Autonomia dei droni GPS-denied

Il drone che sa dove si trova, e sa l'istante in cui non può

Lodestar è un motore di integrità della navigazione per il volo GPS-denied. Mantiene il tracciamento attraverso una bolla di jamming fino a circa lo 0.9% di deriva, e quando la scena diventa genuinamente inosservabile passa a RED e torna alla base invece di volare un fix sicuro-ma-sbagliato contro un muro. La fiducia è calcolata fuori dallo stimatore, quindi tiene indipendentemente da quanto la VIO sottostante migliori.

0.92%

Deriva di posizione contenuta nella tratta GPS-denied (nostra)

Missione sintetica seeded; il dead-reckoning ha raggiunto il 30.95%

RED a 52.5 s

Ritorno alla base quando il tunnel è diventato inosservabile

Stessa missione, fusione LiDAR disattivata

100% / 0.1%

Tunnel inosservabile segnalato / falsi allarmi sulla tratta sana

Controllo di astensione, questa run

Tutto ciò che segue è una missione sintetica seeded su un percorso di 245.3 m, riproducibile offline. Non è coinvolto alcun drone reale, log di volo o emettitore di guerra elettronica.

Il fallimento pericoloso non è la deriva. È una posizione sicura-ma-sbagliata.

La guerra elettronica ha reso il GPS inaffidabile proprio nei luoghi in cui i droni autonomi contano di più: spazio aereo conteso, cave minerarie, tunnel, canyon urbani. La reazione automatica è montare l'odometria visivo-inerziale (VIO) e sperare. Ma la VIO fallisce in due modi, e solo uno è la deriva di cui parlano tutti.

Il primo fallimento è che la VIO deriva, accumulando errore tanto più a lungo il GPS resta negato. Questo è gestibile. Il secondo è peggiore: la VIO fallisce in silenzio. Si aggancia a oggetti in movimento o a una scena vuota e riporta una posizione nitida e sicura di sé che è semplicemente sbagliata. Per un acquirente della difesa, minerario o Blue UAS, una posizione sicura-ma-sbagliata è più pericolosa di un onesto "non lo so," perché l'aeromobile agisce su di essa con piena convinzione e vola precisamente verso un posto in cui non si trova.

Quando abbiamo costruito questa demo, abbiamo trattato quel secondo fallimento come il vero problema. Rendere lo stimatore più accurato non lo risolve, perché "questa posizione è affidabile?" è una domanda diversa da "qual è questa posizione?" Non puoi rispondere alla prima con lo stesso apparato che ha prodotto la seconda, più di quanto lasceresti un testimone certificare la propria testimonianza. Così il valore duraturo di Lodestar non è uno stimatore migliore. È un monitor di integrità che sta fuori dallo stimatore ed è disposto a dire la cosa poco scintillante: questa posizione non può essere considerata affidabile, torna alla base.

Come funziona: fiducia calcolata fuori dallo stimatore

La pipeline è tutta codice reale, deterministico e seeded. Una missione sintetica genera la ground truth indipendentemente da ogni stimatore; un VIO EKF tightly-coupled produce la posizione; un Monitor di Integrità della Navigazione separato giudica se quella posizione può essere considerata affidabile; e un benchmark più un Flight Integrity Report valutano l'intera run rispetto alla ground truth.

Lo stimatore: un EKF, tre configurazioni oneste

Lo stesso VIO EKF tightly-coupled gira in tre impostazioni genuinamente diverse, non uomini di paglia. Il dead-reckoning IMU non usa alcuna visione. La VIO di stock gira con il mascheramento semantico disattivato. La VIO integrity-aware (nostra) gira con il mascheramento semantico attivato, così rifiuta le feature visive che appartengono a oggetti in movimento invece di tracciarle. Quando il GPS è negato a t=18 s, l'EKF passa dal GPS alla visione senza un cambio di modalità visibile all'operatore e mantiene la posizione continua.

Il monitor di integrità: un verdetto GREEN / AMBER / RED

Il Monitor di Integrità della Navigazione è codice separato di proposito. Fonde tre segnali in uno stato di integrità con soglie dure:

Conteggio delle feature utilizzabili (GREEN a 8 o più feature statiche, RED sotto 1). La scena può davvero essere vista?
Posizione σ / 1-sigma (GREEN sotto 0.6 m, RED sopra 1.5 m). L'incertezza propria della stima è esplosa?
NIS della visione (consistenza delle innovazioni chi-quadro; GREEN sotto 7.0, RED sopra 30.0). Le misure sono ancora d'accordo con il modello?

