Fail-safe architektury v bezpilotních systémech

Proč potřebujeme fail-safe architektury v UAV

Bezpečnost bezpilotních letadel (UAV) vychází z předpokladu, že komponenty mohou selhat a že prostředí se může neočekávaně změnit. Fail-safe architektura proto integruje mechanismy pro včasnou detekci anomálií, izolaci poruch a realizaci návratových či degradačních strategií, které minimalizují riziko pro lidi, majetek i samotný systém. Cílem je udržet řízenou a předvídatelnou trajektorii i v degradovaném stavu a poskytnout operátorovi i regulátorovi ověřitelné důkazy o úrovni bezpečnosti.

Základní pojmy a koncepty

Fail-safe: při detekci poruchy systém přejde do bezpečného stavu (např. přistání, držení polohy, návrat k základně).
Fail-operational: systém pokračuje v misi i po poruše díky redundanci a rekonfiguraci (např. TMR – triple modular redundancy).
FDI/FDIR: Fault Detection, Isolation (and Recovery) – detekce, lokalizace a rekonfigurace poruch.
Health monitoring: průběžné hodnocení kondice senzorů, aktuátorů, napájení a komunikačních kanálů.
Degradované módy: alternativní řídicí strategie s omezeným výkonem (např. let bez GPS pouze s IMU a barometrem).

Bezpečnostní cíle a rizikový kontext

Definice fail-safe architektury vychází z analýz FMEA (Failure Modes and Effects Analysis), FTA (Fault Tree Analysis) a HAZOP. Výstupem je matice rizik (pravděpodobnost × důsledek) a seznam Safety Objectives s požadovanou úrovní integrity (SIL/AL). Klíčové cíle:

Předcházet ztrátě kontroly (loss of control) rychlou detekcí a reakcí.
Oddělit kritické a nekritické domény (partitioning), aby chyba nekritické funkce neohrozila let.
Zajistit kontrolovatelnou degradaci – plynulý přechod do bezpečného režimu.

Architektonické vzory pro bezpečné řízení

Supervidované řízení (Simplex): výkonný regulátor (např. s učením) je monitorován konzervativním baseline regulátorem; v případě anomálie se přepne na baseline.
Dissimilar redundancy: stejná funkce realizovaná odlišnými principy (např. INS+GNSS vs. vizuální odometrie) snižuje riziko společného režimu selhání.
Aktivní vs. pasivní redundance: hot-standby letový počítač s kontinuální synchronizací vs. cold-standby s opožděným náběhem.
TMR/DMR: dvojité nebo trojité kanály s hlasováním (voting), vhodné pro kritické snímače (IMU) nebo řídicí počítače.
Partitioning a sandboxing: časová a paměťová izolace subsystémů (autopilot, payload, mission aplikace).
Watchdogy a heartbeat protokoly: detekce zaseknutí vláken a komunikačních mostů (např. MAVLink heartbeat, CAN health).
Redundance energie a sběrnic: duální napájení (hlavní + záložní BEC/UPS), redundantní komunikační kanály (CAN, UART, Ethernet).

Detekce anomálií: signálové a modelové metody

Cílem detekce je rozlišit mezi běžnou variabilitou a odchylkami indikujícími poruchu. Důležité parametry jsou latence detekce, pravděpodobnost falešného poplachu (α) a pravděpodobnost zmeškání detekce (β).

Reziduální metody: porovnání měření y s predikcí modelu H x̂ z (E)KF nebo pozorovatele. Reziduum r = y − H x̂ se testuje (např. chi-square) vůči práhům odvozeným z kovariancí.
Parity space/analytické redundance: lineární kombinace měření, která potlačuje nominální dynamiku a zvýrazňuje poruchu.
Statistické SPC techniky: CUSUM, EWMA, SPRT pro detekci změny rozdělení signálu (drifty barometru, bias gyra).
Bayesovské detektory a změna režimu: detekce bodu změny a pravděpodobnostní přepínání módů (HMM, IMM filtr).
Učení bez učitele: autoenkodéry, izolované lesy a one-class SVM pro detekci novinek v multisenzorových datech.
Fyzikální validace: křížová konzistence sensorů (např. rychlost z GPS vs. integrace akcelerací; výška z barometru vs. altimetru vs. lidaru).

Izolace poruch a rekonfigurace

Po detekci je nutné rychle určit zdroj poruchy a rekonfigurovat řídicí smyčky:

Hypotézové testování na úrovni senzorů: vypínání/nevažení (re-weighting) jednotek v senzorové fúzi (např. přechod na GNSS-denied profil).
Rekonfigurace aktuátorů: při selhání vrtule/serva přechod na control allocation s omezeními; degradace maximálních momentů.
Rekonfigurace navigace: fallback trasy, zvýšená bezpečnostní výška, širší koridory, zpomalení letu.
Rekonfigurace komunikačních kanálů: automatické přepnutí na záložní linku (4G→RF→sat), úprava telemetrické frekvence a prioritizace zpráv.

