Brain/Spine/Body三层架构

本章提出EICPS的三层架构。时间尺度差异不是工程妥协，而是架构设计的第一原则：认知规划（秒级）、实时监控（100ms级）、物理执行（10ms级）的解耦，将第二部分建立的数学语言翻译为可实现的系统结构。

7.1 时间尺度解耦：架构设计的第一原则

7.1.1 三个时间尺度的物理根源

具身AI系统天然运行在三个时间尺度上，每个尺度都有其物理必然性。认知规划时间尺度（秒级）：大语言模型的自回归推理需要若干秒完成一次任务分解，这是当前硬件与算法的共同约束，而非临时限制。安全监控时间尺度（100ms级）：CBF约束的激活判定需要在障碍物进入危险区之前完成，根据带电作业的法定安全距离（0.6m，机械臂运动速度约0.1m/s），监控周期不超过100ms才能可靠拦截。物理控制时间尺度（10ms级）：机器人关节伺服的采样率（100Hz）是工业控制标准，低频控制信号会导致机械振动和不稳定。

三个时间尺度相差两个数量级，这意味着在Brain的一次规划周期内，Spine执行了约100次安全检查，Body完成了约1000次控制更新。任何企图在单一循环中处理三个尺度的系统，都将被迫在最快时间尺度上运行所有计算——以秒级大模型推理速度运行10ms控制环是物理不可行的。

7.1.2 解耦而非分离：层间约束的传递

时间尺度解耦不意味着三层独立运行——它们通过明确的接口传递约束，而不是互相忽视。Brain向Spine传递任务规约（STL公式集合）：本次执行需要监控哪些属性，满足条件和违反条件时分别应如何处置。Spine向Brain反馈鲁棒度估计（$\rho$ 值）：当前执行距离规约失效还有多少余量，是否需要请求任务重规划。Spine向Body传递安全控制指令修正：在CBF约束激活时，覆盖Body的任务导向控制输出，确保物理安全优先。Body向Spine反馈状态估计：EKF融合多传感器数据给出的当前状态置信区间，是Spine安全判定的输入。

这种”单向约束传递 + 上行反馈”的接口设计，使得每层可以专注于自己的时间尺度，同时保持整体系统的协调性。

7.1.3 为什么不是两层或四层

两层架构（规划+执行）是已有工业机器人的传统设计，其根本限制在于：安全监控在这两个时间尺度上都无法正确放置——放在规划层则响应过慢，放在执行层则缺乏任务语义上下文（不知道什么是”正常”的执行，就无法判断偏离是否危险）。四层架构（在Brain和Spine之间插入任务调度层）引入不必要的延迟，且中间层的职责难以精确定义，容易形成功能重叠的接口混乱。三层划分对应三类本质不同的决策类型：语义决策（Brain）、安全仲裁（Spine）、物理执行（Body），在形式化工具的选择上也各有对应。

写作占位 — 三层架构与现有工业机器人架构的系统比较（待补充）

7.2 Brain层：认知规划与语义路由

7.2.1 Brain层的输入-输出规约

Brain层接收自然语言任务描述 $\tau \in \mathcal{M}_{\mathrm{sem}}$，输出两类结果：HTN任务分解树（层级任务网络，将高层任务递归分解为可直接执行的子任务序列）和STL规约包（本次执行需要的形式化监控规约集合 $\Phi$）。HTN分解树由结构化语言模型（或符号规划器）生成；STL规约包由语义路由模块根据任务类型从规约库中选取并实例化参数。

Brain层不直接控制机械臂——它永远不发出关节力矩命令。它的输出是Spine层和Body层的”工作订单”，而非”操作指令”。

7.2.2 语义路由模块：任务理解到规约实例化

语义路由是Brain层的核心功能：给定任务描述 $\tau$，确定其在 $\mathcal{M}_{\mathrm{sem}}$ 中的位置（通过向量检索），找到最近邻的规范词汇表项 $v^* = \arg\min_{v \in V_{167}} d_{\mathrm{sem}}(\tau, v)$，并从规约库中取出对应的STL规约模板，用任务参数（目标位姿、安全距离阈值、超时时间）实例化为可执行的规约实例。

