具身智能系统概论——系统安全与可靠性

第9章：系统安全与可靠性

9.1 功能安全 (Functional Safety)：ISO 26262 在机器人中的借鉴

具身智能体与 ChatGPT 最大的区别在于：ChatGPT 说错话可能只是让你生气，而机器人做错动作（比如挥舞着 10kg 的机械臂失控）可能会杀人。

因此，我们不能仅依赖 AI 算法的准确率（99.9% 是不够的），必须引入功能安全 (Functional Safety) 体系。虽然 ISO 26262 是汽车行业的"圣经"，但其核心思想完全适用于具身智能。

1. 核心概念：ASIL 等级与危害分析

在设计之初，必须进行 HARA (Hazard Analysis and Risk Assessment，危害分析与风险评估)。

• 风险 = 严重度 (S) × 暴露率 (E) × 可控性 (C)

  • 严重度 (Severity)： 如果失控，会砸死人吗？（S3：致命）
  • 暴露率 (Exposure)： 这种情况常见吗？（E4：经常发生）
  • 可控性 (Controllability)： 真的发生了，人能躲开吗？（C3：很难躲开）

• ASIL (Automotive Safety Integrity Level) 等级迁移：

  • QM (Quality Management)： 不涉及安全。比如机器人的语音聊天功能挂了。
  • ASIL-B： 涉及轻微伤害。比如扫地机撞到了脚后跟。
  • ASIL-D (最高级)： 涉及生命危险。比如人形机器人手里拿着刀突然失控。动力域（关节控制）和感知域（急停雷达）必须达到 ASIL-D 级别。

2. 冗余架构 (Redundancy)：多一只眼，多一条路

要达到 ASIL-D，靠单一器件是不可能的。必须采用冗余设计。

• 感知冗余：异构互补

  • 原则： 不要用两颗一样的摄像头做冗余（如果逆光，两个都瞎）。
  • 方案： 摄像头 (RGB) + 毫米波雷达/超声波。
  • 逻辑： 如果摄像头说"前方没东西"，但雷达说"前方 20cm 有障碍"，系统必须采信最保守的那个（立刻刹车）。这叫"高置信度否定低置信度"。

• 计算冗余：锁步核 (Lockstep Cores)

  • 在 MCU 选型（如 Infineon Aurix）时，使用双核锁步技术。
  • 原理： 两个 CPU 核执行完全相同的指令。硬件实时比对两个核的计算结果。如果结果不一致（比如其中一个被宇宙射线翻转了比特位），立即触发硬件复位或急停，防止错误指令发给电机。

• 通信冗余：双链路

  • 方案： 关键的急停信号（E-Stop）不走普通的以太网，而是走独立的硬件硬连线 或者双路 CAN 总线。
  • 无线场景： 如果主链路是 Wi-Fi，备用链路必须是抗干扰更强的（如 900MHz 专网或 Lora），确保在 Wi-Fi 断连时能把"停下！"的指令发过去。

3. 安全状态 (Safe State)：失败也要优雅

功能安全的目标不是"永不故障"，而是**"故障导向安全" (Fail-Safe)**。当系统检测到不可挽回的错误时，必须进入预定义的安全状态。

• STO (Safe Torque Off，安全转矩关断)：

  • 最基础的安全功能。切断电机驱动器的功率管（IGBT/MOSFET）电源。电机瞬间失去动力，变成自由转动状态（惯性滑行）。

• SS1 (Safe Stop 1)：

  • 相比 STO 更高级。先控制电机主动减速（利用反电动势刹车），停稳后再切断电源。防止重力导致机械臂突然掉落砸人。

• SBC (Safe Brake Control，安全抱闸)：

  • 对于人形机器人的膝盖关节，断电意味着跪下摔倒。SBC 会在断电瞬间，触发机械抱闸（摩擦片锁死），让机器人像雕塑一样僵在原地，保持直立不倒。

4. 分层监控架构 (E-Gas 架构借鉴)

借鉴汽车电子的 三层监控架构：

• Level 1 (功能层)： 正常的 AI 算法（VLA 大模型、运动规划）。它负责让机器人动起来。
• Level 2 (功能监控层)： 负责盯着 Level 1。
  • 逻辑： 检查 L1 输出的力矩指令是否合理？（比如：突然要求电机输出 1000Nm，超过了物理极限）。如果发现异常，拦截指令。
• Level 3 (控制器监控层)： 独立于主芯片的看门狗 (Watchdog) 。
  • 逻辑： 这是一个简单的定时器。主芯片必须每 10ms 给它喂一次"狗"（发送心跳）。如果主芯片死机了没喂狗，Level 3 芯片会直接切断整个系统的电源。

