DPIED-05｜跨時間尺度的具身智能運行架構

記憶、控制與分散式學習的時序契約、權限邊界及可驗證整合

A Multi-Timescale Operating Architecture for Embodied Intelligence: Temporal Contracts, Memory, Control, and Distributed Learning

系列：數位—實體智能演化解耦論（Digital–Physical Intelligence Evolutionary Decoupling, DPIED）
篇次：DPIED-05／09；第二階段「架構與學習」第二篇
作者：Neo.K
研究機構：EveMissLab／一言諾科技有限公司（EVEMISS TECHNOLOGY CO., LTD.）
AI 協作整理：GPT-6
版本：v1.0
日期：2026-11-05
文件性質：獨立理論研究、系統架構規格草案、條件性命題與實證協定
前置論文：DPIED-01、DPIED-02、DPIED-03、DPIED-04；《具身 AI 的本地算力困境與分層學習閉環》、WIIW-05、APET-06、LWCT-02
文獻核對範圍：截至 2026-11-05 已公開、可辨識版本的論文、研究機構說明與技術文件
證據狀態：形式化條件命題及算例為本文構造；文獻與標準範圍已核對；尚未部署本文所述整體架構或完成實機對照
Canonical source：本 UTF-8 Markdown 原稿；所有數學原始碼僅使用 $...$ 與 $$...$$
研究立場：分層整合是可檢驗的設計路線，不是已被證明優於所有端到端方法的普遍定理；安全契約不等於法定認證

摘要

數位 AI 模型可以在語言、視覺、影片、規劃、程式與工具使用上持續獲得進步，但具身機器人必須把這些能力接入具體的感測、控制、物理行動、資源供給、故障處置及長期學習閉環。即使高階模型具有準確的任務理解，若其推理延遲超過物理控制期限、輸入觀測已經過時、產出的動作與當前機體不相容、記憶內容與現場版本不一致，或線上學習直接修改正在控制機器的策略，其認知能力仍可能無法轉換成可靠的實體產出。因此，具身 AI 的架構研究不能只有「更大的模型」或「更多的模態」，也不能停留在「快模型接慢模型」的直觀描述。

本文承接 DPIED-01 的數位—實體能力曲線辨識、DPIED-02 的認知—物理轉化損失、DPIED-03 的有效自主工作判準，以及 DPIED-04 的影片觀測—動作資訊缺口，提出跨時間尺度因果契約架構（Multi-Timescale Causal-Contract Architecture, MTCCA）作為一項可測試的系統候選。MTCCA 並不重新發明既有分層機器人控制，而是在其上增加四種明確的耦合條件：時間有效性、狀態／不確定性表述、技能及權限相容性、記憶與策略更新一致性。架構涵蓋獨立安全機制、即時控制、局部狀態估計、具身技能、高階任務規劃、記憶服務與離線／中央學習，各層依自身期限執行，而非等待同一輪通用模型完成所有計算。

形式化上，本文將架構視為帶有期限、版本、可供性及失效回應的非同步控制網路，定義對應任務的條件成功機率、觀測陳舊度、安全餘裕、更新原子性、全成本與可靠合格產出。本文提出六項條件性命題，包括：硬期限不可由高階語義正確性補償；有界觀測延遲可透過明示的狀態與安全函數假設推導保守餘裕；多步任務可靠性應依條件機率連乘而非擅自假定獨立；高階模型升級不保證閉環單調改善；理想的額外記憶資訊不損害最優決策，但有限資源的實作可能因延遲與錯誤檢索而退步；隔離式更新可以在特定條件下避免訓練程序直接改動現行控制策略，但無法取代現場安全驗證。

本文進一步提供介面契約草案、完整失效路徑、可在模擬與實機分階段實施的 $2\times2$ 架構消融、風險中止規則、紀錄欄位及純假設性數值算例，並以 NVIDIA GR00T N1、Google Gemini Robotics ER 2、Hi Robot、 $\pi_{0.5}$ 、2026 年 HiMe、ROS 2 即時與 QoS 文件、控制屏障函數研究及 ISO 10218 標準為外部基礎。研究主張，具身 AI 的成熟關鍵之一可能是將不同智能能力接到相容的時間與因果閉環，而非強迫所有能力擁有同一時鐘。此一主張須經受控實驗反駁或支持；本文並未宣稱任何現有通用機器人已因此完成大規模自主部署。

關鍵詞：具身 AI；跨時間尺度；快慢推理；非同步控制；ROS 2；VLA；時序契約；記憶一致性；本地邊緣算力；安全邊界；模型部署；長程可靠性；能力轉化

0. 研究問題、分工與新增貢獻

先前的 2026-06-30 白皮書已經提出「機器人本體—本地 AI 工作站—中央模型／資料回流」的學習閉環，並以安全反射、低階控制、感知、任務策略、長期記憶與學習描述基本分層。APET-06 也已指出，具身 AI 不必限於一具人形外殼，感測與致動可以分布在多處。DPIED-02 更指出理解任務和物理執行之間存在多個必要的轉化關卡。

因此，本篇不把上述分層重新命名後當成原創成果。其新增研究問題是：即使各個分層已存在，什麼樣的資訊、時序、責任與更新契約，才使它們在相同物理世界中共同運作？

本篇考察五項互相連結、但不等價的問題：

不同時鐘：控制器要求穩定更新，而大型推理模型可能具有長尾延遲。哪些決策必須準時，哪些可以延後？
不同世界版本：規劃器看到的是較早的觀測或摘要。它的計畫何時過期，是否仍能交給局部執行器？
不同語義與動作尺度：語言意圖如何轉成某個機體的技能、姿態、力／速度限制和安全約束？
不同記憶期限：局部控制需要最近幾個狀態，而長期規劃需要任務歷史、場景變化、失敗和技能來源。哪些資訊必須保存、檢索或淘汰？
不同更新周期：中央模型能持續訓練，不代表正在工作的機器人可以在任意時刻替換感測、動作或安全相關版本。

研究範圍限定為運行時架構與學習部署介面。DPIED-06 將處理模擬至現實的遷移界線；DPIED-07 將集中研究長程可靠性與修復；DPIED-08 的主題是產業量產與單位有效工作成本。本文雖建立部分相關指標，但不提前將後續論文的問題視為已解答。

本文對用語作三個區分。第一，分層表示功能責任或時間尺度的劃分，不必對應不同神經網路，也不必對應不同機器。第二，端到端是學習或策略映射方式，不必然排斥外部安全硬體與控制器。第三，架構整合是系統的可運作性與可維護性問題，不應直接等同「模型參數量不足」。

1. 文獻定位：產業已經開始整合，而非仍在等待有人想到整合

1.1 既有快慢架構是起點，不是本篇結論

NVIDIA 於 2025 年公布的 Isaac GR00T N1 以雙系統結構描述高階視覺語言推理與較快的動作生成，展示了將語義規劃與連續行動分工的路線。[R1] Google DeepMind 於 2026 年 7 月發布的 Gemini Robotics ER 2 將高階具身推理與底層 VLA 動作執行分離，並強調規劃可以與動作進行同時展開。[R2]

這些例子說明「快慢分工」已是實際研發路線。不能因為機器人仍有失敗，就推論業界忽略了分層；也不能僅因企業宣告具備分層，就推論真實環境中的時間一致性、現場安全與維護成本都已解決。研究必須從架構圖進一步走向每個接口的可測條件。

1.2 從高階任務分解到低階動作，已經有具體實驗

Hi Robot 以階層式視覺語言動作系統處理複雜指令、人類回饋與低階操作的銜接。[R3] $\pi_{0.5}$ 以跨來源資料與高階子任務預測共同訓練，在新家庭環境中的長程操作任務展示正向泛化。[R4] 這些工作不是單純「文字模型外掛機械臂」，而是把任務語義和技能學習共同納入設計。

ACT（Action Chunking with Transformers）則以動作片段預測減輕部分高頻雙手操作的學習困難，提醒我們技能執行的時間抽象化不一定要依賴語言規劃器。[R13] 但動作片段亦須處理環境變化與局部反饋，不能將「一次產出多步動作」等同不需要閉環控制。

然而，各項研究的成功率依任務、機體、資料來源及評測條件而定，不能據此認定家用、工業、移動與分散式具身系統已可互換。本文借用其分工啟示，而不移植供應商宣稱的普遍能力。

1.3 記憶和推理頻率已有新型架構研究

2026 年 ICML 論文 HiMe 提出 Executor、Sentry 與 Planner 的階層式具身記憶系統，處理高頻執行與較慢的記憶／推理能力之間的張力，並報告相對記憶基線的長程任務改進。[R5] 此結果支持「記憶應有獨立的運作責任」值得實驗，但其效果仍須依部署情境、資料和系統配置解讀。

2026 年 ICRA 的 Agentic Fast–Slow Planning 也以場景壓縮、語義決策、軌跡規劃與 MPC 追蹤構造多時間尺度管線，在 CARLA 中驗證特定駕駛模擬條件的改進。[R6] 因此本文不宣稱這類多時間尺度安排是首次提出，而是提出可以橫跨不同機體、不同研究路線的接口契約、失效歸因與實驗要求。

