EN
Een drone die zonder kaart door een bos vliegt en tegelijk moet uitwijken voor andere toestellen: dat is een omgeving waarin bestaande planningssoftware meestal een inschatting maakt in plaats van een belofte. Onderzoekers van het Massachusetts Institute of Technology (MIT) hebben een planner gebouwd die in precies die situatie een wiskundig bewijs levert dat het toestel nergens tegenaan vliegt. Het systeem heet SANDO en de resultaten staan in een artikel in IEEE Transactions on Robotics. De preprint is te vinden op arXiv.
De aanleiding is praktisch. Trajectplanners gebruiken beelden en gegevens van camera's en sensoren aan boord om een route naar het doel te berekenen. Het merendeel van die planners is gemaakt voor onbekende maar statische omgevingen, waarin obstakels blijven staan waar ze staan. De planners die wel met beweging omgaan, wijken meestal uit zonder dat ze kunnen aantonen dat een botsing onmogelijk is. In situaties waarin het er echt op aankomt, zoals het afleveren van medische voorraden na een ramp in afgelegen gebied, is dat verschil belangrijk. Het volledig doorrekenen van elke denkbare botsing kost echter te veel tijd voor een toestel dat in de lucht moet reageren.
Wat SANDO doet: een garantie in plaats van een inschatting
SANDO staat voor Safe Autonomous Trajectory Planning for Dynamic Unknown Environments, veilige autonome trajectplanning voor dynamische onbekende omgevingen. De planner begint met het uitzetten van een veiligheidscontrole door de omgeving: een reeks verbonden ruimtes in de driedimensionale ruimte waarvan vaststaat dat er geen obstakels in zitten. Tot zover lijkt het op bestaande aanpakken. Het verschil zit in de tijd.
SANDO maakt de veiligheidscontrole tijdsafhankelijk. Een aparte module herkent bewegende objecten, groepeert ze en volgt ze om te schatten waar ze heen gaan. Omdat de planner niet weet waar een object precies uitkomt, gebruikt hij de maximale snelheid van dat object om te berekenen hoe ver het in een bepaald tijdsbestek kan komen. Rond het object komt een bol te liggen die de uiterste positie in alle richtingen afdekt. De veiligheidscontrole wordt vervolgens om die bollen heen opgebouwd, laag voor laag in de tijd. Zo blijft er een route over die niet dichtslibt zodra iets in beweging komt.
Binnen die corridor optimaliseert SANDO de route naar het snelste pad naar het doel. Tijdens de vlucht herberekent het systeem de corridor en het traject, zodat het pad botsingsvrij blijft tot het toestel aankomt. Een heatmap-planner helpt daarbij door delen van de omgeving met veel obstakels als risicogebied te markeren en het toestel daar omheen te leiden, wat in de praktijk tot een efficiëntere route leidt dan simpelweg rechtdoor zoeken.
Wat het onderzoek laat zien in simulatie en testvluchten
In simulaties bereikte SANDO het doel sneller dan een reeks bestaande systemen, zonder ook maar een botsing in welke omgeving dan ook. In de preprint beschrijven de onderzoekers een slagingspercentage van honderd procent over alle moeilijkheidsgraden van bos- en dynamische benchmarks, zonder overtredingen van de opgelegde veiligheidsbeperkingen. Daarnaast vlogen ze twaalf testvluchten met een echte drone, waarin alle berekeningen voor planning, waarneming en plaatsbepaling aan boord plaatsvonden. Ook daar werden alle bewegende obstakels ontweken. In zes eerdere vluchten in statische omgevingen bleef het toestel eveneens veilig.
Een tweede uitkomst gaat over rekentijd. De trajectoptimalisatie is geformuleerd als een gemengd geheel getal kwadratisch programma met harde botsingsbeperkingen, een formulering die normaal gesproken traag is. Door variabelen te elimineren daalt het aantal beslissingsvariabelen, en dat levert volgens de analyse tot 7,4 keer snellere optimalisatie op. Zonder die stap is de aanpak in dichte, dynamische omgevingen niet haalbaar op een boordcomputer.
De auteurs zijn Kota Kondo, die zijn promotieonderzoek in lucht- en ruimtevaarttechniek aan MIT afrondde, samen met Jesús Tordesillas, Juan Rached, Lili Sun en Yixuan Jia, met Jonathan P. How als laatste auteur. Het onderzoek is deels gefinancierd door het Defense Science and Technology Agency van Singapore. Een onderzoeker van buiten het project, Fei Gao van de Universiteit van Zhejiang, noemt in een reactie de combinatie van tijdgebonden planning, formele veiligheidsanalyse en validatie op hardware een praktische route naar autonome vlucht in complexe dynamische omgevingen.
De aannames achter de garantie
Een garantie is alleen zoveel waard als de aannames waarop die rust. De formele veiligheidsanalyse van SANDO gaat uit van drie expliciete voorwaarden: een bovengrens aan de snelheid die obstakels kunnen halen, een bovengrens aan hun afmetingen en een begrensde fout in de schatting van hun positie. Zolang die grenzen kloppen, blijft het bewijs staan. Wie een omgeving binnenkomt met snellere of grotere objecten dan aangenomen, moet de planner opnieuw configureren, want dan vervalt de onderbouwing.
