Compositionally Safe Construction of Autonomous Driving Systems

यहाँ मारियस बोज़गा और जोसेफ सिफ़ाकिस के शोध पत्र "Compositionally Safe Construction of Autonomous Driving Systems" का विस्तृत तकनीकी सारांश दिया गया है।

1. समस्या विवरण (Problem Statement)

विश्वसनीय स्वायत्त ड्राइविंग सिस्टम (ADS) का विकास दो मौजूदा दृष्टिकोणों के बीच एक द्वंद्व का सामना कर रहा है, जिनमें से दोनों की सुरक्षा गारंटी के संबंध में महत्वपूर्ण सीमाएँ हैं:

• एंड-टू-एंड AI समाधान: हालांकि ये सरल और लागत प्रभावी हैं, लेकिन ये ब्लैक-बॉक्स मॉडल व्याख्यात्मकता (interpretability), नियतत्ववाद (determinism) और औपचारिक सुरक्षा गारंटी के अभाव में रहते हैं। वे गैर-व्याख्यात्मकता और विसंगतियों (anomalies) से ग्रस्त होते हैं।
• पारंपरिक बहु-मॉड्यूल प्रणालियाँ: ये बेहतर व्याख्यात्मकता प्रदान करती हैं लेकिन समस्या की अंतर्निहित जटिलता से जूझती हैं। इनमें अक्सर मॉड्यूल कंपोजेबिलिटी (composability) की कमी होती है, जिससे संचयी त्रुटियाँ और सूचना की हानि होती है।
• मौजूदा नियंत्रण सिद्धांत (Control Theory): PID, MPC और LPV जैसी विधियाँ कम्प्यूटेशनल जटिलता और विविध ड्राइविंग परिदृश्यों के लिए यथार्थवादी सुरक्षा बाधाओं को मॉडल करने में कठिनाई से बाधित हैं।

मुख्य चुनौती एक ऐसा ADS निर्मित करना है जो निर्माण द्वारा सुरक्षित (safe by construction) हो, जो बिना किसी अपुष्ट AI ह्यूरिस्टिक्स या जटिल वैश्विक अनुकूलन (global optimization) पर निर्भर रहे, जटिल और गतिशील वातावरण को संभालने में सक्षम हो।

2. कार्यप्रणाली (Methodology)

लेखक एक कंपोजिशनल, नियम-आधारित दृष्टिकोण प्रस्तावित करते हैं जो औपचारिक विधियों (formal methods) और "असम (assume)-गारंटी (guarantee)" अनुबंधों पर आधारित है। यह कार्यप्रणाली वैश्विक सुरक्षा समस्या को तीन प्रमुख सिद्धांतों के आधार पर प्रबंधनीय स्थानीय उप-समस्याओं में विभाजित करती है:

A. अपघटन सिद्धांत (Decomposition Principles)

1. संदर्भ की स्थानीयता (Locality of Context): सुरक्षा नीतियों को विशिष्ट सड़क पैटर्न (जैसे, सीधी सड़कें, मर्ज, चौराहे) के आधार पर विभाजित किया जाता है। सिस्टम यह मानता है कि यातायात बुनियादी ढांचा परिमित पैटर्न (finite patterns) का एक संयोजन है।
2. ज्ञान की स्थानीयता (Locality of Knowledge): वाहन केवल स्थानीय दृश्यता (एक "विजिबिलिटी ज़ोन") पर निर्भर करते हैं। सुरक्षा सुनिश्चित करने के लिए केवल इस ज़ोन के भीतर के बाधाओं पर विचार किया जाता है, जिसमें अनिश्चितता को ध्यान में रखने के लिए दृश्यता सीमाओं पर काल्पनिक वाहन (fictitious vehicles) भी शामिल हैं।
3. अधिकार-आधारित जिम्मेदारी (Rights-Based Responsibility): प्रत्येक वाहन यातायात नियमों द्वारा परिभाषित अपने स्वयं के "मुक्त स्थान" (free space) को प्रबंधित करने के लिए जिम्मेदार है। यदि प्रत्येक वाहन अपने आवंटित मुक्त स्थान के भीतर सुरक्षित रूप से चलता है, तो संपूर्ण प्रणाली (SADS) सुरक्षित है।

B. ड्राइविंग कॉन्फ़िगरेशन (Driving Configurations)

सिस्टम वातावरण को एक मेट्रिक ग्राफ (सड़कें और जंक्शन) के रूप में मॉडल करता है। ऑटोपायलट को ड्राइविंग कॉन्फ़िगरेशन के रूप में इनपुट प्राप्त होते हैं, जो एक ट्रिपल $\langle q_e, q_F, q_A \rangle$ द्वारा परिभाषित हैं:

