# 分散式智能、時變計算拓撲與全域協同控制：可變幾何觸手式載具的分層自治、安全約束與容錯架構

**系列名稱：** 可變幾何觸手式分散智能載具研究系列  
**系列代碼：** AGFT — Adaptive Geometry & Field-Tentacle Vehicle  
**文件編號：** AGFT-P03  
**版本：** v0.1.0  
**日期：** 2026-11-04  
**作者／核心構想提出：** Neo.K  
**協作研究、形式化與原稿整理：** GPT-6  
**文件性質：** 系統架構、分散式控制模型、可否證命題與驗證規格  
**證據狀態：** 架構提案、解析模型與示例演算；尚無 AGFT 實體系統驗收  
**前置文件：** AGFT-P00 v0.1.0、AGFT-P01 v0.1.0、AGFT-P02 v0.1.0  
**系列接口：** AGFT-P04（光伏與能源）、AGFT-P05（地球原型驗證）、AGFT-P06（宇宙人工幾何場）

> **本文的核心判準。** 中央核心是 AGFT 的高階計算與意圖協調中心；觸手本身則是具局部感測、運算、控制與物理作用能力的分散式子系統。這不是把生成式 AI 接到馬達上就能保證安全的架構。局部快速控制、獨立安全限制、推力分配和守恆驗算必須能在不依賴生成式推論即時回覆的條件下成立。計算節點的空間分散不會創造推力；它只能在既有物理可行域內改善控制品質、通信路徑、故障隔離或任務適應性。

---

**作者：** Neo.K  
**機構：** EveMissLab／一言諾科技有限公司  

## 摘要

當星艦或地球實驗載具具有大量可伸縮、可變曲率、可分枝及可能互連的觸手時，將所有高頻感測、振動抑制、張力調節、管路流量、推力向量與安全保護集中在中央處理器，可能面臨頻寬、延遲、計算負擔及共同失效點。AGFT-P03 因此提出「中央高階意圖—觸手局部自治—分節確定性反射—獨立安全監督」的分層協同架構，使中央仍保留全域任務與約束的控制主體地位，同時讓觸手成為可被調度、可獨立評估、且在有限授權下執行閉環任務的計算／物理單元。

本文以 P01 所區分的機械、計算、能源、工質及場協調五種時變網路為共同結構基線，繼承 P02 的六維廣義力配置與內部牽引守恆條件，提出分散式狀態估測、權限契約、局部控制修正的合力約束、構型與計算拓撲的版本同步、結構模態風險控制、通信失效降級、電能／熱預算及安全驗收方法。模型特別區分中央本體局部受力與整體載具對外動量交換，避免將各觸手的內力平衡誤認成無外部反作用的推進能力。

本篇包含可手算的雙觸手配置案例、明確的資料頻寬例子、結構化命令與回報格式、十二項故障注入情境，以及八項可否證命題。其主要成果是**一套可供模擬與台架設計的控制規約**，而非 AGFT 已證明優於傳統集中式飛控的性能結論。比較的成功條件須以相同任務、感測器、致動器、能源、質量、安全約束及可觀測性為前提。

**關鍵詞：** 分散式智能；邊緣計算；可變幾何；時變計算拓撲；分層模型預測控制；六維作用力配置；內部牽引；控制屏障函數；安全監督；網路時延；故障降級；航天柔性附屬結構；可重現驗證。

## 1. 問題定位與系列一致性

### 1.1 為什麼觸手需要自己的運算單元

AGFT 的觸手不是單純的固定噴嘴。任一觸手可能同時含有伸縮關節、柔性分節、張力感測器、IMU、應變／溫度感測器、局部動量流控制元件、推進模組、光伏表皮、電源管理與通訊接口。這些子系統的控制頻率、延遲容忍度、故障代價與資訊需求彼此不同。

若中央處理器逐筆處理每個節點的原始資料，並對每個致動器的每次更新直接發號施令，就形成單點計算—網路—控制鏈。增加觸手長度、分節數或採樣率，可能使此鏈路更容易壅塞。相對地，局部運算可以把高速閉環留在觸手內，只將時間戳記、估測狀態、控制裕度、可用性和事件摘要回傳中央。

但分散化不能無限制發展：當多條觸手共同參與六維合力、結構牽引或全域能源分配時，任一觸手的局部最佳策略，可能降低整體控制可行性。本文的設計出發點因此是：**降低不必要的微觀集中計算，同時保留可驗證的全域約束。**

### 1.2 與 AGFT-P00／P01／P02 的嚴格接口

| 前置文件 | 已建立的物件 | P03 繼承方式 |
|---|---|---|
| P00 | L0 中央、L1 觸手、L2 分節；地球版與宇宙版分層 | 維持 L0–L2 定義，另設不依賴一般計算網路的安全監督路徑 |
| P01 | 五種網路與時變幾何嵌入；構型、幾何可行域 | 以拓撲版本與幾何版本連動計算資源、感測與致動授權 |
| P02 | 外部動量帳、內部牽引、六維作用力矩陣與可行配置集合 | 局部控制不得重複計算內力為外部推力，亦不得突破推進器和結構約束 |

延續 P01 的五種網路：機械承載圖 $\mathcal H_M$ 、計算／通訊圖 $\mathcal H_C$ 、能源圖 $\mathcal H_E$ 、工質／粒子圖 $\mathcal H_P$ 、場協調圖 $\mathcal H_F$。各圖節點及邊未必相同，且可以獨立更新。

本文不將「人工幾何場」視為已驗證的新基本物理場，而以其工程語義表示可控制、可量測的空間作用分布。任何宇宙粒子推進模型仍須依 P02 對外動量交換條件驗算。

### 1.3 研究問題的可檢驗形式

在固定的任務、質量、能源、推進器、感測器和安全規則下，是否存在一種分散式計算與協同控制架構，相較於集中式基線，能降低端到端控制延遲或通信量，並在發生特定節點／鏈路故障時維持更好的可行控制能力，且不增加不可接受的結構風險與功耗？

這是一個必須以多目標指標回答的經驗命題。僅憑觸手上安裝計算晶片、概念圖呈現網狀光路或 AI 能生成控制指令，均不足以回答。

## 2. 系統角色：高階意圖與低階物理閉環分離

### 2.1 四個責任域，不等於四個獨立人格

| 責任域 | 主要輸入 | 主要輸出 | 可否承擔硬即時安全閉環 |
|---|---|---|---|
| L0 全域協調核心 | 任務、整體估測、各觸手能力摘要、風險及資源 | 期望軌跡、幾何構型、六維作用力需求、各觸手約束契約 | 不以生成式／非確定性推論直接承擔 |
| L1 觸手自治控制器 | 本地傳感、L0 約束契約、鄰接觸手資訊 | 本條的局部軌跡、推力與張力配置、健康狀態、能力邊界 | 可採經測試且截止時間可界定的局部控制器 |
| L2 分節確定性節點 | 編碼器、IMU、應變、溫度、致動器電流／位置 | 穩定關節、速度或力閉環、限位、急停和局部診斷 | 必須具確定性及硬體保護，不依賴 L0 在線回覆 |
| S 獨立安全監督 | 關鍵感測冗餘、全域限值、控制租約及故障信號 | 撤銷授權、切換安全策略、隔離或物理停機 | 必須獨立測試；關鍵停機不應只依賴一般網路 |

S 是**安全職能**，不是增加一層無條件更聰明的 AI。物理實作可包含硬體監督器、獨立供電的 MCU、急停線路和經驗證的保護程序。其控制權應高於一般運動指令，但亦需確認命令本身在當前環境不會造成更大危險。

### 2.2 控制權不應與計算工作位置混淆

某條觸手可負責估測鄰近觸手的振動，卻不因此取得直接修改鄰近推進器的權限；某一 L0 演算法可以被運算資源調度到觸手處理器執行，但其**政策與授權的邏輯歸屬**仍屬 L0。這允許計算工作遷移，而不必讓授權階層跟著失控。

