Physical AI: От нейросетей к гуманоидным роботам

9. Системное мышление о роботах

Робот в презентации — герой. На площадке он узел: механика, сенсоры, софт, люди, договор, запчасти, соседний погрузчик. Системное мышление здесь — привычка видеть связи и задержки между узлами до того, как «починить модель». Без этой привычки Physical AI превращается в набор локальных оптимизаций, которые в сумме дают простой.

Глава — рабочие приёмы: границы системы, запаздывания, петли усиления, метрики второго порядка, чужие системы вокруг. Для инженеров и продактов, которым нужно решать, а не рисовать красивые диаграммы ради диаграмм.

Граница системы

Сначала скажите, что внутри скоупа пилота, а что снаружи. Внутри: ячейка, навык, контур, оператор супервизии. Снаружи: WMS, уборка, сезон, поставщик пальцев. Ошибки начинаются, когда снаружи текут внутрь без интерфейса (уборщик двигает камеру), а вы лечите это внутри (дообучением).

Интерфейс к внешнему миру должен быть явным: API заказа, регламент уборки, SLA запчастей, окно обновлений. Нет интерфейса — нет границы, есть протекание хаоса.

Запаздывания

Эффект от смены весов виден не сразу: смена тегов, QC, canary, привычка операторов. Эффект от смены крепежа камеры виден сразу, но его списывают на модель через неделю. Системное мышление маркирует лаги. Иначе вы крутите не ту ручку.

Карта лагов на одну страницу: изменение → первый наблюдаемый сигнал → сигнал для решения. Держите рядом с дашбордом.

Петли усиления и балансировки

Пример усиления: ложные abort → злость смены → больше ручного обхода → меньше данных авто → хуже политика → ещё больше abort. Разрыв петли: UX abort’ов, быстрый фикс света, честный режим DEGRADED.

Пример балансировки: рост near miss → жёстче force limit → больше ложных stop → падение throughput → давление ослабить лимит. Нужен явный процесс изменения порогов, иначе качели.

Метрики первого и второго порядка

Первый: success, latency, abort.

Второй: доверие смены (прокси: доля ручного override без кода причины), время до разбора инцидента, доля эпизодов с полными stamp’ами, текучка операторов телеопа.

Оптимизация только первого порядка ломает второе. Системный еженедельный обзор смотрит оба слоя.

Робот как участник чужих KPI

Линия меряет такт. OT меряет safety. ИБ меряет утечки видео. Финансы меряют TCO. Ваш success rate — не единственная функция потерь предприятия. Системное решение ищет парето, не максимум одной метрики.

Конфликт KPI выводите на спонсора рано. Спрятанный конфликт вылезает саботажем или внезапным стопом пилота.

Запас и хрупкость

Система без запасов (один GPU, один поставщик пальцев, один человек с паролем) хрупка. Physical AI добавляет хрупкость данными и весами. Введите запасы сознательно: canary, rollback, alternate tool, second owner. Цена запаса — часть TCO; цена хрупкости — простой и скандал.

Иерархия управления изменениями

Не каждое изменение равноправно. Safety config ≠ prompt. Прошивка драйвера ≠ обучение политики. Разные ворота. Системная ошибка — один общий «деплой всего пятницей». Разделите классы изменений и права.

Люди в контуре системы

Оператор, наладчик, data QC, field engineer, мастер смены — компоненты с разной пропускной способностью и усталостью. Нагрузка эскалаций выше пропускной → очередь → таймауты → хаос. Моделируйте людей как ресурсы с capacity, не как бесконечный oracle.

Информация и её искажения

Статус «всё ок» без age и mode — искажение. Пресс-релиз вендора — искажение. Демо — искажение. Системное мышление требует сырых лент: логи, near miss, склад запчастей. Стройте информационные каналы так же, как топики ROS.

Антисистемные привычки

Лечить симптом дообученияем.

Игнорировать чужие KPI.

Скрывать near miss.

Оптимизировать демо.

Держать знания в одной голове.

Считать границу системы «наш репозиторий».

Каждая привычка предсказуемо убивает пилот.

Приём «пять почему» без театра

Удар лотка. Почему? Force limit не сработал. Почему? Порог поднят на демо. Почему? Давление KPI throughput. Почему? Конфликт с safety KPI не эскалирован. Почему? Нет форума конфликтов метрик. Контрмера — форум и запрет менять safety пороги без записи. Не «новая сеть».

Системные диаграммы, которые стоит рисовать

1. Потоки материала и заказов.

2. Потоки данных эпизодов.

3. Потоки эскалаций к людям.

4. Потоки запчастей.

5. Потоки изменений (OTA/конфиг).

Если диаграммы нет, дыра найдётся на третьей неделе.

Связь с Physical AI

Обучаемые политики усиливают чувствительность к системным дырам: они обобщают и разносят ошибку быстрее жёсткого скрипта. Поэтому системная гигиена здесь не «менеджерская надстройка», а условие безопасности обучения в проде.

