AIVV: Neuro-Symbolic LLM Agent-Integrated Verification and Validation for Trustworthy Autonomous Systems

O artigo apresenta o AIVV, um framework híbrido que integra Modelos de Linguagem (LLMs) especializados para automatizar a validação e verificação de sistemas autônomos, superando as limitações de escalabilidade e a dependência de análise humana na distinção entre falhas reais e ruídos em dados de séries temporais.

O essencial

Imagine que você tem um robô subaquático (um UUV) que precisa navegar pelo oceano para realizar missões importantes. Esse robô é muito inteligente e usa sensores para "sentir" o mundo ao seu redor. Mas o oceano é bagunçado: há ondas, correntes fortes e ruídos que podem enganar os sensores.

O problema é que, às vezes, o robô "acha" que algo deu errado quando, na verdade, tudo está bem (é apenas uma onda grande). Outras vezes, ele não percebe que algo realmente quebrou.

Antigamente, para resolver isso, tínhamos que colocar engenheiros humanos olhando para os dados o tempo todo, 24 horas por dia. Eles eram os "guardiões" que decidiam: "Isso é um problema real ou só uma brincadeira do mar?". Mas isso é impossível de escalar: não dá para ter um humano vigiando milhares de robôs ao mesmo tempo sem ficar exausto.

Aqui entra a solução proposta neste artigo, chamada AIVV. Vamos explicar como funciona usando uma analogia de um hospital de alta tecnologia.

O Sistema AIVV: Um Hospital com Especialistas

O AIVV é como um hospital inteligente que trata os "sintomas" do robô subaquático. Ele não é apenas um médico; é uma equipe completa trabalhando em camadas.

1. O Triagem Rápida (O "Sentry" ou Sentinela)

Imagine um enfermeiro de triagem super rápido e matemático.

• O que ele faz: Ele olha para os dados do robô a cada milissegundo. Ele usa matemática pura (estatística) para dizer: "Ei, esse valor está fora do normal!".
• O problema: Ele é muito sensível. Às vezes, ele grita "Fogo!" porque o vento soprou forte, e não porque o prédio está pegando fogo. Ele gera muitos "falsos alarmes".
• A solução do AIVV: Em vez de parar tudo e chamar o engenheiro humano, esse enfermeiro apenas marca o caso e o envia para a próxima etapa.

2. O Conselho de Especialistas (Os "LLM Agents")

Aqui é onde a mágica acontece. O caso vai para uma sala de reuniões com três especialistas em Inteligência Artificial, cada um com uma personalidade diferente (como se fossem personagens de um filme):

• O Engenheiro de Requisitos (O "Burocrata"): Ele lê o manual de instruções do robô. Ele pergunta: "O robô está seguindo as regras básicas de navegação? Ele está dentro dos limites permitidos?". Ele é rigoroso com números.
• O Gerente de Falhas (O "Detetive"): Ele analisa o que aconteceu de ruim. Ele pergunta: "Isso parece uma quebra mecânica real ou apenas um susto? O robô está conseguindo se recuperar sozinho?". Ele olha para a gravidade do problema.
• O Engenheiro de Sistema (O "Mestre de Obras"): Ele entende como o robô foi construído. Ele olha para os dois anteriores e diz: "Ok, se é um problema real, como consertamos? Vamos ajustar a velocidade ou a sensibilidade dos sensores?".

Como eles decidem?
Eles votam. Se pelo menos dois dos três concordarem que é um problema real, o sistema confirma a falha. Se dois acharem que é apenas uma "brincadeira do mar" (ruído), eles descartam o alarme falso. Isso evita que o robô pare desnecessariamente.

3. O Mecânico de Testes (O "Inspector" e o "Tuner")

Se o conselho decide que o alarme era falso (era só uma onda), mas o robô ficou um pouco "confuso", o sistema não ignora. Ele usa isso como uma oportunidade de aprendizado.