執行控制權採單一寫入者規則：任一實體致動器在任一時刻只能接受一個有效的執行通道；其餘建議須經具權限的合併、配置或監督程序。多重控制器對同一輸出端競爭寫入，是需要主動防止的控制風險，而不是智能湧現的表現。

### 2.3 人類介入不等於逐節手動駕駛

人類或地面操作員可指定任務意圖、核准危險構型、處置例外及最終裁決；但不應預設人類能在毫秒級迴路中逐節操作數百個關節。對地球載具，操作員介入必須遵循適用法規與已驗證操作模式。對無人宇宙載具，長延遲通訊使本地自治及獨立安全監督更具必要性，但不改變物理守恆。

## 3. 時變機械、計算與控制的共同數學模型

### 3.1 結構狀態與控制狀態

沿用 P02 的縮減狀態，將整體動力學狀態記為：

$$
\mathbf x=\begin{bmatrix}\mathbf x_C^\top&\mathbf q^\top&\dot{\mathbf q}^\top&\boldsymbol\eta^\top&\dot{\boldsymbol\eta}^\top&\mathbf z^\top\end{bmatrix}^\top,
$$

其中 $\mathbf x_C$ 包含核心平移、姿態與其速度； $\mathbf q$ 為機械構型； $\boldsymbol\eta$ 為柔性模態； $\mathbf z$ 含能源、工質、壓力、溫度等物理狀態。 $\mathbf x_C$ 的姿態可以用局部座標參數計算，但全姿態更新應選用無奇異性處理方式（例如單位四元數及適當正規化）。

將控制量分為：

$$
\mathbf u=\begin{bmatrix}\mathbf u_{\mathrm{thrust}}^\top&\mathbf u_{\mathrm{joint}}^\top&\mathbf u_{\mathrm{flow}}^\top&\mathbf u_{\mathrm{field}}^\top\end{bmatrix}^\top.
$$

其物理模型是：

$$
\dot{\mathbf x}=f(\mathbf x,\mathbf u,\mathbf d),\qquad \mathbf y_i=h_i(\mathbf x)+\boldsymbol\nu_i.
$$

 $\mathbf d$ 為外部擾動； $\mathbf y_i$ 是第 $i$ 節點量測， $\boldsymbol\nu_i$ 是量測誤差。對具有工質輸出的開放系統， $f$ 必須包含正確的外部動量與質量流條件。此處不把整體內力任意塞進另一個「附加推進項」。

### 3.2 計算節點與時變圖

令計算圖為：

$$
\mathcal H_C(t)=(V_C(t),E_C(t)),
$$

其中節點包括中央運算裝置、觸手控制器及分節晶片；有向邊代表特定時刻可用的資料通道。機械幾何嵌入仍採 P01 的 $\Phi_t$，因此可能有：

$$
\mathcal H_C(t_1)\ne\mathcal H_C(t_2),\qquad \mathcal H_M(t_1)=\mathcal H_M(t_2).
$$

上述關係可表示**機械連接未改、計算路由已切換**。反過來，觸手伸縮與彎曲可能只改變 $\Phi_t$ 而不改變兩種圖的邊集。觸手互接、網路重路由、功能切換、負載遷移及幾何彎曲須以不同事件類別記錄。

### 3.3 局部估測與全域估測

L1 不必複製一份完整世界模型；可只估測本條必需狀態：

$$
\hat{\mathbf x}_i=\bigl(\hat{\mathbf q}_i,\hat{\dot{\mathbf q}}_i,\hat{\boldsymbol\eta}_i,\hat{\mathbf z}_i,\hat{\mathbf w}_i\bigr).
$$

中央整合多個局部狀態、交互作用與直接量測後產生 $\hat{\mathbf x}_G$。任何摘要需附上誤差界或不確定度、時間戳、量測座標系、校正版本及構型版本。若兩個局部節點使用同一來源資訊，中央融合時不應假定估測誤差獨立，否則可能重複提高置信程度。

### 3.4 五網路的一致性約束

控制是否可執行不僅取決於通訊是否相連。例如觸手的推進命令可能具有可用計算路徑，卻因能源圖失去供電或工質圖斷開而無法實現。定義一個能力判斷器：

$$
\chi_i=\chi_i(\mathcal H_M,\mathcal H_C,\mathcal H_E,\mathcal H_P,\mathcal H_F,\Phi_t,\mathbf z),
$$

其中 $\chi_i$ 回傳該模組允許的功能集合、推力／力矩能力、能源上限與健康狀態，而非單一「可用／不可用」布林值。宇宙人工場相關功能應再標明其物理機制證據狀態，不能將尚未驗證的場作用當成已知推進能力。

## 4. 全域約束契約：中央如何授權局部自主

### 4.1 契約不只是目標值

L0 送給觸手 $i$ 的契約，應至少包含：

$$
\mathcal K_i=(\mathcal X_i,\mathcal U_i,\mathcal W_i,\mathcal E_i,\mathcal T_i,\mathcal R_i),
$$

其中 $\mathcal X_i$ 是允許狀態集合， $\mathcal U_i$ 是致動器與變形約束， $\mathcal W_i$ 是外部作用力／力矩分配範圍， $\mathcal E_i$ 是能源與熱預算， $\mathcal T_i$ 是有效時間與截止要求， $\mathcal R_i$ 是角色、授權範圍及失效回退策略。

契約須對應明確的幾何版本、質心估測與全域分配矩陣。否則 L1 可能依據舊構型最佳化，而 L0 已將作用線和力臂改變。**契約有效性本身必須是可檢查的控制狀態**。

### 4.2 全域六維作用力分配

沿用 P02 的即時控制分配基線。若第 $i$ 條觸手可對外施加的控制力向量為 $\mathbf u_i$，其外部廣義力貢獻可寫為：

$$
\mathbf w_{\mathrm{ext}}=\sum_{i=1}^{N} B_i(\mathbf q,\boldsymbol\gamma)\mathbf u_i+\mathbf w_{\mathrm{uncontrolled}}.
$$

其中 $B_i$ 含推力方向、作用點相對整體質心的位置與適用的力矩模型； $\boldsymbol\gamma$ 為噴口等方向參數； $\mathbf w_{\mathrm{uncontrolled}}$ 表示模型定義下未受該分配器控制、但已知或估測的外部作用（例如重力、氣動力），其不可與外部噴流項重複記帳。向量的前三個力分量單位為 N，後三個力矩分量為 N·m，最佳化前需按具物理意義的尺度正規化。

中央的目標不是把各觸手推力調到最大，而是在資源、碰撞、能量、熱負載與故障限制下，求得可實現的期望廣義力：

$$
\min_{\{\mathbf u_i,\mathbf q^+\}}\left\|\sum_i B_i(\mathbf q^+,\boldsymbol\gamma_i)\mathbf u_i-\mathbf w^\star\right\|_{Q_w}^2+J_E+J_\eta+J_R,
$$

滿足：

$$
\mathbf u_i\in\mathcal U_i,\quad \mathbf q^+\in\mathcal Q_{\mathrm{safe}},\quad \sum_i P_i\le P_{\mathrm{available}},\quad \sigma_{\max}\le\sigma_{\mathrm{allow}}.
$$

 $\mathbf q^+$ 是計畫構型，不代表關節能瞬間跳到該位置；實際求解需納入關節速度、加速度、轉動慣性、柔性狀態與構型切換時間。此式是架構級優化形式，**不保證非凸問題在任意控制週期均能求到全域最優或可行解**。

### 4.3 局部修正不得未經協調侵占全域作用餘裕

在短時、構型近似固定且線性化有效的條件下，令 $\mathbf u_i^0$ 是已分配的基準控制，L1 想施加微調 $\Delta\mathbf u_i$。若不希望改變已承諾的總外部廣義力，則必須滿足：

$$
\sum_{i=1}^{N}B_i\Delta\mathbf u_i=\mathbf 0.
$$

這是**配置零空間修正**的條件式表示，不是說任何觸手想改就能從其他觸手免費抵消。當 $B_i$ 隨構型改變、作用器飽和、氣動耦合或噴流撞擊變化時，需要重新計算；若零空間不含所需局部修正，該任務就不得以「局部自主」名義強行執行。

