# RGC–DPIED-08｜跨載體作用契約的組合閉合：長程誤差、共享風險與多機體協同

**English title:** *Compositional Closure of Cross-Embodiment Action Contracts: Long-Horizon Error Propagation, Shared Risks, and Multi-Agent Coordination*

- **研究系列：** 關係幾何與載體展開（RGC）× 數位—實體智能演化解耦論（DPIED）
- **篇次：** RGC–DPIED-08；不是原始 DPIED-08〈機器人越多不代表物理生產力越高〉
- **版本／日期：** v1.0，2026-11-05
- **署名：** Neo.K Polaris｜EveMissLab
- **研究型態：** 有限狀態數學研究、組合契約充分條件、總變差遞推與精確有理數枚舉、跨機體接口候選規範
- **證據範圍：** 數學證明、完全可窮舉的合成有限模型及程式測試；無實體機器人操作、無真實碰撞安全認證、無大型多模態模型訓練
- **原稿規格：** UTF-8 Markdown 為正式 canonical source；數學原始碼唯一分隔符為 ` $...$ ` 及 `$$...$$`；所有附圖與程式另存於研究包

---

**作者：** Neo.K  
**機構：** EveMissLab／一言諾科技有限公司  
**日期：** 2026-11-05  
**版本：** v1.0  

## 摘要

RGC–DPIED-01 至 -07 依序探討不同視覺載體之觀察條件補正、來源衝突、多觀察者圖冊、主動補觀測、觀察者—世界聯合信念、開放模式失配與跨機體作用可實現性。第七篇的 CATC-0.1 在單一跨本體任務轉譯中，已區分可觀察性、致動實現、轉移誤差、任務收益及安全授權。然而，一段局部有效的跨載體轉譯，與多個載體接力、並行及共同操作時的全域任務有效性，並非同一命題。局部檢查可以全部通過，仍因介面假設不相容、時間與能量累積、共同故障或多機體交互碰撞而使整體失敗。

本篇提出候選 **CACG-0.1（Compositional Action Contract Graph，組合式作用契約圖）**：以來源條件、輸出保證、觀察者版本、物理作用前提、交接有效期限、共用資源、條件風險界及全域協調條件，表示多機體任務網路。本篇第一個結果是有限無環串接中的組合充分條件：如果初始輸入滿足第一段假設，每一段的輸出在實際可達域內、經明示轉換後滿足下一段假設，且全域不變量與共享資源約束逐步被保留，則局部保證可以歸納至末段；缺少任何一種前提時，不能僅憑局部通過推出全域保證。其次，在兩條有限隨機交接鏈採用相同狀態空間、轉移總變差誤差為 $\epsilon_i$ 、參考核 Dobrushin 收縮係數為 $\alpha_i$ 的條件下，建立 $\delta_i\le\alpha_i\delta_{i-1}+\epsilon_i$ 及其逐段展開式，明確區分終點分布誤差與路徑危害。第三，對每段失敗機率的證據語義加以區分：若僅知道事件的無條件邊際上界，只能安全採用聯集界；若逐段提供「先前均未失敗」下的條件上界，則可以使用更緊的存活乘積界，**不必額外假設事件獨立**。

合成實驗使用三段依序交接、每段獨立聲明 2 單位時間與 3 單位資源的模型。全部局部前提均成立時，總時間仍為 6、總資源為 9，會分別違反期限 5 與資源上限 8。三段條件危害上界設定為 $0.02,0.03,0.04$ 時，有限契約的組合界為 $0.087424$，聯集界為 $0.09$ ；四個相同 $0.1$ 邊際危害事件在共同故障耦合下的至少一次失敗機率為 $0.1$，在獨立耦合下則為 $0.3439$，顯示不能從邊際數據反推依賴結構。另一組四段核傳遞實驗中，具有持續誤差的終點總變差為 $0.3439$ 、通用累加界為 $0.4$ ；具有收縮性的參考核則在精確構造中取得 $0.1088$ 的終點誤差並達到遞推界。平行雙機體共享同一格點的反例，進一步顯示個別安全不推出聯合安全。

本文之結論不是已經完成一套普遍適用的機器人標準，而是提出一個可測試、可拒絕、分層稽核的研究接口：**同時確認局部能力、交接假設、全域不變量、風險依賴語義與物理授權，才有資格聲稱組合候選有效。** 本篇的有限模型通過 69 項單元測試與 15,883 項獨立有理數稽核，但所有通過僅限於聲明的數學模型。

**關鍵詞：** 關係幾何；跨觀察者；跨具身；具身智能；組合契約；假設—保證；時序閉合；總變差；Dobrushin 收縮；共享風險；共同故障；多機體；任務接力；負遷移；物理作用授權；CACG

## Abstract

Previous RGC–DPIED work established observer-conditioned correction, heterogeneous sensory conflict, multi-observer compatibility, active re-observation, joint observer–world beliefs, open-world mismatch monitoring, and single-task cross-embodiment action translation. This paper studies a distinct question: when, if ever, do locally valid action-transfer contracts compose into a globally valid multi-embodiment task? We propose CACG-0.1, a research-level compositional action-contract graph that separates interface assumptions and guarantees from observer-model provenance, resource budgets, temporal freshness, conditional risk semantics, cross-agent interference, and independent physical authorization.

For finite acyclic sequential systems, we give an assume–guarantee sufficient condition requiring every reachable handoff to satisfy the successor's actual preconditions and global invariants. For approximate stochastic handoffs, we derive the elementary total-variation recursion $\delta_i\le\alpha_i\delta_{i-1}+\epsilon_i$ using Dobrushin coefficients of the reference kernels. We distinguish unconditional risk marginals, for which a union bound is valid, from conditional hazards given survival, for which a product bound holds without independence. Exact rational counterexamples show budget non-closure, stale observer models, divergent terminal errors, dependence-sensitive global hazards, and joint collisions despite individually safe actions. The complete finite implementation passes 69 unit tests and 15,883 independent rational checks. None of these synthetic results certifies physical robots, learned world models, real-time controllers, or unrestricted multi-agent coordination.