语义路由的形式化保证是V-SEM验证（第11章）的核心：若词汇集 $V_{167}$ 满足规范闭合性，则对任意合法任务描述，语义路由总能找到唯一正确的规约模板。规范闭合性从统计保证（$\mathrm{SEC} \geq 1 - \delta$）升级为形式等式（$\mathrm{SEC} = 1$）是V-SEM的主要成果。

7.2.3 HTN任务分解与执行序列生成

HTN（层级任务网络）规划器将高层任务（如”更换绝缘子”）递归分解为具体的子任务序列（接近→定位→拆卸→安装→撤离），每个子任务有明确的前置条件（precondition）和效果（effect）。对EICPS，前置条件的检验不依赖数值模拟，而依赖当前 $\mathcal{M}_{\mathrm{sem}}$ 上的任务进度状态和 $\mathcal{M}_{\mathrm{phy}}$ 上的位姿估计。HTN分解的深度（分解到哪一级）由Spine层的执行能力决定：只有Spine层能够验证的子任务才是合法的叶节点。

写作占位 — HTN规划器与大语言模型集成的技术方案（静态模板 vs. 动态生成）

7.3 Spine层：实时安全监控与仲裁

7.3.1 Spine层的双重职责

Spine层承担两类本质不同的职责，必须在同一个100ms时间预算内完成。STL监控：实时评估当前执行轨迹相对于Brain层下发规约的鲁棒度 $\rho(\phi, \mathbf{x}_{[0,t]}, t)$，持续判断是否存在规约失效的风险。CBF仲裁：在每个控制时步（10ms），接收Body层的原始控制输出，验证是否满足CBF约束，若不满足则通过QP求解器找到最近邻的安全控制输入替代。

两项职责的时间预算分配是架构设计的关键：STL监控可以以100ms为周期批量评估；CBF仲裁必须嵌入Body层的10ms控制环，在每次迭代中以几乎零延迟完成。

7.3.2 安全仲裁器的形式化语义

Spine层的安全仲裁器可以形式化为混合系统 $\mathcal{H}$ 中的跳变映射的一部分：当STL鲁棒度 $\rho < 0$（规约失效）或CBF条件 $h(T) < 0$（进入危险区），仲裁器触发跳变——从正常执行模式切换到安全响应模式。安全响应模式下，Body层收到”停止并维持当前位姿”的覆盖指令，Brain层收到”当前执行失败，请求重规划”的信号。

仲裁器的设计不是启发式规则，而是在混合系统 $\mathcal{H}$ 的跳变映射 $g: D \to \mathcal{E}$ 框架下的形式化定义，跳变后状态的合法性由§6.3.2的值域约束保证。

7.3.3 Spine层与Brain/Body的接口协议

Spine-Brain接口通过状态报告协议运作：Spine每个监控周期（100ms）向Brain发送任务执行状态摘要（当前STL鲁棒度、已完成子任务数、预估完成时间），在出现规约失效风险时触发重规划请求。Spine-Body接口通过指令覆盖协议运作：正常情况下Spine透传Brain的任务指令；在CBF约束激活时，Spine直接修改Body的控制目标，Brain的当前任务指令被暂时搁置（但不丢弃）直到安全约束解除。

7.4 Body层：物理执行与状态估计

7.4.1 Body层的两个子模块

Body层包含两个功能并行运行的子模块。控制子模块：接收Spine层的控制目标（目标位姿或目标关节角度），通过比例-微分（PD）控制律或更高阶控制器生成实际关节力矩命令，驱动机械臂向目标运动。控制律在 $\mathrm{SE}(3)$ 框架下正确定义（李代数中的位姿误差，而非欧氏近似），这是第4章数学工具在工程实现中的直接落地。状态估计子模块：通过扩展卡尔曼滤波（EKF）融合多传感器数据（视觉里程计、IMU、关节编码器），输出当前状态的最优估计 $\hat{x}$ 及其协方差矩阵 $P$，向Spine层提供状态置信区间。

