DPIED-07｜自主行動的長程可靠性與修復閉環

從故障累積、異常偵測、狀態恢復到可稽核的持續物理工作

Long-Horizon Autonomous Reliability and Recovery Loops: Failure Propagation, Safe Restoration, and Auditable Physical Work

系列： 數位—實體智能演化解耦論（Digital–Physical Intelligence Evolutionary Decoupling, DPIED）
篇次： DPIED-07／09
版本： v1.0
日期： 2026-11-05
作者： Neo.K
機構： EveMissLab／一言諾科技有限公司
AI 協作整理： Aletheia（GPT-6）
前置研究： DPIED-01 至 DPIED-06；《具身 AI 的本地算力困境與分層學習閉環》；APET-06；WIIW-05；LWCT-02
文件性質： 理論研究／條件性數學論證／系統設計與實驗協定
證據狀態： CONCEPTUAL MODEL + CONDITIONAL RESULTS + PUBLIC LITERATURE; ORIGINAL ROBOT EXPERIMENTS NOT PERFORMED
正式原稿： UTF-8 Markdown；數學僅以 $...$ 、$$...$$ 表示
範圍： 非特定廠商能力評級；非量產驗收證書；非機器人安全認證

摘要

隨著視覺—語言—動作模型（VLA）、世界模型及跨時間尺度控制架構進展，機器人已能在特定任務與受控場景中展現越來越強的動作能力。然而，單次任務成功率、故障辨識準確率、故障後的局部重試成功率與長時間無人工介入的合格生產率，並非同一個量。一套系統可以完成漂亮展示，也可以在反覆失敗後最終完成單件任務，卻仍無法在規定時窗、風險容忍度與成本限制內持續工作。反之，某些有限任務中的保守停止、局部復原與人工升級，可能比強求無限自主重試更具實際效用。

本文接續 DPIED-05 的跨時間尺度因果契約與 DPIED-06 的模擬—實體遷移邊界，提出研究用候選框架 LRRC（Long-horizon Reliability and Recovery Contract；長程可靠與修復契約）。框架不把大型模型當作機電安全功能的替代品，而是區分狀態監測、異常辨識、故障隔離、物理恢復、恢復驗證、受限續行、人工升級與事後稽核。本文使用條件成功率連乘、首次失效存活函數、狀態依賴修復決策、偵測器基率效應、任務時窗與競爭風險模型，將「恢復能力」形式化為一個依賴狀態、安全可達集合、成本與剩餘時間的條件性能力，而不是一個脫離環境的模型分數。

本文建立八項有明確前提的命題、八項可反駁假說、含中斷與競爭風險的實測設計、故障注入與恢復能力分級、資料與版本契約，以及兩組可重算的虛構算例。文獻評述同時納入支持與反例：2026 年的研究確實展示多種故障恢復進展，但 VLA-FixBench 亦顯示，診斷更豐富不保證修復的實機收益為正。因此本文不以「增加恢復代理」預設為性能改善，也不以安全停機視為智能失敗；其判準是同一任務、環境、機體、時窗與風險約束下，系統是否提供可稽核的合格工作及更低的全成本。

本文終端主張：長程具身自主的成熟，不是避免所有故障，而是在不可避免的故障、物理不可逆性與有限資源下，仍能正確辨識何時繼續、何時修復、何時停止，以及何時交回行動權限。

關鍵詞： Embodied AI；Long-Horizon Reliability；Failure Recovery；Reset-Free Evaluation；VLA；Physical Autonomy；Runtime Assurance；Competing Risks；Intervention Cost；Safety Contract；Digital–Physical Decoupling

0. 研究定位：本篇不是重新發明分層機器人

0.1 與前六篇的責任分界

DPIED-01 已要求分離數位 AI 與實體 AI 的能力曲線，並避免直接比較不同基準的百分比。
DPIED-02 研究認知能力轉成實體動作時的損失與系統瓶頸。
DPIED-03 將展示、出貨、部署與有效自主工作分開衡量。
DPIED-04 處理影片觀測、隱藏物理狀態及可行動資訊的差異。
DPIED-05 提出跨時間尺度時序契約 MTCCA，要求快慢推理、控制、記憶與版本安全互相約束。
DPIED-06 研究模擬、世界模型及跨本體遷移的條件性有效範圍。

DPIED-07 新增的研究對象是： 系統已開始真實工作後，多次任務、故障、恢復、停機與升級所構成的長程運行過程。它不是第六篇的 Sim-to-Real 重述，也不是第五篇的層級控制重新命名。

本篇的核心研究問題依次是：

一個模型即使局部成功率很高，為何整個長程任務仍可能脆弱？
異常監測、錯誤診斷與實際修復，何時能形成正的系統收益？
何種環境可以安全重試、重新放置物件，何種環境必須停機或尋求人工協助？
如何在不掩蓋人工復位、維修與危險事件的情況下衡量「無介入自主」？
模型更新、記憶與局部修復，何時改善或破壞原本的保證？
長時間工作能力在什麼情況下才可能形成真正的物理生產力？

0.2 三種證據不得互相冒名

A. 外部文獻結果： 其他團隊在特定資料、機器、場景與協定下的觀察。
B. 條件性形式化結果： 在明確數學假設下成立的恆等式、上界或構造反例。
C. 待驗證系統假說： LRRC 框架或特定策略在未來實際部署的預測，沒有因本文寫成而獲得實機證明。

本篇不能由 A 推出任何通用商業成功率，也不能把 B 當成 C 的性能驗收。

1. 2026 年已有故障恢復進展，問題不是「完全沒有人研究」

1.1 從一次成功，走向失敗後的動作

AAAI 2026 的 TCoT 將全域與局部軌跡計畫與故障恢復加入 VLA 操作，研究表明，短程動作映射可藉額外的規劃與恢復機制改善長任務表現；然而這不等於所有機體、所有安全條件都可以直接照搬 [R2]。

CVPR 2026 的 FLARE 研究採取 Retry 與 Reset 的恢復策略，試圖讓依賴「成功示範」的模型也能處理偏離與失敗。其貢獻是恢復資料與策略設計，而不是提供不受物理條件限制的重置能力 [R3]。

LIBERO-Recover（2026）建立超過一千個恢復情境，區分動作重試、動作調整、物件狀態恢復與環境恢復。它明確把「能完成任務」與「失敗後能修復」當作不同能力 [R6]。

1.2 特別重要的反面證據：檢測成功不等於修復成功

ICML 2026 的 VLA-FixBench 包含 6,034 個執行片段，涵蓋模擬與兩種實機任務，其公開頁面清楚區分靜態診斷、動態回退與實機修復。其一組實機比較中，無 VLM 判斷器的 GR00T-N1.5-3B 策略成功率為 30%；表中的最佳自動 VLM 輔助結果為 25%；人工專家介入的參考上界為 65%。此組數值不應被寫成「自動恢復由 30% 提高到 65%」；65% 是人工介入結果，而自動判斷器在該評測設定下未超越基線 [R4]。

這不是「恢復無效」的普遍證明，而是直接提醒：判斷器的誤報、介入時機、回退位置及動作校正精度，都可以把原本應成功的軌跡弄壞。

另一個界線來自 FRAMES（2026）：其公開報告的 94.0% 是在 100 次 MuJoCo 測試中，獨立監測模組的整體辨識準確率（偵測 48/50 次失敗，正確接受 46/50 次成功）；完整端到端恢復閉環評估當時仍在進行。不能把 94% 宣稱成「人形機器人成功修復率」[R5]。

1.3 物理環境重置本身也是工作

HALTER（2026）在 Franka 機械臂的四種長程任務評測中，以組合式重置技能恢復場景，公開報告恢復率 76%，高於比較方法 52% 與 65%，並降低人工操作評測時間。這是特定任務與評測重置場景的成果，不可直接當作家庭服務機器人的長時間自主率 [R7]。

HiP-LR（EMNLP 2026）以局部故障重規劃避免多機器人系統全部停住，在 MAP-THOR 等基準下報告相對於其對照方法的任務成功率與等待成本改善。它提示「隔離故障」可能重要，但模擬多代理協調的改善，不等於實體硬體安全已獲認證 [R8]。

FARL（ICRA 2026）透過安全評估與恢復策略，在作者所測的真實世界強化學習流程中降低需人工介入的失敗；這支持針對風險與修復的學習有可行路線，但具體效果依場景及協定而定 [R9]。

