Fault-Tolerant Control

• Detto anche: FTC
• Categoria: Control › Feedback control
• Tag: fault-tolerance, flight-control, robust-control, reliability, multirotor

Progettazione del controllo che mantiene un sistema stabile e utilizzabile dopo guasti come un attuatore o un sensore fuori uso, tollerando il guasto oppure rilevandolo e riconfigurando il controllore.

Definizione

Il controllo tollerante ai guasti (fault-tolerant control, FTC) mira a mantenere un sistema sicuro e, ove possibile, ancora in grado di svolgere il proprio compito dopo che qualcosa è andato storto: un attuatore bloccato, indebolito o perso, un sensore con bias o fuori uso, oppure un danno strutturale. Di solito si divide in due approcci. Il controllo tollerante ai guasti passivo progetta un unico controllore fisso, spesso con tecniche di controllo robusto, che resta stabile per un insieme definito di guasti senza bisogno di sapere quale si sia verificato. Il controllo tollerante ai guasti attivo rileva e isola il guasto a runtime, un passo chiamato rilevamento e isolamento dei guasti (FDI) o rilevamento e diagnosi dei guasti, e poi riconfigura il controllore, l'allocazione del controllo o la missione per adattarli al sistema modificato.

Le opzioni dipendono da quanta ridondanza rimane. Su un esacottero o su un manipolatore con gradi di libertà in eccesso, un attuatore guasto può spesso essere gestito ridistribuendo i comandi tra gli altri tramite l'allocazione del controllo. Dove non c'è un attuatore di riserva, il controllore deve rinunciare a qualcosa. Un esempio classico è un quadricottero che perde un rotore: con i tre rimanenti non può controllare in modo indipendente tutti e tre gli assi di rotazione e la spinta totale. Mueller e D'Andrea hanno mostrato nel 2014 che il velivolo può ancora volare lasciandolo ruotare continuamente attorno al proprio asse di imbardata e controllando solo la direzione del suo asse di spinta e la sua posizione. Un ragionamento simile vale per aeromobili con superfici di controllo danneggiate e per robot che perdono un giunto o una gamba.

La tolleranza ai guasti riguarda l'intero anello, non solo la legge di controllo. Il rilevamento dei guasti deve essere abbastanza rapido e affidabile da poter agire prima che il sistema diventi irrecuperabile, e il controllore riconfigurato si basa spesso su stime dello stato a loro volta più difficili da ottenere dopo il guasto. Un quadricottero in rotazione, per esempio, è difficile da gestire per le telecamere standard a causa del mosso, ed è per questo che la stima dello stato in tali condizioni è stata studiata con telecamere a eventi. I test combinano di solito la simulazione di guasti iniettati, esperimenti hardware-in-the-loop e, dove possibile, guasti deliberati su hardware vincolato con cavo o protetto.

Perché è importante

Robot e droni operano sempre più vicino alle persone e lontano da chi può ripararli. Un guasto che può essere assorbito via software, invece di richiedere hardware aggiuntivo o di finire in uno schianto, migliora sicurezza e affidabilità a basso costo. Il controllo tollerante ai guasti è anche una questione normativa e di certificazione nell'aviazione e in altri settori critici per la sicurezza.

Applicazioni principali

• Recupero di multirotori dopo il guasto di un rotore o di un motore
• Allocazione del controllo per attuatori ridondanti su aeromobili e droni
• Prosecuzione della manipolazione dopo guasti o bloccaggi dei giunti
• Robot con zampe che adattano l'andatura dopo danni a una zampa
• Gestione dei guasti dei sensori nella stima dello stato e nella navigazione

In pratica

Un gruppo aggiunge la gestione del guasto di un rotore al software di volo di un quadricottero. Un rilevatore confronta le accelerazioni angolari comandate con quelle misurate dall'IMU e segnala la perdita di un rotore entro una breve finestra temporale. Al rilevamento, il controllore passa dal normale controllore di assetto in cascata a un controllore di assetto ridotto che lascia ruotare il velivolo attorno al proprio asse di imbardata inclinando l'asse di rotazione per controllare il moto orizzontale. Il gruppo prova la commutazione prima in simulazione con guasti iniettati, poi sull'hardware con un rotore comandato a spinta nulla sopra una rete, e verifica che il rapporto spinta/peso del velivolo lasci margine sufficiente per mantenere la quota con tre rotori.

Idee sbagliate comuni

• La tolleranza ai guasti richiede sempre hardware ridondante — alcuni sistemi, come i quadricotteri, possono restare controllabili dopo la perdita di un attuatore rinunciando al controllo di un grado di libertà meno importante
• Il controllo tollerante ai guasti è solo un problema di progettazione del controllore — il rilevamento rapido dei guasti e una stima dello stato affidabile dopo il guasto sono spesso le parti più difficili
• Un sistema tollerante ai guasti funziona altrettanto bene dopo un guasto — la riconfigurazione di solito sacrifica prestazioni, come il controllo dell'imbardata o la capacità di carico utile, in cambio della prosecuzione del funzionamento sicuro

Chi dovrebbe saperlo

• Ingegneri di droni e di controllo del volo
• Ingegneri della sicurezza e dell'affidabilità dei sistemi autonomi
• Ricercatori di controllo che lavorano su controllo robusto e adattivo
• Ingegneri di robotica da campo che progettano per il funzionamento remoto

Tecnologie correlate

• Rilevamento e isolamento dei guasti (Fault Detection and Isolation, FDI)
• Allocazione del controllo (Control Allocation)
• Controllo robusto (Robust Control)
• Incremental Nonlinear Dynamic Inversion (INDI)
• PX4 Autopilot

Termini correlati

• UAV
• Cascaded Control
• Thrust-to-Weight Ratio
• Event Camera
• Visual-Inertial Odometry
• IMU

Progetti correlati

• MAVROS: ROS gateway for MAVLink-compatible autopilots (PX4, ArduPilot)
• Pegasus Simulator: Photorealistic multirotor simulation on NVIDIA Isaac Sim with PX4-in-the-loop