7.4.2 EKF在 SE(3) 上的正确实现

经典EKF在欧氏空间设计，直接将 $\mathrm{SE}(3)$ 上的状态当作欧氏向量处理会引入系统性误差（第4章§4.1已分析）。正确的做法是在 $\mathfrak{se}(3)$（李代数，线性空间）中做预测和更新，再通过指数映射推回 $\mathrm{SE}(3)$：预测步 $\hat{T}^- = \hat{T} \cdot \exp(\hat{\xi} \Delta t)$（在SE(3)上积分），更新步 $\hat{\xi}_{update} = K \cdot \tilde{y}$（在se(3)中做线性校正），最终估计 $\hat{T}^+ = \hat{T}^- \cdot \exp(\hat{\xi}_{update})$（推回SE(3)）。

BCH公式给出了这种”在李代数中线性化”的理论依据（§4.1.3），PINN辅助的域适应（§3.4.3）进一步改善了仿真到真实的状态估计精度。

7.4.3 PINN辅助控制：物理约束嵌入神经网络

物理信息神经网络（PINN）在Body层的应用体现在两处：其一是导线振动模型，通过在损失函数中嵌入导线振动的偏微分方程（缆线方程），PINN控制器能够预测导线的动态响应，提前调整机械臂控制策略以避免因操作引发的共振；其二是Sim2Real适应，PINN将仿真环境的物理先验注入真实数据处理，缩小 $d_{GH}(\mathcal{D}_{\mathrm{sim}}, \mathcal{D}_{\mathrm{real}})$，改善在真实场景中的状态估计准确性。第9章将完整展开PINN控制器的设计细节。

写作占位 — Body层与工业机器人控制器的硬件接口设计（IEC 61800系列兼容）

7.5 层间接口协议的形式化定义

7.5.1 接口即合约：层间通信的语义精确性

层间接口不应当是”发送消息”的通道，而应当是带语义合约（contract）的精确协议。Brain-Spine接口的合约：Brain保证下发的STL规约在 $\Phi_{\mathrm{FA}}$ 中（第2章§2.5规范集合内的合法规约），Spine保证在收到规约后的第一个监控周期内开始评估，不晚于Brain期望的执行开始时刻。Spine-Body接口的合约：Spine保证在CBF约束激活时，覆盖指令不晚于下一个Body控制周期（10ms）到达；Body保证在收到覆盖指令时，无论当前正在执行何种子任务都立即响应（抢占式执行）。

7.5.2 异常接口行为的处置规则

接口合约同时定义了异常接口行为的处置规则，这是稳定性分析和安全保证的重要部分。若Brain在规定时间内未能完成规划（大模型推理超时），Spine维持当前状态直到收到新规约，不允许基于旧规约继续执行新任务阶段。若Spine的STL鲁棒度评估信号丢失（通信中断），Body立即停止当前运动并维持位置（故障安全模式，Fail-safe），等待Spine信号恢复。这些规则在混合系统 $\mathcal{H}$ 中对应特定的跳变集 $D$ 的元素，其形式化处理确保了框架对通信故障的鲁棒性。

7.5.3 三层架构与 Flow-Jump 动力学的对应

第6章建立的Flow-Jump混合系统 $\mathcal{H}$ 中的三类连续演化（流映射 $f$）对应三层架构的三个工作时间尺度：Brain流（秒级）描述语义状态 $q_{\mathrm{sem}}$ 的连续更新（任务进度推进）；Spine流（100ms级）描述安全余量 $h(q_{\mathrm{phy}})$ 和STL鲁棒度 $\rho$ 的连续监控；Body流（10ms级）描述物理状态 $q_{\mathrm{phy}}$ 在SE(3)上的连续演化。跳变映射 $g$ 对应安全仲裁干预（Spine触发，第7.3.2节）和任务阶段切换（Brain触发，第7.2.3节）。三层架构不是对混合系统框架的简化，而是其工程实现形式。

本章建立了EICPS的三层骨架。第8章进入各层的核心形式化工具——STL、CBF、HTN与EKF——的选型依据与理论基础。

参考文献

写作占位 — 本章参考文献列表（随正文写作逐步完善）