# 何时值得让机器人先快想、再慢想？

具身智能安全 UbiComp 论文融入大纲 · 陈龙彪 v2 · 2026-09-22

英文工作题目：When Should Robots Think Twice? Auditing Selective Semantic Gating for Safe Action Decisions

## 研究定位：验证边界，而非证明某个模型必胜

将“确定性规则 + System 1 类型化判断 + System 2 选择性复核”纳入现有具身智能安全论文，研究在什么条件下它能降低决策开销，同时保持风险控制和任务可用性。Jev 是 S1 的一个实现，GPT 是 S2 的一个实现；不要把模型名称本身当作创新点。

“快思考 / 杏仁核”仅用于解释动机。本文不声称模拟生物机制，也不声称 Jev 可代替碰撞急停、运动控制或安全认证。GPT 同样支持结构化输出，JSON 合规不构成 Jev 独有优势。

## 摘要草稿

机器人动作既受距离、速度和权限等确定性约束影响，也受任务语境与证据完整性影响。本文研究在规则过滤后引入类型化语义判断，并按不确定性选择是否调用通用推理模型的架构。我们将其与仅硬规则、规则加 GPT、规则加 Jev 三种方案在同一状态与候选集合上比较，并构建绑定输入版本、重读状态和隔离命令预览的审计适配器。在 14 个合成场景各一次的探索性实验中，直接 GPT 与 Jev→GPT 均得到 14/14 的三态标签正确；双系统将 GPT 调用由 8 次降到 7 次，但平均端到端判断耗时由 7.52 秒增至 7.72 秒。本轮没有证明双系统具有净性能优势。我们据此提出风险、正常放行、升级比例与部署开销的联合评测方案，并将适用场景与收益边界作为后续研究重点。

## 1 引言：需要回答的三个问题

RQ1：相同状态、候选、规则和执行边界下，增加 S1 是否影响危险误放行、正常放行和最终复核？

RQ2：S1 省掉多少 S2 调用，增加多少自身开销？在什么升级比例、部署位置和任务分布下存在净收益？

RQ3：等待模型期间发生状态变化时，如何阻止旧判断被当作当前执行许可，并将这一机制接入既有机器人 Agent？

动机实例：数字约束合格但地面湿滑；夹爪力未超限但人员手部在工作区；不接触物体的观察动作却被保守阈值送入复核。以失败案例而非只选成功示例组织引言。

## 2 相关工作与贡献边界

覆盖反应式控制与异步规划、runtime assurance / safety shielding、双系统机器人策略、选择性预测与风险—覆盖率、LLM 动作验证和工具调用审计。将已有工作的假设、控制频率、输入模态、是否真机及失败处置列为比较维度。

当前拟议贡献是可审计的选择性门控与部署边界评测，而非“首次双系统”或“首次使用 JSON 控制机器人”。全面查新和新颖性确认仍待完成。

## 3 架构：三个层级与两次检查

S0 是确定性策略检查。它保留急停、互锁、硬阈值和权限边界；真正的低层急停必须在设备本地独立工作。研究原型的 JavaScript 规则不是经过认证的硬实时安全层。

S1 在当前状态和既有候选上判断最佳选项、证据充分性、各候选语义危险。明确通过时可跳过 S2，明确危险时拒绝，不确定时升级。模型概率只是输入，最终流程由代码决定。

S2 负责初始任务规划，也在升级时复核、提出补证据或重规划。当前 Demo 实现的是“固定候选下的真实 GPT 复核”，不是开放式规划或自动观测闭环。模型返回具体缺失事实后必须实际采集或询问，不能凭推理填补。

执行前再次读取状态，校验候选与输入版本，重检硬规则。语义场景发生变化时必须重新评估；拿不到新状态时保留等待。新的候选必须重新进入检查链路。多步骤计划应逐步门控，不能把整段未来动作一次性放行。

## 4 与 claw-bot 的集成方法

现有转录路径是 handleFinalTranscript → Codex 规划或规则兜底 → 记录 dispatch → runControllerCommand。Realtime 直接工具路径是 executeRobotDispatch → 参数标准化 → 记录 dispatch → runControllerCommand。

两个实际控制器调用前都需要统一适配器。只在 robot-tool 的 dispatch 分支增加检查覆盖不全；该工具目前负责标准化命令与任务记录。

本次已实现独立适配器：绑定输入哈希、接收新状态、硬规则复检、场景变化拒绝复用，并在通过时调用现有 robot_status / robot_act MCP 代码。该调用使用注入的独立内存会话与本地预览目标，完全没有控制器访问。observe、grasp 等未映射的运输动作不会被强制转换。

生产接入仍需可信 telemetry / 权限提供器、完整动作参数、两处出口挂接、故障与停止优先级，以及部署和真机验收。当前不能写成“已接入在用机器人”。新鲜度演示中的新状态来自明确标记的模拟选择。

## 5 对照协议

A：仅确定性规则，作为下限而非主要竞争基线。

B：规则 + GPT-6 Astra medium 的固定候选决策，作为主要通用模型基线。

C：规则 + Jev，无自动 S2，仅用于分离快判断的影响。

D：规则 + Jev，只有升级时才真实调用 GPT。D 的 Jev 与 GPT 均独立调用，不复用 B/C 的答案伪造串行耗时。

四组共享同一状态、任务、候选及硬规则；期望标签不发送模型。硬规则否决和明确停止都不调用任何模型。按场景交替 B/C/D 执行次序，以减少固定顺序偏差，但不把这视为充分随机化。

