、当前人工成本或停机损失明确。适合的例子包括仪器运行后自动读取并分流、低风险参数校准、夜间状态监测与建议、在测试台上的故障恢复。不要从跨整栋楼的全自动实验或带人员协作的开放空间机器人开始。

2、把人工流程变成可测基线

记录至少二十到五十次人工运行，测量端到端周期、人工触点、等待时间、一次成功率、样品损耗、设备停机、异常类型和恢复时长。没有基线，就无法区分模型带来的改善与流程本身的波动。QuEra 的 58% 成功率和 150 秒旧脚本基线之所以有价值，正因为新方案有明确参照。 $1$ $2$

3、完成风险与资产清单

列出每台设备的身份、接口、固件、校准、网络位置、危险能量、急停、负责人和数据敏感度；画出人员、样品与设备的接触边界。每个候选动作标记可逆性、最大损失、所需角色和验证传感器。若一个动作没有独立的完成证据，首期就不应自动化。

（二）第 16---35 天：只读接入与数字影子

1、先构建可信观察面

为设备建立只读驱动，统一单位、时间戳、质量标记与断线语义；设备清单采用签名和允许列表。把关键状态汇入统一视图，但保留来源和原始事件，不用一个聚合值遮蔽冲突。对无法获得传感器证据的环节明确标为不可观测。

2、让 Agent 在影子模式下做决定

Agent 可以看到状态、选择工具并生成动作计划，但系统只记录建议，不执行写入。将建议与人类实际操作对比，统计工具选择准确率、参数错误、遗漏前置条件、虚构设备、过期状态使用和风险升级是否正确。每个差异都进入反例库，并转化为清单字段、规则或测试，而不是只修改提示词。

3、定义进入写入阶段的门槛

建议连续运行达到预设样本量，并满足：设备识别零混淆；单位和坐标错误为零；所有高风险建议都被正确升级；状态过期能被识别；建议可由领域专家解释和复现。门槛应由组织的风险容忍度决定，不能照搬单一数字。

（三）第 36---60 天：有界写入与确定性工作流

1、只开放最小动作白名单

从可逆、局部、低能量动作开始。每个工具定义强类型输入、范围、前置条件、后置验证、超时、幂等性、资源锁和补偿动作。写入先经过策略网关，再经过驱动检查，最终仍由设备联锁决定是否执行。未知状态一律不等于安全状态。

2、把稳定路径固化成程序

模型负责生成或改进候选工作流，工程师和测试系统审查后，把它发布为版本化状态机或代码文件。生产执行使用固定版本，保留哈希、配置、测试报告和回滚包。模型只处理计划变化、异常分类和新策略探索；不要为展示"智能"而让它逐步点击已经确定的动作。

3、演练故障而不是等待故障

主动注入网络延迟、设备离线、重复确认、传感器矛盾、权限撤销和模型不可用，验证系统是否停在安全位置、能否恢复、是否保留完整证据。CMU 预设六类违规条件并确认全部在机械运动前被阻断，是比普通演示更值得借鉴的验收思路。 $1$

（四）第 61---90 天：选择性闭环与运行评审

1、只在安全包络内开放学习

参数探索应有明确上下界、试验预算、早停条件、独立评价函数和异常检测。探索环境与生产环境隔离；若必须使用真实设备，选择可替代样品和受控测试台。每次试验自动记录输入、状态、软件版本、结果和评价，不允许模型删改失败记录。

2、把经验发布成策略包

通过评估的策略应包含代码、适用范围、设备版本、安全规则、测试数据、失败案例和回滚方式。发布流程像软件发布：代码评审、仿真、硬件在环测试、小流量试运行、逐步放量。任何固件、驱动、传感器或关键规则变化，都触发重新验证。

3、召开面向风险的生产评审

评审不只看平均效率，还要看最差情况：有没有未检测的错误成功、有没有人工无法及时接管的场景、恢复后是否出现重复副作用、谁能暂停系统、审计是否足以还原事件。只有当风险证据达到门槛，才扩大设备、动作或无人值守时段；否则退回影子模式继续收集证据。

自治权随验证证据逐级扩大。每一阶段都设置回退路径，生产发布的是有版本的确定性策略，而不是一次不可逆的自动化切换。

（五）用一组平衡指标判断是否值得扩展

指标组	建议指标	为什么重要
科学与业务结果	一次成功率、结果精度、有效样本数、端到端周期	防止只优化动作速度却牺牲结果质量
安全	越界请求阻断率、错误成功率、急停与接管成功率	衡量系统能否拒绝和正确停下
可靠性	每百次动作故障、结果未知率、恢复时长、重复副作用	衡量长任务在故障中的连续性
集成与维护	首次驱动工时、复用率、升级后再验证工时	检验标准是否真正降低生命周期成本
人机协作	人工触点、审批等待、告警有效率、解释可用性	避免自动化把工作变成告警与确认负担
经济性	每个有效结果成本、设备利用率、耗材损失、停机损失	识别真实回报而非演示效果