1.4 文獻共識與尚未達到的推論

近期綜述將長程操作的困難分解為階段依賴、歷史狀態、誤差傳遞與恢復成本 [R1]。另一項涵蓋 2020–2026 年研究的範疇回顧發現，模擬測試、可控物件操作與局部任務仍佔研究很大比重，真正 reset-free、真實世界持續學習及複雜材料操作的證據相對薄弱 [R10]。

補充而言，PARTS（2026）在特定實機長程任務中針對瓶頸子任務進行強化學習，報告改善完整任務成功率，但論文明確保留必要時由人類進行實體重置，不能將其描述為完全無人 reset-free 訓練 [R15]。LongBench（2026）在真實長任務中區分可觀測與依賴上下文的不同難題，提醒長程失效來源並非單一平均指標能說明 [R16]。VLA-Corrector（2026）使用可觀測的視覺、機體狀態與執行歷史做階段性驗證，提供不依賴特權模擬狀態之恢復方向，但其報告仍依特定測試分布而成立 [R17]。跨層具身安全綜述也要求區分形式保證、統計支持與經驗性安全啟發法 [R14]。

因此，本篇不提出「只有 LRRC 才理解故障恢復」的錯誤新穎性主張；真正要補的是跨任務、跨時間、可比較且將成本與安全一起算入的可靠性辨識框架。

2. 基本操作定義：先決定什麼才算完成

2.1 研究單位：機體、任務、環境與時窗

一次可比較的運行必須至少指定：

\omega=(b,e,\mathcal T,\pi,\mathcal I,H,\mathcal S,\mathcal C).

其中：

$b$ ：機器人本體、感測器與硬體修訂；
$e$ ：環境、場站、物件分布及可預期干擾；
$\mathcal T$ ：任務籃與驗收準則；
$\pi$ ：主策略（包括模型版本與規劃）；
$\mathcal I$ ：恢復、人工升級及安全介面政策；
$H$ ：預先登錄的長程工作時窗；
$\mathcal S$ ：場域適用的安全約束；
$\mathcal C$ ：時間、能量、人力、磨耗與資源成本口徑。

若對照研究中的 $H$ 、工作籃或人工介入規則不同，即使兩組都聲稱「95% 成功」，也不能直接做因果比較。

2.2 五種不同的完成狀態

名稱	判定問題	不可誤稱
一次執行成功	初始條件下是否直接達成目標？	長程自主可靠
恢復後完成	在允許的重試／恢復政策下是否達成？	無條件一次成功
無人工介入完成	全程未由人類復位、遙操作或改寫任務？	零風險或零監測
安全停止	系統無法安全續行時是否守住規定邊界？	任務成功
合格長程產出	指定時窗內合格成果、成本與安全是否達標？	單次展示成功

安全停止可能是一個安全層面正確、但任務完成層面失敗的事件。若混成單一「成功」，既會誤導能力也會誤導安全。

2.3 嚴格長程自主成功率

令 $G_H=1$ 表示在預定時窗內完成全部必要任務、達到品質門檻； $N_I(H)$ 為人工介入次數， $N_U(H)$ 為不安全事件次數。定義：

P_{\mathrm{strict}}(H)=\Pr\bigl(G_H=1,\ N_I(H)=0,\ N_U(H)=0\mid\omega\bigr).

此定義的人工介入是否包含遠端確認、人工上料、程式修改與環境復位，必須在實驗前寫明。正常的合法監督不必然是系統能力失敗，但若報告的是「無介入」，不得暗中略去它。

另定義恢復後可接受的任務完成率：

P_{\mathrm{assisted}}(H)=\Pr(G_H=1\mid\omega),

其中必須另外報告人工介入及恢復成本；本指標名稱不是說「一定有人工」，而是允許預先登錄的協助政策。通常 $P_{\mathrm{strict}}(H)\le P_{\mathrm{assisted}}(H)$ ，因為前者是後者的子事件，不是因為兩個政策一定相同；若兩者對應不同政策，包含關係便不成立，必須停止直接比較。

2.4 事件類型與程度

建議至少區分：

$F_1$ ：微偏差，可在受控安全狀態自行調整；
$F_2$ ：技能失敗，需中止當前技能並重新計畫；
$F_3$ ：物件狀態改變，必須重新辨識或恢復物件關係；
$F_4$ ：環境失效或資源缺失，需外部條件恢復；
$F_5$ ：安全相關事件或高風險未遂，需觸發獨立防護及調查；
$F_6$ ：機電與通訊故障，可能觸發停機、維修或降級運作。

此分類是研究用資料字典，不是 ISO 官方風險分級。

3. LRRC：長程可靠與修復契約框架

3.1 理論地位

LRRC 是建立在既有監測、恢復、驗證、分層控制和風險管理工作之上的可檢驗整合候選；不是宣稱已有一套新神經架構，也不是可以繞過安全審查的部署軟體。

它要求每一次續行都回答四個不同問題：

世界現在究竟處於何種狀態？（狀態估計與不確定性）
上一階段發生了什麼？（故障分類與因果追蹤）
哪個恢復選項仍在安全可達集合內？（可供性與風險）
恢復後如何證明已回到下一技能的有效支持域？（重驗證與版本契約）

3.2 候選層級與責任邊界

契約層	輸入	主要責任	禁止越權
C0 獨立安全防護	安全感測、限位、能量與人員狀態	停止危險動作、維持保護狀態	由 LLM 直接解除實體防護
C1 狀態監測	時間同步感測與動作記錄	偵測偏移、過期資訊及失效候選	以單一信心分數取代校準
C2 故障診斷	歷史軌跡、目標與物件狀態	估計失效位置、機制與可觀測程度	未知原因時假裝已知
C3 決策與隔離	診斷、風險、剩餘時窗及資源	重試、局部修復、暫停、人工升級	在高風險條件下無限重試
C4 物理恢復	安全技能、場景圖、可達集合	重新抓取、還原、移除障礙或轉換策略	把數位回滾當成實體回滾
C5 重驗證	物理觀測、技能前置條件與版本	確認環境及控制狀態可再次續行	未驗證就視作恢復成功
C6 長期稽核與學習	事件軌跡、標籤、成本、人工處理	改善模型、更新技能與風險評估	未經測試的權重直接熱替換控制策略

C0 的工程實作與適用安全標準由實際使用場域決定。大模型及 VLA 可以提出建議，不因此取得機電安全功能的最終授權。

3.3 與 MTCCA 的接口

DPIED-05 的 MTCCA 負責時間與版本契約，LRRC 增加故障跨層處置契約：

K_t=(\tau_t,v_t,b_t,\mathcal A_t,\mathcal S_t,d_t,\rho_t).

$\tau_t$ ：共同時間基準與時間戳；
$v_t$ ：生效模型、規劃器、技能與安全規則版本；
$b_t$ ：由觀測歷史形成、帶不確定性的世界狀態信念；
$\mathcal A_t$ ：在當下機體與環境中可選的物理動作集合；
$\mathcal S_t$ ：當下允許的安全狀態與動作約束；
$d_t$ ：期限、逾時與恢復時間預算；
$\rho_t$ ：故障證據、稽核鏈與恢復來源。

若版本或觀測時間戳無法對齊，最安全的候選回應不一定是繼續推理，而可能是拒絕續行或轉入經驗證的安全狀態。

4. 形式化：部分可觀測、允許恢復的物理任務

4.1 動態、觀測與歷史

令真實狀態為 $x_t$ ，動作為 $a_t$ ，擾動為 $\xi_t$ ：

x_{t+1}=f(x_t,a_t,\xi_t),\qquad o_t=g(x_t,\eta_t).

$\eta_t$ 是感測雜訊， $g$ 未必可逆。因此系統不能假定有完備的「真實物件狀態」。它使用歷史 $h_t=(o_{0:t},a_{0:t-1})$ 形成狀態信念：

b_t(x)=\Pr(x_t=x\mid h_t).

這是模型化語言，不表示每個產品都必須顯式計算整個機率分布。若只保有近似資訊狀態，也應聲明近似誤差和可見邊界。

4.2 模式與吸收狀態

定義模式集合：

\mathcal M=\{W,D,R,V,E,S,U\}.

