[論文レビュー] Verifying safety of an autonomous spacecraft rendezvous mission

Nicole Chan, Sayan Mitra|arXiv (Cornell University)|Mar 20, 2017

Formal Methods in Verification参考文献 11被引用数 13

ひとこと要約

本論文は、線形および非線形ダイナミクスを有する自律宇宙飛行機のドッキングミッションを、スイッチングLQRコントローラーを用いて物理的および幾何的制約下での安全性を保証するハイブリッドオートマトンモデルとして提示する。SpaceEx、C2E2、および新開発のシミュレーション駆動型検証ツール（SDVTool）を用いて、推力なしの故障モード下での受動的セーフティ（衝突回避）を検証し、多様な初期条件において高いロバストネスを示したが、劣悪な条件のモデルに対してはシミュレーション駆動型手法の限界が明らかになった。

ABSTRACT

A fundamental maneuver in autonomous space operations is known as rendezvous, where a spacecraft navigates to and approaches another spacecraft. In this case study, we present linear and nonlinear benchmark models of an active chaser spacecraft performing rendezvous toward a passive, orbiting target. The system is modeled as a hybrid automaton, where the chaser must adhere to different sets of constraints in each discrete mode. A switched LQR controller is designed accordingly to meet this collection of physical and geometric safety constraints, while maintaining liveness in navigating toward the target spacecraft. We extend this benchmark problem to check for passive safety, which is collision avoidance along a passive, propulsion-free trajectory that may be followed in the event of system failures. We show that existing hybrid verification tools like SpaceEx, C2E2, and our own implementation of a simulation-driven verification tool can robustly verify this system with respect to the requirements, and a variety of relevant initial conditions.

研究の動機と目的

• システムレベルの検証を目的とした、安全制約を含む自律宇宙飛行機ドッキングの現実的ベンチマークモデルの開発。
• 接近作業中のライブネスと安全性を保証するスイッチングLQRコントローラーの設計。
• 推力停止時の故障モード下での受動的セーフティ（衝突回避）を形式的検証ツールを用いて検証すること。
• SpaceEx、C2E2、SDVToolなどの検証ツールが多様な初期条件およびモデル変種に対してどれほどロバストであるかを評価すること。
• 劣悪な条件のモデルに対してシミュレーション駆動型検証の限界を特定し、今後の研究を指向すること。

提案手法

• 接近機を、接近フェーズAおよびBの離散モードを有するハイブリッドオートマトンとしてモデル化し、線形化されたダイナミクスにClohessy-Wiltshire-Hill（CWH）方程式を適用する。
• 相対位置に基づく遷移をトリガーとするスイッチング状態フィードバックLQRコントローラーを設計し、安全性とライブネスを確保する。
• 故障シナリオをモデル化するため、非決定的時間トリガー付きの遷移を受動モードに導入し、受動的セーフティの検証を可能にする。
• 2つの6次元モデルを用いる：1つは状態変数として明示的な推力入力（u_x, u_y）を有し、もう1つはダイナミクスによる暗黙的な推力表現を有する。両者の到達集合過剰近似の精度を比較する。
• 線形系における到達集合計算を改善したシミュレーション駆動型検証ツールSDVToolを用い、安全性および推力制約の検証を行う。
• SpaceExおよびC2E2を用いて到達可能性解析を実施し、異なるモデル間での結果を比較することで、ロバストネスおよび精度を評価する。

実験結果

リサーチクエスチョン

• RQ1 スイッチングLQRコントローラーは、変動する初期条件および物理的制約下でも自律ドッキング中の安全性とライブネスを保証できるか？
• RQ2 推力停止時の故障シナリオにおいて、SpaceExやC2E2などのハイブリッド検証ツールは、受動的セーフティをどの程度効果的に検証できるか？
• RQ3 明示的表現と暗黙的表現の異なるモデル定式化は、到達集合の過剰近似および検証精度にどのような影響を及ぼすか？
• RQ4 スイッチングLQRコントローラーは、広範な初期位置および受動モード遷移時刻に対してどれほどロバストか？
• RQ5 劣悪な条件のモデルを扱う際、シミュレーション駆動型検証アプローチはどのような限界を示すか？

主な発見

• スイッチングLQRコントローラーは、線形および非線形モデルの両方において、テストされたすべての初期条件で安全性とライブネスを維持した。
• 受動的セーフティはSpaceEx、C2E2、SDVToolのいずれのツールでも検証可能であり、SDVToolは推力入力のためのより細分化された到達集合を生成し、コントローラーが10Nの制限内に収束していることを確認した。
• 式3〜4に示す暗黙的推力表現を有する6次元モデルは、式5に示す明示的推力モデルよりもより正確な到達集合を得ており、誤差の累積を低減した。
• ターゲットに対して230°付近の初期位置は、いかなる受動モード遷移時刻に対しても安全でないが、x軸に近い位置では遅延した中止が可能である。
• シミュレーション駆動型検証（SDVTool）は、劣悪な条件のモデルを扱う際の弱みを明らかにしたため、こうしたアプローチにおける数値的条件の改善が求められる。
• 検証結果から、安全な初期状態は局所的にクラスタリングされており、接近機の位置がx軸に近いほど安全な受動モード遷移時刻が延長されることが示された。