ROS 2 生命週期節點使功能準備狀態可見，而非將執行中的程式等同於可用的機器人功能。託管狀態機分離資源設定、非活動準備狀態、主動處理和終端故障。它還提供標準的過渡服務，由主管協調。
生命週期狀態是軟體證據，而非物理安全狀態。攝影機在盲區時可以處於啟用狀態，非啟用致動器節點可以保持驅動器通電，除非其實現明確禁止輸出。每個轉換都需要先決條件、超時行為以及與機器人執行狀態的連線。
本指南應與 物理 AI 安全層指南 及 ros2_control 硬體介面指南結合使用。測試失敗的過渡方式與正常啟動序列一樣有意識。
將過程健康與功能準備分離
程式可能存在，能夠回答圖發現，但仍缺乏校正的感測器、裝置通訊或有效的設定。託管狀態允許系統報告這種區分。操作員和監督者應分別顯示程式、生命週期、硬體和應用狀態，而不是將它們壓縮成一個綠色指示器。
定義每個節點在未設定、非活躍和活躍狀態下的承諾內容。包括髮布、訂閱、服務、裝置輸出和保留資料。消費者應知道非活躍釋出者是否會沉默、釋出無效標記或持有最後值。
持續使用四個主要狀態
ROS 2 託管節點設計定義了未設定、非活躍、活躍和最終確定的主狀態，中間過渡狀態用於設定、啟用、停用、清理、關閉和錯誤處理。外部管理通常請求轉換並觀察結果。
ROS 2 託管節點設計描述了預期語意。實現在非活躍狀態下繼續正常處理或隱藏失敗的轉移時，不應自稱生命週期合規。記錄圍繞標準狀態機新增的任何行為。
| 州際 | 資源 | 函式處理 | 機器人需求 |
|---|---|---|---|
| 未設定 | 極簡 | 不 | 輸出被抑制 |
| 已停用 | 準備 | 管理工作停止 | 沒有危險的指令 |
| 活躍 | 營運情況 | 啟用 | 所有啟用門均有效 |
| 最終定稿 | 被扣留檢閱 | 不 | 物理安全狀態得以儲存 |
| 錯誤處理 | 恢復依賴 | 限制 | 有界故障反應 |
設定資源而無需命令運動
設定可以分配記憶體、建立託管釋出者和訂閱、載入參數、開啟裝置並驗證靜態設定。當需要長期資源處於非活躍和啟用狀態時，應屬於此處。當無法建立準備狀態時，回呼應返回失敗。
開啟驅動器或感測器本身可能會改變物理行為。在設定前指定啟用線路、制動、看門狗和初始命令。如果設定部分成功，則釋放或隔離每個獲得的資源，以避免重試繼承未知裝置狀態。
讓非啟用成為可驗證的操作狀態
非活躍意味著已準備好但未執行正常的管理處理。它對檢查、參數變更和依賴協調非常有用。對於產生運動的節點，請驗證定時器、釋出者或硬體路徑無法繼續傳送上一個活躍期的危險輸出。
測試設定和停用的輸入。注意佇列和永續性，因為訊息可能在回呼未處理時積累。啟用後期開始時，拒絕超過應用有效性限制的資料，而不是像目前資料一樣消耗積壓。
目前前提下的門啟用
啟用應簡短且確定性，因為重初始化應納入設定。在請求之前，主管應確認所需節點、有效校正、同步時間、目前感測器資料、硬體模式及適用的安全條件。每個門需要所有者和到期日。
啟用成功應意味著節點能夠滿足其申報的服務，而不僅僅是 on_activate 返回成功。釋出諸如首次有效樣本、已建立裝置模式或控制器宣告等證據。在該證據目前之前阻止下游啟用。
| 過渡 | 前提條件 | 暫停動作 | 證據 |
|---|---|---|---|
| 設定 | 參數與裝置可達範圍 | 迴路失效 | 資源清單 |
| 啟動 | 依賴關係與有效資料 | 保持非活躍狀態 | 首次有效輸出 |
| 停用 | 停止請求已接受 | 升級安全反應 | 輸出受抑制 |
| 清理工作 | 可釋放資源 | 錯誤處理應運而生 | 無保留所有權 |
| 恢復 | 故障原因已消除 | Bound 重試 | 新鮮準備檢查 |
區分停用與清理