實務上可允許有界殘餘：

$$
\left\|\sum_i B_i\Delta\mathbf u_i\right\|_{W}\le \varepsilon_w,
$$

但 $\varepsilon_w$ 應事先由任務容差與安全裕度決定，且必須記錄實際殘餘。不得把未分配的外力或內部牽引視為零成本的控制補償。

### 4.4 「吸自己」在控制架構中的位置

中央本體與觸手之間的內部牽引可以調整中央核心的加速度、相對位移、姿態和振動，並利用局部反作用降低中央受到的瞬時擾動；但其反作用會分配至觸手或其他內部質量。當研究目標是中央平穩時，局部控制器應同步回報：核心運動改善量、觸手根部負載、端部振動、行程使用率、消耗能量及重置過程的補償代價。

若 $\mathbf f_{C\leftarrow i}$ 為觸手 $i$ 對核心的內力，則對完整機械系統必須具有對應的反向內力；忽略場與工質額外通量時，所有內力對總線動量的合計不提供獨立淨推進。P03 的分散式算法要約束**內力如何分配**，不是宣稱計算資源增加後動量守恆可以被更精密地繞過。

## 5. 多時間尺度協調與截止時間

### 5.1 為什麼不適合單一控制頻率

| 迴路 | 典型任務 | 候選頻率區間（研究初值，非實測規格） | 時限失敗的後果 |
|---|---|---|---|
| 任務／認知規劃 L0a | 目標、航線、構型族選擇 | 0.2–5 Hz | 計畫停滯；應沿用已驗證軌跡或降級 |
| 全域配置 L0b | 作用力預算、幾何／能源分配 | 10–100 Hz | 期望廣義力與實際構型不一致 |
| 觸手自治 L1 | 局部估測、張力／振動／推力調節 | 50–500 Hz | 動態耦合增大，可能失穩 |
| 分節閉環 L2 | 電流、角度、速率與硬體保護 | 200–2000 Hz | 超界或致動器控制失效 |
| 獨立監督 S | 限位、急停、過流與授權檢核 | 依危害分析訂定、不得依賴 L0a | 失去防護能力 |

以上數字僅是**模擬負載與架構設計的起始掃描範圍**。真實速率須由機構頻寬、控制裕度、感測器延遲、致動器動力學、最壞情況執行時間與驗證結果訂定；頻率較高不自動代表更穩定。L0a 的生成式 AI 即使一秒未更新，也不應阻止 L2 執行已授權的安全閉環。

### 5.2 端到端延遲帳

一個局部閉環的最壞情況延遲可分解為：

$$
T_{\mathrm{loop}}=T_{\mathrm{sense}}+T_{\mathrm{queue}}+T_{\mathrm{compute}}+T_{\mathrm{comm}}+T_{\mathrm{actuate}}+T_{\mathrm{jitter}}.
$$

所需的硬期限為：

$$
T_{\mathrm{loop}}^{\mathrm{WC}}\le D_{\mathrm{loop}},
$$

其中 $T^{\mathrm{WC}}$ 是在具體硬體、排程、網路與負載模型下的最壞情況上界， $D_{\mathrm{loop}}$ 是由動力學與危害分析推得的截止時間。只量測平均延遲，不能證明硬即時性；僅得到高百分位數延遲，也不能直接聲稱具有數學上的最壞情況保證。

### 5.3 時戳一致性與幾何資料新鮮度

命令的可接受條件至少包括有效租約、單調序號、正確安全模式、座標版本與幾何版本，以及：

$$
0\le t_{\mathrm{recv}}-t_{\mathrm{sample}}\le T_{\mathrm{fresh,max}}.
$$

需考慮時鐘同步誤差，否則時間戳大小比較可能失效。若資料來源時計無共同可信基準，應使用已測得的不確定度界做保守檢核，或改由本地接收時間與單調時鐘執行保護。過期命令不得因「模型很有把握」而繼續執行。


## 6. 分散式控制如何在「局部自治」與「全域一致」間運作

### 6.1 分層模型預測與局部控制配置

中央可採分層模型預測控制（hierarchical MPC）或受約束的其他控制配置器：L0b 先根據預測的全域狀態選擇數個安全構型、期望廣義力與資源約束；L1 在已分配的局部可行集合內，求解自身關節、張力、振動與推進器控制；L2 追蹤局部參考並執行限位。

將 L1 的局部離散模型寫為：

$$
\mathbf x_{i,k+1}=f_i(\mathbf x_{i,k},\mathbf u_{i,k},\hat{\mathbf d}_{i,k},\mathbf c_{i,k}),
$$

其中 $\mathbf c_{i,k}$ 是來自鄰近觸手及核心的耦合影響。局部最小化：

$$
J_i=\sum_{k=0}^{H_i-1}\left[\|\mathbf x_{i,k}-\mathbf x_{i,k}^{\star}\|_{Q_i}^2+\|\mathbf u_{i,k}\|_{R_i}^2+\lambda_{\eta,i}\|\boldsymbol\eta_{i,k}\|^2\right],
$$

但需滿足 $\mathcal K_i$ 指定的硬限制。此模型只能在耦合估測的誤差有界、可行性得以確認且更新期限受控時，視為適合閉環執行；否則應使用較保守的局部控制器。分散式 MPC 並不自動比集中式 MPC 穩定，控制器耦合、信息新鮮度與終端條件都有影響 [R1]。

### 6.2 鄰近觸手協調不是「各自投票決定推力」

兩條觸手若在同一幾何區域作業，可能因局部最適角度相互碰撞、遮蔽光伏表皮、干擾噴流或增加根部受力。可在 L1 交換有限訊息，包括下一小段預測的端點掃掠體積、允許張力範圍、噴流禁入區及局部能源需求。跨觸手耦合限制由 L0b 或被明確授權的協調器仲裁。

對於碰撞可設保守距離約束：

$$
\operatorname{dist}(\mathcal V_i(k),\mathcal V_j(k))\ge d_{\mathrm{min}}+\delta_{ij}(k),
$$

其中 $\mathcal V_i(k)$ 是觸手 $i$ 在時間步 $k$ 的占用體積或掃掠體積， $\delta_{ij}$ 是估測、機械誤差和通信延遲造成的保守補償。若採用點端而非完整體積，測試必須承認可能漏掉中間分節碰撞的限制。

### 6.3 柔性振動與局部反射控制

對線性化、單一柔性模態的理想例子可寫：

$$
\ddot{\eta}_i+2\zeta_i\omega_i\dot{\eta}_i+\omega_i^2\eta_i=b_i u_{i,\eta}+d_{i,\eta}.
$$

 $\omega_i$ 為該模態固有角頻率， $\zeta_i$ 為阻尼比。實際長觸手具有多模態、時變參數、非線性關節與耦合根部受力；上式僅為局部控制器測試及振動放大機制的起點。若端部位移指令突然變更，即使 L0 期望的總推力不變，也可能激發高頻結構振動。L1 須保留動作平滑及抑振空間，L2 應具獨立速度／電流限位。柔性附屬結構與主體姿態控制相互耦合的既有航天研究可作模型選擇參照 [R8]。

### 6.4 可行集合不是局部指令的簡單總和

令觸手 $i$ 在構型 $\mathbf q$ 下的可用外部作用集合為：

$$
\mathcal W_i(\mathbf q)=\{B_i(\mathbf q)\mathbf u_i:\mathbf u_i\in\mathcal U_i\}.
$$

若暫時忽略共同能源、結構、碰撞與工質限制，整體作用集合可能以 Minkowski 和近似：

$$
\mathcal W_{\mathrm{sum}}(\mathbf q)=\mathcal W_1(\mathbf q)\oplus\cdots\oplus\mathcal W_N(\mathbf q).
$$

