具身机器人远程关机：别再"前端一点就立即断电"了，否则现场真的会撞防护栏
调度平台里有两类操作设计难度完全不同：日常功能和高危控制。
日常功能出 bug，客户会骂；高危控制出 bug，客户会上新闻。
我们第一次做远程关机时的天真
最早做远程关机，我们的设计是：
- 🖱️ 用户在前端点一下"关机"
- 📡 后端收到请求 → 转给网关 → 网关转给机器人
- 💥 机器人收到就断电
逻辑清晰，链路简单，文档好写。
第一版上线就有客户反馈："你们这个设计不行。点了之后，现场机器人立刻断电，运维人员拦不住——如果机器人正在工作区中央，断电停的位置不对，可能压坏物料。"
更严重的一个场景：客户机器人在充电桩附近，如果操作员想"先暂停一下看看情况"再决定要不要真关机，系统根本不给他这个时间窗口。
行业里典型的"高危操作"踩坑
跟几个做工业控制、医疗设备、自动驾驶的同行聊，大家对"高危操作"的反思都集中在这几点：
- 🚨 不能"调用即执行"——必须有一个可拦截的缓冲层
- 🚨 不能"前端说了算"——必须经过二次确认或操作审计
- 🚨 不能"无差别执行"——高危操作必须结合环境上下文判断
- 🚨 不能"无法回滚"——执行前要明确"如何撤销、如何紧急停止"
每一句听起来都是常识，但第一版往往都是"图省事"——加一个按钮、接到就执行。我们也犯过同样的错。
我们后来补的几个关键点
这里只说思路（不展开实现）：
- 🚪 缓冲层：高危指令从"前端→机器人"改成"前端→平台→缓冲层→机器人"
- 🚪 二次确认：操作前必须明确"操作人 + 操作原因 + 操作时间"
- 🚪 环境判断：执行前自动检查"机器人是否在安全状态"
- 🚪 审计日志：每一次执行都必须留痕，可追溯、可回看
- 🚪 幂等机制：重复触发不能产生多个执行，避免"机器人被反复关机"
一个意外的"高危操作扩展"
做完远程关机后，我们反思：其他类似操作也属于"高危"——比如远程重启、强制恢复出厂、远程锁定等。
事后我们梳理了一遍所有指令，把它们按"危险等级"分类，套不同的执行链路：
- 🟢 常规指令：调用即执行，日志可追
- 🟡 中危指令：执行前二次确认
- 🔴 高危指令：必须人工审批 + 环境判断 + 全链路审计
这是一个渐进式补课的过程——不是因为我们一开始设计得完美，是因为每个真出问题的高危操作都教会了我们一件事。
写在最后
高危操作的设计，最怕的不是做错，是事后才补。补的成本远高于一开始做对的成本。
我们后来给客户做培训的时候会反复强调一句话：高危指令的事先设计，永远比事后补救便宜。事后补的每一个补丁，都在告诉客户"你们团队踩过这个坑"——客户对平台的信任会跟着打折扣。
安全设计不是"加几个开关"，是"把高危操作从默认路径里拎出来"。
关于作者：越微智能（Yuewell）专注具身智能与工业 AI 视觉落地，基于自研 VLA 多模态大模型，提供全品牌机器人二次开发（适配宇树/优必选/智元/傅利叶）与工业级视觉算法定制，支持从算法、硬件到产线实机部署的全栈交付。