平均值不能遮蔽尾部风险。一个系统即使把平均周期缩短 50%，只要偶尔错误处理不可替代样品，就可能不值得上线。因此，成功标准应同时包含效率下限与安全上限，并按风险使用分位数、最坏案例和零容忍事件。

十、给技术决策者的结论

（一）值得下注的是接口范式，而不是某个早期实现

MHS 把一个长期存在却分散处理的问题提到台前：Agent 要进入物理世界，必须有统一的能力描述、可验证状态、确定性执行出口和不可越过的设备边界。自动发现、共享状态与模型辅助驱动生成，有机会显著降低实验室与机器人系统的集成摩擦。公开试点已经展示了从数小时接入、跨设备编排到控制策略搜索的潜力。 $1$

但 MHS 尚处研究预览阶段，证据主要来自发起方和合作机构，完整规范、治理、兼容性、安全认证及独立复现仍待建立。企业不应把"开放"理解成已经形成中立标准，也不应把单个测试台的优秀数字外推到自身设备栈。

（二）真正的架构原则是"模型发现，程序执行，联锁裁决"

模型适合处理含糊目标、解释异常、搜索策略和生成候选代码；持久工作流适合记录进度、等待事件和从故障恢复；确定性程序适合执行成熟路径；控制器与联锁负责最终安全。把这些职责分开，既利用模型的开放式推理，也保留物理系统需要的可预测性。

这一原则还意味着，最好的 Agent 并不总是"在线最久"的 Agent。若它能把一次探索沉淀为经过测试的策略包，随后退出稳定运行环，系统反而更自治：不依赖持续推理，不因模型升级改变行为，也更容易审计、复现和认证。

（三）长程自主化的终点不是无人，而是可托付

可托付的系统知道自己能做什么，也知道哪些状态未知；能在失败后恢复，却不会盲目重试；能从经验中学习，却不会让历史记忆覆盖当前传感器；能让人批准高风险动作，也能在批准错误时依靠硬件边界拒绝。它把每次成功变成可验证资产，把每次失败变成可检索反例，并让责任始终可追溯。

从这个视角看，MHS 不是给模型安装一双机械手那么简单。它更像在搭建神经系统的末梢：设备驱动提供触觉，统一状态形成身体感觉，工具路由选择动作，持久编排维持时间连续性，记忆沉淀经验，而安全联锁构成不受想象支配的反射弧。只有这些部分共同工作，Agent 才能从"偶尔完成一次演示"，走向在真实世界中长期、稳定、受控地创造结果。

可参考文章与规范

（一）MHS 与公开试点

$1$ Anthropic：The Model Hardware Standard --- Research Preview，2026 年 8 月 27 日。MHS 机制、六组科研试点与合作生态的主要公开说明。
$2$ QuEra：Holding the Light---Teaching an AI to Lock and Tune Our Quantum Computer's Lasers，2026 年。激光复锁的开发过程、盲测口径、运行架构与硬件安全边界。
$13$ Universal Robots：Testing Agentic Physical AI with Universal Robots Cobots，2026 年 8 月 28 日。协作机器人试点及"智能层位于既有安全架构之上"的厂商说明。

（二）Agent 接口与持久化

$3$ Model Context Protocol：Introduction。MCP 的开放协议定位、客户端与服务器概念。
$4$ Model Context Protocol：Tools Specification。工具发现、调用、输入验证、权限与人类确认等安全要求。
$10$ LangGraph：Persistence。线程检查点、跨线程存储、恢复与容错机制。
$11$ Temporal：Durable Execution Documentation。基于事件历史的耐久工作流与故障恢复。
$12$ LangGraph：Memory。语义、情景与程序性记忆的划分。

（三）机器人、实验室与工业标准

$5$ ROS 2 Design。DDS、QoS、实时、安全与受管节点等设计资料。
$6$ SiLA 2 Standards。实验室设备 Feature、命令、属性、发现与通信机制。
$7$ OPC Foundation：OPC UA Overview；OPC UA Specification Part 2：Security Model。工业信息建模、互操作，以及身份、授权、完整性、机密性和审计模型。
$8$ NI：Using Instrument Drivers。LabVIEW 仪器驱动、VISA 与高层虚拟仪器说明。
$9$ Opentrons Python Protocol API。Flex、OT-2 和模块的实验协议编程接口。

（四）运行技术安全

$14$ NIST SP 800-82 Rev. 3：Guide to Operational Technology Security。运行技术系统在性能、可靠性与安全方面的特殊要求。
$15$ ISA/IEC 62443-3-2 Preview：Security Risk Assessment for System Design。工业自动化系统的区域、通道、风险评估与目标安全等级。