Fail-safe architektury: detekce anomálií a optimalizované autonomní návratové strategie

Proč potřebujeme fail-safe architektury v UAV

Bezpečnost bezpilotních letadel (UAV) je založena na předpokladu, že komponenty mohou selhat a prostředí se může nečekaně změnit. Fail-safe architektura proto integruje mechanismy na včasnou detekci anomálií, izolaci poruch a provedení návratových nebo degradačních strategií, které minimalizují riziko pro lidi, majetek a samotný systém. Cílem je udržet řízenou a předvídatelnou trajektorii i v degradovaném stavu a poskytnout operátorovi i regulatorovi ověřitelné důkazy o úrovni bezpečnosti.

Základní pojmy a koncepty

Fail-safe: při detekci poruchy systém přejde do stavu, který je bezpečný (např. přistání, držení polohy, návrat na základnu).
Fail-operational: systém pokračuje v misi i po poruše díky redundanci a rekonfiguraci (např. TMR – triple modular redundancy).
FDI/FDIR: Fault Detection, Isolation (and Recovery) – detekce, lokalizace a rekonfigurace.
Health monitoring: průběžné hodnocení kondice senzorů, aktuátorů, napájení a komunikačních kanálů.
Degradované módy: alternativní strategie řízení se sníženým výkonem (např. let bez GPS pouze s IMU a barometrem).

Bezpečnostní cíle a rizikový kontext

Definování fail-safe architektury vychází z analýz FMEA (Failure Modes and Effects Analysis), FTA (Fault Tree Analysis) a HAZOP. Výstupem je matice rizik (pravděpodobnost × následek) a seznam Safety Objectives s požadovanou úrovní integrity (SIL/AL). Klíčové cíle:

Předcházet ztrátám kontroly (loss of control) rychlou detekcí a reakcí.
Oddělit kritické a nekritické domény (partitioning) tak, aby chyba nekritické funkce neohrozila let.
Zajistit kontrolovatelnou degradaci – plynulý přechod do bezpečného módu.

Architektonické vzory pro bezpečné řízení

Supervidované řízení (Simplex): výkonný regulátor (např. s učením) je monitorován konzervativním baseline regulátorem; při anomálii se přepne na baseline.
Dissimilar redundancy: stejná funkce implementovaná odlišnými principy (např. INS+GNSS vs. vizuální odometrie) snižuje riziko společného režimu selhání.
Aktivní vs. pasivní redundance: hot-standby letový počítač s kontinuální synchronizací vs. cold-standby s opožděným náběhem.
TMR/DMR: dvojité nebo trojité kanály s hlasováním (voting), vhodné pro kritické snímače (IMU) nebo řídicí počítače.
Partitioning a sandboxing: časová a paměťová izolace subsystémů (autopilot, payload, mission apps).
Watchdogy a heartbeat protokoly: detekce zamrznutí vláken a komunikačních mostů (např. MAVLink heartbeat, CAN health).
Redundance energie a sběrnic: duální napájení (hlavní + záložní BEC/UPS), redundantní komunikační kanály (CAN, UART, Ethernet).

Detekce anomálií: signálové a modelové metody

Úkolem detekce je rozlišit mezi běžnou variabilitou a odchylkami indikujícími poruchu. Důležité parametry jsou latence detekce, pravděpodobnost falešného poplachu (α) a pravděpodobnost vynechání (β).

Reziduální metody: porovnání měření y s predikcí modelu H x̂ z (E)KF nebo pozorovatele. Reziduum r = y − H x̂ se testuje (např. chi-square) proti prahům odvozeným z kovariancí.
Parity space/analytické redundance: lineární kombinace měření, která potlačuje nominální dynamiku a zvýrazňuje poruchu.
Statistické SPC techniky: CUSUM, EWMA, SPRT pro změnu rozdělení signálu (drifty barometru, bias gyra).
Bayesovské detektory a změna režimu: detekce bodu změny a pravděpodobnostní přepínání módů (HMM, IMM filtr).
Učení bez učitele: autoenkodéry, izolované lesy a one-class SVM pro novinky v multisenzorových datech.
Fyzikální validace: křížová konzistence senzorů (např. rychlost z GPS vs. integrace akcelerací; výška z barometru vs. altimetr vs. lidar).

Izolace poruch a rekonfigurace

Po detekci je nutné rychle určit zdroj poruchy a rekonfigurovat smyčky řízení:

Hypotézové testování na úrovni senzorů: vypínání/odvažování (re-weighting) jednotek v senzorové fúzi (např. přechod na GNSS-denied profil).
Rekonfigurace aktuátorů: při selhání vrtule/serva přechod na control allocation s omezeními; degradace maximálních momentů.
Rekonfigurace navigace: fallback trasy, vyšší bezpečnostní výška, širší koridory, zpomalení.
Rekonfigurace komunikačních kanálů: automatické přepnutí na záložní linku (4G→RF→sat), úprava telemetrické frekvence a prioritizace zpráv.

