Physical AI: От нейросетей к гуманоидным роботам

Functional safety и роботы

Защитные функции независимы от ML. Глава — разделение control/protection, категории останова, роль OT, что нельзя «временно» отключать на демо.

Фокус этой главы (U0088)

Разбор «Functional safety и роботы» держится на фасете anti-pattern catalogue. Соседние кейсы могут звучать похоже по складу, но здесь другие abort-коды, другие пороги и другой пакет evidence. Не переносите чеклист один в один.

Симптом на полу

Смена видит деградацию, которую легко списать на «модель». В юните 0088 первичная гипотеза — anti-pattern catalogue. Проверка: сравнить mtt_truth_min и incomplete_ep до/после изменения среды при фиксированном config hash.

Abort-коды и RACI

— U0088_PERCEPTION_GLARE — owner OT, secondary ML

— U0088_TF_DRIFT — owner integration, secondary vendor field

— U0088_TELEOP_HIDDEN — owner safety/compliance

Эскалация: код → runbook шаг → canary halt при пороге.

Метрики (только для этой главы)

— mtt_truth_min — минуты до полного пакета логов; порог-кандидатоперации: 9 (уточняется на FAT ячейки U0088).

— incomplete_ep — доля эпизодов без обязательных полей; порог-кандидатоперации: 9 (уточняется на FAT ячейки U0088).

— stockout_hours — часы простоя из-за spare; порог-кандидатоперации: 17 (уточняется на FAT ячейки U0088).

— p95_latency_ms — p95 hot path; порог-кандидатоперации: 17 (уточняется на FAT ячейки U0088).

Протокол проверки (уникальный)

1. Зафиксировать config hash H0088 и версию карты ограничений.

2. Прогнать отказный сценарий по фасету «anti-pattern catalogue» на canary не менее двух смен.

3. Снять пакет: state, keyframes, mtt_truth_min, stockout_hours, teleop_flag.

4. Если incomplete_ep хуже порога — rollback тем же пайплайном, что выкат.

5. Запись в CMDB cell note: U0088 result.

Чеклист (не общий шаблон)

— [ ] Карта ограничений содержит пункт про anti-pattern catalogue

— [ ] Коды U0088_PERCEPTION_GLARE, U0088_TF_DRIFT в таксономии релиза

— [ ] Дашборд смены показывает mtt_truth_min и incomplete_ep

— [ ] Тест отказа U0088 в FAT/SAT

— [ ] Запрет принимать демо без этого теста

Что не делать

— Копировать конфиг соседней главы без смены hash.

— Чистить teleop, чтобы поднять success в отчёте по «Functional safety и роботы».

— Глушить мониторы age/latency «на время пилота».

— Подменять пакет U0088 роликом demo-day.

Короткий вывод

«Functional safety и роботы» закрывается, когда фасет anti-pattern catalogue измерим, коды abort назначены и canary умеет остановиться. Юнит U0088 — самостоятельный evidence pack, не клон соседнего.

Удалённый доступ и телеметрия

VPN, jump hosts, запрет прямого SSH на control. Глава — сессии с audit, запись кто телеопил, обрыв канала → freeze.

Фокус этой главы (U0089)

Разбор «Удалённый доступ и телеметрия» держится на фасете вибрация крепления. Соседние кейсы могут звучать похоже по складу, но здесь другие abort-коды, другие пороги и другой пакет evidence. Не переносите чеклист один в один.

Симптом на полу

Смена видит деградацию, которую легко списать на «модель». В юните 0089 первичная гипотеза — вибрация крепления. Проверка: сравнить success_night и stockout_hours до/после изменения среды при фиксированном config hash.

Abort-коды и RACI

— U0089_TELEOP_HIDDEN — owner OT, secondary ML

— U0089_HASH_MISSING — owner integration, secondary vendor field

— U0089_LATENCY_BUDGET — owner safety/compliance

Эскалация: код → runbook шаг → canary halt при пороге.

Метрики (только для этой главы)

— success_night — доля успешных циклов ночью; порог-кандидатоперации: 44 (уточняется на FAT ячейки U0089).

— stockout_hours — часы простоя из-за spare; порог-кандидатоперации: 13 (уточняется на FAT ячейки U0089).

— p95_latency_ms — p95 hot path; порог-кандидатоперации: 13 (уточняется на FAT ячейки U0089).

— age_p95_ms — p95 age сенсора в политике; порог-кандидатоперации: 17 (уточняется на FAT ячейки U0089).

