文档中心 / 保证与边界 【建模约定】

本页的作用

有这一页，“条件化保证”才不是空话。任何页面出现的保证性主张（A ⇒ P），其 A 都应能在本页找到对应条目。假设集随 167 闭环推进持续修订，本页有版本、有日期。

假设集（2026-07-23 · 初版）

1. 感知假设

假设内容失效场景检测/缓解
ε_perc 统计界感知误差以覆盖率 1−α 统计有界（非硬上界）分布外输入：夜间、雨雾、新塔型域外检测、置信度校准（可靠性图、ECE/Brier）
可交换性标定数据与运行数据可交换（conformal 前提）场景漂移、季节变化、传感器老化覆盖率在线监控、定期重标定
μ_t 校准有效语义置信度经过校准，阈值可用新对象类别、长尾场景低置信 → UNKNOWN，不进许可链

2. 模型假设

假设内容失效场景检测/缓解
动力学误差有界F_T 与真实系统的偏差在设计界内未建模接触、风扰超界、载荷变化残差监控、保守裕度
XTX_T 闭包充分任务判定变量闭包相对模型/变量库/任务规格充分等价变量遗漏、依赖图错误依赖审计、变量消融检验
安全函数完整安全集定义覆盖已知危险场景场景分析遗漏的碰撞类型场景库评审、事故复盘回灌

3. 规范假设

假设内容失效场景检测/缓解
规范覆盖完备性已编译条款覆盖任务适用条款全集条款圈定遗漏（覆盖率分母未冻结，见覆盖率页）映射表评审、UNKNOWN 兜底
编译忠实性SignedConstraintArtifact 忠实于条款语义解释分歧、形式化错误条款级双审、四类测试用例、回归
版本一致性运行时使用的 ES_adm 版本与现行标准一致标准修订未同步版本校验、失配拒绝

4. 平台与执行假设

假设内容失效场景检测/缓解
计算平台正常门控逻辑运行的软硬件未失效内存错误、调度超时看门狗、最坏时延分析
执行链有效执行器响应在设计包线内舵机卡滞、电机退化状态反馈残差、FAILSAFE
时间同步各组件时钟同步在容差内同步破坏（故障或攻击）同步监控、超差停止

5. 通信与供应链假设

假设内容失效场景检测/缓解
通信完整性指令与数据传输经认证、未被篡改中间人、重放认证、签名、时间戳
组件可信部署组件来自受控供应链模型/知识投毒签名产物、版本治理
时延有界端到端时延不超过 τ网络拥塞、拒绝服务时延监控、超时 FAILSAFE

对抗条件下的安全不在现阶段保证范围内——当前保证范围限定为”认证组件、完整通信和受控供应链假设成立”，详见网络安全边界。

6. 人员假设

假设内容失效场景检测/缓解
授权真实授权指令来自具备资质的人员身份冒用认证、授权链记录
接管可达人工接管通道在要求时延内可用通信中断、人员离位接管心跳、失联即安全停止

使用规则

  1. 新增保证主张时，先在本页登记其假设，否则不得发布（与公式四项同级的硬规则）。
  2. 假设被实验证伪或修订时，所有引用该假设的页面同步复审。
  3. 167 闭环的验收判据冻结后，本页各假设将标注”已在验收集中检验/未检验”。