1.4 實時控制在工程上有自己的不可讓步條件

ROS 2 的即時系統文件指出，真正的即時迴路必須關注截止期限與抖動，並避免在關鍵執行路徑中發生不可預測的記憶分配、分頁錯誤及無限期阻塞。[R7] ROS 2 的 Quality-of-Service 設計又允許對訊息期限、存活性、可靠性和過期時間作出選擇。[R8] ros2_control 的 Controller Manager 文件關注控制迴路的確定性及排程條件。[R9]

這些技術不是宣告「ROS 2 自動保證安全」。它們提供通信、排程及控制工程可用的元件；是否符合某個機器或場景的硬即時和安全要求，必須在特定硬體與整合條件下測試。

1.5 不能混用安全理論與法定標準

控制屏障函數（Control Barrier Function, CBF）研究在適當動力學、可行性與約束前提下，提供安全集合維持的形式化工具。[R10] 但任何特定 CBF 實作都需要核對模型不確定性、取樣與致動限制，不能直接把理論公式當成整機安全保證。

ISO 10218-1:2025 與 ISO 10218-2:2025 針對工業機器人、應用與機器人工作站提供安全要求，其中 Part 1 與 Part 2 的適用對象亦不同。[R11][R12] 非工業、個人照護、服務或其他場景，不能直接假定適用同一套條款。本文只討論工程架構，不提供產品認證結論。

1.6 目前文獻能支持的程度

文獻能支持的結論是：多時間尺度分工、記憶隔離、具身技能層與即時控制都有可行研究實例，整合架構亦有實際正向結果。文獻還不足以支持一條跨所有本體與任務的定律：層數愈多必然愈強、雲端推理必然較差、或某一特定模型配置已經是具身 AI 的終極形態。本篇的理論命題會明示各自前提，避免將架構選擇寫成不受條件限制的真理。

2. 研究單位與基本操作定義

一個具身 AI 系統記為：

\mathcal S=(\mathcal B,\mathcal O,\mathcal M,\mathcal P,\mathcal C,\mathcal U,\mathcal G),

其中 $\mathcal B$ 為物理本體及其致動條件， $\mathcal O$ 為感測與狀態估計， $\mathcal M$ 為記憶， $\mathcal P$ 為任務規劃與技能策略， $\mathcal C$ 為控制與安全機制， $\mathcal U$ 為模型／技能更新機制， $\mathcal G$ 為資料與計算節點間的通信和權限拓樸。

此處不要求系統擁有單一人形外殼；固定機械臂、輪式平台、無人機、工廠或多機器人網路，都可能在不同拓樸下實現這些功能。具體研究必須另記錄本體的動作空間、感測器、作用半徑、環境與權限。

2.1 三種時間不可互相替代

物理時間：環境持續變化，碰撞、摩擦、人體行動與致動延遲不會等待模型生成完成。
運算時間：模型推理、網路傳輸、資料讀取、控制計算所消耗的時間與抖動。
學習時間：資料累積、評估、訓練、版本發布、回滾與長期能力變化的節奏。

系統失效的關鍵不必然是任何一個時間過長，而可能是把原本不需要同步的時間強迫同步，或把必須同步的狀態錯誤解耦。

2.2 四種能力指標

本文將單次任務理解率 $K$ 、可執行計畫率 $F$ 、受約束物理完成率 $Q$ 、具合格品質及介入揭露的長期工作量 $Y$ 分開量測：

K\not\equiv F\not\equiv Q\not\equiv Y.

此式只表示各指標不可定義為同一個量，不主張它們統計上沒有關係。所有成功率均應在固定任務分布、環境難度、介入規則與觀察期間下估計，不能把不同研究的原始百分比直接相減。

2.3 架構的四種主要契約

契約	最低問題	典型失效
時序契約（Temporal）	這個訊息與動作最晚何時有效？	逾期計畫仍被執行
狀態契約（State）	使用哪個座標、版本、時間戳與不確定性？	物體已移動，計畫仍沿用舊位置
技能契約（Skill）	這台機器此刻有哪種可供行動？	生成未被硬體支援的動作
治理契約（Authority）	誰能批准、更改、中止與更新策略？	雲端模型覆寫本地安全權限

它們相互影響：訊息可能格式正確但過期，可能新鮮卻位於錯誤座標框架，也可能技術上能執行但未經場站授權。

3. MTCCA：候選跨時間尺度因果契約架構

3.1 七類責任與一個跨層監測面

責任層	主要工作	時間尺度	不得默認擁有的權力
S0 獨立安全與緊急狀態	急停、限位、失效安全狀態、必要的硬體保護	事件驅動，依風險規格	不接受語言模型直接解除硬體保護
C1 即時致動控制	關節／速度／力矩控制、追蹤、穩定性	毫秒至十毫秒等級的任務相依週期	不等待雲端推理回應後才維持穩定
O2 局部感測與狀態估計	多模態同步、位姿、接觸及不確定性估計	毫秒至次秒級	不把未量測狀態標為確定
A3 具身技能與局部策略	抓取、移動、避障、操作技能、局部復原	次秒至數秒，依技能而異	不擅自擴大機體物理可供性
P4 高階推理與任務編排	任務分解、子目標、工具調度、長程修正	數秒至分鐘，視任務而定	不直接持有即時致動獨占權
M5 多層記憶服務	工作記憶、事件記憶、技能／場景版本、檢索	非同步；依資料過期條件而異	不把未驗證檢索結果視為現場事實
U6 學習、評估與發布	資料治理、離線訓練、影子測試、版本發布	小時至週期性演進，亦可更長	不對運行中安全關鍵策略直接熱修改

表中時間僅為代表性尺度，不是對所有本體的硬規格。微型飛行器、重型機械臂、工廠調度或倉儲車的控制週期可能大不相同，也可能使用單一模型處理多項責任。

此外建立跨層監測面 $\mathcal V$ ，對每筆控制和規劃訊息蒐集來源、時間、版本、動作授權、失效種類、人工介入與最終世界結果。 $\mathcal V$ 是可觀測性與稽核責任，不必等同一個同步執行模組。

3.2 計算位置與責任並不一一對應

計算位置	建議優先責任	一般不應依賴它獨占的責任
本體控制器與安全硬體	必須即時完成的控制與失效安全	長上下文推理或集中式訓練
本體 GPU／NPU／CPU	現場感測、技能推理、短期狀態	全部歷史資料與所有大模型訓練
本地邊緣站／場站伺服器	重型視覺、場景融合、規劃快取、短程資料彙整	網路中斷時替代硬體安全控制
中央資料中心	大型訓練、跨機體比較、版本評估、長期資料治理	所有物理動作的毫秒級閉環

一個場站可以把部分 P4 放在本體，一個低價機器人也可能把許多非關鍵計算放到邊緣站。重要的不是預先指定硬體擺放，而是哪個決策依賴哪條通信邊，以及該邊失效時閉環是否仍具有可驗證的保護措施。

3.3 以多條非同步迴路取代一條巨型同步管線

[觀測 O2] --狀態/協方差--> [技能 A3] --> [控制 C1] --> [本體與世界]
    ^                           |             |               |
    |                           +----回報-----+---------------+
    |                                   |
[記憶 M5] <----事件/來源/時間戳------------+
    ^                 |                  |
    |                 v                  v
[高階規劃 P4] <---狀態摘要/技能結果--- [觀測與事件總線]
    |                 |                  |
    +----授權子目標---+                  v
                             [U6 學習/評估/影子部署]
                                         |
                       審核/版本凍結/受控切換
                                         v
                                   [A3 / P4]
[S0 獨立安全] --------本地優先保護--------> [C1 / 致動器]

這張概念圖只描述邏輯依賴；實際產品需補上通道隔離、執行排程、硬體保護、故障樹及正式風險評估。特別是 U6 的箭頭不是允許不經驗證的線上權重寫入。

4. 形式化：非同步受限具身決策系統

4.1 世界狀態與多來源觀測

令 $x_t\in\mathcal X$ 為實體狀態， $u_t\in\mathcal U_B(x_t)$ 為本體在該狀態下可實現的行動， $w_t$ 為外部擾動：

x_{t+1}=f_B(x_t,u_t,w_t).

第 $k$ 種感測來源觀測為：

y_t^{(k)}=g_k(x_t)+\eta_t^{(k)}.