• O Inspetor: Analisa por que o alarme disparou e diz: "Precisamos ajustar a sensibilidade do enfermeiro de triagem".
• O Mecânico (Tuner): Ele pega uma cópia de segurança do cérebro do robô (o modelo matemático) e faz os ajustes ali, no laboratório. Ele testa se, com os novos ajustes, o robô não vai mais gritar "falso alarme" na próxima onda.
• A Regra de Ouro: Só se o robô passar no teste na cópia de segurança é que o ajuste é aplicado no robô real. Se o teste falhar, o robô continua como estava. Isso garante que o robô nunca fique "pior" do que era antes.

Por que isso é incrível?

1. Não precisa de humanos vigiando 24h: O sistema faz o trabalho de "Humanos no Loop" (HITL) de forma automática.
2. Não é apenas matemática cega: A matemática é ótima para ver números, mas ruim para entender o contexto (ex: "isso é uma manobra arriscada ou uma falha?"). Os "cérebros" de IA (LLMs) entendem o contexto e as regras em linguagem natural.
3. Segurança: O sistema nunca muda o robô real sem antes testar em uma cópia virtual. É como um piloto de teste voando um avião de papel antes de voar o avião de verdade.

Resumo da Ópera

O AIVV é como ter um sistema de segurança de um banco que não apenas tem câmeras (matemática), mas também tem três guardiões inteligentes que conversam entre si para decidir se é um assalto real ou apenas alguém deixando cair uma chave. Se for um assalto, eles chamam a polícia. Se for apenas uma chave, eles ajustam a sensibilidade da câmera para não se assustar com chaves no futuro.

Isso permite que robôs subaquáticos (e outros sistemas críticos) sejam mais seguros, mais inteligentes e operem sozinhos sem precisar de um exército de engenheiros humanos olhando para telas o tempo todo.

Resumo técnico

Resumo Técnico: AIVV

1. O Problema

Em sistemas autônomos críticos, como Veículos Submarinos Não Tripulados (UUVs), a detecção de anomalias baseada em aprendizado profundo (ex: LSTMs, Transformers) é eficiente computacionalmente, mas enfrenta limitações severas:

• Falta de Classificação de Falhas: Modelos matemáticos detectam desvios, mas não conseguem distinguir entre falhas reais (ex: defeito mecânico) e falhas de ruído (nuisance faults) causadas por ruído ambiental ou respostas transitórias do sistema de controle.
• Escalabilidade do V&V (Verificação e Validação): A validação atual depende de Humanos no Loop (HITL). Especialistas humanos analisam manualmente os alertas, o que introduz latência inaceitável (minutos a horas) e não escala para monitorar milhares de fluxos de sensores simultaneamente.
• Limitações de Modelos Puros: Sistemas puramente matemáticos são cegos semanticamente; eles não podem interpretar requisitos operacionais em linguagem natural nem propor reconfigurações de controle.
• Riscos de LLMs Isolados: Embora os Grandes Modelos de Linguagem (LLMs) tenham raciocínio semântico, sua propensão a "alucinações" e falta de rigor matemático impedem sua integração direta em sistemas de missão crítica.

2. Metodologia: Framework AIVV

O AIVV (Agent-Integrated Verification and Validation) propõe uma arquitetura híbrida neuro-simbólica de duas camadas que integra rigor matemático com raciocínio semântico de agentes de IA. O fluxo opera em três fases sequenciais:

Camada 1: Motor Matemático (Mathematical Engine)

• Utiliza uma rede LSTM com Dropout de Monte Carlo (MC Dropout) para gerar previsões pontuais e estimativas de incerteza epistêmica.
• Aplica Conformal Prediction (CP) para estabelecer limites de confiança estatisticamente garantidos ($C_\alpha$).
• Função: Atua como um "Sentinela" determinística. Se o resíduo do erro exceder o limite conformal, o amostra é marcada como anomalia e escalada para a próxima fase.

Camada 2: Conselho de Agentes LLM (Deliberative Adjudication)

• Quando o "Sentinela" dispara um alerta, um conselho de três agentes LLM especializados (baseados em modelos como LLaMA, GPT-OSS, Qwen) avalia o contexto semântico:
  1. Engenheiro de Requisitos: Verifica se o comportamento viola requisitos operacionais em linguagem natural (ex: limites de taxa de guinada).
  2. Gerente de Falhas: Analisa a gravidade da falha e o modo de efeito (ex: divergência da trajetória).
  3. Engenheiro de Sistema: Possui conhecimento de domínio (dinâmica do UUV, parâmetros PID) para distinguir falhas reais de manobras dinâmicas e propor ajustes de ganho.
• Mecanismo de Votação: O sistema utiliza uma regra de maioria (2 de 3). Se a maioria votar "FAIL", confirma-se uma falha real. Se votar "PASS", a anomalia é classificada como ruído ou manobra, e o sistema prossegue para adaptação.

