Tunable Input-to-State Safety with Input Constraints

Dieses Paper stellt einen Rahmen vor, der die Eingabe-zu-Zustands-Sicherheit (TISSf) mit allgemeinen kompakten Eingabebeschränkungen vereinbar macht, indem es eine geometrische Charakterisierung und einen LP-basierten Parameterauswahlprozess nutzt, um die rekurrische Zulässigkeit von QP-basierten Sicherheitsfiltern zu gewährleisten.

Das Wesentliche

Stellen Sie sich vor, Sie fahren ein autonomes Auto. Ihr Ziel ist es, sicher zu bleiben (nicht gegen andere Autos zu fahren) und dabei so flüssig wie möglich zu fahren. Aber das Auto hat zwei wichtige Regeln:

1. Die Sicherheitsregel: Es muss immer genug Abstand zu Hindernissen halten.
2. Die Motor-Regel: Der Motor kann nicht unendlich stark beschleunigen oder bremsen. Es gibt ein Limit, wie hart das Auto bremsen darf (z. B. nicht härter als -6 m/s²).

Das Problem, das diese Forscher lösen, ist wie ein Zwickmühle-Szenario:

Das Problem: Der überängstliche Navigator

Bisher gab es eine Methode (genannt TISSf), die dem Auto sagte: „Sei vorsichtig, wenn es stürmt oder die Sensoren wackeln!" Diese Methode nutzt einen Stellknopf (den „Tuning-Funktion"-Parameter).

• Wenn Sie den Knopf auf „Sehr vorsichtig" drehen, wird das Auto extrem sicher, aber es fährt sehr zögerlich und unnötig weit weg von anderen Autos.
• Wenn Sie den Knopf auf „Weniger vorsichtig" drehen, fährt es flüssiger, aber es könnte in die Gefahr geraten, wenn ein Windstoß kommt.

Der Fehler der alten Methode: Die Ingenieure stellten diesen Stellknopf oft einfach so ein, dass das Auto sicher war. Aber sie vergaßen dabei, dass der Motor begrenzt ist.

• Die Analogie: Stellen Sie sich vor, Ihr Navigator sagt: „Bremsen Sie jetzt mit 200 km/h ab, um sicher zu bleiben!" Aber Ihr Auto kann nur maximal mit 50 km/h abbremsen. Der Navigator ist zu clever, aber das Auto ist zu schwach. Das Ergebnis: Das Auto rutscht durch, weil der Befehl unmöglich auszuführen ist.

Die Lösung: Der intelligente Bauplan

Die Autoren dieses Papers haben eine neue Methode entwickelt, die beides gleichzeitig plant: Sicherheit und die Grenzen des Motors.

Stellen Sie sich vor, Sie bauen einen neuen Navigator. Anstatt den Stellknopf zufällig zu drehen, berechnen Sie vorher genau, wie weit Sie ihn drehen dürfen, damit der Motor immer in der Lage ist, den Befehl auszuführen.

Hier ist die einfache Erklärung der drei Schritte, die sie getan haben:

1. Der „Sicherheits-Check" (Die Geometrie)

Stellen Sie sich den Raum aller möglichen Bremsbefehle als eine große Box vor (das sind die Motor-Limits). Die Sicherheitsregel sagt: „Du musst dich in diesem halben Raum hier bewegen, um sicher zu sein."

• Das Problem: Manchmal schneidet der „sichere Raum" gar nicht mehr die „Motor-Box". Das bedeutet, es gibt keinen Befehl, der sowohl sicher als auch machbar ist.
• Die Lösung: Die Forscher haben eine mathematische Formel gefunden, die genau berechnet, wie weit man den Stellknopf drehen muss, damit der „sichere Raum" immer die „Motor-Box" berührt. Sie nennen das eine untere Schranke. Es ist wie eine Mindestgröße für den Stellknopf, damit er nicht zu klein wird.

2. Der „Profi-Plan" (Die Parameter)

Statt den Stellknopf für jeden einzelnen Moment neu zu erfinden, haben sie eine einfache Formel gewählt: Sicherheitsfaktor = Startwert * e^(Wachstumsrate * Abstand).
Das klingt kompliziert, ist aber wie ein Rezept mit nur zwei Zutaten:

• Zutat A (Startwert): Wie stark ist die Vorsicht am Anfang?
• Zutat B (Wachstumsrate): Wie schnell wird die Vorsicht geringer, je sicherer die Situation wird?

Die Forscher haben einen Offline-Algorithmus entwickelt (ein Computerprogramm, das vor der Fahrt läuft). Dieser Programm sucht sich die perfekten Werte für A und B.