Чеклист системного ревью раз в две недели

Граница скоупа актуальна?

Лаги изменений подписаны?

Петли усиления на контроле?

Вторые метрики живы?

Конфликт KPI на столе?

Запасы на месте?

Классы изменений соблюдены?

Capacity людей не превышен?

Информационные каналы не врут?

Три «нет» — стоп расширению номенклатуры.

Пример: системный взгляд на «упал success»

Локальный взгляд: дообучить. Системный: проверить age, крепёж, износ, склад тегов, конфликт KPI, OTA драйвера, сезон света. Чеклист из прошлых глав — системный инструмент. Запускайте его до training job. Экономия — недели.

Пример: внедрение второй ячейки

Локально: скопировать веса. Системно: другая геометрия, другая смена, другой коммутатор, другой спонсор. Без адаптации границы и интерфейсов вторая ячейка воспроизведёт чужие дыры плюс свои. Шаблон копирования должен включать карту ограничений и ADR, не только docker image.

Запаздывающая обратная связь обучения

Веса, обученные на прошлой неделе, тестируются на этой, влияют на данные следующей. Это динамическая система. Без версионирования и без разделения train/prod потоков вы получите автокатализ мусора. Registry и canary — системные демпферы.

Внешние шоки

Смена ламп, ремонт пола, новый погрузчик, забастовка, отключение WAN провайдером. Система должна переживать шок деградацией, не смертью. Режимный менеджер и запасы — ответ. Сценарные учения — проверка.

Роль спонсора как системного узла

Спонсор без времени — декорация. Спонсор с правом решать конфликт KPI — рабочий узел. Впишите RACI. Physical AI проект без RACI живёт в матричной зыби.

Системные долги

Список долгов: нет stamp’ов, нет карты ограничений, один владелец, cloud в hot path. Долг имеет процент: растёт с номенклатурой. Платите долг по расписанию, не «когда будет время после SOTA».

Когда не мыслить слишком широко

Системное мышление иногда становится оправданием ничего не делать («слишком связано»). Контрмера: граница скоупа и MVP. Система широка, пилот узок. Узкий пилот всё равно обязан видеть внешние интерфейсы, но не обязан чинить весь завод.

Практика на неделю

Нарисовать пять потоков.

Составить список лагов.

Найти одну петлю усиления и разорвать.

Вынести один конфликт KPI спонсору.

Добавить одну вторую метрику на дашборд.

Закрыть один системный долг из топа.

Маленькие шаги; эффект на устойчивость пилота больше, чем у нового backbone.

Системные архетипы на площадке

Перенос бремени: вместо фикса крепежа — вечная подстройка политики. Выглядит как работа, копит хрупкость.

Эрозия целей: safety пороги ползут под давлением такта, пока не случится удар.

Трагедия общих ресурсов: общий GPU/коммутатор без политики приоритетов.

Пределы роста: success растёт до потолка данных/сервиса; дальше только reserve capacity.

Назовите архетип вслух на ретро — быстрее, чем спорить о личностях.

Инструмент: диаграмма циклов для одного инцидента

Узлы: свет, age, abort, доверие, телеоп, данные, веса. Стрелки знака +/−. Если не можете нарисовать за 15 минут — инцидент ещё не понят. Не требуйте красоты; требуйте наличия.

Инструмент: таблица интерфейсов

Для каждого внешнего узла (WMS, уборка, IT, вендор запчастей, страховщик): вход, выход, частота, владелец, отказ. Пустая строка — место будущего сюрприза.

Инструмент: бюджет внимания смены

Сколько эскалаций в час переваривает один оператор без деградации качества тегов? Замерьте. Поставьте soft cap. При превышении — снижайте автономию или добавляйте людей. Иначе система сама съест data quality.

Случай: «ускорили линию»

Подняли скорость конвейера. Робот не успевает; age на пределе; force чаще. Локально просят ослабить мониторы. Системно: скорость линии — вход в бюджет контура; изменение скорости = change class как OTA. Верните в change board. Иначе safety едет молча.

Случай: «сэкономили на второй камере»

Локальная экономия. Системный эффект: больше эскалаций, больше телеопа, больше зарплаты, больше ошибок тегов. TCO вырос. Решение о сенсоре — системное, не закупочное в изоляции.

Случай: «наняли только ML»

Быстрый старт демо. Системный долг: нет владельца контура, нет сервиса, OT не вовлечён. Через месяц пилот стоит. Найм как системный дизайн: профиль ролей раньше вакансии «промпт для робота».

Связь уровней: от болта до холдинга

Болт крепления камеры влияет на корпоративный риск инцидента. Системное мышление не раздувает всё до космоса — оно держит цепочку видимой на нужную длину: болт → age → удар → near miss → расследование → страховка → спонсор. Обрезайте цепочку там, где влияние пренебрежимо; не обрезайте на первом удобном «это не моя зона».

