Simulação como portão: validação antes do mundo físico

Toda a engenharia madura de sistemas autónomos converge para o mesmo princípio: o mundo físico é o pior lugar para descobrir que uma capacidade não funciona. É caro, é lento, é arriscado — e, no caso de sistemas que voam, navegam ou atuam sobre infraestruturas, um erro descoberto no terreno pode ter consequências irreversíveis. As indústrias aeroespacial e de defesa aprenderam isso ao longo de décadas; a Zendrix aplica a mesma disciplina — hardware-in-the-loop, validação em simulação de alta fidelidade, aceitação por números — ao desenvolvimento de infraestrutura de inteligência para operações autónomas.

Este artigo descreve o que esse portão de simulação significa na nossa prática de engenharia, ao nível do método. Não é um manifesto contra os testes reais: é a descrição de porque é que os testes reais só têm valor depois de a simulação ter feito o seu trabalho.

Simulação de alta fidelidade não é desenho animado

Existe um mal-entendido comum: a simulação seria um mundo idealizado onde tudo funciona e que, portanto, provaria pouco. A simulação útil é o oposto. Modela exatamente aquilo que torna o mundo difícil.

Nos ambientes de simulação da Zendrix, a dinâmica dos veículos é aproximada com parâmetros medidos — incluindo inércia, saturação de atuadores e atrasos de resposta. A comunicação é modelada com perda de pacotes, latência variável e envelhecimento de estado: o agente recebe informação atrasada e incompleta, como a receberia no terreno. Os sensores produzem leituras ruidosas, com deriva e falhas parciais. A bateria acaba. O enlace cai. O vento existe.

A fidelidade tem um propósito epistémico preciso: se uma capacidade sobrevive a um ambiente simulado que contém as dificuldades certas, a evidência que produz transfere-se para o mundo real com margem conhecida. Se sobrevive apenas a um ambiente idealizado, a evidência não vale nada — e é por isso que a qualidade de uma simulação se mede pela honestidade das suas imperfeições, não pela suavidade dos seus gráficos.

Determinismo: a mesma pergunta, a mesma resposta

Um portão de validação exige reprodutibilidade. Um teste que passa hoje e falha amanhã sem causa identificada não valida nada — apenas consola. Por isso, os ambientes de simulação da Zendrix são determinísticos por construção: dada a mesma semente aleatória e o mesmo cenário, a trajetória completa do sistema é reproduzível bit a bit, incluindo o ruído dos sensores e a perda de pacotes.

Determinismo não significa artificialidade. Significa que a aleatoriedade é controlada: o ruído existe, mas é reproduzível. Isto permite uma disciplina que os testes não determinísticos impossibilitam — quando um comportamento suspeito aparece, pode ser reexecutado, isolado e diagnosticado; quando uma correção é feita, pode ser verificada contra exatamente o cenário que expôs o problema. E permite variar a semente de forma sistemática para garantir que um resultado não é sorte de um único cenário: robustez que depende da semente não é robustez.

Pisos medidos: aceitação é número, não adjetivo

A terceira peça do método é a mais importante culturalmente: critérios de aceitação quantitativos, definidos antes da medição e nunca afrouxados depois.

Cada capacidade que atravessa o portão carrega um piso: o valor mínimo mensurável que precisa de atingir no ambiente simulado — precisão de navegação abaixo de uma deriva máxima, tempo de reação a falha de comunicação dentro de um limite declarado, retenção de capacidade coordenada acima de um patamar sob abate parcial. Os pisos são fixados a partir de medições honestas do que o sistema realmente alcança, e depois congelados como requisito. Quando uma mudança de código derruba um piso, o portão fecha: a mudança não passa.

Essa disciplina tem um corolário impopular que abraçamos: quando um sistema não atinge o piso, a resposta correta é melhorar o sistema — nunca rebaixar o piso. Um critério de aceitação que se ajusta ao resultado deixa de ser critério e passa a ser decoração. A cultura de evidência da Zendrix, descrita em publicações anteriores, aplica-se aqui na sua forma mais concreta: o que não é medido não é declarado; e o que é medido e não atinge o piso não é publicado.

Controlos anti-teatro: o sistema não pode enganar o portão

Há uma subtileza que separa a validação real da validação teatral: um portão só vale se for impossível atravessá-lo fingindo. Os sistemas de aprendizagem automática são especialmente propensos a formas sofisticadas de fingimento — correlacionar com a resposta certa sem executar o raciocínio que a produz, memorizar cenários em vez de generalizar, explorar fugas de informação do ambiente de teste.

Por isso, os ambientes de simulação da Zendrix incluem controlos negativos por desenho. Para cada teste que exige que o sistema acerte, existe um teste-espelho que verifica se um impostor plausível falharia: um agente inerte consegue atravessar o piso? Um sistema que apenas repete comportamento padrão atinge a métrica? A informação que só deveria estar disponível no terreno vaza para o planeador na simulação? Se um impostor passa no portão, o portão é o problema — e corrigir o portão vem antes de celebrar a passagem.

Estes controlos não são paranoia académica. São a diferença entre afirmar que um sistema autónomo foi validado e saber que o foi. Para infraestrutura de defesa, a segunda postura é a única admissível.

Hardware-in-the-loop: o ensaio geral antes do voo

O estágio final do portão é a simulação hardware-in-the-loop: o software de operação real — o mesmo código que um dia comandará hardware físico — executa contra um simulador fiel do veículo, trocando as mesmas mensagens, nos mesmos formatos, com os mesmos atrasos que trocaria com o equipamento verdadeiro. A única diferença é que nada descola.

O valor do HIL é que elimina uma categoria inteira de risco: a de que o software de validação e o software de operação sejam sistemas diferentes que coincidem no laboratório e divergem no terreno. No portão da Zendrix, não existe um "modo de teste" privilegiado. O sistema que atravessa a simulação é o sistema que iria para o terreno — e o modo de operação real só é ativado por decisão explícita e registada, nunca por acidente ou por omissão.

O que o portão protege

O portão de simulação protege três coisas ao mesmo tempo. Protege a operação: nada imaturo chega ao terreno. Protege a instituição: as decisões de promoção são auditáveis, com números registados e critérios congelados. E protege a verdade interna da engenharia: uma equipa que só promove capacidades com evidência medida não acumula a dívida mais perigosa de todas — a crença falsa na própria capacidade.

É assim que a Zendrix constrói a base tecnológica para operações autónomas futuras, incluindo sistemas não tripulados: com o mundo físico no fim do processo, nunca no início. A simulação não substitui a validação no terreno — é o que torna a validação no terreno segura, barata e honesta o suficiente para merecer o nome.