$W$ ：正常執行 Work；
$D$ ：Detect/Diagnose，暫停或受控監測；
$R$ ：Recover，執行物理恢復；
$V$ ：Verify，確認允許續行；
$E$ ：Escalate，升級人工或外部服務；
$S$ ：Safe-stop，進入已定義的安全停機狀態；
$U$ ：Unsafe-event，不安全事件或違規。

模式 $S$ 不應被宣稱能保證任何情境下的零損害；它意味著在特定風險模型與系統限制下執行停止策略。 $U$ 可為事件狀態，而非必然一種長期吸收的物理狀態；在任務完成與風險統計中通常作為不可抹除的記錄。

4.3 安全可達的恢復集合

令 $\mathcal X_{\mathrm{allow}}$ 為適用的允許狀態集合； $\mathcal U_{\mathrm{safe}}(b_t)$ 為根據當下資訊與安全約束可使用的恢復控制。研究用的恢復方案可表示：

\mathcal R(b_t,H-t)=\{r:\Pr_r(x_{t+s}\in\mathcal X_{\mathrm{allow}},\ 0\le s\le\tau_r\mid b_t)\ge 1-\delta,\ \tau_r\le H-t\}.

這是機率性、模型依賴的候選約束，不是安全證書。若風險不可接受，僅有統計上「看起來很安全」的推測，不足以替代經驗證的安全機制。

4.4 任務品質、成本與決策

令 $Q$ 為合格工作量， $I$ 為人工介入負擔， $C$ 為完整資源成本， $Z$ 為安全事件或其風險度量。可考慮受限最適化：

\max_{\pi,\mathcal I}\ \mathbb E[Q-\alpha C-\beta I]\quad\mathrm{s.t.}\quad\Pr(U\ \mathrm{within}\ H)\le\epsilon,\quad\mathcal K_{\mathrm{safety}}=1.

$\mathcal K_{\mathrm{safety}}=1$ 僅指必備的獨立安全契約已符合適用評估要求，不是本文能自行核發的認證。不同任務損害成本無法在所有場合用同一個 $\beta$ 折價；高風險任務可改成字典序（先安全、再效率）而非有限權重混合。

4.5 續行策略不是只輸出一個動作

候選決策：

\mu(h_t)\in\{\mathrm{continue},\mathrm{retry},\mathrm{adapt},\mathrm{restore},\mathrm{escalate},\mathrm{stop}\}.

每個選項需要前置條件、有效期限、版本與失效回退條件。隨著 $t$ 增加、剩餘時窗縮小，原本可接受的恢復方案可能變得不可接受；隨環境更改，原本安全的重試可能失去合法性。

5. 命題 P1：長任務成功率是條件機率的結構問題

5.1 陳述與推導

令 $E_i$ 代表第 $i$ 階段完成並滿足進入下一階段的有效前置條件。若各條件機率有定義，依條件機率連乘法則：

\Pr\left(\bigcap_{i=1}^{n}E_i\right)=\prod_{i=1}^{n}\Pr\left(E_i\mid\bigcap_{j<i}E_j\right).

此等式不要求任務階段彼此獨立，因為乘的是條件成功率，而不是孤立實驗的邊際成功率。若所有條件成功率恰為 $p$ ，則：

P_{\mathrm{chain}}=p^n.

例如純虛構的十二階段任務，若各條件成功率為 $0.98$ ，整鏈成功率約為 $0.7847$ ；若條件率提升為 $0.995$ ，則約為 $0.9416$ 。不得將這些虛構數字視為現有機器人的性能。

5.2 由命題可以與不能得出什麼

命題 P1 的一般性部分是機率恆等式。它說明「各階段很高」不充分決定整鏈可靠度；仍需知道技能銜接處的條件分布、狀態漂移與干預後前置條件。

但不能從 $p^n$ 推出所有現實長任務必然呈指數惡化，因為：

成功條件率未必固定；
部分任務可並行或替代；
修復可能改變後續條件率；
任務可被重新規劃或提早安全終止；
任務長度不能直接等同技能數量。

可驗證結論： 應按階段與條件狀態回報失敗率，而不是只報某一組乾淨初始狀態下的單技能平均分數。

6. 命題 P2：故障偵測的改善不保證恢復效益為正

6.1 定義偵測與介入的成本

設一個預先定義的介入候選時點，真實存在需要處理的故障之機率為 $\pi_f$ ；偵測靈敏度為 $s$ ，特異度為 $c$ ，真故障且成功觸發的平均增量效益為 $B$ ；誤觸發對原可正常執行流程的平均損失為 $L$ ；每次候選決策的固定處理成本為 $C_d$ 。在忽略相互依賴、視為同質事件的簡化比較下：

\Delta U=\pi_f s B-(1-\pi_f)(1-c)L-C_d.

這裡 $B$ 已是相對於「沒有該恢復介面」的增量，故不能再把同一項未偵測故障損失重複扣除。若 $\Delta U<0$ ，即使恢復系統能有效偵測某些真正故障，加入該系統的整體期望淨收益仍可能為負。

6.2 條件性門檻

當 $(1-\pi_f)L>0$ 且 $\pi_f sB>C_d$ 時，正收益要求：

c>1-\frac{\pi_f sB-C_d}{(1-\pi_f)L}.

若 $\pi_f sB\le C_d$ ，在 $L\ge0$ 的本模型中，僅靠提高特異度至 $1$ 仍不足以取得嚴格正的增量。若門檻落在 $[0,1]$ 之外，表示在既有參數下可行或不可行區間不同，不能強行解讀為有效的概率值。

6.3 虛構數值算例：基率效應

純虛構地設定： $\pi_f=0.10$ 、 $s=0.90$ 、 $B=0.50$ 、 $L=0.30$ 、 $C_d=0.02$ ，均為同一任意效用單位。當 $c=0.90$ ：

\Delta U=0.1(0.9)(0.5)-0.9(0.1)(0.3)-0.02=-0.002.

提高特異度至 $c=0.98$ ，其餘不變：

\Delta U=0.045-0.0054-0.02=0.0196.

在第一組參數中，偵測器發出警報後，故障確實存在的正預測值為：

\Pr(F\mid +)=\frac{\pi_f s}{\pi_f s+(1-\pi_f)(1-c)}=\frac{0.09}{0.18}=0.5.

可見，90% 靈敏度與 90% 特異度，並不表示每次警報有 90% 機會對應真正故障；誤報盛行率取決於故障基率。這是條件機率結論，並非 VLA-FixBench 的實測參數。

6.4 修復系統還有第二種錯誤

即使偵測為真，仍可能「修錯位置」「復原到不支援的狀態」「在成功前提下錯誤回退」「重新引入危險接觸」。因此，在實測中需另外回報：

偵測品質：靈敏度、特異度、警報校準與時效；
診斷品質：失效階段、成因與物件狀態判斷；
修復品質：完成率、續行成功率與再次失敗率；
安全品質：未遂、危害、誤停、延後停止、失效保護成功率；
經濟品質：時間、能耗、人力與磨耗的淨改變。

命題 P2 的論證層級： 在上式假設下的代數結果；何種真實策略能達到所需 $s,c,B,L$ ，須另由實驗驗證。

7. 命題 P3：恢復能力受物理狀態與剩餘資源支配

7.1 數位回滾與物理恢復不是同一行為

軟體系統若保有完整狀態快照，可以在有限條件下恢復先前資料狀態。實體世界的玻璃破裂、液體灑出、材料變形、關節磨損、人體受傷、物件移位及能量耗盡，不會因模型回到上一個 token 或記憶節點而自動復原。

將某次故障後的真實狀態記為 $x_f$ ，目標續行前置條件集合為 $\mathcal X_g$ 。恢復可行性應考慮是否存在不違反安全限制、且在剩餘時窗內進入 $\mathcal X_g$ 的控制序列。

7.2 命題 P3（狀態依賴可恢復性）

假設：

存在故障狀態 $x_f$ ；
恢復控制必須符合指定物理動力學及安全限制；
在剩餘時間 $H-t$ 內，任何允許的控制序列皆無法使狀態到達 $\mathcal X_g$ 。

則不存在可於該時窗內在相同物理限制下完成該恢復目標的策略。

這是可達性的必要條件，並非新的控制理論定理。它的工程價值在於排除「換更大的模型就一定能恢復」的無條件敘事。

7.3 為何這個看似簡單的命題不能省略

某些失敗可以低成本重試；某些必須恢復物件狀態；某些只能換工作方式；某些涉及不可逆損害或需經許可的維修。若模型把它們全部視為相同的「重跑一次」，就會將成本與危害加倍。

但也不能推論：當前技能不可恢復就等於任務不可能完成。替代工具、不同機體、外部援助、移除障礙、重新排程或改變任務定義，可能使新的可行集合出現；前提是它們在授權與物理資源範圍內。

8. 命題 P4：反覆重試可提高最終成功率，也可能損害長程有效性

8.1 一個嚴格受限的理想化算式

假設每次嘗試成功機率都是固定 $p$ ；失敗後以機率 $r$ 能無損回到與初始相同的成功分布；各次重新嘗試的條件與參數不改變；最多允許 $N$ 次嘗試，且先忽略時間與安全成本。則「第 $j+1$ 次才成功」的機率為 $[(1-p)r]^j p$ ：

P_N=p\sum_{j=0}^{N-1}[(1-p)r]^j=\frac{p\{1-[(1-p)r]^N\}}{1-(1-p)r}.