停用會逆轉僅啟用的行為，並將已準備的節點恢復為非活躍狀態。清理時釋放已設定的資源，並恢復為未設定狀態。將兩者都視為通用停止操作，使重啟變慢且所有權可能模糊。
測量在請求停用後輸出停止所需的時間。如果節點沒有反應，監督服務呼叫不能是唯一的保護機制。獨立的硬體或系統級超時處理必須強制執行所需的物理反應。
用 on_error 作為有界決策點
錯誤處理應清理足夠的狀態以到達已知目的地或承認恢復失敗。無條件成功後設定和啟用可能形成無限重啟迴圈，反覆啟用故障硬體或淹沒網路。
對短暫性、持續性和威脅完整性的故障進行分類。為每個類別設定重試次數、延遲、退回和升級。將首次故障和恢復嘗試儲存在紀錄中。當證據無法證明原因已清除時，要求人工或更高階別的重置。
讓主管協調而不替代節點責任
生命週期管理器知道期望的順序並可以來電轉駁，但每個節點仍需負責準確的準備、安全的回呼和本地資源清理。如果管理器消失，除非系統明確監控該損失，否則節點不會自動變得物理安全。
定義主管心跳、所有權選擇和重啟行為。避免兩個管理者發出衝突的轉換。如果管理通訊丟失，根據風險評估選擇節點是保留、停用還是進入另一個應用狀態。
從依賴圖構建啟動
啟動順序應遵循準備依賴關係，而非固定睡眠。時間同步可能先於感測器；校正感測器可能先於狀態估計；有效狀態可能先於規劃；聲稱的硬體和安全模式可先於控制啟用。
將每條邊表示為帶有超時的可觀測條件。並行化獨立分支，但當上遊承諾消失時，依賴節點按反序回復。當源節點失效時保持活躍狀態，應根據合約釋出降級狀態或停用。
測試瞬態、持續和級聯故障
注入延遲感測器、不可用裝置、無效參數、異常、轉換失敗、主管宕機以及已啟用依賴丟失。驗證生命週期狀態、物理輸出、診斷身份、重試限制以及恢復或升級所需的時間。
級聯測試很重要，因為一個節點的停用可能會阻止另一個節點的回呼或留下佇列命令。在 CPU 和網路負載下執行恢復。在空閒工作台上執行的序列在生產計算機上可能有不同的超時方式。
記錄正常和失敗的轉換相等
紀錄轉換請求、請求者、前一狀態、開始時間、完成時間、結果、原因及結果物理模式。將這些事件與硬體和應用紀錄關聯到一個時鐘上。沒有定時的狀態標籤無法解釋延遲停止或部分重啟。
跟蹤過渡延遲和失敗頻率，但不透過削弱先決條件來最佳化成功率。最重要的驗收標準是，當所需證據缺失或陳舊時，系統絕不會處於活躍狀態。
生命週期恢復合約版本
將節點版本、參數、依賴圖、過渡策略、超時和恢復限制一起儲存。在裝置、裝置 QoS、致動器佈局或啟動編排發生變化後，重新執行生命週期測試，因為這些都會改變過渡時機。
使用包含實體輸出的驗收清單，而不僅僅是 ROS 服務反應。
評估“ROS 2 機器人啟動與恢復生命週期節點”時，還應儲存模型版本、機器人設定、校正檔案、測試日期和全部試驗記錄。
只有把這些持續投入與單位成功任務的價值比較，才能判斷方案是否適合擴大。
上線後仍要持續檢查分佈變化、感測器漂移、機械磨損和人工接管原因。
- 定義每個主要狀態下的行為。
- 門啟用，結合目前可觀測的證據。
- 束縛重試並保留第一個缺陷。
- 測試管理器丟失和級聯依賴關係。
- 測量每一次過渡中的物理輸出。
常見問題
生命週期節點會自動讓機器人安全嗎？
不。它們暴露軟體狀態和轉換。物理安全需要硬體、控制和應用措施分開。
非活躍和停止程式是一樣的嗎？
不行。在被管理的功能性處理被禁用時，程式和設定的資源可以保持存在。
每個故障都應該觸發清理和設定嗎？
不。恢復取決於故障類別、資源完整性以及是否能證明原因被清除。
如何啟用多個節點？
使用可觀察的依賴門，並在下游功能之前啟用上游準備狀態，而不僅僅是固定延遲。
如果生命週期管理器失敗會發生什麼？
除非架構監控管理器丟失並定義暫停、停用或安全反應，否則不會自動處理。
生命週期與物理安全邊界
生命週期狀態不是安全認證或硬體保證。將過渡與測量到的裝置行為及適合機器人應用的獨立保障措施相結合。