Embodied Integration Profile¶
状态：2026-11-08 设计提案；AKROVELA 已选定为试点消费者，消费者试点未开始。 不新增 具身运行时、中间件适配器、Core API 或安全保证。与 PRAXOVELA 一样，AKROVELA 将 PRAXO-CORE 作为自身产品组件嵌入；Core 保持产品中立。本文细化执行层次与 Governed Execution Profile，不代替规范性 Wire spec。
前置条件¶
试点需一个明确消费者、一个中间件、一个有边界的仿真任务、执行权威、观测源和效果验证规则。 AKROVELA 已选定为消费者；其产品侧适配器、仿真映射、执行权威细节、观测源和验证者仍未实现 或待定。不在缺少消费者证据时并行开发 ROS 2、Dora、Zenoh 适配器；独立消费者仍可使用 AxisVela 之外的产品。
消费者必须明确治理要求由谁执行；“实验”标签不能免除授权或弱化失败处理。开发 fixture 不是安全控制。
交付与契约范围¶
AKROVELA 已选定为试点消费者，并拥有产品侧 PRAXO-CORE 嵌入适配器。与 PRAXOVELA 一样，
AKROVELA 将 PRAXO-CORE 作为自身产品组件嵌入；两者产品定位和状态不同。Core 保持产品中立的
MIT 内核，不获取 AKROVELA 的操作、产品、Mission 或安全状态。AKROVELA 与 DIDACTOVELA 均为
未发布 0.1.0 产品；适配器和试点证据尚未实现。选定不替换已有执行路径，也不通过治理/具身门禁。
KINETOVELA Mission、PEIRAVELA 实验身份与节点尝试、学习来源保持分离。
试点拟交付消费者示例、单个中间件的实验适配器、消费者局部集成协议、确定性测试、仿真和限定证据。 复用治理装配入口提案，再增加领域要求，不另建治理栈。本设计不声明可复用装配包或具身适配器已实现。
消费者需规定提交、权威状态查询、取消请求与确认、观测和效果验证。即使不增加 Core API，这仍是 新的集成协议；协议中定义操作/载荷绑定、资源范围、epoch、幂等保留期与恢复。 这些形状不是共享 Core 字段或 Wire 契约。
中间件细节保留在适配器。有消费者证明可复用远程操作语义后，再考虑独立集成契约；只有证明局部
执行缺口后才考虑 pkg/...。不预先定义 Robot、Mission 或通用异步动作 API。
共享晋级仍需正常 spec、兼容性、parity 与 conformance 审查。
责任边界¶
实验控制、Mission 执行、世界状态权威与独立保障是不同角色。仿真控制器拥有实验尝试与原始证据， 不拥有生产 Mission 或保障结论；Mission 权威拥有分配与物理效果生命周期，不拥有运行世界真相或 认证本地安全。验证者给出独立限定结果，不因执行者完成事件而继承权限。
优先复用已有版本化公开产品契约，不建立竞争性的消费者协议。实现适配器前记录公共接口与能力缺口； 只存在于实现/私有存储中的 schema 不是已发布集成依赖。本 MIT 框架不得导入产品内部代码或 AGPL-only 运行时；公开 SDK 仍需依赖与许可审查。见生态集成边界。
| 组件 | 责任 |
|---|---|
| Core | 局部 Run、已配置 Policy/HITL、工具调用、事件、取消与 Checkpoint 契约 |
| 消费者适配器 | 翻译操作与观测、关联 ID、限制输入与资源范围、保留不确定结果 |
| 执行权威 | 接受/拒绝命令，拥有权威远程状态、去重和取消确认 |
| 观测/验证者 | 提供带时间戳的观测，检查新鲜度，独立于成功响应验证声明效果 |
| 按需接入的工作流/协调服务 | 持久恢复、任务协调、lease 与 fencing |
| 部署安全系统 | 急停、联锁、实时控制、硬件限制和批准的安全状态行为 |
局部 Run、协调 Task、持久 Process、机器人 Mission 的 ID 与权威分别保留；这些是概念映射， 不是新增 Core 必需字段。Core run 完成不能升级为 Mission 完成。
实验 run/attempt ID 同样不等于 Core Run 或 Mission ID。使用显式、带范围和版本的绑定； 关联 ID 与事件名称本身不授权状态推进。保留仿真来源和声明模式，仿真/重放观测不能变成真实运行事实。 必需世界状态未知或冲突时阻止依赖动作。本地安全须在云、模型或控制面失联时独立运行； SafetyEnvelope 引用不证明安全已经执行。