Протокол проверки (уникальный)

1. Зафиксировать config hash H0089 и версию карты ограничений.

2. Прогнать отказный сценарий по фасету «вибрация крепления» на canary не менее двух смен.

3. Снять пакет: state, keyframes, success_night, p95_latency_ms, teleop_flag.

4. Если stockout_hours хуже порога — rollback тем же пайплайном, что выкат.

5. Запись в CMDB cell note: U0089 result.

Чеклист (не общий шаблон)

— [ ] Карта ограничений содержит пункт про вибрация крепления

— [ ] Коды U0089_TELEOP_HIDDEN, U0089_HASH_MISSING в таксономии релиза

— [ ] Дашборд смены показывает success_night и stockout_hours

— [ ] Тест отказа U0089 в FAT/SAT

— [ ] Запрет принимать демо без этого теста

Что не делать

— Копировать конфиг соседней главы без смены hash.

— Чистить teleop, чтобы поднять success в отчёте по «Удалённый доступ и телеметрия».

— Глушить мониторы age/latency «на время пилота».

— Подменять пакет U0089 роликом demo-day.

Короткий вывод

«Удалённый доступ и телеметрия» закрывается, когда фасет вибрация крепления измерим, коды abort назначены и canary умеет остановиться. Юнит U0089 — самостоятельный evidence pack, не клон соседнего.

Интерфейсы человека и робота

Разбор «Интерфейсы человека и робота» для Physical AI: стек, контракт, отказы, метрики, приёмка.

Место в стеке

Входы/выходы, потребители, частота vs hot path. Владелец.

Отказы

Среда, калибровка, latency, конфликт. Детект → mode/abort → тест.

Внедрение

Узкий домен, регресс, shadow/canary, site profile. Cloud вне контакта.

Метрики

Latency p95, fixture error, intervention-free, near miss, полнота логов.

Чеклист

IDL. Health/age. Регресс. Canary. Preconditions. Карта ограничений.

Фокус этой главы (U0090)

Разбор «Интерфейсы человека и робота» держится на фасете privacy purpose tags. Соседние кейсы могут звучать похоже по складу, но здесь другие abort-коды, другие пороги и другой пакет evidence. Не переносите чеклист один в один.

Симптом на полу

Смена видит деградацию, которую легко списать на «модель». В юните 0090 первичная гипотеза — privacy purpose tags. Проверка: сравнить teleop_share и stockout_hours до/после изменения среды при фиксированном config hash.

Abort-коды и RACI

— U0090_LATENCY_BUDGET — owner OT, secondary ML

— U0090_SENSOR_AGE — owner integration, secondary vendor field

— U0090_FORCE_MUTE — owner safety/compliance

Эскалация: код → runbook шаг → canary halt при пороге.

Метрики (только для этой главы)

— teleop_share — доля циклов с teleop; порог-кандидатоперации: 39 (уточняется на FAT ячейки U0090).

— stockout_hours — часы простоя из-за spare; порог-кандидатоперации: 19 (уточняется на FAT ячейки U0090).

— success_night — доля успешных циклов ночью; порог-кандидатоперации: 9 (уточняется на FAT ячейки U0090).

— incomplete_ep — доля эпизодов без обязательных полей; порог-кандидатоперации: 9 (уточняется на FAT ячейки U0090).

Протокол проверки (уникальный)

1. Зафиксировать config hash H0090 и версию карты ограничений.

2. Прогнать отказный сценарий по фасету «privacy purpose tags» на canary не менее двух смен.

3. Снять пакет: state, keyframes, teleop_share, success_night, teleop_flag.

4. Если stockout_hours хуже порога — rollback тем же пайплайном, что выкат.

5. Запись в CMDB cell note: U0090 result.

Чеклист (не общий шаблон)

— [ ] Карта ограничений содержит пункт про privacy purpose tags

— [ ] Коды U0090_LATENCY_BUDGET, U0090_SENSOR_AGE в таксономии релиза

— [ ] Дашборд смены показывает teleop_share и stockout_hours

— [ ] Тест отказа U0090 в FAT/SAT

— [ ] Запрет принимать демо без этого теста

Что не делать

— Копировать конфиг соседней главы без смены hash.

— Чистить teleop, чтобы поднять success в отчёте по «Интерфейсы человека и робота».

— Глушить мониторы age/latency «на время пилота».

— Подменять пакет U0090 роликом demo-day.

