Riepilogo Tecnico: AURORA – Un Micro-Agente di Resilienza Consapevole dell'Incertezza per l'Osservabilità Causale

1. Enunciato del Problema

Il continuum di calcolo, che distribuisce l'elaborazione attraverso i livelli edge, fog e cloud, affronta sfide significative nel mantenere la resilienza a runtime a causa dell'eterogeneità del sistema. Un ostacolo primario è la prevalenza di guasti grigi – malfunzionamenti sottili e non catastrofici come la congestione di rete, la contesa della CPU e le perdite di memoria. Questi guasti producono sintomi ambigui e sovrapposti (ad esempio, degradazione del throughput, picchi di latenza, violazioni degli SLO) che sono difficili da distinguere dalle fluttuazioni transitorie del carico di lavoro.

Gli approcci esistenti spesso falliscono in questo contesto per due motivi:

1. Mancanza di Consapevolezza Causale: I sistemi basati su regole e il monitoraggio guidato dalle correlazioni non riescono a distinguere in modo affidabile tra ipotesi di guasto concorrenti, portando a rimedi errati (ad esempio, il riavvio di un servizio sano a causa di un problema di rete).
2. Alta Incertezza Epistemica: Molti framework di inferenza attiva (AIF) agiscono sotto alta incertezza senza limiti di sicurezza espliciti. In ambienti edge con risorse limitate, agire su un modello scarsamente calibrato può risultare in "interventi distruttivi" che aggravano i guasti o propagano la contesa.

Gli attuali approcci di governance a livello macro si trovano in difficoltà con il triage autonomo in tempo reale sui dispositivi edge, mentre i framework di micro-agente esistenti spesso mancano di limiti di sicurezza matematici per prevenire l'azione quando l'incertezza epistemica è pericolosamente alta.

2. Metodologia: Il Framework AURORA

Il documento propone AURORA (Micro-Agente di Resilienza Consapevole dell'Incertezza per l'Osservabilità Causale), un framework leggero progettato per ambienti di livello edge. Integra Inferenza Attiva (AIF), Reti Bayesiane (BN) e il do-calcolo di Pearl per abilitare il ragionamento causale localizzato e la rimediazione sicura.

Componenti Architettonici Principali

• Pipeline di Micro-Agente Parallela:
  • Livello di Osservazione: Quattro micro-agenti concorrenti a responsabilità singola monitorano aspetti specifici del sistema (Ritardo di Rete, Carico del Nodo, Traffico della Telecamera, Larghezza di Banda). Segnalano anomalie quando specifici predicati SLO ($\phi_i$) vengono violati.
  • Inferenza Causale: Rilevate le anomalie, un agente di inferenza dedicato costruisce una distribuzione a posteriori sulle cause radice candidate ($C$) utilizzando una Rete Bayesiana pre-specificata. Per garantire la trattabilità su hardware con risorse limitate (ad esempio, Raspberry Pi), l'inferenza è limitata al Markov Blanket del nodo sintomo, escludendo le variabili condizionalmente indipendenti.
  • Classificazione delle Cause Radice: I candidati sono classificati utilizzando un punteggio composito ($\rho$) che combina:
    1. Contrasto Interventale ($\Delta$): La variazione nella probabilità del sintomo sotto un'intervento controfattuale ($do(C)$) rispetto a un'assegnazione benigna.
    2. Gravità Osservata ($\sigma$): L'entità dell'anomalia.
    3. Priori Strutturali: Pesi che favoriscono i genitori diretti del sintomo e i nodi radice rispetto ai mediatori.

Il Meccanismo di Esecuzione a Doppia Porta

AURORA introduce un nuovo meccanismo di sicurezza che autorizza la rimediazione locale solo se sono soddisfatte due condizioni ortogonali. Se una di esse fallisce, l'agente si astiene dall'azione locale e scala il carico diagnostico al livello fog.

1. Porta 1: Porta di Certezza a Posteriori:

   • Verifica se la probabilità a posteriori massima ($P_{max}$) della causa radice classificata per prima supera una soglia dinamica ($\tau$).
   • Scalabilità Dinamica: La soglia $\tau$ viene rilassata linearmente in base al numero di anomalie concorrenti ($n$) per prevenire l'astensione totale durante scenari multi-guasto, limitata da un minimo di base ($\tau_{min}$).
   • Scopo: Garantisce che l'agente sia sufficientemente sicuro nel distinguere la classe di guasto.

2. Porta 2: Porta di Sicurezza dell'Energia Libera Variazionale (VFE):

   • Verifica se lo stato post-intervento previsto è coerente con le osservazioni attuali. Decompone la VFE ($F$) in:
     • Termine Pragmatico ($F_{pragmatic}$): Penalizza le azioni con bassa probabilità prevista di recupero degli SLO.
     • Termine Epistemico ($F_{epistemic}$): Penalizza le azioni che destabilizzano la distribuzione a posteriori del modello attraverso la rete.
   • Scopo: Garantisce che il modello generativo sia calibrato e che l'azione proposta non produca "sorpresa" (incoerenza) nello stato del sistema.

