Passive Fault Tolerance through Tension-to-Thrust Feed-Forward: Hybrid Input-to-State Stability for Decentralized Multi-UAV Slung-Load Transport under Abrupt Cable Severance

Résumé technique : Tolérance aux pannes passive par précommande tension-poussée

Énoncé du problème
L'article aborde le défi de la rupture brutale de câbles dans le transport aérien coopératif, où plusieurs véhicules aériens sans pilote (UAV) transportent une charge utile partagée via des câbles flexibles. Dans de tels scénarios, une défaillance de câble modifie instantanément la topologie des contraintes du système et redistribue la charge parmi les câbles restants. Cet événement se produit sur une échelle de temps (secondes) souvent inférieure à la latence requise pour le diagnostic, la classification des pannes et la reconfiguration du contrôleur traditionnels. Les approches existantes reposent généralement sur une coordination centralisée, un échange d'états entre pairs ou des topologies de câbles fixes, sans mécanisme de récupération décentralisé certifié pour les événements de rupture non annoncés. Le problème central consiste à concevoir un contrôleur décentralisé qui maintient la stabilité et les performances de suivi en utilisant uniquement des informations locales, sans nécessiter de drapeaux de panne explicites ni de communication inter-agent.

Méthodologie
Les auteurs proposent une architecture de contrôle passive où chaque UAV mappe sa tension de câble locale mesurée directement dans sa commande de poussée d'altitude comme terme de précommande ($T_{ff}^i = T_i$). Cette identité permet au contrôleur de réagir immédiatement à la redistribution de charge dès la rupture, car la mesure de tension locale change instantanément.

La structure de contrôle pour chaque drone se compose d'une cascade à trois couches :

1. Boucle externe : Un contrôleur Proportionnel-Dérivé (PD) avec un décalage de créneau anti-oscillation qui amortit passivement le mouvement pendulaire de la charge utile.
2. Couche intermédiaire : Un Programme Quadratique (QP) convexe à un pas unique qui projette l'accélération cible sur l'enveloppe faisable d'inclinaison et de poussée, intégrant le terme de précommande de tension dans les bornes verticales.
3. Boucle interne : Un contrôleur d'attitude PD suivant les angles d'Euler désirés.

Le système est modélisé comme un système hybride avec des dynamiques en temps continu et des transitions structurelles discrètes (rupture de câble). L'analyse repose sur un modèle d'ordre réduit où les dynamiques de câble de Kelvin-Voigt distribuées sont approximées par un modèle de tension scalaire concentré, valable sous des hypothèses de balancement de jeu borné et de temps de séjour. La preuve de stabilité utilise un cadre de stabilité entrée-état (ISS) pratique hybride conditionnelle, combinant des sauts de Lyapunov bornés lors des événements de panne avec une décroissance exponentielle entre les pannes.

Contributions clés
L'article présente trois contributions principales :

1. Précommande tension-poussée locale : L'introduction du terme $T_{ff}^i = T_i$ comme mécanisme de tolérance à la rupture de câble. Ce terme mappe la redistribution de tension post-rupture vers une correction de poussée immédiate en utilisant uniquement des mesures locales, éliminant ainsi le besoin d'une chronologie de détection de panne ou de reconfiguration.
2. Certificat ISS pratique hybride : Une preuve théorique établissant que le système en boucle fermée décentralisé est un ISS pratique hybride sous des hypothèses spécifiques concernant les actionneurs, le balancement de jeu et le temps de séjour. La preuve génère une enveloppe de récupération explicite caractérisée par une décroissance exponentielle et un facteur de contraction par cycle de panne $\rho \in (0, 1)$.
3. Validation haute fidélité : Résultats de simulation étendus utilisant le simulateur multibody Drake avec cinq UAV, une charge utile de 10 kg et un vent réaliste (modèle Dryden). L'étude valide la récupération après rupture simple et double de câbles dans un cycle de pendule de charge utile. Crucialement, les études d'ablation démontrent que la désactivation du terme de précommande de tension augmente l'erreur de croisière de 34 à 39 % et le flèche maximale post-panne de 3,6 à 4,0 fois, identifiant le terme de précommande comme le mécanisme de récupération dominant.

Résultats
La campagne de simulation (variantes V1–V6) démontre ce qui suit :

• Performances de suivi : Le système atteint une erreur quadratique moyenne (RMSE) 3D de 0,312–0,328 m et une flèche maximale de charge utile de 76,1–95,2 mm dans des conditions de panne.
• Vitesse de récupération : La récupération après pannes simples et doubles se produit dans un cycle de pendule de charge utile (environ 2,24 s). Dans de nombreux cas, le système se stabilise vers le nouvel équilibre en un temps inférieur à l'itération (0,00 s à 0,33 s).
• Robustesse : Le contrôleur maintient ses performances en cas de désaccords de masse (testé de 2,5 kg à 3,9 kg de charge utile avec augmentation L1) et de perturbations de vent.
• Constats d'ablation : La désactivation de l'identité $T_{ff}^i = T_i$ dégrade considérablement les performances, confirmant son rôle en tant que mécanisme de récupération passive principal.
• Couches d'extension : Des couches optionnelles (contrôle adaptatif L1, application de plafond de tension par MPC, et remodelage de formation) ont été évaluées. Les résultats indiquent que pour la famille de missions testée, ces extensions n'altèrent pas matériellement les trajectoires, car le terme de précommande de base domine le comportement de récupération. Les couches MPC et de remodelage restent inactives ou non contraignantes dans les régimes canoniques testés.

Signification et affirmations
L'article affirme que l'architecture proposée modifie fondamentalement l'approche de la tolérance aux pannes dans le transport coopératif en rendant la chronologie « détection-classification-reconfiguration » inutile pour les transitions structurelles brutales. En utilisant les mesures de force locales comme canal de réponse directe, le système atteint la stabilité par passivité plutôt que par reconfiguration active.

Les auteurs affirment que le terme de précommande tension-poussée suffit à fournir une enveloppe de récupération certifiée pour les ruptures de câbles non annoncées, à condition que le système opère dans les hypothèses énoncées (balancements de jeu bornés, temps de séjour suffisant entre les pannes et marges d'actionneurs). Le travail démontre que le contrôle décentralisé peut gérer les changements de cardinalité de l'ensemble des contraintes sans synchronisation d'état globale ni signalisation explicite de panne, offrant une solution robuste pour les déploiements pratiques de transport aérien où la latence de communication et de calcul peut empêcher une gestion active des pannes.