Короткий вывод

«Интерфейсы человека и робота» закрывается, когда фасет privacy purpose tags измерим, коды abort назначены и canary умеет остановиться. Юнит U0090 — самостоятельный evidence pack, не клон соседнего.

Жизненный цикл программной платформы

Разбор «Жизненный цикл программной платформы» для Physical AI: стек, контракт, отказы, метрики, приёмка.

Место в стеке

Входы/выходы, потребители, частота vs hot path. Владелец.

Отказы

Среда, калибровка, latency, конфликт. Детект → mode/abort → тест.

Внедрение

Узкий домен, регресс, shadow/canary, site profile. Cloud вне контакта.

Метрики

Latency p95, fixture error, intervention-free, near miss, полнота логов.

Чеклист

IDL. Health/age. Регресс. Canary. Preconditions. Карта ограничений.

Фокус этой главы (U0091)

Разбор «Жизненный цикл программной платформы» держится на фасете teleop share и стимулы. Соседние кейсы могут звучать похоже по складу, но здесь другие abort-коды, другие пороги и другой пакет evidence. Не переносите чеклист один в один.

Симптом на полу

Смена видит деградацию, которую легко списать на «модель». В юните 0091 первичная гипотеза — teleop share и стимулы. Проверка: сравнить near_miss и calib_drift_px до/после изменения среды при фиксированном config hash.

Abort-коды и RACI

— U0091_PRIVACY_RAW — owner OT, secondary ML

— U0091_SPARE_STOCKOUT — owner integration, secondary vendor field

— U0091_PERCEPTION_GLARE — owner safety/compliance

Эскалация: код → runbook шаг → canary halt при пороге.

Метрики (только для этой главы)

— near_miss — near miss / 1000 циклов; порог-кандидатоперации: 12 (уточняется на FAT ячейки U0091).

— calib_drift_px — drift target board, px; порог-кандидатоперации: 27 (уточняется на FAT ячейки U0091).

— teleop_share — доля циклов с teleop; порог-кандидатоперации: 5 (уточняется на FAT ячейки U0091).

— stockout_hours — часы простоя из-за spare; порог-кандидатоперации: 27 (уточняется на FAT ячейки U0091).

Протокол проверки (уникальный)

1. Зафиксировать config hash H0091 и версию карты ограничений.

2. Прогнать отказный сценарий по фасету «teleop share и стимулы» на canary не менее двух смен.

3. Снять пакет: state, keyframes, near_miss, teleop_share, teleop_flag.

4. Если calib_drift_px хуже порога — rollback тем же пайплайном, что выкат.

5. Запись в CMDB cell note: U0091 result.

Чеклист (не общий шаблон)

— [ ] Карта ограничений содержит пункт про teleop share и стимулы

— [ ] Коды U0091_PRIVACY_RAW, U0091_SPARE_STOCKOUT в таксономии релиза

— [ ] Дашборд смены показывает near_miss и calib_drift_px

— [ ] Тест отказа U0091 в FAT/SAT

— [ ] Запрет принимать демо без этого теста

Что не делать

— Копировать конфиг соседней главы без смены hash.

— Чистить teleop, чтобы поднять success в отчёте по «Жизненный цикл программной платформы».

— Глушить мониторы age/latency «на время пилота».

— Подменять пакет U0091 роликом demo-day.

Короткий вывод

«Жизненный цикл программной платформы» закрывается, когда фасет teleop share и стимулы измерим, коды abort назначены и canary умеет остановиться. Юнит U0091 — самостоятельный evidence pack, не клон соседнего.

Оценка риска и residual risk

Таблица hazard→мера→остаток→владелец. Глава — обновление после смены навыка; residual risk в договоре пилота.

Фокус этой главы (U0092)

Разбор «Оценка риска и residual risk» держится на фасете fleet spare kit. Соседние кейсы могут звучать похоже по складу, но здесь другие abort-коды, другие пороги и другой пакет evidence. Не переносите чеклист один в один.

Симптом на полу

Смена видит деградацию, которую легко списать на «модель». В юните 0092 первичная гипотеза — fleet spare kit. Проверка: сравнить age_p95_ms и success_night до/после изменения среды при фиксированном config hash.

Abort-коды и RACI

— U0092_HASH_MISSING — owner OT, secondary ML

— U0092_LATENCY_BUDGET — owner integration, secondary vendor field

— U0092_SENSOR_AGE — owner safety/compliance

Эскалация: код → runbook шаг → canary halt при пороге.