真實系統中， $f_B$ 、 $g_k$ 可能未知、時變或帶有不確定性。本式是建模語言，不是聲稱物理世界所有情形皆符合確定性有限維模型。O2 應維持可追溯的估計 $\hat x_t$ ，並在可行時提供信念狀態 $b_t(x)$ 、可信區間、誤差上界或其他校準的不確定性表述。

4.2 四種決策不是一個函數

在候選架構中，P4 以較慢時間產生子目標 $z_j$ ，A3 在較快時刻輸出技能與局部參考，C1 再轉化為本體控制指令：

z_j=\pi_P(m_j,\hat x_{t_j},g),

a_k=\pi_A(z_{j(k)},\hat x_{t_k},\mathcal K_B),

u_t=\pi_C(a_{k(t)},\hat x_t),

其中 $m_j$ 為依來源與時間整理的記憶， $\mathcal K_B$ 為本體技能／可供性集合， $g$ 為任務目標。 $j(k)$ 、 $k(t)$ 代表當前仍有效且相容的跨層版本映射，而不是強制每個控制時刻重跑語言模型。

這種分工不是唯一合法的模型構造。例如端到端 VLA 可以直接輸出動作塊；但即便如此，系統仍須回答動作塊的時間有效性、控制頻率、狀態新鮮度、安全覆核與更新責任。

4.3 非同步通道與控制權限

對任意訊息 $m$ ，定義契約：

\Gamma(m)=(s,t_s,t_e,v,f,c,\sigma,\alpha),

其中 $s$ 為資料來源， $t_s$ 為採集時刻， $t_e$ 為有效期限， $v$ 為版本識別， $f$ 為座標與單位， $c$ 為估計信心或不確定性， $\sigma$ 為技能／狀態前置條件， $\alpha$ 為核准該動作的權限標籤。

訊息可讀不代表可執行。 A3 可以讀取一個較舊的導航計畫，但若超過 $t_e$ 或其前提已失效，系統應拒絕、重新驗證或降級，而不是單憑語義合理性執行。

4.4 以截止期限而非平均速度評估控制

對一條須順序完成的關鍵路徑 $p$ ，其執行時間可寫為：

T_p=T_{\mathrm{sense}}+T_{\mathrm{queue}}+T_{\mathrm{compute}}+T_{\mathrm{network}}+T_{\mathrm{act}}.

若所有部分存在保守上界 $\overline T_i$ ，則可得到該路徑的充分時間預算條件：

\sum_i\overline T_i\le D_p.

$D_p$ 是該路徑的操作期限。若某些工作並行或存在相依事件，應改以關鍵路徑與資源爭用分析，不可把平行分支全數相加，也不可使用平均推理時間替代最壞時間要求。即使公式成立，仍須額外核對正確性、穩定性與故障處置；準時不是安全的充分條件。

4.5 架構目標是一個受約束最佳化問題

在固定場景分布 $\mathcal D$ 、資源配置 $r$ 與時間窗 $H$ 下，可考察：

\max_{\mathcal S}\ \mathbb E_{\mathcal D}[Y_H(\mathcal S)]

\text{subject to}\quad \Pr(\mathcal F_H(\mathcal S))\le\epsilon,

T_{p}\le D_p\quad\text{for required critical paths},

C_H(\mathcal S)\le C_{\max}.

其中 $Y_H$ 是合格物理工作量， $\mathcal F_H$ 是預先界定的危害事件， $C_H$ 是同口徑總成本。這是一個研究上的設計目標，不是只要寫下機率限制就已獲得安全證明。稀有災害的風險估計可能高度不確定；相關硬體、法規與安全工程要求仍需獨立完成。

5. 從架構圖到實際接口：狀態與技能契約規格

5.1 每一個動作建議都必須知道其有效條件

對單個子目標或技能請求，最小契約不應只有自然語言指令，例如「把玻璃杯放到桌上」。它應包含任務識別、前置狀態、可用本體、觀測時間、座標框架、目標集合、動作約束、失效回應及完成證據。

以下是研究用的示意性資料契約，不是 ROS、Google、NVIDIA 或任何標準組織已發布的 Schema，也不是能直接部署的控制指令：

contract_kind: MTCCA_SKILL_REQUEST
schema_version: "0.1"
request_id: "trial-0001-action-0004"
task_id: "fixture-task-07"
source_plan_id: "plan-12"
state_snapshot_id: "state-2026-001"
state_acquired_monotonic_ns: 123450000000
valid_until_monotonic_ns: 123451000000
robot_body_id: "robot-A"
robot_capability_manifest: "skills-v3-hash"
model_manifest: "planner-v2-hash"
coordinate_frame: "base_link"
units: "SI"
skill: "place_object"
preconditions:
  object_localized: true
  grip_state_verified: true
  workspace_authorized: true
limits:
  force_bound_source: "hardware-calibrated-profile"
  controller_timeout_ms: 100
safety_authority: "local-only"
on_timeout: "reject_and_request_local_fallback"
on_precondition_change: "abort_and_replan"
success_evidence: "postcondition_sensor_verified"

此示例的時間戳為單調時鐘示意值，不能當作日曆時間；跨機器時需要時鐘同步、偏差界限或明確的跨域轉換，不得混用未校準的單調計數。內容中的超時值、力界來源及技能名稱也只是示範欄位，實際值須依機體風險分析訂定。

5.2 能力聲明與物理可供性不可由文字猜測

本體能力清單 $\mathcal K_B$ 應至少區分：

類別	必要資訊	常見錯誤
運動能力	關節／底盤拓樸、工作空間、速度、負載和可用技能	把機械臂當成能自主移動的平台
感測能力	當前可用的視覺、位置、力、接觸等資料	將缺失觸覺視為已知抓握力
技能狀態	已部署技能版本、機體校正、能力有效期限	使用另一型號的動作空間
場景約束	障礙、人體、禁入區、地面狀態與任務許可	技術上可走，實際卻不准走
執行可靠性	已測場景、估計失敗模式、恢復策略	把展示成功當成所有狀態保證

技能契約是可查核的能力主張，不是「機器人一定能做到」的事先保證。由於實際接觸與環境狀態會變動，執行器還應在開始時重新檢查必要前置條件，並於執行中監看它們是否失效。

5.3 記憶版本與狀態版本必須分開

規劃器可以從記憶中取得「上次房間配置」或「某種器具的使用方式」，但現場狀態估計不應因此被覆寫為歷史版本。最小規則為：

記憶是可檢索證據，且需標示觀察時間、來源、可信度與適用場景。
現場估計是當下決策的主要狀態依據，但它仍可能不完整或有誤。
衝突需要處理：當記憶與現場不同，應標示衝突、重新感測或採取安全退讓，不任意以其中一者當作全知真值。
模型版本與世界狀態版本不同：更新模型不能使先前物體位置、使用者許可或已完成任務自動變成有效。

同樣地，model_manifest 和 robot_capability_manifest 可透過雜湊／簽署來源協助版本驗證，但雜湊只能證明檔案一致性，不能證明模型在任何物理環境下安全。

5.4 時效性不應由接收時刻代替

假設相機於 $t_0$ 擷取影像，推理模型於 $t_1$ 收到、 $t_2$ 生成計畫、 $t_3$ 送達執行器，則觀測年齡應以 $t_3-t_0$ 或控制真正使用的時刻計算，而不是以「訊息剛收到」當成新鮮度。更應將採集延遲、排隊、影像處理、傳輸與行動佇列分開紀錄。

對需要與物理世界同步的動作，最重要的是狀態在使用時還有多少可置信度與可用期限，而非模型在回答中用了「現在」這個詞。

6. 命題一：硬即時截止期限不能由語義能力補償

命題 P1（期限不足的非充分性）。設任務包含一個必須在 $D$ 時間內完成的關鍵反應。若某設計規定該反應必須等待一個最壞執行時間超過 $D$ 的同步路徑，且沒有可在 $D$ 內獨立完成任務要求的本地備援，那麼不論該路徑的高階模型回答多麼正確，都無法僅靠此同步設計保證期限達成。

形式化地，若：

\overline T_{\mathrm{blocking}}>D

且必須等待該路徑，則存在超時風險情境。若最壞時間確實可實現，該情境直接違反期限。

論證：期限條件是執行時間和依賴關係的限制，而非答案內容真偽的限制。增加模型的語義正確率可以改變輸出的品質，卻不會自動移除同步等待；若時間條件仍被破壞，則系統仍存在無法於期限內回應的情境。證畢。

適用邊界：此命題不表示使用大型模型一定不安全，因為安全關鍵反應可以完全交給本地控制器，讓高階模型只提供低頻子目標。若存在及時的降級策略、穩態保持或符合風險需求的安全停止機制，阻塞路徑也可能不成為安全事故。此命題證明的是高階語義能力對特定即時保證並非充分條件，不是任何具體機器人的必然失敗。

6.1 推論：平均延遲不是充分規格

若模型平均推理為 $80$ 毫秒，但某類輸入下有機會延遲至 $900$ 毫秒，而關鍵期限為 $200$ 毫秒，平均數無法驗證期限保證。是否使用最壞界限、尾端分位或統計期限，須依任務風險決定；例如 P99 仍不等於真正的最壞情況。

6.2 應測量的不是「模型快不快」一個數字

至少記錄 $T_{\mathrm{inference}}$ 、 $T_{\mathrm{communication}}$ 、 $T_{\mathrm{queue}}$ 、 $T_{\mathrm{estimate}}$ 、 $T_{\mathrm{control}}$ 、時鐘偏差、截止期限違反率、超時後的局部行為，以及高負載時的最差可觀測時序。高階模型升級後若增加推理需求，不能只比較任務回答品質。

7. 命題二：過期觀測需要明確的物理安全餘裕

7.1 以可證明的有限條件建立一個保守界

設安全區域由可微或至少 Lipschitz 連續的函數 $h(x)$ 描述，其安全條件是 $h(x)\ge0$ 。在局部研究區域內假設：

|h(x)-h(x')|\le L_h\|x-x'\|.

假設於觀測時間 $t_s$ ，狀態估計 $\hat x_{t_s}$ 的誤差受有界條件：

\|x_{t_s}-\hat x_{t_s}\|\le e_s,

且在區間 $[t_s,t_a]$ 內，真實狀態變化速率有界：

\|\dot x_t\|\le v_{\max}.