验收提案¶
治理要求全部适用；以下只增加领域要求。编号是文档引用，不是 Wire code 或新增状态枚举。
| ID | 要求 | 负向或故障验收 |
|---|---|---|
| E1 | 授权最终目标、动作和参数 | 缺失身份、目标/范围不匹配或审批编辑后不满足授权，阻止提交 |
| E2 | 分开接受、完成与效果验证 | 接受命令或工具返回成功，单独都不能证明物理效果 |
| E3 | 绑定观测并限制新鲜度 | 校验可信来源、目标/资源、操作或执行 epoch 与序列；缺失、过期、重放、不匹配观测阻止依赖动作；审批或排队后在最终放行时复核 |
| E4 | 确认远程取消 | 本地 Run 取消不报告远程停止；没有确认则保留未知/待确认 |
| E5 | 处理重复和不确定提交 | 稳定操作键绑定载荷；响应丢失/重连先查权威状态，再决定重试 |
| E6 | 必需安全依赖失败关闭 | Policy、观测、安全服务丢失时阻止新的依赖动作，并按消费者规则升级处理 |
| E7 | 对恢复和并发所有权执行 fencing | 过期 worker/lease 不得发起新效果；恢复 Checkpoint 不重建执行权威 |
| E8 | 保留关联证据 | 记录命令、权威响应、观测、取消和 verifier 结果且不泄露秘密；证据故障与效果状态分开 |
消费者定义新鲜度阈值、时钟域、超时、所有权与取消协议，本设计不虚构通用安全默认值。 对已执行的动作，“失败关闭”不意味着 Core 可以停机：受控停止/升级处理与确认由部署安全权威负责。 不得把依赖丢失报告为已确认安全状态。
声明最终动作放行时的时钟不确定性与观测有效性，不只检查规划时刻。测试错误机器人的新观测、旧操作 重放、等待审批期间过期与重启后序列重置。验证者必须使用执行服务成功标记以外的观测路径； 记录进程、数据源、信任域独立性和共同故障模式。独立进程本身不证明独立事实。
区分权威有效期时间、有界误差的观测时间、仿真 epoch/tick 与本地单调时间；不得直接相减无映射的
时钟。声明组合时钟误差上界 U 后，要求最坏年龄 release_time - observed_at + U <= max_age，
未来时间超出 U 时拒绝；误差上界未知则阻塞依赖门禁。重复读取不刷新观测时间，来源重启需要可信
epoch 重新绑定，不能仅信任更大的整数。仿真暂停/回拨需显式失效规则。
区分动作前的资源/环境证据与尝试后的效果观测，不得在权威分配 attempt 前伪造其身份。 模拟器必须产生独立于请求目标或执行成功标记的可观测状态；合成 fixture 验证规则，不证明达成效果。 局部限定验证不是最终独立保障，也不替代其他所有者的 Mission 效果准入。产品嵌入适配器本身不是 机器人中间件、模拟器或第二套 Agent 循环。
分开记录取消请求已接受、停止已确认、取消被拒绝与取消结果未知。拒绝取消不证明操作结果； 确认停止不抹去此前效果。取消/完成竞争通过权威状态解决，不覆盖已完成结果。
证据与晋级¶
声明实验性实现前，记录明确消费者与中间件、准确 Core/adapter/runtime 版本、仿真环境和任务、 执行组件、E1-E8 各项测试结果及未支持行为。需测试观测过期、断连、响应丢失、重复提交、取消未确认、 过期所有权与必需安全服务故障。
完整试点验收同时要求治理 G1-G8 与 E1-E8，并覆盖允许、负向与故障路径。 配置校验和行为验收分别记录；必需证据缺失时不满足验收，部分实验必须缩小声明范围。
具身试点计划把 E1-E8 转化为确定性、仿真与可选硬件门禁， 并规定必需证据与停止条件。AKROVELA 已选定为消费者，但尚无适配器、仿真映射或运行记录， 不是实现声明。
长时操作配方提供响应丢失、状态恢复、取消和 fencing 的 软件 fixture，但不提供观测、中间件、生产 lease 或具身消费者；配方测试通过不满足本 Profile。
按测试分类区分确定性 fixture、端到端仿真、硬件试验和生产观察。 仿真不是硬件或生产证据。每项限定结果应附限制和剩余风险；本文不声明完整 Profile 已通过。
非目标¶
Core 不是机器人平台、运动规划器、硬件驱动、认证安全控制器、分布式工作流引擎或实时运行时。 本 Profile 不提供急停实现、外部事务原子性或通用 exactly-once。共享 API/Wire 变化仍需正常 兼容性、spec、parity 流程，不能因属于 Profile 而豁免。