Un RED sostenuto per 0.5 secondi aggancia il failsafe e comanda il ritorno alla base. Il monitor ripesa anche il bilanciamento GPS-VIO man mano che la fiducia cambia. Poiché vive fuori dallo stimatore, il suo verdetto non dipende dalla cosa di cui ci si fida.

La ricevuta: un Flight Integrity Report in un clic

Un clic esporta la ricevuta di audit come JSON e HTML stampabile: il tabellone, le metriche in evidenza, la correttezza dell'astensione, il tempo del failsafe, una timeline degli eventi e una disclosure esplicita di ambito su cosa è stubbato rispetto a ciò che è differito. Gira completamente offline e in modo deterministico a un seed fisso, così l'intero risultato è riproducibile. L'unico LLM opzionale è un pulsante "Bozza narrativa" che scrive la narrativa della technical-review dal report strutturato e sta interamente fuori dal loop di volo; il gate di integrità deterministico decide, il modello si limita a consigliare.

La prova: un volo, quattro beat

La demo è una missione continua seeded. Questi sono i suoi quattro beat in ordine, registrati con la fusione LiDAR disattivata, la run in evidenza in cui scatta il failsafe.

Dashboard di Lodestar al baseline con GPS buono: lo stato di integrità legge GREEN, la deriva è 0.38 m, e il tabellone del benchmark mostra la VIO integrity-aware allo 0.92% di deriva contro il dead-reckoning al 30.95% e la VIO di stock al 28.79%. — Beat 1, GPS buono (t sotto 18 s). La traccia stimata coincide con la ground truth e l'integrità legge GREEN. Questo è il baseline prima della bolla di jamming.

Beat 2, GPS negato (t=18 s, la bolla di jamming)

Il drone entra in una bolla di guerra elettronica simulata in stile R-330Zh e il GPS cade. L'EKF passa alla VIO senza cambio di modalità e continua a tracciare fino a circa lo 0.9% di deriva, mentre la baseline IMU di dead-reckoning esplode al 30.95% di deriva e 75.92 m di errore finale. L'accuratezza è reale, ma non è il punto. Il punto è cosa succede quando l'accuratezza non è più possibile.

Il segmento del convoglio in movimento: la VIO di stock con mascheramento disattivato si è agganciata ai veicoli in movimento ed è volata via in rosso, mentre la traccia integrity-aware resta vicina alla ground truth e lo stato di integrità legge AMBER con 2 feature utilizzabili e 10 mascherate. — Beat 3, il convoglio in movimento (t=30 a 43 s). Un convoglio attraversa una radura povera di feature. La VIO di stock si aggancia ai veicoli in movimento e vola via al 28.79% di deriva e 70.61 m di errore, il fallimento documentato "ha tracciato il camion, ha pensato che il drone fosse fermo". Il mascheramento semantico rifiuta le feature dinamiche, così la traccia integrity-aware tiene. L'integrità scende onestamente ad AMBER perché ora ci sono poche feature statiche, ma la traiettoria resta buona.

Il segmento del tunnel buio: le feature utilizzabili sono collassate a zero, lo stato di integrità legge RED con l'etichetta posizione non affidabile, e la timeline mostra TRACKING DEGRADED con ritorno alla base innescato a t=52.5 s. — Beat 4, il tunnel buio (t=52 a 66 s), il caso di astensione onesta. Le feature visive collassano quasi a zero. Nessuno stimatore può fabbricare una posizione affidabile da una scena inosservabile, così il monitor passa a RED e innesca il ritorno alla base a t=52.5 s. Non bluffa un fix. Dichiara la stima non affidabile e comanda un'azione sicura.

Lo stesso segmento di tunnel con la fusione LiDAR attivata: l'integrità tiene, nessun failsafe scatta, e il tabellone mostra la VIO integrity-aware più LiDAR a 0.43 m di ATE e 0.01% di deriva. — Il recupero, fusione LiDAR attivata. Attiva un vincolo di range LiDAR tightly-coupled simulato e lo stesso segmento diventa osservabile. L'integrità tiene, nessun failsafe scatta, e la deriva scende allo 0.01% in questa run. Il LiDAR è un trade-off, non magia: aggiunge da 250 a 400 g di payload e da 8 a 12 W di potenza, un vero costo SWaP-C che il report fa emergere invece di nascondere.