令 $\tau=t_a-t_s\ge0$ 為觀測至行動開始的延遲。利用三角不等式與 Lipschitz 性質，可得：

h(x_{t_a})\ge h(\hat x_{t_s})-L_h(e_s+v_{\max}\tau).

因此，若設計欲在行動開始時保留安全餘裕 $\delta\ge0$ ，一個充分但保守的先驗檢查條件為：

h(\hat x_{t_s})\ge L_h(e_s+v_{\max}\tau)+\delta.

7.2 命題 P2（觀測陳舊度的局部保守界）

在上述所有界限成立時，該檢查可以推出 $h(x_{t_a})\ge\delta$ 。

證明：由狀態變化速率界， $\|x_{t_a}-x_{t_s}\|\le v_{\max}\tau$ 。再與 $\|x_{t_s}-\hat x_{t_s}\|\le e_s$ 合併，得到 $\|x_{t_a}-\hat x_{t_s}\|\le e_s+v_{\max}\tau$ 。帶入 $h$ 的 Lipschitz 條件，即得上述下界；由檢查條件推出目標餘裕。證畢。

重要限制：命題只推到行動開始瞬間的安全函數下界；不保證接下來整條運動軌跡安全，也不處理不可微碰撞、隱藏障礙或無界外部衝擊。完整安全性仍需動態可行集合、致動限制、控制屏障、硬體保護、可到達集或其他專門設計。若無法給出可信的 $v_{\max}$ 或 $e_s$ 界，就不能使用此式冒充安全保證。

7.3 完全虛構的界限算例

假設在一維簡化安全距離下， $h$ 的 Lipschitz 常數為 $1$ ，狀態估計誤差上界為 $0.02$ 公尺、局部狀態變化速度上界為每秒 $0.40$ 公尺、資料延遲為 $0.25$ 秒，欲保留 $0.05$ 公尺的額外餘裕。

則必要的示意檢查門檻為：

0.02+0.40\times0.25+0.05=0.17\ \mathrm m.

若舊觀測顯示安全距離僅有 $0.12$ 公尺，就不能由這套保守檢查證實當下仍保有 $0.05$ 公尺餘裕；這不等於已經發生碰撞，而是資料不足以通過既定保守驗收。這些數字是理論演示，不是實際機器人的推薦操作限值。

8. 命題三：長程技能的條件成功率會形成複合瓶頸

設一個由 $n$ 個必要子步驟構成的長程任務，其事件 $E_i$ 表示第 $i$ 個步驟在既定品質和安全準則下成功。完整成功事件為 $E=\bigcap_{i=1}^{n}E_i$ 。由機率鏈式法則：

\Pr(E)=\prod_{i=1}^{n}\Pr\left(E_i\mid\bigcap_{j=1}^{i-1}E_j\right).

這個恆等式不要求各步驟獨立。它反而說明前面的成敗會改變後面步驟的條件環境。若在指定任務分布及先前步驟均成功的條件下，各步驟的條件成功率下界均至少為 $q$ ，則：

\Pr(E)\ge q^n.

這是一個依賴明確假設的保守下界，不是所有真實機器人成功率的通式。

8.1 命題 P3（局部可靠性與長程可靠性不得混同）

若各步驟有失敗風險，則只報告單步成功率而沒有條件成功率與恢復行為，無法唯一識別長程完整任務的成功率。同樣的單步平均數，可能對應不同的錯誤相關性、狀態漂移與恢復機制。

構造反例：兩套系統各有高比例的單步成功，但一套失誤集中於同一批困難場景，另一套錯誤較均勻；在重複試驗的樣本下，長程完成率可能截然不同。若缺乏條件依賴與轉移資料，單步統計無法決定唯一的長程機率。證畢。

8.2 虛構算例：同樣「接近成功」的局部操作

為說明累積效應，僅假設連續 40 個必要步驟各自具有相同的條件成功率，並且不含補救動作。若此條件成功率為 $0.98$ ，則完整成功率為：

0.98^{40}\approx0.446.

若升至 $0.995$ ，則為：

0.995^{40}\approx0.818.

這不是某個公司、模型或實機的測量。重點是：在長程工作中，局部控制、狀態估計、技能恢復和失效辨識的微幅改進，可能比一段更漂亮的任務解釋更接近最終產出。若系統能成功恢復錯誤，應以包含恢復的狀態轉移模型重估，而非直接沿用上述無恢復算例。

9. 命題四：模型升級不保證整體閉環能力單調提高

9.1 系統效能是模型與架構的交互函數

令模型版本為 $M$ 、架構版本為 $A$ 、機體與環境為 $B,E$ 。完整任務的合格產出可表示為：

Y=F(M,A,B,E,r,H),

其中 $r$ 是資源條件、 $H$ 是任務時間窗。不能一般性地假定，若 $M_2$ 在獨立的語言或視覺測試高於 $M_1$ ，則對固定架構 $A$ 必有：

F(M_2,A,B,E,r,H)\ge F(M_1,A,B,E,r,H).

9.2 命題 P4（較強模型對物理任務不具普遍單調性）

存在一種任務與架構配置，使得某模型在指定高階基準表現更佳，但接入同一執行系統後，由於輸出延遲、格式、動作分布、計算資源爭用或狀態契約不相容，反而降低實體合格產出。

構造證明：令 $M_1$ 每次都在任務期限內輸出符合格式、但語義成功率較低的策略。令 $M_2$ 在語義基準上的正確率較高，卻使某個不得逾期的必要控制訊息在一部分試次超過截止期限；若超時造成完整任務失敗且沒有替代路徑， $M_2$ 的整體成功率可能低於 $M_1$ 。只需存在此一配置，即足以否證無條件的單調保證。證畢。

此命題不主張強模型通常較差。只要系統以合理的解耦、輸出限制、快取或備援重新設計，較強模型也可能帶來明顯進步。真正應測的是模型與架構共同變動時的交互效果，不能單純歸功或歸咎於模型參數量。

9.3 架構增加也不一定單調改善

分層可能提高可觀測性與隔離能力，也可能增加接口失效、通信成本、權限衝突和部署複雜度。在固定低風險、可精確描述的受控任務中，精簡專用控制器或端到端策略可能更有效。因此 MTCCA 是待比較的候選架構，不是對所有任務的最佳性定理。

10. 記憶是帶有時間與來源的狀態，不是越長越好的一段文字

10.1 四種記憶的基本責任

記憶類型	範例	更新規則	不得混淆的事
即時／工作狀態	最近位姿、抓握接觸、當前技能階段	高頻覆蓋，依期限過期	不是永久歷史知識
情節／事件記錄	曾經失敗、碰撞警示、人工修正	事件式持久化並保留來源	一次事故不直接等於普遍規則
語義／場景知識	工具用途、房間習慣、物品關係	受證據、變更與過期條件約束	歷史房間配置不是當下物理真值
技能與策略元資料	技能適用本體、模型版本、驗收範圍	受控版本發布與回滾	「技能存在」不等於當下可以安全執行

長期記憶服務至少需要來源識別、時間戳、有效期間、使用限制、適用對象、置信度或未知標籤、衝突處理、去重與不可竄改的事件追溯。對涉及人物或私人空間的資料，還須有收集授權、最小化保存和刪除／存取權限管理。

10.2 命題 P5（理想記憶資訊與有限資源實作的差異）

若一個理想決策者具有額外訊息 $I_2$ ，且完整保留原有訊息 $I_1$ ，可以零成本忽略 $I_2$ ，並能從同一策略集合中選擇動作，則新增資訊不會降低該決策者的最優期望效用：

\sup_{\pi\in\Pi(I_1,I_2)}\mathbb E[U(\pi)] \ge \sup_{\pi\in\Pi(I_1)}\mathbb E[U(\pi)].

論證：在上述前提下，任一只用 $I_1$ 的策略都可以由新策略忽略 $I_2$ 而重現，故新增資訊後的可選策略集合至少包含舊集合。證畢。

但實際系統中的額外記憶可能產生檢索延遲、帶寬成本、錯誤匹配、提示干擾、權限洩漏、衝突與非同步更新。因此理想資訊價值的非負性，不推出有限資源下的系統效能單調性。研究應比較記憶的實際使用率、修正成功率、誤檢率、決策時間、額外成本，以及是否造成觀測過期。

10.3 記憶衝突與使用者偏好變更

若一個系統在上次任務中記錄「使用者將杯子放在左側櫃子」，而本次現場觀測顯示杯子在右側桌面，系統應保留兩筆具有時間與來源的資訊，而不是把任一條覆寫成無時間戳的唯一事實。若使用者更新喜好，應記錄新偏好的有效期間和適用任務，同時避免把當下的偏好變更誤當成所有過去事件都已改寫。

10.4 記憶壓縮不應破壞失敗因果鏈

長期資料可以摘要、事件壓縮或分層索引，但安全事件、干預記錄、模型版本及行動結果的原始可審計關係不能只以一段不可回溯的摘要替代。對模型訓練而言，沒有「做過什麼、當時看到什麼、實際結果是什麼」的序列，常無法判定失敗來自知識、狀態、控制或本體。

