⚡ electrical engineering

On transferring safety certificates across dynamical systems

Diese Arbeit stellt ein Framework für übertragene Kontrollbarrierefunktionen (tCBF) vor, das es ermöglicht, Sicherheitsgarantien von einem vereinfachten Systemmodell auf ein anderes mit abweichender Dynamik zu übertragen, indem eine Simulationsfunktion und ein expliziter Randterm genutzt werden, um eine sichere Steuerung des Zielsystems über einen quadratischen Programm-Filter zu gewährleisten.

Ursprüngliche Autoren: Nikolaos Bousias, Charalampia Stamouli, Anastasios Tsiamis, George Pappas

Veröffentlicht 2026-03-17

📖 4 Min. Lesezeit☕ Kaffeepausen-Lektüre

CC BY 4.0

Ursprüngliche Autoren: Nikolaos Bousias, Charalampia Stamouli, Anastasios Tsiamis, George Pappas

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Stellen Sie sich vor, Sie planen eine Reise mit einem sehr komplexen, schnellen Rennauto (das ist Ihr echtes System, z. B. eine Drohne). Das Auto hat tausende von Sensoren, ein kompliziertes Motorsteuergerät und reagiert auf jede kleine Bodenunebenheit.

Nun wollen Sie sicherstellen, dass das Auto nicht gegen Bäume fährt. Wenn Sie versuchen, die Sicherheitsregeln direkt für dieses komplexe Rennauto zu programmieren, wird es extrem schwierig. Die Mathematik dafür ist so kompliziert, dass der Computer im Auto vielleicht gar nicht schnell genug rechnen kann, um rechtzeitig zu bremsen.

Die Lösung der Forscher: Ein einfacher Plan für ein einfaches Modell.

Statt das komplexe Auto zu betrachten, nehmen Sie sich ein vereinfachtes Modell vor: Ein unsichtbarer, perfekter Punkt, der sich wie ein einfacher Spielzeugwagen auf einer glatten Ebene bewegt. Für diesen Spielzeugwagen ist es kinderleicht, eine Sicherheitsregel zu finden: "Halte mindestens 5 Meter Abstand zu den Bäumen."

Das Problem ist nun: Wenn Sie diese Regel einfach auf das echte Rennauto übertragen, könnte es passieren, dass der Spielzeugwagen sicher ist, das echte Auto aber trotzdem gegen einen Baum knallt, weil es sich anders verhält als das Spielzeugmodell.

Die neue Erfindung: Der "Sicherheits-Transfer" (tCBF)

Die Autoren dieses Papiers haben eine clevere Methode entwickelt, um die Sicherheitsgarantie vom einfachen Spielzeugwagen auf das komplexe Rennauto zu "übertragen". Sie nennen dies Transferred Control Barrier Functions (tCBF).

Hier ist die Idee mit einer einfachen Analogie:

Der Sicherheits-Schirm (Die Simulation):
Stellen Sie sich vor, Sie haben einen unsichtbaren Schirm, der das Spielzeugmodell und das echte Auto verbindet. Dieser Schirm misst ständig: "Wie weit entfernt ist das echte Auto von dem, was das Spielzeugmodell tun würde?"
Wenn das echte Auto genau so fährt wie das Modell, ist der Schirm klein. Wenn es abweicht (wegen Wind, schwerer Last oder komplexer Physik), wird der Schirm größer.
Der Sicherheits-Puffer (Die Marge):
Das ist der geniale Teil. Die Forscher sagen: "Okay, das Spielzeugmodell sagt, wir sind 5 Meter vom Baum entfernt. Aber weil das echte Auto etwas ungenauer ist, ziehen wir einen Sicherheits-Puffer ab."
Statt zu sagen "Wir müssen 5 Meter weg sein", sagen wir: "Wir müssen 5 Meter minus dem Puffer weg sein."
- Wenn das Auto sehr präzise fährt (der Schirm ist klein), ist der Puffer klein, und das Auto darf nah an den Baum herankommen.
- Wenn das Auto ungenau ist (der Schirm ist groß), wird der Puffer riesig. Das Auto muss dann viel weiter weg bleiben, um sicher zu sein.
Der Sicherheits-Filter (Der Schiedsrichter):
Der Computer im Auto hat einen "Schiedsrichter" eingebaut. Dieser Schiedsrichter schaut sich an, was der normale Fahrer (der "nominale Controller") tun möchte.
- Wenn der Fahrer sicher ist, lässt der Schiedsrichter ihn machen.
- Wenn der Fahrer in Gefahr gerät (zu nah am Baum), greift der Schiedsrichter ein. Er korrigiert die Steuerung des Autos nur so wenig wie nötig, damit die neue, angepasste Regel (Spielzeugmodell minus Puffer) eingehalten wird.

Warum ist das so toll?

