⚡ electrical engineering

ASSURE-BVLOS: An Assurance-Aware Space–Air–Ground Intelligence Framework for Risk-Adaptive Autonomous Operations

本文介绍了 ASSURE-BVLOS，这是一个通过在空地天网络中整合五个动态风险维度来实现风险自适应自主运行的保障感知框架，通过透明的系统工程方法，证明了与静态基准相比，其在模拟危险结果方面减少了 24.6%。

原作者： Nick Barua

发布于 2026-07-23

📖 1 分钟阅读☕ 轻松阅读

原作者： Nick Barua

原始论文采用 CC BY 4.0 许可（https://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

想象一个这样的世界：微小的飞行机器人——无人机——是我们在空中的眼睛，它们在灾区上空盘旋寻找幸存者，检查输电线路的裂缝，或者在广袤而空旷的大洋上巡逻。长期以来，这些机器人必须紧跟其人类驾驶员，以便驾驶员能用肉眼看到它们。但随着我们将它们的活动范围推向更远的地方，进入“超视距”（BVLOS）区域，驾驶员就无法再看到它们了。相反，无人机依赖于一个复杂的无形网络：卫星信号、移动通信基站、机载摄像头以及天气数据。

把这想象成一场在全球范围内进行的、高风险的“传声筒”游戏。驾驶员发出一个指令，但这个指令必须穿梭于空间，从卫星上弹跳，并经受住风力的考验，才能到达无人机手中。如果信号变得有些模糊，或者无人机的摄像头被云层搞糊涂了，整个任务都可能出错。科学家们正在提出的核心问题是：当这些无人机离得如此之远，并且如此依赖许多有时并不稳定的技术组件时，我们如何确保它们的安全？我们不能只是等待某个部件彻底损坏后才做出反应；我们需要一个能够感知事物变得“摇摆不定”并能在坠毁发生前调整游戏规则的系统。

这正是名为“ASSURE-BVLOS”的论文所探讨的内容。由 Nick Barua 领导的作者们为这些无人机提出了一种被称为**“保障感知框架”（assurance-aware framework）**的新型“大脑”。该系统并没有将无人机的通信、传感器及其自身健康状况视为独立的问题，而是将它们作为一个整体来观察，就像一位船长同时检查风向、引擎和地图一样。

其核心理念是一个“风险指数”。想象一下一个拥有五个不同仪表盘的控制台：

声音（C2 完整性）： 与驾驶员的连接是否清晰？
眼睛（感知可靠性）： 无人机对自己所看到的景象有多确定？
记忆（数据完整性）： 它使用的地图或天气报告是新鲜的，还是过时的消息？
世界（环境暴露）： 天气是否变得恶劣，或者附近是否有其他飞机？
身体（飞行器健康状况）： 电池电量是否过低，或者电机是否过热？

论文介绍了一种巧妙的方法，可以将这五个仪表盘组合成一个单一的“风险得分”。如果得分过高，无人机不会仅仅是惊慌失措并坠毁；它会平滑地切换档位。它可能会减速，切换到一条更安全的预设飞行路径，甚至决定提前着陆。作者们称之为“自适应自主”（adaptive autonomy）。这就像一辆汽车，在感觉到路面结冰时，不是等到刹车失效，而是主动减速。

为了测试这个想法，作者们并没有进行真实的无人机飞行。相反，他们构建了一个巨大的数字游乐场——一个计算机模拟环境——并在其中运行了 100,000 次不同的任务。他们模拟了从灾区到长距离海洋巡逻的一切场景，并加入了不同类型的互联网连接（如移动基站和卫星），以及随机出现的故障，如信号中断或令人困惑的天气。

结果非常令人振奋。当他们将这种新的“智能”系统与传统的“老派”系统（即只管一直飞行直到出故障为止的系统）进行比较时，新系统将“危险结果”（即严重的坠毁或危险情况）的比例从 12.76% 降低到了 9.62%。这意味着危险程度降低了 24.6%。更重要的是，在特定的驾驶员连接极差的情景下，旧系统在 1.67% 的情况下仍会盲目飞行，而新系统则总是会立即切换到更安全的模式。