Dat is geen detail maar de kern van de zaak. De garantie geldt niet voor alles wat een drone in de echte wereld kan tegenkomen, maar voor alles binnen een duidelijk omschreven envelop. Voor de praktijk betekent het dat de gebruikte grenzen zelf onderdeel worden van de risicoafweging, net zoals nu al geldt bij het bepalen van vluchtgegevens en zichtlijnen.
Video: hoe een drone met SANDO om onbekende obstakels heen vliegt
MIT publiceerde bij het onderzoek een video waarin te zien is hoe het toestel reageert op obstakels die het niet eerder zag. Let op het moment waarop een object in beeld komt en de route zich aanpast zonder dat de drone tot stilstand komt.
Waar dit in de dagelijkse operatie op aansluit
Voor wie vandaag met drones werkt, verandert er niets aan regels, zones of vergunningen. Wat wel verschuift, is het beeld van wat technisch aantoonbaar is. In een SORA-aanvraag onderbouw je als operator nu vooral met aannames: deze afstanden houden we aan, deze procedures volgen we, deze systemen gebruiken we. Een planner die een formeel bewijs meelevert, maakt van een deel van die aannames een technische eigenschap van het systeem.
Dat raakt ook de menselijke kant van de operatie. Uit ons overzicht van menselijke factoren bij drone-operaties blijkt dat een groot deel van de incidenten ontstaat bij beslissingen onder tijdsdruk, niet bij falende techniek. Automatisering die in zo'n situatie een expliciete grens respecteert in plaats van een waarschijnlijkheid inschat, verandert de rol van de piloot: die bewaakt het kader in plaats van het laatste moment.
Interessant is de link met logistiek. Onderzoek naar medische dronevluchten tussen Meppel en Zwolle laat zien dat vaste routes boven dunbevolkt gebied al werkbaar zijn zolang de omgeving voorspelbaar blijft. Zodra een route door gebied loopt waar sportvliegtuigjes, helikopters of andere drones kunnen opduiken, wordt de dynamische variant relevant. De garantie van SANDO geldt daarbij voor de obstakels die de sensoren daadwerkelijk waarnemen. Een object dat nooit in beeld komt, valt buiten de analyse, en daarom blijft zichtbehoud en het naleven van de Nederlandse dronekaart en zonevoorschriften onverminderd nodig.
Voor het Europese kader is de relevante vraag niet of SANDO morgen wordt gecertificeerd, maar of dit type bewijs een plek krijgt in de manier waarop risico's worden aangetoond. De Europese Unie voor de veiligheid van de luchtvaart (EASA) werkt aan regels voor vluchten buiten zicht en voor geautomatiseerde operaties, en daar is ruimte voor technische onderbouwing naast procedurele maatregelen. Ons overzicht van de vragenlijst van LVNL en GoDrone laat zien hoe ver de huidige aanvraagpraktijk daar nog van af staat.
Het onderzoek is fundamenteel werk, geen product. Er is geen commerciële versie, geen certificering en geen ondersteuning, en de volgende stappen die de onderzoekers zelf noemen gaan over rekenkracht en over het combineren van de planner met taalmodellen, zodat een gebruiker opdrachten in gewone taal kan geven. Wie nu een vlucht voorbereidt, heeft dus nog steeds een gekwalificeerde piloot, een goede voorbereiding en een realistische risico-analyse nodig. Wat dit onderzoek toevoegt, is een technisch antwoord op een vraag die tot nu toe vooral met procedures werd afgedekt.
Veelgestelde vragen over SANDO
Wat betekent SANDO?
SANDO staat voor Safe Autonomous Trajectory Planning for Dynamic Unknown Environments, veilige autonome trajectplanning voor dynamische onbekende omgevingen. Het is een planner die op de boordcomputer van een drone een route berekent waarvan formeel vaststaat dat die vrij blijft van botsingen met bewegende obstakels, ook zonder kaart van het gebied.
Wat is een tijdgebonden veiligheidscontrole?
Een veiligheidscontrole is een reeks verbonden ruimtes in de lucht waarvan vaststaat dat er geen obstakels in zitten. SANDO maakt die ruimtes tijdsafhankelijk: per tijdslaag wordt een obstakel alleen opgeblazen tot de positie die het bij zijn eigen topsnelheid in dat tijdsbestek maximaal kan bereiken. Daardoor blijft de ruimte bruikbaar terwijl objecten bewegen.
Welke aannames zitten er onder de veiligheidsgarantie?
Het bewijs rust op drie expliciete voorwaarden: een bovengrens aan de snelheid van obstakels, een bovengrens aan hun afmetingen en een begrensde fout in de positiebepaling. Zolang die grenzen kloppen, blijft de garantie staan. Wordt de omgeving sneller, groter of slechter waarneembaar dan aangenomen, dan vervalt het bewijs.
Is SANDO al te gebruiken in commerciële dronevluchten?
Nee. SANDO is onderzoekssoftware die is gevalideerd in simulaties en in twaalf testvluchten met een echte drone, met alle berekeningen aan boord. Er is geen product, geen certificering en geen ondersteuning. Voor commerciële vluchten in Europa blijft de SORA-systematiek van EASA het kader waarin risico's worden onderbouwd.
Heeft dit gevolgen voor dronevluchten in Nederland?
Regels, zones en vergunningen veranderen niet door dit onderzoek. Wat kan veranderen, is de manier waarop een operator aantoont dat een toestel bewegende obstakels ontwijkt: nu vooral met aannames en procedures, in de toekomst mogelijk met een technisch bewijs als aanvulling daarop.