Architektúry fail-safe: Detekcia anomálií a optimalizované autonómne návratové stratégie

Prečo potrebujeme fail-safe architektúry v UAV

Bezpečnosť bezpilotných lietadiel (UAV) stojí na predpoklade, že komponenty môžu zlyhať a prostredie sa môže nečakane zmeniť. Fail-safe architektúra preto integruje mechanizmy na včasnú detekciu anomálií, izoláciu porúch a vykonanie návratových alebo degradačných stratégií, ktoré minimalizujú riziko pre ľudí, majetok a samotný systém. Cieľom je udržať riadenú a predvídateľnú trajektóriu aj v degradovanom stave a poskytnúť operátorovi i regulátorovi overiteľné dôkazy o úrovni bezpečnosti.

Základné pojmy a koncepty

• Fail-safe: pri detekcii poruchy systém prejde do stavu, ktorý je bezpečný (napr. pristátie, držanie polohy, návrat na základňu).
• Fail-operational: systém pokračuje v misii aj po poruche vďaka redundancii a rekonfigurácii (napr. TMR – triple modular redundancy).
• FDI/FDIR: Fault Detection, Isolation (and Recovery) – detekcia, lokalizácia a rekonfigurácia.
• Health monitoring: priebežné hodnotenie kondície senzorov, aktuátorov, napájania a komunikačných kanálov.
• Degradované módy: alternatívne stratégie riadenia so zníženým výkonom (napr. let bez GPS iba s IMU a barometrom).

Bezpečnostné ciele a rizikový kontext

Definovanie fail-safe architektúry vychádza z analýz FMEA (Failure Modes and Effects Analysis), FTA (Fault Tree Analysis) a HAZOP. Výstupom je matica rizík (pravdepodobnosť × následok) a zoznam Safety Objectives s požadovanou úrovňou integrity (SIL/AL). Kľúčové ciele:

1. Predchádzať stratám kontroly (loss of control) rýchlou detekciou a reakciou.
2. Oddeliť kritické a nekritické domény (partitioning) tak, aby chyba nekritickej funkcie neohrozila let.
3. Zaistiť kontrolovateľnú degradáciu – plynulý prechod do bezpečného módu.

Architektonické vzory pre bezpečné riadenie

• Supervizované riadenie (Simplex): výkonný regulátor (napr. s učením) je monitorovaný konzervatívnym baseline regulátorom; pri anomálii sa prepne na baseline.
• Dissimilar redundancy: rovnaká funkcia implementovaná odlišnými princípmi (napr. INS+GNSS vs. vizuálna odometria) znižuje riziko spoločného režimu zlyhania.
• Aktívna vs. pasívna redundancia: hot-standby letový počítač s kontinuálnou synchronizáciou vs. cold-standby s oneskoreným nábehom.
• TMR/DMR: dvojité alebo trojité kanály s hlasovaním (voting), vhodné pre kritické snímače (IMU) alebo riadiace počítače.
• Partitioning a sandboxing: časová a pamäťová izolácia subsystémov (autopilot, payload, mission apps).
• Watchdogy a heartbeat protokoly: detekcia zamrznutia vláken a komunikačných mostov (napr. MAVLink heartbeat, CAN health).
• Redundancia energie a zberníc: duálne napájanie (hlavný + záložný BEC/UPS), redundantné komunikačné kanály (CAN, UART, Ethernet).

Detekcia anomálií: signálové a modelové metódy

Úlohou detekcie je rozlíšiť medzi bežnou variabilitou a odchýlkami indikujúcimi poruchu. Dôležité parametre sú latencia detekcie, pravdepodobnosť falošného poplachu (α) a pravdepodobnosť zmeškania (β).

• Reziduálne metódy: porovnanie meraní y s predikciou modelu H x̂ z (E)KF alebo pozorovateľa. Reziduum r = y − H x̂ sa testuje (napr. chi-square) proti prahom odvodeným z kovariancií.
• Parity space/analytické redundancie: lineárna kombinácia meraní, ktorá potláča nominálnu dynamiku a zvýrazňuje poruchu.
• Štatistické SPC techniky: CUSUM, EWMA, SPRT pre zmenu rozdelenia signálu (drifty barometra, bias gyra).
• Bayesovské detektory a zmena režimu: detekcia bodu zmeny a pravdepodobnostné prepínanie módov (HMM, IMM filter).
• Učenie bez učiteľa: autoenkódery, izolované lesy a one-class SVM pre novoty v multisenzaorových dátach.
• Fyzikálne validácie: krížová konzistencia senzorov (napr. rýchlosť z GPS vs. integrácia akcelerácií; výška z barometra vs. altimeter vs. lidar).

