IDDMBSE: Integrating Data-Driven and Model-Based Systems Engineering for Trusted Autonomous Cyber-Physical Systems

Résumé Technique : IDDMBSE – Intégrer l'Ingénierie Système Pilotée par les Données et le Modèle

Problématique
Les systèmes cyber-physiques (CPS) autonomes reposent de plus en plus sur des architectures hybrides qui entrelacent des composants traditionnels basés sur des modèles (cinématique, planificateurs, contrôleurs) avec des composants d'apprentissage automatique et d'intelligence artificielle (ML/IA) pilotés par les données (réseaux de perception, politiques apprises). Bien que l'ingénierie système basée sur les modèles (MBSE) fournisse un cadre rigoureux pour la conception de systèmes complexes, elle manque de méthodologies natives pour intégrer les composants pilotés par les données. À l'inverse, le ML/IA offre de puissantes capacités d'inférence mais opère souvent comme une « boîte noire » au sein du système, manquant de traçabilité formelle vis-à-vis des exigences. Les pratiques industrielles actuelles traitent généralement les sous-systèmes ML/IA comme des boîtes noires greffées a posteriori sur des structures basées sur des modèles, ce qui entraîne des systèmes fragiles, des cycles de conception lents et des arguments de certification faibles. Il existe un écart critique dans la méthodologie de l'ingénierie système (SE) qui couvre nativement à la fois le processus en V rigoureux et traçable de la MBSE et la nature empirique et pilotée par les données des piles d'autonomie modernes.

Méthodologie : IDDMBSE
Le document propose l'IDDMBSE (Integrated Data-Driven and Model-Based Systems Engineering), une méthodologie qui étend le processus en V standard de la MBSE en superposant une boucle pilotée par les données à chaque étape. L'approche est ancrée dans SysML comme représentation centrale et traite la pile d'autonomie comme un élément architectural de premier rang plutôt que comme une charge utile opaque.

La méthodologie est pilotée par un référentiel d'exigences, garantissant que les efforts pilotés par les données ne sont déployés que là où les modèles fondés sur les premiers principes sont insuffisants pour garantir la satisfaction des exigences. Le cadre intègre trois extensions structurelles :

1. Augmentation pilotée par les données : Chaque étape du processus en V (structure, comportement, mapping, exigences, arbitrage, vérification) est augmentée par des composants ML/IA, leurs données d'entraînement et leurs profils d'incertitude.
2. Modélisation de la pile d'autonomie : La pile perception-planification-contrôle est modélisée comme un bloc SysML doté de ports structurels, comportementaux et paramétriques qui se lient directement à des implémentations exécutables (par exemple, ROS 2).
3. Architecture d'arbitrage hybride : L'exploration de l'espace de conception combine l'optimisation basée sur les modèles (pour les composants tractables) avec l'évaluation pilotée par les données (pour les composants appris).

Contributions Clés : La Chaîne d'Outils
La méthodologie est instanciée par une chaîne d'outils interopérable et open-source comprenant trois outils principaux, tous couplés via un hub de modélisation SysML partagé :

1. PERFECT (PERFormance Evaluation Composable Tool-suite) :

   • Fonction : Cartographie les architectures système SysML vers des piles d'autonomie ROS 2 exécutables pour une évaluation de performance scalable.
   • Mécanisme : Il expose un profil SysML qui lie les blocs système aux nœuds et paramètres ROS 2. PERFECT synthétise les configurations de lancement, distribue les tâches de simulation sur un pool de calcul (en utilisant Isaac Sim ou Gazebo) et agrège les résultats vers les diagrammes paramétriques SysML.
   • Innovation : Contra contrairement aux suites de benchmarking standards, PERFECT maintient un « fil numérique » où les configurations d'expérience sont dérivées du modèle SysML et y réinjectées, assurant la traçabilité entre l'architecture et la mesure.

2. TRADES-X (TRadeoff Analysis and DEsign Space Exploration) :

   • Fonction : Réalise une exploration de l'espace de conception hybride, à la fois basée sur les modèles et pilotée par les données.
   • Mécanisme : Il décompose l'espace de conception en deux étapes :
     • Optimisation basée sur les modèles (MBO) : Utilise des modèles fondés sur les premiers principes pour élaguer l'espace de conception et générer une frontière de Pareto-optimale de candidats.
     • Optimisation pilotée par les données (DDO) : Exécute des expériences statistiques sur les candidats survivants en utilisant PERFECT comme socle d'exécution.
   • Innovation : Il traite les exigences comme des classes partitionnées (basées sur le modèle vs pilotées par les données) et utilise la différenciation automatique pour classer les exigences par sensibilité, ancrant les priorités qualitatives dans une analyse quantitative.