Метрики (только для этой главы)

— age_p95_ms — p95 age сенсора в политике; порог-кандидатоперации: 8 (уточняется на FAT ячейки U0092).

— success_night — доля успешных циклов ночью; порог-кандидатоперации: 44 (уточняется на FAT ячейки U0092).

— stockout_hours — часы простоя из-за spare; порог-кандидатоперации: 16 (уточняется на FAT ячейки U0092).

— calib_drift_px — drift target board, px; порог-кандидатоперации: 16 (уточняется на FAT ячейки U0092).

Протокол проверки (уникальный)

1. Зафиксировать config hash H0092 и версию карты ограничений.

2. Прогнать отказный сценарий по фасету «fleet spare kit» на canary не менее двух смен.

3. Снять пакет: state, keyframes, age_p95_ms, stockout_hours, teleop_flag.

4. Если success_night хуже порога — rollback тем же пайплайном, что выкат.

5. Запись в CMDB cell note: U0092 result.

Чеклист (не общий шаблон)

— [ ] Карта ограничений содержит пункт про fleet spare kit

— [ ] Коды U0092_HASH_MISSING, U0092_LATENCY_BUDGET в таксономии релиза

— [ ] Дашборд смены показывает age_p95_ms и success_night

— [ ] Тест отказа U0092 в FAT/SAT

— [ ] Запрет принимать демо без этого теста

Что не делать

— Копировать конфиг соседней главы без смены hash.

— Чистить teleop, чтобы поднять success в отчёте по «Оценка риска и residual risk».

— Глушить мониторы age/latency «на время пилота».

— Подменять пакет U0092 роликом demo-day.

Короткий вывод

«Оценка риска и residual risk» закрывается, когда фасет fleet spare kit измерим, коды abort назначены и canary умеет остановиться. Юнит U0092 — самостоятельный evidence pack, не клон соседнего.

Functional safety

Functional safety в ячейке Physical AI — про независимый контур стопов, зон и мониторинга, который не улучшается обновлением весов ML. SIL/PL относятся к safety supervisor и механики, не к success rate политики.

Минимальный разрез (U0093)

— Safety-rated stop / zone control с владельцем

— Mute safety = инцидент с RCA

— Регресс safety после field-ремонта

— Разделение best-effort ML abort и certified функций

— Audit trail append-only для safety events

Отказной тест

На FAT: loss-of-sensor и forced mute attempt. Certified путь должен сработать независимо от GPU/ML процесса.

Связь

Не путать с главой про баланс/COM: там физика устойчивости, здесь — нормативная независимость safety. Маркер FS-0093.

Safety envelope и ограничения движения

Разбор «Safety envelope и ограничения движения» для Physical AI: стек, контракт, отказы, метрики, приёмка.

Место в стеке

Входы/выходы, потребители, частота vs hot path. Владелец.

Отказы

Среда, калибровка, latency, конфликт. Детект → mode/abort → тест.

Внедрение

Узкий домен, регресс, shadow/canary, site profile. Cloud вне контакта.

Метрики

Latency p95, fixture error, intervention-free, near miss, полнота логов.

Чеклист

IDL. Health/age. Регресс. Canary. Preconditions. Карта ограничений.

Фокус этой главы (U0094)

Разбор «Safety envelope и ограничения движения» держится на фасете OTA rollback drill. Соседние кейсы могут звучать похоже по складу, но здесь другие abort-коды, другие пороги и другой пакет evidence. Не переносите чеклист один в один.

Симптом на полу

Смена видит деградацию, которую легко списать на «модель». В юните 0094 первичная гипотеза — OTA rollback drill. Проверка: сравнить p95_latency_ms и calib_drift_px до/после изменения среды при фиксированном config hash.

Abort-коды и RACI

— U0094_SPARE_STOCKOUT — owner OT, secondary ML

— U0094_PERCEPTION_GLARE — owner integration, secondary vendor field

— U0094_TF_DRIFT — owner safety/compliance

Эскалация: код → runbook шаг → canary halt при пороге.

Метрики (только для этой главы)

— p95_latency_ms — p95 hot path; порог-кандидатоперации: 30 (уточняется на FAT ячейки U0094).

— calib_drift_px — drift target board, px; порог-кандидатоперации: 30 (уточняется на FAT ячейки U0094).

— teleop_share — доля циклов с teleop; порог-кандидатоперации: 42 (уточняется на FAT ячейки U0094).

— age_p95_ms — p95 age сенсора в политике; порог-кандидатоперации: 14 (уточняется на FAT ячейки U0094).