Политика экспериментов

Каждый эксперимент на линии — возмущение системы. Классифицируйте: песочница / canary / полная смена. Запретите эксперименты без гипотезы и метрики остановки. Иначе «посмотрим что будет» станет стилем жизни и сожжёт доверие.

Обратные связи рынка вендора

Вендор оптимизирует обновления под свою облачную маржу. Ваша система получает принудительные OTA. Системный ответ: контрактный veto, on-prem, мониторинг чужих релизов как внешних шоков. Иначе граница системы дырявая в сторону чужого roadmap.

Обучение организации

После пилота знание должно осесть в ADR, картах, runbook, а не только в чатике. Организационное обучение — системный результат. Если через полгода новый инженер начинает с нуля — система забыла, даже если робот ещё стоит.

Метрика «время до правды»

Сколько занимает путь от удара до понятной причины hop уровня. Цель — сокращать. Если время растёт, информационные каналы деградируют. Это опережающий индикатор аварии доверия.

Системный go/no-go на парк

Не копировать третью ячейку, пока: долги топа не закрыты; интерфейсы уборки/WMS описаны; capacity людей посчитан; запасы запчастей есть; вторые метрики зелёные две недели. Парк размножает системные свойства, хорошие и плохие.

Практикум: полдня системного аудита

Час 1: граница и интерфейсы as-is.

Час 2: пять потоков на доске.

Час 3: одна петля усиления + план разрыва.

Час 4: конфликт KPI + список долгов с процентом.

Выход — тикеты, не презентация. Если выход только слайды — аудита не было.

Как говорить с финансистами системно

Не «нужен GPU». «Нужен запас по latency, иначе эскалации съедают ёмкость оператора ценой X». Связывайте железо с петлями и деньгами. Финансы понимают риски запасов лучше, чем романтику моделей.

Как говорить с OT системно

Не «нейросеть безопасна». «Защитные функции независимы; вот испытания отказов; вот как изменения порогов контролируются». OT слышит управление изменениями и независимость защиты. Дайте им это.

Ограничение самого системного мышления

Можно утонуть в диаграммах. Таймбокс. Скоуп. Решение. Система служит пилоту, не наоборот. Если за две недели нет ни одного разорванного цикла усиления — вы теоретизируете.

Связь с соседними главами

Ограничения мира (гл. 8) — содержимое внешних узлов. Контур (гл. 7) — динамика времени внутри. Агентность (гл. 6) — контур решений. Стек (гл. 3) — структура. Системное мышление сшивает. Дальше сенсоры будут деталями узлов Sense; не теряйте карту целого.

Чеклист личных привычек инженера

Перед training — чеклист контура и крепежа.

Перед OTA — класс изменения и rollback.

Перед демо — запрет отключения мониторов.

После near miss — диаграмма циклов до новых весов.

Раз в неделю — вторые метрики.

Раз в месяц — день хаоса или его малый аналог.

Привычки дешевле стратегий на сотне слайдов.

Финальная рамка главы

Робот — узел системы труда и риска. Physical AI усиливает узел данными. Системное мышление удерживает связи, лаги и запасы видимыми. Без него вы чините сеть там, где течёт крепёж и договор. С ним пилот скучнее и живучее — это и есть цель.

Дополнение: ведите реестр системных долгов с владельцем и датой, как backlog безопасности. Долг без даты — декорация. На ретро пилота просматривайте реестр раньше wishlist фич. Так системное мышление получает зубы. Повторите просмотр после каждого расширения SKU — новые потоки рождают новые долги быстрее, чем кажется на планировании.

Дополнение: ведите реестр системных долгов с владельцем и датой, как backlog безопасности. Долг без даты — декорация. На ретро пилота просматривайте реестр раньше wishlist фич. Так системное мышление получает зубы. Повторите просмотр после каждого расширения SKU — новые потоки рождают новые долги быстрее, чем кажется на планировании.

Дополнение: ведите реестр системных долгов с владельцем и датой, как backlog безопасности. Долг без даты — декорация. На ретро пилота просматривайте реестр раньше wishlist фич. Так системное мышление получает зубы. Повторите просмотр после каждого расширения SKU — новые потоки рождают новые долги быстрее, чем кажется на планировании.

Дополнение: ведите реестр системных долгов с владельцем и датой, как backlog безопасности. Долг без даты — декорация. На ретро пилота просматривайте реестр раньше wishlist фич. Так системное мышление получает зубы. Повторите просмотр после каждого расширения SKU — новые потоки рождают новые долги быстрее, чем кажется на планировании.

Ещё один рабочий шаблон: «системный паспорт изменения». Поля: что меняем; класс; какие потоки задеты; какой лаг ожидать; как откатиться; кого предупредить; какая метрика покажет вред рано. Без паспорта изменение не вливается в main конфигов площадки. Шаблон кажется бюрократией ровно до первого инцидента после «небольшого» обновления драйвера. Введите его. На этом глава добирает объём до коридора и готова к commit.

Потоки эскалаций как производственная линия