3. VERITAS (VERIfication of Trusted Autonomous Systems) :

   • Fonction : Fournit un flux de travail d'assurance unifié combinant la vérification formelle, pilotée par les données et le monitoring au runtime.
   • Mécanisme :
     • Vérification mathématique : Compile les diagrammes SysML en automates temporisés (UPPAAL) pour une preuve formelle.
     • Vérification pilotée par les données : Utilise des campagnes de simulation PERFECT pour estimer les taux de défaillance et les intervalles de confiance pour les modèles formels intraitables.
     • Surveillance au runtime : Synthétise des observateurs (par exemple, des moniteurs de logique temporelle du signal) pour détecter les violations de spécifications dans la pile déployée.
   • Innovation : Un candidat de conception n'est considéré comme « assuré » que s'il survit aux trois modules de vérification, fournissant un argument d'assurance multidimensionnel à partir d'une source unique.

Résultats et Démonstrations
Le cadre a été démontré sur un Robot Terrestre Autonome de Confiance (AGR) tout au long de son cycle de développement, utilisant une zone de test de terrain contesté dans NVIDIA Isaac Sim :

• Sélection de la suite de capteurs (TRADES-X) : La chaîne d'outils a réduit 8 192 configurations de capteurs candidates à 92 candidats Pareto-optimaux via MBO, puis à 7 survivants pour l'évaluation pilotée par les données, sélectionnant finalement un seul design recommandé.
• Planification de trajectoire sensible au risque (PERFECT) : Le cadre a évalué le planificateur RA-RRT* par rapport à RRT* à travers différents niveaux de bruit et de risque. Les résultats ont montré que la politique averse au risque atteignait des longueurs de chemin maximales plus faibles et moins de défaillances, PERFECT permettant la campagne distribuée requise pour ces comparaisons.
• Vérification d'arbres de comportement (VERITAS) : L'outil a supporté la génération automatique de modèles et la synthèse de moniteurs en ligne à partir de spécifications d'arbres de comportement, permettant la vérification formelle des plans de tâches.
• Perception robuste (Prédiction Conforme) : Le système a implémenté la prédiction conforme pour envelopper les détecteurs d'objets avec des garanties sans distribution. PERFECT a généré les données nécessaires, étiquetées avec vérité terrain en boucle fermée, pour calibrer le système, tandis que TRADES-X a optimisé l'arbitrage entre marges de sécurité et conservatisme de la navigation.
• Coordination multi-robots assurée : Le cadre a mis à l'échelle vers une équipe de robots, décomposant les exigences de haut niveau de la flotte en spécifications de logique temporelle du signal (STL). VERITAS a vérifié les trajectoires exécutées, identifiant avec succès une légère violation dans le chemin d'un robot que la synthèse seule aurait pu manquer.

Signification et Revendications
L'article affirme que l'IDDMBSE répond à la cause racine du fossé d'intégration dans les CPS autonomes : l'absence d'une méthodologie qui traite les composants ML/IA comme des citoyens de premier rang, pilotés par les exigences, du processus en V. En intégrant ces composants dans une représentation SysML unifiée, le cadre permet :

• Traçabilité : Lier les composants ML/IA, la structure du système et les exigences via un modèle unique.
• Scalabilité : Utiliser des priors basés sur les modèles pour élaguer l'espace de conception avant de dépenser des ressources empiriques rares pour l'évaluation pilotée par les données.
• Assurance : Boucler entre les modèles formels, les preuves statistiques et la surveillance au runtime pour soutenir l'« Autonomie de Confiance » (des systèmes qui s'auto-surveillent et s'auto-ajustent sous des garanties de sécurité vérifiables).

Les auteurs notent que l'implémentation actuelle repose sur l'outillage SysML v1, ce qui introduit une tuyauterie « fragile et liée à l'interface graphique ». Les travaux futurs se concentrent sur la reformulation de l'IDDMBSE sur les fondations SysML v2 / KerML pour permettre une composabilité native du langage, une intégration orientée API et un couplage plus étroit avec l'IA agentique pour le processus en V.