11. 命題五：學習與當前控制需要版本隔離

11.1 明確區分三種更新

更新 A：狀態更新。新觀測替換舊的當下狀態估計，不涉及神經網路權重變動。

更新 B：記憶更新。新增帶有來源與時間的事件、偏好或場景資料，不直接改變已部署控制器的參數。

更新 C：策略更新。訓練、微調、蒸餾、參數替換、技能庫修改或控制軟體變更，可能改變同一輸入下的未來行為，需要獨立驗證與發布流程。

三者不同。某個 Agent 在執行時利用新記憶調整計畫，不等於該模型已經以梯度更新自身權重；一個系統用新的訓練資料學到更好策略，也不保證其版本可以立即替換現場機器人。

11.2 命題 P6（運行策略的版本隔離）

設正在運行的控制策略參數為 $\theta_v$ ，學習系統在與控制路徑隔離的儲存與執行環境中更新候選版本 $\theta_{v+1}$ 。若任務期間所有控制讀取均固定於不可變的 $\theta_v$ ，且只有在指定安全狀態、滿足版本相容性與部署驗收條件時才以原子方式切換，則候選版本訓練過程的寫入，不會直接改變當前任務對 $\theta_v$ 的參數讀取結果。

論證：由參數版本不可變性及寫入隔離，當前控制讀取只引用 $\theta_v$ ；候選版本寫入的記憶位置不被當前控制路徑讀取。原子切換前，候選參數不可能以該寫入路徑改變現行控制策略。證畢。

範圍限制：這只是配置管理與並行隔離的性質，並非物理安全定理。若訓練和控制共用 GPU／電源而產生資源爭用，仍可能造成延遲；若外部記憶、感測器或控制器被其他程序修改，現場行為仍可能改變。即使切換是原子的，新的版本也可能不安全。完整部署還需資源隔離、整合驗收、故障轉移、回滾與合規檢查。

11.3 候選模型上線的最小門檻

資料來源可追溯：訓練與評測資料分離，標記本體與環境分布。
版本與接口相容：模型、技能、傳感器、坐標與控制 API 的版本要可驗證。
離線與影子評測：在不接管實際致動的模式比較候選輸出、延遲及可供性。
受控場景測試：依風險規格在必要的人員、保護和監督下驗收。
有限範圍啟用：遵循已授權的任務與場景邊界，明確監測停止條件。
故障回滾或退出：有可驗證的停止、禁用或還原方法，而不是只保留上一個權重檔名。

跨版本比較不能只看「平均任務成功率提高」。若候選版本產生新的嚴重失效模式、超過控制期限或明顯提高人工介入，也應被視為獨立的部署阻礙。

12. 邊緣算力、資料帶寬與能源：不是只要把模型搬到雲端就完成整合

12.1 網路承載是架構條件，而不是事後的串流問題

若第 $k$ 路資料每秒產生 $r_k$ 筆、每筆 $b_k$ 位元組，且在採樣、壓縮及過濾後需傳輸的比例為 $\rho_k$ ，則理想化平均上行資料量為：

B_{\mathrm{up}}=\sum_{k=1}^{K}r_k b_k\rho_k.

此量不含重傳、封包標頭、同步訊息、加密負擔、資料突發性與可靠性冗餘。它只用來檢查：一個系統是否有可能把所有感測資料毫無選擇地交給中央模型處理。

例如完全假設兩台 RGB 相機，各自提供 $640\times480$ 像素、每像素三個位元組、每秒 30 幀，且不壓縮、不降採樣。兩路原始資料率為：

2\times640\times480\times3\times30 =55{,}296{,}000\ \mathrm{bytes/s}.

以十進位計約為每秒 $55.3$ MB，亦即約 $442.4$ Mb/s，尚未包含深度、力覺、IMU、控制記錄、時鐘同步和網路協定負擔。這只是檢查資料量級的算例，不代表所有機器人需要把這些資料上雲，也不代表此速度必然超過當代網路能力。

12.2 本地特徵、事件與原始資料不是互相取代

本體與邊緣站可依任務將資料分為：

控制即時資料：姿態、速度、接觸、必要安全傳感，須在本地閉環內及時處理。
技能與規劃摘要：目標、狀態、場景物件、子任務結果與失敗原因，可在可控延遲內跨節點交換。
高價值原始片段：模型失效、接觸不確定、人工修正等事件，需要保留原始上下文以供事後辨識。
低價值重複流量：可依資料治理政策採樣、壓縮、限時保存或不傳輸。

但事件式壓縮存在偏差風險：如果只有事故時才保存資料，研究者可能無法推估事故率，因為缺乏沒有事故的暴露時間與正常作業分母。因此事件資料與代表性抽樣資料必須共同保留。

12.3 成本函數應包含不可見的系統成本

在一段完整觀察時間窗內，令：

C_{\mathrm{full}}=C_{\mathrm{compute}}+C_{\mathrm{network}}+C_{\mathrm{energy}}+C_{\mathrm{hardware}}+C_{\mathrm{maintenance}}+C_{\mathrm{human}}+C_{\mathrm{recovery}}.

若該時間窗內依既定品質、風險及交付判準驗收的有效工作量為 $Y_{\mathrm{valid}}>0$ ，則可定義：

C_{\mathrm{unit}}=\frac{C_{\mathrm{full}}}{Y_{\mathrm{valid}}}.

當 $Y_{\mathrm{valid}}=0$ 時，單位成本不可計算為有限值；應如實標示零產出與總成本。不同設備折舊、場站人力或研究開發支出須使用一致口徑，不能把大型研發成本全部任意攤至第一台設備，也不能忽略長期維護責任。

12.4 算力更強是否一定能補回架構損失？

若瓶頸來自 GPU 推理，增加算力可能有用；但若關鍵限制來自控制器與現場感測不同步、網路抖動、機械結構缺陷、授權範圍或缺少事故恢復策略，單純增加參數量和推理吞吐量未必改善瓶頸。研究應先辨識「每單位成本產生多少被驗收的物理工作」，再決定升級模型、調整架構或改善本體。

13. 失效傳遞：每一層的錯誤如何進入下一層

以下矩陣說明 MTCCA 要求記錄的失效類型。表中方案均為候選處理策略，應依具體任務風險及已驗收機制調整，並非能直接用於實機的通用操作步驟。

失效來源	失效樣貌	可能造成的跨層後果	應記錄的證據	候選處理界線
感測缺失	力覺失去回應	技能推理誤認接觸正常	時間戳、設備狀態、缺失時間	暫停相關接觸技能、請求重新檢測
狀態過期	物體在推理期間移動	機械臂追蹤已不存在的目標	狀態年齡、物體軌跡、版本	拒絕舊目標或進行局部重定位
版本不相容	技能對應不同機體	指令超出工作空間或動作格式	版本宣告、接口錯誤	拒收不相容技能
高階錯誤	任務目標與現場不符	多個低階技能被正確地執行於錯誤目標	任務意圖、計畫來源、現場回報	重新確認子目標與任務條件
網路中斷	邊緣站／雲端不可用	新計畫、記憶檢索或資料上傳中斷	連通事件、當前子任務	維持已驗收的本地可安全行為或停止
控制期限失守	致動指令晚到	追蹤誤差、振盪、狀態漂移	截止期限、延遲分位、超時行為	獨立本地控制與失效處置
記憶污染	過時偏好被當成現場命令	長程計畫反覆錯誤	記憶來源、TTL、衝突處理	限定引用範圍、重新核對
更新失配	新 VLA 不支援舊技能	低階執行結果不可預測	模型與技能 manifest、回滾資料	凍結版本、隔離候選部署
人工接管未紀錄	遠端操作協助完成	對外產出被誤算為自主完成	接管時間、指令、任務結果	將人工工作納入完整評估

「失效安全」不必等於突然切斷所有動作。某些機器停止供力會造成墜落或更嚴重風險；適當的緊急反應須根據實際機構、負載與環境設計。本文只要求失效策略必須先被定義並驗證，不可讓高階模型在事故發生時臨時自由生成控制行為。

13.1 失效標記的因果層次

應分開紀錄：根因候選、可觀察失效、安全介入、最終任務結果。例如一次「未能抓起杯子」，可以來自遮擋、抓取計畫錯誤、夾具故障或物件滑落；只記錄最後「任務失敗」無法識別應先改良哪個層級。

此外，同一事件可能有多個共同原因。研究者應允許多標籤與不確定來源，不得強迫所有失敗只對應一個簡單的「模型幻覺」或「硬體問題」。

13.2 自主恢復不能偷換為人工恢復

若任務失敗後由人類遠端接管並修正，該成果可以是有價值的人機協作，但不可在原本定義為「無人工介入」的完整自主率中隱藏接管。恢復機制應另列：是否偵測到錯誤、是否自行停下、是否重新規劃、是否恢復安全狀態、是否要求人類授權，以及恢復耗費的時間和成本。

