5.3 鲁棒性与稳定性

5.3 鲁棒性与稳定性

本节摘要：模型再怎么保鲜也有缺口，鲁棒性设计为认知缺口上保险：用增益裕度与相位裕度量化安全边界，按最恶劣工况验证，用泄漏、限幅、失配检测组成保护链。本节给出裕度的量化方法、保护链的完整结构，并复盘一次温度漂移引发的失稳事故。

前两节把模型建好、保鲜了，这一节承认一个不愉快的事实：无论怎么做，模型总有不准的时候——用户戴着耳机打篮球，路径在秒级尺度剧变，任何刷新机制都追不上。鲁棒性设计回答的问题是：认知失准的瞬间，系统如何保证不啸叫、不炸响、不失控。它是 ANC 从演示样机走向合格产品的最后一道工序。

裕度：给不确定性上保险

鲁棒性的语言是经典控制论的裕度语言。增益裕度：环路相位滞后达到一百八十度的频率处，环路增益还能承受多少倍的上升才失稳，工程要求六分贝以上（两倍余量）。相位裕度：环路增益降回一的频率处，相位滞后离一百八十度还差多少度，工程要求四十五度以上。对 ANC 系统，这两条裕度的开销者是次级路径的不确定性——模型每多一分失配，实际环路就偏离设计环路一分，裕度就是用来吸收这份偏离的。

裕度设计的实操流程是"按族验证"。以耳机为例：从 5.1 节的档位族数据库里取全部佩戴档的路径实测数据，逐档画环路伯德图、算裕度，要求最恶劣档（通常是大泄漏档）仍然满足双裕度指标。这意味着正常档位的降噪深度被故意压低了一截——深度与稳健的这笔交易没有免费解，行业默认交付"最恶劣档不振、正常档深度让步"的保守解。激进解（按正常档标定、靠在线建模救恶劣档）在高端产品里存在，但它把系统安全押在在线机制的无故障率上，风险预算完全不同。

图：裕度与失配的保险模型

保护链：四道防线的分工

裕度管的是慢漂移与已知档位，保护链管的是裕度覆盖不到的意外。完整的保护链有四道，各司其职。

第一道：权值泄漏。 3.3 节介绍过的泄漏因子，在鲁棒性语境下的价值是防止权值在失配期间积累到危险规模——模型失配时权值会被误差信号往错误方向推，泄漏让错误持仓缓慢出清，为系统争取发现与纠正的时间。泄漏系数的量级取零点九九九至零点九九九九，太小（收费过高）伤降噪深度，太大形同虚设。

第二道：输出限幅。 把送进功放的信号幅度钳在执行器线性区内。它防的是失配与饱和的连环事故：环路失配导致残余增大、控制器加大输出、输出进入执行器非线性区产生谐波、谐波再进误差麦克风被判为"新噪声"继续加大输出——正反馈链条一旦闭合就是一次可闻的爆音。限幅器位置要在自适应环路之内而非之外，让算法"知道"自己被限幅，否则权值会持续推一堵墙。

第三道：失配检测。 持续监视误差信号与模型预测的一致性（5.2 节刷新器的置信度判据反向使用），一致性突变即触发保护动作：冻结权值更新、丢弃新鲜模型、必要时环路增益整体下调。它是"坏认知不上岗"原则的执行机构。

第四道：啸叫检测熔断。 最后一道保险：监测误差信号里单频能量的异常激增（啸叫的指纹是能量向单一频率急剧集中），确认即把环路增益压低数分贝并在数百毫秒内恢复，恢复后再犯则降档运行。它是事后熔断，动用即意味着前三道都失手了，但它决定了事故的代价是"一声短促的杂音"还是"用户摘下耳机退货"。

案例展开：一次冬季失稳事故的完整复盘

背景。某头戴耳机在北方冬季集中出现"开机后数十秒内发出短促啸叫"的投诉，实验室复现率低，问题悬置三周。

操作。复盘按保护链倒查。复现试验把工装放进低温箱模拟室外佩戴：零下十度入耳，腔体内从冷到暖的升温过程中，耳垫硬度变化导致泄漏持续变化，路径在五分钟内连续漂移，漂移方向恰好把环路增益抬过设计点。逐道防线检查：泄漏因子设置正常；限幅器正常；失配检测的判据只看了幅值残差——温漂路径的幅值变化小、相位变化大，检测器没报警；啸叫熔断工作了，把事故从"持续啸叫"压成了"短促一声"，但没解决根因。

修复。三处修改：失配检测增加相位残差判据（与刷新置信度共用同一套正交相关计算，几乎零额外算力）；温度剧变时段（开机后前五分钟）环路增益自动下调三 dB 的"暖机模式"；熔断恢复策略从"固定增益恢复"改为"阶梯试探恢复"，每次恢复后三百毫秒内再犯即多降一档。

结果。低温箱老化试验一千小时零啸叫，冬季投诉清零。三处修改全部落在检测与策略层，主环路设计与硬件未动。

解读。这次复盘的教训浓缩成一句话：失配是多维的，检测必须也是多维的。幅值残差是最直观的失配指纹，但相位失配对稳定性的杀伤力远大于幅值失配（3.2 节的九十度判据是相位判据），只看幅值的检测器在最重要的维度上失明。第二个教训是裕度的动态化：传统裕度按静态最恶劣档设计，而真实用户每天都经历"冷机到暖机"的连续漂移过程，暖机模式本质上是把裕度做成了时间的函数。事故复盘的价值不在于修一个 bug，而在于把单点故障转化为系统级的检测准则升级。

变式。车载系统的对应事故模式是车速与载荷变化：高速路噪激励增强、乘员增减改变座舱声学负载，路径漂移同样呈"事件驱动"特征。成熟车载方案把车速门、车门信号、座椅占用传感接进刷新调度与裕度调度，与本案例的暖机模式同一思想——把工况先导信号变成保护链的输入，而不是等误差信号出事再反应。

💡 关键直觉：鲁棒性设计的三层境界——第一层是标定够准（第 5.1 节），第二层是模型保鲜（第 5.2 节），第三层是承认永远会有失配，用裕度与保护链保证失配的代价可控。多数失败项目停在第一层就宣布完工。

本节要点回顾

• 双裕度：增益裕度六分贝以上、相位裕度四十五度以上，按档位族最恶劣档验证。
• 深度换稳健：保守解压低正常档深度换全部工况安全，激进解押注在线机制，风险预算不同。
• 四道防线：泄漏防慢漂、限幅防饱和正反馈、失配检测防坏认知、啸叫熔断兜底事故代价。
• 多维检测：相位失配的杀伤力大于幅值失配，检测器必须同时看两个维度。
• 动态裕度：暖机、车速、载荷等工况先导信号可以把裕度做成时间的函数。

模型这一章到此收官。下一章离开算法与模型，进入硬件世界：传感器、执行器与实时处理器如何选型与布置。