由地板决定
什么可以起飞。
架构上毫无新意 —— 它就是驾驶地板底下那套完全相同的 状态 → 可达性 → 不变量 → 准入 引擎。变的只是我们所读取的状态与所执行的不变量。四旋翼提出速度；地板把每一个速度向前投影，只准入那些能让它留在围栏之内、储备电量之上、并与其他航空器保持净空的速度。
Perslis 不是司机。
它是刹车。
Perslis 是位于概率智能与执行机构之间的安全与控制护栏。规划器——任何模型，你的或我们的——可以提议“变道”或“加速”。随后由一个确定性层判断该动作在当前状态、约束、权限与安全不变量下是否可准入。不可准入的动作，永远到不了执行机构。
模型无法绕过地板。
每条指令在执行前都必须经过准入层；没有通往执行机构的旁路。一个敌对或损坏的规划器，正是我们的测试。
不安全的指令被确定性地拒绝。
同样的状态、同样的指令、同样的裁决，每一次都如此——并附上写明触发不变量的收据。不是概率，不是策略，而是一条你能读懂的规则。
置信度或状态不足 → 进入已知安全状态。
当世界状态过期、传感器不一致、或规划器置信度低于门槛时，地板不猜：它驶向预先定义的回退——减速、停车、保持。
模型会开车。我们造刹车。
升级路径很简单：带上你的模型，装上刹车。能力仍是你的；准入、拒绝与安全回退成为模型之下的一层经验证的机制，并附带审计轨迹。
在旋翼转动之前
地板读取的东西。
引擎需要对航空器及其世界有一份带类型、可信赖的读取。对 UAV 而言，这份读取包括：
位置与速度向量 · 相对地面与相对起飞点的高度 · 姿态（横滚、俯仰、偏航）· 电池荷电状态 · 指挥与控制链路状态 · 附近航空器及其航迹 · 以及定义了哪里根本允许飞行的 geofence 边界。
在仿真中，状态即真值。真实部署会用经过验证的 GNSS、IMU 与交通感知来喂入同样的字段 —— 其上的引擎不变。
安全集，
以约束的形式陈述。
高度上限与下限
飞行被约束在允许的高度带内。一个可达集会越过上限的候选爬升 —— 或会越过下限的下降 —— 会被 clamp 到高度带的边缘，绝不越过它执行。
geofence 边界
水平面上的禁飞边界。若某个所提速度的投影轨迹会在时域 H 内将航空器带过围栏，该动作在它能离开允许空域之前就被拒绝。
最小间隔
围绕每一架被跟踪航空器的受保护包络。任何可达集与另一架航空器包络相交的候选运动都会被 DENY —— 地板维持间隔，而不是在间隔已失去之后才反应。
电量与链路失效保护
低于储备荷电，或指挥链路丢失时，可准入动作集会坍缩：地板唯一放行的动作是强制悬停或自动返航。恰恰在世界正在恶化的时刻，裁量权被拿掉。
投影动作，
再做决定。
决策从来不是"我们现在是否在围栏之外？"—— 到那时已经太迟。而是"这个所提动作是否让某个禁止状态在时域内变得可达？"两个实例：
替代 = 把速度 clamp 向沿围栏的平行分量，或保持位置，直到存在一个围栏安全的动作。
控制器仍可提出任何它想要的动作。只有安全动作抵达执行器。
无人机可以提出任意速度。由地板决定哪些能让它留在围栏之内、储备电量之上、并与其他航空器保持净空。
什么已被证明，
什么还在路线图上。
引擎本身已在仿真中的驾驶地板上得到证明 —— 同一套可达性与准入核心，展示了在不改动控制器的前提下，把一个会撞车的控制器变成不撞车的。飞行地板就是这套完全相同的架构，应用到 UAV 状态与 UAV 不变量之上。
尚未构建的，是真实航空器所需的物理栈：对位置、高度与附近交通的经验证感知；时域内有界的控制时延；以及飞行关键软件的适航认证路径。这些是物理路线图 —— 而不是安全逻辑，后者正是你已经能看到它驾驶的引擎。我们不宣称拥有一台会飞的样机。