Passive Fault Tolerance through Tension-to-Thrust Feed-Forward: Hybrid Input-to-State Stability for Decentralized Multi-UAV Slung-Load Transport under Abrupt Cable Severance

Resumo Técnico: Tolerância a Falhas Passiva por Meio de Pré-alimentação de Tensão para Empuxo

Declaração do Problema
O artigo aborda o desafio do corte abrupto de cabos no transporte aéreo cooperativo, onde múltiplos Veículos Aéreos Não Tripulados (UAVs) carregam uma carga compartilhada por meio de cabos flexíveis. Em tais cenários, uma falha no cabo altera instantaneamente a topologia de restrição do sistema e redistribui a carga entre os cabos remanescentes. Este evento ocorre em uma escala de tempo (segundos) que frequentemente é mais curta do que a latência necessária para diagnóstico tradicional de falhas, classificação e reconfiguração do controlador. As abordagens existentes geralmente dependem de coordenação centralizada, troca de estado entre pares ou topologias de cabo fixas, carecendo de um mecanismo de recuperação descentralizado certificado para eventos de corte não anunciados. O problema central é projetar um controlador descentralizado que mantenha a estabilidade e o desempenho de rastreamento usando apenas informações locais, sem exigir sinais explícitos de falha ou comunicação entre agentes.

Metodologia
Os autores propõem uma arquitetura de controle passiva onde cada UAV mapeia sua tensão de cabo local medida diretamente para seu comando de empuxo de altitude como um termo de pré-alimentação ($T_{ff}^i = T_i$). Esta identidade permite que o controlador reaja à redistribuição de carga imediatamente após o corte, pois a medição de tensão local muda instantaneamente.

A estrutura de controle para cada drone consiste em uma cascata de três camadas:

1. Laço Externo: Um controlador Proporcional-Derivativo (PD) com um deslocamento de slot anti-oscilação que amortecia passivamente o movimento de pêndulo da carga.
2. Camada Intermediária: Um Programa Quadrático (QP) convexo de passo único que projeta a aceleração alvo no envelope de inclinação e empuxo viável, incorporando o termo de pré-alimentação de tensão nos limites verticais.
3. Laço Interno: Um controlador PD de atitude que rastreia os ângulos de Euler desejados.

O sistema é modelado como um sistema híbrido com dinâmicas de tempo contínuo e transições estruturais discretas (corte de cabo). A análise baseia-se em um modelo de ordem reduzida onde as dinâmicas de cabo distribuídas de Kelvin-Voigt são aproximadas por um modelo de tensão escalar concentrado, válido sob suposições de excursão de folga limitada e tempo de permanência. A prova de estabilidade utiliza uma estrutura de Estabilidade Entrada-Estado (ISS) prática híbrida condicional, combinando saltos limitados de Lyapunov em eventos de falha com decaimento exponencial entre falhas.

Principais Contribuições
O artigo apresenta três contribuições primárias:

1. Pré-alimentação Local de Tensão para Empuxo: A introdução do termo $T_{ff}^i = T_i$ como um mecanismo para tolerância a corte de cabos. Este termo mapeia a redistribuição de tensão pós-corte para correção imediata de empuxo usando apenas medições locais, eliminando a necessidade de uma linha do tempo para detecção de falha ou reconfiguração.
2. Certificado de ISS Prática Híbrida: Uma prova teórica que estabelece que o sistema de malha fechada descentralizado é ISS prática híbrida sob suposições específicas de atuador, excursão de folga e tempo de permanência. A prova produz um envelope de recuperação explícito caracterizado por decaimento exponencial e um fator de contração por ciclo de falha $\rho \in (0, 1)$.
3. Validação de Alta Fidelidade: Resultados extensivos de simulação usando o simulador de corpos múltiplos Drake com cinco UAVs, uma carga de 10 kg e vento realista (modelo Dryden). O estudo valida a recuperação de cortes de cabo únicos e duplos dentro de um período de pêndulo da carga. Crucialmente, estudos de ablação demonstram que desativar o termo de pré-alimentação de tensão aumenta o erro de cruzeiro em 34–39% e o pico de afundamento pós-falha em 3,6–4,0 vezes, identificando o termo de pré-alimentação como o mecanismo de recuperação dominante.

Resultados
A campanha de simulação (variantes V1–V6) demonstra o seguinte:

• Desempenho de Rastreamento: O sistema alcança um Erro Quadrático Médio (RMSE) 3-D de 0,312–0,328 m e um pico de afundamento da carga de 76,1–95,2 mm sob condições de falha.
• Velocidade de Recuperação: A recuperação de falhas únicas e duplas ocorre dentro de um período de pêndulo da carga (aprox. 2,24 s). Em muitos casos, o sistema se estabiliza no novo equilíbrio em tempo sub-tick (0,00 s a 0,33 s).
• Robustez: O controlador mantém o desempenho sob discrepâncias de massa (testado de carga de 2,5 kg a 3,9 kg com augmentação L1) e perturbações de vento.
• Descobertas de Ablação: Desativar a identidade $T_{ff}^i = T_i$ degrada significativamente o desempenho, confirmando seu papel como o mecanismo principal de recuperação passiva.
• Camadas de Extensão: Camadas opcionais (controle adaptativo L1, imposição de teto de tensão por MPC e remodelagem de formação) foram avaliadas. Os resultados indicam que, para a família de missões testada, essas extensões não alteram materialmente as trajetórias, pois o termo de pré-alimentação de base domina o comportamento de recuperação. As camadas de MPC e remodelagem permanecem inativas ou não vinculativas nos regimes canônicos testados.

Significância e Alegações
O artigo alega que a arquitetura proposta altera fundamentalmente a abordagem à tolerância a falhas no transporte cooperativo, tornando a linha do tempo "detecção-classificação-reconfiguração" desnecessária para transições estruturais abruptas. Ao utilizar medições de força locais como um canal de resposta direta, o sistema alcança estabilidade por meio de passividade em vez de reconfiguração ativa.

Os autores afirmam que o termo de pré-alimentação de tensão para empuxo é suficiente para fornecer um envelope de recuperação certificado para cortes de cabos não anunciados, desde que o sistema opere dentro das suposições declaradas (excursões de folga limitadas, tempo de permanência suficiente entre falhas e margens de atuador). O trabalho demonstra que o controle descentralizado pode lidar com mudanças na cardinalidade do conjunto de restrições sem sincronização de estado global ou sinalização explícita de falha, oferecendo uma solução robusta para implantações práticas de transporte aéreo onde a latência de comunicação e computação pode impedir a gestão ativa de falhas.