Il Flight Integrity Report esportato che mostra la tabella di accuratezza rispetto alla ground truth indipendente, la correttezza dell'astensione, una timeline degli eventi e una sezione di disclosure di ambito. — Il Flight Integrity Report. Un clic esporta la ricevuta di audit completa: accuratezza rispetto alla ground truth, correttezza dell'astensione, tempo del failsafe, la timeline degli eventi e una disclosure esplicita di cosa è stubbato rispetto a ciò che è differito. Questa è la ricevuta della technical-review, costruita per il tipo di scrutinio che applicherebbe un reviewer SBIR o AFWERX.

I numeri, con l'ambito esatto

Prodotti dal report builder al seed 20260619 su un percorso di 245.3 m, pienamente riproducibili offline. La run in evidenza è con fusione LiDAR disattivata, dove scatta il failsafe RED.

Metodo (LiDAR disattivato)	ATE	Errore finale	Deriva
Dead-reckoning IMU	25.37 m	75.92 m	30.95%
VIO di stock (mascheramento disattivato)	32.95 m	70.61 m	28.79%
VIO integrity-aware (nostra)	0.90 m	2.26 m	0.92%

Nella stessa run, il 56.3% del volo GPS-denied è rimasto a integrità GREEN, il monitor ha segnalato il tunnel genuinamente inosservabile il 100% delle volte, e ha fatto falsi allarmi sulla tratta GPS-denied sana solo lo 0.1% delle volte. Il failsafe di ritorno alla base è scattato a t=52.5 s. Con la fusione LiDAR simulata attivata, il tunnel diventa osservabile, la deriva scende allo 0.01%, la copertura GREEN sale al 78.9% e nessun failsafe scatta, che è il comportamento corretto, non un failsafe mancato.

Il throughput misurato in questa run è stato di 16,000 aggiornamenti di propagazione EKF (80 s a 200 Hz). La cifra di 30 a 45 FPS su un NVIDIA Jetson Orin NX 16 GB è una specifica di target-hardware, non misurata qui, e il report la etichetta come tale.

Cosa questa demo non fa

L'onestà è il prodotto, quindi l'ambito è esplicito. Questa è una demo del meccanismo, non una pipeline in produzione.

Tutto è sintetico e seeded. Non c'è un drone reale, un log di volo, un dataset pubblico o un emettitore di guerra elettronica. L'R-330Zh è uno scenario nominato, non un segnale rilevato.
Il front-end visivo (SuperPoint), la fusione LiDAR (un vincolo di range simulato, non un vero fattore LiDAR), l'interfaccia MAVLink/autopilota e il throughput Jetson sono stubbati o simulati.
La loop closure e l'ottimizzazione pose-graph, un vero front-end ORB-SLAM3 più SuperPoint, un benchmark su dataset pubblico, il backend a sliding-window basato su ottimizzazione, un bridge PX4 SITL e un flight test sono tutti differiti.
I metri e le percentuali esatti sono i risultati di questa unica missione seeded, non garanzie testate in volo. L'affermazione duratura è la struttura: fiducia calcolata fuori dallo stimatore, RED che innesca il ritorno alla base, e astensione su scene inosservabili.

Domande che fanno gli acquirenti

Come fa un drone a continuare a volare quando il GPS è sotto jamming?

Quando il GPS cade dentro una bolla di jamming, Lodestar passa a un EKF tightly-coupled di odometria visivo-inerziale (VIO) che fonde landmark della telecamera e dati IMU a 200 Hz per continuare a stimare la posizione. Sulla nostra missione sintetica seeded ha contenuto la deriva a circa lo 0.9 percento del percorso volato, dove una baseline IMU di dead-reckoning è esplosa a circa il 31 percento. Lo stimatore è solo metà della storia: un monitor di integrità separato decide, istante per istante, se la posizione può essere considerata affidabile.

Perché una posizione sicura-ma-sbagliata è più pericolosa della deriva?

Una posizione che deriva leggermente si degrada in modo graduale e un operatore può pianificare intorno ad essa, ma una sicura-ma-sbagliata manda l'aeromobile precisamente verso un posto che non è dove pensa di essere. La VIO fallisce così quando si aggancia a oggetti in movimento o a una scena vuota e riporta un fix nitido che è semplicemente falso. La risposta di Lodestar è l'astensione onesta: quando nessuna posizione può essere considerata affidabile, lo dice e torna alla base invece di volare un fix sicuro-ma-sbagliato contro un muro.

Cosa succede quando il drone entra in un tunnel e non vede nulla?