---

小结：

功能安全是具身智能从"玩具"变成"工具"的入场券。

• AI 赋予了机器人上限（能干多少活）。
• 功能安全守住了机器人的下限 （不闯多少祸）。
  在设计中，我们必须假设 AI 一定会犯错，传感器一定会失效，网线一定会断，并在这些假设之上，构建出一套依然能保护人类安全的底线系统。

9.2 故障降级策略 (Fail-safe)：通信中断时的应急反射

在复杂的具身智能系统中，故障是必然会发生的统计学事件。当 Wi-Fi 信号突然消失，或者主控 PC 蓝屏死机时，机器人不能像僵尸一样继续执行上一秒的指令（那会撞墙），也不能直接断电瘫软（那会摔坏）。

它需要一套本地的、硬连线的、无需大脑参与的 应急反射机制，我们称之为 Fail-safe 策略。

1. 心跳丢失 (Heartbeat Loss)：判决死亡的倒计时

这是触发降级的第一信号。

• 机制： 机器人的底层控制器 (MCU) 就像一个尽职的保安，它要求上层大脑 (AI PC/云端) 每隔固定时间（如 10ms）发送一个心跳包。
• 超时阈值：
  • 50ms (轻微丢包)： 此时不触发急停，但底层控制器会维持上一帧指令或进行线性预测插值，保持动作平滑。
  • 200ms (严重断连)： 判定为通信中断。立即接管控制权，触发 Level 1 降级。
  • 500ms (系统崩溃)： 触发 Level 2 终极急停。

2. Level 1 降级：软着陆 (Soft Stop)

适用于"大脑短暂失联"或"非致命故障"。目标是平稳地让机器人停下来，不损坏自身，也不惊吓用户。

• 姿态锁定 (Posture Lock / Zero Velocity)：

  • 场景： 机械臂正在搬运水杯，网络断了。
  • 策略： MCU 立即接管，将所有关节的目标速度设为 0，目标位置设为当前位置。
  • 效果： 机器人像中了"定身术"一样瞬间凝固在空中。位置环 PID 依然工作，全力对抗重力，确保水杯不掉。

• 重力补偿下放 (Gravity Compensation Landing)：

  • 场景： 机械臂举着重物，但这很费电，且电机过热风险高。
  • 策略： 如果锁定超过 5 秒网络还没恢复，MCU 切换策略。计算重力方向，以极其缓慢的速度（如 1cm/s）控制机械臂向下运动，直到力矩传感器检测到触地（物体已安全放下）。

• 就地驻车 (Park in Place)：

  • 场景： 移动底盘在斜坡上断连。
  • 策略： 轮毂电机主动产生反向力矩维持静止，并自动锁死机械刹车（电子手刹），防止溜坡。

3. Level 2 降级：硬急停 (Hard E-Stop)

适用于"底层传感器失效"、"电机失控"或"即将撞人"的危急时刻。目标是不惜一切代价切断动力。

• STO (Safe Torque Off) 物理切断：

  • 这是硬件级的。急停电路直接连接到电机驱动器的 Gate Driver 电源。一旦触发，功率管的栅极电压被拉低，电机线圈瞬间断路。
  • 后果： 机器人瞬间失去所有动力。

• 动态制动 (Dynamic Braking)：

  • 在 STO 触发的同时，硬件电路将电机三相线圈短接。
  • 原理： 利用电磁感应，旋转的电机会变成发电机，产生巨大的反向电流和制动力矩。
  • 效果： 就像给高速旋转的车轮插了一根棍子，让电机在几毫秒内由动转静。

4. 特殊形态的降级：双足机器人的"跪下"

人形机器人最怕的就是断电摔倒（直接拍在地上会损坏昂贵的激光雷达和头部相机）。

• 受控塌陷 (Controlled Collapse)：
  • 策略： 当主控失效时，膝盖关节的 MCU 会执行一段预烧录好的"下蹲轨迹"。
  • 动作： 松开髋关节 -> 弯曲膝关节 -> 降低重心 -> 屁股着地。
  • 目的： 把"高空坠落"变成"软着陆"。这是一种类似于人类晕倒前本能护头的反射动作。

5. 无线通信中断的特殊处理：自动返航 (Return-to-Home)

如果机器人是依靠 Wi-Fi/5G 在户外巡检，信号盲区是常态。这不属于系统故障，而是环境限制。

• 本地自主导航 (Local Autonomy)：
  • 当云端 VLA 大模型断连时，机器人切换到本地的轻量级导航栈（基于激光雷达）。
  • 行为树 (Behavior Tree)：
    1. 停止当前任务。
    2. 查询本地地图，找到最近的"信号恢复点"或"充电桩"。
    3. 执行自动寻路，回到有网的地方。
    4. 重新上传日志，报告"我刚才去哪了，干了什么"。

