[논문 리뷰] Verifying safety of an autonomous spacecraft rendezvous mission

Nicole Chan, Sayan Mitra|arXiv (Cornell University)|2017. 03. 20.

Formal Methods in Verification참고 문헌 11인용 수 13

한 줄 요약

이 논문은 선형 및 비선형 역학을 포함하는 자율 우주선 도킹 임무를 위한 하이브리드 오토마타 모델을 제시하며, 물리적 및 기하학적 제약 조건 하에서 안전성을 보장하기 위해 스위치 LQR 제어기를 사용한다. 수동 안전성—추진력 없는 장애 상태 동안의 충돌 회피—은 SpaceEx, C2E2 및 새로운 시뮬레이션 기반 검증 도구(SDVTool)를 사용하여 검증되었으며, 다양한 초기 조건에서의 강건성과 악조건의 모델에 대한 시뮬레이션 기반 방법의 한계를 드러냈다.

ABSTRACT

A fundamental maneuver in autonomous space operations is known as rendezvous, where a spacecraft navigates to and approaches another spacecraft. In this case study, we present linear and nonlinear benchmark models of an active chaser spacecraft performing rendezvous toward a passive, orbiting target. The system is modeled as a hybrid automaton, where the chaser must adhere to different sets of constraints in each discrete mode. A switched LQR controller is designed accordingly to meet this collection of physical and geometric safety constraints, while maintaining liveness in navigating toward the target spacecraft. We extend this benchmark problem to check for passive safety, which is collision avoidance along a passive, propulsion-free trajectory that may be followed in the event of system failures. We show that existing hybrid verification tools like SpaceEx, C2E2, and our own implementation of a simulation-driven verification tool can robustly verify this system with respect to the requirements, and a variety of relevant initial conditions.

연구 동기 및 목표

• 시스템 수준의 검증을 위한 안전 제약 조건이 있는 자율 우주선 도킹의 현실적인 벤치마크 모델을 개발하기 위해.
• 접근 운용 중에 생명 유지성과 안전성을 보장하는 스위치 상태 피드백 LQR 제어기를 설계하기 위해.
• 수동 안전성—추진력 없는 장애 상태 동안의 충돌 회피—을 공식 검증 도구를 사용하여 검증하기 위해.
• SpaceEx, C2E2, SDVTool와 같은 검증 도구의 강건성과 정확성을 다양한 초기 조건과 모델 변형에서 평가하기 위해.
• 악조건의 모델에 대해 시뮬레이션 기반 검증 방법의 한계를 규명하고 향후 연구를 안내하기 위해.

제안 방법

• 접근 단계 A 및 B에 대한 이산 모드를 가진 하이브리드 오토마타로 추적 우주선을 모델링하며, 선형화된 역학에 대해 Clohessy-Wiltshire-Hill(CWH) 방정식을 사용한다.
• 상대 위치에 기반한 전환을 유도하는 스위치 상태 피드백 LQR 제어기를 설계하여 안전성과 생명 유지성을 확보한다.
• 장애 상황을 모의하기 위해 비결정적 시간 트리거 전이를 수동 모드로 도입하여 수동 안전성 검증을 가능하게 한다.
• 두 개의 6차원 모델을 사용한다: 하나는 상태 변수로 명시적인 추진력 입력(u_x, u_y)을 포함하고, 다른 하나는 역학을 통해 암시적인 추진력을 표현한다. 이를 통해 도달 집합의 과도한 근사 정확도를 비교한다.
• 선형 시스템에 대해 도달 집합 계산을 향상시킨 시뮬레이션 기반 검증 도구인 SDVTool을 사용하여 안전성 및 추진력 제약 조건을 검증한다.
• SpaceEx와 C2E2를 사용하여 도달 가능성 분석을 수행하고, 다양한 모델 간의 결과를 비교하여 강건성과 정확도를 평가한다.

실험 결과

연구 질문

• RQ1 다양한 초기 조건과 물리적 제약 조건 하에서 스위치 LQR 제어기가 자율 도킹 중에 안전성과 생명 유지성을 보장할 수 있는가?
• RQ2 추적 우주선이 추진력을 상실하는 장애 상황에서 하이브리드 검증 도구인 SpaceEx와 C2E2가 수동 안전성을 얼마나 효과적으로 검증할 수 있는가?
• RQ3 명시적 대비 암시적 추진력 표현 방식의 다른 모델 설정이 도달 집합 과도 근사와 검증 정확도에 어떤 영향을 미치는가?
• RQ4 스위치 LQR 제어기는 다양한 초기 위치와 수동 전이 시간에 대해 얼마나 강건한가?
• RQ5 악조건의 모델을 처리할 때 시뮬레이션 기반 검증 접근법은 어떤 한계를 보이는가?

주요 결과

• 스위치 LQR 제어기는 선형 및 비선형 모델 모두에서 테스트된 모든 초기 조건에서 안전성과 생명 유지성을 성공적으로 유지한다.
• 수동 안전성은 SpaceEx, C2E2 및 SDVTool를 사용하여 검증 가능하며, SDVTool는 추진력 입력에 대해 더 세밀한 도달 집합을 생성하여 제어기가 10N 이내로 작동함을 확인한다.
• 암시적 추진력 표현 방식을 사용하는 6차원 모델(식 3–4)은 명시적 추진력 모델(식 5)보다 더 정확한 도달 집합을 도출하여 누적 불확실성을 감소시킨다.
• 목표물에 대해 230° 근처의 초기 위치는 어떤 수동 전이 시간에도 안전하지 않으며, x축에 가까운 위치는 후속 취소가 가능하다.
• 시뮬레이션 기반 검증(SDVTool)은 악조건의 모델을 다룰 때의 약점을 드러내어 이러한 접근법에서 수치 조건 조정을 향상시킬 필요가 있음을 시사한다.
• 검증 결과에 따르면 안전한 초기 상태는 지역적으로 군집되어 있으며, x축에 가까운 추적 우주선 위치일수록 안전한 수동 전이 시간이 길어진다.