---

## 0. 研究連續性：由單一作用轉譯進入多載體協同

### 0.1 已知前提與本篇新邊界

RGC–DPIED-01 v1.1 的條件式視覺補正主張：來源的觀測等價類可能不足以確定目標任務值；若資訊根本沒有被原始載體量測，後處理不得冒充真實恢復。-02 將多來源觀測的相同數值與不同物理語義分開；-03 以多觀察者圖冊區分座標閉合、任務充分性與動態閉合；-04 的非近視補觀測證明有些資訊在當下價值很低，卻是下一步必要條件；-05 同時維護世界與觀察者狀態；-06 在開放世界承認候選模型集合可能錯置；-07 的 CATC-0.1 則將這些觀察證據接到單一目標機體的實際作用可實現性。

然而，CATC-0.1 的一段合格轉譯，僅在所宣告的目標物理狀態域、資料條件、策略及風險證據中成立。若接著交給另一台機器人，不可自動假設上一段輸出足以滿足下一段輸入：上一台的末端姿態與下一台的抓取座標系可能不同；上一段用的校準版本可能已過期；多台載體的總能量、期限或共享空間，也不能只靠逐台的局部證明得到。

本篇研究的是**契約的組合閉合**，而不是對同一套視覺特徵再次做模型對齊。

### 0.2 研究問題

1. 在什麼明確前提下，兩段乃至多段 CATC 的局部成立可推出整體成立？
2. 時間、能源、觀測新鮮度與交接資料是否可以作為形式化假設被逐段檢查？
3. 模型轉移誤差沿多段交接究竟是累積、收縮，還是被放大？
4. 不同機體共享故障來源時，如何避免錯把相依風險視為獨立？
5. 兩台個別行動安全的機體，同時執行時能否導致聯合危害？
6. 即使所有安全條件成立，是否還需要獨立的進度或活性保證？
7. 這些研究契約的通過應如何與實際硬體執行權分離？

## 1. 文獻位置：組合驗證早已存在，跨觀察者連結才是本篇問題

Assume–guarantee reasoning（假設—保證推理）是成熟的形式方法。Kwiatkowska 等人的機率系統組合驗證 [E1] 研究含機率與非決定性行為的局部假設、全域保證與量化界限；Shali、van der Schaft 與 Besselink [E2] 研究連續系統的串接與回授組合。Wolfer [E3] 與更早的 Markov 收縮理論提供 Dobrushin 係數的標準性質。機器人協調方面，Wang、Ames 與 Egerstedt [E4] 已以安全屏障憑證處理多機體碰撞；Cardona 與 Vasile [E5] 將異質團隊能力、時序與資源約束納入任務規劃；2025 年關於可變能力的多機體任務分配研究 [E6] 進一步展示了機器人能力並非始終固定。

因此，本篇**不**聲稱發明假設—保證邏輯、Dobrushin 係數、聯集界、安全屏障函數或多機體分配。研究性的增量限於：沿 RGC–DPIED 已建立的觀察條件、世界模型可靠性與 CATC 作用轉譯證據，構造可稽核的跨載體交接圖；在同一個明確有限模型中檢查時序、資料來源、物理可實現性、風險依賴與全域協調，並提供會讓直覺式局部串接失敗的反例。

## 2. 基本模型：不是一串 AI 指令，而是有語義條件的作用圖

### 2.1 組合圖與交接表示

令有限機體或模組集合為 $V$，交接邊集合為 $E$，構成有向圖：

$$
\mathcal{G}=(V,E).
$$

每個頂點 $i$ 代表一個任務片段，可以涉及感測、抽象推理、致動、監督或合法探測；每條有向邊 $i\rightarrow j$ 表示 $j$ 使用由 $i$ 提供的輸出。本篇主定理先限制於沒有回授循環的有向無環任務圖，其中串接路徑是最基本、可以完全演算的情況。

每筆交接資料 $h_{ij}$ 至少具有資料型別、座標與投影條件、觀察者模型版本、可用實體通道、時間戳與有效期限：

$$
h_{ij}=(\tau,f,v,c,t_0,t_1,e).
$$

其中 $\tau$ 是資料語義型別， $f$ 是座標系或幾何配準識別， $v$ 是觀察核／校準版本， $c$ 是已實際取得的感測通道集合， $[t_0,t_1]$ 是允許使用資料的時間範圍， $e$ 是可核對來源的證據參考。此結構並不表示所有觀察都能還原成單一世界座標；必要時，資料可以攜帶部分幾何關係、候選分布及無法判定標記。

### 2.2 局部契約是條件句

對任務片段 $i$ 定義研究契約：

$$
C_i=(A_i,G_i,Q_i,\rho_i,\ell_i,\gamma_i).
$$

 $A_i$ 表示本段開始所需的有效前提，包含觀察、物理狀態、時序與權限前提； $G_i$ 表示本段在 $A_i$ 成立且所用模型有效時能保證的輸出或行為性質； $Q_i$ 是聲明的轉移核或不確定模型集合； $\rho_i$ 為共用資源消耗上界； $\ell_i$ 為時間消耗上界； $\gamma_i$ 為已說明語義的風險上界。

這不是「每個載體宣稱自己可以做」就自動成立的憑證。數學契約的真偽依賴 $A_i$ 、 $G_i$ 、 $Q_i$ 是否由對應的可達域、測試、推導或形式證據支持。若只從模型自行產生這些數值，本篇程式最多能檢查**聲明之間的相容性**，不能創造物理事實。

### 2.3 三層通過狀態

需要嚴格區分：

- `LOCAL_CONTRACT_CLAIM_VALID_WITHIN_MODEL`：指定模型、可達域與當地前提下的局部論證成立。
- `COMPOSITION_CANDIDATE_WITHIN_DECLARED_MODEL`：交接假設、資源、時序及可用風險界足以構成全域候選。
- `PHYSICAL_ACTION_AUTHORIZED`：必須由外部真實存在、且具有合法授權的硬體安全系統決定；本篇程式**不會**產生此狀態。