但真實可行集合 $\mathcal W_{\mathrm{real}}$ 還需滿足共同限制，通常只能說：

$$
\mathcal W_{\mathrm{real}}(\mathbf q)\subseteq \mathcal W_{\mathrm{sum}}(\mathbf q).
$$

因此，不能把每條觸手宣稱可輸出的最大推力直接加總，視為整艘載具在所有方向的可用控制能力。故障時也必須重算可行集合，而非僅將故障節點的指令設零後沿用舊分配。

## 7. 時變計算拓撲、角色遷移與狀態一致性

### 7.1 五種需要獨立標記的重構事件

| 事件 | 範例 | 可能變動的網路 | 必要控制動作 |
|---|---|---|---|
| G：幾何變形 | 某臂伸長 10 cm、曲率增加 | $\Phi_t$，可能連帶作用矩陣 | 更新作用線、碰撞與柔性估測 |
| M：機械重接 | 兩條臂的末端接合 | $\mathcal H_M$ | 更新受力路徑、閉鏈約束及安全界限 |
| C：計算路由切換 | 觸手 3 改由觸手 2 傳輸資料 | $\mathcal H_C$ | 重新量測時延、資料可靠性及時間同步 |
| R：功能角色轉換 | 推進節點轉任感測／作業 | 功能授權和控制配置 | 撤銷原推進租約、重算可行廣義力 |
| E／P／F：資源路徑轉換 | 備援供電、工質閥路或場節點啟閉 | $\mathcal H_E,\mathcal H_P,\mathcal H_F$ | 重新計算能力、熱／工質／場動量帳 |

若同時發生多類事件，應建立共同的事件批次識別碼，並明確指出哪部分已確認完成。只有顯示成功動畫而未更新模型、致動器地圖及能源約束，不構成成功重構。

### 7.2 構型版本與控制權租約

每個節點至少識別：`geometry_epoch`、`topology_epoch`、`allocation_epoch`、`safety_policy_version`、`controller_firmware_hash`。命令應包含發送者、目的致動器、序號、生效時間、失效時間、允許動作包絡及授權憑證或經鑑別的身份。即使計算網路切換，任何時候都不能讓兩個版本的控制器同時對同一馬達具有有效寫入權。

「租約」在本篇指帶時間與模式限制的控制權，並非分散式資料庫的單純心跳。租約到期後的行為應由本地安全控制器處理，而非等待中央重新發文。若時鐘或認證狀態不可信，應進入預定的保守控制模式。

### 7.3 構型切換的安全交易程序

對涉及多觸手力矩配置的重構，建議採以下控制程序，而非瞬時切換：

1. **提出候選（PROPOSE）：** L0b 建立新幾何、控制分配與能源配置，標註相同任務下的可行性預測。
2. **局部預檢（PREPARE）：** 各 L1 檢查自身硬體限位、剩餘推力、電源及熱能力；S 驗證整體切換中間狀態。
3. **確認能力（ACK）：** 各節點回傳準備狀態及可用界限；缺少必要回覆不得假裝已完成。
4. **受控切換（TRANSITION）：** 由經批准的時間軌跡逐步變形，不允許跨越未驗證中間構型。
5. **核對生效（COMMIT）：** 確認實際幾何、能源狀態及力矩配置符合新版本才切換主要授權。
6. **隔離或降級（ABORT／DEGRADE）：** 中斷時不得盲目返回舊幾何；應依當下實際姿態、速度、碰撞和能源條件選擇可行安全路徑。

此流程類似交易，但**物理系統不能像資料庫一樣保證瞬間回滾**。有慣性、溫升、疲勞與行程限制的機構，可能不存在立即安全復原到上一構型的路徑。因此，切換前驗證必須覆蓋整段狀態軌跡，而非只看切換前後兩個點。

### 7.4 數位孿生的可追溯邊界

每一次全域分配應綁定三個不同版本：當前量測狀態、演算法使用的模型版本、硬體實際回報狀態。若候選命令的幾何、質心或推力矩陣是由過期模型推得，該命令不得直接進入致動層。模型更新可以在離線或監督模式進行；不得在未完成約束重新驗證時，讓學習模型自行替換底層控制律。

## 8. 安全不變集與獨立監督

### 8.1 安全集合的明確定義

令：

$$
\mathcal S=\{\mathbf x:h_j(\mathbf x)\ge0,\ j=1,\ldots,m\},
$$

各 $h_j$ 可對應：觸手根部應力、行程、推力、節點溫度、電壓、互碰距離、核心姿態、接近障礙物的距離或其他經危害分析確定的限制。實體量測與理論模型可能不同，所以安全集合必須標明模型不確定度、傳感器誤差、致動器限制和操作環境。

### 8.2 控制屏障函數是條件式工具，不是安全魔法

對可微控制仿射模型：

$$
\dot{\mathbf x}=f(\mathbf x)+g(\mathbf x)\mathbf u,
$$

若可找到控制輸入使各安全屏障滿足：

$$
\nabla h_j(\mathbf x)^\top\bigl(f(\mathbf x)+g(\mathbf x)\mathbf u\bigr)\ge-\alpha_j(h_j(\mathbf x)),
$$

則在相應的數學假設、初始條件與可行性條件下，可以用於建立安全集合前向不變性的論證 [R2]。這個一階形式僅能直接處理輸入已出現在 $\dot h_j$ 的情形；對常見的位置、碰撞距離等相對階數較高的限制，必須使用高階屏障條件或其他經驗證的約束控制構造，不能只照抄本式。但是若觀測延遲、未建模柔性變化、推進器飽和或目標衝突讓相關不等式無解，就不會憑空產生安全控制。對含有有界擾動的不確定模型，還必須加入保守擾動界及離散採樣效應。

形式上可求解安全濾波：

$$
\mathbf u_{\mathrm{safe}}=\underset{\mathbf u\in\mathcal U}{\arg\min}\;\|\mathbf u-\mathbf u_{\mathrm{nom}}\|_R^2
$$

並滿足所有已建立且可行的安全約束。若無可行解，必須切換已驗證的降級策略並回報「不可行」，而非降低硬約束的權重使結果看起來仍可運作。

### 8.3 地球與宇宙的安全退讓不能共用同一預設動作

地球飛行版在高度不足或升力不足時，「停止所有推進器」可能直接造成墜落；真正的安全行為需視當前高度、推力裕度、速度、能源、故障類型與已驗證的降落／回收方式決定。若不能安全降落，應將相關操作限制在具機械約束的台架而非自由飛行。

宇宙真空版則沒有一般大氣懸停問題，但可能有碰撞、角速度失控、熱累積與長柔性觸手對接風險；「關閉推進」並不意味著慣性速度或角速度歸零，也不保證觸手停止彈性振動。宇宙版應依任務建立慣性漂移、姿態穩定、延伸結構收束和安全功率配置等不同失效模式。

### 8.4 獨立保護通道與共同原因故障

建議至少區分：一般數據網路、控制命令網路、關鍵安全訊號通道。關鍵急停、過流／過溫切斷及硬體限位不應僅依賴有可能同時故障的 AI 服務、無線網路或單一處理器。冗餘亦須考慮共因故障：同一電源、同一時鐘、同一晶片缺陷或同一錯誤模型，都可能同時破壞表面上的多副本系統。

NASA Orion 公開的航電與軟體說明提供了多重飛行電腦及異質備援的實例 [R4]，但此處只借鏡其**隔離與備援設計理念**，不能因此宣稱 AGFT 的候選飛控已達到同等可靠度。

## 9. 通信、資料品質與延遲容忍設計

### 9.1 消息類型與一致性要求

| 消息類型 | 內容 | 傳輸與安全策略 |
|---|---|---|
| `SENSOR_FAST` | IMU、應變、電流等高速資料 | 優先本地使用；中央僅依需求訂閱摘要或事件 |
| `STATE_SUMMARY` | 姿態、模態、能力估測與誤差界 | 附時間戳、坐標系、有效期限及來源版本 |
| `ALLOC_CONTRACT` | 控制權、功率、合力份額與限制 | 驗證身份、版本和租約；禁止重複執行 |
| `GEOMETRY_TRANSITION` | 構型切換階段和中間約束 | 需 PREPARE／ACK／COMMIT 機制 |
| `SAFETY_EVENT` | 緊急超界、過期資料、模組故障 | 本地優先觸發安全處理；記錄並向上報告 |
| `HEALTH_ENERGY` | 電池、局部計算、溫度與健康裕度 | 定期及事件觸發更新；影響能力分配 |