14. 多機體與分散式具身：相同契約，不同物理拓樸

WIIW-05 與 APET-06 已指出，具身邊界可以是局部、分散式或基礎設施型態。MTCCA 因此不要求所有資訊由一個中央「大腦」直接發給每一個馬達。

14.1 分散式架構的三種時間需求

本體內：單台機器的安全與運動控制優先維持局部閉環；它不能依賴其他機器永遠在線。

場站內：多台設備可能需要共享地圖、路權、任務分派、碰撞避讓意圖與工作空間；這些同步需求依任務而異。

跨場站／中央：資料整理、模型訓練與策略版本發行可較慢，但需要追蹤部署分布、技能適用範圍與資料授權。

一個多機器人系統若擁有中央高階規劃，也不表示中央可在網路故障時繼續對每台機器保證即時安全。各本體、場站與中央的權限邊界需獨立定義。

14.2 跨本體技能共享的必要元資料

若 $B_i$ 與 $B_j$ 的致動與感測空間不同，從 $B_i$ 學得的技能不應未經適配就寫成 $B_j$ 的可執行控制命令。技能分享應附：動作表徵、可轉譯範圍、標定版本、訓練分布、執行限制、失敗條件及驗收紀錄。研究上的技能遷移成功率，應按來源本體、目的本體及場景分層，而非只報單一平均數。

14.3 權限拓樸與計算拓樸不相同

中央伺服器能計算全局計畫，不代表它自動具有所有機器人的動作授權；某些場景需要場站管理者、操作者或安全系統保留拒絕權。相反地，本地機器有即時決策能力，也不代表可以跳過合法用途和現場限制。這延續 WIIW-05 對「知道、能做、被允許做」的區分。

15. 對照實驗：辨識模型、架構、記憶與硬體的交互效應

15.1 實驗原則：不要先把架構當成勝利者

核心比較應建立在相同機體、場景、任務籃、可用數據、運算及安全條件下。所有模型更換、控制策略調整與資料增量，都必須有版本紀錄。主要結果不應只報成功率，而應同時報合格完成、可用時間、人工介入、失效風險、延遲及成本。

最小研究設計採用模型能力 $M\in\{M_0,M_1\}$ 與架構 $A\in\{A_0,A_1\}$ 的交叉比較。 $M_0$ 與 $M_1$ 可以是同一模型家族不同版本，也可以是功能匹配但不同架構的模型；但必須公開對應能力和成本條件。 $A_0$ 為既有可用基線， $A_1$ 為加入時序、記憶及契約控制的候選設計。

組別	模型	架構	主要用途
G00	$M_0$	$A_0$	原始基線
G10	$M_1$	$A_0$	固定架構，測模型效應
G01	$M_0$	$A_1$	固定模型，測整合效應
G11	$M_1$	$A_1$	測共同更新與交互作用

15.2 因果對比必須明示介入對象

令 $Y_{ma}$ 為在相同目標分布下，部署模型 $m$ 、架構 $a$ 的預先指定平均合格產出。架構在舊模型下的效果定義為：

\Delta_A(M_0)=Y_{01}-Y_{00}.

模型在舊架構下的效果為：

\Delta_M(A_0)=Y_{10}-Y_{00}.

交互作用可表示為：

I=(Y_{11}-Y_{01})-(Y_{10}-Y_{00}).

此式只是四組均值的差中之差。要將其解釋成因果效應，需有適當的組別配置、隨機化或可辯護的識別假設；單靠四格觀察數字並不足夠。

15.3 虛構算例：效益不一定主要來自模型升級

假設在某個人工構造且固定的測試任務籃中，每組均有 100 個相同分布的試次，完全合格任務數如下：

組別	合格數／試次	合格率
G00： $M_0,A_0$	55／100	55%
G10： $M_1,A_0$	63／100	63%
G01： $M_0,A_1$	72／100	72%
G11： $M_1,A_1$	79／100	79%

在這個純數學示例中，固定舊架構而提升模型的差異為 $8$ 個百分點；固定舊模型而調整架構的差異為 $17$ 個百分點。交互作用為：

I=(0.79-0.72)-(0.63-0.55)=-0.01.

負一個百分點的交互項，不表示模型與架構彼此有重大抑制效果；在 100 次試驗的虛構樣本下，更不能聲稱具有統計顯著性。示例只說明分析方法如何避免把「整體增加 24 個百分點」全數歸功於較大的模型。

15.4 再加上記憶與通信負載消融

在 $2\times2$ 主設計之外，可預先登記以下消融，而非無限制增加組別再挑最有利者報告：

記憶：可檢索事件記憶開／關；保持相同模型權重及基本任務資訊。
狀態時效：同一場景下，改變觀測延遲與可見性；測量拒絕過期動作的正確率。
通信：受控注入延遲、丟包或短時中斷，檢查本地安全迴路是否仍能依設計運行。
能力宣告：相同高階模型，但技能／本體 manifest 正確或故意提供不相容樣本；檢查系統會拒絕還是盲目執行。
學習更新：無更新、只更新記憶、候選策略影子運行、受控策略切換；比較干擾與結果。

對安全敏感的故障注入，應先在模擬或硬體在環保護條件完成，再決定是否、如何在具保護和合格監督的場站實施；不能為了研究故意在開放環境製造危險。

15.5 任務族必須同時包含擅長與不擅長的場景

任務族	主要壓力點	重要對照
固定工位重複操作	控制精度、週期穩定性	專用控制器 vs. 增加高階規劃
多物件桌面操作	物件遮蔽、計畫與技能切換	新鮮狀態 vs. 延遲狀態
不同家居布局	記憶、語義泛化、跨場景重定位	事件記憶 vs. 無記憶
移動平台與抓取	導航、全身控制、技能權限	分層技能 vs. 單體策略
兩機協同搬運	通信、協調與局部保護	中央協調 vs. 分散降級
網路失聯／模型不可用	系統韌性與失效處置	具有本地備援 vs. 沒有備援

任務難度、干預及安全規則須在測試前確定。若模型或架構只在某一受控任務改善，不應外推至一般家庭、醫療或公共場所。

15.6 主要結果與次要結果分別預先登記

主要結果建議為指定時間窗內的合格自主完成率或合格工作量，並報告完整暴露量、任務定義與所有試次。共同主要安全門檻則是嚴重危害事件不得超出預先界定且合乎法定要求的風險準則，不能因成功率好看便忽略安全。

次要結果包括 P50／P95／P99 延遲、控制期限違反率、狀態陳舊度、人工接管次數與秒數、自主恢復時間、每單位合格產出成本、模型或技能版本切換失敗率、記憶檢索衝突率，以及從模擬測得的假說是否能在現場重現。

15.7 防止結果被看不見的變數扭曲

至少控制或記錄：試次日期、場景重複次數、硬體磨耗、操作者、遠端支援、光照、物體重量／材料、訓練資料暴露、設備校正、環境新穎性與停機時間。若每一組都在同一台會磨耗的設備上順序測試，先後順序便可能造成混淆；可採用平衡交叉順序與區塊隨機化，並考慮殘餘學習或機械磨耗的攜帶效應。

實驗開始前應固定主要比較、樣本規劃、效應量、統計區間、多重比較控制、異常排除規則與安全中止條件。結果即使為零、方向相反或不顯著，也必須報告。

16. 七項可反駁假說與相應零假說

編號	假說	能支持的觀察	會削弱或推翻的觀察
H1	物理時效契約可減少部分過期狀態造成的任務失效	相同場景下，逾期行動拒收與重感測減少失效	嚴格對照下沒有淨效益，或經常造成不必要停止
H2	固定模型時，接口契約與分層控制仍可提高長程合格產出	$A_1$ 在部分長程／多模態任務超過 $A_0$	兩者無差異，或新增接口成本壓倒收益
H3	模型升級的物理收益取決於延遲與技能相容性	$M_1$ 的收益因 $A_0/A_1$ 明顯不同	在各架構與場景中收益近似同幅且無交互作用
H4	版本化記憶對部分非 Markov 長程任務有用	有記憶組較能恢復中斷任務與修正前次錯誤	合法控制其他變數後，記憶不改善或降低表現
H5	隔離式候選訓練與受控發布可減少更新干擾	在資源隔離後，現行策略截止期限不受候選寫入影響	共享資源或其他路徑仍造成等量干擾，流程無法保證隔離
H6	現場網路不穩時，本地控制與明示降級規則能維持部分安全能力	中斷下能按照已驗證規格穩定退出或維持必要功能	中斷仍使關鍵閉環不可控，或降級增加危害
H7	最佳架構依任務、機體與總成本而改變	不同任務族出現分層、端到端、專用控制器的交叉優勢	一種架構在預先固定的廣泛條件下持續占優，且符合成本與安全要求

對每一項，零假說至少應包含「指定可觀測結果在對照條件下沒有差異」。H7 尤其不應被寫成不可推翻的萬用說法：若高品質證據顯示某種系統在明確界定的整個任務族穩定優於其他配置，則該任務族就應接受這種結果，而不是任意增加例外逃避比較。

17. 數位—實體能力解耦的機制定位

17.1 這篇研究的是能力轉化，不是智能是否存在

本系列的起點是數位 AI 能力與實體作用能力可能非同步發展。MTCCA 為此提供一組具體機制：

若高階推理能力成長，但即時控制、狀態估計或物理可供性不變，則實體任務可能沒有同比進步。
若模型能力固定，但改善時效契約、局部狀態與技能適配，則實體任務可能在模型參數不變時進步。
若本體硬體與資料品質獲得突破，某些物理能力可能以比高階語言能力更快的速度成長。
若分層增加成本、延遲及維護失誤，具身架構可能退步，不能把「整合」一詞當成自動正向評價。

因此，研究不應在觀察到某個架構失敗時立即判斷「AI 還不夠聰明」，也不應在更換架構後就推論「全域智能已經解決」。應對每個任務區分模型能力、觀測資訊、可供技能、物理控制及部署經濟的相對作用。