## 3. 定理一：有限串接的組合閉合充分條件

### 3.1 需要的不是檔案格式吻合，而是可達行為的前提蘊涵

考慮一條 $m$ 段串接路徑。令 $H_i$ 為第 $i$ 段所有實際可達輸出歷史的集合， $T_{i,i+1}$ 為下一段實際接收前使用的明示資料／幾何／時間轉換。關鍵條件是：

$$
T_{i,i+1}(H_i\cap G_i)\subseteq A_{i+1}.
$$

上述包含關係只要求**實際可達且滿足局部保證**的輸出落在下游前提內，不要求任意不可能出現的型別值都能轉換。若轉換會遺失資訊，則必須把遺失後的可能狀態也計入；如果無法確定下游前提，就不能把「資料解析成功」視作前提成立。

此外，定義全域狀態 $x_t$，包含每台載體狀態、共享能源帳本、任務時計、觀察模型版本及碰撞相關狀態；令 $I(x_t)$ 表示所需全域不變量。只記錄每台機器人自己的局部 $s_i$ 可能不足以判定 $I$。

### 定理 3.1｜有限無環串接的條件式組合保持

假設：

1. 初始輸入與真實初始狀態滿足 $A_1$ 與 $I$。
2. 每段 $i$ 在其聲明的實際可達條件下，由 $A_i$ 與 $I$ 可推出局部 $G_i$，且本段不破壞 $I$。
3. 對每一條串接邊，上一段在可達域內的每個合格輸出經合法轉換後滿足下一段的全部前提，包括時間、觀察者模型與物理作用條件。
4. 共用資源、時序與聯合安全要求已納入 $I$ 或其等價的逐段守衛；沒有在組合中新增未建模的併發干擾。
5. 執行順序有界、沒有未處理的回授循環，且每段確實終止於其承諾輸出。

則依序執行的所有可達片段均滿足各自的契約保證，且最終輸出滿足第 $m$ 段的 $G_m$ 與 $I$。

**證明。** 初始由條件 1 成立。假設進入第 $i$ 段時， $A_i$ 與 $I$ 成立；條件 2 保證局部 $G_i$ 並保持 $I$ ；條件 3 保證在合法交接後 $A_{i+1}$ 成立，條件 4 排除額外未建模的共享干擾；條件 5 允許推進至下一段。沿無環次序做有限歸納，最終得到 $G_m$ 與 $I$。證畢。

**邊界。** 這是 assume–guarantee 思路在所選交接模型上的直接歸納特例，不是新的一般組合定理。對隨機執行中的機率保證，還需第 6 節的風險語義；對有回授循環的圖，不可用此有限路徑歸納跳過固定點、不變式或公平性證明。

### 3.2 若把時間與能源排除在前提之外，定理無法使用

假設一個片段聲明「在不超過兩單位時間、三單位資源下完成」。這只表示每段使用的上界，不表示整條任務的完成期限或能源上界被滿足。因為對串接任務：

$$
T_{\mathrm{chain}}=\sum_{i=1}^{m}\ell_i+\sum_{i=1}^{m-1}d_{i,i+1},
$$

$$
R_{\mathrm{chain}}=\sum_{i=1}^{m}\rho_i,
$$

其中 $d_{i,i+1}$ 是交接延遲；這裡只考慮不能回收或共用計算的可加總資源。真實系統若具有回充、循環利用或共享消耗，應另以動態帳本建模，不可無條件套用簡單加總式。對平行工作，關鍵路徑可能取最大值而非全部相加，且同時競用的資源仍需共同檢查。

## 4. 反例一：所有局部片段合格，整體卻超出期限與資源

建立三個合成模組：`observer_A`、`mobile_B`、`arm_C`。第一段提供聲明的幾何表示，第二段轉換為機體操作目標，第三段完成指定作用。每一段的局部時間需求是 2 單位、資源需求是 3 單位，全部在各自局部規格之內。若整體期限是 5，實際組合時間為 6；若整體資源預算是 8，合計需求為 9。

| 有限模型條件 | 聲明結果 | 全域判定 |
|---|---:|---|
| 每段各自時間不超過 2 | 3/3 段通過 | 不足以推出整體期限 |
| 每段各自資源不超過 3 | 3/3 段通過 | 不足以推出整體資源 |
| 全域期限為 5 | 實際合計 6 | `DEADLINE_EXCEEDED` |
| 全域資源預算為 8 | 實際合計 9 | `RESOURCE_EXCEEDED` |
| 全域期限 7、資源預算 10 | 合計 6、9 | 通過聲明式組合檢查 |

這不表示在任何產業系統中三段任務都必然按此累加；它只是明確的有限反例，否定「局部合格自動推出全域合格」這個沒有附加條件的普遍命題。

### 4.1 資料新鮮度是交接條件，不是視覺解析條件

若某段輸出在 $t=2$ 形成，下一段因傳輸、排隊或驗證延遲要到 $t=8$ 才開始，且它只允許資料在 4 個時間單位內被使用，則原本語義正確的幾何資訊也已過期。研究程式會對此輸出 `STALE_EVIDENCE`。即使資料型別、座標系、觀察者版本完全吻合，仍不可繼續以舊幀聲稱物體當下位置。

### 4.2 觀察者版本衝突不能靠字串轉換掩蓋

`v1` 與 `v2` 之間如沒有合法、保留所需關係的配準證據，則它們是不同的觀察者條件。接口可以顯式拒絕 `OBSERVER_MODEL_MISMATCH`。同理，來源只有 RGB 但下游要求偏振或真實深度通道時，輸出 `MISSING_CHANNEL`，不得以模型預測值冒充已量測物理通道。這與 RGC-BV04 的偏振感測盲區及 RGC–DPIED-01 的補正不可實現性相接。

