NASA‘ya ait Neil Gehrels Swift gözlem aracına ulaşmak, yakalamak ve ivme kazandırmayı hedefleyen Katalyst Space’e ait LINK otonom uzay aracı, Temmuz ayında fırlatıldıktan sonra attitude-kontrol (yön kontrolü) sorunları yaşadı. Bu gelişmenin ardından görev, araçla karşılaşma (rendezvous) ve yakın uçuş demonstrasyonuyla sınırlandı; Eylül’ün başlarında araç Swift’ten 12-15 kilometre uzaklığa yaklaşabildi ve NASA daha yakına gelemeyeceğini açıkladı. Olay, otonom güvenliğin başarısız olduğuna dair bir kanıt değil; aslında temel bir prensibi gözler önüne seriyor: Bir görevi destekleyen varsayım değiştiğinde, orijinal görevin sürdürülmesine verilen yetkinin de değişmesi gerektiği.
Bu ayrımın yalnızca yer ekiplerinin değil, uzay aracının kendisinin içinde barındırması gereken bir kavram olduğu vurgulanıyor. Uzay aracı, yanlış bir dünya için doğru komutu yürütebilir; DART’ın 2005’te yaşadığı şiddetli çarpışma bu dersin acı bir versiyonuydu.
“Garanti Kaybı”: Görülmeyen Bir Durum
NASA’nın 2005 yılında gerçekleştirdiği Otonom Karşilaşma Teknolojisi Gösterisi (DART), MUBLCOM uydusuna otonom karşılaşma demonstrasyonu sırasında çarpışmıştı. NASA’nın kamuya açık kaza değerlendirmesine göre DART, hedefe aslında saniyede 1,5 metre yaklaşırken, navigasyon sistemi kendisinin 130 metre uzakta ve saniyede 0,3 metre geri çekildiğini düşünüyordu. Aracın çarpışma-kaçınma mantığı mevcuttu; ancak derinlemesine sorun, bu kaçınma fonksiyonunun yönlendirme sistemiyle aynı navigasyon kaynağına dayanmasıydı. O kaynak ciddi biçimde hatalı hale geldiğinde, her iki katman da aynı yanılsamayı miras aldı.
Bu otonomi sözcükliğimizin hâlâ kötü yönettiği bir durum var: Sistem bilabileceği en iyi koruyucu şeyi yapıyor ancak bu eylemin arkasındaki garanti artık desteklenmiyor. Bu, nominal (normal) işletimle aynı şey değil ve sıradan bir arızayla da aynı şey değil.
Haber metninin analiz paragrafı
Bu ayrım, iki dekadan öncekinden daha kritik hale geliyor. Otonom uzay araçları, betiklenmiş dizilerden; kendini izleyebilen, yeniden planlayabilen, arızaları yönetebilen ve insani gözetimin azalmasıyla işletime devam edebilen sistemlere doğru evriliyor.
Güvenlik Garantisi Kanıtlar Kadar Güvenilirdir
NASA’nın Swift’i için ölçeklendirilmiş servis görevi, koruyucu eylemin ancak arkasındaki kanıt kadar güvenilir olduğuna dair bir hatırlatma. Geleceğin uzay araçlarının, bir güvenliğin artık geçerli olmadığını söyleyebilecek bir yola sahip olması gerekiyor.
Bir uzay aracı tamamen çökmes bile, görevinin ardındaki varsayımların değişmesi için yeterlidir. NASA bu yaz timely (zamanında) bir hatırlatma aldı. Katalyst Space’e ait LINK robotik servis uzay aracı, Temmuz ayında Swift ile karşılaşmak, yakalamak ve ivme kazandırmak için fırlatıldı. LINK attitude-kontrol sorunları geliştikten sonra NASA görevi geri çekti: LINK artık Swift’i yakalayacak veya ivmelerecek değil; bunun yerine teknoloji gösterisi olarak karşılaşma ve yakın uçuş işlemlerine devam edecek.