Izolácia porúch a rekonfigurácia

Po detekcii je potrebné rýchlo určiť zdroj poruchy a rekonfigurovať slučky riadenia:

1. Hypotézové testovanie na úrovni senzorov: vypínanie/odvažovanie (re-weighting) jednotiek v senzorovej fúzii (napr. prechod na GNSS-denied profil).
2. Rekonfigurácia aktuátorov: pri zlyhaní vrtule/serva prechod na control allocation s obmedzeniami; degradácia maximálnych momentov.
3. Rekonfigurácia navigácie: fallback trasy, vyššia výška bezpečnosti, širšie koridory, spomalenie.
4. Rekonfigurácia komunikačných kanálov: automatické prepnutie na záložný link (4G→RF→sat), úprava telemetrickej frekvencie a prioritizácia správ.

Návratové a núdzové stratégie

• Return-to-Home (RTH): navigácia na vopred definovaný home bod s bezpečnostnou výškou, vyhýbanie prekážkam (online/offline mapy), riadené pristátie.
• Hold/Loiter: stabilizované krúženie alebo visenie na mieste pri strate prepojenia s GCS alebo počas diagnostiky.
• Land Now: okamžité pristátie na najbližšom bezpečnom mieste (napr. pri kritickom napätí batérie či prehriatí ESC).
• Return-to-Land (RTL) po trati: návrat po poslednom bezpečnom segmente trasy, aby sa minimalizoval vstup do neznámeho priestoru.
• Parachute/ballistic recovery: pre vyššiu MTOM alebo nad zhustenou zástavbou; vyžaduje dedikovaný spúšťací algoritmus a validáciu vetra.
• Geofencing a containment: mäkký a tvrdý plot; pri porušení mäkkého sa aktivuje varovanie/degradácia, pri tvrdom okamžité RTL/Land.
• Lost-link logika: postupnosť: hold → RTH → land s časovačmi a potvrdeniami, alebo dynamická voľba podľa paliva/energie a počasia.

Manažment energií a odhady doletu

Fail-safe rozhodovanie je limitované energiou. Potrebujeme presnú prognózu Remaining Useful Range (RUR):

• Filtrácia SOC/SOH batérie (kombinácia Coulomb counting a napäťového modelu).
• Odhad specific energy drain podľa vetra, profilu letu a hmotnosti.
• Bezpečnostné rezervy (napr. 20–30 % podľa rizika prostredia) a no-go hranice.

Špecifikácia rozhraní a dátových tokov

• Heartbeat a status: periodické rámce so stavmi OK/DEGRADED/FAIL, metadáta o latencii, stratách paketov a verziách.
• Event bus pre safety udalosti: prioritné fronty, monotónne časové značky, idempotentné spracovanie.
• Konfigurovateľné prahy a profily: mission-safe (priorita dokončenia) vs. public-safe (priorita minimalizácie rizika).
• Záznamník (blackbox): vysokofrekvenčný log rezíduí, príkazov a prepnutí módov pre audit a spätnú validáciu.

Detekčné prahy, hysterézia a robustnosť

Kritickým aspektom je nastavenie prahov. Bez hysterézie hrozí chattering (opakované zapínanie/vypínanie). Odporúčania:

1. Použiť dvojprahové rozhodovanie (vstupný a výstupný prah) a minimálne trvanie udalosti.
2. Normalizovať reziduá podľa očakávanej kovariancie (rᵀ S⁻¹ r), čím sa prahy stávajú invariantné voči mierke.
3. Adaptívne prahy pre meniace sa podmienky (teplota, vibrácie, vietor).

Model-based vs. data-driven detekcia

Model-based prístup ponúka interpretovateľnosť a formálne garancie (napr. KF reziduá), no vyžaduje kvalitný model. Data-driven metódy zachytia nelinearity a interakcie, ale potrebujú kuratívne dáta a majú riziko dataset shift. V praxi je účinná hybridná architektúra – modelová detekcia spustená vždy, ML detekcia ako doplnkové varovanie s nižšou autoritou.

Bezpečnostné monitorovanie letu v reálnom čase

• Monitor navigačnej konzistencie (GNSS vs. INS vs. vizuálna odometria), výšky (baro vs. lidar) a rýchlosti (pitot vs. GNSS).
• Monitor aktuátorov (prúd ESC, teploty, saturácie regulátora) a vibrácií (FFT prahovanie).
• Monitor komunikácie (RTT, PER, SNR) s prediktívnou detekciou lost-link.
• Monitor prostredia (vietor z odhadu, dážď/sneh z payload senzorov) a geofencing.

Rozhodovacia logika a manažment módov

Mode-manager implementuje state machine s bezpečnostnými prechodmi. Ilustratívna logika:

1. Ak GNSS_Fault=TRUE a VISION_OK=TRUE → prechod do VISION_NAV, obmedzená rýchlosť a výška.
2. Ak ENERGY_CRITICAL=TRUE → LAND_NOW s výberom najbližšieho miesta podľa mapy rizika.
3. Ak LINK_LOST>t₁ → LOITER; ak LINK_LOST>t₂ → RTH; ak RTH_FAIL → LAND_NOW.
4. Ak CTRL_SATURATION>τ a ATT_ERR>ε → redukcia agresivity regulátora a zvýšenie výšky bezpečnosti.