## 5. 長程誤差傳遞：能組合，也必須知道組合後差多少

### 5.1 有限隨機交接核

假設所有比較均已經使用第七篇 CATC 取得可比的任務抽象與共同有限交接狀態空間 $X$。令 $P_i$ 是第 $i$ 段的實際有限核， $Q_i$ 是參考核；兩者作用於同一狀態空間（或已合法推送至同一空間）。定義：

$$
\mu_i=\mu_{i-1}P_i,\qquad \nu_i=\nu_{i-1}Q_i,
$$

$$
\delta_i=\mathrm{TV}(\mu_i,\nu_i).
$$

每段的模型差異由所有聲明可達輸入上的行總變差所界定：

$$
\epsilon_i=\sup_{x\in X}\mathrm{TV}(P_i(x,\cdot),Q_i(x,\cdot)).
$$

參考核 $Q_i$ 的 Dobrushin 係數為：

$$
\alpha_i=\sup_{x,y\in X}\mathrm{TV}(Q_i(x,\cdot),Q_i(y,\cdot)).
$$

對有限 Markov 核， $0\le\alpha_i\le1$，且 $\alpha_i$ 描述參考核對兩個不同輸入分布之間的總變差差距能收縮多少。這不是視覺像素的誤差，也不是訓練損失的相似度。

### 定理 5.1｜逐段交接的終點總變差遞推界

在上述核、可比狀態空間與逐段統一誤差界成立的條件下：

$$
\delta_i\le \alpha_i\delta_{i-1}+\epsilon_i.
$$

因此，對 $m$ 段有：

$$
\delta_m\le
\left(\prod_{i=1}^{m}\alpha_i\right)\delta_0
+\sum_{j=1}^{m}\epsilon_j\prod_{k=j+1}^{m}\alpha_k.
$$

右式若大於 1，可再以 1 作為平凡上界。

**證明。** 由總變差的三角不等式：

$$
\mathrm{TV}(\mu_{i-1}P_i,\nu_{i-1}Q_i)
\le \mathrm{TV}(\mu_{i-1}P_i,\mu_{i-1}Q_i)
+\mathrm{TV}(\mu_{i-1}Q_i,\nu_{i-1}Q_i).
$$

第一項因每行總變差不超過 $\epsilon_i$，在任意輸入分布混合下亦不超過 $\epsilon_i$ ；第二項由 $Q_i$ 的 Dobrushin 收縮性不超過 $\alpha_i\delta_{i-1}$。逐段代入即得展開式。證畢。

**重要限制。** 這個界只涵蓋聲明的終點抽象分布；若不把「曾經撞擊」、「曾經失去授權」、「曾經突破能量上限」放進狀態作為吸收性記憶，不能用終點分布接近來聲稱整條物理路徑沒有危害。把歷史危害旗標加入狀態後，收縮係數可能重新變成 1，不能偷用原先較樂觀的 $\alpha_i$。

### 5.2 精確反例：誤差可能保持，也可能收縮

第一個雙狀態模型使用參考核 $Q=I$，實際核每步以 $0.1$ 機率由狀態 0 轉入吸收狀態 1。初始兩模型都確定處於 0。四段後實際進入 1 的機率是：

$$
1-(0.9)^4=0.3439.
$$

此時參考核的 $\alpha_i=1$，逐步差距是 $0.1,0.19,0.271,0.3439$，而通用加總界是 $0.1,0.2,0.3,0.4$。只要未假定收縮，就不可宣稱誤差自然消失。

第二個模型令參考核為：

$$
Q=\begin{pmatrix}0.8&0.2\\0.2&0.8\end{pmatrix},
\qquad
P=\begin{pmatrix}0.75&0.25\\0.15&0.85\end{pmatrix}.
$$

每行總變差為 $0.05$，參考核的 Dobrushin 係數為 $0.6$。在相同確定初始分布下，四段終點總變差恰好為：

$$
0.05(1+0.6+0.6^2+0.6^3)=0.1088.
$$

這個人工構造剛好達到遞推上界，說明該界並非只能產生過度鬆散的數字；然而真實感測或物理作用核是否具有如此穩定的收縮性，是完全另外的實證問題。

| 段數 | 無收縮：精確誤差 | 無收縮：上界 | 有收縮：精確誤差與上界 |
|---|---:|---:|---:|
| 0 | 0 | 0 | 0 |
| 1 | 0.1000 | 0.1000 | 0.0500 |
| 2 | 0.1900 | 0.2000 | 0.0800 |
| 3 | 0.2710 | 0.3000 | 0.0980 |
| 4 | 0.3439 | 0.4000 | 0.1088 |

### 5.3 無法直接推出任務收益與物理安全

若只關心終點任務函數 $f:X\to[0,1]$，總變差界可控制同一函數下的期望差：

$$
\left|\mathbb{E}_{\mu_m}f-\mathbb{E}_{\nu_m}f\right|\le\delta_m.
$$

但若每段各有不同收益、延遲或碰撞事件，需要分別建立路徑量與累積收益界；不能把上式直接解釋成每台機器人的總收益差界，更不能解釋成真實危害機率界。第七篇的有限時域價值差定理仍適用於其自己的假設，不會因本篇的終點界而自動升級。

## 6. 共享風險：條件危害與無條件邊際不得混淆

### 6.1 兩種風險輸入的含義不同

令 $F_i$ 表示在第 $i$ 段發生的失敗事件。若只知道各事件無條件邊際機率的上界 $\Pr(F_i)\le p_i$，不論事件是否相依，聯集界都成立：

$$
\Pr\left(\bigcup_{i=1}^{m}F_i\right)\le
\min\left(1,\sum_{i=1}^{m}p_i\right).
$$