Ancak araç daha yakına gidemeyecekti. Bu olay, otonom güvenlik mantığında bir başarısızlığa dair kanıt değildir. Daha temel bir şeyi ortaya koyar: Orijinal görevi destekleyen bir varsayım değiştiğinde, orijinal görevin sürdürülmesine verilen yetkinin de onunla birlikte değişebileceği.
Güvenlik Argümanının Geçerliliği
Bu ayrımın yalnızca yer ekiplerinin değil, uzay aracının kendisinin içinde barındırılması gerekir. Bir uzay aracı yanlış bir dünya için doğru komutu yürütebilir; NASA bu dersin daha şiddetli versiyonunu 2005’te DART’ın MUBLCOM uydusuna çarpışmasıyla öğrenmişti.
DART, hedefe saniyede 1,5 metre yaklaşırken navigasyon sistemi kendisinin 130 metre uzakta ve saniyede 0,3 metre geri çekildiğini düşünüyordu. Aracın çarpışma-kaçınma mantığı vardı; ancak derinlemesine sorun, bu kaçınma fonksiyonunun yönlendirme sistemiyle aynı navigasyon kaynağı dayanmasıydı. O kaynak ciddi biçimde hatali hale geldiğinde her iki katman da aynı yanılsamayı miras aldı.
Bu ayrım, iki dekadan öncekinden daha kritik oluyor. Otonom uzay araçları betiklenmiş dizilerden kendini izleyebilen, yeniden planlayabilen, arızaları yönetebilen ve insani gözetimin azalmasıyla işletime devam edebilen sistemlere doğru evriliyor.
NASA Gateway Araç Sistem Yöneticisi
Bu ayrımın şu anki önemi, iki dekadan öncekinden daha yüksektir. Otonom uzay araçları betiklenmiş dizilerden; kendini izleyebilen, yeniden planlayabilen, arızaları yönetebilen ve insani gözetimin azalmasıyla işletime devam edebilen sistemlere doğru evriliyor.
Güvenlik Garantisi Kanıtlar Kadar Güvenliddir
“SAFE” adlı bir modun uzay aracının güvenli olduğunu kanıtlamadığı noktası, “safe”, “authorized” veya “fallback” gibi tek bir sözcüğe sıkıştırılan birden fazla sorunun karışmasından kolayca kaçabilir. Bunlar aynı soru değildir: Görev kontrolörü devam etmeye yetkili mi? Navigasyon tahmini hata sınırları içinde mi? Uzay aracı, koruyucu manevranın varsayıdığı frenlemeyi veya itmeyi yine de sağlayabiliyor mu? Sonuçtaki fiziksel yörünge gerçekten önemli sınırı koruyor mu?
Bir yazılım durum geçişinin ilk soruyu doğru cevaplayabilmesi diğerlerinin cevabı zaten değişmiş olabilir. Bu nedenle “SAFE” adlı bir modun uzay aracının güvenli olduğunu kanıtlamadığı; yalnızca yazılımdan o adı aldığı kanıtlanır. Fiziksel garanti yine de kanıta bağlıdır: durum tahmini, aktüatör yeteneği, zamanlama, geometri, kaynaklar ve onları birbirine bağlayan her model.
Bu ayrım, kasıtları basit bir uzay aracı yaklaşım modeliyle test edilebilir. Nokta, her varsayımı yeterince görünür kılmak; yörünge karşılaşmasını sadakatle simüle etmek değildir. Navigasyonun iyimser bir konum yanlılığı geliştirdiği ve hatanın mükemmel biçimde işaretlendiği bir senaryoda nominal kontrol korunan sınırı her zaman geçer. Fren komutlarını engelleyen bir politika da tıpkı onun kadar geçer; çünkü sıfır komut, zaten mevcut olan yaklaşma hızını ortadan kaldırmaz. Sınlandırdılmış aktif geri çekilme ise fren uyguladığı için geçmez.
