第七天，月背工坊的三号试验坪摆出了一座火星轨道维护舱的等比例模型。
模型只有外壳、接口和会真实受力的活动构件，内部装的是地月工业已经能够稳定生产的控制器与传感器。
一台双臂设备停在舱门外，左臂抓住扶手，右臂对准维护盖板上的四枚锁紧件。
江临坐在地下基地控制席前，屏幕右上角挂着二十二分钟倒计时。
这是火星任务架构的第一场否决试验。
他下发第一条指令。
【右臂前移十二厘米，接触一号锁紧件。】
任务没有立刻出现在月背试验设备上。
经过人为加入的单向时延以后，设备才按照指令前移。
接触数据再经过二十二分钟返回地球。
江临在回传画面里看见工具已经抵住锁紧件，力矩也进入允许窗口。
如果沿用近地维护最常见的逐步遥操作流程，下一条指令此时才会从地球出发。
四十四分钟后，右臂才能继续转动。
松开一枚锁紧件需要七个离散动作。
一只盖板需要处理四枚锁紧件、两处防漂连接和一条内部线缆。
即使现场没有任何变化，单靠地球一条条发指令，打开它也要几天。
屏幕左侧还在滚动另外一组数据。
维护舱每九十多分钟经过一次轨道热环境变化，设备的照明、通信和外部温度都在改变。
地球看到“可以继续”的时候，火星端的太阳入射角可能已经越过本步操作限制。
一条在发出时正确的指令，抵达时未必仍然正确。
演示还没走完，江临便将逐步遥操作分支从火星任务树里整体冻结。
【禁止将地球单步指令作为连续作业条件。】
【地球端仅发送目标、资源上限、许可边界与任务包版本。】
【火星端在本地完成状态识别、动作选择、检查点确认与受控中止。】
【所有不可逆动作继续保留双重授权；授权必须在动作窗口开启前送达并本地锁定。】
四条约束写入以后，任务墙上的控制关系发生变化。
地球不再连着机械臂的每一个关节。
它连的是一只完整的任务信封。
信封里规定要打开哪块盖板，允许使用多少电量、时间和工具寿命，哪些状态必须停止，哪些证据必须在任务结束后返回。
真正抵达火星端以后，本地任务系统先核对环境，再从已经验证的动作树里选择路径。
它不能临时发明陌生工具，也不能绕过材料和结构边界。
允许它自己决定的是已知安全分支之间的顺序，而不是越过人写下的边界。
mpS-Agent a按照新约束拆分第一份火星任务包。
屏幕上出现四层结构。
最外层是目标与中止条件。
第二层是资源预算，包括推进剂、电量、热控余量、通信窗口和工具循环寿命。
第三层是本地动作树，每一步都绑定传感证据与可恢复检查点。
最内层才是关节轨迹和执行机构命令。
江临关闭最内层显示。
火星架构的评审不看某条轨迹有多漂亮，先看目标、资源和中止边界能否在失去地球实时帮助以后独立成立。
第二场试验在当天晚上开始。
这次地球一次性发送完整任务包。
二十二分钟以后，月背设备接收任务，核对版本、场景哈希和许可令牌。
它没有等待江临继续说话。
左臂确认扶手载荷，右臂测量四枚锁紧件的实际位置。
模型在此前的热循环中产生了不到一毫米的安装偏差，预先规划的直线路径不能直接使用。
本地系统从允许分支里切换到接触搜索。
工具以低速靠近，触碰盖板边缘后退回两毫米，再根据接触面修正工具轴线。
第一枚锁紧件正常退出。
第二枚转到一半时，工具电流高于同批件中位数。
动作没有继续加力。
设备停在允许保持点，左臂维持结构约束，右臂回退半圈，执行一次小幅正反转与温度复核。
锁紧件周围没有出现结构变形，工具电流在第二次进入时恢复到许可区间。
任务继续。
这些动作完成的时候，地球端收到的仍是设备刚刚开始接触第一枚锁紧件的旧画面。
控制台保持静默。
江临只看着延迟二十二分钟的证据流逐步返回。
轨迹、接触力、工具电流、环境状态和每一次分支选择都带着本地时间戳。
第三枚锁紧件退出以后，任务进入受控暂停。
试验坪提前布置的一组遮光板转到指定角度，让模型进入一段不适合开盖的热环境。
本地系统判断剩余时间不足以完成开盖与内部固定，主动放弃第四枚锁紧件。
