Роль анализа достижимости в критически важных для безопасности приложениях управления

«Анализ доступности — это единственный способ предоставить математически строгое доказательство того, что система критически важных для безопасности самолетов никогда не нарушит ее оболочку», — говорится в докладе Национальной академии наук о безопасности полетов.

Вычислительные методы и алгоритмы

Анализ достижимости является вычислительно требовательным. Для линейных систем достижимый набор может быть вычислен точно с использованием операций зонотопа (суммы Минковского, линейные карты) с многочленной сложностью времени. Для нелинейных систем методы включают:

• Распространение Тейлоровой модели — использование расширений рядов Тейлора и интервальной арифметики для сверхприближения эволюции нелинейной динамики (например, Flow*).
• Достижимость Гамильтона-Якоби — Решение дифференциального уравнения Гамильтона-Якоби-Беллмана для вычисления достижимого множества как набора уровней функции значений. Обрабатывает нелинейные системы с контролем и возмущением, но страдает от «проклятия размерности».
• Методы, основанные на абстракции — Построить конечный автомат, имитирующий непрерывную динамику, затем применить проверку модели для проверки свойств безопасности.
• Нейронная сетевая верификации — Недавняя работа расширяет досягаемость систем с контроллерами нейронных сетей, используя такие методы, как разложение ReLU и выпуклое приближение корпуса для распространения наборов через скрытые слои.

Каждый метод представляет компромиссы в масштабируемости, консерватизме и вычислительных затратах. Для всеобъемлющего обзора, проконсультируйтесь с «Анализ доступности нелинейных систем: опрос» в журнале системной науки и сложности.

Выбираем правильный инструмент

Доступны несколько наборов инструментов с открытым исходным кодом: CORA (для непрерывного времени линейного/нелинейного), JuliReach (на основе Julia), SpaceEx (для линейных гибридных систем), HyLAA (для линейных систем с большим пространством состояний) и NeuralReach (для контроллеров нейронных сетей). Выбор зависит от модели системы, размерности и требуемой точности. Многие инженеры объединяют инструменты: используют быстрое сверхприближение для фильтров безопасности в реальном времени и более точный (но более медленный) анализ для автономной сертификации.

Проблемы и ограничения

Несмотря на свои сильные стороны, анализ достижимости сталкивается с фундаментальными препятствиями:

Вычислительная масштабируемость

Размер достижимого множества растет экспоненциально с измерением состояния в худшем случае (проклятие размерности). Для модели транспортного средства с 10 состояниями могут быть осуществимы точные вычисления достижимого множества; для модели трансмиссии с 50 состояниями необходимо прибегнуть к приближениям, которые могут быть чрезмерно консервативными. Такие методы, как разложение (при условии независимости или слабой связи) и монотонность, могут уменьшить сложность, но не универсально применимы.

Неопределенность и волнения

Реальные системы подвержены неизвестным внешним порывам (например, порывам ветра, шуму датчиков) и параметрической неопределенности (например, изменениям массы). Анализ достижимости должен включать их в качестве ограниченных наборов, но полученные достижимые наборы могут быть очень большими, что приводит к чрезмерно ограничительным ограничениям безопасности. Вероятностная достижимость (которая вычисляет риск вместо пределов худшего случая) является активной областью исследований, но в настоящее время не имеет такого же уровня зрелости для сертификации.

Проверка vs. пробел в валидации

Анализ достижимости доказывает свойства модели, а не физической системы. Ошибки модели (например, немоделированное трение, задержки) могут лишить законной силы доказательство безопасности. Для преодоления этого разрыва требуется тщательная калибровка модели и анализ надежности. Гибридные подходы, сочетающие достижимость с мониторингом времени выполнения, набирают силу.

