TensorFlow Lite Micro 推理异常：怎样安全降级

边缘模型失败并不总是崩溃：输入传感器可能失效，模型初始化可能失败，推理结果也可能不可信。降级设计的目标是让设备继续以已知、可解释的方式工作。

先区分失败类型

模型加载或算子注册失败属于启动期问题，应禁止进入推理模式并上报版本信息；输入范围异常可使用缺失值策略或跳过本次推理；输出置信度不足则应返回“不确定”，不能硬转成控制指令。

降级动作要由业务决定

例如告警辅助模型不可用时，可以保持传统阈值规则；视觉分类不可用时，可以请求人工确认；涉及执行器时，默认动作必须由安全要求定义。不要让模型异常直接触发无限重启或反复初始化。

为每种降级记录计数器和原因码，并测试从失败到恢复的完整过程。模型恢复后也应避免瞬间恢复高频推理，先用有限次数验证输入与输出是否正常。