Скоординированная автономность при деградации связи

В большинстве дискуссий об автономных системах присутствует молчаливое допущение: связь будет доступна. Она доступна не будет — по крайней мере не в той форме, какую воображает оптимистичное планирование. В реальных операциях канал деградирует, задержка растёт, пакеты теряются, а в оспариваемых сценариях связь может быть подавлена полностью. Автономная система, работающая только при полной связности, не является автономной системой: это дистанционно управляемая система с иллюзией самостоятельности.

Zendrix рассматривает координацию при деградации связи как инфраструктурную задачу — фундамент, на котором будущие автономные операции, включая непилотируемые системы, смогут ответственно строиться. Эта статья описывает инженерные принципы данного направления исследований, не вдаваясь в детали реализации: что мультиагентная система должна гарантировать, чтобы сохранять координацию, когда мир обрывает провод.

Настоящая проблема не обрыв — а неопределённость

Когда связь пропадает чисто и полностью, даже простые системы знают, что делать: остановиться, отойти к заранее заданному безопасному поведению. Трудный сценарий — промежуточный: частичная деградация. Сообщения приходят с опозданием, вне порядка или дублируются. Агент не знает, молчит ли сосед потому, что отказал, или потому, что отказал канал между ними. Доступная информация перестаёт быть достоверной, не переставая присутствовать, — и именно здесь наивные системы принимают неверные решения с неоправданной уверенностью.

Поэтому первое свойство, которого мы требуем от скоординированной системы, — эпистемическое прежде операционного: система должна различать то, что наблюдала, и то, что вывела, и обращаться с устаревшей информацией как с устаревшей. Состояние с известным возрастом ценнее свежего состояния сомнительного происхождения. Каждый агент поддерживает явное представление о том, насколько стары и насколько достоверны его знания о других, — и его решения учитывают эту неопределённость серьёзно, вместо того чтобы опираться на воображаемую фотографию мира.

Распределённое управление с формальными уровнями готовности

Второй принцип состоит в том, что координация не может зависеть от единственной точки. Если мультиагентная система работает лишь пока отвечает центральный координатор, то отказ этого координатора есть отказ всей системы — и никакому противнику не нужна изощрённость, чтобы его вызвать.

Направление исследований Zendrix применяет распределённое управление с формальными уровнями готовности. В нормальном режиме существует лидерство, избираемое по объективным метрикам качества канала и способности. Когда лидерство утрачено — из-за отказа, имитированного поражения или деградации связи, — система автономно перестраивает координацию в рамках объявленных и проверяемых правил, не требуя внешнего вмешательства. Если изолирована вся ячейка, координация отходит на уровень группы; если распадается группа, каждый агент действует индивидуально в пределах своего контура безопасности. Каждый переход уровня фиксируется в аудиторском следе: система никогда не меняет режим молча.

Важно сказать, чем это не является. Это не машина, которая сама решает, чего хочет. Наоборот: это система, чьи правила готовности настолько явны и настолько испытаны, что человеческие полномочия могут доверять ей именно тогда, когда связь с ней исчезает. Автономность здесь — способность сохранять предсказанное поведение в непредвиденных условиях, и никогда — способность изобретать новые цели.

Измеряемая деградация, а не обещанная

Третий принцип: достоинство под давлением не декларируется — оно измеряется. «Плавная деградация» стала маркетинговым словосочетанием; чтобы быть инженерным свойством, ей нужен числовой показатель.

В исследованиях Zendrix каждое утверждение о робастности сопровождается порогом, измеренным в среде высокоточного моделирования. Скоординированная система подвергается потерям пакетов, переменной задержке и частичным поражениям; измеряется, какая доля операционной способности сохраняется; требуется, чтобы сохранение превышало заданные пороги до любого продвижения. Система, теряющая четверть своих агентов и сохраняющая — измеренно, а не оценочно — большую часть координированной способности, есть система, чью робастность можно проверить аудитом. Система, лишь заявляющая о своей робастности, есть система, чья робастность декоративна.

Эта дисциплина распространяется и на саму координацию: выборы лидерства под нагрузкой имеют измеренную задержку, отсутствие одновременных конфликтующих решений проверяется при потерях пакетов, а вся цепочка готовности проходится в испытаниях — включая последний уровень, на котором изолированный агент должен понять обстановку и действовать один в пределах контура. Ничто не принимается на веру потому, что «должно работать».

Человеческий контроль: безусловный по конструкции

Есть вопрос, на который любое исследование скоординированной автономности обязано ответить прежде остальных: где человек? В архитектуре Zendrix ответ структурный. Существует класс человеческих команд — начиная с аварийного останова, — который не проходит ни через одну очередь, ни через согласование между агентами, ни через оценку целесообразности. Он безусловен, работает даже при деградировавшей системе, а его исполнение фиксируется с идентификацией оператора и причиной. Распределённая координация существует, чтобы сохранять операцию под нагрузкой; никогда — чтобы размывать полномочия того, кто за неё отвечает.

Двойное применение: от обороны до реагирования на катастрофы

Проблема координации автономных агентов при подавленной связи не является исключительно оборонной. Поисково-спасательные команды работают именно в таком режиме: завалы блокируют радиосвязь, зоны бедствия роняют вышки, и нескольким непилотируемым аппаратам нужно покрывать территорию без устойчивого командного центра. Инспекция критической инфраструктуры — линии электропередачи, трубопроводы, железные дороги — регулярно проходит участки без покрытия. Точное земледелие в промышленном масштабе работает вне досягаемости городских сетей.

Во всех этих случаях желаемое свойство одно: чтобы система оставалась скоординированной, безопасной и проверяемой аудитом, когда связь откажет. Поэтому мы относим это направление к инфраструктуре интеллекта — национальной технологической основе, служащей и обороне, и зависящим от неё гражданским применениям, и которую Zendrix развивает с той же дисциплиной доказательности, что применяет ко всему, что строит.

Состояние исследований

Текущие результаты получены в высокоточном моделировании — среде, в которой динамика, связь и сенсоры моделируются с измеренными параметрами и в которой каждый сценарий воспроизводим детерминированно. Это правильная стадия для данной фазы: ничто не выходит в поле, не пройдя сначала через ворота моделирования, а ворота требуют чисел, а не нарративов. Переход к физической валидации будет следовать тому же методу, который управляет всей нашей разработкой — измеренные пороги, антитеатральные контроли и полный аудиторский след.

Институциональное послание просто. Zendrix не анонсирует автономные флоты и не обещает машин, которые решают за себя. Мы строим проверяемым методом инфраструктуру интеллекта для обороны, делающую будущие автономные операции возможными ответственно — скоординированные при деградации связи, управляемые формальными правилами, измеренные в моделировании прежде, чем существовать в мире, и подчинённые — всегда и безусловно — человеческим полномочиям.