Lodestar: Autonomia de drones sem GPS que sabe quando não pode

Autonomia de drones sem GPS

O Lodestar é um motor de integridade de navegação para voo sem GPS. Ele mantém o rastreamento através de uma bolha de interferência com cerca de 0.9% de deriva e, quando a cena fica genuinamente inobservável, passa a RED e retorna à base em vez de voar rumo a uma parede com um fix confiante, porém errado. A confiança é computada fora do estimador, então se sustenta independentemente de quão bom o VIO subjacente se torne.

0.92%

Deriva de posição mantida no trecho sem GPS (o nosso)

Missão sintética com semente fixa; a navegação estimada chegou a 30.95%

RED aos 52.5 s

Retorno à base quando o túnel ficou inobservável

Mesma missão, fusão LiDAR desligada

100% / 0.1%

Túnel inobservável sinalizado / alarmes falsos no trecho saudável

Checagem de abstenção, nesta execução

Tudo abaixo é uma missão sintética com semente fixa sobre um percurso de 245.3 m, reproduzível offline. Nenhum drone real, registro de voo ou emissor de guerra eletrônica está envolvido.

A falha perigosa não é a deriva. É uma posição confiante, porém errada.

A guerra eletrônica tornou o GPS não confiável exatamente nos lugares em que drones autônomos agora mais importam: espaço aéreo contestado, cavas de mineração, túneis, cânions urbanos. O conserto reflexo é acoplar odometria visual-inercial (VIO) e torcer. Mas o VIO falha de duas maneiras, e só uma delas é a deriva de que todos falam.

A primeira falha é que o VIO deriva, acumulando erro quanto mais tempo o GPS permanece negado. Isso é administrável. A segunda é pior: o VIO falha em silêncio. Ele trava em objetos em movimento ou em uma cena vazia e reporta uma posição nítida e confiante que está simplesmente errada. Para um comprador de defesa, mineração ou Blue UAS, uma posição confidentemente errada é mais perigosa do que um honesto "eu não sei", porque a aeronave age com plena convicção e voa precisamente rumo a um lugar onde não está.

Quando construímos esta demonstração, tratamos essa segunda falha como o problema real. Tornar o estimador mais preciso não a resolve, porque "esta posição é confiável?" é uma pergunta diferente de "qual é esta posição?". Você não responde à primeira com a mesma maquinaria que produziu a segunda, assim como não deixaria uma testemunha certificar o próprio depoimento. Então o valor duradouro do Lodestar não é um estimador melhor. É um monitor de integridade que fica fora do estimador e está disposto a dizer a coisa pouco glamourosa: esta posição não pode ser confiada, retorne à base.

Como funciona: confiança computada fora do estimador

O pipeline é todo real, determinístico, código com semente fixa. Uma missão sintética gera a verdade de campo independentemente de cada estimador; um EKF VIO de acoplamento rígido produz a posição; um Monitor de Integridade de Navegação separado julga se essa posição pode ser confiada; e um benchmark mais um Relatório de Integridade de Voo pontuam a execução inteira contra a verdade de campo.

O estimador: um EKF, três configurações honestas

O mesmo EKF VIO de acoplamento rígido roda em três ajustes genuinamente diferentes, não espantalhos. A IMU em navegação estimada não usa visão. O VIO padrão roda com mascaramento semântico desligado. O VIO ciente de integridade (o nosso) roda com mascaramento semântico ligado, então rejeita as features visuais que pertencem a objetos em movimento em vez de rastreá-las. Quando o GPS é negado em t=18 s, o EKF transfere de GPS para visão sem mudança de modo visível ao operador e mantém a posição contínua.

O monitor de integridade: um veredito GREEN / AMBER / RED

O Monitor de Integridade de Navegação é código separado de propósito. Ele funde três sinais em um estado de integridade com limiares rígidos:

Contagem de features utilizáveis (GREEN com 8 ou mais features estáticas, RED abaixo de 1). A cena realmente pode ser vista?
Posição σ / 1-sigma (GREEN abaixo de 0.6 m, RED acima de 1.5 m). A incerteza própria da estimativa estourou?
NIS de visão (consistência de inovação qui-quadrado; GREEN abaixo de 7.0, RED acima de 30.0). As medições ainda concordam com o modelo?

