起因

视觉链和数据工厂连着写完，容易留下一个印象：这台机器靠眼睛包打天下。定传感配置的时候说过一句话，值得单独写一篇：不追求纯视觉解决所有问题——学术上可能可行，工程上不理智；放到工业环境里，降算力的机制、冗余兜底的机制必须要有。这篇把这个原则写透，因为它决定了机器上每一个传感器装在哪、干什么活。这也是整个系列反复出现的那条线的又一段：演示要的是惊艳一次，工程要的是第二万次和第一次一样。

眼睛的短处

纯视觉方案的问题，一句话：模型的失败是概率性的、静默的。置信度不够的时候它不报警，只是悄悄给一个错答案，然后臂就照着错答案动了。这种坏法行业里有个名字，叫静默失败——不出声地坏，比响着坏的危险一个量级，因为没人知道它坏了。学术上端到端纯视觉可以做得漂亮，因为实验室光照可控、数据分布固定、错了没人赔；工业现场光照会变、件型有长尾、遮挡随时出现，一个会悄悄出错的感知通道，不能是这台机器唯一的感知通道。

所以问题不是视觉好不好——视觉链和数据工厂两篇写的都是怎么把它做好——问题是别把所有感知都压给它。能不让它管的，就不让它管。

每个量用最便宜的原理直读

工程上的做法是把感知问题拆开，每个量挑最便宜的物理原理去读：能用开关量回答的绝不用视觉，能物理量直读的绝不用模型推断。拆完大概三层。

最底下是触发层，全是开关量：对射光电管判断有没有件过来、触发光电管决定什么时候拍照、皮带出口的光电管盯着堵没堵。几块钱一个的器件，回答的都是是或者否，永远不会因为灯光变暗就犹豫。

中间是测量层，物理量直读：抓取高度贴近后用近处那台相机量一次，不用全局视觉从图像里估；抓没抓住看真空度，一毫秒出数；碰没碰到人看关节电流的突变；机器自己正不正，倾角计说了算。

最上面才是认知层，视觉模型只干非它不可的三件事：找件、选抓点、认面单。这三件事没有开关量可读、没有物理量可直读，才轮到模型上场。

这么拆的直接好处有两个。算力下来了：视觉不用每帧回答所有问题，只在需要理解图像的时候跑模型，两百毫秒的预算守得住。故障的性质变了：开关和直读量坏了，是以报警的形式坏；模型坏了，是以出错的形式坏——前者修完就好，后者不出声地废产品。

关键判据，两票才算

对真正要紧的判据，一个通道不够，配两票，两票都点头才算数，方案里的话叫双通道交叉验证。而且两票必须是不同物理原理的：装两个摄像头不叫冗余，那是一件瞎的事发生两遍；异构的冗余才有意义，因为不同原理的器件，失效的方式互不相干——光照变化让摄像头难受，不让光电管难受；塑料袋反光骗得过模型，骗不过真空表。

这台机器上，两票的设计是这样：

注意最后一列：两票对不上，本身就是一条报警。这个设计比任何一票单独的精度都值钱——它把"悄悄错"变成了"对不上"，而对不上是看得见的。

坏要以报警的形式坏

这个产品的所有标准都按工业标准来，这是定死的。工业标准不是一份文件，是一套习惯，这套习惯有名有姓，是航空、核电、汽车工业用事故喂出来的。失效模式分析，车厂和航空的强制流程：设计阶段把每一种坏法列出来，逐条评多严重、多常发生、能不能探测到。降额设计，电子件按额定值的七成用，机械件安全系数留够。飞机的飞控是好几套不同原理的通道互相投票，少数服从多数之外还要能识别出疯掉的那个。往车间里说，丰田那套自働化——自动化三个字里带人字旁的那个——核心就一条：异常发生时机器自己停，把人从盯机器的活里解放出来。黑灯车间这个概念，祖师爷就是它。安全相关的功能还有专门一族标准管着，ISO 13849 是代表：急停、防护这一类，装了不算数，要按标准的方法评出可靠性等级才算数。我们的安全通道照这个思路设计，将来要过认证，地基是现成的。

我们把同样的思路收进自己的流程，落成两件事。设计每一个环节的时候，把它的坏法列一遍：这个传感器坏了什么样、那一路灯光坏了什么样、最软最薄的那批件来了什么样——将来运维篇把这张表正经建起来。验收测试按最坏情况出题：低温、坏一路灯、面单朝下的件、黏成一坨的退货，好情况不用测，好情况谁都好。

落到失效那一刻的行为，原则就一条：坏了进入安全态，不进入未知态——这条在行业里叫失效安全。保持最后位置、停机、报警，都是安全态；带着一个可能错的感知继续执行，是禁止的。能力可以一层一层往下让：模型这一层挂了，退到传统视觉还能抓整列的件；视觉整链都挂了，退到开关量还能判来件、还能停线——停线也是功能，是保住整条产线不堵的功能。行业里管这个叫优雅降级：每一层都比上一层笨一点、慢一点，但每一层都是安全的。

接下来

这套原则落得最密的地方，在末端那一百多毫米上：吸盘、真空表、力反馈、光电，全挤在抓手附近，真空度判抓取就是两票制的第一实例。下一篇写软包抓手——立项就点名的那道第一难题：吸盘阵列、柔性夹、力控怎么配，压缩袋的小硬块和蓬松的散衣两种件怎么用一套机构消化。

参考链接

• 本站：双臂工业机器人：立项、视觉链、数据工厂、零点与自检（编码器与倾角计交叉验证的出处）
• Wikipedia: Jidoka——异常自停的来历，带人字旁的自动化
• Wikipedia: Fail-safe——失效安全的设计原则