人形机器人完成"去客厅把水杯拿过来"，涉及两类完全不同的计算：理解指令、拆解任务、识别环境语义，需要大模型的泛化能力；关节实时控制、平衡保持、避障微调，要求毫秒级确定性。前者适合云端（算力强但有网络延迟），后者必须端侧（实时但算力有限）。于是"大小脑分层"成了主流架构：云端大模型做任务规划当"大脑"，机器人端侧做实时执行当"小脑"。

一、分层边界：什么放云端，什么放端侧

划分原则：按"实时性要求"和"智能密度"两个维度切。云端大脑负责自然语言理解、任务分解、环境语义理解、异常重规划——计算量大、对延迟相对不敏感、需要大模型的知识和推理能力。

端侧小脑负责步态控制、平衡控制、关节伺服、局部避障、抓取的力控微调。特点是高频（数百 Hz 到 1kHz）、硬实时、算错一次就摔倒，通常跑传统控制算法、强化学习策略网络或轻量模型，确定性强、耗时可预测。

两者用"技能原语"衔接：云端下发带参数的动作模板，端侧展开成关节轨迹并实时执行。原语粒度是关键：太粗灵活性不够，太细通信频繁。

二、层间通信：协议与数据设计

大小脑之间的通信有三类数据，要分开通道：任务指令下行（频率低但要求可靠送达，丢了任务就卡住）、状态上行（位置、电量、执行进度、异常事件，用于监控和重规划）、调试日志（全量传感器数据回传，数据量大但对实时性无要求）。

工程选型：指令通道用可靠的消息队列或 RPC 保证送达和顺序；状态上报用轻量发布订阅；大数据回传走批量上传、错峰进行。所有通道都要有版本号和心跳。数据格式用可扩展的 schema 并做前后兼容：云端升级新增字段时，老端侧能忽略未知字段继续工作。

三、断网降级：网络不可靠是默认假设

设计时必须假设网络会断、会抖、会限速，降级策略分级设计。短暂抖动：端侧维护"指令缓冲"，云端下发一小段动作序列，抖动几百毫秒时端侧按缓冲继续执行。断网秒级以上：端侧切换本地自主模式，当前任务就地安全收尾，不再接受新任务，本地语义兜底至少能理解"停下"、"原地待命"。长时间断线：进入安全待机，保存现场等待恢复或人工接管，同时本地告警。

降级逻辑必须在端侧独立实现，不能依赖云端"通知"我断网了——断网时通知根本发不下来。端侧靠心跳超时自己判断。

四、延迟分配：端到端的时间账

从用户下指令到机器人开始动，延迟分段看：云端语义理解百毫秒到秒级；任务规划（大模型推理）几百毫秒到几秒；指令下发受网络 RTT 影响，局域网内一般几毫秒到几十毫秒量级；端侧原语展开毫秒到几十毫秒量级；关节执行毫秒级硬实时。

分配原则：把不确定性隔离在云端。云端延迟可以波动，但云端到端侧的接口要承诺时间上限：规划结果必须在约定时间内下发，超时端侧就按降级策略行动。端侧内部则是硬实时域，逐项销延迟预算账。

边执行边规划（流水线并行）可以掩盖延迟：机器人执行当前步骤时云端已在规划下一步，网络延迟就被执行时间掩盖了。这对任务分解的粒度有要求：步骤太碎规划跟不上执行，太粗灵活性下降。

五、工程落地的几个建议

第一，先定义好大小脑的接口契约再各自开发。第二，云端和端侧可独立测试。第三，全链路可观测：从用户指令到关节动作，每个环节耗时打点。第四，安全是端侧的最终责任：碰撞检测、力矩限幅、急停逻辑必须独立生效。

大小脑分层是在"智能"和"实时"之间做权衡。分得好，云端的大模型能力可以持续升级，端侧保持稳定可靠。检验标准：云端升级不需要端侧配合，端侧在断网时依然安全。