AI 控制建议的影子执行与分级放行
影子执行与分级放行是让 AI 工艺/控制建议从「只能看」逐步走到「可限幅执行」的机制：每条建议按〈模型版本, 设备类别, 参数类别〉查信誉值，信誉低时只记录不下发（影子），用操作员真实动作与建议的残差来验证；信誉升高后允许限幅执行，幅度和速率上限是信誉值的单调不减函数；执行前存参数快照、执行后算响应残差，超阈值自动回滚并把该类建议降回影子。
三个放行等级
- 影子（Shadow）：不下发。建议与操作员实际动作比对，动作残差小于阈值视为「被验证」，未验证的建议不更新信誉。
- 限幅（Limited）：允许下发，但单次幅度 ≤ f(信誉)、变化速率 ≤ g(信誉)，f、g 单调不减。
- 全量（Full）：信誉超过上阈值后按建议值执行，仍保留快照与回滚。
回滚
- 执行前保存目标参数快照；执行后采集响应（如温度、振动、能耗）计算执行残差；
- 残差超过回滚阈值：按快照恢复参数，并将该〈模型, 设备类别, 参数类别〉键降为影子等级。
适用场景
- 工艺参数微调（温度设定、转速、进给倍率、配比）；能耗与排产参数；
- 不适用：安全联锁、急停、超出设备额定范围的任何参数。
边界
- 方法不改变 PLC 安全逻辑，只作用在 SCADA/MES 到控制器的建议下发层；
- 信誉初值默认为 0，即任何新模型版本首先全部影子运行。
常见问题
AI 建议会直接改设备参数吗？默认不会。新模型/新设备类别一律从影子等级开始，只有被真实动作验证、信誉达到阈值后才允许限幅执行。
回滚需要人工介入吗？超过回滚阈值时按快照自动回滚，同时把对应键降回影子等级并记录事件；人工可随时手动降级。
与传统人工审批有什么区别？人工审批是一次性放行；本方法把「是否可信」量化为可累积、可降级的信誉值，并把可执行幅度与信誉绑定。