### 9.2 可靠傳送不等於可用於閉環

某些控制資料重視「最新」，某些結構版本或授權消息重視「不遺失且有序」。ROS 2 的 QoS 機制已有 reliability、deadline、lifespan、liveliness 等類別，可以作為軟體模擬與非安全關鍵資料總線的參照 [R6]。但 QoS 設定不自動提供硬即時保證，必須結合實際網路、排程與故障注入驗證。任務與安全指令即使成功傳送，也仍須符合當下構型、租約與安全約束。

### 9.3 通訊遺失時的三級回退

**級別 A — 短暫丟包：** L1 使用仍有效的本地狀態估測、前一次經驗證契約與局部閉環，縮小激進操作裕度；不得為了「等待中央」凍結高頻安全迴路。

**級別 B — 連線超時：** 終止需要跨觸手同步的動態重構，撤銷過期的全域推力補償，並根據本地能力進入對應的保守控制集合。

**級別 C — 控制核心／網路不可用：** 各 L1 僅保留已證實可安全獨立執行的功能；S 依環境選擇台架停機、地球受控降落／回收、或宇宙姿態／碰撞風險最小化流程。任何此類流程皆須經對應工況驗證，不能以通用「SAFE_MODE」字串取代具體物理策略。

### 9.4 不能把安全遙控模式直接套在開源飛控上

PX4 公開文件把「期望推力／力矩到致動器」的控制分配獨立成模組 [R3]，並對外部 Offboard 控制的連線中斷定義失效處理 [R5]。這可作為 AGFT 模擬／地球版本的控制接口參照；但可變幾何、根部張力、流體管路及時變質心需要另外的模型、適配與驗證。任何未經測試的自訂分配矩陣或飛行模式，都不能被視為 PX4 自動提供的安全性能。

## 10. 一個能手算的控制配置與故障案例

### 10.1 對稱雙觸手：合力相加但力矩相消

考慮二維理想化模型：質心位於原點，兩個推進器位於 $y_1=+0.4\,\mathrm m$ 和 $y_2=-0.4\,\mathrm m$，都沿 $+x$ 方向提供非負推力 $u_1,u_2$，每個上限為 $6\,\mathrm N$。忽略噴流撞擊、機構質量變化、空氣動力影響及推進器自身反扭矩，取 $M_z=xF_y-yF_x$，則：

$$
\begin{bmatrix}F_x\\M_z\end{bmatrix}=
\underbrace{\begin{bmatrix}1&1\\-0.4&0.4\end{bmatrix}}_{B}
\begin{bmatrix}u_1\\u_2\end{bmatrix}.
$$

當目標為：

$$
\mathbf w^\star=\begin{bmatrix}8\,\mathrm N\\0\,\mathrm{N\,m}\end{bmatrix},
$$

可得唯一解 $u_1=u_2=4\,\mathrm N$，滿足兩個輸出上限且具有零合力矩。這只說明**這組配置的準靜態合力關係**，不代表中央核心振動、能源及結構安全已經得到保證。

### 10.2 單觸手失效：不能把不可行需求偽裝成局部補償

若上方觸手 1 完全故障， $u_1=0$，而觸手 2 仍只能提供最多 $6\,\mathrm N$：

$$
F_x=u_2,\qquad M_z=0.4u_2.
$$

因此無法同時滿足 $F_x=8\,\mathrm N$ 與 $M_z=0$。即使把剩餘觸手推到上限 $u_2=6\,\mathrm N$，也只得到 $F_x=6\,\mathrm N$ 與 $M_z=2.4\,\mathrm{N\,m}$ ；若要求此兩觸手模型嚴格零力矩，則唯一可行解是 $u_2=0$。

此案例應觸發：重新計算推力可行集合、重設任務目標、檢查能否在安全約束下改變觸手作用線，或切換已驗證的降級模式。不得以「AI 全域推理能力很強」作為超越致動器飽和限制的理由。

### 10.3 通信負載的理想化量級示例

假設四條觸手，每條有 12 個以 32 位浮點數呈現的感測通道，原始採樣頻率為 $200\,\mathrm{Hz}$。僅計純數值負載，不計時間戳、封包標頭、校驗、重傳及事件通道：

$$
R_{\mathrm{raw}}=4\times12\times200\times4=38400\,\mathrm{byte/s}.
$$

若每條觸手保留高速本地控制，而向中央回傳同等 12 個摘要通道、每秒 25 次，則純數值負載：

$$
R_{\mathrm{summary}}=4\times12\times25\times4=4800\,\mathrm{byte/s}.
$$

在**這一組假設下**，僅摘要數值頻寬減少 $87.5\%$，即降為原來八分之一；這不等於整個網路流量、CPU 負載、耗電或整體閉環延遲也減少相同比例。高速資料仍在觸手端採集與處理；若事故診斷必須回傳原始資料，還應配置環形緩衝區、事件擷取及額外頻寬。

### 10.4 能力喪失時的調度並不是「中央改派一次就好」

若一條觸手發生故障，中央可能同時遇到控制秩下降、可用動量輸出縮小、局部電力重配、機械慣量改變及資料路由斷開。最小的安全性檢查順序應是：**先確認感測與模型是否可信，再更新能力集合，才重求推力與幾何；最後驗證中間構型能否安全到達。**

## 11. 可執行的控制協定輪廓

### 11.1 中央控制器的主要週期（規格級偽程式）

以下不是可直接驅動機械的實際程式，且忽略大量驅動器和即時系統細節；重點是明確的失敗路徑及授權順序。

```text
REPEAT every global-allocation cycle:
    snapshot := acquire_time_aligned_measurements()
    if not snapshot.fresh or not snapshot.calibration_valid:
        notify_safety_supervisor("UNTRUSTED_STATE")
        select_prevalidated_contingency(snapshot)
        CONTINUE

    capability := recompute_feasible_capabilities(
        geometry, mechanical_topology, compute_topology,
        energy_topology, flow_topology, field_topology, snapshot
    )
    if not momentum_bookkeeping_valid(capability):
        reject_new_thrust_assignment()
        notify_safety_supervisor("PHYSICS_MODEL_INVALID")
        CONTINUE

    request := convert_intent_to_bounded_global_objectives()
    candidate := allocate_with_constraints(request, capability)
    if candidate.status != FEASIBLE:
        choose_feasible_degraded_objective_or_contingency()
        CONTINUE

    if candidate.requires_topology_or_geometry_change:
        prepare_all_affected_nodes(candidate)
        if not all_required_acks_or_not_safe_transition:
            reject_and_hold_verified_configuration()
            CONTINUE
        execute_monitored_transition(candidate)
        if transition_failed:
            enter_state_dependent_contingency()
            CONTINUE

    issue_versioned_leased_contracts(candidate)
    monitor_residuals_latency_thermal_energy_and_faults()
```

「保持已驗證構型」的前提是當前構型依然安全；若已經失穩、推進能力不足或超出工況，必須執行對應的降級流程。

### 11.2 觸手 L1 的局部工作循環

```text
REPEAT every local-control cycle:
    sensors := read_local_sensors()
    evaluate_hard_limits_independent_of_network()
    if imminent_hazard:
        execute_local_safety_response()
        report_event_when_possible()
        CONTINUE

    contract := get_active_contract()
    if expired(contract) or mismatched_geometry_epoch(contract):
        enter_verified_local_fallback()
        CONTINUE

    estimate := update_local_state_and_uncertainty(sensors)
    command := solve_bounded_local_control(estimate, contract)
    if not feasible(command) or not certified_inside_contract(command):
        enter_verified_local_fallback()
        CONTINUE

    execute_via_single_authorized_actuator_writer(command)
    publish_summary_with_timestamp_and_error_bound()
```

