通信劣化下における協調的自律性

自律システムに関する議論の大半には、暗黙の前提がある。すなわち、通信は利用可能であるという前提である。実際にはそうならない。少なくとも、楽観的な計画が思い描く形では利用可能にならない。実運用では回線が劣化し、遅延が増大し、パケットが失われ、敵対的環境では通信が完全に拒否され得る。完全な接続性のもとでのみ機能する自律システムは、自律システムではない。それは独立の幻想をまとった遠隔操作システムである。

Zendrixは、通信劣化下の協調をインフラストラクチャの問題として扱う。つまり、無人システムを含む将来の自律運用を責任をもって構築するための土台である。本稿は、この研究路線の工学的原則を実装の詳細に立ち入ることなく記述する。すなわち、世界が回線を断ち切ったとき、マルチエージェントシステムが協調を維持するために何を保証すべきかである。

真の問題は断絶ではなく曖昧さである

通信が完全にかつ明瞭に断たれた場合、単純なシステムでさえ何をすべきかを知っている。停止し、あらかじめ定義された安全な挙動へ後退する。困難なシナリオはその中間、すなわち部分的劣化である。メッセージは遅延して到着し、順序を乱し、あるいは重複する。エージェントは、隣接エージェントが沈黙している理由が自身の故障によるのか、両者間の回線の故障によるのかを知らない。利用可能な情報は、存在し続けたまま信頼できなくなる。まさにそこにおいて、素朴なシステムは不当な自信をもって誤った決定を下すのである。

したがって、協調システムに要求する第一の特性は、運用上のものである前に認識論的なものである。システムは、観測したものと推論したものを区別し、陳腐化した情報を陳腐化したものとして扱う必要がある。既知の経過時間をもつ状態は、出所の疑わしい新鮮な状態よりも価値がある。各エージェントは、他者に関する自身の知識の各部分がどれほど古く、どれほど信頼できるかについて明示的な認識を維持し、その不確実性を真剣に扱う。世界についての想像上の写真の上で作動するのではない。

形式的コンティンジェンシーを備えた分散ガバナンス

第二の原則は、協調が単一障害点に依存してはならないということである。マルチエージェントシステムが中央コーディネータの応答中にのみ機能するならば、そのコーディネータの喪失はシステム全体の喪失である。そして、いかなる敵対者もそれを引き起こすのに高度な伎倆を必要としない。

Zendrixの研究路線は、形式的なコンティンジェンシー段階を備えた分散ガバナンスを採用する。通常運用では、回線品質と能力に関する客観的指標によって選出されたリーダーシップが存在する。リーダーシップが失われたとき、すなわち故障、シミュレートされた撃破、あるいは通信劣化によって失われたとき、システムは宣言され監査可能な規則の範囲内で自律的に協調を再構成し、外部からの介入を要求しない。セル全体が孤立すれば、協調はグループ段階へ後退する。グループが分裂すれば、各エージェントは自身の安全包絡線の範囲内で個別に作動する。段階の遷移はすべて監査証跡に記録される。システムは決して黙って運用モードを変えない。

ここで、これが何ではないかを述べておくことが重要である。これは何をしたいかを自ら決定する機械ではない。逆である。コンティンジェンシー規則がそれほど明示的で、それほど試験されているシステムであるからこそ、人間の権限は、通信が途絶したまさにそのとき、そのシステムを信頼できるのである。ここでの自律性とは、予期せぬ条件下で予期された挙動を維持する能力であり、新しい目的を発明する能力では決してない。

劣化は約束されるものではなく、測定されるものである

第三の原則は、圧力下での優雅さは宣言するものではなく、測定するものであるということである。「グレースフル・デグラデーション」はマーケティング用語になった。工学的特性であるためには数値を要する。

Zendrixの研究では、あらゆる堅牢性の主張に、高忠実度シミュレーション環境で測定された下限値が伴う。協調システムをパケット損失、変動遅延、部分的な撃破にさらし、運用能力がどれだけ保持されるかを測定し、いかなる昇格の前にも保持率が定義された下限値を上回ることを要求する。エージェントの四分の一を失っても協調能力の大半を保持する——推定ではなく測定された——システムは、その堅牢性が監査可能なシステムである。堅牢であると主張するだけのシステムは、その堅牢性が装飾的なシステムである。

この規律は協調そのものにも及ぶ。負荷下でのリーダー選出は測定された遅延をもち、相反する同時決定が生じないことはパケット損失下で検証され、コンティンジェンシー連鎖全体が試験で演練される。最後の段階、すなわち孤立したエージェントが状況を理解し、包絡線の範囲内で単独で行動しなければならない段階も含まれる。何も「機能するはず」という理由で前提とされない。

人間による制御：設計により無条件

協調的自律性に関するあらゆる研究が他に先立って答えなければならない問いがある。人間はどこにいるのか。Zendrixのアーキテクチャでは、答えは構造的である。人間の命令の一クラス——緊急停止を筆頭とする——は、いかなる待ち行列も、エージェント間のいかなる交渉も、いかなる機会評価も経由しない。それは無条件であり、システムが劣化していても機能し、その実行は操作者識別子と理由とともに記録される。分散協調は圧力下での運用を保全するために存在し、それに責任を負う者の権限を薄めるために存在するのではない。

デュアルユース：防衛から災害対応まで

通信が拒否された状況下で自律エージェントを協調させる問題は、防衛に固有のものではない。捜索救助チームはまさにこのレジームで作動する。瓦礫が無線を遮り、災害地帯が基地局を倒し、複数の無人車両が安定した指揮中枢なしに地域を踏破しなければならない。重要インフラストラクチャの点検——送電線、パイプライン、鉄道——は、日常的に圏外区間を通過する。大規模な精密農業は都市ネットワークの到達範囲外で作動する。

いずれの場合も、望まれる特性は同じである。通信が途絶したとき、システムが協調を保ち、安全であり、監査可能であり続けること。だからこそ我々はこの路線をインテリジェンス基盤として扱う。すなわち、防衛にも、それに依存する民生応用にも資する国家的な技術基盤であり、Zendrixが構築するすべてに適用するのと同じ証拠の規律をもって開発するものである。

研究の現状

現在の成果は高忠実度シミュレーションによるものである。すなわち、動力学、通信、センサが測定されたパラメータでモデル化され、各シナリオが決定論的に再現可能な環境である。これは本段階にとって正しい段階である。シミュレーションのゲートを通過しない限り、何も実地には進まない。そしてゲートは物語ではなく数値を要求する。物理検証への移行は、我々の開発全体を律するのと同じ方法に従う。すなわち、測定された下限値、反芝居のコントロール、完全な監査証跡である。

制度的メッセージは単純である。Zendrixは自律艦隊を宣伝せず、単独で決定する機械を約束しない。我々は検証可能な方法をもって、将来の自律運用を責任ある形で可能にする防衛向けインテリジェンス基盤を構築する。それは通信劣化下で協調され、形式的な規則によって統治され、この世に存在する前にシミュレーションで測定され、常に、そして無条件に、人間の権限に従属する。