Einfachheit: Man muss die komplizierte Mathematik nur für das einfache Spielzeugmodell einmalig berechnen (vielleicht sogar offline auf einem starken Server).
Geschwindigkeit: Im echten Auto muss dann nur noch eine einfache Rechnung laufen, um zu prüfen, ob der Puffer eingehalten wird. Das geht blitzschnell.
Sicherheit: Das Papier beweist mathematisch, dass das Auto niemals gegen einen Baum fährt, solange der Puffer richtig berechnet ist. Es ist wie ein unsichtbarer Sicherheitsgurt, der sich automatisch an die Situation anpasst.

Das Ergebnis im Experiment

Die Forscher haben dies an einer echten Drohne getestet, die durch einen Wald voller Bäume fliegen sollte.

Die Drohne hatte einen "normalen" Flugplan, der sie direkt durch die Bäume geführt hätte (Kollision!).
Der neue "Sicherheits-Transfer" hat die Drohne nur dann abgelenkt, wenn sie wirklich in Gefahr war.
Das Ergebnis: Die Drohne ist sicher durch den Wald geflogen, hat die Bäume vermieden, aber ansonsten so schnell und flüssig geflogen, als wäre nichts passiert.

Zusammenfassend:
Die Autoren haben einen Weg gefunden, wie man die Sicherheit eines einfachen Modells auf ein komplexes, reales System "überträgt", indem man einen cleveren, dynamischen Sicherheitspuffer einbaut. So können wir komplexe Roboter sicher steuern, ohne die ganze Mathematik jedes Mal neu erfinden zu müssen.

Titel: Übertragung von Sicherheitszertifikaten über dynamische Systeme hinweg

Autoren: Nikolaos Bousias, Charalampia Stamouli, Anastasios Tsiamis, George Pappas (University of Pennsylvania & ETH Zürich)

1. Problemstellung

Die Gewährleistung der Sicherheit autonomer Systeme ist eine fundamentale Herausforderung, insbesondere bei komplexen, hochdimensionalen und nichtlinearen dynamischen Systemen (z. B. Drohnen, Roboterarme).

Herausforderung: Control Barrier Functions (CBFs) sind ein mächtiges mathematisches Werkzeug, um Sicherheitsbedingungen (wie Kollisionsvermeidung) in Echtzeit zu erzwingen. Die direkte Synthese von CBFs auf komplexen physikalischen Systemen ist jedoch oft rechnerisch prohibitiv oder erfordert tiefes Domänenwissen.
Lücke: Sicherheitsanforderungen werden häufig auf vereinfachten, abstrakten Modellen (z. B. Doppelintegrator) entworfen und verifiziert, da diese analytisch handhabbar sind. Beim Einsatz auf dem realen, physikalischen System (mit Nichtlinearitäten, Unteraktuation und Aktuatorenbeschränkungen) können diese Sicherheitsgarantien jedoch ungültig werden, da die Dynamiken nicht übereinstimmen.
Ziel: Es besteht ein Bedarf an einer Methode, um Sicherheitszertifikate, die auf einem abstrakten Modell entworfen wurden, systematisch auf ein konkretes, komplexeres System zu übertragen, ohne die Barrierefunktion neu entwerfen zu müssen.

2. Methodik: Transferred Control Barrier Functions (tCBF)

Die Autoren schlagen ein Framework vor, das auf Simulationsfunktionen und einem expliziten Marginalterm basiert, um Sicherheitsgarantien zwischen Systemen mit unterschiedlichen Dynamiken und Zustandsräumen zu übertragen.

Kernkonzepte:

Systeme:
- $\Sigma_1$ : Abstraktes System (z. B. Doppelintegrator).
- $\Sigma_2$ : Konkretes physikalisches System (z. B. Quadcopter).
- Beide sind durch eine Simulationsfunktion $V(x_1, x_2)$ verbunden, die den Fehler zwischen den Systemzuständen quantifiziert und deren Konvergenz garantiert.
Witness Map ( $\Pi$ ):
- Eine Abbildung, die jedem Zustand des konkreten Systems $x_2$ den „nächsten" Zustand im abstrakten Raum $x_1$ zuordnet (basierend auf dem Minimum von $V$ ).
Übertragene Barrierefunktion (tCBF):
- Die neue Barrierefunktion $b_2$ für das konkrete System wird definiert als:
  $b_2(x_2) := b_1(\Pi(x_2)) - \phi(V(\Pi(x_2), x_2))$
- Dabei ist $b_1$ die ursprüngliche CBF auf dem abstrakten System.
- Der Term $\phi(V)$ ist ein Marginalterm (eine Klasse- $\mathcal{K}_\infty$ -Funktion), der die Unsicherheit durch die Modellabweichung (Simulation Error) kompensiert. Er „schrumpft" den sicheren Bereich des abstrakten Systems, um einen konservativen, aber gültigen sicheren Bereich für das konkrete System zu erhalten.

