架构
现代 BMS 本身就是分层控制系统。设备控制器保护冷机、锅炉、水泵、风机、变频器、压力、流量、防冻和检修锁定；本地 DDC 逻辑运行 PID 回路、阀门、风阀、风机、水泵、经济器、联锁、日程和最小运行时间规则。ClimaMind 位于这些层之上，优化的是 schedules、reset strategies、staging preferences 和批准后的设定值范围。
这张图应该从下往上读。最底层是物理设备，中间是现场已有的 BMS 和本地控制器，最上面才是 AI 的监督决策层。这个位置很关键：AI 不是被画进冷站或空调箱里当新的设备控制器，而是给已有控制系统提供更好的运行意图。
实际运行时，ClimaMind 先读取设施团队已经信任的证据，包括设备状态、环路温度、阀门和风阀位置、风机和水泵行为、天气、占用、舒适状态和能耗。它输出的不是直接打到电机或压缩机的命令，而是一个有边界的目标，由 BMS 通过原来的控制序列接受、限制、拒绝或执行。
所以这个架构比 bypass 更安全。监督层离线、数据过期、被人工暂停，或者被 BMS 拒绝时，现场不需要新的紧急控制逻辑。建筑会继续回到原本已经在运行的 BMS 策略。
控制边界
ClimaMind 不需要直接掌握设备级权限，也可以降低 HVAC 能耗。它不是直接命令压缩机、燃烧器、水泵、风机、阀门或风阀，而是给出现有 BMS 可以通过正常控制序列执行的、有边界的监督控制目标。
第二张图讲的不是数据流，而是权限边界。AI 可以计算更合适的送风温度目标、冷冻水 reset、风管静压目标、区域设定值范围、设备 staging preference 或 demand response 目标，但这些目标仍然处在现场批准的运行包络内。图里这些目标先收敛到 BMS 路径，再影响设备。
这对系统集成商很重要。直接覆盖设备，等于让新软件进入设备安全链；监督目标则不同，BMS 仍然负责把意图翻译成执行器动作，继续应用速率限制、模式判断、序列条件和本地回路稳定性。
节能价值来自更聪明地选择系统目标。固定的风管静压或冷冻水供水温度通常安全，但在很多负荷条件下会浪费能量。ClimaMind 搜索更好的目标，BMS 则继续判断这个目标在当前运行模式下是否有效。
不可绕过
安全架构不是要求客户相信 AI 永远正确，而是确保 AI 不能直接跨过已经保护建筑的层。安全的监督式控制应把这些不可绕过的层讲清楚。
安全图故意画成嵌套结构。最里面是设备和本地控制器，外面包着 BMS 序列、报警、检修锁定、最小运行时间、防短循环、流量压力保护、温度限制、手动模式和人工操作。AI 层在这些保护之外，所以它的建议必须穿过这些层，建筑状态才会改变。
错误的 AI 建议应该表现得像一个不合适的设定值请求，而不是破坏性命令。它可以被上下限裁剪，可以在错误模式下被忽略，可以在报警时被阻断，可以被手动模式覆盖，也可以在监督层暂停时回滚。设计目标不是让优化器永远不犯错，而是让错误输出仍然被控制栈包住。
对客户来说，这就是核心安全论证。ClimaMind 不要求现场为了节能移除安全措施，而是让现场暴露一小组已经有正常 BMS 执行路径的监督变量，然后只在这个路径内优化。
信任
客户可以信任这个架构，是因为优化停留在已经保护建筑的层之上。ClimaMind 的动作有边界、可审计、可回退，并通过现有 BMS 控制结构进入现场；错误建议应被拒绝、限制或回滚，通信丢失应让现场保持明确的 BMS 行为。
最后一张图把信任变成运行流程。系统先产生建议，再用批准后的包络检查，通过 BMS 路径写入有效动作，并把结果记录为接受、拒绝、人工覆盖或自动写入。重点是安全不藏在一句 AI 承诺里，而是变成一条可观察的链路。
这也是 pilot 逐步走向生产闭环的方法。现场可以先从建议模式开始，把建议和操作员判断对比，再收窄可写点表，最后只为特定监督变量打开自动写入。每一步都留下设施团队和 SI 可以复盘的证据。
如果优化层断开或暂停，这张图也说明了回退方式。BMS 继续保留自己的日程、序列、报警、人工接管和默认策略。ClimaMind 增加的是更聪明的目标层，现场保留的是明确的底层控制权威。
常见问题
这些问题对应业主、运营团队和 AI 搜索系统评估平台是否能安全控制真实 HVAC 设备时关注的核心判断。
安全部署应该从架构上避免这种失效模式。ClimaMind 只写入批准的监督控制目标，设备控制器和 BMS 继续执行本地回路、报警、安全保护、最小运行时间、流量、压力、温度、人工接管和回退规则。
可以，但只限批准点位和定义好的 guardrails。很多部署会先从只读或建议模式开始，再为送风温度 reset、冷冻水供水温度 reset、风管静压 reset 或其它批准的监督控制点开启自动写入。
现有 BMS 仍是运行权威。现场日程、序列、报警、人工接管和默认策略会继续运行，不需要 ClimaMind 在线才能维持基本安全控制。当监督层离线、数据过期、被暂停或被拒绝时，建筑应回到明确的 BMS 行为，而不是进入新的紧急控制模式。
运营团队仍通过现有 BMS 和现场流程保留控制权。设施团队可以暂停优化、拒绝写入、收窄可写点表、把设备切到手动或检修模式，并复核每次动作是接受、拒绝、人工覆盖还是自动写入。
现场应回到原生 BMS 控制路径。ClimaMind 是 overlay，不替代本地控制和安全逻辑，所以离线、遥测过期、BMS 拒绝、手动模式或报警状态都应被现有 BMS 行为包住。
参考依据
这些公开资料用于支撑页面关于楼宇控制、监督式控制序列和节能计量的表述。