Technische Samenvatting: ASSURE-BVLOS

1. Probleemstelling

Buiten het zichtveld (Beyond-visual-line-of-sight, BVLOS) operaties voor onbemande luchtvaartuigen (UAS) leunen steeds vaker op een complexe interdependentie van heterogene ruimte-lucht-grondnetwerken, on-board autonomie, remote sensing en externe geospatiale data. Huidige methoden voor veiligheidsborging behandelen deze afhankelijkheden doorgaans geïsoleerd: de prestaties van command-and-control (C2) worden beheerd als een communicatievraagstuk, perceptie-betrouwbaarheid als een autonomievraagstuk, en operationele autorisatie als een compliance-vraagstuk voorafgaand aan de vlucht.

Deze scheiding creëert een kritieke "assurance gap" (borgingskloof). Degradatie kan zich over systeemlagen voortplanten (bijv. van een communicatielink naar een perceptiemodule) voordat een van de subsystemen zelf een conventionele foutdrempel overschrijdt. Bijgevolg kunnen statische, op teleoperatie gerichte baselines er niet in slagen om contextuele residuele risico's te detecteren, zoals een vertraging van 150 ms die acceptabel is voor inspectie in de open lucht, maar catastrofaal is voor vluchten in nauwe nabijheid. Het artikel betoogt dat veilige operaties in deze omgevingen een verenigde, runtime-bewuste architectuur vereisen die redeneert over de kwaliteit van diensten en de integriteit van informatie, in plaats van enkel over de beschikbaarheid van diensten.

2. Methodologie: Het ASSURE-BVLOS Framework

Het artikel introduceert ASSURE-BVLOS, een assurance-bewuste architectuur die ontworpen is om communicatie, sensing, datapijplijnen en autonomie binnen één enkele operationele methode te koppelen. Het framework werkt via vier kernmechanismen:

A. Vijf-domein Risico-ontologie

Het systeem construeert een genormaliseerde risicovector $x(t) = [r_{C2}, r_{S}, r_{D}, r_{E}, r_{V}]$ op elk gegeven tijdstip $t$, die de volgende domeinen beslaat:

1. C2 Integriteit: Round-trip tijd, jitter, pakketverlies, link-leeftijd en authenticatiestatus.
2. Sensing Betrouwbaarheid: Detectievertrouwen, track-continuïteit, discrepantie tussen sensoren en GNSS-integriteit.
3. Data Integriteit: Informatie-leeftijd, herkomst (provenance), kalibratiestatus en verwerkingslatentie van externe data (bijv. satellietbeelden, weergegevens).
4. Omgevingsblootstelling: Weersernst, terreinvrijheid, luchtruimendichtheid en populatieblootstelling.
5. Voertuig Gezondheid: Energievoorraad, aandrijfmarges en vluchtbesturingsstatus.

B. Risico-aggregatie en Onzekerheidsstraf

In plaats van een eenvoudige gewogen som gebruikt de methode een begrensde multiplicatieve risico-index ($R_t$) om te voorkomen dat gelijktijdige matige risico's worden onderschat:
$$R_t = 1 - \prod_{i=1}^{n} (1 - r_i(t))^{w_i}$$
Om te voorkomen dat inputs met een laag vertrouwen worden verborgen door middel van middeling, wordt een expliciete onzekerheidsstraf toegepast:
$$R^*_t = \min [1, R_t + \lambda_s D_s(t) + \lambda_a A_d(t)]$$
waarbij $D_s$ de discrepantie tussen sensoren vertegenwoordigt en $A_d$ de begrensde ouderdom van de data.

C. Vijf-toestands Operationele Autoriteitsbeleid

Op basis van de geaggregeerde risico-index $R^*_t$ herverdeelt het systeem de operationele autoriteit dynamisch via vijf toestanden, waarbij hysteresis wordt gebruikt om snelle schakelingen te voorkomen:

• S0 (Nominaal): $R^* < 0,25$. Menselijk toezicht of directe commando's.
• S1 (Beperkt): $0,25 \le R^* < 0,42$. Verminderde snelheid, grotere afstand en beperkte manoeuvres.
• S2 (Beschermde Autonomie): $0,42 \le R^* < 0,60$. On-board trajectbehoud of geverifieerde lokale planning; de remote piloot houdt toezicht.
• S3 (Contingentie): $0,60 \le R^* < 0,76$. Afwijken van koers, wachten (holding) of terugkeren naar vooraf gedefinieerde veilige locaties.
• S4 (Terminatie): $R^* \ge 0,76$. Uitvoering van goedgekeurde vluchterminatie of procedures met minimaal risico.

