精读笔记
Problem Setting
论文标题：Harness Engineering for Physical AI: Robot Middleware Is the Harness Layer（arXiv preprint / 2026）。
这篇论文实际解决的是 Physical AI 部署中的治理层定位问题，而不是提出一个新的机器人控制算法。具体说，当 learned policy、planner 或 VLA 模型进入闭环控制路径后，模型输出不再是离线建议，而是直接改变物理状态演化；同时其推理时间改变 executor schedule，其消息大小与频率改变通信链路负载。困难点在于这些扰动不是独立的：控制上“安全”的输出，如果因为推理超时或传输延迟变旧，可能在物理闭环里不再安全。
以前方法卡在单轴 enforcement。控制侧有 CBF/shielding，计算侧有 real-time scheduling / mixed-criticality，通信侧有 DDS QoS / TSN，恢复侧有 Simplex 或 Nav2 recovery。但它们通常由应用开发者手写胶水连接，没有一个层能把“输出区域、推理预算、运行 regime”作为同一个模型契约来执行。关键矛盾是：AI 模型的不确定性是跨控制-计算-通信耦合的，而机器人软件栈的治理机制是分层且局部的。
Motivation
作者的动机来自语言 agent 领域的 harness framing：同一个模型，换 harness，可靠性可以显著变化。因此机器人领域也不应只报告模型或 middleware latency，而应报告模型外部治理层。但软件 agent 的 harness 通常在 tool-call boundary 介入，适合文件、浏览器、API 调用；Physical AI 的 nondeterminism 已经进入控制环内部，不能只在离散工具调用边界隔离。
核心观察是 ROS 2/DDS/Zenoh 已经拥有很多 harness 所需的表面：nodes/namespaces/lifecycle 对应 role，launch/executor/lifecycle 对应 stage，QoS history/rosbag/topic statistics 对应 state，IDL/QoS/ParameterDescriptor、RMW/type adapter、QoS events/lifecycle/diagnostics 则提供 contract/adapter/recovery 的配置入口。缺的是 enforcement：这些声明没有被绑定为 publish-time admission、joint reservation 或 automatic fallback。因此作者想到的方向不是再造一个外部 governance layer，而是把 robot middleware 本身定义为 harness layer。
Core Idea
核心思想是把 robot middleware 从“消息与调度基础设施”重建模为 Physical AI 的 harness：它不是最懂控制、最懂计算或最懂网络的层，但它是机器人栈中最低的、同时拥有三轴 mediated abstraction 的层。因此它不负责在某一轴上比 controller、OS scheduler、DDS 更强，而负责组合它们的 enforcement。
这种建模引入的 inductive bias 是：模型部署不再是一组松散配置，而是一个声明式运行时契约。模型必须声明 output region、inference budget、operating regime；middleware 将这些声明绑定到 publish path、executor/transport reservation 和 lifecycle fallback。和 prior 的本质区别在于，prior 多数是 per-application runtime assurance 或单轴优化，而这里强调“同一层中跨轴组合”本身就是 harness 的定义。它的潜在可扩展性来自把手写 application glue 下沉为平台 primitive，使不同机器人、不同模型可以复用同一种治理接口。
Method
方法可以压缩成 PIT 三个机制，而不是模块堆叠。
1. Projection：解决模型输出本身不可认证、可能越界或过期的问题。它在 publication time 对候选样本做 admission，检查类型/值域/freshness/lifecycle state，理想情况下还组合控制稳定性、schedulability 与 link feasibility。必要性在于：ROS 2 现有 IDL/QoS 多是声明或事后通知，不会阻止一个坏样本进入控制链路。核心变化是 deadline/lifespan/range 从配置项变成 per-sample gate。
2. Isolation：解决模型推理时间和通信负载破坏实时性的問題。它把 callback scheduling 的 compute slot 与 DDS/Zenoh partition/flow-control 的 communication window 绑定成一个 joint reservation。必要性在于：单独设置 executor callback group 和网络带宽限制不能保证组合可行。核心变化是从两个独立配置变成一个由 middleware admit/reject 的模型资源契约。
3. Transfer：解决 contract violation 后无人接管的问题。它把 Projection failure、inference overrun、OOD drift、QoS events 等信号路由到 lifecycle transition，切换到预先 staging 的 verified baseline。必要性在于：今天很多系统只记录 diagnostics 或由应用手写 fallback。核心变化是恢复从 ad hoc recovery 变成 middleware-level authority handoff。
作者还提出 ROS 2 Harness Profile 作为部署 artifact，承载这些声明。重要的是 Profile 不是 correctness certificate，而是 enforcement input；模型边界是否可信仍然是上游问题。
Key Insight / Why It Works
这篇最有价值的 insight 是：Physical AI 的安全/可靠性瓶颈不在单个机制是否存在，而在机制是否被组合到正确的系统层。一个 CBF 可以拒绝不稳定轨迹，但不知道生成该轨迹的推理是否超时；一个 scheduler 可以发现 overrun，但不知道晚到的控制命令在物理状态上是否还有效；一个 DDS deadline event 可以报告通信异常，但不会自动触发控制权切换。中间件之所以可能有效，是因为它是少数能同时看见 message semantics、executor scheduling 和 transport QoS 的层。
