技術要約: ASSURE-BVLOS

1. 問題提起

無人航空機システム（UAS）の目視外飛行（BVLOS）運用は、異種混合の宇宙・空・地上ネットワーク、オンボード自律走行、リモートセンシング、および外部地理空間データへの複雑な相互依存性をますます必要としている。現在の安全保証アプローチは、通常、これらの依存関係を個別に扱っている。すなわち、コマンド＆コントロール（C2）の性能は通信の問題として管理され、知覚の信頼性は自律走行の問題として、そして運用の認可は飛行前コンプライアンスの問題として扱われている。

この分離は、決定的な「保証のギャップ（assurance gap）」を生み出す。劣化は、単一のサブシステムが従来の故障閾値を超える前に、システム層間（例：通信リンクから知覚モジュールへ）を伝播する可能性がある。その結果、静的なテレオペレーション中心のベースラインでは、例えば「150ミリ秒の遅延は開けた空間での検査には許容できるが、近接飛行においては致命的である」といった、文脈に応じた残留リスクを検知できない可能性がある。本論文は、これらの環境における安全な運用には、単なるサービスの可用性ではなく、サービスの品質と情報の完全性について推論する、統合された実行時認識型のフレームワークが必要であると主張している。

2. 手法: ASSURE-BVLOS フレームワーク

本論文は、通信、センシング、データパイプライン、および自律走行を単一の運用手法内に連結するように設計された、保証認識型アーキテクチャである ASSURE-BVLOS を導入している。このフレームワークは、以下の4つのコアメカニズムを通じて機能する。

A. 5ドメイン・リスク・オントロジー

システムは、任意の時刻 $t$ において、正規化されたリスクベクトル $x(t) = [r_{C2}, r_{S}, r_{D}, r_{E}, r_{V}]$ を構築する。これには以下が含まれる：

1. C2 完全性: ラウンドトリップタイム、ジッター、パケットロス、リンクの経過時間、および認証ステータス。
2. センシング信頼性: 検知の確信度、トラックの連続性、センサー間の不一致、およびGNSSの完全性。
3. データ完全性: 外部データ（例：衛星画像、気象情報）の情報経過時間、プロベナンス（由来）、校正ステータス、および処理レイテンシ。
4. 環境曝露: 天候の厳しさ、地形のクリアランス、空域密度、および人口曝露。
5. 車両ヘルス: エネルギー残量、推進マージン、および飛行制御ステータス。

B. リスク集約と不確実性ペナルティ

単純な加重和の代わりに、本手法は有界乗法的リスク指数（$R_t$）を使用し、複数の緩やかなリスクが同時に発生した場合に過小評価されないようにしている：
$$R_t = 1 - \prod_{i=1}^{n} (1 - r_i(t))^{w_i}$$
低信頼性の入力によって平均化が隠蔽されるのを防ぐため、明示的な不確実性ペナルティが適用される：
$$R^*_t = \min [1, R_t + \lambda_s D_s(t) + \lambda_a A_d(t)]$$
ここで、$D_s$ はセンサー間の不一致を、$A_d$ は有界なデータの経過時間を表す。

C. 5状態運用権限ポリシー

集約されたリスク指数 $R^*_t$ に基づき、システムはヒステリシスを利用して頻繁な切り替えを防ぎながら、運用権限を動的に再割り当てる。

• S0 (Nominal/正常): $R^* < 0.25$。人間による監視または直接コマンド。
• S1 (Constrained/制約あり): $0.25 \le R^* < 0.42$。速度低下、分離距離の拡大、および限定的な操縦。
• S2 (Protected Autonomy/保護された自律走行): $0.42 \le R^* < 0.60$。オンボードの軌道保持または検証済みのローカルプランニング。リモートパイロットが監視を行う。
• S3 (Contingency/コンティンジェンシー): $0.60 \le R^* < 0.76$。回避、ホールド、または事前定義された安全サイトへの帰還。
• S4 (Terminate/終了): $R^* \ge 0.76$。承認された飛行終了または最小リスク手順の実行。