D. Digitale Veiligheidscase Evidence Loop

Elke toestandsverandering wordt vastgelegd als een tijd-geïndexeerd bewijsstuk, dat claims, monitoroutputs, triggers, responsen en uitkomsten aan elkaar koppelt. Dit creëert een "levende" digitale veiligheidscase voor reconstructie en verificatie na de vlucht.

3. Experimentele Evaluatie

Het framework werd geëvalueerd met behulp van een reproduceerbare Monte Carlo-simulatie van 100.000 missietoestanden over drie archetypen:

1. Disaster Response (Rampenbestrijding): Gekenmerkt door snel veranderende scènes en gedegradeerde terrestrische communicatie.
2. Lineaire Infrastructuurinspectie: Betrokken bij lange corridors, nabijheid van assets en variabele cellulaire dekking.
3. Maritieme Surveillance: Gekenmerkt door langdurige uithoudingscapaciteit, schaarse terrestrische dekking en afhankelijkheid van SATCOM.

De simulatie vergeleken het ASSURE-BVLOS-beleid met een statische, op teleoperatie gerichte baseline die alleen reageert op verklaarde subsystemfouten. De inputverdelingen (bijv. lognormaal voor vertraging, bèta voor pakketverlies) waren synthetisch, maar ontworpen om de waargenomen netwerkafwijkingen en begrenzingen te reproduceren.

4. Belangrijkste Resultaten

• Risicoreductie: Het ASSURE-BVLOS-beleid verminderde de gesimuleerde gevaarlijke uitkomsten van 12,76% (baseline) naar 9,62%, wat een relatieve risicoreductie van 24,6% betekent.
• Afhandeling van Hoog Risico: Onder vooraf gedefinieerde condities met een hoog C2-risico, waarbij de baseline de missie in 1,67% van de gevallen voortzette, slaagde het ASSURE-BVLOS-framework erin de autoriteit in 100% van de gesimuleerde gevallen over te dragen naar beschermde autonomie of een conservatievere staat.
• Toestandsbenutting: Het systeem bracht de meerderheid van de tijd door in de "Beperkte" staat (64,50%), met "Nominale" operaties op 28,11%. Beschermde autonomie en contingentie-staten werden minder frequent gebruikt (7,09% en 0,21%, respectievelijk), wat aangeeft dat het beleid het risico effectief beheert zonder excessieve missieterminatie.
• Robuustheid: Sensitiviteitsanalyse toonde aan dat hoewel de absolute interventieratio varieerde met drempelperturbaties ($\pm 10\%$), de relatieve risicoreductie consistent bleef. Ablatiestudies bevestigden dat het weglaten van een enkel risicodomein (C2, Sensing, Data, Omgeving of Voertuig) de capaciteit van het systeem om kritieke toestanden te identificeren verslechterde, wat de noodzaak van de multi-domein aanpak valideert.

5. Betekenis en Claims

Het artikel positioneert ASSURE-BVLOS niet als een gecertificeerde regelwet of een regelgevende goedkeuring, maar als een transparante systems engineering-methode. De belangrijkste bijdragen zijn:

1. Integratie van Domeinen: Het overbrugt expliciet de kloof tussen communicatieprestaties, informatie-integriteit (herkomst/leeftijd) en runtime-autoriteitsbeheer, waarbij de kwaliteit van externe data als een directe veiligheidsfactor wordt behandeld in plaats van als administratieve metadata.
2. Contextueel Risicobeheer: Door gebruik te maken van een multiplicatieve index en onzekerheidsstraffen, adresseert het framework de "assurance gap" waarbij degradatie zich over lagen voortplant voordat binaire foutmeldingen worden getriggerd.
3. Traceerbaar Bewijs: De digitale veiligheidscase-loop biedt een gestructureerde methode om runtime-beslissingen te koppelen aan controleerbaar bewijs, wat ondersteuning biedt voor toekomstige hardware-in-the-loop en vluchtproeven.
4. Beperkte Omvang: De auteurs stellen expliciet dat de resultaten een bewijs zijn van modelgedrag onder synthetische condities, en geen schattingen zijn van de werkelijke accidentele incidenten. De gewichten en drempels zijn bedoeld voor methodologische demonstratie, en het framework vereist daaropvolgende validatie (analytisch, simulatie, hardware-in-the-loop en operationele proeven) voordat enige regelgevende acceptatie kan plaatsvinden.

Het framework is ontworpen om de transitie van statische, op teleoperatie gerichte veiligheidsmodellen naar dynamische, risico-adaptieve autonomie te ondersteunen, en biedt een gestructureerde brug tussen runtime assurance-onderzoek en operatie-gecentreerde risicobeoordeling (bijv. SORA).