ภารกิจอัตโนมัติ SITL สู่ภาคสนาม

ทำไมต้องรู้

ภารกิจอัตโนมัติที่ทำงานสมบูรณ์ในเครื่องจำลอง อาจล้มในวันแรกที่บินจริงเพราะลม แสงแดด เซนเซอร์ที่สั่น หรือสัญญาณที่ขาด การทดสอบจึงต้องเป็นขั้นบันได เพิ่มความสมจริงทีละขั้นและจำกัดความเสียหายหากล้ม และทุกขั้นต้องมีเกณฑ์ผ่านที่ตั้งไว้ก่อนเห็นผล โมดูลนี้รวมทุกอย่างในวิชาเป็นภารกิจเดียว ตั้งแต่ SITL จนถึงภาคสนาม

บันไดการทดสอบ

ทุกขั้นทดสอบทั้งกรณีปกติและกรณีผิดปกติ เช่น คอมพิวเตอร์บนลำค้าง GNSS หาย สัญญาณควบคุมขาด และแบตเตอรี่ต่ำ โดยเช็กว่า failsafe และ geofence ทำงานตามที่ตั้งไว้ เอกสาร PX4 รวบรวมการตั้งค่า failsafe เหล่านี้ไว้ในหน้าเดียว

ผ่านกี่รอบจึงพอ

อัตราสำเร็จจากการทดสอบไม่กี่รอบมีความไม่แน่นอนสูง จึงต้องรายงานพร้อม ช่วงความเชื่อมั่น เหมือนที่เรียนใน UAT 106

import math
from scipy import stats

for stage, runs, ok in (("SITL", 50, 48), ("HITL", 20, 19), ("field", 12, 11)):
    ci = stats.binomtest(ok, runs).proportion_ci(confidence_level=0.95)
    print(f"{stage:<6} {ok}/{runs} = {ok / runs:.0%}  95% CI [{ci.low:.0%}, {ci.high:.0%}]")

reliability, confidence = 0.90, 0.95
n = math.ceil(math.log(1 - confidence) / math.log(reliability))
print(f"to show >= {reliability:.0%} success with {confidence:.0%} confidence and no failures: {n} runs in a row")

SITL   48/50 = 96%  95% CI [86%, 100%]
HITL   19/20 = 95%  95% CI [75%, 100%]
field  11/12 = 92%  95% CI [62%, 100%]
to show >= 90% success with 95% confidence and no failures: 29 runs in a row

Run-time assurance

AI และตัววางแผนเส้นทางซับซ้อนเกินกว่าจะพิสูจน์ได้ว่าปลอดภัยในทุกสถานการณ์ แนวทาง run-time assurance (RTA) ตามมาตรฐาน ASTM F3269-21 จึงให้มี ตัวเฝ้าระวัง (monitor) ที่เรียบง่ายและตรวจสอบได้ คอยดูว่าระบบยังอยู่ในขอบเขตปลอดภัย ถ้าใกล้จะหลุด ให้สลับไปใช้ ตัวควบคุมปลอดภัย เช่น เบรก ลอยตัวค้าง หรือบินกลับ

fence, margin, latency, brake, dt = 100.0, 5.0, 0.3, 2.5, 0.1
x, v, t, mode = 80.0, 4.0, 0.0, "complex"
while t < 10:
    stop = v * latency + v * v / (2 * brake)
    if mode == "complex" and x + stop >= fence - margin:
        mode = "safe"
        print(f"switch to safe controller at t = {t:.1f} s, x = {x:.1f} m, v = {v:.1f} m/s")
    v = min(v + 0.5 * dt, 8.0) if mode == "complex" else max(v - brake * dt, 0.0)
    x += v * dt
    t = round(t + dt, 1)
    if mode == "safe" and v == 0:
        break
print(f"stopped at x = {x:.1f} m, {fence - x:.1f} m before the fence")

switch to safe controller at t = 2.0 s, x = 89.0 m, v = 5.0 m/s
stopped at x = 93.8 m, 6.2 m before the fence

ก่อนบินจริง

• กฎหมาย การบินนอกระยะสายตา (BVLOS) ในไทยมีแนวปฏิบัติของ กพท. CAAT-GM-UAS-PDRA101 (พ.ค. 2568) ซึ่งกำหนดการประเมินความเสี่ยงตามเงื่อนไขที่กำหนดไว้ล่วงหน้า คู่มือปฏิบัติการ การฝึกอบรม และแผนเผชิญเหตุ ต้องตรวจฉบับล่าสุดก่อนยื่นขอทุกครั้ง
• ขั้นตอนปฏิบัติการ ตาม ISO 21384-3 และคู่มือปฏิบัติการของหน่วยงาน
• ระบบที่ใช้ ML EASA วางแนวทางไว้ใน AI Concept Paper Issue 2 (2024) ครอบคลุมการรับรองการใช้ ML ระดับ 1 และ 2 เป็นกรอบอ้างอิงที่ดีสำหรับการเขียนหลักฐานความปลอดภัย
• นักบินพร้อมรับช่วงเสมอ ในทุกขั้นที่บินจริง พร้อมสวิตช์เปลี่ยนโหมดหรือตัดการทำงานที่ทดสอบแล้ว

ปฏิบัติการประจำโมดูล

ข้อผิดพลาดที่พบบ่อย

สรุป

• ทดสอบเป็นบันได SITL → HITL → พื้นที่ควบคุม → ภาคสนามเล็ก → ภารกิจจริง และทดสอบกรณีผิดปกติทุกขั้น
• อัตราสำเร็จต้องมีช่วงความเชื่อมั่น การแสดงว่าสำเร็จไม่ต่ำกว่า 90% ที่ความเชื่อมั่น 95% ต้องสำเร็จติดกัน 29 ครั้ง
• Run-time assurance ใช้ตัวเฝ้าระวังที่เรียบง่ายสลับไปตัวควบคุมปลอดภัยก่อนหลุดขอบเขต
• ก่อนบินจริงต้องตรวจกฎหมาย คู่มือปฏิบัติการ และมีนักบินพร้อมรับช่วงเสมอ

แบบฝึกตรวจความเข้าใจ

1. ขั้นใดทดสอบ firmware จริงบนบอร์ดจริงกับโลกจำลอง
2. ต้องการแสดงว่าอัตราสำเร็จไม่ต่ำกว่า 95% ด้วยความเชื่อมั่น 95% ต้องสำเร็จติดกันกี่ครั้ง
3. โดรนอยู่ที่ 90 m ความเร็ว 5 m/s เวลาหน่วง 0.2 s หน่วง 2.5 m/s² fence 100 m ระยะเผื่อ 3 m ตัวเฝ้าระวังควรสลับหรือยัง
4. ทำไมตัวเฝ้าระวังใน run-time assurance จึงควรเรียบง่าย
5. แนวปฏิบัติของ กพท. ฉบับใดเกี่ยวกับการบินนอกระยะสายตาด้วยการประเมินความเสี่ยงที่กำหนดล่วงหน้า