条款写的是“保留人工观察和停止能力”：设备侧要落地成四道实现
一、”可停止”是工程属性，不是按钮数量
据公开报道，有一家模型厂商更新了使用政策，其中一条与硬件相关：当模型连接硬件执行自主动作时，要保留人工观察和停止能力；同一次更新还对若干高风险用途做了更细的限定。条款原文以厂商发布为准，本文不复述条款细节，也不评价这些限定本身。要谈的是这句话被接到设备侧以后必须变成什么：一个能测、能验、能追责的交付物。
政策语言里的”保留能力”，在产品上经常被实现为”我们有一个急停按钮”。这是最省事的读法，也几乎一定通不过一次认真的现场审查。因为”可停止”作为工程属性至少含四个问题：停下来的那一刻操作者看得到什么；停止命令走哪条路径、多久生效；停下之后设备处于什么状态、会不会被误恢复；事后能不能证明这一连串动作真的发生过。这四问分别对应观察面、停止路径、状态与重启约束、留证四道实现。四道里缺任一道，条款就没有落地，只是被引用了一次。
本文按这四道逐个给出可交付的实现要点、测法与验收字段。判定值必须由设备自身的风险评定给出，文中不预设任何响应时间数字，也不替代任何现行安全标准的要求。
二、第一道：观察面
观察面的定义是：操作者在决定按下停止之前，能够在一个界面里读到足以支撑这个决定的信息。清单至少五项，缺一项就会出现”看见了但判断不了”的情形。
- 当前动作：模型此刻下发的动作意图与它的文本描述，而不是只有一串关节目标。
- 目标对象：动作指向的工件、工具或人，以及该判断的来源与置信表述。
- 执行位置：设备末端或运动部件在作业空间里的位置，配一张带边界的俯视或侧视示意。
- 力与速度的量级：当前接触力与运动速度的实数量级与超限提示，用于判断该不该停。
- 感知新鲜度：上一次感知刷新的时刻与画面延迟提示，用来说明”你看到的是几毫秒前的事”。
最后两项最常被忽略。”有摄像头”不等于有观察面：摄像头对着工作区、画面被遮挡、码率压到看不清工件边缘、或者画面与指令通道不同步，都让操作者在信息不足的情况下按停或者不按停。观察面的验证方法因此不能靠目测，要设遮挡与延迟场景：故意让关键视角被挡住、注入人为延迟，检查界面是否显式提示”当前感知不可用”，而不是继续显示一帧旧画面假装一切正常。这一条要写进交付前的必测项。
三、第二道：三条并行的停止路径
停止路径有三条，且必须并行存在，不能互相替换。
第一条是软件内的停止指令，从应用层下发，用于日常中断与任务取消。它的问题是最脆弱：模型侧、编排层、控制器任一环卡死或者失去心跳，这条路径就失效。第二条是本地物理急停，操作者可以伸手触达的硬件路径，直接作用于动力或安全回路，不依赖上位软件是否活着。第三条是断电式停机，用于前两条都不起作用或者现场需要立即隔离动力的情况，代价最大，因为掉电未必让机构停在一个可控的位置。
并行的理由是它们的失效模式互不相关。用软件路径去”覆盖”物理急停，等于把两条路径缩成一条。检查时看三件事：物理急停是否在软件全死的状态下仍能生效；断电式停机的操作位置是否可达、是否被柜门或线缆挡住；三条路径触发后的设备终态是否被分别定义。
设备停在哪里是这道实现里最容易漏的条款。三种终态要区分：保持位（停在当前位置并锁住）、安全位（回到预先定义的脱离位置）、危险位（停在半路，负载悬空、夹具夹着工件、机械臂伸在人和设备之间）。安全位是不是每次都回得去，取决于掉电时机构所处位置与负载状态，所以这必须是配置项加验证项：配置里写清楚在什么条件下回安全位、什么条件下只能保持位；验证时按条件覆盖，而不是只测一次空载。夹具带载、真空吸盘断电、垂直轴自重下滑这类情形，都要有明确的终态说明和防护动作。