### 11.3 非線性模型與學習系統的邊界

L0 可利用可解釋的優化、學習式構型候選搜尋、視覺感知或世界模型提出目標；L1 可使用經驗證的狀態估測或有限範圍自適應校正；L2/S 應以界定輸入、輸出、時間和失效行為的確定性機制為基礎。若使用學習器預測推力效率、結構剛度或熱狀態，應回報其有效域與不確定度，不能將神經網路的高置信度輸出等同機械安全證明。

### 11.4 資料交換紀錄示例

下方 JSON 是**研究用示例契約，不是觀測值、已驗證 API 或可直接送至實體裝置的飛行指令**；空值代表待實測、待配置或不具現成證據。所有向量皆須指定參考座標與單位。

```json
{
  "record_type": "AGFT_CONTROL_CONTRACT",
  "schema_version": "0.1.0",
  "paper": "AGFT-P03",
  "evidence_status": "illustrative-not-measured",
  "contract_id": "demo-T2-0001",
  "issued_by": "L0_ALLOCATOR",
  "recipient": "L1_T2",
  "command_owner": "L1_T2_AUTHORIZED_WRITER",
  "geometry_epoch": 12,
  "topology_epoch": 5,
  "allocation_epoch": 31,
  "safety_policy_version": "demo-only",
  "frame": "system_com_frame",
  "issued_time_monotonic_ns": null,
  "expires_time_monotonic_ns": null,
  "force_budget_N": [0.0, 0.0, 0.0],
  "torque_budget_Nm": [0.0, 0.0, 0.0],
  "joint_position_limits_rad": null,
  "joint_speed_limits_rad_s": null,
  "thrust_limits_N": [0.0, 6.0],
  "energy_budget_J": null,
  "temperature_limit_K": null,
  "collision_clearance_min_m": null,
  "state_estimate_covariance": null,
  "fallback_profile": "BENCH_ONLY_MOTOR_DISABLE",
  "authorization_status": "NOT_AUTHORIZED_FOR_HARDWARE",
  "model_hash_sha256": null,
  "config_hash_sha256": null
}
```

上述 `force_budget_N`、`torque_budget_Nm` 的示例零向量僅佔位，不表示實際容許力必須為零；真正系統須以明確定義的「額度、目標、偏差容許值」欄位取代簡化表示。`fallback_profile` 僅用於固定台架範例；地球飛行版不能照抄成關閉所有馬達。若以單調計時器紀錄時間，有跨裝置訊息需求時應定義共同時鐘域或攜帶時間不確定度，而非比較不同主機上未同步的絕對單調時間值。


## 12. 計算、通信、供電、熱與質量的共同預算

### 12.1 負載分散不等於免費計算

分散式計算可以降低中央所需處理的原始通道數，卻不能假定總運算量下降。多副本模型、時間同步、診斷、容錯和任務遷移會產生額外開銷。若一個任務能平行分割，理想的完成時間可能近似：

$$
T_{\mathrm{dist}}\approx T_{\mathrm{coordinate}}+\max_i T_{\mathrm{local},i}+T_{\mathrm{communication}}+T_{\mathrm{sync}},
$$

而非將所有局部時間相加。此式只在局部計算可以並行、相應硬體獨立且等待成本合理時有參考價值；隨著同步與耦合程度提高，分散化可能比集中式更慢。

對第 $i$ 個即時節點，若單次工作具有實測或分析取得的最壞情況執行需求 $C_i^{\mathrm{WC}}$，相對於截止時間 $D_i$，可定義保守的單工作需求率：

$$
\rho_i=\frac{C_i^{\mathrm{WC}}}{D_i}.
$$

 $\rho_i<1$ 只是必要的單一工作局部條件之一；在具有多工作、共享鎖、DMA、中斷、網路與不同優先權的系統裡，仍須執行完整可排程性分析，不能據此保證所有工作準時。

### 12.2 給定任務的總電力帳

定義電源輸出至各負載的總功率：

$$
P_{\mathrm{load}}=P_{\mathrm{prop}}+P_{\mathrm{act}}+P_{\mathrm{compute}}+P_{\mathrm{comm}}+P_{\mathrm{sensors}}+P_{\mathrm{thermal\_ctrl}}+P_{\mathrm{aux}}.
$$

這裡的項目必須按測量邊界互斥分類，避免把致動器電耗與已含該致動器的推進模組電耗重複計入。電池內損與供電轉換損失可另外納入供給端能量帳。若太陽能光伏表皮只足以提供部分感測器和通信功率，不能宣稱它已支撐推進主負載；透光度與光電轉換率的取捨由 P04 分析。

局部新增一顆晶片能否節能，需比較其運行功率與它減少的通訊、中央計算和致動器校正開銷，而不是僅以晶片額定功率推論。第一代樣機應同時量測空載功率、任務平均功率、峰值功率及動態重構電耗。

### 12.3 計算晶片放到觸手上也帶來材料代價

沿觸手部署計算節點，會增加質量、局部慣量、熱源、線束、電磁干擾、密封、輻射屏蔽及維護接口。對極長觸手，計算節點的位置還會改變結構固有頻率、根部彎矩和部署動力學。若增加的控制品質不足以補償這些成本，理應減少節點數量或重新集中部份工作。

真空缺乏一般大氣對流散熱條件，長期運行須使用傳導至散熱面、輻射散熱及適當的熱管理；觸手外側光伏吸收與內部運算發熱也可能彼此競爭。分散式計算並不能以「靠近太空很冷」代替熱工程設計。

### 12.4 節點部署應由任務敏感度決定

第一代不必在每個機械分節都放置 AI 加速器。可採：每條觸手一組具即時能力的 L1 控制器、每個重要關節一個簡單 L2 低功耗 MCU、中央一組具較高運算能力的 L0 平台，另配不依賴一般 AI 計算的安全監督。後續增加處理器時，需先指出新增節點能解決哪一種可量測的延遲或耦合風險。

## 13. 對照架構與效能指標

### 13.1 四種控制對照組

| 代碼 | 控制架構 | 比較用途 | 注意事項 |
|---|---|---|---|
| C0 | 集中式計算：中央接收所有原始資料、下發低階控制 | 單核心基線 | 同樣保有硬體急停與基本安全保護，避免不公平比較 |
| D1 | 各觸手自行局部控制，少量或無跨臂協調 | 檢查僅「分散」是否足夠 | 可能產生全域力矩衝突；風險案例限於模擬或安全台架 |
| D2 | L0 全域契約＋L1 分散控制＋L2/S 確定性保護 | P03 主候選架構 | 同時核算通信、計算、能源和故障代價 |
| D3 | D2 加入受約束的學習式任務或構型搜尋 | 檢查 AI 的額外貢獻 | 安全控制器和硬限制與 D2 相同，避免學習器獲得額外權限 |

「分散式一定比集中式好」不是本文的既定結論。若 C0 在小型四觸手原型上更簡單、快速、省電且沒有單點風險超限，C0 就可能是該尺寸的合理設計。D2 的價值應在可重構性、局部動態、故障與擴展負載逐步增加時接受重新測量。

### 13.2 六類不能省略的性能指標

1. **控制表現：** 姿態／軌跡誤差、整體廣義力殘差、核心振動、末端位移誤差及振動恢復時間。
2. **延遲：** 平均、P95、P99、最大實測延遲、截止時間錯過次數；最壞情況上界須單獨證明，不能以 P99 冒充。
3. **通信：** 單位時間傳輸的實際線上位元組、重傳、丟包、過期消息、時間同步誤差和控制衝突。
4. **資源：** 完成同任務消耗的總電能、峰值功率、運算耗電、推進耗電、質量、散熱及線束負荷。
5. **可靠性：** 故障發現與隔離延遲、降級成功率、安全越界時間、是否發生雙重致動器寫入。
6. **可重構性：** 實際完成構型切換所需時間、切換軌跡上的最大應力、最小碰撞距離與控制可行集合大小。