只有當 $N\to\infty$ 且 $(1-p)r<1$ 時，其極限才是：

P_\infty=\frac{p}{1-(1-p)r}.

這不是現實機器人的無限續行建議。它甚至刻意不包含實體環境被重試改變的事實。

8.2 為何「成功率越高」仍可能效率更差

物理重試有正的時間、電力、耗材、設備磨耗與外部風險成本。若恢復成本隨嘗試次數增加，最後完成率上升時，合格工作量每小時可能反而下降。若重試耗盡交付期限，則 $P_N$ 也不再等於時窗內完成概率。

8.3 命題 P4（受限時窗下的非單調性）

在存在正恢復成本與有限 $H$ 的情況，增加允許重試次數不保證期限內合格工作率或單位成本單調改善。

構造反例： 方案 A 可在 10 分鐘內用一次嘗試交付 1 件合格品。方案 B 為了再嘗試不同恢復策略而將單件完成時間延至 15 分鐘；若 10 分鐘為硬截止期限，B 即使第 15 分鐘終於完成，期限內合格產出仍為 0。此反例與實際機器人無關，但足以否定無條件單調性。

9. 命題 P5：長程存活模型只描述一類問題，不能取代恢復迴路

9.1 首次故障前的存活時間

令 $T_F$ 為系統首次離開正常工作模式的時間， $\lambda_F(t)$ 為其危險率（hazard），則在適當連續時間假設下：

S_F(t)=\Pr(T_F>t)=\exp\left(-\int_0^t\lambda_F(u)\,du\right).

若 $\lambda_F(t)\ge\lambda_0>0$ ，則在研究時段內：

S_F(t)\le e^{-\lambda_0 t}.

這是一個對首次故障前不中斷工作的條件上界。它不等於「修復後仍可工作的長期可用度」，也不適合套在所有故障、所有任務、所有非平穩系統上。

9.2 修復與返回造成過程結構改變

若故障後可能恢復並返回工作，系統必須至少區分：

W\rightarrow D\rightarrow R\rightarrow V\rightarrow W.

還有其他出口：

D\rightarrow S,\qquad R\rightarrow E,\qquad R\rightarrow U.

此時「首次失效存活率」與「時間 $t$ 處於可工作狀態的機率」不再相同。若採用修復過程模型，還需記錄修復成功、修復時間、狀態品質、後續再失效率與累積損害。

9.3 競爭事件不能一律算作同一種失敗

至少預先區分：

任務已完成；
正常排程停止；
自動恢復成功；
人工介入；
安全停機；
不安全事件；
行政或研究終止；
設備維護、耗材不足與外部停電。

它們有不同的因果路徑。將「安全停機」與「物體破損」一起當成無標籤的失敗，不利於安全工程；把人工復位的試驗當成右設限而不計入介入，則會高估無介入自主性。

9.4 時間窗內可用度與有效工作

令 $Y_t=1$ 表示機器當下正在執行合格工作所需的有效操作，否則為 $0$ ，則預定時窗內的時間可用度為：

A_H=\frac{1}{H}\int_0^H Y_t\,dt.

但 $A_H$ 高不代表一定有合格產出：空轉、原地重做、徒勞掃描或反覆拾起同一物件，都可能讓機器長時間保持「活躍」。因此需與實際交付品質共同報告。

10. 命題 P6：安全性與生產效率不能由同一單一成功率代表

10.1 一個簡單反例

存在兩種策略：A 在不確定情況下仍可能繼續動作，短期產出較高但超過可接受風險；B 在不確定時停機，短期完成量較少但沒有在已定義的危險條件下繼續運行。單一「任務完成率」可能把 A 評為較優，但這不代表 A 可以部署。

反過來說，一個只會安全停機、永遠不做任何工作的平台，即使幾乎不產生危險動作，也不能因此被視為高生產力具身 AI。

10.2 命題 P6（雙軸而非單軸評估）

在沒有安全性與產出量之間普遍可接受之單調映射的情況下，不存在只用單一任務成功率即可完整判定候選部署策略優劣的普遍有效規則。

論證是構造性的：上述兩個策略可顯示相同完成率但具有不同危害率，或相同危害率但產出不同。若指標只包含前者，必然遺漏至少一個部署相關維度。

10.3 安全約束優先於自動化等級

對具有重大傷害可能的機電運動，安全設計不應只靠模型對危險的語義描述或單次 VLM 診斷。ISO 10218-1:2025 與 ISO 10218-2:2025 適用於相應範圍的工業機器人及整合系統；ISO 13482:2014 的適用範圍是特定個人照護機器人，且排除工業、醫療、軍用等多種領域。這些標準不可因同屬「具身 AI」而互相代用 [R12][R13]。

NIST AI RMF 及其 Playbook 提供生命週期風險治理、監測、事件應對與改善的自願性指引，但不構成個別機械裝置的安全認證 [R11]。

11. 命題 P7：沒有狀態回復驗證，技能續行可能離開有效支持域

11.1 局部成功與銜接成功的差別

一個「拿起杯子」技能在乾淨的初始場景表現很好，不代表前一個技能已把杯子移動、桌面濺水、夾爪沾濕後，它仍可直接重用。相同的技能名稱不保證相同的狀態分布。

令第 $i$ 個技能的經測試有效初始狀態支持域為 $\mathcal X_i$ ，恢復後估計狀態為 $\widehat x_t$ 。僅以：

\widehat x_t\in\mathcal X_i

為據仍可能不足，因為感測誤差可使真正 $x_t\notin\mathcal X_i$ 。因此應以信念、置信界限或多源證據檢查技能入口契約。

11.2 命題 P7（缺乏驗證不能推出可安全續行）

若恢復程序沒有確定性或有界不確定性資訊，足以保證下一技能的必要前置條件成立，則僅由「恢復程序已結束」無法推出該技能在目前環境中可靠或安全。

這是資訊不足的非充分性結果，而非要求所有任務都必須進行昂貴的全狀態觀測。

11.3 局部重試、狀態還原與替代任務

研究中至少區分三條道路：

重試（Retry）：當相同物理條件仍成立，僅重新執行技能；
還原（Restore）：先把場景重新帶回可測的技能入口狀態；
替代（Replan/Replace）：在安全授權下選用另一技能、工具或任務順序。

它們互相不能簡單排序為孰優：如果現場的失敗狀態已無法還原，Replan 可能比 Restore 更好；若障礙需要外部維修，任何自動續行都可能是不合格決策。

12. 命題 P8：未經隔離的學習更新，可能破壞恢復與安全契約

12.1 不只是模型參數版本

一套運行中的具身系統，可能同時更新：視覺編碼器、VLA、技能庫、記憶檢索器、故障偵測門檻、場景地圖、末端執行器與低階控制韌體。即使各更新單獨看來「更強」，它們之間的接口、延遲與版本不相容仍可能造成新的故障。

尤其是恢復政策的更新：新的恢復策略可能改變物件的終止狀態分布，使舊的續行技能落在未知狀態；新的監測器也可能因變更警報門檻而產生非預期停止。

12.2 命題 P8（局部更新的全域非單調性）

對同一具身系統，若至少存在一組模型或策略更新使它與其他組件的接口假設不相容，則該組件的孤立基準提升，不保證完整運行系統的長程成功率、安全性或成本改善。

構造反例：模型 M2 的任務規劃基準比 M1 更高，卻將一次可執行技能呼叫延遲從安全時限內增加至超過硬截止期限。在即時動作不可等待的場景中，完整系統可能從可執行變成不可執行。這與 DPIED-05 的時序契約一致，並新增恢復政策版本接口。

12.3 候選部署閘門

更新流程至少應區分：

影子評測：不取得運動控制權的對照推論與異常偵測。
離線回放：在已記錄的失敗、誤報及難例上比較判斷。
隔離實驗：在適當安全條件下以受控裝置測試。
受限發布：限定任務、地點、時窗與退出條件。
獨立監測：持續追蹤安全與品質下限。
回退與停機：允許受控軟體版本回退；但不得將此誤認為能回復實體損害。