然而，论文非常谨慎，并未声称这是一种明天就能飞上天空的神奇解决方案。作者强调，这是一个模拟实验。他们使用虚构的数据来代表现实世界的问题，且“风险得分”的阈值是为了展示数学逻辑是如何运作的，而不是因为它们是适用于每架无人机的最终、完美的设置。他们明确指出这是一篇“方法论文章”——是关于如何思考安全性的蓝图——而非经过认证的控制律。他们警告说，如果输入系统的数据被破坏（例如黑客伪造了天气报告），系统可能会做出错误的决策。

那么，结论是什么？这篇论文表明，通过将无人机的声音、眼睛、记忆和身体链接成一个智能且可切换的安全网，我们可以让长距离无人机飞行比现在的技术水平要安全得多。这是迈向未来的一步，在那个未来，无人机可以处理复杂且不确定的现实世界，而不需要人类时刻牵着它们的手。但在我们看到这些无人机出现在真实的蓝天之前，作者表示，我们需要从计算机游戏转向现实世界的测试，以证明当真正的风在吹拂时，这些数学逻辑依然成立。

技术摘要：ASSURE-BVLOS

1. 问题陈述

无人机系统（UAS）的超视距（BVLOS）作业日益依赖于异构空-地-天网络、机载自主性、远程传感以及外部地理空间数据的复杂相互依赖关系。目前的安全性保障方法通常将这些依赖关系孤立处理：指令与控制（C2）性能被视为通信问题，感知置信度被视为自主性问题，而运行授权则被视为飞行前合规问题。

这种分离造成了关键的“保障缺口”（assurance gap）。性能退化可能会在任何单一子系统跨越其传统失效阈值之前，就在系统层级间传播（例如，从通信链路传播到感知模块）。因此，基于静态、以遥操作为中心的基准模型可能无法检测到上下文相关的残余风险，例如：对于开阔空间巡检而言 150 毫秒的延迟是可以容忍的，但对于近距离飞行则是灾难性的。本文认为，在这些环境中实现安全运行，需要一个能够对服务质量和信息完整性进行推理，而非仅仅关注服务可用性的统一且具备运行时感知能力的框架。

2. 方法论：ASSURE-BVLOS 框架

本文介绍了一种名为 ASSURE-BVLOS 的保障感知架构，旨在将通信、传感、数据流水线和自主性整合到一个统一的运行方法中。该框架通过四个核心机制运行：

A. 五领域风险本体

系统在任何给定时间 $t$ 构建一个归一化的风险向量 $x(t) = [r_{C2}, r_{S}, r_{D}, r_{E}, r_{V}]$ ，涵盖以下领域：

C2 完整性： 往返时间、抖动、丢包率、链路时龄及身份验证状态。
传感可靠性： 检测置信度、跟踪连续性、传感器不一致性以及 GNSS 完整性。
数据完整性： 外部数据（如卫星图像、天气）的信息时龄、来源、校准状态及处理延迟。
环境暴露： 天气严重程度、地形净空、空域密度及人口暴露情况。
飞行器健康： 能量储备、动力裕度及飞行控制状态。

B. 风险聚合与不确定性惩罚

该方法并非使用简单的加权和，而是使用有界乘法风险指数（ $R_t$ ），以确保并发的适度风险不会被低估：
$R_t = 1 - \prod_{i=1}^{n} (1 - r_i(t))^{w_i}$
为了防止低置信度的输入被平均值掩盖，系统应用了一个显式的不确定性惩罚：
$R^*_t = \min [1, R_t + \lambda_s D_s(t) + \lambda_a A_d(t)]$
其中 $D_s$ 代表传感器不一致性， $A_d$ 代表有界数据时龄。