用相同的任務和安全限制比較，並報告多次測量的變異、失敗次數和樣本數。若只報告模型預測，應標示為「模擬」而非「實測」。

### 13.3 正規化成本模型與 Pareto 邊界

為比較不同架構，可構建研究用多目標成本：

$$
\mathbf J=\begin{bmatrix}J_{\mathrm{task}}&J_{\mathrm{core}}&J_{\mathrm{struct}}&J_{\mathrm{energy}}&J_{\mathrm{latency}}&J_{\mathrm{safety}}\end{bmatrix}^{\top}.
$$

不同分量單位和重要性不同；報告時應保留各項實際數值與可信區間，而不只發表單一加權分數。對安全相關限制（例如碰撞距離和結構應力）應先作硬性資格判定，再比較其他指標的 Pareto 折衷。若控制器以更大的觸手應力換取較低的核心震動，不能單獨宣稱系統更安全。

## 14. 地球 M0／M1／M2 驗證規格與故障注入矩陣

### 14.1 驗收順序

**M0：離線模擬與可重播資料。** 先驗算配置矩陣、單位、版本、時間戳、守恆與安全契約；在相同仿真植物模型下比較 C0、D1、D2、D3，允許注入感測器誤差、計算延遲與通信故障。

**M1：固定式單／雙觸手台架。** 量測局部閉環延遲、根部力、致動器電流、溫度及失效回退。可使用真實微控制器及感測器，但不得直接推論實際自由飛行的穩定性。

**M2：四觸手受約束平台。** 才進行多臂幾何重構、跨臂力矩配置及完整通訊故障試驗；需有防護罩、機械限位、外部急停及可追蹤的設備校正。是否進入 M3 自由飛行，由 P05 另外訂定結構、環境、法規及安全準入條件。

### 14.2 十二項故障注入案例

| 編號 | 故障或擾動 | 預期控制反應 | 可觀察證據 |
|---|---|---|---|
| F00 | L0 任務規劃無回應 | L1 仍維持已授權安全閉環；到期後安全降級 | L2 更新不中斷、超時事件 |
| F01 | L1 觸手控制器失聯 | 撤銷該觸手高風險授權，重算全域能力 | 控制權租約、故障隔離時刻 |
| F02 | L2 致動器卡住或過流 | 硬體限位動作、實際可行推力下降 | 電流、角度、限位及隔離紀錄 |
| F03 | 觸手幾何版本錯誤 | 拒絕舊配置指令，不套用錯誤作用線 | 版本拒絕事件、推力輸出狀態 |
| F04 | 延遲、丟包與亂序 | 拒絕逾期／逆序消息，縮小控制包絡 | 時戳、序號、資料遺失率 |
| F05 | 誤估整體質心 | 安全監督偵測合力矩殘差異常 | IMU 與測力對照、模型殘差 |
| F06 | 多臂同步切換只完成一半 | 停止未批准後續切換，尋找當下可行狀態 | PREPARE／COMMIT 與實際構型 |
| F07 | 局部溫升或供電下降 | 能源額度收縮，必要時停止非必要功能 | 溫度、電壓、推進額度 |
| F08 | 柔性振動被幾何動作激發 | 限制構型速度、採已驗證抑振控制 | 模態幅值、根部應力 |
| F09 | 假造或錯誤來源的控制訊息 | 身份／完整性驗證失敗，拒絕寫入 | 拒絕原因、命令來源、寫入紀錄 |
| F10 | 多節點錯誤取得同一致動器寫權 | 僅一個有效寫入者；衝突觸發監督事件 | 驅動器端完整授權紀錄 |
| F11 | 安全監督器或急停線路故障 | 依失效類型進入事先驗證的防護狀態 | 獨立注入、硬體回報和可追溯試驗 |

上述「預期反應」是**設計需求**而非已通過測試的證據。尤其 F11 涉及故障容忍與物理保護，必須在台架及無危險負載條件下分階段驗證。

### 14.3 不可混淆的驗收分級

- **V0：數學與資料規則檢查。** 對所有指定簡化模型，驗證推力／力矩符號、限制條件、時間戳、版本與消息解析。
- **V1：受限實體迴路檢查。** 對已校正的台架，驗證最壞觀察延遲、過載反應、節點隔離及硬體限位。
- **V2：多觸手協同檢查。** 對相同設備及任務的 C0／D2，驗證系統性收益、代價與故障事件結果。
- **V3：任務情境驗證。** 僅在相關外部安全、材料與監管條件通過後，於具代表性的操作環境進行；不得從 V0 自動升級為 V3。

### 14.4 預先登記的成功／拒絕條件

在正式採集數據前，每組任務應固定模型、質量、能源、推進器、感測器、控制上限、安全距離、資料收集時段、隨機種子和最大允許超界。可用一組預先登記的最低安全限制先排除不合格控制器，再就相同任務測量 D2 是否帶來統計上有意義且工程上值得的延遲或故障恢復優勢。試驗次數由變異與期望效應量決定，不得依單次漂亮結果選擇性停止。

若 D2 的局部反應更快，但其總質量、功率或根部振動超出已訂限制，應報告「局部改善，整體尚未合格」，不能改寫事先制定的權重。若 C0 已具備同等閉環效能與更低複雜度，也應保留對 C0 的支持。

## 15. 八項可否證研究命題

### H-P03-01：局部濾波能降低中央原始資料負載

在相同採樣率、感測器與診斷要求下，D2 以本地估測與事件傳輸替代持續逐筆傳輸時，中央資料通道負載應下降；若故障診斷需持續完整回傳所有資料、造成實際鏈路負載不減，則此項主張不成立。

### H-P03-02：局部閉環可降低部分控制延遲

若物理耦合主要受本地感測驅動，L1/L2 就地閉環可能降低其端到端延遲尾端；若同步、排程或網路負擔反而使 P99 延遲惡化，則不應繼續宣稱具優勢。

### H-P03-03：全域契約比完全局部分散更能維持合力約束

在相同多臂推力目標下，D2 應比 D1 更少發生跨臂力矩衝突；若 L0 契約過度保守、錯誤或資訊過期，D2 亦可能無優勢，甚至更差。

### H-P03-04：時變控制權租約可減少構型切換指令衝突

在規定的重構與故障注入條件下，應能拒絕過期、舊版本和重複寫入命令；若任何一個測試造成未授權致動器動作，就必須拒絕該控制權設計。

### H-P03-05：故障後安全降級須以可行集合重算為前提

對 P03 雙觸手理想案例，單觸手失效後不應仍宣稱可達 $[8\,\mathrm N,0\,\mathrm{N\,m}]$ ；若控制器持續輸出不可行命令而無法及時識別，則其故障處理不足。

### H-P03-06：更多局部晶片不保證總能效改善

隨節點數增加，中央頻寬可能下降，但總功耗、質量和散熱也可能上升。若同任務下新節點造成淨成本增加而控制改善有限，應支持較少節點的替代設計。

### H-P03-07：中央平穩收益有可能以局部結構負載為代價

內部牽引控制可降低某些中央核心擾動，但應同步產生可量測的觸手受力／行程／能耗變化。若不量測反作用負載而僅見核心更平穩，不能宣稱整體系統更穩定或更高效。

### H-P03-08：生成式 AI 的在線參與不是硬即時安全的必要條件

在固定任務、已知模型及安全約束下，經驗證的 L1/L2/S 控制鏈應能於 L0a 規劃器停止回應時維持預定安全行為；若安全閉環必須等待生成式 AI 回傳才能繼續，則不符合本篇架構判準。