• $q_e$: ईगो वाहन (ego vehicle) की स्थिति।
• $q_F$: ईगो के मार्ग पर सामने की बाधाओं (वाहनों या संकेतों) की स्थिति।
• $q_A$: जंक्शनों या मर्जिंग बिंदुओं पर पहुँचने वाले वाहनों की स्थिति।

इन कॉन्फ़िगरेशनों को तीन प्रकारों में वर्गीकृत किया गया है:

1. रोड कॉन्फ़िगरेशन: दृश्यता में कोई जंक्शन नहीं; वाहन आगे के अवरोध का अनुसरण करता है।
2. मर्जिंग कॉन्फ़िगरेशन: ईगो वाहन एक उच्च-प्राथमिकता वाली सड़क में शामिल होता है या लेन बदलता है।
3. क्रॉसिंग कॉन्फ़िगरेशन: ईगो वाहन एक जंक्शन को पार करता है (जो ट्रैफिक लाइट, स्टॉप साइन या यील्ड साइन द्वारा संरक्षित होता है)।

C. नियंत्रण नीति वास्तुकला (Control Policy Architecture)

ऑटोपायलट प्रत्येक कॉन्फ़िगरेशन प्रकार के लिए दो क्रमिक चरणों में कार्य करता है:

1. सावधानी चरण (Caution Phase): वाहन एक संभावित संघर्ष (जैसे, यील्ड साइन या चौराहा) के पास पहुँचता है, जहाँ वह अपनी गति को इस तरह प्रबंधित करता है कि यदि स्थितियाँ स्पष्ट न हों, तो वह सुरक्षित रूप से रुक सके।
2. प्रगति चरण (Progress Phase): एक बार जब क्लियरेंस कंडीशन (यह सिद्ध करना कि टक्कर का जोखिम नहीं है) पूरी हो जाती है, तो वाहन बाधा को पार करने के लिए गति बढ़ाता है।

नीतियाँ दो मौलिक गणितीय कार्यों का उपयोग करके लागू की जाती हैं जो वाहन गतिकी (vehicle dynamics) को दर्शाते हैं:

• ब्रेकिंग फंक्शन $B(v)$: गति $v$ से रुकने के लिए आवश्यक दूरी।
• स्पीड कंट्रोल फंक्शन $C(v, V_L)$: वर्तमान गति और गति सीमाओं के एक अनुक्रम $V_L$ को देखते हुए अधिकतम सुरक्षित गति परिवर्तन $\Delta v$ और दूरी $\Delta d$ की गणना करता है, जिससे यह सुनिश्चित होता है कि वाहन नियंत्रणीय रहे।

3. मुख्य योगदान (Key Contributions)

1. कंपोजिशनल सुरक्षा प्रमाण: शोध पत्र एक औपचारिक प्रमाण प्रदान करता है कि यदि एक वाहन प्रत्येक व्यक्तिगत ड्राइविंग कॉन्फ़िगरेशन प्रकार (रोड, मर्ज, क्रॉस) में सुरक्षित है, और इन कॉन्फ़िगरेशनों के बीच संक्रमण (transitions) विशिष्ट टेम्पोरल स्थितियों को संतुष्ट करते हैं, तो वैश्विक प्रणाली का व्यवहार सुरक्षित है।
2. "मुक्त स्थान" की औपचारिक परिभाषा: लेखक प्रत्येक वाहन के लिए एक गतिशील "मुक्त स्थान" को परिभाषित करते हैं, जो निकटतम बाधा, गति सीमा और ब्रेकिंग क्षमताओं द्वारा सीमित है। वे सिद्ध करते हैं कि यदि वाहन अपने अलग-अलग मुक्त स्थानों के भीतर रहते हैं, तो टक्कर असंभव है।
   मान लीजिए कि "असम" (assumption) यह है कि अन्य एजेंट (या वातावरण) अपने स्वयं के मुक्त स्थानों के भीतर यातायात नियमों के अनुसार व्यवहार करते हैं, और "गारंटी" (guarantee) यह है कि ईगो वाहन अपनी सुरक्षा बाधाओं का उल्लंघन नहीं करेगा।
3. दो-चरणीय नीति डिजाइन: एक नवीन नियंत्रण संरचना जो स्पष्ट रूप से "सावधानी" (जोखिम न्यूनीकरण) को "प्रगति" (दक्षता) से अलग करती है, जिसे एक बूलियन क्लियरेंस फ्लैग द्वारा नियंत्रित किया जाता है। यह सुनिश्चित करता है कि सिस्टम अत्यधिक रूढ़िवादी (डेडलॉक) या लापरवाह न हो।
4. दृश्यता बाधाओं का प्रबंधन: विधि दृश्यता ज़ोन की सीमाओं पर "काल्पनिक वाहनों" को शामिल करती है ताकि पूर्ण वातावरण ज्ञात न होने पर भी सुरक्षा सुनिश्चित की जा सके।