Metodika validácie a verifikácie (V&V)

• SIL/HIL testy: rozsiahle kampane Monte Carlo (vietor, výpadky senzorov, delay), fault injection v simulátore a na HIL.
• Flight-test matice: postupné zvyšovanie rizika: otvorené priestranstvo → kontrolovaná zástavba → reprezentatívne scenáre misie.
• MC/DC a requirements coverage: pokrytie vetiev v safety kóde, sledovanie súladu so špecifikáciou.
• Blackbox analýza: post-mortem hodnotenie rezíduí, latencií prepnutí a kvality trajektórie počas anomálií.

Metriky výkonu a bezpečnosti

Metrika	Popis	Cieľová hodnota
Detekčná latencia	Čas od vzniku poruchy po vyhlásenie alarmu	< 200 ms (kritické slučky)
False Alarm Rate (α)	Falošné poplachy na hodinu letu	< 1/10 h (podľa domény)
Missed Detection (β)	Podiel neodhalených porúch	< 10−4
Availability	Dostupnosť bezpečných módov	> 99.9 %
RUR margin	Energetická rezerva pri aktivácii RTH	≥ 25 %

Špecifiká pre multikoptéry, pevné krídlo a VTOL

• Multikoptéry: citlivé na výpadok jedného aktuátora; nutný fault-tolerant control allocation (napr. hexa-/okto-), robustné držanie polohy bez GNSS.
• Pevné krídlo: väčšia kĺzavosť – výhodné pre LAND NOW na dlhšiu vzdialenosť; pozor na poruchy pitot/IAS.
• VTOL: komplexné prepínanie režimov; pri anomálii v prechode preferovať návrat do stabilného režimu (hover/forward flight) podľa energie a vetra.

Kybernetická bezpečnosť a jej prepojenie s fail-safe

Anomálie nemusia byť len fyzikálne. Ochrana proti spoofingu GNSS, podvrhnutým príkazom a injekcii na zbernici je kľúčová. Fail-safe musí rátať s confidentiality, integrity, availability a pri podozrení na útok prejsť do obmedzeného módu (napr. VLOS návrat, zakázanie diaľkových override).

Implementačné odporúčania a praktické tipy

• Oddelené napájanie pre autopilot a komunikačný modul; ochrana proti brown-out (superkondenzátor/mini-UPS).
• Kalibrácia prahov z reálnych dát (sezóna/teplota/vibrácie), nie iba zo simulácie.
• Softvérové feature flags pre bezpečné zavádzanie nových detektorov (canary flights).
• Konfigurovateľné mission policies – rozdielne fail-safe pre nad poľom vs. nad zástavbou.
• Vždy mať manuálny override s jasnou autoritou a pozitívnu kontrolu nad motorom/ESC (arm/disarm interlock).

Príklad návrhu: od požiadaviek po letové testy

1. Požiadavky: „Pri strate GNSS > 5 s prejsť do VISION_NAV; pri stratách linky > 30 s aktivovať RTH; pri SOC < 20 % vykonať Land Now.“
2. Architektúra: Simplex s baseline PID a supervízorom, dissimilar NAV (GNSS+INS a VO), duálne napájanie, heartbeat.
3. Detekcia: chi-square test rezíduí, CUSUM driftu barometra, ML novoty nad multisenzorovým vektorom (1 Hz).
4. Rekonfigurácia: re-weighting senzorov, obmedzenie rýchlostí a sklonov, zmena výšky bezpečnosti.
5. Testovanie: SIL fault-injection (GNSS spoof, pitot clog), HIL s oneskoreniami, pilotné lety s postupným uvoľňovaním.

Checklist pre revíziu fail-safe logiky

• Definované bezpečné módy pre každý hlavný hazard (lost-link, energy-low, nav-fault, control-saturation).
• Prahy s hysteréziou a časovačmi; logovanie všetkých prechodov.
• Záložná navigácia a kontrola konzistencie výšky/rýchlosti.
• Validované RTH profily a mapy rizika pristátia.
• Preverené chovanie pri štarte/pristátí a v prechodoch (VTOL).

Robustná fail-safe architektúra pre UAV je výsledkom kombinácie premysleného dizajnu, formálnych metód detekcie anomálií, disciplinovaného manažmentu módov a dôkladnej validácie. Kľúčová je predvídateľnosť reakcií a transparentnosť voči operátorovi a regulátorovi. Práve súhra dissimilárnej redundancie, inteligentnej detekcie a bezpečných návratových stratégií umožní, aby drony spoľahlivo fungovali aj v neideálnych podmienkach a pri parciálnych poruchách.