Bu elverişli sonucun tek başına durmasına izin verilmemelidir. Aynı navigasyon yanlılığı algılanmadığında, üç politikanın da her zaman geçtiği görülür. Aktüatör, geri çekilmenin varsayığından çok daha az frenleme sağladığında, geri çekilme vakaların büyük bir kısmında başarısız olur.
Haber metninin analiz paragrafı
Bu elverişli sonucun tek başına durmasına izin verilmemelidir. Aynı navigasyon yanlılığı algılanmadığında, üç politikanın da her zaman geçtiği görülür. Aktüatör geri çekilmenin varsayığından çok daha az frenleme sağladığında, geri çekilme vakaların büyük bir kısmında başarısız olur. Onca saniyelik bir tepki gecikmesi kendi başarısızlıklarını üretir. Ve sisteme çok geniş bir navigasyon-hata sınırı kullanması söylendiğinde, rezerv kontrolü geçişleri önlemek için yeterince erken müdahale eder; ancak bunu orijinal yakın yaklaşma amacından vazgeçerek yapar.
Iki Paralel Durum: Kontrol ve Güven
Bu basit mimari değişikliğini önerir. Uzay aracı otonomisi iki durumu paralel olarak taşımalıdır. Biri kontrol durumudur: nominal, filtrelenmiş, koruyucu, durdurulmuş veya görev mimarisinin gerektirdiği şey. İkincisi ise güvence durumudur: Mevcut güvenlik iddiasını destekleyen kanıtın geçerliliğini sürdürüp sürmediği.
Bu nedenle bir uzay aracı, PROTECTIVE (koruyucu) kontrol içinde olurken aynı anda GUARANTEE LOST (garanti kaybedildi) ilan edebilir. GUARANTEE LOST başka bir kontrol modu değildir; mevcut kontrol modunu destekleyen kanıtın güvenlik iddiasını hâlâ haklı çıkarıp çıkarmadığına dair bir ifadedir.
GUARANTEE LOST “hesaplamayı durdur” veya “vazgeç” anlamına gelmez. En iyi mevcut eylem yine de frenlemek, yönü korumak, geri çekilmek veya başka bir yetkili kontingansı yürütmek olabilir. Daha dar ve daha faydalı bir şey söyler: Uzay aracı, orijinal garantinin haklı çıkarıldığı koşullar dışında en iyi çabayla koruyucu bir eylem sürdürüyor.
Uzay aracı nominal planlayıcının hiçbir olmamış gibi devam etmesine izin vermek yerine görev yetkisini daraltmalıdır. Yalnızca fiziksel olarak mevcut ve yetkili koruyucu eylemleri muhafaza etmelidir. Hangi varsayımın bozulduğunu—navigasyon geçerliliği, iletilen itme, zamanlama, kaynak marjı veya başka bir koşul—toptan arıza raporlamak yerine belirtmelidir.
Haber metninin analiz paragrafı
Pratikte GARANTİ KAYBIDI durumuna girerken dört şey yapmalıdır. Görev yetkini daraltmalı, hiçbir olmamış gibi nominal planlayıcının devam etmesine izin vermemelidir. Yalnızca fiziksel olarak mevcut ve yetkili koruyucu eylemleri muhafaza etmelidir. Hangi varsayımın bozulduğunu—navigasyon geçerliliği, iletilen itme, zamanlama, kaynak marjı veya başka bir koşul—toptan arıza raporlamak yerine belirtmelidir. Ve yalnızca süresi geçmiş bir zamanlayıcının gücüyle otomatik geri dönüşü engellemelidir. Yeniden başlatma, ilgili varsayımların yeniden kurulduğunu gösteren yeni kanıtlara dayanmalıdır.