D. デジタル安全性ケース・エビデンスループ

すべての状態遷移は、主張（claims）、モニター出力、トリガー、応答、および結果を紐付けた、時刻インデックス付きのエビデンスレコードとして記録される。これにより、事後飛行の再構成と検証のための「生きた」デジタル安全性ケースが作成される。

3. 実験的評価

本フレームワークは、3つのアーキタイプにわたる100,000件のミッション状態を用いた、再現可能なモンテカルロ・シミュレーションを用いて評価された。

1. 災害対応: 急激に変化するシーンと、劣化した地上通信を特徴とする。
2. 線形インフラ点検: 長い回廊、資産への近接、および変動するセルラーカバレッジを伴う。
3. 海洋監視: 長時間の滞空、希薄な地上カバレッジ、およびSATCOMへの依存を特徴とする。

シミュレーションでは、宣言されたサブシステムの故障にのみ反応する、静的なテレオペレーション中心のベースラインとASSURE-BVLOSポリシーを比較した。入力分布（遅延については対数正規分布、パケットロスについてはベータ分布など）は合成されたものであるが、観測されたネットワークの歪みと境界性を再現するように設計されている。

4. 主な結果

• リスク削減: ASSURE-BVLOSポリシーは、シミュレーション上の有害な結果を、ベースラインの**12.76%から9.62%**へと減少させ、24.6%の相対的なリスク削減を実現した。
• 高リスクへの対処: 高C2リスク条件下において、ベースラインがミッションを継続したケースが1.67%あったのに対し、ASSURE-BVLOSフレームワークは、**100%**のケースで権限を保護された自律走行またはより保守的な状態へと正常に移行させた。
• 状態利用率: システムは「制約あり（Constrained）」状態で時間の大部分（64.50%）を過ごし、「正常（Nominal）」運用は28.11%であった。保護された自律走行およびコンティンジェンシー状態の使用頻度は低く（それぞれ7.09%および0.2%）、これは本ポリシーが過度なミッション終了を招くことなく、効果的にリスクを管理していることを示している。
• 堅牢性: 感度分析により、閾値の摂動（$\pm 10\%$）によって絶対的な介入率は変化するものの、相対的なリスク削減率は一貫していることが示された。アブレーション研究により、いずれか一つのリスクドメイン（C2、センシング、データ、環境、または車両）を省略すると、クリティカルな状態を特定する能力が低下することが確認され、マルチドメイン・アプローチの必要性が検証された。

5. 意義と主張

本論文は、ASSURE-BVLOSを、認証された制御則や規制上の承認としてではなく、透明性の高いシステムエンジニアリング手法として位置づけている。その主な貢献は以下の通りである：

1. ドメインの統合: 通信性能、情報の完全性（プロベナンス/経過時間）、および実行時の権限管理の間のギャップを明示的に埋め、外部データの品質を、単なる管理用メタデータではなく直接的な安全因子として扱う。
2. 文脈に応じたリスク管理: 乗法的指数と不確実性ペナルティを用いることで、バイナリな故障アラームが作動する前に、層間で劣化が伝播するという「保証のギャップ」に対処する。
3. 追跡可能なエビデンス: デジタル安全性ケース・ループは、実行時の決定を監査可能なエビデンスに紐付ける構造化されたメカニズムを提供し、将来のハードウェア・イン・ザ・ループ（HIL）および飛行試験による検証をサポートする。
4. 限定的な範囲: 著者らは、結果は合成条件下でのモデルの挙動のエビデンスであり、現実世界の事故率の推定値ではないことを明記している。重みや閾値は手法のデモンストレーションのためのものであり、本フレームワークは、規制上の受け入れの前に、その後の検証（解析、シミュレーション、HIL、および運用試験）を必要とする。

本フレームワークは、静的なテレオペレーション中心の安全モデルから、動的でリスク適応型の自律走行への移行を支援するように設計されており、実行時保証研究と運用中心のリスク評価（例：SORA）との間の構造化された架け橋を提供するものである。