Theoretische Garantien:

Die Autoren leiten Bedingungen her, unter denen $b_2$ eine gültige CBF für $\Sigma_2$ ist.
Assumption 1: Behandelt den Fall der dynamischen Diskrepanz ( $\delta$ ). Sie zeigen, dass selbst bei nicht-perfekter Übereinstimmung der Dynamiken (approximative Pushforward) die Sicherheit gewahrt bleibt, wenn der Marginalterm $\phi$ schnell genug wächst.
Assumption 2 & Theorem 1: Es wird eine Differentialungleichung für $\phi$ hergeleitet. Wenn $\phi$ diese Bedingung erfüllt, dominiert der Zerfall der Simulationsfunktion das Wachstum der Barriere, und die Standard-CBF-Bedingung wird für das konkrete System wiederhergestellt.
Umsetzung: Die Bedingung führt auf eine gewöhnliche Differentialgleichung (ODE), deren Lösung den minimalen erforderlichen Marginalterm liefert. Für lineare Vergleichsfunktionen existieren geschlossene Lösungen.

3. Schlüsselbeiträge

Formales Framework (tCBF): Einführung einer Methode, um Sicherheitszertifikate von abstrakten Modellen auf konkrete, höherdimensionale nichtlineare Systeme zu übertragen.
Design-Richtlinien: Herleitung expliziter Bedingungen für die Wahl des Marginalterms $\phi$ , einschließlich geschlossener Lösungen für gängige Fälle (z. B. lineare Dynamiken). Dies ermöglicht eine praktische Implementierung ohne exhaustive numerische Optimierung.
Entkopplung von Synthese und Enforcement: Das Framework erlaubt es, die komplexe Sicherheitssynthese offline auf einfachen Modellen durchzuführen, während die Echtzeit-Erzwingung (Safety Filter) auf dem komplexen System erfolgt.
Allgemeingültigkeit: Die Methode erfordert nicht, dass beide Systeme die gleiche Zustandsdimension oder Dynamikstruktur teilen.

4. Experimente und Ergebnisse

Die Autoren validieren das Framework an einem Quadcopter, der durch eine Umgebung mit statischen Hindernissen navigiert.

Setup:
- Abstraktes Modell ( $\Sigma_1$ ): 3D-Doppelintegrator (Position und Geschwindigkeit).
- Konkretes System ( $\Sigma_2$ ): Vollständiges nichtlineares Starrkörper-Modell des Quadcopters (inkl. Rotation, Schub, Trägheit).
- Szenario: Navigation von einem Start- zu einem Zielpunkt unter Vermeidung sphärischer Hindernisse.
Implementierung:
- Ein nominaler Regler (basierend auf RRT* und Trajektorienoptimierung) plant eine effiziente Route.
- Der tCBF-QP (Quadratic Program) wirkt als Sicherheitsfilter, der den nominalen Eingangsvektor minimal modifiziert, um die tCBF-Bedingung zu erfüllen.
Ergebnisse:
- Kollisionsvermeidung: Der Quadcopter vermeidet alle Hindernisse, obwohl die Sicherheitsgarantie nur auf dem vereinfachten Doppelintegrator berechnet wurde. Der tatsächliche geometrische Abstand bleibt strikt positiv.
- Minimaler Eingriff: Der Filter greift nur ein, wenn sich das System den Hindernissen nähert. In sicherem Abstand folgt der Quadcopter nahezu exakt der nominalen Trajektorie.
- Aktivierung der Barriere: Die tCBF-Werte sinken nahe Null, wenn das System Hindernissen nahe kommt, und steigen wieder an, sobald die Gefahr gebannt ist. Dies bestätigt die theoretische Vorhersage, dass die Barriere korrekt auf dem konkreten System aktiviert wird.

5. Bedeutung und Ausblick

Praktische Relevanz: Das Paper adressiert eine kritische Lücke in der robotischen Sicherheit: Wie man formale Garantien von vereinfachten Modellen auf reale, komplexe Plattformen überträgt, ohne die Rechenlast der Echtzeit-Synthese zu erhöhen.
Ressourceneffizienz: Komplexe Sicherheitsanalysen können offline auf einfachen Modellen durchgeführt werden, was für Systeme mit begrenzten Onboard-Rechenressourcen (z. B. Drohnen) entscheidend ist.
Zukunftsausblick: Die Autoren sehen als nächste Herausforderung die automatische Lernbarkeit der Simulationsfunktionen und Schnittstellen aus Daten, um das Framework auch für Systeme anzuwenden, für die keine exakten analytischen Modelle verfügbar sind.

Fazit: Die vorgestellte tCBF-Methode bietet einen robusten, mathematisch fundierten Mechanismus, um Sicherheitsgarantien über heterogene dynamische Systeme hinweg zu transferieren, und demonstriert erfolgreich, wie dies in der Praxis zu sicherer autonomer Navigation führt.