不能在只有邊際界時擅自改用 $1-\prod_i(1-p_i)$，因為那個數字可能不涵蓋依賴造成的最壞情況。

若契約的語義更強： $p_i$ 是在**此前片段均未失敗、且本段確實被執行**的條件下，第 $i$ 段失敗機率的有效上界，則利用存活機率的鏈式分解，可得：

$$
\Pr(\mathrm{failure\ by\ }m)
\le 1-\prod_{i=1}^{m}(1-p_i).
$$

這一條不需要事件獨立；它需要的是條件上界真的在所有與契約相容的存活歷史中有效。若單一感測器校準錯誤會同時讓所有 $p_i$ 低估，則此數學前提已被破壞。

### 定理 6.1｜無獨立假設的有限存活危害界

在每個尚存活的歷史上，第 $i$ 段新失敗的條件機率不超過 $p_i$，且每段在未失敗的條件下依序執行時，以上乘積界成立。

**證明。** 令 $S_i$ 為前 $i$ 段均未失敗，則 $\Pr(S_i\mid S_{i-1})\ge 1-p_i$。由條件機率的乘法公式：

$$
\Pr(S_m)=\prod_{i=1}^{m}\Pr(S_i\mid S_{i-1})
\ge\prod_{i=1}^{m}(1-p_i).
$$

取補事件即得。證畢。某些 $\Pr(S_{i-1})=0$ 的退化情況可由截斷或直接以機率 1 的上界處理。

### 6.2 三段合成數值

若三段有效條件危害上界依序為 $0.02,0.03,0.04$，則：

$$
1-(0.98)(0.97)(0.96)=0.087424.
$$

而簡單聯集界為 $0.02+0.03+0.04=0.09$。前者較緊但需要正確的逐段條件風險語義。當全域風險預算設為 $0.05$，本研究契約會拒絕；當預算為 $0.1$，則僅在其餘交接前提也成立時列為研究候選。

### 6.3 共同故障來源：相同邊際不代表相同全域風險

構造四個各有 $0.1$ 無條件邊際失敗機率的事件。第一種耦合是同一共同故障位元控制四個事件：只要失敗便一起失敗，其至少一次失敗的機率是 $0.1$。第二種耦合令四個事件相互獨立，其至少一次失敗的機率為：

$$
1-(0.9)^4=0.3439.
$$

兩者的每段邊際機率完全相同；差異只來自聯合分布。此結果不能被解釋成「正相關一定使風險更大」，因為這個例子中共同故障反而使「至少出現一次事件」的機率較低；不同的危害函數，如同時失敗、任務連續中斷、恢復成本，可能產生相反排序。**風險依賴方向必須依所定義的全域事件計算。**

對共用同一觀察模型的機器人而言，觀察者失配是典型候選共同故障原因。這再次連到 RGC–DPIED-05 與 -06：不能以四台機器人各自輸出低風險分數，就假設其故障訊息相互獨立。

## 7. 平行多機體的非閉合：個別安全不代表聯合安全

### 7.1 聯合作用可行域不是局部可行域的直積

令兩個機體的局部可行動集合分別為 $A_1(s_1)$ 、 $A_2(s_2)$，而真實全域狀態為 $s=(s_1,s_2,w)$，其中 $w$ 包含共同工作區、可移動物體、其他機體與共享資源。一般而言：

$$
A_{\mathrm{joint}}(s)\subseteq A_1(s_1)\times A_2(s_2).
$$

此處嚴格包含的可能性來自碰撞、推力耦合、共享電源、相對定位、工具占用及次序依賴。若兩個局部控制器都只檢查自己的靜態障礙，便沒有理由保證所選作用的配對一定屬於聯合可行域。

### 7.2 最小格點反例

假設機器人 A 起始於一維離散格點 0，B 起始於格點 2，兩者個別都認為格點 1 是合法且無靜態障礙的目的地。它們同時執行 $0\rightarrow1$ 與 $2\rightarrow1$，各自的局部目的地合法，但兩者終點重疊，聯合碰撞判定為真。

可在有限模型中透過明示時序互斥恢復不衝突的交接：第一個離散時間步只有 A 從 0 到 1、B 留在 2；下一步 A 從 1 返回 0，B 才從 2 到 1。此例的端點與簡單換位檢查通過，但完成時間從一個步長增加到兩個步長。它不是連續空間、實體速度與加速度下的碰撞證明；真實系統仍須對完整掃掠體積、相對速度及感測誤差驗證。

### 7.3 聯合安全守衛不能被「協作模型很聰明」取代

即使多模態 AI 能成功推論每個機體應該移動到哪裡，其生成的多機體任務規劃仍可能缺少共享空間的硬約束。本篇候選 CACG 不會以語言模型對碰撞機率的敘述取代外部安全控制器、真實碰撞模型或合格的工作空間規範。

## 8. 時間、能源、可用性與任務進度必須分離

### 8.1 安全成立，不代表會完成工作

所有機器人都選擇停住，可能在指定的靜態模型下不會發生碰撞，但也不會完成指定搬運。這個反例區分**安全性**（不發生禁忌事件）與**活性／進度**（任務終究會達成）。

若任務具有期限，還需要明確證明時間有界的進度條件，而不是只聲明各步都不危險。部分分散式環境下，若沒有資源公平性、協調仲裁或可恢復的阻塞策略，個體安全行為可能形成系統性死鎖。現有多機體安全屏障研究 [E4] 也會獨立處理死鎖避免等問題，說明不能混用這兩種目標。

### 8.2 能源、計算成本與預算守衛

組合判準應追蹤至少三種不同資源：物理能源、運算／通訊資源、時間。它們不必線性相加；例如多台機體並行時所耗總能源會相加，完工時間取決於關鍵路徑與同步等待，邊緣推理延遲又可能隨計算競爭而增加。

