Reliability-Asymmetric Spacecraft Autonomy: Co-Designing a Capable Learned GNC Stack with a Verified, Adaptation-Aware Runtime Shield
作者: Alireza Shojaei
分类: cs.RO, cs.AI
发布日期: 2026-06-24
💡 一句话要点
提出可靠性不对称的航天器自主系统以解决深空任务中的安全性与能力问题
🎯 匹配领域: 支柱九：具身大模型 (Embodied Foundation Models)
关键词: 航天器自主系统 深空任务 故障自适应控制 运行时保护 模型验证 导航与控制 机器学习
📋 核心要点
- 现有的航天器自主系统在能力与安全性之间存在矛盾，传统规则基础方法易受故障影响，而学习方法难以验证。
- 本文提出了AMPLE-GNC，通过结合小型基础模型指挥官、约束验证器和故障自适应控制器，解决了能力与安全性的问题。
- 实验结果表明，边缘指挥官在输出有效性上达到84%，故障自适应控制器在故障恢复上表现优异，保持94.5%的自主性。
📝 摘要（中文）
深空任务需要既具备能力又可认证的自主系统。基于规则的自主系统虽然可认证，但易脆弱；而基于学习的自主系统能力强，但难以验证。本文提出了AMPLE-GNC，一个三层次的引导、导航和控制（GNC）堆栈。其能力路径结合了一个小型基础模型指挥官、约束筛选验证器和故障自适应控制器，所有模块都受到运行时保护的约束。通过在6自由度Basilisk测试平台上的实验，本文展示了三个主要贡献，包括边缘指挥官的部署、故障自适应控制器的引入以及安全保持保护的有效性。
🔬 方法详解
问题定义：本文旨在解决深空任务中航天器自主系统的能力与安全性之间的矛盾。现有方法如规则基础的自主系统虽然可认证，但在面对故障时表现脆弱，而学习基础的自主系统能力强，但缺乏验证机制。
核心思路：论文提出的AMPLE-GNC系统通过结合小型基础模型指挥官、约束验证器和故障自适应控制器，形成一个三层次的GNC堆栈，旨在在保证安全性的同时提升自主能力。
技术框架：整体架构包括三个主要模块：1）小型基础模型指挥官，负责将自然语言映射到PDDL+；2）约束筛选验证器，确保输出的有效性；3）故障自适应控制器，实时识别和恢复故障。所有模块都受到运行时保护的约束，确保系统的安全性。
关键创新：最重要的技术创新在于引入了故障自适应控制器和运行时保护机制，使得即使在故障情况下，系统仍能保持高水平的自主性和安全性。这与传统方法的本质区别在于，传统方法往往无法同时兼顾能力和安全性。
关键设计：在设计中，边缘指挥官通过对预训练的360M模型进行微调，采用语法约束解码，确保输出的有效性。此外，故障自适应控制器通过快速电机适应技术，能够在线推断潜在的执行器故障，并在训练随机化范围内恢复高达97.8%的故障。
🖼️ 关键图片
📊 实验亮点
实验结果显示，边缘指挥官在有效输出上达到84%，而故障自适应控制器在故障恢复方面表现优异，能够恢复97.8%的执行器故障，且在随机化范围外的重训练得分在57-67%之间，显示出良好的泛化能力。
🎯 应用场景
该研究的潜在应用领域包括深空探测、卫星自主导航和无人驾驶飞行器等。通过提升航天器的自主能力与安全性，能够在复杂和不确定的环境中执行任务，减少对地面控制的依赖，提升任务的成功率和效率。
📄 摘要（原文）
Deep-space missions need onboard autonomy that is both capable and certifiable. Rule-based autonomy is certifiable but brittle, while learned autonomy is capable but hard to verify. We present AMPLE-GNC, a three-tier guidance, navigation, and control stack. Its capability path combines a small foundation-model commander that maps natural language to PDDL+, a constraint-screening verifier, and a fault-adaptive controller. All three are bounded by a runtime shield with nine linear-temporal-logic invariants whose predictor soundness is machine-checked by the Kind 2 model checker. On a 6-DOF Basilisk testbed, we make three contributions. First, we deploy an edge commander. Fine-tuning a pretrained 360M model with grammar-constrained decoding gives a hard output-validity guarantee and 84% planner-executable actions. On a de-leaked test, novel-phrasing generalization is 38% exact and 51% action, rising to 48% exact after phrasing-diversity re-finetuning; we separate syntactic validity from semantic accuracy. Second, we introduce a fault-adaptive controller. Rapid Motor Adaptation infers latent actuator faults online and recovers 97.8% of actuator-sign faults and 94.4% of continuous-gain faults within the training randomization envelope. Fault-unaware PD and from-scratch end-to-end RL both score 0%, while the strongest classical-adaptive baseline reaches 55% on continuous gain. Beyond the envelope, a split-conformant retrain scores 57-67%, and adding 4x more in-regime data worsens performance, showing that randomization breadth, not data volume, drives generalization. Robustness is flat under star-tracker noise to 0.005. Third, we show that a latching safe-hold shield can suppress even a capable controller. A split-conformal recovery-deadline certificate with adaptation-aware engagement reconciles safety and recovery, keeping the controller 94.5% autonomous while still catching non-recovery.