边缘AI安全降级由拒识与看门狗共同闭环

高准确率模型仍会遇到训练集之外的输入，也可能卡死而不给结果。边缘AI进入控制链后，安全性取决于能否识别“不该判断”和“已经失效”这两种状态。

分布外输入并不一定得到低置信度。神经网络可能把强反光、镜头遮挡、陌生物体或损坏传感器映射到某个已知类别，并给出很高分数。因此，只用最大softmax分数设门槛，不能等同于未知检测。更可靠的拒识需要结合输入质量、特征距离、多个模型或增强视图的一致性，并在目标现场用真正未见过的干扰样本校准，不能只从训练集留出一小部分充当未知。

拒识阈值必须与动作风险绑定。显示提示可以接受更多误报，打开门锁、驱动机械臂或触发紧急制动则需要更保守的确认。阈值过严会让系统频繁退出服务，过松又把未知输入直接送入执行层；评价时应分别统计误接收未知、误拒绝已知和拒识后的业务后果。对于天气、光照等连续漂移，还应观察特征距离随时间的趋势，避免等到越界后才发现传感器已经老化。

拒识之后必须有定义好的去向。安全相关设备不能简单保持上一条命令，因为上一状态可能在对象继续运动时迅速过期；也不能一律立即停机，某些场景中的急停本身会引入风险。设计应为每类失效规定最小功能集，例如减速、保持安全距离、切换到传统传感器规则或请求人工确认，并明确恢复条件。模型重新给出一次高分结果，不足以证明环境已经恢复。

拒识能力还会随模型更新而变化。新版本即便已知类别准确率提高，特征空间尺度也可能改变，使旧阈值失去含义；把同一个门槛随模型包沿用，会造成未知样本突然大量放行或正常样本被拒。发布时应使用固定未知集合和现场扰动集重新标定，并保存阈值所对应的模型与预处理版本。若没有覆盖目标风险的未知样本，就应承认检测盲区，而不是给出绝对安全结论。

看门狗负责发现另一类沉默故障：推理线程死锁、加速器驱动挂起、内存破坏或结果超时。若心跳由被监控线程自己排队发送，而线程卡在同一个运行时调用里，心跳会自然停止；但如果监控任务与主任务共享调度优先级、时钟和电源域，共因故障也可能让两者一起失声。独立监控通道至少要拥有单独的时基和受保护执行资源。

边缘AI的健康信号不应只是“进程还活着”。监控器要看到输入帧号是否推进、结果是否在截止期内产生、输出范围是否合理，以及执行器是否接收了对应序号。出现超时后，先阻断过期结果，再切换降级路径，最后才决定是否复位；否则设备重启期间残留命令仍可能继续作用。复位还要设置次数和冷却时间，避免永久故障造成复位风暴并耗尽日志或存储。

故障注入是验收闭环的必要条件。应分别冻结输入、延迟单个算子、让NPU返回错误、破坏一帧数据并阻塞通信，确认拒识与看门狗能区分数据异常和计算失效。随后检查降级动作的最大响应时间、状态保持和恢复条件，尤其要验证监控通道在CPU满载、时钟异常和电源降额时仍有执行机会。仅拔掉摄像头测试一次，覆盖不了沉默错误和共因失效。

因此，安全降级必须同时处理未知输入与执行链失效。拒识给出判断边界，看门狗守住时间边界，两者协同，边缘AI才不会把不确定性变成危险动作。