Návratové a nouzové strategie

Return-to-Home (RTH): navigace na předem definovaný home bod s bezpečnostní výškou, vyhýbání překážkám (online/offline mapy), řízené přistání.
Hold/Loiter: stabilizované kroužení nebo visení na místě při ztrátě spojení s GCS nebo během diagnostiky.
Land Now: okamžité přistání na nejbližším bezpečném místě (např. při kritickém napětí baterie či přehřátí ESC).
Return-to-Land (RTL) po trase: návrat po posledním bezpečném segmentu trasy s cílem minimalizovat vstup do neznámého prostoru.
Padáková/balistická záchrana: pro vyšší MTOM nebo nad hustě zastavěnými oblastmi; vyžaduje dedikovaný spouštěcí algoritmus a validaci větru.
Geofencing a containment: měkký a tvrdý plot; při porušení měkkého aktivace varování/degradace, při tvrdém okamžitě RTL/Land.
Lost-link logika: sekvence: hold → RTH → land s časovači a potvrzeními, nebo dynamická volba podle paliva/energie a počasí.

Management energií a odhady doletu

Fail-safe rozhodování je limitováno energií. Potřebujeme přesnou prognózu Remaining Useful Range (RUR):

Filtrace SOC/SOH baterie (kombinace Coulomb counting a napěťového modelu).
Odhad specific energy drain podle větru, profilu letu a hmotnosti.
Bezpečnostní rezervy (např. 20–30 % podle rizika prostředí) a no-go hranice.

Specifikace rozhraní a datových toků

Heartbeat a status: periodické rámce se stavy OK/DEGRADED/FAIL, metadata o latenci, ztrátách paketů a verzích.
Event bus pro safety události: prioritní fronty, monotónní časové značky, idempotentní zpracování.
Konfigurovatelné prahy a profily: mission-safe (priorita dokončení mise) vs. public-safe (priorita minimalizace rizika).
Záznamník (blackbox): vysokofrekvenční log reziduí, příkazů a přepnutí módů pro audit a zpětnou validaci.

Detekční prahy, hysteréze a robustnost

Kritickým aspektem je nastavení prahů. Bez hysteréze hrozí chattering (opakované zapínání/vypínání). Doporučení:

Použít dvojprahové rozhodování (vstupní a výstupní práh) a minimální dobu trvání události.
Normalizovat rezidua podle očekávané kovariance (rᵀ S⁻¹ r), čímž prahy zůstanou invariantní vůči měřítku.
Adaptivní prahy pro měnící se podmínky (teplota, vibrace, vítr).

Model-based vs. data-driven detekce

Model-based přístup nabízí interpretovatelnost a formální garance (např. KF rezidua), avšak vyžaduje kvalitní model. Data-driven metody zachytí nelinearity a interakce, ale vyžadují kurativní data a nesou riziko dataset shift. V praxi je efektivní hybridní architektura – modelová detekce běží vždy, ML detekce slouží jako doplňující varování s nižší autoritou.

Bezpečnostní monitoring letu v reálném čase

Monitor navigační konzistence (GNSS vs. INS vs. vizuální odometrie), výšky (barometr vs. lidar) a rychlosti (pitot vs. GNSS).
Monitor aktuátorů (proud ESC, teploty, saturace regulátoru) a vibrací (FFT prahování).
Monitor komunikace (RTT, PER, SNR) s prediktivní detekcí ztráty spojení (lost-link).
Monitor prostředí (vítr z odhadu, déšť/sníh z payload senzorů) a geofencing.

Rozhodovací logika a management módů

Mode-manager implementuje stavový automat s bezpečnostními přechody. Ilustrativní logika:

Pokud GNSS_Fault=TRUE a VISION_OK=TRUE → přechod do VISION_NAV, omezená rychlost a výška.
Pokud ENERGY_CRITICAL=TRUE → LAND_NOW s výběrem nejbližšího místa podle mapy rizika.
Pokud LINK_LOST>t₁ → LOITER; pokud LINK_LOST>t₂ → RTH; pokud RTH_FAIL → LAND_NOW.
Pokud CTRL_SATURATION>τ a ATT_ERR>ε → redukce agresivity regulátoru a zvýšení bezpečnostní výšky.

Metodika validace a verifikace (V&V)

SIL/HIL testy: rozsáhlé kampaně Monte Carlo (vítr, výpadky senzorů, zpoždění), fault injection v simulátoru a na HIL.
Flight-test matice: postupné zvyšování rizika: otevřený prostor → kontrolovaná zástavba → reprezentativní scénáře mise.
MC/DC a requirements coverage: pokrytí větví v safety kódu, sledování souladu se specifikací.
Blackbox analýza: post-mortem hodnocení reziduí, latencí přepnutí a kvality trajektorie během anomálií.

Metriky výkonu a bezpečnosti

Metrika	Popis	Cílová hodnota
Detekční latence	Čas od vzniku poruchy po vyhlášení alarmu	< 200 ms (kritické smyčky)
False Alarm Rate (α)	Falešné poplachy za hodinu letu	< 1/10 h (podle domény)
Missed Detection (β)	Podíl neodhalených poruch	< 10⁻⁴
Availability	Dostupnost bezpečných režimů	> 99,9 %
RUR margin	Energetická rezerva při aktivaci RTH	≥ 25 %

Specifika pro multikoptéry, pevné křídlo a VTOL

Multikoptéry: citlivé na výpadek jednoho aktuátoru; nutný fault-tolerant control allocation (např. hexa-/okto-), robustní držení polohy bez GNSS.
Pevné křídlo: větší klouzavost – výhodné pro LAND NOW na delší vzdálenost; pozor na poruchy pitot/IAS.
VTOL: komplexní přepínání režimů; při anomálii v přechodu preferovat návrat do stabilního režimu (hover/forward flight) podle energie a větru.