它把前三枚重新锁回规定预紧力，将工具退回收纳位，设备转入热等待姿态。
地球端直到二十二分钟后才看到它决定暂停。
如果逐步遥控方案仍在，江临此时发出的“停止开盖”还要再飞二十二分钟。
抵达的时候，盖板可能已经打开。
第一轮热窗口过去，试验坪照明恢复。
本地系统重新核对锁紧件状态，从检查点继续任务。
盖板被打开，防漂绳先固定到舱体，右臂才释放最后一处结构约束。
内部线缆连接器的实际型号与任务包一致，拔出力却因低温高于常温基线。
系统没有把“型号正确”当成继续动作的充分条件。
它按任务包规定提高局部加热功率，等待连接器温度进入许可区间，再完成解锁。
从任务包抵达月背到设备关上盖板，总用时三小时十一分钟。
地球只发过最初那一只任务信封。
最后一段证据回传结束时，江临面前的二十二分钟倒计时第九次归零。
他打开审计页。
四百八十七项本地判断中，四百七十九项沿预定分支直接执行，八项进入受控等待或回退，没有一项越过资源和结构边界。
工具消耗、电量、热控余量都保留净剩余。
最重要的一行不是“任务成功”。
那一行只列了两项数据。
【地球端控制输入：1次。】
【火星端连续任务依赖：0次。】
江临将这份架构送进更长的封闭验证。
接下来的三个月，月背工坊把这只盖板换成六类火星现场。
轨道捕获、光学搜索、慢滚目标、外部维护、低速认证和接口桥接轮流进入试验坪，通信时延从三分钟拉到二十二分钟，中间还夹着断线、重包和迟到状态。
设备没有再向地球讨要一条关节指令。
真正把方案拦住的，是两套执行环境对“等待”算得不一样。
同一只任务包跑到第六十七个场景，一边显示还剩十九分钟，另一边只剩七分钟。
动作轨迹几乎一致，资源页却已经分叉。
江临没有在两套结果里挑一个更保守的数字。
他把整段事件倒回去，最后找到热控等待的记账差异。
一套从遮光板转动时开始扣任务时间，另一套只扣机械臂实际动作。
在火星，十二分钟足以让下一只窗口从可执行变成必须放弃。
江临统一时间账户，把等待、保持、回退和机械动作都挂到同一条远端时钟上。
六十七个场景全部重跑。
这一次，两套系统在每个检查点给出相同的资源余量，先前被错误放宽的三个动作也都停在原位。
半年评审那天，主控制席前没有遥操作杆。
墙上只留任务信封、远端事件时间和返回证据三块区域。
江临在总体方案首页签下A0版。
月背试验坪随即收到下一阶段任务。
那座维护舱模型不再只负责演示开盖。
Lc-04会按同一尺寸制造两套全长舱段，让机器人在真实结构上处理线缆、泵组、计算抽屉和外部通信单元。
结构组把第一版设备清单投到墙上时，主发动机只占了一行。
最显眼的是一条从舱内贯穿到舱外的维护通道。
江临走到全尺寸布置图前，用手沿通道划到热控泵组。
“这里再宽八厘米。”
结构工程设备随即把相邻线缆架向外移，维护臂的包络从泵组正面一直伸到背后的隔离接口。
第二天，全尺寸舱段的第一圈框架在Lc-04铺开。
它还没有蒙外壳，线缆架、泵组和维护导轨都裸露在灯下。
一台长臂设备沿通道爬到泵组前，工具从正面进入，另一只相机从侧后方看见隔离接口。
原设计里那八厘米看起来像多余空隙。
机械臂真正转到背面以后，腕部与线缆架之间只剩三厘米余量。
结构设备把最外侧一只固定夹再向上移，江临让任务模型保留这次实测包络，没有继续把通道削窄换质量。
维护臂退出时，工具没有擦到一根线。
重载平台随后把下一段承力框架送入定位面。
那条通道第一次不只存在于图纸上。
火星方向仍没有一条能实时操纵的控制杆。
它先有了一艘在几亿公里外也能伸手摸到自己伤口的船。
全尺寸舱段被推入长期试验区时，那只泵组仍在维护臂视野中央。
导轨锁闭，舱门合拢。
江临拿起检修臂覆盖图，沿着舱壁一寸寸看过去。
地球的指令还在二十二分钟外，这艘船究竟给自己留了多少能真正伸进去的地方，答案只能在图上和舱内一处处找。