一個有意義的組合契約必須把計算成本也寫入條件，避免在數學上降低風險，卻在任務時限內無法完成風險評估。模型越多、觀察條件越細，並不保證整體效率越好。

## 9. 來自異質生物視覺的啟示：互補不代表可任意交換

RGC-BV 系列比較了不同生物視覺載體的感測結構，並在理想偏振模型中研究了感測方向、Stokes 分量及未量測通道的差異。這些結果對多機體交接的啟示是：**不同觀察者能提供互補證據，不代表其數值可以互相替代。**

假設一個模組只提供某些線偏振相關的量測，另一模組只提供一般 RGB 畫面。多來源融合有機會使特定任務可辨識，但不能把缺少的圓偏振通道、三維接觸形狀或物理摩擦力當成「由兩個視角相加就一定湧現」的資訊。CACG 對通道的聲明應包含來源、觀察核、有效時刻與轉換限制；必要時輸出 `MISSING_CHANNEL` 而非補出未量測的物理事實。

這並不意味只能使用完整且有完美校準的感測器。部分資訊、候選分布與特定任務足夠的關係表示，都可以成為契約輸入；真正的要求是：下游行動不能超出上游資訊能證成的任務範圍。

## 10. 候選接口 CACG-0.1：研究層的契約圖，而非新硬體標準

### 10.1 設計原則

CACG-0.1 是本研究提出的**候選**接口，不是 ROS 2、IEEE、ISO 的官方標準，也不是已具備實機安全保證的軟體套件。它可接受來自 OCVC、COA、OCAR、COBM、OCOM 及 CATC 的聲明或驗證結果，但每項資料仍需附上其自身的範圍與證據層級。

每個交接節點至少列出：

1. 模組與機體識別、資料型別、來源觀察者及版本。
2. 幾何坐標、必要感測通道、可用的校準或任務充分性證據。
3. 局部前提、輸出保證、可達域、致動器的實現性與拒絕理由。
4. 有效期限、最壞情況執行時間、共享資源帳本。
5. 風險數值的條件語義、模型覆蓋及共同故障關係。
6. 機體間互斥資源、時序與聯合安全守衛。
7. 全域目標、失敗升級、恢復策略與獨立實體授權狀態。

### 10.2 研究用判定流程

```text
Input: declared stage contracts, handoff packets, budgets, schedule
  |
  v
Check type/frame/observer version/required measured channels
  |
  v
Check timestamp, expiry, reachability and action realizability
  |
  v
Check global time and resource budgets, conditional risk semantics
  |
  v
Check joint resource contention and inter-agent interference
  |
  v
Return: REJECT(reason) or CONTRACT_CANDIDATE_WITHIN_DECLARED_MODEL
  |
  v
Hardware authorization: NOT_GRANTED (external system required)
```

本篇 `check_pipeline` 程式實作**串接**的型別、觀察者版本、新鮮度、時序、能量及條件風險候選檢查；`finite_joint_trace` 僅實作簡化格點相撞與兩機體路徑的有限示例。完整開放世界協同控制、持續感測、真實風險辨識、併發排程與物理致動**沒有**被寫成已完成實作。若使用者把合成 JSON 當成硬體授權輸入，將超出本篇驗證範圍。

### 10.3 失敗理由與證據鏈

`TYPE_MISMATCH`、`FRAME_MISMATCH`、`OBSERVER_MODEL_MISMATCH`、`MISSING_CHANNEL`、`STALE_EVIDENCE`、`UNVERIFIED_MODEL`、`UNREALIZABLE_ACTUATION`、`DEADLINE_EXCEEDED`、`RESOURCE_EXCEEDED`、`GLOBAL_RISK_EXCEEDED` 是本篇有限實作可輸出的主要拒絕狀態。輸出必須保留第一個已知違規節點，以便在後續系統中考慮替代路徑或請求額外觀察，而不是把所有失敗壓縮成「模型無法完成任務」。

## 11. 程式實驗：模型規格與完整數值

### 11.1 實驗 A｜串接預算非閉合

建立三段聲明式契約，每段需要 2 時間單位、3 能源單位，已知輸入／輸出型別及版本相容。比較期限、能源及風險預算：

| 情境 | 全域設定 | 模型輸出 |
|---|---|---|
| A1 | 期限 7、能源 10、風險 0.10 | 候選通過，完工時間 6、能源 9 |
| A2 | 期限 5、能源 10、風險 0.10 | 拒絕：期限超標 |
| A3 | 期限 7、能源 8、風險 0.10 | 拒絕：能源超標 |
| A4 | 期限 7、能源 10、風險 0.05 | 拒絕：總風險超標 |
| A5 | 前兩段交接延遲 6，期限 20 | 拒絕：觀測已超時 |

每種輸出都是數學候選判定；即使 A1 通過，返回的硬體授權仍固定為 `NOT_GRANTED`。

### 11.2 實驗 B｜依賴結構與風險界

三段條件危害上界為 $[0.02,0.03,0.04]$，產生 $0.087424$ 的組合上界；無條件聯集界為 $0.09$。四個邊際同為 $0.1$ 的事件，若採共同原因耦合則至少一次失敗機率為 $0.1$，若採獨立耦合則為 $0.3439$ ；共同的保守聯集界是 $0.4$。兩個耦合都可以用有限原子枚舉確認。

### 11.3 實驗 C｜總變差鏈

兩種 2 狀態隨機核，皆從相同起點出發，比較四次交接後的精確終點分布誤差。無收縮模型為 $0.3439$，逐段通用上界為 $0.4$ ；有收縮模型的精確誤差與理論上界均為 $0.1088$。所有有理數都保留原始分數計算，不使用浮點近似證明不等式。

### 11.4 實驗 D｜雙機體共享格點

A 與 B 的同時目的地皆為格點 1，研究碰撞守衛回報一對端點衝突。若以兩個離散時間步進行互斥安排，單一目的格點的共同占用被避免，但工期增加；此模型未涵蓋連續掃掠體積及真實機體外形。

