ADMOS: An Adaptive Dual-Mode Operational Swarm for Resilient Asset Defense under Communication Jamming

Resumo Técnico: ADMOS – Um Enxame Operacional de Modo Duplo Adaptativo para Defesa Resiliente de Ativos sob Interferência de Comunicação

Definição do Problema
Enxames de Veículos Aéreos Não Tripulados (UAVs) cooperativos projetados para defender ativos fixos normalmente dependem de comunicação interagente contínua para manter uma visão situacional compartilhada e executar coordenação baseada em consenso. Esta arquitetura possui uma vulnerabilidade crítica: ataques eletrônicos (interferência de rádio/jamming) que aumentam as taxas de perda de pacotes degradam a estimativa de estado compartilhada. Em projetos de consenso padrão, estimadores que assumem independência (por exemplo, filtros de Kalman) tornam-se excessivamente confiantes quando as mensagens são reutilizadas através de ciclos de rede, levando a covariâncias de erro subestimadas. A evidência empírica apresentada no artigo indica que, uma vez que a perda de pacotes excede aproximadamente 40%, esses sistemas sofrem um colapso abrupto e catastrófico na coordenação, tornando o enxame ineficaz. O artigo aborda o desafio de manter a proteção do ativo no regime de "comunicação negada" sem depender de mecanismos de acordo mais fortes.

Metodologia: A Arquitetura ADMOS
Os autores propõem o ADMOS (Adaptive Dual-Mode Operational Swarm), uma arquitetura composta por três elementos distintos e composíveis, projetados para garantir resiliência através de autonomia inteligente em vez de consenso forçado.

1. Estimativa de Estado Distribuída via Interseção de Covariância (CI):
   Para abordar o problema das correlações cruzadas desconhecidas induzidas pelo reuso de mensagens em redes com perda, o ADMOS substitui a fusão que assume independência pela Interseção de Covariância. Este método funde estimativas locais ($\hat{x}_i, P_i$) com estimativas de vizinhos ($\hat{x}_j, P_j$) usando um peso $\omega$ otimizado para minimizar o traço da covariância resultante.

   • Mecanismo: $P_i^+ = (\omega P_i^{-1} + (1-\omega)P_j^{-1})^{-1}$.
   • Garantia: A estimativa fundida permanece consistente (a covariância reportada nunca subestima o erro real), independentemente da correlação desconhecida entre as entradas, evitando a "excesso de confiança" que leva os sistemas de consenso à divergência.

2. Supervisor de Modo Híbrido com Histerese e Tempo de Permanência (Dwell Time):
   Cada agente opera em um de dois modos discretos: Cooperativo (C) ou Autônomo (A).

   • Modo Cooperativo: Utiliza estimativas fundidas de vizinhos para leis de guarda distribuídas.
   • Modo Autônomo: Depende exclusivamente de sensoriamento local (dentro do alcance $r_s$) para leis de interceptação local.
   • Arbitragem: O supervisor monitora um sinal de integridade do link, definido como o traço da covariância do erro ($\eta_i = \text{tr}(P_i)$). A transição de C para A ocorre quando $\eta_i$ excede um limiar alto ($\eta_{hi}$), e a reversão para C ocorre quando cai abaixo de um limiar baixo ($\eta_{lo}$).
   • Estabilidade: Um tempo de permanência mínimo ($\tau_D$) e a histerese evitam o "chattering" (alternância rápida e instável) e o comportamento de Zeno, garantindo que o sistema permaneça estável mesmo sob interferência intermitente.

3. Filtro de Segurança de Função de Barreira de Segurança de Ordem Superior (HOCBF):
   Um filtro de segurança situa-se acima dos comandos de controle nominais (de qualquer um dos modos) para garantir a invariância progressiva do conjunto seguro (evasão de colisão).

   • Implementação: O filtro resolve um Programa Quadrático (QP) a 10 Hz. As restrições são estreitadas por uma margem robusta proporcional à incerteza do estimador ($\sqrt{\text{tr}(P_i)}$), garantindo que agentes com maior incerteza mantenham maiores distâncias de separação.
   • Fallback: Se o QP tornar-se infactível (por exemplo, em cenários de empacotamento denso), o agente executa um comando de frenagem para parar, preservando a segurança ao custo do progresso da missão.

Estabilidade e Garantias Teóricas
O artigo prova que o sistema de malha fechada é Estável em relação à Entrada e ao Estado (ISS) em relação aos erros de estimativa e distúrbios para qualquer atribuição de modos em todo o enxame.