数据为 14 个手工构造场景，每场景一轮，未单独划分校准与测试集。相比 v1，修正湿滑地面同时写着“干燥地面”等模板冲突；v1 与 v2 数据不混合统计。

GPT 通过本机已经登录的 Codex / ChatGPT 执行，使用明确指定的 gpt-6-astra、medium、JSON schema、最小任务指令、禁用工具。请求模型别名已记录，后端精确模型快照未返回。Jev 通过 TypeSafe HTTP API，响应记录 jev-1.13.0。两者运输与框架不同，时延只支持“当前部署路径”的比较，不支持纯模型速度排名。GPT token 用量包含框架上下文。

## 6 新版初测结果

| 指标 | 仅规则 | GPT | Jev | Jev→GPT |
|---|---|---|---|---|
| 三态标签正确 | 8/14 | 14/14 | 10/14 | 14/14 |
| 不当放行 / 不应放行 | 6/11 | 0/11 | 0/11 | 0/11 |
| 正常放行 | 3/3 | 3/3 | 2/3 | 3/3 |
| 最终升级复核 | 0/14 | 3/14 | 7/14 | 3/14 |
| Jev 调用次数 | 0 | 0 | 8 | 8 |
| GPT 调用次数 | 0 | 8 | 0 | 7 |
| 全案例平均判断时间 | 0.10 ms | 7.52 s | 0.61 s | 7.72 s |
| 计费金额 | 未测 | 未测 | 未测 | 未测 |

主要观察：Jev 能把部分语义不适当动作从“允许”转为保留；GPT 复核恢复了正常观察的放行。但与直接 GPT 相比，组合方案只节省 1/8 的 GPT 调用，同时新增 8 次 Jev 调用，平均总时间略升约 2.7%。本轮不支持“整体更快、更便宜或更安全”的宣传。

只统计需要模型的 8 个场景，GPT 平均约 13.16 秒，双系统约 13.51 秒，同样未显示净时间收益。

不要利用全案例 p50 宣称数量级速度优势：硬规则短路使分布明显混合。正式实验要分别报告无需模型、S1 直接完成、S1→S2 升级三条路径的时延、失败与任务完成率。

## 7 收益条件与优化方向

令 q 为进入 S1 后仍需 S2 的比例。在每次 S2 耗时近似相同的简化假设下，串行判断的平均时间约为 T1 + qT2；只有 T1 < (1−q)T2 才可能快于直接 S2。费用同理，但不同模型的 token 不能直接当美元。

新版 q 为 7/8（87.5%），快路径覆盖仍然偏低。旧版为 22/24（91.7%），它们来自不同输入版本，不能据此声称优化显著有效。

下一步应优先验证高频、候选稳定且证据完备的子任务，而非所有机器人请求都强行先过 Jev。研究按动作风险与证据需求设置路由，比较轻量 GPT 基线，并测试状态本地获取与网络尾延迟。任何调整阈值或改变先后判定顺序都只能在开发集进行，再在独立集验证。

还应测试把 S1 用于异步语义监测是否优于串行门控；不能在没有执行前复检的前提下为了低延迟并行放行。若没有稳定净收益，就保留直接 GPT + 确定性规则方案。

## 8 正式实验与图表计划

将两种实验分开：固定候选判断实验用于定位模型/策略差异；完整 Agent 实验包含规划、工具调用、环境反馈、重规划和最终任务结果。当前只完成前者，不能替代与完整传统 Agent 的比较。

新增基线应包括较小或低推理预算的 GPT，避免只挑慢且强的模型作为竞争者。冻结输入、规则、模型版本、超时、预算与候选生成方式，记录冷/热启动、缓存 token、端到端与服务时延。

数据按场景家族划分；独立标注与争议裁决；置信度校准；按家族聚类 bootstrap；重复测量不当作独立场景。加入延迟、超时、缺失状态、权限变化、语义分布偏移和多步骤计划。

图 1：既有 claw-bot 的两条路径与统一控制器边界。图 2：四种策略的风险—正常放行—延迟权衡。图 3：每例 S1→S2 调用瀑布与重检结果。图 4：q 与部署开销的收益边界。表 1：主实验；表 2：分路径指标；表 3：故障与消融。

## 9 局限和论文结论

小型合成数据、单轮调用、无冻结测试集、无多模型规模消融、无自动补观测闭环、无真实成本、无真机或完整 Agent 任务完成率。网络与 Codex 运行框架干扰纯模型性能解释。当前安全规则也未覆盖全部参数异常和所有实体授权来源。

可以写入的结论是：选择性语义门控需要同时审计风险和升级成本；本轮试验揭示其覆盖不足和部署开销，未证明优于直接 GPT。其适用边界与状态一致性机制值得进一步研究。

## 参考入口

TypeSafe API：https://docs.typesafe.ai/api

TypeSafe 概率语义：https://docs.typesafe.ai/confidence

OpenAI 结构化输出：https://developers.openai.com/api/docs/guides/structured-outputs

Codex 非交互执行：https://developers.openai.com/codex/noninteractive

ROS 2 实时性背景：https://design.ros2.org/articles/realtime_background.html

Gat 异步规划/反应架构：https://flownet.com/gat/papers/aaai92.pdf

## 本次验收

打开四组对照页面：先看“只观察货架”的 S1 升级与真实 GPT 复核，再看“湿滑地面”的拒绝/升级差异；最后选“空走廊”已允许结果，分别注入新障碍、过期传感器、改变场景，核对适配器不会下发旧决定。再到收益页看实测是否支持论文措辞。