### 11.5 驗證範圍與獨立性

本篇附帶的 `tests/test_composition.py` 在標準 Python `unittest` 下執行 69 項單元測試，涵蓋通過、拒絕、錯誤參數、概率界、核收縮、格點衝突與授權分離。`src/independent_audit.py` 不匯入主要運算模組，而是獨立以 `fractions.Fraction` 和完全枚舉核對 15,883 個有限條件：其中 125 組三事件風險格點、15,625 組雙狀態轉移／起始分布組合，以及另外的算術與結果檢查。這些測試可反覆重現數學模型內的計算結果，但**不**構成對實機或訓練資料泛化能力的交叉驗證。

## 12. 負遷移與基線：可以組合，不表示值得組合

第七篇已提醒，與任意弱基線比較，不能證明轉譯策略對目標機體有益。本篇擴展到多機體協作：若三台機體接力的任務在有限模型內可行，但比單機體原生控制器更慢、更耗能或更脆弱，則只能聲稱它**在限定契約下可執行**，不能宣稱它提高了效率。

合理的比較至少需要相同任務完成條件、相近觀察資訊與安全預算、完整協作延遲、通訊能源及拒絕／恢復成本。若兩個方案的危害證據來源不同，不能把各自模型自行報告的「安全分數」視為直接可比的實測風險。當共同觀察模型失配時，數台協作機器人反而可能一起犯同一類錯誤。

此處的工程假說是可反駁的：若既有的多機體任務分配、形式契約工具或標準機器人安全框架，在相同工作負載與風險門檻下已能提供同樣的錯誤隔離與交接透明度，且具較低驗證或通訊成本，則新 CACG 層不具有被採用的優勢。這不影響有限數學反例成立，卻會限制新接口的實務價值。

## 13. 開放世界與更新：契約不等於永久有效的許可證

在 RGC–DPIED-05 中，觀察者校準可能隨時間漂移；在 -06 中，真實觀察核可能不屬於事先列舉的模型集合。這表示可組合的接口還需要**證據失效機制**。當來源影像模式、光學附件、控制器韌體、物理接觸條件或機體健康狀態更新後，原本通過的交接證據可能失效。全域契約不應在上游模型失配後仍保留舊的「綠燈」。

一個保守的研究性規則是：每當證據版本不一致、時間已過期、可達域超出覆蓋或 OCOM 對開放模式提出尚未解除的警報，就先撤銷依賴該證據的組合候選，並另行進行合法補觀測、配準或人工／外部授權系統裁決。這並非宣稱任何警報一定代表故障，而是承認資訊不足時不應把不確定性隱藏成唯一的物理事實。

若在實體系統中需要「不中斷工作」的目標，則必須對降級模式、可恢復停機、重新規劃及後續安全性建立獨立證據。本文的有限程式沒有實現這些真實控制機制。

## 14. 適用前提與會使結論失效的情況

### 14.1 數學界線

1. **前提不完整：** 上游可達輸出未必落入下游假設；字串可解析不等於語義可用。
2. **狀態空間不相容：** TV 核界需要共同可比的抽象狀態空間；沒有合法推送時不能計算有意義的誤差界。
3. **缺少未見危害記憶：** 終點分布可能掩蓋曾經發生的路徑危害；需要擴充狀態或另行上界。
4. **共同原因未建模：** 只有無條件風險邊際時不能使用條件存活乘積界。
5. **未建模協作干擾：** 局部個體可行域未必包含實際聯合作用限制。
6. **回授循環：** 有環契約不能僅靠無環拓撲歸納證明閉合。
7. **缺少活性：** 安全停機或保守拒絕不等於任務在期限內完成。
8. **證據本身不可靠：** 若上游觀察模型或硬體轉移核已失配，形式上可組合的錯誤假設也不能保證真實物理安全。

### 14.2 外推限制

實驗中使用的時間、能源和危害參數都是**人為指定的合成數值**，不代表實際機器人的耗電量、失敗率、事故機率或控制速度；其中格點碰撞模型只檢查有限端點與一種換位情況，不能替代連續幾何軌跡檢查。69 項單元測試及 15,883 組獨立算術檢查，只證明有限程式和聲明數學結果互相一致，不證明跨廠牌機器人或生物視覺資料必然能被可靠地整合。

## 15. 研究成果定位：哪些已證、哪些只是設計候選

| 類別 | 本篇完成 | 可以聲稱 | 不能聲稱 |
|---|---|---|---|
| 有限組合充分條件 | 歸納證明 | 在全部前提成立時可保證局部契約順序閉合 | 任意現實多機體都安全 |
| 長程 TV 傳遞 | 收縮遞推證明與精確模型 | 所給核與狀態空間下的終點分布誤差上界 | 視覺嵌入距離就是物理誤差 |
| 共享危害 | 聯集界、條件存活界與耦合反例 | 風險依賴語義必須明示 | 每個機器人風險都可視為獨立 |
| 串接資源與期限 | 三段有限反例與檢查器 | 局部通過不必然全域通過 | 已支援真實動態資源排程 |
| 聯合碰撞 | 格點有限反例 | 個別行動合法不保證同時行動合法 | 已完成連續實機碰撞認證 |
| CACG-0.1 | 候選資料結構與驗證程式 | 可作為後續接口研究的可重製起點 | 是正式產業標準或硬體安全層 |

## 16. 結論

**觀測可以相容，作用仍可能不相容；局部作用可以相容，多個作用的組合仍可能不相容。**

RGC–DPIED 的前六篇處理 AI 如何辨識觀察條件與觀測不足，第七篇處理同一任務在另一具身載體上是否具有可實現的物理作用。本篇再前進一步，提出真正的多機體協同不能僅由各自成功的局部作用所推得：還必須保留完整交接前提，累積時序與資源、核對依賴風險、明示聯合作用的可行域，並把真實物理授權與研究模型候選分離。