4. परिणाम (Results)

• सैद्धांतिक सत्यापन: लेखक प्रमेय 1 (Theorem 1) को सिद्ध करते हैं: यदि एक ADS सिस्टम (SADS) प्रारंभ में सुरक्षित है, तो यह निष्पादन के दौरान सुरक्षित रहता है। यह सिद्ध करके प्राप्त किया गया है कि:
  • सुरक्षित अवस्थाएँ गति सीमाओं और अलग-अलग मुक्त स्थानों के अनुपालन को दर्शाती हैं (लेम्मा 1)।
  • अवस्थाओं के बीच संक्रमण सुरक्षा को बनाए रखता है (लेम्मा 2–4)।
  • अवस्थाओं के बीच का कदम "गैर-हस्तक्षेपकारी" (non-intrusive) है (अर्थात, कोई वाहन अचानक दूसरे के मुक्त स्थान में इस तरह नहीं आता जिससे सुरक्षा का उल्लंघन हो) (लेम्मा 6)।
• संचालन का कवरेज: फ्रेमवर्क प्रमुख ड्राइविंग ऑपरेशनों को सफलतापूर्वक कवर करता है: मुख्य सड़कों में प्रवेश करना, ओवरटेकिंग (मर्ज के रूप में मॉडल किया गया), जंक्शन पार करना (लाइट, स्टॉप साइन या यील्ड साइन के साथ), और फ्रीवे ड्राइविंग।
• सरलता: नियंत्रण नीतियां ब्रेकिंग दूरी और यात्रा समय की भविष्यवाणियों में शामिल सरल अंकगणितीय गणनाओं पर निर्भर करती हैं, जो जटिल न्यूरल नेटवर्क या भारी अनुकूलन सॉल्वर से बचती हैं।

5. महत्व (Significance)

• ADS के लिए एक "तीसरा रास्ता": यह शोध पत्र वर्तमान AI बनाम पारंपरिक इंजीनियरिंग बहस के लिए एक व्यवहार्य विकल्प प्रदान करता है। यह औपचारिक सत्यापन की कठोरता को नियम-आधारित प्रणालियों की व्यावहारिकता के साथ जोड़ता है।
• स्केलेबिलिटी: समस्या को स्थानीय कॉन्फ़िगरेशन में विभाजित करके और कंपोजिबिलिटी को सिद्ध करके, यह विधि मल्टी-एजेंट सिस्टम के वैश्विक सत्यापन में सामान्य "स्टेट एक्सप्लोजन" (state explosion) की समस्या से बचती है।
• निर्माण द्वारा सुरक्षा (Safety by Construction): पोस्ट-हॉक परीक्षण या सिमुलेशन-आधारित सत्यापन के विपरीत, सुरक्षा को नियंत्रण नीतियों और उनके द्वारा बनाए रखे जाने वाले इनवेरिएंट्स (invariants) के डिजाइन द्वारा गणितीय रूप से गारंटी दी जाती है।
• व्यावहारिक प्रयोज्यता: सरल कार्यों ($B$ और $C$) पर निर्भरता यह सुझाव देती है कि इस दृष्टिकोण को मानक ऑटोमोटिव हार्डवेयर पर कम कम्प्यूटेशनल ओवरहेड के साथ लागू किया जा सकता है, बशर्ते कि अंतर्निहित वाहन गतिकी अच्छी तरह से परिभाषित हो।

निष्कर्षतः, बोज़गा और सिफ़ाकिस प्रदर्शित करते हैं कि स्वायत्त ड्राइविंग सुरक्षा को एक मॉड्यूलर, कंपोजिशनल फ्रेमवर्क के माध्यम से प्राप्त किया जा सकता है जो स्थानीय वाहन व्यवहारों को वैश्विक प्रणाली सुरक्षा से कठोरता से जोड़ता है, जो विश्वसनीय स्वायत्त प्रणालियों की ओर एक मजबूत मार्ग प्रदान करता है।