上述是研究設計規則，不構成特定系統已符合產業標準的聲明。

13. 八項可反駁假說：把整合架構變成可檢驗命題

所有假說應在同一任務、機體、場站及時窗分層之後檢驗，並報告負面結果。

H1｜端到端恢復不一定優於無恢復基線

假說： 當偵測與介入決策錯誤率較高、物件狀態不充分可觀測時，加入自動恢復可能降低實機合格工作率。
零假說： 在預先選定的測試分布中，恢復政策不改變平均合格工作量或其差異在測量誤差內。
反駁條件： 多組高故障率但低誤報場景中，恢復顯著改善產出且沒有增加風險，則此假說的預期適用區域需收縮。

H2｜偵測品質改善與恢復效益間存在交互作用

假說： 在故障基率較低且誤介入成本較高的任務，提升特異度對淨收益的作用可能超過提升同等幅度靈敏度。
對照： 固定主政策及恢復技能，獨立改變偵測門檻，畫出風險—召回—工作率曲線。
反駁條件： 不同基率與代價下，實證未顯示預註冊的交互效應或方向相反。

H3｜物理狀態恢復比單純動作重試更具任務條件性

假說： 在物件位移、接觸條件改變與技能入口支援域偏移較大的場景，先驗證並恢復場景狀態通常優於直接重新執行原動作。
對照： Retry、Restore、Replan 三組，在相同受控故障狀態分布上比較。
反駁條件： 即使場景偏移已被客觀量化，直接重試仍穩定等效或更優且成本更低。

H4｜故障局部化可降低非故障部分的停止損失

假說： 在任務依賴圖具有可隔離子圖、而共享物理資源干涉受控時，局部恢復比全域停工產生更高可用產能。
對照： 多機器人或多工作站的全域停止與局部停止政策。
反駁條件： 實際干涉、同步或安全條件使局部恢復帶來更高總停機時間或危害率。

H5｜正確恢復的價值隨任務時窗與剩餘資源改變

假說： 恢復時間與成本約束緊縮時，最佳政策會由積極重試轉向替代策略、安全停止或人工升級。
對照： 固定故障分布但改變截止期限、能源餘額、恢復負擔。
反駁條件： 在廣泛可觀測的資源約束下，最優或近最優選項不呈預期的狀態依賴性。

H6｜reset-free 測試會改變對成熟度的排序

假說： 對依賴人工復位與乾淨初始條件的政策，納入持續場景演化與自動／人工復位成本後，部分模型的實際部署排序會改變。
對照： 相同模型在人工復位基準、標準化自動重置基準及連續工作基準下比較。
反駁條件： 在多個任務與機體上，三種協定的排序均高度一致且成本差異不顯著。

H7｜模型升級與恢復架構之間具有非零交互作用

假說： 前沿模型能力提升對實體長程工作的效益，取決於感測、恢復、時序與安全接口，因此不同架構下的收益不同。
對照： 基模型舊／新 × 恢復架構無／有 × 狀態驗證無／有。
反駁條件： 在充分樣本且多任務的交叉試驗中，所有預註冊交互項均實質接近零。

H8｜監測—恢復—驗證的完整閉環，可能改善有效自主時數

假說： 在不需要高風險即時探索、且存在可恢復故障的場域，完整閉環比只有「偵測→再試一次」的架構提高每班次合格產出及無介入工作時長。
對照： 無恢復、僅重試、帶狀態驗證恢復、帶安全升級完整契約。
反駁條件： 完整架構的實際延遲、誤報與操作成本使相同工作量指標持續下降。

研究紀律： 各假說的競爭機制（例如更好的攝影機、機體改造、工件預先分類、人工先行調整環境）不能在資料處理時被當成噪音無條件移除。

14. 指標系統：不要讓「恢復成功率」掩蓋真正的工作

14.1 四個互不替代的主指標

第一：嚴格無介入完成率。 依第 2.3 節，在整個時窗內完成工作、無人介入、無不安全事件。

第二：合格有效工作量（QEW）。 定義合格產出單位 $q_j$ 與驗收指標 $A_j\in\{0,1\}$ ：

Q_{\mathrm{EW}}(H)=\sum_{j\in\mathcal J(H)}q_j A_j.

若各產出單位不同，須先固定可追溯換算規則；禁止把「物件搬一次」與「完成一整筆複雜訂單」未加說明直接相加。

第三：班次有效工作率。

V_{\mathrm{EW}}(H)=\frac{Q_{\mathrm{EW}}(H)}{H}.

分母 $H$ 是預定班次時間，包含故障診斷、修復、人工介入、充電與正常等待；不能只取模型仍在輸出動作的時間，否則會高估有效產率。

第四：單位合格工作全成本。

C_{\mathrm{unit}}=\frac{C_{\mathrm{capital}}+C_{\mathrm{energy}}+C_{\mathrm{wear}}+C_{\mathrm{maintenance}}+C_{\mathrm{operators}}+C_{\mathrm{incident}}+C_{\mathrm{compute}}+C_{\mathrm{site}}}{Q_{\mathrm{EW}}}.

若 $Q_{\mathrm{EW}}=0$ ，不得報告有限的單位合格工作成本；應標為未定義或無法交付，並另記總成本。

14.2 必要的次指標

指標	建議記錄內容	常見誤讀
First-pass success	未恢復、未介入且在限定時間內成功	不等於長程成功
Recovery attempt rate	每百次任務／每百運行小時的恢復事件	次數多不必然更強
Recovery completion	真實故障下完成指定恢復目標的比率	不等於續行任務成功
Post-recovery completion	恢復後後續任務完成率	必須交代選樣與時間窗
Time to detection	從獨立定義的失效起點到偵測	無真實失效時間時不可硬算
Time to verified recovery	從失效到安全驗證通過	未驗證的重試不是恢復完成
Human intervention intensity	人工次數、分鐘數、介入類型	不能只報操作員坐席人數
Unsafe event / near miss	依場域規範記錄不安全事件與未遂	低事件數可能只反映樣本不足
Safe-stop correctness	是否在必要時正確觸發、必要時保持	停止次數多不等於安全
Drift / version regression	同任務相對於版本與時間的效能變化	不應忽略物件與場景漂移

「Time to detection」若只有幀級標籤，可報可辨識時間範圍；不應製造毫秒精度的虛假數據。

14.3 避免三種數據偽提升

分母縮減。 排除困難班次、缺貨班次與需要人工復位的案例，將工作率人工提高。

選擇性恢復。 只報導已觸發恢復且最終成功的試次，不算未被檢出的失敗、誤報及停機。

安全性洗白。 把安全停止視為任務完成，或把未遂事件只記為「正常避障」而不進入稽核事件表。

建議以預先規定的任務母體及分層方式產生完整事件帳本，附上不進入主要分析的理由及數量。

15. 實證設計：以固定任務與交叉對照辨識恢復的真實效果

15.1 主要實驗設計

提出 $2\times2\times2$ 的研究矩陣，三個因素：

主模型能力：舊模型／新模型（或在有限資源內的可比能力版本）；
恢復系統：無／有 LRRC 候選恢復政策；
失效干擾強度：標準／預先定義的安全受控擾動。

得到八個主要處置組。對每組另追蹤安全監測開啟與禁止取消的保護措施；安全性不得當成為了提升成功率可關閉的實驗因素。可在各組內固定額外的同一安全防護層，並進行純軟體或模擬層的診斷消融。

15.2 實驗分層與變數控制

將任務依以下特徵分層：

短程單技能與長程依賴技能；
剛性物件與可變形／接觸敏感物件；
單機與多機共享物理資源；
完整可觀測與感測遮蔽；
熟悉物件與分布外但仍安全的物件；
可低成本重試、需物件還原、需環境還原及不可恢復等級。

研究對象建議先限於經審核、低危險度的受控實驗機台與場景，避免為取得「有趣故障」而製造高風險物理事件。

15.3 分配、順序與污染

在場景可控時隨機化處置順序，避免模型 A 都先於 B 在較乾淨的機體上測試。若同一機體有磨耗、感測漂移或環境污染，應記錄批次與時間，使用區組隨機化、分層分析及包含機體效應的模型。

恢復策略可能主動改變後續狀態分布；因此不應把同一機器「不斷重試」產生的事件當作彼此獨立的 1,000 個樣本。建議將整段班次／完整操作鏈視為主要分析單位，以技能事件為巢狀次層級。

15.4 主要結果與預註冊

在實驗之前固定：

主結果為每個班次的 $V_{\mathrm{EW}}$ ，以及 $P_{\mathrm{strict}}(H)$ ；
安全事件與安全停止各自獨立報告，不能以改善工作率抵銷；
人工介入分鐘數、恢復次數與事件簿的定義；
同一班次的計費口徑及資源成本；
缺失、右設限、硬體故障與非計畫停機的處理；
事先指定的主要交互作用與次要探索分析；
模型及配置版本雜湊、環境快照和安全審核紀錄。