數學上，有限無環串接可在完整假設—保證蘊涵及全域不變量下歸納閉合；長程分布偏差可透過 Dobrushin 係數與逐步誤差界約束；共同風險需要分清無條件邊際與存活條件危害；平行作用則必須額外加入聯合安全的相容性檢查。這些是已知形式方法在明確問題設定上的組合，而不是一條新的自然定律。

對實際 AI 系統，最有價值的研究方向不是要求每一種載體看見同一個世界，或讓每種機器人使用相同的控制指令，而是：**讓差異被標記、讓限制可檢查、讓未知可以保留、讓每一次作用能被追溯到足以支持它的證據。**

當系統只知道「我可以做」，卻不知道「在誰的觀察、誰的身體、誰的時間與誰的共同世界中可以做」，它仍然沒有完成跨載體協作的證明。

---

## 參考文獻與可追溯來源

### 外部來源（已核對題名及研究定位）

- **[E1]** Kwiatkowska, M., Norman, G., Parker, D., & Qu, H. (2010). *Assume-Guarantee Verification for Probabilistic Systems*. TACAS. https://www.prismmodelchecker.org/papers/tacas10.pdf 。用於組合式機率假設—保證背景。
- **[E2]** Shali, B. M., van der Schaft, A., & Besselink, B. (2023). *Composition of behavioural assume-guarantee contracts*. *IEEE Transactions on Automatic Control*, 68(10), 5991–6006. https://doi.org/10.1109/TAC.2022.3233290 。用於串接與回授契約組合背景。
- **[E3]** Wolfer, G. (2020). *Mixing Time Estimation in Ergodic Markov Chains from a Single Trajectory with Contraction Methods*. *Proceedings of Machine Learning Research*, 117, 1–15. https://proceedings.mlr.press/v117/wolfer20a.html 。用於 Dobrushin 係數的既有定義與收縮性背景。
- **[E4]** Wang, L., Ames, A. D., & Egerstedt, M. (2017). *Safety Barrier Certificates for Collisions-Free Multirobot Systems*. *IEEE Transactions on Robotics*, 33(3), 661–674. https://doi.org/10.1109/TRO.2017.2659727 。用於已知多機體聯合安全限制背景。
- **[E5]** Cardona, G. A., & Vasile, C.-I. (2024). *Planning for heterogeneous teams of robots with temporal logic, capability, and resource constraints*. *The International Journal of Robotics Research*. https://doi.org/10.1177/02783649241247285 。用於跨機體時序與資源約束背景。
- **[E6]** *Task Allocation of Heterogeneous Robots Under Temporal Logic Specifications With Inter-Task Constraints and Variable Capabilities*. (2025). *IEEE Transactions on Automation Science and Engineering*. https://doi.org/10.1109/TASE.2025.3558977 。用於可變能力與多機體任務依賴的既有研究背景。
- **[E7]** Pacti. *A package for compositional system analysis and design*. https://github.com/pacti-org/pacti 。用於現有工程化 assume–guarantee 契約工具的參照；不是本篇程式的依賴。

### 系列內部承接（使用者提供之研究成果）

- **[I1]** RGC–DPIED-01 v1.1，*跨觀察者視覺補正的可實現性*，2026-11-05；整合 RGC-BV04。
- **[I2]** RGC–DPIED-02，*異質視覺資料的學習衝突與條件式補正*，2026-11-05。
- **[I3]** RGC–DPIED-03，*多觀察者視覺的條件式圖冊、共同表示與世界模型一致性*，2026-11-05。
- **[I4]** RGC–DPIED-04，*觀察者條件化的主動補觀測*，2026-11-05。
- **[I5]** RGC–DPIED-05，*觀察者條件的不確定性與在線補正*，2026-11-05。
- **[I6]** RGC–DPIED-06，*開放世界的觀察者模型失配*，2026-11-05。
- **[I7]** RGC–DPIED-07，*跨載體任務遷移的可證充分性*，2026-11-05；CATC-0.1。
- **[I8]** RGC-BV 生物視覺系列，包含 BV04 理想 Stokes 偏振模型及有限觀察可辨識性。

## 附錄 A｜再現指令

在研究包根目錄執行：

```bash
python src/run_experiments.py
python -m unittest discover -s tests -v
python src/independent_audit.py
python src/render_figures.py
python validate_release.py
```

程式只需要 Python 3.10 以上的標準函式庫（產圖程式另需要 Matplotlib）；核心模型使用 `fractions.Fraction` 計算精確有理數。測試並未連接真實攝影機、馬達、機械臂、ROS 或可導致物理作用的外部控制介面。

## 附錄 B｜實驗資料與圖檔對照

- `results/exact_results.json`：所有合成實驗的精確分數、拒絕原因與核遞推結果。
- `results/unit_tests.txt`：69 項 `unittest` 測試輸出。
- `results/independent_audit.json`：獨立算術枚舉數量與通過狀態。
- `results/independent_execution.txt`：獨立枚舉命令輸出。
- `figures/01_stage_budget_nonclosure.png/.svg`：累積時間與資源反例。
- `figures/02_shared_cause_dependence.png/.svg`：相同邊際風險、不同依賴結構。
- `figures/03_tv_composition_bound.png/.svg`：核誤差實值與理論界。
- `figures/04_joint_collision_counterexample.png/.svg`：兩機體聯合格點碰撞。
- `schemas/cacg01_declared_pipeline_example.json`：研究契約欄位範例；非實機授權文件。
- `SHA256SUMS.txt`：封裝內逐檔 SHA-256 清單。

## 附錄 C｜形式與實證證據等級

本文所稱「定理」僅在列出的有限數學系統與明示假設下為真；「精確枚舉」僅核對人工模型；「候選接口」指可供後續工程化驗證的契約草案。對觀察模型的充分性、真實感測資料語義、跨機體作用能力、外部安全與法規授權的驗證工作，並未因本篇數學與軟體測試通過而完成。後續正式使用時，應對每台機器人的可達狀態、檢查前提、資料來源及共同失敗方式重做可信證據鏈，而非僅複製本研究包內的人造參數。