Nel segmento del tunnel buio della nostra missione, le feature visive utilizzabili collassano quasi a zero, così nessuno stimatore può fabbricare una posizione affidabile. Il Monitor di Integrità della Navigazione passa a RED, e dopo 0.5 secondi di RED sostenuto aggancia un failsafe e comanda il ritorno alla base, a t=52.5 s in questa run. Attiva la fusione LiDAR simulata opzionale e lo stesso segmento torna osservabile, così il monitor tiene correttamente e nessun failsafe scatta.

È un flight test reale o una simulazione?

È una simulazione. Tutto è una missione sintetica seeded con ground truth generata indipendentemente da ogni stimatore, così la run è riproducibile byte per byte; non c'è un drone reale, un log di volo o un emettitore di guerra elettronica, e l'R-330Zh è usato solo come scenario nominato. Ciò che è reale è il codice: un VIO EKF funzionante, il monitor di integrità e il benchmark girano tutti in modo deterministico offline. L'affermazione duratura è la struttura, cioè la fiducia calcolata fuori dallo stimatore e il RED che innesca il ritorno alla base, non i metri esatti di una missione.

In cosa differisce dalla VIO di stock o da ORB-SLAM3?

La VIO di stock stima la posizione ma non ha un giudice separato di quanto quella posizione sia affidabile, e può agganciarsi a feature dinamiche. Nella stessa run seeded, la VIO di stock con mascheramento semantico disattivato si è agganciata a un convoglio in movimento ed è volata via a circa il 29 percento di deriva, il caso classico di tracciare il camion e pensare che il drone fosse fermo. Lodestar aggiunge il mascheramento semantico che rifiuta le feature in movimento, più un monitor di integrità che vive fuori dallo stimatore così la fiducia non dipende dalla cosa di cui ci si fida.

Lodestar può girare a bordo di un drone, su un Jetson?

La demo gira offline e in modo deterministico su un laptop come servizio FastAPI con un EKF NumPy e un monitor di integrità. La cifra di 30 a 45 FPS su un NVIDIA Jetson Orin NX 16 GB è una specifica di target-hardware, non un risultato misurato, e il Flight Integrity Report lo dichiara come tale. Il dispiegamento a bordo, un vero front-end di immagini e il bridge autopilota/MAVLink sono differiti, non costruiti in questa versione.

Lodestar è conforme a Blue UAS o NDAA?

Blue UAS è l'elenco autorizzato della U.S. Defense Innovation Unit di droni conformi NDAA, e SBIR/AFWERX finanziano esattamente questo tipo di lavoro di autonomia GPS-denied; li citiamo come contesto di mercato, non come affiliazioni. Non si afferma che Veriprajna sia in alcun elenco o sotto alcun contratto. Ciò che la demo fornisce per quel tipo di revisione è un Flight Integrity Report in un clic con una disclosure esplicita di ambito su cosa è stubbato rispetto a ciò che è differito.

Ricerca tecnica

La ricerca dietro questa demo — l'architettura, il design di verifica e il blueprint enterprise.

Soluzione completa

Esplora la soluzione Autonomia dei droni GPS-denied →

Stai costruendo autonomia per uno spazio aereo in cui il GPS non è affidabile?

La demo prova il meccanismo. Il lavoro più duro è adattarlo alla tua piattaforma, ai tuoi sensori e alla tua missione.

Se il tuo team sta lottando con la navigazione GPS-denied e la questione di quando uno stack di autonomia dovrebbe rifiutare di fidarsi della propria posizione, ci farebbe davvero piacere sentire come ci state pensando. Il problema è di tutto il settore e lo saranno anche le risposte.

Revisione dell'integrità della navigazione

• Valutare i tuoi modi di fallimento GPS-denied, inclusi i fallimenti silenziosi della VIO
• Definire i segnali di fiducia e le soglie che contano per la tua missione
• Progettare la policy di astensione e failsafe per le scene inosservabili
• Produrre un benchmark di integrità riproducibile rispetto alla ground truth

Costruzione ingegneristica dell'autonomia

• Integrare un VIO EKF tightly-coupled con un vero front-end di immagini
• Aggiungere un monitor di integrità che vive fuori dallo stimatore
• Avviare la fusione dei sensori e il bridge dell'autopilota per la tua cellula
• Consegnare la ricevuta di technical-review per lo scrutinio in stile SBIR/AFWERX

Contattaci via WhatsApp Scrivi al nostro team via email