15.5 樣本規劃不應虛構統計力

可在原型階段使用每組多個獨立班次作為探索性試驗，但任何固定的「每組 20、50 或 100 次」都不會自動滿足安全性或效能統計力要求。正式樣本數應依目標差異、基線變異、機體與場次相關、置信區間寬度及安全事件稀有程度進行估算；尤其不能因觀察到零次高風險事故就宣稱風險為零。

15.6 統計估計

可對二元完成率回報 Wilson 信賴區間；對班次工作量使用分層自助法、適當的廣義線性混合模型或其他能處理巢狀資料的方法；對長期首次事件使用存活分析；對人工升級、安全停止、危害事故等互斥第一次事件使用競爭風險累積發生函數，而非一律用 Kaplan–Meier 當成單一失效類型。

若處置會改變是否進入後續恢復階段，直接比較「只有接受過恢復者」會產生處置後選擇偏差。應優先報告隨機分派策略的意向處置效果，另以清楚假設分析每種機制。

15.7 何種結果能推翻本篇的中心預測

若在可比較的任務籃中，較強的模型不需額外監測、重置或恢復架構，就能穩定提高長程無介入合格產出、降低單位成本，且安全性不降低，這會削弱「恢復架構仍是主要瓶頸」在該場域的適用性。

若跨場景反覆觀察到恢復架構的固定成本、誤報、延遲或新增故障大於其利益，則 LRRC 作為實用整合路線的價值必須被限制，不能以「理論上正確」迴避負面實測。

16. 故障注入：要測恢復，但不能以製造傷害為手段

16.1 三層風險限制

第 A 層：純數位擾動。 在回放與模擬器中改變物件位置、遮擋、觀測延遲、任務次序、技能中斷與不相容版本。可覆蓋高風險但不進入真實世界的情況。

第 B 層：受控低風險實驗。 在限位、隔離、低能量條件下測試不夠準確的抓取、意外落下的安全替代物、被動遮擋或復位所需環境狀態。

第 C 層：真實部署觀測。 不主動製造危險，只使用授權取得的歷史事件、未遂與正常運作資料，重點審查預防措施是否有效。

16.2 故障注入的獨立性

若全部故障都是設計者預先知道且模型訓練看過的類型，恢復分數只能證明對已知擾動的適應。因此需要：

先固定已知擾動集與未見擾動集；
明確標記訓練、開發、測試及實機測試的資料分割；
各組使用同等的擾動母體；
由獨立審核者確認失效起點和恢復是否真正完成；
保留未知故障及故障分類錯誤，不要在事後重新命名成已成功處理。

16.3 受控停止不是「修復失敗」的污名

當物件破損、能源不足、感測失聯或人員進入危險區域時，停止並升級人工可能是唯一合格行為。評測應將該結果記為：任務未完成、安全決策可能正確、需人工處置。若因此把安全停機分數設成極大負獎勵，可能反向鼓勵模型冒險。

16.4 模型看不見的事件不能被事後假裝可辨識

失效可能來自隱形裂縫、摩擦係數突變、內部零件過熱、電流異常或測試場景外的第三方行為。如果系統觀測資料本來不足，就不能要求它「從 RGB 影片推算一切」，更不能在實驗後使用未部署的特權感測資料替原模型作出判斷。

17. 恢復能力分級：不以人形或模型參數定高低

本文提出研究用 LRRC-R0 至 R5 能力分級，不是通用產業規範，也不是人格或智能等級。

級別	能力	必要證據	重要限制
R0	可被動偵測並安全停止	停止條件、事件記錄	未恢復工作
R1	可判斷可重試與不可重試	失效分類與受控重試	未必恢復場景狀態
R2	可完成局部技能修復	前置條件、恢復與續行結果	需測場景改變
R3	可恢復物件／場景並驗證	場景復原及驗證證據	仍可能需人工維修
R4	可在多任務長時窗內管理恢復與停機	完整班次資料、風險、人工量、合格產出	不保證跨場域泛化
R5	可跨環境／機體維持可審計可靠工作	多場域、多時間、多版本及外部稽核	仍受任務與安全邊界限制

不同任務對 R 級別的需求不同。受控工廠的專用機械臂在 R2 或 R3 便可能有高經濟價值；通用家庭機器人可能需要更廣的恢復範圍，但不等於後者更有尊嚴或一定更值得投入資本。

分級只在固定安全約束下比較，若某系統「R5 但無合格安全防護」，不能因級別高就被視為可部署。

18. 兩組虛構算例：把機率、恢復與成本算到同一張表

18.1 算例 A：十二階段長任務

假設某個完全虛構的操作鏈有十二個必須順序完成的階段。沒有恢復政策時，每個階段在其前序階段已合格的條件下成功機率相同，設 $p=0.98$ 。

P_{\mathrm{chain}}=0.98^{12}\approx0.7847167.

若經改良後真正提升的是各個條件階段成功率至 $0.995$ ，而不是只提升乾淨環境中的獨立技能得分：

P'_{\mathrm{chain}}=0.995^{12}\approx0.9416228.

此示例說明：一個看似只有 1.5 個百分點的條件率提升，對複合任務可有更大的絕對影響。但若 0.995 只是獨立單技能基準，不是銜接狀態上的條件率，就不能代入此式。

18.2 算例 B：合格產出與成本

假設某虛構工作站的一個預定班次 $H=480$ 分鐘，時間帳為：

帳目	分鐘
有效操作（含必要的無故障加工）	360
自動診斷與恢復	45
人工介入及復位	30
等待、充電與其他不可用時間	45
總計	480

在 360 分鐘有效操作中總共完成 90 件候選品，其中 85 件通過品質驗收。故合格工作率為：

V_{\mathrm{EW}}=\frac{85}{8}=10.625\ \mathrm{件/小時}.

假定此班次全成本為同一貨幣單位 $120$ ，已包含攤提、電力、維修、人力、算力、場地與可歸屬的事故預期成本，則：

C_{\mathrm{unit}}=\frac{120}{85}\approx1.4118\ \mathrm{貨幣單位/合格件}.

若某廠商把分母改成 360 分鐘「有效操作時間」，會報告 $85/6\approx14.1667$ 件／小時，但那是操作時間內的工作速率，不是預定班次合格產率。兩者可以各自報告，絕對不能混稱。

若系統改良後自動恢復時間降到 20 分鐘，但多出的時間只是等待無人補料，合格產出仍為 85 件，則有效班次產率不會因「恢復更快」而自動提高；真正關鍵是整個瓶頸鏈是否把時間轉化為合格工作。

18.3 算例不能做什麼

兩個例子均為虛構，沒有使用 Tesla、宇樹、Figure 或任何真實公司的秘密資料。算例中的機率與貨幣單位不構成實機性能、出貨能力、商業估值或 ROI 預測。它們的用途是暴露分母、狀態分布與成本邊界，而不是取代測量。

19. 長程可靠性與產業資料：產品可以成功，但數位與實體曲線仍可能分離

19.1 本篇對 DPIED-01 的回饋

DPIED-01 研究數位與實體能力進步速度不一定相同。本篇指出，造成差距的一個候選機制是：數位工作往往可以無損重算、重開測試、平行複製環境；實體工作卻把重試與恢復加入時間、材料、能源、折舊及現場風險。

因此，模型在純數位測試中更強，不保證能直接降低長程具身系統的完整事件成本。

19.2 本篇對 DPIED-02 的回饋

DPIED-02 的「模型知道不等於機器能做到」在本篇變為更嚴格的敘述：即使模型先前成功做到，也不等於物理世界在偏離、碰撞、遮擋、維修或更新後還允許它以原策略繼續做到。

這是跨時間的狀態連續性問題，不只是單一指令轉譯問題。

19.3 本篇對 DPIED-03 的回饋

DPIED-03 主張展示與出貨不能直接證明自主生產力。本篇提供可稽核的事件分母：班次、合格品、介入時間、停機原因、恢復驗證與全成本。若廠商只公布「機器人已進入工廠」，仍不能因此推算 $P_{\mathrm{strict}}(H)$ 。

19.4 本篇對 DPIED-04 至 06 的回饋

DPIED-04 解釋影片觀測缺乏部分物理因果資訊；本篇要求將不可觀測失效納入偵測器誤差與人工升級。DPIED-05 建立時序／版本契約；本篇要求在修復時仍保留它們。DPIED-06 研究跨域遷移；本篇指出恢復後的狀態分布本身就是新的跨域問題。