Camada 3: Pipeline de Adaptação (Inspector & Tuner)

• Se o Conselho identificar que o alerta foi um "falso positivo" (ruído/manobra), o sistema aciona agentes para recalibrar o motor matemático:
  • Inspector: Traduz a decisão do conselho em ações de ajuste (ex: alterar o nível de significância $\alpha$, ajustar hiperparâmetros de treinamento).
  • Tuner: Aplica as alterações em uma instância clonada temporária do modelo (evitando degradação do modelo em produção).
  • Validação de Promover: O "Sentinela" testa o modelo clonado. Se ele resolver a violação sem introduzir novos erros, o modelo clonado é promovido para produção. Caso contrário, o modelo original é mantido.

3. Contribuições Principais

1. Automação do V&V: Substitui a supervisão humana lenta por agentes LLM colaborativos que validam falhas contra requisitos em linguagem natural, gerando artefatos de engenharia acionáveis (ex: propostas de ajuste de ganho).
2. Mecanismo de Gating Neuro-Simbólico: Combina a detecção estatística rigorosa (MC Dropout + Conformal Prediction) com a validação semântica de LLMs, mitigando alucinações e falsos positivos.
3. Adaptação Segura Online: Implementa uma estratégia de "clonar e promover" que permite a reconfiguração dinâmica do modelo de controle em tempo real, garantindo que atualizações não comprometam a estabilidade do sistema.

4. Resultados Experimentais

Os testes foram realizados em um simulador de UUV (REMUS 100) com três cenários: Hovering (Estacionamento), Padrão de Mapeamento (Lawnmower) e Missão Complexa.

• Taxa de Validação de Falhas (FVR): O AIVV alcançou 100% de precisão na validação de falhas no cenário de Hovering e 93,33% na Missão Complexa, superando significativamente o modelo matemático puro (que falhou em distinguir manobras de falhas no cenário complexo).
• Melhoria de Precisão: Após o pipeline de adaptação, a precisão geral no cenário complexo aumentou em 23,11%, demonstrando a eficácia do ajuste dinâmico.
• Estudo de Ablação: A remoção do Conselho de LLMs resultou em uma taxa de falsos positivos (FPR) inaceitável (até 100% em alguns casos), confirmando que o rigor matemático sozinho é insuficiente para filtrar ruídos dinâmicos.
• Alocação de Modelos: O estudo mostrou que atribuir modelos específicos a tarefas específicas (ex: GPT-OSS para lógica sequencial de falhas, LLaMA para verificação de regras) é crucial. Configurações aleatórias causaram quedas drásticas de desempenho (de 100% para ~44%).

5. Significância e Impacto

O trabalho AIVV representa um avanço fundamental para a confiabilidade de sistemas autônomos:

• Ponte entre Matemática e Semântica: Resolve o impasse entre a necessidade de garantias estatísticas rigorosas e a capacidade de raciocínio contextual humano.
• Escalabilidade: Oferece um blueprint para automatizar a supervisão de sistemas críticos, permitindo que milhares de sensores sejam monitorados sem latência humana.
• Segurança Operacional: Ao transformar a detecção de anomalias em propostas de correção de controle (tuning de PID) validadas, o sistema não apenas detecta problemas, mas inicia a auto-recuperação ou o redesign do sistema de forma segura.
• Aplicabilidade: A abordagem é generalizável para outros domínios de séries temporais em sistemas ciber-físicos onde a distinção entre ruído e falha é crítica.

Em suma, o AIVV demonstra que a integração de agentes LLM especializados dentro de uma estrutura neuro-simbólica pode digitalizar e acelerar o processo de Verificação e Validação, tornando os sistemas autônomos mais robustos, adaptáveis e confiáveis.