C9.08.4Graceful degradation of fused sensing设计研究
某一传感器失效时融合系统应能降级而非整体失灵
别名: 融合降级 · 传感器失效 · 部分可用
概念解释
融合把多路绑成一个判断之后，常见失败是其中一路脱落、电量耗尽或权限被关，整个功能跟着黑掉。降级（graceful degradation）要求系统在子集上继续给出能力减弱、仍然诚实的输出，而不是等到全齐才工作、缺一路就静默或乱猜。
机制
许多融合图在训练时假设观测向量完整，推理时用均值填充缺失，等于把「传感器死了」当成「测到了平均值」。正确做法是一张传感器可用性的离散状态，每一种缺失模式有自己的似然和自己的输出契约：仅 IMU 时只报活动类别、不报心率；皮电没了就停止压力自适应。卡尔曼可以在观测矩阵里拿掉失效行，协方差会变大，这个变大必须传到界面，变成「不确定」而不是继续亮绿灯。降级也是产品拓扑：哪些功能允许在子集上活，哪些必须停，要在设计时列全，不能靠异常处理碰运气。
怎么研究
按组合关闭传感器（2^N 在 N 小时可穷举），测每一种模式下的准确率、是否仍输出、输出是否带不确定标记。自变量：缺失处理（丢弃 / 填均值 / 模式专用模型）。因变量：危险误报（失效时仍高置信）、功能存活率、用户是否理解当前能力。现场还要包括权限撤销和充电中断，不只是实验室拔线。
边界
有的安全功能在缺关键一路时必须拒绝工作（不能降级到「大概没跌倒」）。降级路径本身会成为攻击面：对手关掉高可靠一路，迫使系统走噪声更大的子集。训练时从未见过的缺失模式，不能靠通用插值保证安全。向用户说明当前子集比维持虚假完整更重要，但说明过频会变成新的打扰。
怎么落地
- 为每个融合功能写一张缺失模式表：停、降级到何输出、如何提示。
- 失效时扩大置信区间或关掉依赖该路的自适应，禁止均值填充后照常触发。
- 在界面用稳定的「部分传感」状态，而不是功能时有时无却不解释。
- 验证：运行中拔掉或关掉每一路，确认没有高后果动作在失效模式下仍以高置信执行，且用户能看见能力已降。