19.5 下一篇的因果接口：從可靠性到經濟

DPIED-08《機器人越多，不代表物理生產力越高》需要進一步研究產線整合、故障率、資本折舊、維修物流、運營人力與實體產出。DPIED-07 不提前假定「自主可靠性提高就必然降低社會總成本」，而只提供能在產業層進一步估計的工作率與資源帳。

20. 反例、競爭機制及理論邊界

20.1 很多有限場景根本不需要複雜恢復 Agent

高可靠專用機台可能使用成熟控制、簡單狀態機、精確夾具與工業安全設施，便能在既定任務中實現極高合格工作率。這不會推翻具身 AI 的研究價值；但會限制「所有機器人都必須用大模型修復」的普遍化敘事。

20.2 大模型能力進步可能真的取代部分恢復模組

若統一模型已能足夠穩定地處理重新計畫與狀態估計，過多分離的代理可能增加延遲與錯誤；端到端且經驗證的政策可能比分層整合更好。本文不禁止此結果；它只要求不論架構如何，都要以相同的長程產出、安全及成本指標衡量。

20.3 場站工程可能比更強模型更有效

改造貨架、固定物件位置、改善夾具、限制物件類型或加入人員交接，可能大幅降低故障。不能因為採用工程改善就否定 AI 的技術價值；也不能把場站改善的成果全部歸功於模型升級。

20.4 人工監督的價值不一定應被視為負數

人類介入有時是合理的安全治理與勞動分工，而非技術羞恥。真正要避免的是在聲稱「完全自主」時隱藏介入。可選擇人機協作產品定位；若比較的是純自主模型，則應另把嚴格無介入率獨立列出。

20.5 恢復率可能高但依然不值得部署

若每次恢復都消耗昂貴耗材或人員處理，任務最終成功率升高，仍可能伴隨成本激增。反過來，安全停機頻繁但已避免重大事故的系統，也可能是合理的早期產品，只是尚未達到高自主度。

20.6 安全性能不可僅由小樣本的「零事故」推論

罕見嚴重事件可能需要遠大於一般性能測試的觀測量，且其機率會隨環境與使用方式改變。本篇的研究結論不能作為允許高能量操作或人機共域風險的證據。

20.7 故障有可能不是模型造成

機械疲勞、感測器故障、電網中斷、原材料品質、運輸擁塞、設備校正不足、環境溫度或操作員流程，均可造成長程失效。若不對這些變數記錄與分類，對大模型架構的因果歸屬就不成立。

20.8 理論假設與現實稽核之間仍有距離

本篇推導所需的故障基率、延遲、恢復收益、重試條件機率與場域支持域，可能在真實世界中只有部分可估計。需要誠實使用區間、敏感度分析及不可識別結論，不能強行為每個參數給出單一精確數值。

21. 命題—證據—完成狀態矩陣

編號	本篇結果	證據性質	實際完成狀態
P1	條件成功率連乘，不等於邊際成功率乘積	機率恆等式	已形式化；無原創實測
P2	檢測及恢復可以在誤報成本下形成負收益	簡化效用模型與反例	已推導；參數待測
P3	恢復受安全可達與剩餘時窗限制	有前提之可達性必要條件	已論證；無實機保證
P4	重試次數增加不保證期限內工作率改善	條件性算式與反例	已構造；待實驗驗證
P5	首次故障存活不能取代修復後可用度	可靠性模型定義	已形式化；實機參數未知
P6	任務率不足以單獨判定安全與效率	不可識別反例	已論證；不能充當認證
P7	恢復完成不自動保證下一技能可續行	前置條件與資訊不足結果	已論證；待接口測試
P8	局部模型升級不保證全系統非劣	系統接口反例	已論證；待交叉實驗
H1–H8	LRRC 的實效條件與交互作用	可反駁實證假說	已預註冊式設計；尚無原創數據

本系列到此仍是理論與研究協定階段；不是宣稱某個特定人形機器人已實現 24 小時安全無人運作。

22. 結論：能夠修復自己工作過程的系統，才可能真正延長物理自主時間

數位 AI 的進步，使「理解任務」「產生策略」「分析失敗」「計畫恢復」越來越可行。然而，具身 AI 要進入長時間工作，還需面對一件獨立且不可消失的事實：物理世界會被先前的每一次成功與失敗共同改變。這使物理任務不只是輸出正確答案的問題，也不是只增加推理 token 或參數量即可無條件解決的問題。

本文以八項條件性命題建立一組嚴格區分：一次成功不等於持續工作；診斷不等於修復；重試不等於還原；模型版本提升不等於系統提升；安全停止不等於任務成功；更多運行時間不等於更多合格產出；人工介入不等於不存在；數位回滾不等於物理世界重置。

這些區分並不否定前沿模型、世界模型、VLA、模擬及具身 AI 的重大進展。相反，它們提供一種更嚴格的衡量方式：如果某個技術真的突破了長程自主瓶頸，應能在明確環境、機體與任務條件下，實際改善無介入完成、合格產出、恢復時間與全成本，並維持適用安全要求，而不是只增加宣傳影片或單次測試成功率。

因此，DPIED-07 的終端命題是：

具身智能的成熟，不是永不失誤；而是在世界被自身行動改變之後，仍能知道哪些行動可繼續、哪些損失可恢復、哪些代價不能再承擔。

只有當這種可靠性真正進入長時間的物理生產過程，數位智能與實體智能之間的演化距離，才可能在可驗證的意義上逐步縮小。

參考資料與來源層級（截至 2026-11-05）

以下連結為公開原始研究頁、正式會議／期刊頁或標準機構官方摘要。對於未取得可公開核對的完整付費標準條文，本文僅引用官方適用範圍及公開資訊，不聲稱已審閱其全部規範內容。

[R1] Embodied Intelligence for Long-Horizon Robot Manipulation: A Survey of Challenges, Mechanisms, and Evaluation. Chinese Journal of Engineering, online 2026-08-09. DOI: 10.13374/j.issn2095-9389.2026.06.09.003. 層級： 同領域綜述／接受稿。
[R2] Li, X. et al. (2026). TCoT: Trajectory Chain-of-Thoughts for Robotic Manipulation with Failure Recovery in Vision-Language-Action Model. AAAI 2026, 40(8), 6486–6494. DOI 10.1609/aaai.v40i8.37577. 層級： 同儕審查會議研究。
[R3] Zhao, G. et al. (2026). FLARE: A Failure-Aware Framework for Autonomous Correction and Recovery in Visual-Language Robotic Manipulation. CVPR 2026, 22391–22401. CVF 公開頁. 層級： 同儕審查會議研究。
[R4] Yan, B. et al. (2026). VLA-FixBench: Can VLMs Diagnose and Recover from VLA Manipulation Faults? ICML 2026. 研究團隊公開頁及結果說明. 層級： 研究頁／基準結果。特別核對其實機表格中自動恢復與人工專家的差異。
[R5] Periasami, A. V. et al. (2026). FRAMES: Failure Recovery And Monitoring of Embodied Skills for Humanoid Loco-Manipulation. 公開研究頁. 層級： 公開論文資訊／局部模組評測；不表示完整恢復閉環已完成實機驗證。
[R6] Liu, L. et al. (2026). LIBERO-RECOVER: Beyond Task Success Towards Failure Recovery in Robotic Manipulation Models. arXiv:2609.05178. 層級： 預印本／恢復基準。
[R7] Jiang, J. et al. (2026). From Rollout to Reset: A Graph-Based Harness for Autonomous Long-Horizon Manipulation Evaluation. arXiv:2609.19413. 層級： 預印本／真實機械臂評測重置。
[R8] Lee, C. et al. (2026). HiP-LR: Hierarchical Planning with Localized Failure Recovery for Long-Horizon Multi-Robot Tasks. Findings of EMNLP 2026, 39182–39208. ACL Anthology. 層級： 同儕審查會議研究／模擬多機器人系統。
[R9] Failure-Aware RL: Reliable Offline-to-Online Reinforcement Learning with Self-Recovery for Real-World Manipulation. ICRA 2026. DOI 10.1109/ICRA57385.2026.11697475. 層級： 同儕審查會議研究／實體學習。
[R10] A scoping review of reinforcement learning methods for long horizon robotic manipulation. Discover Robotics, 2026. Springer 公開頁. 層級： 範疇回顧，涵蓋 130 項 2020–2026 年研究。
[R11] National Institute of Standards and Technology. AI Risk Management Framework 1.0 and AI RMF Playbook (官方框架與更新資訊). NIST Playbook，Manage. 層級： 官方治理指引／自願框架；非機械安全認證。
[R12] International Organization for Standardization. ISO 10218-2:2025 — Robotics — Safety requirements — Part 2: Industrial robot applications and robot cells. ISO 官方頁. 層級： 標準摘要／正式規範的適用範圍資訊。
[R13] International Organization for Standardization. ISO 13482:2014 — Robots and robotic devices — Safety requirements for personal care robots. ISO 官方頁. 層級： 標準摘要，適用範圍與排除項目明確。
[R14] Kim, D. et al. (2026). Safe Embodied AI for Long-horizon Tasks: A Cross-layer Analysis of Robotic Manipulation. arXiv:2606.05660. 層級： 預印本／跨層安全分析。
[R15] Su, S. et al. (2026). From Pretraining to Proficiency: Real-World Subtask RL for Long-Horizon Manipulation with Minimal Human Intervention. arXiv:2609.21788. 層級： 預印本／針對瓶頸子任務的實機微調；作者保留必要時人工重置。
[R16] Chen, X. et al. (2026). LongBench: Evaluating Robotic Manipulation Policies on Real-World Long-Horizon Tasks. arXiv:2604.16788. 層級： 預印本／真實長任務基準。
[R17] Qian, B. et al. (2026). VLA-Corrector: Stage-Aware Observable State Understanding for Prompt-Based Closed-Loop Recovery of Vision-Language-Action Policies. arXiv:2609.06508. 層級： 預印本／不依賴特權模擬狀態的閉環驗證。