Bağımsızlık: Kutu Sayımı Değil Kanıt Özellidir
Bu aynı zamanda bağımsızlığın ayrı yazılımdan daha fazlasını anlaması gerektiği içindir. DART’ın çarpışma-kaçınma mantığı vardı, ancak zaten hatalı olmuş olan navigasyon kanıtını paylaşıyordu. NASA’nın soruşturması, geleceğin otonom karşılaşma ve yakın uçuş operasyonu uzay araçlarının birincil navigasyon sensörlerinden tamamen bağımsız çarpışma-kaçınma algılamasına sahip olması gerektiğini önerdi.
Bu ders genelleştirilir. İki işlemci, aynı kötü sensörü, saati, güç hattını, komut busunu veya aktüatör varsayımını paylaştıysa bağımsız değildir. Bağımsızlık bir kutu sayımı egzersizi değil, kanıt özelliğidir.
NASA’nın güncel yönü zaten daha zengin onboard muhakemeye işaret ediyor. Ajansın R2U2 runtime-doğrulama çalışması sensörleri, yazılımı ve donanımı gerçek zamanlı olarak izlemek üzere tasarlandı; Gateway çalışması ise kararları otonom yönetime geri besleyen runtime sözleşmeleri kullanıyor. Ve NASA’nın karşılaşma, yakın uçuş operasyonları ve demirleme yeteneği, çarpışma-kaçınmayı, ayrılma manevralarını, yönlendirmeyi, navigasyonu, kontrolü ve operasyonu entegre bir mühendislik problemi olarak ele alıyor.
Eksik adım, güvenlik argümanının geçerliliğinin kendisinin otonomi yığını tarafından temsil edilebilmesi ve buna tepki verilmesidir. Bu, kontrol sorundan çok yönetim sorudur. Otonomisi koşullar altında yetkinin devri.
NASA’nın R2U2 runtime-doğrulama çalışması
Bu bir yönetim sorusu olduğu kadar bir kontrol sorusudur. Otonomi, koşullar altında yetkinin devridir. Bir uzay aracı yaklaşmayı sürdürmeye izin alabilir çünkü tahmini günceldir, belirsizliği sınırlıdır, frenleme yeteneği bilinmektedir ve tepki gecikmesi sınanmış bir kapsам içinde kalır. Bu koşullar kaybolduğunda, onlarla haklı çıkarılan yetkinin daralması gerekir. Makine yalnızca ne yaptığını değiştirmekten öteye gitmeli; o eylemin neden güvenli olduğuna dair bildiği şeyi değiştirmelidir.
“Güvenli Modda Değil, Garantisi Geçersiz” Demek
Bu, uzay araçları yerden uzakta işletildiğinde, servis ve lojistik görevleri çoğaldığında ve otonom karşılaşma sıradan bir durum haline geldiğinde daha da önem kazanır. İnsan gözetmecilerinin, saniyeler içinde, bir geri çekilme eyleminin güvenlik dosyasının içindeki her gizli varsayımı hâlâ karşılayıp karşılamadığını yeniden inşa etmesi beklenemez. Sistem bu bilgiyi doğrudan yüzeye çıkarmalıdır.
En tehlikeli otonom başarısızlığı her zaman güvenli moda girmeyi reddeden bir makine değildir. Bazen, tam da tasarlandığı gibi güvenli moda giren ancak onu güvenli yapan kanıtın süresi zaten geçmiş olan bir makinedir.
Geleceğin uzay araçları “Koruyucu moddayım”dan daha fazlasını söyleyebilmelidir. Ayrıca şunu da söyleyebilmelidir: Hâlâ hareket ediyorum ama bu eylemi güvenli olarak adlandırmayı haklı çıkaran garanti artık geçerli değil.
Haber metninin analiz paragrafı
Bu cümle hiçbir başarısızlığı kabul etmez. Otonominin daha dürüst ve daha faydalı biçimidir.
1 yorum
Fikrinizi bir kaynak, soru veya yapıcı karşı görüşle geliştirin.