• Teorema 1: Sob suposições de dinâmicas Lipschitz, equilíbrio compartilhado e distúrbios limitados, o sistema híbrido satisfaz um limite ISS. O erro de guarda permanece limitado por uma função da magnitude do distúrbio, garantindo que o desempenho degrade graciosamente em vez de colapsar conforme a perda de pacotes aumenta.
• Degradação Graciosa: A arquitetura é projetada de modo que, conforme a comunicação degrada ($p \to 1$), os agentes transitam para o modo autônomo, e o limite ISS garante que o enxame permaneça estável e seguro, embora com eficiência de coordenação reduzida.

Principais Contribuições
O artigo apresenta quatro contribuições primárias, validadas através de simulação de alta fidelidade:

1. Estimativa Consistente: Substituir a fusão que assume independência pela Interseção de Covariância para manter a consistência do estimador sob correlações desconhecidas, trocando o pico de precisão pela robustez.
2. Supervisão Não-Zeno: Um supervisor híbrido usando histerese e tempo de permanência que garante taxas de alternância finitas e evita instabilidade causada pelo chatter de modo.
3. Segurança Consciente de Viabilidade: Um filtro de segurança baseado em HOCBF que acopla o estreitamento de restrições com a incerteza do estimador, fornecendo uma garantia de segurança formal que degrada graciosamente com a qualidade da estimativa.
4. Certificado ISS: Uma prova formal de Estabilidade em relação à Entrada e ao Estado para o sistema de modo duplo, estabelecendo que o enxame permanece limitado sob qualquer sequência de modos, incluindo a negação total de comunicação.

Resultados
O sistema foi avaliado em um simulador de quadrotor de alta fidelidade através de 80 testes de Monte Carlo por cenário.

• Taxa de Proteção de Ativo (APR):
  • Links Saudáveis (S1): O ADMOS alcançou 92,5% de APR contra 78,4% do baseline de consenso.
  • Interferência Total (S2): O ADMOS manteve 84,0% de APR, enquanto o baseline colapsou para 42,0%.
  • Desvantagem Numérica (S3, proporção intruso 3:1): O ADMOS alcançou 78,0% contra 45,0% do baseline.
• Perfil de Degradação: O baseline exibiu um "abismo" agudo de desempenho próximo a 40% de perda de pacotes. O ADMOS demonstrou um declínio monotônico e suave de 92,5% para 84% em todo o intervalo de perda de pacotes (0% a 100%).
• Segurança: Zero violações de segurança (colisões) foram registradas para o ADMOS em todos os testes. O baseline incorreu em violações de segurança quando a interferência estava presente.
• Estudo de Ablação: Remover qualquer componente individual (CI, tempo de permanência ou HOCBF) resultou em quedas significativas de desempenho ou falhas de segurança, confirmando que cada elemento é necessário.
• Custo Computacional: O pipeline completo executa em menos de 1 ms por agente a uma taxa de controle de 10 Hz, bem dentro dos orçamentos de tempo real.

Significância e Alegações
O artigo afirma que a resiliência em enxames defensivos é alcançada não forçando os agentes a concordarem com mais força sob condições adversas, mas permitindo que ajam de forma autônoma e inteligente quando o acordo é impossível.

• Mudança Arquitetural: A contribuição é arquitetural e de nível de certificado, não tática. As leis específicas de guarda ou interceptação podem ser substituídas sem invalidar a prova de estabilidade, desde que a estimativa, a supervisão e as camadas de segurança permaneçam.
• Gracioso vs. Catastrófico: A principal significância é a mudança do "colapso catastrófico" (observado nos baselines de consenso) para a "degradação graciosa". Um adversário pode degradar o desempenho de um enxame ADMOS, mas não pode induzir uma perda súbita e total de coordenação ao cruzar um limiar crítico de interferência.
• Escopo: Os autores limitam explicitamente suas alegações ao modelo de ameaça definido (interferência de rádio causando perda de pacotes, sem falsificação de mensagens ou agentes bizantinos). Eles reconhecem que os resultados baseiam-se atualmente em simulação e que a abstração de duplo integrador introduz um gap de distúrbio limitado em relação à dinâmica real de um quadrotor.

Em conclusão, o ADMOS demonstra que um enxame defensivo pode manter um nível credível de proteção de ativos mesmo sob negação total de comunicação, ao desacoplar a consistência da estimativa, a arbitragem de modo e as restrições de segurança sob um framework de estabilidade unificado.