與 EveMissLab 既有研究的關係

[E1] 《具身 AI 的本地算力困境與分層學習閉環》（2026-06-30）：本體—邊緣站—中央模型的學習與算力分層。
[E2] APET-06《具身的是什麼？從人形機器人到分散式世界身體》（2026-09-23）：因果具身邊界與非人形拓撲。
[E3] WIIW-05《當智能進入物理世界：具身 AI 與文明作用拓樸》（2026-09-02）：理解、能行動、被允許行動的差異。
[E4] LWCT-02《不均衡豐裕》（2026-10-07）：數位與物理生產力不均衡的經濟脈絡。
[E5] DPIED-01 至 DPIED-06（2026-11-04 至 2026-11-05）：能力解耦、轉化損失、產業證據、觀測—動作、時序接口及遷移邊界。

上述 EveMissLab 文獻是系列內部的理論承接與研究立場，不等同於國際學界獨立複現或同儕審查的外部證據。

附錄 A｜最小長程事件資料契約（研究用範本）

每個班次與每次故障至少記錄以下欄位，才能讓「恢復」不是一個無法稽核的行銷詞。

run_id: "illustrative-run-id"
site_id: "fictional-site-01"
robot_id: "fictional-robot-01"
body_revision: "fictional-hardware-rev"
policy_revision: "frozen-policy-hash"
monitor_revision: "frozen-monitor-hash"
recovery_revision: "frozen-recovery-hash"
safety_rule_revision: "independent-safety-version"
clock_domain: "declared-monotonic-clock"
scheduled_seconds: 28800
allowed_task_ids: ["task-A", "task-B"]
initial_state_protocol: "frozen-protocol-id"
physical_reset_policy: "declare-manual-or-autonomous"
quality_acceptance_protocol: "frozen-QA-id"
events:
  - event_id: "fictional-event-01"
    mode_from: "WORK"
    mode_to: "DETECT"
    event_timestamp_ms: 1234567
    failure_class: "F2"
    fault_truth_source: "independent-review"
    detection_alert: true
    diagnosis_confidence: 0.72
    confidence_calibration_id: "calibration-v1"
    recovery_decision: "RESTORE"
    safety_gate: "passed-with-declared-evidence"
    physical_action_authorized: false
    physical_action_note: "illustration-only"
    recovery_verified: false
    human_intervention: true
    human_minutes: 2.5
    near_miss_flag: false
    incident_flag: false
    audit_source_hash: "example-not-a-real-hash"
shift_accepted_units: 0
shift_recovery_minutes: 0
shift_human_minutes: 0
shift_incidents: 0
shift_cost_units: null

本範本的時間戳、信心分數與事件均為示意。physical_action_authorized: false 特意表明，文件中的候選政策本身不授權實際機械動作。真實工程須補上完整責任主體、權限審計、資料保留政策、時間同步證據、風險分析與法規遵循。

A.1 不得缺少的來源欄位

真實感測與生成／模擬資料應有不同來源標記。
由人工判定的故障起點，應包含標註人員、共識規則與不確定區間。
恢復策略若使用了未部署時不可得的特權狀態，必須明示。
人類復位不可混入「系統自行復原」。
損壞、急停、維修與擦撞未遂不得以覆寫舊事件方式消除。

附錄 B｜最小候選閉環偽碼（不含安全控制實作）

下列偽碼只描述學術層級的決策流程，不是對機電控制器的可部署指令，也不包含繞過防護或自動解除急停的實作。

for each authorized work window H:
    pin model, policy, monitor, skill and safety-contract versions
    initialize auditable event record
    while scheduled time remains:
        read time-synchronized observations and status
        if independent safety subsystem requests stop:
            enter protected state and log reason
            break or escalate according to authorized procedure

        estimate world belief and task progress
        if progress is valid and action contract remains satisfied:
            continue only through approved control interface
            log useful outputs and state transitions
            continue

        suspend or contain affected task segment
        classify fault with uncertainty and evidence
        generate candidate options: retry / adapt / restore / escalate / stop
        filter options against permissions, risk, time and resource budgets
        if no admissible recovery option:
            request authorized escalation or safe-stop
            log unresolved state
            break or remain contained

        select an admissible recovery candidate
        execute only through separately authorized physical controller
        observe resulting physical state
        independently verify next-skill entry conditions
        if verification passes:
            resume with pinned compatible versions
        else:
            log unsuccessful attempt and reconsider remaining options

    report: accepted outputs, interventions, recovery burden,
            safe-stops, hazards, downtime, uncertainty and full costs
    do not suppress missing cases or silently drop failed runs

B.1 不變量及責任

此偽碼不能確保滿足硬即時限制、功能安全性能等級、人類接觸風險與所有現場規範；這些問題應由相應的工程、測試、審核和安全機制處理。模型對安全的語言判斷不是終止或啟動危險動作的唯一控制來源。

附錄 C｜最小預註冊與可反駁檢查清單

是否說明任務母體、場站、機體、工作時窗與環境許可？
是否事先區分直接成功、恢復後成功、安全停止與不安全事件？
是否固定各模型、監測器、技能與安全契約版本？
是否記錄被偵測及未被偵測的故障？
是否將誤報、錯誤回退及不必要停止視為可檢驗的損失？
是否包含人工復位與介入分鐘數、待命與維修的完整成本？
是否記錄對應試次的任務截止期限與恢復時長？
是否將物理世界不可逆損害從軟體回滾中區分？
是否在相同受控擾動分布下比較舊／新系統？
是否將機體磨耗、季節、物件批次與場站差異納入設計？
是否報告完整班次分母、所有排除案例與缺失原因？
是否以獨立的安全適用標準及風險評估把關？
是否考慮恢復政策效益為負、端到端模型勝出、或場站改造更有效等反向結果？
是否明確區分條件性定理、外部實驗與尚待驗證的假說？
是否避免在未完成實機試驗的情況下使用「實測通過」或「已獲安全認證」？

附錄 D｜原始稿與驗證承諾

本篇正式保留八項命題 P1–P8 與八項可反駁假說 H1–H8；「命題」並不全是新數學定理，其中有機率恆等式、條件性代數結果、必要條件和構造反例。
引用成果依研究者公開頁、期刊會議與標準官方頁核對；不將模擬指標、監測模組準確率與實機恢復率混為一談。
所有數值例子皆為虛構。當參數未知時，框架允許結論為不可識別，不強行填補猜測。
本篇未進行任何原創機器人實驗、無外部團隊獨立複現、無第三方同儕審查，亦未聲稱適用特定地區的法律或部署認證。
實機安全措施必須由相應主管、專業工程及風險評估程序界定，不能由論文中的模型推導取代。
完整 UTF-8 Markdown 文件是 canonical source；所有數學只使用 $...$ 與 $$...$$。聊天渲染、PDF 與網頁不是正式原稿；交付前需對實際位元組、公式分隔符、算例與引用一致性執行驗證。
DPIED-08 將在此已建立的可稽核工作量、人工介入與成本帳之上，研究機器人部署規模與實體生產力之間的非等價關係；DPIED-07 本身不提前宣稱該經濟命題已被資料證明。

DPIED-07 完。