• Die Analogie: Es ist wie ein Koch, der vor dem Essen alle Zutaten mischt und sicherstellt, dass der Ofen die Temperatur halten kann, bevor er den Ofen anmacht. Er testet tausende Szenarien am Computer, um sicherzustellen, dass das Rezept immer funktioniert.

3. Der „Sicherheits-Filter" (Die Ausführung)

Wenn das Auto nun fährt, nutzt es einen schnellen Computer (einen sogenannten QP-Filter). Dieser Filter nimmt den normalen Fahrplan des Autos und prüft ihn gegen die Sicherheitsregeln.

• Dank der vorherigen Berechnung weiß der Filter: „Ich darf diesen Befehl geben, weil er sicher ist UND mein Motor ihn schaffen kann."
• Das Auto fährt also sicher, aber nicht unnötig zögerlich, und es bricht nie gegen die Motor-Limits.

Das Ergebnis im Test (Autobahn-Szenario)

Sie haben das System an einem „Connected Cruise Control" (autonomes Fahren im Stau) getestet.

• Das alte System (ohne Limits): Hatte manchmal Befehle, die das Auto nicht ausführen konnte (es hätte bremsen müssen, als ob es ein Raketenantrieb wäre).
• Das neue System (LP-QP): Hatte immer die perfekte Balance. Es hielt den sichersten Abstand, den es mit dem vorhandenen Motor halten konnte, ohne zu ruckeln oder die Grenzen zu sprengen.

Zusammenfassung in einem Satz

Die Autoren haben eine Methode erfunden, um den „Sicherheits-Modus" eines Roboters so einzustellen, dass er niemals Befehle gibt, die der Roboter physikalisch nicht ausführen kann – und das alles, ohne dass er unnötig ängstlich und langsam wird. Sie haben die Sicherheit und die Realität des Motors von Anfang an als ein Team geplant, statt sie gegeneinander ausspielen zu lassen.

Technische Zusammenfassung

Hier ist eine detaillierte technische Zusammenfassung des Papers „Tunable Input-to-State Safety with Input Constraints" auf Deutsch:

Titel: Tunable Input-to-State Safety mit Eingangsbeschränkungen (Tunable Input-to-State Safety with Input Constraints)

Autoren: Ming Li, Jin Chen, Dimos V. Dimarogonas

---

1. Problemstellung

In sicherheitskritischen Steuerungssystemen haben Control Barrier Functions (CBFs) sich als effektives Werkzeug etabliert, um Nichtlinearitäten und Echtzeit-Anforderungen zu handhaben. Um Robustheit gegenüber Störungen (z. B. Modellunsicherheiten) zu gewährleisten, wurde das Framework des Input-to-State Safety (ISSf) entwickelt. Eine Erweiterung davon ist die Tunable Input-to-State Safety (TISSf), die durch eine Einstellfunktion (Tuning Function) $\varepsilon(h(x))$ den Kompromiss zwischen Sicherheitskonservatismus und Leistungsfähigkeit reguliert.

Das zentrale Problem, das in diesem Paper adressiert wird, ist die Inkompatibilität zwischen TISSf und physikalischen Eingangsbeschränkungen (Actuator Limits).

• In bisherigen Ansätzen werden die Einstellfunktionen oft ohne explizite Berücksichtigung der Eingangsbeschränkungen $u \in \mathcal{U}$ entworfen.
• Dies führt dazu, dass die durch TISSf geforderte zulässige Eingangsmenge $\Pi_\varepsilon(x)$ leer sein kann, wenn die Eingangsbeschränkungen aktiv sind ($\Pi_\varepsilon(x) \cap \mathcal{U} = \emptyset$).
• Folglich kann die Sicherheit nicht garantiert werden, oder es müssen nachträgliche Sättigungen (Saturation) angewendet werden, die die theoretischen Sicherheitsgarantien zerstören.
• Ziel: Entwicklung eines konstruktiven Rahmens, der die Einstellfunktion so synthetisiert, dass TISSf-Eigenschaften und Eingangsbeschränkungen gleichzeitig und per Design erfüllt sind.

---

2. Methodik

Die Autoren schlagen einen geometrischen Ansatz vor, der die Kompatibilität als Designziel für die Einstellfunktion formuliert.

