工业面板操作不是“抓个旋钮转一下”这么简单。机械臂要遵守分散在异构手册里的操作顺序、安全规则和设备状态约束；而大模型生成的计划，往往在语义上像样，却在步骤依赖和联锁条件上出错。MaCoPlanner 的思路是：先把手册编译成机器可用的任务知识，再让候选计划过两道形式化检查，最后才允许动作。
从手册到类型化中间表示
编译不是简单切块检索。系统把手册集合映射到四类结构：过程骨架 T、安全/合规条款 S、参数规格 P、结构关系图 G，并为每个编译项保留来源映射——指向原手册和文本片段，保证可追溯。
过程骨架把每道工序拆成步骤节点：动作类型、可在当前系统状态上判定的前置谓词、带参数的动作原语、可由观察验证的验收条件、异常触发的守卫条件，以及重试策略。安全条款被编译成“触发条件—禁止动作”约束，参数规格统一单位、允许区间、公差和基于观察的提取函数，结构图则编码控件、步骤、参数和状态谓词之间的空间邻接、归属与依赖。
离线编译分四步：手册切块与条款抽取、LLM 辅助的知识类型分类、模板化归一、跨条目链接。分类和规则转译由模型辅助，因此编译误差仍可能存在；形式验证的有效性，最终取决于手册到中间表示的保真度。
按类型检索，按状态取证据
在线阶段不再从长文本里一次性捞上下文。系统把用户指令和设备记忆状态分解成四类检索需求：过程、安全、参数、关系，分别查类型化索引；再做证据门控，只保留与当前状态适用的条款。这样既减少异构内容互相干扰，也让关键约束更容易被规划器看到。
执行前的两道检查与定向修复
候选计划是一串参数化动作原语。执行前先做符号推演：LTL 公式从全局检查时序与顺序，安全有限状态机从局部检查状态转移。发现违规时，系统把违规定位到具体约束，作为定向反馈交回视觉语言模型重规划；两道检查都通过的计划才成为已验证的符号任务序列；在细化预算内仍无法满足的，直接拒绝，不向机器人下发动作。
这种 fail-closed 策略有代价：论文中进入规划循环的 357 次运行，有 26.3% 被拒绝。它换来的是更低的违规率，而不是“每个失败都能修好”的承诺。
符号落地与设备记忆
验证过的符号动作还要落到物理控件。系统用 SAM2 做像素分割、DINO-X 做开放词表检测、OCR 读面板标签，结合深度重建把候选控件位姿映射到机器人基座标系；再用类别一致性、OCR/别名重叠和空间关系一致性排序候选，匹配分数低于 0.65 的保留，只有平票或语义歧义才调用视觉语言模型。
对旋钮，用柱面/圆盘拟合估计中心、半径和高度；对按钮，用局部平面/盒拟合估计按压行程和触发阈值。设备记忆以结构化槽位保存模式、关键参数、控件状态和历史验证结果，每次动作后按观察和步骤完成条件更新，作为下一轮检索与检查的状态输入。
评测结果
实验覆盖四类手册：电机驱动控制器模拟器、发电机控制系统、激光控制器和发动机控制器；350 个标注单元用于审计编译保真度，400 个检索任务，480 个规划任务（80 个一级、200 个二级、200 个三级），以及 25 次长时程执行。
编译完整度 97.14%，语义一致性 97.32%，安全条款完整度 100%。完整系统的一级/二级/三级任务成功率分别为 93.5%、84.4%、43.2%，独立安全评审的违规率 2.7%；直接塞原始手册的基线为 88.2%、62.8%、25.9%，违规率 11.6%。任务越复杂，类型化检索和形式验证的收益越大。
物理平台是带工业电机驱动控制器面板模拟器的机械臂，配 RealSense D435i 和 ROS 2，未接工业负载；因此它验证的是规划—验证—接地—反馈链路，而非负载动力学。规划器能力仍有影响：GPT-5 点估计最高，GPT-4o 接近，Gemma 3 27B 在复杂任务上落后。
结论
这套方法最值得借鉴的不是某个模型，而是三个顺序：先把手册变成可检索、可追溯的类型化知识；再在执行前用形式化规则检查并定向修复；最后才做视觉接地和物理动作。对“错了就撞坏设备”的场景，验证前移和 fail-closed 比生成流畅更重要。
资料来源：MaCoPlanner: LLM-Assisted Manual-Compiled Task Planning with Proactive Safety Verification for Robotic Industrial Panel Operation — arXiv（2026）。本文为技术要点整理/编译，非原文全文。