17.2 由架構到經濟的傳遞路徑

設某套具身系統在給定期間的有效工作產出為 $Y$ ，單位有效產出成本為 $C_{\mathrm{unit}}$ ，則能否商業化至少還要比較其與可替代流程的成本、品質、可用性、法律要求和客戶需求。即使模型與控制都達標，也可能因維護困難、場站改造昂貴或現場接管時間過高而無法廣泛部署。

這與 LWCT-02 的「不均衡豐裕」研究相容：數位領域已產生大量設計、規劃與程式能力，不代表所有物理服務立即供給充足。但此類社會級推論需要另外連結市場規模、產業採用、能源、材料與勞動條件，不能由本篇架構模型直接推出。

17.3 「數位世界先達標」仍是一個需要對照資料的情境

未來可能發生：高階 AI 已能完成複雜軟體與遊戲專案，而陌生環境中的通用機器人仍需頻繁接管。但也可能出現相反情況，例如單一用途物流機器人在成熟工業場景的可靠性遠早於通用軟體代理。因此本篇不將數位世界優勢當成歷史必然，而是指出相同 AI 年代可以存在不同的任務與控制成熟度，需要以 DPIED-01 的固定任務籃及 DPIED-03 的真實工作證據判定。

18. 反例、競爭架構與適用界線

18.1 簡單專用機器人可能完全不需要大型模型

固定工位的工業操作若擁有結構化目標、精確夾具和可預知物件，使用專用視覺、控制器及有限狀態機，可能比層次複雜的大模型系統更快、更可靠且更便宜。這不是具身 AI 失敗，而是表明具身能力可以存在於不同技術組合中。

18.2 一個訓練良好的端到端策略也可能優於多模組接口

如果任務的狀態空間和動作分布已充分覆蓋，且端到端模型具有良好的即時性能，增加語義接口、事件佇列與記憶服務反而可能造成更多失效。MTCCA 不主張每種機體都需要相同數量的獨立程序；它主張無論模型內部是否端到端，部署系統都必須辨識時間、狀態、權限與更新的風險邊界。

18.3 中央模型不一定比本地模型慢

實務上某些場站有高效本地網路、強大伺服器及較弱的本體處理器，中央或邊緣推理可能更快、更準確且更省能源。關鍵是端到端延遲分布、故障模式、通信可靠性及需求期限，而不是單以「雲端」或「本地」兩字判斷適用性。

18.4 分層可能掩蓋跨層共同原因

若感測器校正偏差同時影響狀態估計、技能選擇與規劃器，三個模組即使各自通過單元測試，整機仍可能系統性失敗。這要求整合測試、共同時鐘、分布外觀測和端到端失效回放，而不只是每一層的獨立精度報告。

18.5 記憶不是每個任務的必要能力

短時、完全可觀測、可立即重置的任務可能無需長期記憶；引入記憶會提高成本與隱私風險。本篇的記憶研究適用於需要持續身份、長程任務、場景變遷、失敗修正或跨時段協同的條件，而不是把「記憶越多越好」當成普遍結論。

18.6 新神經架構仍可能大幅改變整合成本

如果未來出現更高效的統一多模態架構、可微分世界模型、持續學習方法或分散式計算新機制，MTCCA 的實際模組邊界可能被重新配置。但即使模型變得高度統一，物理安全、資源約束、控制期限和合法權限仍須以某種形式處理。這是對問題存在性的描述，不是對特定技術堆疊永遠有效的承諾。

18.7 當前論證不等於已完成現場驗收

本篇沒有自建機器人、沒有運行新的控制器、沒有獲得供應商私有訓練資料、沒有執行多機器人實機試驗，也沒有通過任何機械安全認證。已有文獻中的成功結果屬於各原研究者及其對應測試條件。本文新增的是一組能夠被測試的整合假說與接口規格。

19. 命題—證據—驗證狀態矩陣

命題或研究主張	依據	本篇狀態	還需要什麼才能升級證據等級
P1：硬期限不受語義正確性直接補償	依賴關係與時間上界的邏輯論證	條件性命題成立	指定本體的實際路徑測時與期限規格
P2：過期觀測的保守餘裕	Lipschitz、估計誤差和速度界	條件性不等式成立	驗證模型界限、整條行動軌跡及真實風險
P3：長程成功的條件依賴	機率鏈式法則及反例	恆等式與非唯一性主張成立	長程完整試次與恢復狀態資料
P4：較強模型不必保證更好實體成果	可構造的延遲與接口反例	非普遍單調性成立	模型 × 架構的實機交叉實驗
P5：理想額外資訊不能降低最優值	策略集合包含關係	限定前提下成立	有成本記憶服務的消融與現場延遲測量
P6：參數版本隔離避免候選寫入直接改動現行策略	不可變讀取與隔離假設	限定前提下成立	實際資源隔離、部署流程與故障測試
H1–H7：時序、記憶、更新與成本假說	研究設計與文獻動機	尚未經本文驗證	預先登記、對照、樣本與獨立覆核
MTCCA 整體優於某個基線	無自建實測	未證實	模擬、硬體在環及實機分階段比較

應注意：數學上推得一個條件性界限，與在物理機器上證明前提成立並達到安全等級，是兩種完全不同的證據。任何研究報告均應將二者分開。

20. 結論：具身智能的成熟，取決於不同時鐘能否形成同一個可靠世界

DPIED-01 已將數位與實體 AI 的演化差異從單純的產業印象，轉化為可以在固定任務籃中檢驗的非同步假說。DPIED-02 指出模型理解不是物理執行的充分條件。DPIED-03 進一步要求區分展示、出貨與可靠有效工作。DPIED-04 證明，在特定觀測等價與隱藏物理條件下，影片內容本身可能不足以識別安全動作。

本篇把這些問題進一步連接成系統架構：物理世界持續變化、局部控制有期限、技能有本體邊界、記憶有來源與時效、模型更新有版本與驗收責任。一個大型模型即使能在文字或影片中描述整個行動過程，也不能僅憑這種描述，使其他時間尺度與物理系統自動同步。

MTCCA 的新增貢獻不在宣稱已找到終極機器人大腦，而是在同一框架內明示：

時序契約：哪些資訊何時有效、哪些動作必須在期限內完成。
狀態契約：觀測和世界版本如何連結，什麼情況下必須重新感測。
技能契約：語義計畫如何受機體能力、現場條件與權限所限制。
記憶契約：長期經驗如何被引用、修正、追溯，而不偽裝成當下真值。
更新契約：新模型與新技能如何經過可追蹤的驗證過程進入控制系統。

這些契約並不要求永遠有七個分開的神經模型；它們更接近一組任何有意承擔物理世界後果的 AI 系統，都應面對的研究問題。未來系統可以是分層、多代理、端到端、可微分世界模型、專用控制器或多種路線混合。哪一種組合更有效，必須由相同條件下的安全、可靠性、全成本與實際工作量驗證。

本文的終端命題為：

具身智能的進步，不只是讓更強的模型理解物理世界，而是使不同時間尺度的推理、記憶、控制與學習，能在同一個持續變動的物理世界中保持可驗證的因果一致性。

因此，當數位 AI 已經能完成高度複雜的知識工作，而物理機器仍有長時間的部署落差時，我們需要問的未必是「模型還要大多少」，還應包括「系統能否把模型已知、局部已感知、機體可執行、當下獲授權與長期能持續維護的條件，連接成一個可靠的閉環」。

這個問題不預設下一個 AI 架構革命是否出現。即使沒有完全嶄新的神經架構，既有模型與控制、記憶及分散式學習架構的改善，也可能使物理 AI 取得重要進展；若新架構出現，則可能改變最有效的耦合方式。但其價值仍須回到世界中被實際改變、而且能夠持續安全維持的成果來衡量。

參考資料：公開且可辨識的研究與技術來源

以下文獻作為外部背景、技術先例與條件說明，並非本篇原創命題的實機驗證資料。商業研究團隊的展示與論文應依其原始測試範圍解讀；標準頁面只能提供適用範圍線索，不代表本文取得全文授權或完成標準條款審核。

