Vom Ausfall zur gesteuerten Evolution.
Das Programm begann mit der Frage nach Restressourcen: Was kann ein beschädigtes System noch leisten? Die experimentelle Arbeit erzwang anschließend eine breitere Formulierung: Welche Folge von Architekturänderungen bleibt leistungsfähig, zulässig und zeitlich sicher, während sich das System selbst weiter verändert?
Dmytro Humennyi (Дмитро Гуменний), Ph.D.
Unabhängiges Forschungsprogramm. Wissenschaftliche Richtung, Methodik und Roadmap werden von der Forschungsleitung festgelegt.
Überlebensfähigkeit nach struktureller Änderung
Ein Stopp kann selbst gefährlich sein. Nach dem Verlust physischer oder informationeller Leistungsfähigkeit muss das System einen verifizierten Teil der Mission erhalten.
Leistungsfähigkeit · Zulässigkeit · Timing
Die Konfigurationswahl wird nicht mehr als isolierte Entscheidung betrachtet. Regelungsobjekt ist die Trajektorie durch einen endlichen, verifizierten Konfigurationsgraphen.
Das System nach dem Ausfall ist nicht mehr das nominale System.Abschnitt öffnen
Das System nach dem Ausfall ist nicht mehr das nominale System.
Sei die nominale Regelstrecke \(\mathcal P_0\). Schaden oder Degradation erzeugt eine Strecke \(\mathcal P_d\), die während der Mission möglicherweise nicht wiederherstellbar ist.
Eine Ressource kann physisch ausfallen – oder epistemisch falsch werden.Abschnitt öffnen
Eine Ressource kann physisch ausfallen – oder epistemisch falsch werden.
Der Ressourcenzustand umfasst nun physische und epistemische Ressourcen: mathematische Modelle, gelernte Modelle, Schätzer und Algorithmen, deren Gültigkeit auch bei intakter Hardware degradieren kann.
Für eine epistemische Ressource wird \(\rho_m\) aus Vorhersagefehler und Zeit seit der Validierung abgeleitet. Ein Modell kann daher mit demselben Leistungsfähigkeitsmechanismus wie ein Sensor oder Aktor behandelt werden; seine Gültigkeit kann jedoch auch gezielt wiederhergestellt werden.
Messen, was die aktuelle Architektur noch leisten kann.Abschnitt öffnen
Messen, was die aktuelle Architektur noch leisten kann.
Die ursprüngliche Forschungsfrage lautete: „Welche zulässige Konfiguration hat jetzt den besten Score?“ Das bleibt nützlich, ist aber nicht mehr das vollständige Entscheidungsproblem.
Welche Folge verifizierter Konfigurationen erhält über die Zeit die größte Missionsleistungsfähigkeit, ohne Übergangs-, Stabilitäts- oder Echtzeitbedingungen zu verletzen?
Eine stabile Konfiguration impliziert keine stabile Folge von Konfigurationen.Abschnitt öffnen
Eine stabile Konfiguration impliziert keine stabile Folge von Konfigurationen.
Konfigurationen bilden einen endlichen, zur Entwurfszeit verifizierten Graphen. Ein Übergang ist nur erlaubt, wenn das Ziel ressourcen-, funktions- und dynamisch zulässig bleibt.
Für geschaltete geschlossene Regelkreiskonfigurationen wird wiederholtes Schalten durch eine minimale Verweilzeit begrenzt.
Rekonfiguration besitzt drei unabhängige Zeitmaßstäbe.
Task-Schedulability
Jede Echtzeitaufgabe muss ihre Deadline einhalten: \(R_i\le D_i\).
Reaktionslatenz
Detektion, Entscheidung und Umschaltung müssen in das Reaktionsbudget des degradierten Modus passen.
Rekonfigurationsrate
Auch ein schneller Mechanismus darf nicht häufiger schalten, als es das Stabilitätszertifikat erlaubt.
Die Trajektorie planen, nicht nur den nächsten Knoten.Abschnitt öffnen
Die Trajektorie planen, nicht nur den nächsten Knoten.
Der Einschritt-Selektor bleibt nur gültig, wenn die Reihenfolge der Konfigurationen während der erforderlichen Verweilzeit unverändert bleibt und kein Kandidat darin seine Zulässigkeit verliert. Andernfalls plant der Regler auf einem gleitenden Horizont über den Graphen.
Das revidierte Modell verändert Architekturentscheidungen.Abschnitt öffnen
Das revidierte Modell verändert Architekturentscheidungen.
Ein Modell, das die beobachtbare Welt nicht mehr korrekt vorhersagt, ist degradiert, selbst wenn die Rechenplattform intakt ist.
Stark degradierte Zustände und Safe-Stop sollten nicht automatisch in die Schaltmenge zurückkehren, wenn sie die Verweilzeitgrenze dominieren.
Die Garantien gehören zum verifizierten Graphen. Die Laufzeitpolitik darf nur innerhalb dieses Graphen lernen.
Der Mechanismus kann eine Reaktion im Millisekundenbereich benötigen, während die Sequenz selbst deutlich seltener wechseln darf.
Das frühere Modell bleibt als Teil der Evidenzkette erhalten.
EXP‑01, EXP‑02 und EXP‑03 bleiben unverändert. Die neue Formulierung wird als Konsequenz dessen dargestellt, was diese Experimente zeigen konnten – und was nicht.