Logica di Rimediazione

Se entrambe le porte superano, l'agente esegue l'azione ($a^*$) che massimizza la probabilità di recupero degli SLO ($P(S=1 | do(a))$). Se una delle porte fallisce, il sistema attiva un'astensione intenzionale, serializzando il carico diagnostico e scaricandolo al livello fog per un'analisi più approfondita, piuttosto che rischiare un intervento locale distruttivo.

3. Contributi Chiave

Il documento riassume tre contributi tecnici principali:

1. Architettura Parallela Leggera: Un design di micro-agente che esegue osservabilità causale localizzata e ragionamento di recupero basato su AIF sotto credenza di guasto a posteriori e incertezza epistemica, adatto per dispositivi edge.
2. Modellazione Causale a Complessità Limitata: L'uso di Reti Bayesiane con inferenza vincolata dal Markov blanket per abilitare la diagnosi controfattuale delle cause radice in tempo reale tramite do-calcolo senza una valutazione esaustiva dello stato dell'intero sistema.
3. Meccanismo di Sicurezza a Doppia Porta: Un protocollo di esecuzione innovativo che autorizza il recupero locale solo quando la confidenza causale è alta e l'incertezza epistemica prevista è contenuta, altrimenti scalando al livello fog.

4. Risultati Sperimentali

Il framework è stato valutato in un simulatore basato su Python che emula un dispositivo edge per lo streaming video con risorse limitate (Raspberry Pi 4) sotto 30.006 prove di Monte Carlo che coinvolgono tre classi di guasti grigi: Problemi di Larghezza di Banda di Rete, Elaborazione Anomala (picchi di CPU) ed Esaurimento della Memoria.

Baseline Comparativi:

• Agente Basato su Regole: Soglie statiche senza ragionamento causale.
• Agente AIF (Senza Porta): AIF standard con BN ma senza limiti di sicurezza epistemica.

Metriche Chiave:

• Tasso di Azioni Distruttive: AURORA ha raggiunto lo 0,0% di azioni distruttive in tutte le prove. Al contrario, le baseline basate su Regole e AIF (Senza Porta) hanno mostrato un 33,3% di tasso di azioni distruttive.
• Accuratezza di Riparazione: AURORA ha mantenuto un'accuratezza di riparazione del 62,0%. Sebbene inferiore al 66,7% della baseline AIF senza porta, ciò è attribuito al rifiuto del framework di agire sotto alta incertezza (design safety-first).
• Tasso di Astensione: AURORA si è astenuto nel 65,9% dei casi, agendo come buffer di sicurezza. Il meccanismo a doppia porta non era ridondante: la Porta di Certezza a Posteriori ha innescato l'astensione nel 44,3% dei casi, mentre la Porta VFE l'ha innescata nel 21,6%, con la sovrapposizione che spiega il tasso totale di astensione.
• Tempo Medio di Riparazione (MTTR): Nonostante l'overhead computazionale dell'inferenza Bayesiana e del calcolo VFE, AURORA ha raggiunto un MTTR medio di 3ms, confermando la fattibilità per il deployment edge in tempo reale.

5. Significato e Affermazioni

Il documento afferma che AURORA dimostra la fattibilità della resilienza di micro-agente consapevole dell'incertezza all'edge. Il suo significato principale risiede nello spostamento del paradigma dall'"autonomia forzata" all'"astensione intenzionale".

Gli autori sostengono che, in condizioni di guasti grigi imprevedibili, riconoscere e limitare l'incertezza è più prezioso che tentare di risolvere ogni guasto autonomamente. Applicando rigorosamente i limiti di sicurezza, AURORA elimina il rischio di guasti a cascata distruttivi (comuni nei sistemi basati su regole e AIF senza porta), mantenendo al contempo un'accuratezza diagnostica paragonabile a modelli senza limiti. Il framework realizza un "degradamento elegante dell'autonomia", dove il livello edge gestisce localmente i casi sicuri a bassa incertezza e scala i casi ambigui ad alta incertezza al livello fog, piuttosto che prendere decisioni cieche e potenzialmente dannose.

Il documento conclude che, sebbene AURORA prevenga con successo gli interventi distruttivi, è necessario un lavoro futuro per distribuire il sistema su testbed fisici edge-fog per valutare le prestazioni sotto vincoli fisici realistici (ad esempio, rumore della telemetria, ritardi di attuazione) e per automatizzare la calibrazione dei predicati SLO e delle soglie delle porte.