## 16. 本篇結論與系列接口

本篇保留以下五項可正式陳述的**設計結論**：

1. **中央計算主體不必是所有控制周期的唯一計算位置。** L0 統一目標與協調安全契約，L1/L2 分擔局部感測、振動及致動閉環。這是一種可測試的架構分工，而非已經驗證的效率優勢。
2. **計算拓撲、機械拓撲與幾何嵌入需分開表示。** 觸手伸縮不必改變計算圖；任務轉移不必改變機械圖；兩者只有在有實際耦合時才更新共同約束。
3. **局部自治必須受全域廣義力和物理資源邊界約束。** 分散式節點不能把內力誤作額外推進，也不能透過彼此相反的未授權控制迴避合力和力矩驗證。
4. **安全須與生成式規劃分離。** 可變形機器與星艦的故障處理應依靠已驗證的時序、保護及環境相關的退讓策略，不以單一「停止所有推進」當通用安全解。
5. **可量測的架構優勢必須在公平對照下成立。** 延遲、可靠性、功耗、質量、結構負載及任務可達性都需納入；若分散式版本沒有整體收益，就應保留集中式方案。

與其說 AGFT 是把一艘船裝上更多觸手，更準確的描述是：**用可重構物理幾何承載多個局部計算與作用單元，由中央維持全域意圖、可行性與安全一致性。** 在這裡，觸手的形態會改變控制的物理效能，而計算網路的組織則反過來決定哪些形態可以被安全執行。

本篇向系列後續文件提供明確接口：P04 使用控制節點的能源／熱預算及光伏表皮負載模型；P05 使用 C0–D3 對照、故障注入矩陣與 V0–V3 驗收分級；P06 使用時變網路模型並額外對人工場、粒子流、真空熱管理及超長柔性結構進行守恆與安全核算。這些接口不構成 P04–P06 的預先驗收，也不表示宇宙人工場推進已獲得物理證實。

---

## 參考文獻與可核實的技術背景

以下文獻提供**現有控制理論、開源飛控實作、通信協定及航天安全工程背景**，不直接驗證 AGFT 這個新提出的完整結構。正文中的 [R#] 僅指向相應來源，不代表本文特有的數值範圍與原型可行性均由該來源證明。

- **[R1]** Scattolini, R. (2009). *Architectures for distributed and hierarchical Model Predictive Control — A review.* Journal of Process Control, 19(5), 723–731. DOI: [10.1016/j.jprocont.2009.02.003](https://doi.org/10.1016/j.jprocont.2009.02.003)。支援分散式、階層式 MPC 的基本分類及其限制。
- **[R2]** Ames, A. D., Xu, X., Grizzle, J. W., & Tabuada, P. (2017). *Control Barrier Function Based Quadratic Programs for Safety Critical Systems.* IEEE Transactions on Automatic Control, 62(8), 3861–3876. DOI: [10.1109/TAC.2016.2638961](https://doi.org/10.1109/TAC.2016.2638961)。支援條件式安全集合不變性與受約束控制設計。
- **[R3]** PX4 Development Team. *Control Allocation (Mixing)*，PX4 Guide v1.16。網址：<https://docs.px4.io/v1.16/zh/concept/control_allocation>。說明推力／力矩指令與依機體幾何決定的致動器配置接口。
- **[R4]** NASA. *Avionics and Software — Orion spacecraft.* 網址：<https://www.nasa.gov/reference/avionics-and-software/>。用於冗餘飛控與異質備援的工程背景。
- **[R5]** PX4 Development Team. *Offboard Mode.* 網址：<https://docs.px4.io/main/en/flight_modes/offboard.html>。說明外部控制的生命訊號、連線喪失與失效轉換概念。
- **[R6]** ROS 2 Documentation. *Quality of Service settings.* 網址：<https://docs.ros.org/en/rolling/Concepts/Intermediate/About-Quality-of-Service-Settings.html>。QoS 設定僅是通信策略工具，並非完整即時控制安全證明。
- **[R7]** *A survey on robust stability and performance for networked control systems* (2026). Journal of Automation and Intelligence. DOI: [10.1016/j.jai.2026.05.001](https://doi.org/10.1016/j.jai.2026.05.001)。通信延遲、量化、封包流失與網路控制穩定性的背景綜述。
- **[R8]** *Rigid–Flexible Coupled Modeling and Flexoelectric Control for Flexible Rotating Structures* (2024). AIAA Journal. DOI: [10.2514/1.J064188](https://doi.org/10.2514/1.J064188)。剛柔耦合航天附屬結構的模擬與控制研究。
- **[R9]** NASA. *NASA Systems Engineering Handbook*, NASA/SP-2016-6105 Rev. 2 (2017). NASA NTRS Record: <https://ntrs.nasa.gov/citations/20170001761>。系統規格、驗證、確認與配置追溯的工程方法背景。

### AGFT 內部原始脈絡（概念與設計文件，非外部實驗證據）

- AGFT-P00 v0.1.0：《可變幾何觸手式分散智能載具：系列總綱與概念系統架構》。
- AGFT-P01 v0.1.0：《幾何核心、延伸觸手與可重構空間拓撲》。
- AGFT-P02 v0.1.0：《動量流、內部牽引與全域推力－力矩協同》。
- 本系列所援引的 X／X++、E.X.I.S.T.、SOLUX-00、AETHERION-01 及 AEGIS-01 歷史設計，均為概念譜系，不構成完成的 AGFT 控制系統驗證證據。

## 附錄 A：解析案例的最小重現程式（僅數學單元測試）

以下 Python 3 程式只驗證第 10 節的理想化線性配置與負載算術，**不進行實體致動**，亦不提供飛控安全保證。它沒有讀取外部資料或控制硬體的能力。

```python
from math import isclose


def wrench(u1: float, u2: float) -> tuple[float, float]:
    """Return (force_x_N, moment_z_Nm), for y=(+0.4,-0.4)m."""
    assert 0.0 <= u1 <= 6.0 and 0.0 <= u2 <= 6.0
    return u1 + u2, -0.4 * u1 + 0.4 * u2


fx, mz = wrench(4.0, 4.0)
assert isclose(fx, 8.0, abs_tol=1e-12)
assert isclose(mz, 0.0, abs_tol=1e-12)

fx_fault, mz_fault = wrench(0.0, 6.0)
assert isclose(fx_fault, 6.0, abs_tol=1e-12)
assert isclose(mz_fault, 2.4, abs_tol=1e-12)

raw_bytes_per_s = 4 * 12 * 200 * 4
summary_bytes_per_s = 4 * 12 * 25 * 4
assert raw_bytes_per_s == 38400
assert summary_bytes_per_s == 4800
assert isclose(1.0 - summary_bytes_per_s / raw_bytes_per_s, 0.875)

print("P03 toy algebra checks: PASS")
```

## 附錄 B：最低限度的可重現紀錄要求

每個試驗至少需保留：任務編號、控制器架構版本、核心與觸手質量、模型雜湊、機械／計算／能源圖版本、推力矩陣版本、各節點時戳與同步誤差、原始感測資料的索引、局部估測及其不確定度、控制命令租約、實際致動器輸出、六維合力／力矩、總能耗、峰值溫度、故障注入種子與期間、安全監督結果、分析程式 SHA-256、儀器校正參照，以及結果的**模擬／台架／自由運動／實際飛行**證據層級。

缺失數據必須使用 `null` 或明確的缺失原因，而不是事後根據控制器指令猜測量測值。控制器期望輸出、驅動器實際輸出及外部量測應保持為不同欄位，並各自提供單位與座標框架。

## 驗收規格與版本紀錄

**原稿文字驗收項目：** UTF-8 無 BOM；保留原始 LaTeX ` $...$ ` 與 `$$...$$`；前置文件名稱與版本一致；公式內單位和作用方向檢查；JSON 格式可解析；附錄 A 算術單元測試通過；參考文獻有可核實網址；不把概念設計當成已實驗證實的原型性能。檔案 SHA-256 由交付時的獨立檔案檢查計算，不能在本文自身內容中填入未核實或會因嵌入而改變的雜湊。

**v0.1.0（2026-11-04）：** 建立第一版分散式智能、控制權契約、時變計算拓撲、安全約束、網路失效、解析案例與驗收矩陣。