---

小结：

Fail-safe 策略的核心在于**"去中心化"**。

我们不能指望那个聪明的大脑（AI）在临死前还能发出一道"保护自己"的遗言。相反，我们必须把"求生本能"刻写在每一块肌肉（电机驱动器）和每一根神经（通信网关）的固件里。

只有当每一根手指都懂得如何在断联时锁住自己，整个系统才是真正健壮的。

9.3 隐私计算：如何在边缘侧处理敏感视频数据

具身智能体（尤其是家庭保姆机器人）本质上是一个行走的、联网的、全天候拍摄的监控摄像头。它不仅能看到你穿什么衣服，还能看到你输入密码，甚至听到你的私密谈话。

如果这些数据毫无保留地上传到云端 VLA 模型，那么每一台机器人都是潜在的"棱镜门"监听器。因此，隐私计算 (Privacy Computing) 不再是锦上添花的特性，而是决定产品能否上市的法律合规红线（如 GDPR）。

1. 数据极简主义：只上传特征，不上传像素

最安全的策略是数据根本不出家门。

• 边缘侧预处理 (Edge Pre-processing)：

  • 在机器人的本地 AI 芯片（如 Orin NX）上，部署一个轻量级的检测模型。
  • 去识别化 (De-identification)： 在视频流上传云端之前，先在本地把画面中的人脸 、车牌 、文件文字打上马赛克（高斯模糊）。
  • 骨架提取 (Pose Extraction)： 如果云端任务是"看老人有没有跌倒"，那么不需要上传彩色视频。端侧提取出老人的关节点骨架图 (Skeleton) 上传。云端大模型只看到几个火柴人在动，完全无法辨认是谁，但依然能判断跌倒姿态。

• 语义通信 (Semantic Communication)：

  • 将图像转换为 Embedding 向量。
  • 端侧的编码器（Encoder）将图片压缩成一串 1024 维的向量。如果不掌握解码器（Decoder）的私钥，拦截者即便拿到了这串向量，也无法还原出原始图像，只能还原出语义（如"一个男人在喝水"）。

2. 联邦学习 (Federated Learning)：数据不动，模型动

具身智能大模型需要海量数据来进化，但用户不愿意贡献家庭隐私数据。联邦学习解决了这个两难。

• 原理：
  1. 本地训练： 模型下发到每一台机器人的端侧。机器人利用本地数据（比如主人家的户型图、主人的作息习惯）微调模型。
  2. 梯度上传： 机器人不上传原始视频，只上传模型权重的更新梯度 (Gradient)（比如：参数 w1 增加了 0.01）。
  3. 云端聚合： 云端服务器把成千上万个机器人的梯度取平均，更新全局模型，再分发回去。
• 结果： 全局模型变聪明了，但云端服务器从未看过任何一张用户家里的照片。

3. 可信执行环境 (TEE)：芯片里的保险箱

如果必须在云端处理敏感数据（比如 OCR 识别银行卡号），如何防止云端管理员偷看？

• 硬件级隔离：

  • 利用 CPU 的 SGX (Intel) 或 TrustZone (ARM) 技术，在内存中划出一块"飞地"（Enclave）。
  • 即使是操作系统（OS）或拥有 Root 权限的黑客，也无法读取这块内存里的数据。

• 流程：

  1. 机器人端侧对视频加密。
  2. 数据传到云端 TEE 内部解密。
  3. AI 模型在 TEE 内部推理。
  4. 推理结果加密输出。
  • 数据在整个链路中，除了在 CPU 内部那一瞬间，永远是密文状态。

4. 物理隐私开关：终极信任

再高级的软件加密也可能有 Bug，用户最信任的永远是物理阻断。

• 硬件隐私盖 (Hardware Shutter)：
  • 当机器人进入"待机"或"充电"模式时，电机驱动一个物理滑盖挡住摄像头。
  • 或者通过继电器物理切断麦克风的电源电路。
• 隐私指示灯：
  • 硬性规定：只要摄像头在录像，或者是麦克风在收音，必须亮起一颗无法通过软件关闭的红色 LED 灯。这让用户拥有知情权。

---

小结：

隐私计算是具身智能的**"遮羞布"，也是"护身符"**。

• 通过 边缘脱敏，我们去掉了数据的身份属性。
• 通过 联邦学习，我们实现了知识的共享而非数据的共享。
• 通过 TEE，我们构建了数字世界的黑盒。

只有当用户确信机器人不仅是"聪明的"，而且是"守口如瓶的"，他们才敢真正把这个带着摄像头的铁家伙请进卧室。

至此，第九部分"系统安全与可靠性"结束。有了安全的底线，我们终于可以放心地欣赏那些已经在现实世界中奔跑的杰作了。接下来的第10章，我们将通过实战案例，复盘那些顶尖机器人的设计哲学。