RED sustentado por 0.5 segundos trava o failsafe e comanda o retorno à base. O monitor também repondera o equilíbrio GPS-para-VIO conforme a confiança muda. Porque vive fora do estimador, o veredito não depende da coisa em que se confia.

O recibo: um Relatório de Integridade de Voo em um clique

Um clique exporta o recibo de auditoria como JSON e HTML imprimível: o placar, as métricas de destaque, a corretude da abstenção, o instante do failsafe, uma linha do tempo de eventos e uma divulgação explícita de escopo do que está em stub versus o que está adiado. Roda totalmente offline e de forma determinística com uma semente fixa, então o resultado inteiro é reproduzível. O único LLM opcional é um botão "Rascunhar narrativa" que escreve a narrativa de revisão técnica a partir do relatório estruturado e fica inteiramente fora do loop de voo; o portão de integridade determinístico decide, o modelo só aconselha.

A prova: um voo, quatro momentos

A demonstração é uma missão contínua com semente fixa. Estes são os seus quatro momentos em ordem, registrados com a fusão LiDAR desligada, a execução de destaque em que o failsafe dispara.

Painel do Lodestar na linha de base com GPS bom: o estado de integridade indica GREEN, a deriva é 0.38 m, e o placar do benchmark mostra o VIO ciente de integridade com 0.92% de deriva contra a navegação estimada com 30.95% e o VIO padrão com 28.79%. — Momento 1, GPS bom (t abaixo de 18 s). A trajetória estimada coincide com a verdade de campo e a integridade indica GREEN. Esta é a linha de base antes da bolha de interferência.

Momento 2, GPS negado (t=18 s, a bolha de interferência)

O drone entra em uma bolha de guerra eletrônica simulada no estilo R-330Zh e o GPS cai. O EKF transfere para o VIO sem mudança de modo e continua rastreando com cerca de 0.9% de deriva, enquanto a linha de base de IMU em navegação estimada explode para 30.95% de deriva e 75.92 m de erro final. A acurácia é real, mas não é o ponto. O ponto é o que acontece quando a acurácia deixa de ser possível.

O segmento do comboio em movimento: o VIO padrão com mascaramento desligado travou nos veículos em movimento e saiu voando em vermelho, enquanto a trajetória ciente de integridade se mantém próxima da verdade de campo e o estado de integridade indica AMBER com 2 features utilizáveis e 10 mascaradas. — Momento 3, o comboio em movimento (t=30 a 43 s). Um comboio atravessa uma clareira com poucas features. O VIO padrão trava nos veículos em movimento e sai voando até 28.79% de deriva e 70.61 m de erro, a falha documentada de "rastreou o caminhão, pensou que o drone estava parado". O mascaramento semântico rejeita as features dinâmicas, então a trajetória ciente de integridade se mantém. A integridade desce honestamente para AMBER porque agora há poucas features estáticas, mas a trajetória permanece boa.

O segmento do túnel escuro: as features utilizáveis colapsaram a zero, o estado de integridade indica RED com o rótulo posição não confiável, e a linha do tempo mostra TRACKING DEGRADED com retorno à base disparado em t=52.5 s. — Momento 4, o túnel escuro (t=52 a 66 s), o caso de abstenção honesta. As features visuais colapsam a quase zero. Nenhum estimador consegue fabricar uma posição confiável a partir de uma cena inobservável, então o monitor passa a RED e dispara o retorno à base em t=52.5 s. Ele não blefa um fix. Declara a estimativa não confiável e comanda uma ação segura.

O mesmo segmento de túnel com a fusão LiDAR ligada: a integridade se mantém, nenhum failsafe dispara, e o placar mostra VIO ciente de integridade mais LiDAR com 0.43 m de ATE e 0.01% de deriva. — A recuperação, fusão LiDAR ligada. Ligue uma restrição de alcance LiDAR simulada de acoplamento rígido e o mesmo segmento se torna observável. A integridade se mantém, nenhum failsafe dispara, e a deriva cai para 0.01% nesta execução. LiDAR é uma troca, não magia: acrescenta 250 a 400 g de payload e 8 a 12 W de potência, um custo SWaP-C real que o relatório expõe em vez de esconder.

