X4.06.1Atomic control transfer设计研究
控制权转移需要明确的时刻而非模糊的渐变过程
别名: 控制权提交点 · 原子移交 · control handoff commit
概念解释
原子控制权转移（atomic control transfer）要求人机之间的主控制权在一个可识别、可记录的提交点改变。转移可以有准备阶段，但执行阶段不能让双方在一段时间内都以为对方负责，或都向同一执行器发出主命令。
机制
控制权具有离散的权限后果：谁的输入生效、谁监控约束、谁能取消。模糊渐变把这些后果拆散，使显示、控制器和人的心智模型在不同时刻更新，产生控制空档或双重输入。原子提交用同一事件同步权限、状态显示与命令路由，失败则回到已知状态。
怎么研究
可比较原子、时间渐变和不明示转移，在通信延迟、分心和高负荷下测量模式判断、冲突命令、无人控制时长、恢复和责任归因。需同步记录双方输入、权限状态与执行输出，并注入部分组件更新失败。
边界
共享控制中的权重变化不一定是主控制权转移，但当否决权或监控义务改变时仍需明确。紧急保护可越过普通协商立即夺取执行权，却必须外显且保留记录。明确时刻不代表无需准备和情境重建。
怎么落地
- 定义请求、确认、提交、完成四个事件，只有提交事件改变命令路由与责任状态。
- 用同一事务更新控制器、显示和日志；任一关键确认失败则保持原控制者。
- 注入延迟与部分更新故障，核对是否出现双重命令、控制空档或显示与后端不一致。