由地板决定
什么可以触及。
机械臂与移动机器人，运行着与汽车、无人机相同的引擎。控制器提出一个关节运动或一条行驶指令；地板把机身的扫掠体积向前投影，只准入那些绝不与人相交的运动。同一套 状态 → 可达性 → 不变量 → 准入 核心 —— 新的状态，新的不变量。
Perslis 不是司机。
它是刹车。
Perslis 是位于概率智能与执行机构之间的安全与控制护栏。规划器——任何模型，你的或我们的——可以提议“变道”或“加速”。随后由一个确定性层判断该动作在当前状态、约束、权限与安全不变量下是否可准入。不可准入的动作，永远到不了执行机构。
模型无法绕过地板。
每条指令在执行前都必须经过准入层；没有通往执行机构的旁路。一个敌对或损坏的规划器，正是我们的测试。
不安全的指令被确定性地拒绝。
同样的状态、同样的指令、同样的裁决，每一次都如此——并附上写明触发不变量的收据。不是概率，不是策略，而是一条你能读懂的规则。
置信度或状态不足 → 进入已知安全状态。
当世界状态过期、传感器不一致、或规划器置信度低于门槛时，地板不猜：它驶向预先定义的回退——减速、停车、保持。
模型会开车。我们造刹车。
升级路径很简单：带上你的模型，装上刹车。能力仍是你的；准入、拒绝与安全回退成为模型之下的一层经验证的机制，并附带审计轨迹。
在机械臂运动之前
地板读取的东西。
引擎需要对机器人及其所共享的空间有一份带类型、可信赖的读取。对机械臂或自主移动机器人（AMR）而言，这份读取包括：
机械臂的关节角度与关节速度 —— 或 AMR 的位姿与速度 · 机器在规划时域内所占据的扫掠机身体积 · 当前处于工作单元内的人及其位置 · 工作空间边界 · 以及所搬运的载荷，因为它会扩展体积与动量。
在仿真中，状态即真值。真实部署会用对人与工作单元的经验证感知来喂入同样的字段 —— 其上的引擎不变。
安全集，
以约束的形式陈述。
人体隔离区
任何扫掠体积都不得与人体所占据的区域相交。一个可达扫掠机身会在时域 H 内越入某人区域的候选运动会被拒绝 —— 无论任务如何要求，人的空间都不可侵犯。
工作空间边界
机器人被约束在其允许的工作单元或可行驶区域内。一个可达集会把机身或轮廓带过边界的所提运动，会在它离开空间之前被 clamp 或 DENY。
关节与速度限制
每个关节都有角度范围与速度上限；AMR 有速度与转向速率上限。会超出这些限制的候选被 clamp 到最近的可准入值，而不是直接放行。
速度—间隔监控
随着人靠近，可准入速度收缩 —— 先减速，再停止。间隔距离持续地约束所允许的速度，因此人越近，地板越不允许机器人运动。
投影扫掠体积，
再做决定。
决策从来不是"我们撞到人了吗？"—— 而是"这个运动是否让某个与人相交的状态在时域内变得可达？"两个实例：
替代 = 把速度 clamp 到零 / 沿已清空的路径回退，直到存在一个对人安全的运动。
控制器仍可提出任何它想要的动作。只有安全运动抵达执行器。
机械臂可以提出任意关节运动。由地板决定哪些运动绝不会扫掠穿过一个人。
什么已被证明，
什么还在路线图上。
这就是在仿真中的驾驶地板上得到证明的同一个引擎 —— 同一套可达性与准入核心，展示了在不改动控制器的前提下，把一个会撞车的控制器变成不撞车的。机器人地板把这套完全相同的架构应用到机器人状态与机器人不变量之上。
尚未构建的，是真实工作单元所需的物理栈：能可靠定位工作空间内每一个人的经验证感知，以及用于强制停止的、经安全等级认证的硬件。我们不宣称符合 ISO 或功能安全标准 —— 只宣称：在给定对人所在位置的可信读取下，运行时会强制执行给定的安全集：没有任何被准入的运动会扫掠穿过一个人。感知与认证是物理路线图；安全逻辑正是你已经能看到它驾驶的引擎。