真正核心贡献是“composition as harness”，不是 PIT 每个名字本身。Projection 类似 shield/CBF/filter，Isolation 类似 mixed-criticality reservation，Transfer 类似 Simplex/runtime assurance；单独看都不是新思想。新意在于把它们绑定到同一个 model declaration，并要求同一层做跨轴决策。换句话说，这不是 scaling、data coverage、retrieval 或 test-time compute 的贡献，而是系统架构上的 better inductive bias：把 learned model 当作 stochastic producer，把中间件当作 stochastic producer 的 contract enforcer。
辅助成分是 ROS 2 Harness Profile。它很有用，因为它提供了可比较、可部署、可审计的治理对象；但它本身只是 manifest，增益来源不在 YAML，而在 middleware 是否真的能 enforce。文中没有证明 enforcement 组合后一定可认证，也没有展示真实 overhead，因此目前 strongest claim 是概念重定位，而不是系统性能提升。
Relation To Prior Work
最近的语言 agent harness 工作把 harness 视为模型外部的执行与治理层，但其边界通常是 tool call；本文把这个概念迁移到机器人闭环，并指出 Physical AI 的边界必须跨控制、计算、通信，而不是离散工具接口。这是与 language-agent harness 的本质差异。
和 robotics runtime assurance 最接近的路线包括 CBF/shielding、Simplex、Neural Simplex、Nav2 recovery、mixed-criticality scheduling、DDS QoS/TSN、ROS 2 executor analysis。本文看似提出新机制，实际大量借用了这些已有思想。不同点不是机制原理，而是组织方式：已有工作一般在应用层或单轴子系统里部署，本文要求中间件接收一个模型级声明并组合 enforcement。
和把 ROS 2 当 tool registry 或在 ROS 2 之上外挂 governance layer 的 embodied-agent 工作相比，本文的立场更激进：middleware 不是 substrate，也不是被 harness 调用的工具，而是 harness 本身。实质创新在系统边界与契约抽象；技术实现层面目前更多是 agenda than system。
Dataset / Evaluation
没有数据集、没有实验、没有真机验证、没有 benchmark。论文是 architecture / position paper，evaluation 主要是论证式：通过分层表格说明 middleware 是唯一同时具备三轴 mediated observe/control 的层，通过 ROS 2 surfaces 映射说明已有结构足以承载 harness，通过失败案例说明单轴机制无法捕捉跨轴失效。
这能支持“问题存在且 middleware 是合理候选层”的 claim，但不能验证核心机制的实际可行性。尤其没有回答：Projection 在 1 kHz 控制频率下能否承受 per-sample predicate；Isolation 的 joint admission test 是否能跨 DDS vendor、Zenoh、OS/GPU scheduler 稳定实现；Transfer 是否会在 OOD score 噪声下频繁抖动；Harness Profile 是否能在多模型、多机器人、多租户场景中保持可管理。核心 claim 需要未来固定 learned policy、替换 harness 的 benchmark 来验证，目前文中也承认 Physical AI 还缺这种 instrument。
Limitation
主要限制不是缺实验这么简单，而是方法成立依赖几个强前提。
第一，声明必须可信。output region、WCET/rate、transport budget、operating regime/OOD signal 都被假设可由模型或部署者提供，middleware 只 enforce 不 certify。实际中 learned policy 的有效 operating regime 往往最难界定，OOD score 与安全性之间的相关性也可能很弱。这里可能只是把最难的 verification 问题转移到 upstream。
第二，middleware 的跨层控制能力被高估的风险很大。ROS 2 能看到 topic 和 QoS，不等于能精确控制 GPU inference latency、OS scheduling、NIC queueing、DDS vendor internals。若底层 substrate 不暴露可组合 reservation API，Isolation 会退化成 best-effort monitoring。
第三，Projection 的语义可能不通用。简单速度范围检查容易平台化，但真正闭环稳定性 predicate 通常依赖机器人动力学、状态估计、环境约束和任务上下文。如果每个系统都要写自己的 predicate，那么通用 harness 的价值主要在插槽与路由，而不是安全语义本身。
第四，Transfer 的 return policy 文中未充分说明。切到 baseline 容易，何时安全地恢复模型很难；仅靠一段时间内资源使用回到预算内，并不能证明分布重新进入可信 regime。错误恢复可能导致 mode switching oscillation 或 authority ambiguity。
第五，目前增益来源不清。论文主张 harness 可以显著影响可靠性，但没有 robotics 实证。最终收益可能来自已有 runtime assurance 机制、来自更保守的 fallback、来自更强的 reservation，也可能只是来自工程约束收紧，而不是 harness abstraction 本身。
Takeaway
- 1. 值得记住的是层次判断：Physical AI 的治理不应只放在 application wrapper，也不能只依赖 controller/scheduler/network 的单轴机制；middleware 是最自然的 cross-axis composition point。
- 2. PIT 的迁移价值在于把 learned component 当作带声明的 stochastic producer：任何进入闭环的模型都应声明 output region、resource budget、operating regime，并由系统层 enforce，而不是由应用代码自觉遵守。
- 3. 未来真正有价值的工作不是再发明一个 safety filter，而是实现可认证的 joint reservation、publish-path semantic admission、lifecycle-level authority transfer，并构建固定模型、替换 harness 的 benchmark。
- 4. 这篇推动的是研究问题重心变化：机器人中间件不只比 latency/jitter/discovery scaling，还要比较 governance capability。
一句话总结
这篇论文把 Physical AI 的核心部署问题从“模型如何更强”重定位为“哪个系统层负责约束模型”，其真正贡献是提出 robot middleware 作为跨控制-计算-通信组合 enforcement 的 harness layer，而非提出新的控制或调度算法。