O Relatório de Integridade de Voo exportado mostrando a tabela de acurácia versus a verdade de campo independente, a corretude da abstenção, uma linha do tempo de eventos e uma seção de divulgação de escopo. — O Relatório de Integridade de Voo. Um clique exporta o recibo de auditoria completo: acurácia contra a verdade de campo, corretude da abstenção, instante do failsafe, a linha do tempo de eventos e uma divulgação explícita do que está em stub versus o que está adiado. Este é o recibo de revisão técnica, feito para o tipo de escrutínio que um revisor SBIR ou AFWERX aplicaria.

Os números, com o escopo exato

Produzidos pelo gerador de relatório na semente 20260619 sobre um percurso de 245.3 m, totalmente reproduzível offline. A execução de destaque é com fusão LiDAR desligada, em que o failsafe RED dispara.

Método (LiDAR desligado)	ATE	Erro final	Deriva
IMU em navegação estimada	25.37 m	75.92 m	30.95%
VIO padrão (mascaramento desligado)	32.95 m	70.61 m	28.79%
VIO ciente de integridade (o nosso)	0.90 m	2.26 m	0.92%

Na mesma execução, 56.3% do voo sem GPS manteve-se em integridade GREEN, o monitor sinalizou o túnel genuinamente inobservável 100% do tempo, e alarmou em falso no trecho saudável sem GPS apenas 0.1% do tempo. O failsafe de retorno à base disparou em t=52.5 s. Com a fusão LiDAR simulada ligada, o túnel se torna observável, a deriva cai para 0.01%, a cobertura GREEN sobe para 78.9%, e nenhum failsafe dispara, o que é o comportamento correto, não uma detecção perdida.

A vazão medida nesta execução foi de 16,000 atualizações de propagação do EKF (80 s a 200 Hz). A figura de 30 a 45 FPS em um NVIDIA Jetson Orin NX 16 GB é uma especificação de hardware-alvo, não medida aqui, e o relatório a rotula como tal.

O que esta demonstração não faz

A honestidade é o produto, então o escopo é explícito. Esta é uma demonstração do mecanismo, não um pipeline implantado.

Tudo é sintético e com semente fixa. Não há drone real, registro de voo, conjunto de dados público ou emissor de guerra eletrônica. O R-330Zh é um cenário nomeado, não um sinal sensoriado.
O front-end visual (SuperPoint), a fusão LiDAR (uma restrição de alcance simulada, não um fator LiDAR real), a interface MAVLink/autopilot e a vazão do Jetson estão em stub ou simulados.
Fechamento de loop e otimização de grafo de poses, um front-end ORB-SLAM3 real mais SuperPoint, um benchmark em conjunto de dados público, o backend de janela deslizante baseado em otimização, uma ponte PX4 SITL e um teste de voo estão todos adiados.
Os metros e porcentagens exatos são os resultados desta única missão com semente fixa, não garantias testadas em voo. A alegação duradoura é a estrutura: confiança computada fora do estimador, RED disparando o retorno à base, e abstenção em cenas inobserváveis.

Perguntas que os compradores fazem

Como um drone continua voando quando o GPS é interferido?

Quando o GPS cai dentro de uma bolha de interferência, o Lodestar transfere para um EKF de odometria visual-inercial (VIO) de acoplamento rígido que funde marcos da câmera e dados de IMU a 200 Hz para continuar estimando a posição. Na nossa missão sintética com semente fixa isso reteve a deriva em cerca de 0.9 por cento do percurso voado, onde uma linha de base de IMU em navegação estimada explodiu para cerca de 31 por cento. O estimador é só metade da história: um monitor de integridade separado decide, instante a instante, se a posição pode ser confiada de algum modo.

Por que uma posição confidentemente errada é mais perigosa do que a deriva?

Uma posição que deriva um pouco degrada de forma previsível e um operador pode planejar em torno dela, mas uma confidentemente errada envia a aeronave precisamente rumo a um lugar que não é onde ela pensa que está. O VIO falha assim quando trava em objetos em movimento ou em uma cena vazia e reporta um fix nítido que é simplesmente falso. A resposta do Lodestar é a abstenção honesta: quando nenhuma posição pode ser confiada, ele diz isso e retorna à base em vez de voar rumo a uma parede com um fix confiante, porém errado.

O que acontece quando o drone entra em um túnel e não consegue ver nada?