[R1] NVIDIA（2025-03-18），NVIDIA Announces Isaac GR00T N1 — the World’s First Open Humanoid Robot Foundation Model — and Simulation Frameworks to Speed Robot Development；雙系統之高階推理與快速動作分工。https://nvidianews.nvidia.com/news/nvidia-isaac-gr00t-n1-open-humanoid-robot-foundation-model-simulation-frameworks
[R2] Google DeepMind（2026-07-30），Introducing Gemini Robotics ER 2；高階具身推理與底層 VLA 執行、平行規劃及多機協作之官方說明。https://blog.google/innovation-and-ai/models-and-research/google-deepmind/gemini-robotics-er-2/
[R3] Shi, L. X., et al.（2025），Hi Robot: Open-Ended Instruction Following with Hierarchical Vision-Language-Action Models，ICML，PMLR 267:54919–54933。https://proceedings.mlr.press/v267/shi25d.html
[R4] Black, K., et al.（2025）， $\pi_{0.5}$ : a Vision-Language-Action Model with Open-World Generalization，CoRL，PMLR 305:17–40。https://proceedings.mlr.press/v305/black25a.html
[R5] Ji, L., et al.（2026），HiMe: Hierarchical Embodied Memory for Long-Horizon Vision-Language-Action Control，ICML，PMLR 306:51611–51631。https://proceedings.mlr.press/v306/ji26k.html
[R6] Bridging Large-Model Reasoning and Real-Time Control via Agentic Fast-Slow Planning（2026），IEEE ICRA，DOI: 10.1109/ICRA57385.2026.11695925；研究中的實驗場景為 CARLA 模擬。https://doi.org/10.1109/ICRA57385.2026.11695925
[R7] ROS 2 Design，Introduction to Real-time Systems；即時迴路、分頁錯誤、記憶配置與排程條件的設計背景。https://design.ros2.org/articles/realtime_background.html
[R8] ROS 2 Design，ROS 2 Quality of Service policies；可靠性、期限、存活性及其他通信策略。https://design.ros2.org/articles/qos.html
[R9] ros2_control，Controller Manager（Kilted 系列官方文件）；控制迴路確定性、更新與執行優先序。https://control.ros.org/kilted/doc/ros2_control/controller_manager/doc/userdoc.html
[R10] Ames, A. D., Xu, X., Grizzle, J. W., & Tabuada, P.（2017），Control Barrier Function Based Quadratic Programs for Safety Critical Systems，IEEE Transactions on Automatic Control，62(8)，3861–3876。DOI: 10.1109/TAC.2016.2638961。https://doi.org/10.1109/TAC.2016.2638961
[R11] ISO（2025），ISO 10218-1:2025 — Robotics — Safety requirements — Part 1: Industrial robots；工業機器人本體的安全標準範圍。https://committee.iso.org/standard/73933.html
[R12] ISO（2025），ISO 10218-2:2025 — Robotics — Safety requirements — Part 2: Industrial robot applications and robot cells；工業機器人應用與工作站整合的安全標準範圍。https://www.iso.org/standard/73934.html
[R13] Zhao, T. Z., Kumar, V., Levine, S., & Finn, C.（2023），Learning Fine-Grained Bimanual Manipulation with Low-Cost Hardware；Action Chunking with Transformers（ACT）的代表性研究。https://arxiv.org/abs/2304.13705

與 EveMissLab 已有研究的銜接

《具身 AI 的本地算力困境與分層學習閉環》v0.1，2026-06-30：提供本體—本地站—中央學習分層的前置架構。本篇新增時序、狀態、技能、權限及更新契約。
WIIW-05《當智能進入物理世界：具身 AI 與文明作用拓樸》v0.1，2026-09-02：提供物理行動及權限不同於純認知的文明拓樸基礎。
APET-06《具身的是什麼？從人形機器人到分散式世界身體》v0.1，2026-09-23：提供分散式與非人形具身的概念邊界。
LWCT-02《不均衡豐裕》v0.1，2026-10-07：提供數位與實體生活領域不同步的經濟學連結。
DPIED-01 至 DPIED-04，2026-11-04 至 2026-11-05：依序處理能力曲線、能力轉化、產業證據、影片觀測與動作可識別性。

附錄 A｜最小可稽核事件與試次資料規格

研究資料至少須能還原以下資訊：

trial_id: REQUIRED
experiment_arm: REQUIRED
task_family: REQUIRED
task_definition_version: REQUIRED
scene_id: REQUIRED
robot_body_id: REQUIRED
sensor_manifest_hash: REQUIRED
controller_manifest_hash: REQUIRED
skill_manifest_hash: REQUIRED
planner_model_hash: REQUIRED
memory_snapshot_manifest: REQUIRED
observation_acquired_time: REQUIRED
observation_received_time: REQUIRED
plan_produced_time: REQUIRED
skill_accepted_time: REQUIRED
actuation_start_time: REQUIRED
clock_domain_and_uncertainty: REQUIRED
state_frame_units_and_uncertainty: REQUIRED
control_deadline_and_violation: REQUIRED
plan_validity_and_rejection_reason: REQUIRED
human_takeover_count_and_duration: REQUIRED
self_recovery_count_and_duration: REQUIRED
safety_event_types: REQUIRED
qualified_outcome: REQUIRED
operational_exposure_time: REQUIRED
full_cost_accounting_scope: REQUIRED
training_evaluation_split_id: REQUIRED
provenance_and_consent_status: REQUIRED
known_missing_fields: []

此 YAML 僅為研究欄位清單，不是可直接部署於控制系統的規格。實際數據格式可採用 Parquet、JSON、ROS 2 bag 或其他適當技術，但需要版本可追溯、時鐘可比對、缺失值不被虛構，且安全與隱私記錄受到正當保護。

附錄 B｜研究用候選運行流程偽碼

下列偽碼只有概念與測試設計用途。沒有實際風險模型、排程證明、控制硬體與標準驗收時，不得視為具備可部署安全性的機器人程式。

INITIALIZE local_safety, realtime_control, state_estimator
LOAD immutable approved_skill_manifest, approved_model_manifest
VERIFY interface_versions, body_calibration, local_fallback

LOOP local_control_clock:
    obs <- READ_LOCAL_SENSORS()
    state <- UPDATE_STATE_ESTIMATE(obs)
    IF local_safety.detects_prohibited_state(state):
        EXECUTE_APPROVED_SAFE_RESPONSE()
        RECORD_EVENT()
        CONTINUE
    accepted <- GET_LATEST_VALID_APPROVED_SKILL_REFERENCE()
    IF accepted.is_expired OR NOT accepted.preconditions_hold(state):
        EXECUTE_VERIFIED_FALLBACK_OR_HOLD()
        REQUEST_ASYNC_REPLAN()
    ELSE:
        REALTIME_CONTROL_STEP(accepted, state)
    RECORD_TIMING_AND_OUTCOME()

ASYNC local_skill_clock:
    RECEIVE_APPROVED_SUBGOAL_WITH_STATE_VERSION()
    REVALIDATE(body_capabilities, observation_age, constraints)
    IF valid:
        PUBLISH_VERSIONED_SKILL_REFERENCE()
    ELSE:
        REJECT_AND_NOTIFY_PLANNER()

ASYNC planning_and_memory_clock:
    READ(event_memory, source_metadata, world_state_summary)
    PROPOSE_SUBGOALS_WITH_EXPIRY_AND_SKILL_CONTRACTS()
    OBSERVE_SKILL_RESULTS_AND_RECOVERY_EVENTS()
    UPDATE_VERSIONED_EVENT_MEMORY_WITH_PROVENANCE()

OFFLINE learning_and_release_clock:
    CURATE_AND_AUDIT_DATA()
    TRAIN_CANDIDATE_IN_ISOLATION()
    TEST_OFFLINE_AND_SHADOW()
    RELEASE_ONLY_WITH_APPROVED_VERSION_GATE()

任何實作都必須補上確定性排程、執行緒隔離、共享資源分析、資料完整性、權限檢查、故障樹、安全硬體、人機接管條件及第三方所需審核。

附錄 C｜原稿中的數學前提與邊界聲明

P1 的前提：某關鍵反應必須同步等待可能超過期限的路徑，且沒有及時替代動作；若存在獨立本地安全機制，不能直接推論事故。
P2 的前提：安全函數具局部 Lipschitz 性質、估計誤差與狀態速度具有可信上界，且時間戳可比較；證明僅延伸至行動開始時刻，不保證後續整條軌跡。
P3 的前提：條件機率鏈以有定義的先前成功條件為基礎； $q^n$ 是在每一條件成功率都至少為 $q$ 時的下界，人工構造的常數情況才可寫成等號。
P4 的前提：比較模型於同一部署任務時，不能把高階基準的較佳分數直接視為物理閉環的必然優勢。
P5 的前提：新資訊能被無成本忽略、舊策略集合仍可選且行動效用不變；有限記憶、檢索錯誤與推理延遲不在此理想定理中。
P6 的前提：候選訓練參數與現行控制參數在讀寫上真正隔離，且切換具有原子性；此不排除共享硬體爭用、錯誤更新內容與其他外部狀態變更。
所有安全用語：本文的條件命題、框架與偽碼不等於產品認證、現場作業規範或法規合規判定。
所有數值算例：均為人工構造，用來核對量綱、公式和指標；與任何廠商的實機效能、出貨、財務或可靠性紀錄無關。
證據區分：外部文獻所報研究成果、本文條件性數學論證及尚待實證的 MTCCA 假說必須各自標明，不得合併稱為「已證明」。
原稿來源：本 UTF-8 Markdown 為 DPIED-05 的 canonical source。聊天介面、網頁渲染、排版軟體與任何未驗證轉換所得內容，只能是閱讀或衍生版本，不能取代原始稿。

附錄 D｜與下一篇 DPIED-06 的交接邊界

本篇到此為止，已建立跨時間尺度的運行、記憶與更新契約。DPIED-06《從虛擬訓練到真實世界的遷移邊界》需要獨立回答：

模擬器中的狀態、動作與接觸動力學，哪些可與實體機器對齊？
如何區分訓練分布內的成功與物理分布外的失敗？
影片世界模型、傳統物理模擬與真實操作數據，在什麼條件下可以互補？
跨本體遷移何時成功，何時只是在重複來源機體的偏差？
高保真模擬的成本與轉移效益應如何比較？

上述內容屬下一篇的正式研究問題，不因本篇提出接口就提前視為已完成。

DPIED-05 完。