Интеграция в управление в реальном времени

Современные алгоритмы достижимости, особенно для нелинейных систем, слишком медленные для запуска в режиме онлайн во время работы. Многие приложения используют достижимость в автономном режиме для создания оракула безопасности (например, таблицы поиска безопасных скоростей), которую запрашивает контроллер в реальном времени. Но для систем, которые должны реагировать на непредсказуемые изменения (например, пешеход, бросившийся в дорогу), требуется онлайн-расчет достижимого набора. Прогресс в алгоритмах ускорения GPU и моделях с уменьшенным порядком дает надежду, но готовая к производству онлайн-доступность остается редкой.

Будущие направления

Реальная доступность с машинным обучением

Последние достижения используют нейронные сети для приближения достижимых наборов или их границ. Например, выученная форвардная модель может быстро предсказать, в какие области может войти система, уменьшая необходимость в полном символическом вычислении. Однако такие выученные суррогаты сами должны быть проверены, создавая круговую зависимость, которая только сейчас решается сообществом верификации нейронной сети.

Вероятностная достижимость

Вместо того, чтобы спрашивать: «Система когда-либо находится в небезопасном состоянии?», вероятностная достижимость спрашивает: «Какова вероятность входа в небезопасное состояние с учетом модели стохастического возмущения?» Это более практично для многих приложений, где приемлем небольшой риск. Такие инструменты, как ProbReach и SReach , сочетают распространение стохастического набора с динамическим программированием. Будущие стандарты могут принимать формальные границы риска, ускоряя принятие в отраслях, где абсолютная безопасность неосуществима.

Композиционная достижимость

Большие системы построены из компонентов (датчиков, контроллеров, исполнительных механизмов). Композиционная достижимость разлагает общую проблему на меньшие анализы достижимости для каждого компонента, а затем составляет результаты. Этот подход необходим для масштабирования на сложные системы, такие как автономные стека транспортных средств с десятками взаимодействующих модулей. Ранние результаты показывают, что при тщательных предположениях интерфейса композиционная достижимость может сократить время вычислений на порядки величины при сохранении безопасности.

Интеграция с Run-Time Assurance

Вместо предоставления одноразового доказательства безопасности анализ достижимости может использоваться внутри структуры обеспечения времени выполнения (RTA). Во время работы система RTA постоянно сравнивает текущее состояние системы с заранее рассчитанным «безопасным набором» состояний, из которых возможно восстановление. Если система отклоняется к границе, берет на себя резервный контроллер. Эта архитектура уже используется в некоторых летных испытаниях НАСА и изучается для автономных дорожных транспортных средств.

Выводы и рекомендации

Анализ достижимости является краеугольным камнем современной техники управления, критически важной для безопасности. Он предлагает единственный формальный метод, гарантирующий, что система никогда не войдет в небезопасное состояние, превышая ограниченный охват моделирования и тестирования. От автономных автомобилей и медицинских устройств до аэрокосмических и промышленных роботов, достижимость доказала свою ценность в предотвращении катастрофических сбоев. Тем не менее, область сталкивается с реальными ограничениями в масштабируемости, точности модели и осуществимости в реальном времени. Инженерам рекомендуется:

• Принять анализ достижимости на ранних этапах цикла проектирования, а не в качестве запоздалой мысли, чтобы направлять архитектуру контроллера.
• Совместите точную (или жесткую сверхприблизительную) досягаемость для автономной проверки с упрощенными быстрыми приближениями для онлайн-фильтров безопасности.
• Инвестируйте в строгую проверку модели, чтобы убедиться, что проверенная модель точно представляет физическое растение.
• Будьте в курсе новых инструментов (например, композиционной достижимости, вероятностных методов), которые обещают расширить охват достижимости до более крупных классов систем.

Поскольку системы управления становятся все более автономными и критически важными для безопасности, анализ достижимости останется незаменимым инструментом. Продолжение исследований в сочетании с промышленным внедрением формальных методов будет стимулировать следующее поколение доказуемо безопасных систем управления.

Для дальнейшего чтения изучите репозиторий Reachability Toolbox, поддерживаемый сообществом, или учебник «Системы управления безопасностью: формальный подход к методам».