No segmento do túnel escuro da nossa missão, as features visuais utilizáveis colapsam a quase zero, então nenhum estimador consegue fabricar uma posição confiável. O Monitor de Integridade de Navegação passa a RED e, após 0.5 segundos de RED sustentado, trava um failsafe e comanda o retorno à base, em t=52.5 s nesta execução. Ligue a fusão LiDAR simulada opcional e o mesmo segmento volta a ser observável, então o monitor corretamente se mantém e nenhum failsafe dispara.

Isto é um teste de voo real ou uma simulação?

É uma simulação. Tudo é uma missão sintética com semente fixa, com verdade de campo gerada independentemente de cada estimador, então a execução é reproduzível byte a byte; não há drone real, registro de voo ou emissor de guerra eletrônica, e o R-330Zh é usado apenas como um cenário nomeado. O que é real é o código: um EKF VIO funcional, o monitor de integridade e o benchmark rodam todos de forma determinística offline. A alegação duradoura é a estrutura, ou seja, confiança computada fora do estimador e RED disparando o retorno à base, não os metros exatos de uma missão.

Como isso é diferente do VIO padrão ou do ORB-SLAM3?

O VIO padrão estima a posição mas não tem um juiz separado de se essa posição é confiável, e pode travar em features dinâmicas. Na mesma execução com semente fixa, o VIO padrão com mascaramento semântico desligado travou em um comboio em movimento e saiu voando até cerca de 29 por cento de deriva, o caso clássico de rastrear o caminhão e pensar que o drone estava parado. O Lodestar acrescenta mascaramento semântico que rejeita as features em movimento, mais um monitor de integridade que vive fora do estimador, de modo que a confiança não depende da coisa em que se confia.

O Lodestar consegue rodar a bordo de um drone, em um Jetson?

A demonstração roda offline e de forma determinística em um laptop como um serviço FastAPI com um EKF NumPy e um monitor de integridade. A figura de 30 a 45 FPS em um NVIDIA Jetson Orin NX 16 GB é uma especificação de hardware-alvo, não um resultado medido, e o Relatório de Integridade de Voo a declara como tal. Implantação a bordo, um front-end de imagem real e a ponte de autopilot/MAVLink estão adiados, não construídos nesta versão.

O Lodestar é compatível com Blue UAS ou NDAA?

Blue UAS é a lista liberada de drones compatíveis com a NDAA da U.S. Defense Innovation Unit, e SBIR/AFWERX financiam exatamente este tipo de trabalho de autonomia sem GPS; nós os citamos como contexto de mercado, não como afiliações. Não se afirma que a Veriprajna esteja em qualquer lista ou sob qualquer contrato. O que a demonstração oferece para esse tipo de revisão é um Relatório de Integridade de Voo em um clique, com uma divulgação explícita de escopo do que está em stub versus o que está adiado.

Pesquisa técnica

A pesquisa por trás desta demonstração — a arquitetura, o desenho de verificação e o blueprint empresarial.

Solução completa

Explore a solução Autonomia de drones sem GPS →

Construindo autonomia para espaço aéreo em que o GPS não pode ser confiado?

A demonstração prova o mecanismo. O trabalho mais difícil é adaptá-lo à sua plataforma, aos seus sensores e à sua missão.

Se a sua equipe está lidando com navegação sem GPS e com a pergunta de quando uma pilha de autonomia deve recusar confiar na própria posição, gostaríamos genuinamente de ouvir como vocês estão pensando nisso. O problema é de toda a indústria e as respostas também serão.

Avaliação de integridade de navegação

• Avaliar os seus modos de falha sem GPS, incluindo falhas silenciosas de VIO
• Definir os sinais de confiança e os limiares que importam para a sua missão
• Projetar a política de abstenção e failsafe para cenas inobserváveis
• Produzir um benchmark de integridade reproduzível contra a verdade de campo

Construção de engenharia de autonomia

• Integrar um EKF VIO de acoplamento rígido com um front-end de imagem real
• Acrescentar um monitor de integridade que vive fora do estimador
• Colocar no ar a fusão de sensores e a ponte de autopilot para o seu airframe
• Entregar o recibo de revisão técnica para escrutínio no estilo SBIR/AFWERX

Conectar via WhatsApp Envie um e-mail à nossa equipe