四、第三道：状态可见与重启约束
停下来了不等于安全了。停机状态要对外可见，恢复要有约束。
状态可见至少包括：设备当前处于哪一种停止（正常取消、急停触发、保护性停机、掉电），锁住的是动力还是逻辑，锁住的原因代码，以及解除需要满足的条件。这几种状态在操作者眼里必须能区分，因为它们对应的风险完全不同；把”急停触发”和”任务取消”显示成同一种灰色，是现场误判的主要来源。
重启约束的核心是禁止自动恢复。任何停止之后的重新上电、复位、恢复运行，都应当由人在现场做一次显式确认，而不是由编排层或者模型重试逻辑替人完成。误恢复的防护要覆盖三条常见路径：软件重启后自动续跑上一个任务；任务队列把被停掉的作业当成失败自动重投；远端会话在没有现场人员的情况下远程复位。三条都要有默认拒绝的策略与例外审批记录。恢复前的检查清单应包含机构位置与负载状态、工作区内是否有人、上一轮停止的原因是否已被处置。
五、第四道：留证与三套时钟对齐
留证回答的是事后”到底发生了什么”。最小字段集是：停止事件的时刻、触发来源（谁按的、哪个条件触发的、软件指令还是硬件回路）、触发时的动作序列与目标对象、停止前后的力与速度读数、执行位置、当时观察面的可用性、解除停止的确认人与确认时刻。
难点在时间对齐。现场通常有三套时钟：控制器自己的时钟、上位系统或云端日志的时钟、录像设备的时钟。三者各走各的，事后对不上，留证就变成了三段无法合并的材料。做法是建立统一的时基：以控制器或者边缘侧的一个主时钟为准，其它两路周期性校准并在证据里同时记录各路原始时间戳与校准偏移；录像与事件之间保留一个可对齐的锚点，例如停止触发的瞬间在录像里打一条叠加标记。偏移量本身要进证据，否则比对结果不可信。
触发来源必须是可判定的分类，而不是自由文本。”操作员按下急停”和”保护性停机”要写成不同枚举值，混在一起写会让审计变成读小说。动作序列的留存有保留期与敏感数据边界：现场影像涉及人员，留存策略要写进项目文档，不做无限期保存。
六、把条款写成验收项，并区分必测与型式试验
政策条款要能被验收，就得先翻译成四列结构：条款表述、本方实现、测试方法、判定值。判定值由设备风险评定给出，但列不能空着，空着等于没有验收。
| 条款表述 | 本方实现 | 测试方法 | 判定口径 |
|---|---|---|---|
| 保留人工观察能力 | 观察面五项信息与感知新鲜度提示 | 遮挡与延迟场景注入，检查是否显式提示不可用 | 关键信息缺失时必须提示且阻止自主动作 |
| 保留人工停止能力 | 三条并行停止路径 | 软件全死状态下触发物理急停；断电后核查终态 | 三条路径各自独立生效，终态符合配置 |
| 停止后状态可控 | 停止类型区分与禁止自动恢复 | 断电重启、队列重投、远程复位三类恢复尝试 | 未经现场人工确认不得恢复运行 |
| 可追溯 | 统一时基下的停止事件留证 | 比对控制器、上位与录像三处时刻 | 偏移在校准范围内，事件可唯一对齐 |
测试节奏分两档。每次交付前必测的是观察面可用性、物理急停可达性与生效性、禁止自动恢复、留证字段完整性——这几项受部署现场影响，换环境就等于换配置。型式试验覆盖破坏性与长周期项目：断电终态验证、带载夹具失效、重复触发后的机构状态、长期漂移下的时钟对齐精度，这类按型号与周期做，不逐台重复，但报告要挂在设备档案上。
洹拓这边做具身与工业 AI 交付时，我们把上面四道当作设备侧的默认交付内容：合同附件里不写”支持人工干预”，而写这张四列表和它的测试记录。写清楚停在哪、多久停、停了之后谁能让它再动、事后拿什么证明，条款才算落地。