C. 五状态运行权限策略

基于聚合风险指数 $R^*_t$ ，系统通过五个状态动态重新分配运行权限，并利用滞后效应（hysteresis）防止快速切换：

S0 (常态/Nominal)： $R^* < 0.25$ 。人工监督或直接指令。
S1 (受限/Constrained)： $0.25 \le R^* < 0.42$ 。降低速度、增加间隔并限制机动动作。
S2 (受保护自主/Protected Autonomy)： $0.42 \le R^* < 0.60$ 。执行机载航迹保持或经过验证的局部规划；由远程驾驶员进行监督。
S3 (应急/Contingency)： $0.60 \le R^* < 0.76$ 。转向、悬停或返回预设的安全点。
S4 (终止/Terminate)： $R^* \ge 0.76$ 。执行经批准的飞行终止或最小风险程序。

D. 数字安全案例证据环

每一次状态转换都会被记录为一个带时间索引的证据记录，将声明、监测输出、触发器、响应和结果关联起来。这创建了一个“活的”数字安全案例，用于飞行后的重建与验证。

3. 实验评估

该框架通过针对三种典型场景的 100,000 个任务状态的蒙特卡洛模拟进行了评估：

灾难响应： 特点是场景变化迅速且地面通信能力下降。
线性基础设施巡检： 涉及长廊、靠近资产以及变化的蜂窝网络覆盖。
海上监视： 特点是长航时、地面覆盖稀疏且依赖卫星通信（SATCOM）。

模拟将 ASSURE-BVLOS 策略与仅在宣布子系统失效时才做出反应的静态、以遥操作为中心的基准模型进行了对比。输入分布（例如，延迟采用对数正态分布，丢包率采用 Beta 分布）虽为合成数据，但旨在重现观察到的网络偏斜和有界性。

4. 关键结果

风险降低： ASSURE-BVLOS 策略将模拟的危险结果从 12.76%（基准）降低至 9.62%，实现了 24.6% 的相对风险降低。
高风险处理： 在预定义的 C2 高风险条件下，基准模型在 1.67% 的案例中继续执行任务，而 ASSURE-BVLOS 框架在 100% 的模拟案例中成功将权限转移至受保护自主状态或更保守的状态。
状态利用率： 系统大部分时间处于“受限”状态 (64.50%)，“常态”运行占 28.11%。受保护自主和应急状态的使用频率较低（分别为 7.09% 和 0.21%），表明该策略在有效管理风险的同时避免了过度的任务终止。
鲁棒性： 敏感性分析显示，虽然绝对干预率随阈值扰动（ $\pm 10\%$ ）而变化，但相对风险降低保持一致。消融研究证实，若省略任何单一风险领域（C2、传感、数据、环境或飞行器），都会削弱系统识别关键状态的能力，从而验证了多领域方法的必要性。

5. 意义与主张

本文将 ASSURE-BVLOS 定位为一种透明的系统工程方法，而非经过认证的控制律或监管审批。其主要贡献包括：

领域集成： 它明确地弥合了通信性能、信息完整性（来源/时龄）与运行时权限管理之间的鸿沟，将外部数据质量视为直接的安全因子，而非行政元数据。
上下文风险管理： 通过使用乘法指数和不确定性惩罚，该框架解决了由于退化在触发二进制失效报警前于各层间传播而导致的“保障缺口”问题。
可追溯证据： 数字安全案例环提供了一种结构化机制，将运行时决策与可审计的证据联系起来，支持未来的硬件在环（HIL）和飞行测试验证。
范围限定： 作者明确指出，结果是基于合成条件下的模型行为证据，而非对现实世界事故率的估计。权重和阈值仅用于方法论演示，该框架在获得任何监管认可之前，需要经过后续的分析、模拟、硬件在环及运行试验验证。

该框架旨在支持从静态、以遥操作为中心的安全性模型向动态、风险自适应自主性的过渡，为运行时保障研究与以运行为中心的风险评估（如 SORA）之间搭建了一座结构化的桥梁。