Návratové a nouzové strategie

Return-to-Home (RTH): navigace na předem definovaný home bod s bezpečnostní výškou, vyhýbání překážkám (online/offline mapy), řízené přistání.
Hold/Loiter: stabilizované kroužení nebo visení na místě při ztrátě spojení s GCS nebo během diagnostiky.
Land Now: okamžité přistání na nejbližším bezpečném místě (např. při kritickém napětí baterie či přehřátí ESC).
Return-to-Land (RTL) po trase: návrat po posledním bezpečném segmentu trasy, aby se minimalizoval vstup do neznámého prostoru.
Parachute/ballistic recovery: pro vyšší MTOM nebo nad hustou zástavbou; vyžaduje dedikovaný spouštěcí algoritmus a validaci větru.
Geofencing a containment: měkký a tvrdý plot; při porušení měkkého se aktivuje varování/degradace, při tvrdém okamžité RTL/Land.
Lost-link logika: posloupnost: hold → RTH → land s časovači a potvrzeními, nebo dynamický výběr dle paliva/energie a počasí.

Management energií a odhady doletu

Fail-safe rozhodování je limitováno energií. Potřebujeme přesnou prognózu Remaining Useful Range (RUR):

Filtrace SOC/SOH baterie (kombinace Coulomb counting a napěťového modelu).
Odhad specific energy drain podle větru, profilu letu a hmotnosti.
Bezpečnostní rezervy (např. 20–30 % dle rizika prostředí) a no-go hranice.

Specifikace rozhraní a datových toků

Heartbeat a status: periodické rámce se stavy OK/DEGRADED/FAIL, metadata o latenci, ztrátách paketů a verzích.
Event bus pro safety události: prioritní fronty, monotónní časové značky, idempotentní zpracování.
Konfigurovatelné prahy a profily: mission-safe (priorita dokončení) vs. public-safe (priorita minimalizace rizika).
Záznamník (blackbox): vysokofrekvenční log reziduí, příkazů a přepnutí módů pro audit a zpětnou validaci.

Detekční prahy, hystereze a robustnost

Kritickým aspektem je nastavení prahů. Bez hystereze hrozí chattering (opakované zapínání/vypínání). Doporučení:

Použít dvojprahové rozhodování (vstupní a výstupní práh) a minimální trvání události.
Normalizovat rezidua podle očekávané kovariance (rᵀ S⁻¹ r), čímž se prahy stávají invariantní vůči měřítku.
Adaptivní prahy pro měnící se podmínky (teplota, vibrace, vítr).

Model-based vs. data-driven detekce

Model-based přístup nabízí interpretovatelnost a formální garance (např. KF rezidua), ovšem vyžaduje kvalitní model. Data-driven metody zachytí nelinearity a interakce, ale potřebují kurativní data a nesou riziko dataset shift. V praxi je efektivní hybridní architektura – modelová detekce spuštěná vždy, ML detekce jako doplňkové varování s nižší autoritou.

Bezpečnostní monitorování letu v reálném čase

Monitor navigační konzistence (GNSS vs. INS vs. vizuální odometrie), výšky (baro vs. lidar) a rychlosti (pitot vs. GNSS).
Monitor aktuátorů (proud ESC, teploty, saturace regulátoru) a vibrací (FFT prahování).
Monitor komunikace (RTT, PER, SNR) s prediktivní detekcí lost-link.
Monitor prostředí (vítr z odhadu, déšť/sníh z payload senzorů) a geofencing.

Rozhodovací logika a management módů

Mode-manager implementuje state machine s bezpečnostními přechody. Ilustrativní logika:

Pokud GNSS_Fault=TRUE a VISION_OK=TRUE → přechod do VISION_NAV, omezená rychlost a výška.
Pokud ENERGY_CRITICAL=TRUE → LAND_NOW s výběrem nejbližšího místa dle mapy rizika.
Pokud LINK_LOST>t₁ → LOITER; pokud LINK_LOST>t₂ → RTH; pokud RTH_FAIL → LAND_NOW.
Pokud CTRL_SATURATION>τ a ATT_ERR>ε → snížení agresivity regulátoru a zvýšení bezpečnostní výšky.

Metodika validace a verifikace (V&V)

SIL/HIL testy: rozsáhlé kampaně Monte Carlo (vítr, výpadky senzorů, zpoždění), fault injection v simulátoru a na HIL.
Flight-test matice: postupné zvyšování rizika: otevřený prostor → kontrolovaná zástavba → reprezentativní scénáře mise.
MC/DC a coverage požadavků: pokrytí větví v safety kódu, sledování souladu se specifikací.
Blackbox analýza: post-mortem hodnocení reziduí, latencí přepnutí a kvality trajektorie během anomálií.

Metriky výkonu a bezpečnosti

Metrika	Popis	Cílová hodnota
Detekční latence	Čas od vzniku poruchy po vyhlášení alarmu	< 200 ms (kritické smyčky)
False Alarm Rate (α)	Falešné poplachy za hodinu letu	< 1/10 h (dle domény)
Missed Detection (β)	Podíl neodhalených poruch	< 10⁻⁴
Availability	Dostupnost bezpečných módů	> 99,9 %
RUR margin	Energetická rezerva při aktivaci RTH	≥ 25 %

Specifika pro multikoptéry, pevné křídlo a VTOL

Multikoptéry: citlivé na výpadek jednoho aktuátoru; nezbytný fault-tolerant control allocation (např. hexa-/okto-), robustní držení polohy bez GNSS.
Pevné křídlo: větší klouzavost – výhodné pro LAND NOW na delší vzdálenost; pozor na poruchy pitot/IAS.
VTOL: komplexní přepínání režimů; při anomálii v přechodu preferovat návrat do stabilního režimu (hover/forward flight) dle energie a větru.