分离意图、规划和安全运动
多模态模型可以理解场景、把目标拆分为步骤并选择技能；底层控制器应在明确边界内执行运动，独立安全层则在越界时停止系统。这样才能在更新智能层时，不必为每次模型变化重新设计全部安全体系。
每项技能都要规定允许的物体、姿态、力、工作空间、速度和失败条件。模型的不确定输出不能直接转换成物理动作。
评估完整任务，而不是精心挑选的一次演示
测试集应覆盖已知与新物体、背景变化、遮挡、矛盾指令、人员移动、视野丢失和抓取失败。指标包括完成率、尝试次数、时间、危险接近、正确停止以及识别任务失败的能力。
还要测试长序列，因为每一步的小误差会迅速降低端到端成功率；不同机器人形态和标定之间的技能迁移应单独验证。
数据与仿真必须可追溯
对示教、遥测和合成数据记录来源、版本、授权和使用限制。仿真适合生成罕见或危险场景，但关键行为仍需在真实设备上确认。失败数据往往比完美重复更有价值，因为它能训练系统识别失败并恢复。
数据、模型、技能和测试版本之间要保持关联，使回滚成为真正可执行的工程操作。
分阶段提高自主程度
先由模型向操作员提出建议，再在确认后执行单步，然后进入受限区域，只有在证据积累后才扩大自主权。升级到人工处理的阈值应根据错误后果设置，而不是依据平均准确率。
生产就绪意味着系统知道技能边界，能够安全失败，保留完整决策轨迹，并能在不长时间中断流程的情况下恢复到上一版本。