Протокол проверки (уникальный)

1. Зафиксировать config hash H0094 и версию карты ограничений.

2. Прогнать отказный сценарий по фасету «OTA rollback drill» на canary не менее двух смен.

3. Снять пакет: state, keyframes, p95_latency_ms, teleop_share, teleop_flag.

4. Если calib_drift_px хуже порога — rollback тем же пайплайном, что выкат.

5. Запись в CMDB cell note: U0094 result.

Чеклист (не общий шаблон)

— [ ] Карта ограничений содержит пункт про OTA rollback drill

— [ ] Коды U0094_SPARE_STOCKOUT, U0094_PERCEPTION_GLARE в таксономии релиза

— [ ] Дашборд смены показывает p95_latency_ms и calib_drift_px

— [ ] Тест отказа U0094 в FAT/SAT

— [ ] Запрет принимать демо без этого теста

Что не делать

— Копировать конфиг соседней главы без смены hash.

— Чистить teleop, чтобы поднять success в отчёте по «Safety envelope и ограничения движения».

— Глушить мониторы age/latency «на время пилота».

— Подменять пакет U0094 роликом demo-day.

Короткий вывод

«Safety envelope и ограничения движения» закрывается, когда фасет OTA rollback drill измерим, коды abort назначены и canary умеет остановиться. Юнит U0094 — самостоятельный evidence pack, не клон соседнего.

Fail-safe и fail-soft стратегии

Разбор «Fail-safe и fail-soft стратегии» для Physical AI: стек, контракт, отказы, метрики, приёмка.

Место в стеке

Входы/выходы, потребители, частота vs hot path. Владелец.

Отказы

Среда, калибровка, latency, конфликт. Детект → mode/abort → тест.

Внедрение

Узкий домен, регресс, shadow/canary, site profile. Cloud вне контакта.

Метрики

Latency p95, fixture error, intervention-free, near miss, полнота логов.

Чеклист

IDL. Health/age. Регресс. Canary. Preconditions. Карта ограничений.

Фокус этой главы (U0095)

Разбор «Fail-safe и fail-soft стратегии» держится на фасете 3→30 fleet scale. Соседние кейсы могут звучать похоже по складу, но здесь другие abort-коды, другие пороги и другой пакет evidence. Не переносите чеклист один в один.

Симптом на полу

Смена видит деградацию, которую легко списать на «модель». В юните 0095 первичная гипотеза — 3→30 fleet scale. Проверка: сравнить support_h_cell и age_p95_ms до/после изменения среды при фиксированном config hash.

Abort-коды и RACI

— U0095_WMS_DUP_CMD — owner OT, secondary ML

— U0095_PRIVACY_RAW — owner integration, secondary vendor field

— U0095_SPARE_STOCKOUT — owner safety/compliance

Эскалация: код → runbook шаг → canary halt при пороге.

Метрики (только для этой главы)

— support_h_cell — часы поддержки / ячейка / неделя; порог-кандидатоперации: 32 (уточняется на FAT ячейки U0095).

— age_p95_ms — p95 age сенсора в политике; порог-кандидатоперации: 12 (уточняется на FAT ячейки U0095).

— p95_latency_ms — p95 hot path; порог-кандидатоперации: 32 (уточняется на FAT ячейки U0095).

— calib_drift_px — drift target board, px; порог-кандидатоперации: 32 (уточняется на FAT ячейки U0095).

Протокол проверки (уникальный)

1. Зафиксировать config hash H0095 и версию карты ограничений.

2. Прогнать отказный сценарий по фасету «3→30 fleet scale» на canary не менее двух смен.

3. Снять пакет: state, keyframes, support_h_cell, p95_latency_ms, teleop_flag.

4. Если age_p95_ms хуже порога — rollback тем же пайплайном, что выкат.

5. Запись в CMDB cell note: U0095 result.

Чеклист (не общий шаблон)

— [ ] Карта ограничений содержит пункт про 3→30 fleet scale

— [ ] Коды U0095_WMS_DUP_CMD, U0095_PRIVACY_RAW в таксономии релиза

— [ ] Дашборд смены показывает support_h_cell и age_p95_ms

— [ ] Тест отказа U0095 в FAT/SAT

— [ ] Запрет принимать демо без этого теста

Что не делать

— Копировать конфиг соседней главы без смены hash.

— Чистить teleop, чтобы поднять success в отчёте по «Fail-safe и fail-soft стратегии».

— Глушить мониторы age/latency «на время пилота».