A. Geometrische Charakterisierung und Support-Funktionen

• Die TISSf-Bedingung definiert im Eingangsraum eine halbräumliche Menge (Half-Space).
• Die Kompatibilität mit einer kompakten, konvexen Eingangsmenge $\mathcal{U}$ wird durch die Existenz eines Schnitts zwischen diesem Halbraum und $\mathcal{U}$ sichergestellt.
• Mithilfe der Support-Funktion $\sigma_\mathcal{U}(d(x)) = \max_{u \in \mathcal{U}} d(x)^\top u$ wird eine exakte, überprüfbare untere Schranke für die Einstellfunktion $\varepsilon(h(x))$ hergeleitet:
  $$\varepsilon(h(x)) \geq \frac{\|d(x)\|_2^2}{c(x) + \sigma_\mathcal{U}(d(x))}$$
  wobei $c(x)$ und $d(x)$ die Lie-Ableitungen der Barrier-Funktion sind.
• Dies transformiert das Problem von einer nachträglichen Überprüfung in eine Design-Bedingung für $\varepsilon$.

B. Parametrisierung und Offline-Synthese

• Die Autoren verwenden eine exponentielle Parametrisierung für die Einstellfunktion: $\varepsilon(h(x)) = \epsilon_0 e^{\lambda h(x)}$.
• Durch Logarithmierung wird die Kompatibilitätsbedingung in eine lineare Ungleichung in den Parametern $(\ln \epsilon_0, \lambda)$ umgewandelt:
  $$\ln \epsilon_0 + \lambda h(x) \geq \eta(x)$$
  wobei $\eta(x)$ eine Funktion aus den Systemdynamiken und der Support-Funktion ist.
• Da diese Bedingung für alle Zustände $x$ im sicheren Bereich $\mathcal{C}$ gelten muss (eine unendlich dimensionale Menge), wird ein Sampling-basierter Ansatz verwendet:
  • Der sichere Bereich wird durch eine $\kappa$-Überdeckung (Covering) diskretisiert.
  • Unter Ausnutzung der Lipschitz-Stetigkeit von $h(x)$ und $\eta(x)$ werden robuste Randbedingungen für die Stichprobenpunkte abgeleitet.
  • Dies führt zu einem Linearen Programm (LP), das offline gelöst wird, um die optimalen Parameter $(\epsilon_0^*, \lambda^*)$ zu finden, die die Kompatibilität für den gesamten sicheren Bereich garantieren.

C. Online-Steuerung

• Die resultierenden Parameter werden in einen Quadratischen Programm (QP)-basierten Sicherheitsfilter integriert.
• Dieser Filter minimiert die Abweichung von einem nominalen Regler unter Einhaltung der TISSf-Bedingung und der Eingangsbeschränkungen.
• Durch die vorab garantierte Nicht-Leerheit des Schnitts ($\Pi_\varepsilon(x) \cap \mathcal{U} \neq \emptyset$) ist das QP rekursiv zulässig (recursively feasible).

---

3. Wichtige Beiträge

1. Konstruktive Kompatibilitätscharakterisierung: Herleitung einer notwendigen und hinreichenden unteren Schranke für die TISSf-Einstellfunktion unter Verwendung von Support-Funktionen für allgemeine kompakte Eingangsbeschränkungen.
2. Spezifische Bedingungen für gängige Constraints: Ableitung expliziter, überprüfbarer Bedingungen für normbeschränkte, polyedrische und Box-Constraints.
3. Tragfähige Offline-Synthese: Entwicklung eines LP-basierten Verfahrens unter Verwendung einer Covering-basierten Sampling-Strategie, das die punktweise Kompatibilität in eine formale Garantie für den gesamten sicheren Bereich überführt.
4. Garantierte rekursive Zulässigkeit: Beweis, dass die Kombination aus der parametrisierten Einstellfunktion und dem QP-Filter die Sicherheit und die Einhaltung der Eingangsbeschränkungen gleichzeitig garantiert, ohne auf nachträgliche Sättigung angewiesen zu sein.

---

4. Ergebnisse (Simulation)

Die Methode wurde an einem Connected Cruise Control (CCC)-Szenario validiert, bei dem ein Fahrzeug einem führenden Fahrzeug folgt, während Störungen und strikte Beschleunigungsgrenzen ($u \in [-6, 0.8] \, m/s^2$) wirken.

• Vergleich: Die vorgeschlagene Methode (LP-QP) wurde mit drei Baselines verglichen:
  1. TISSf (Baseline): Manuell abgestimmte Parameter ohne Eingangsbeschränkungen.
  2. TISSf (Sat): Nachträgliche Sättigung des Signals.
  3. TISSf (Trial): Trial-and-Error-Abstimmung.
• Ergebnisse:
  • Die Baseline verletzte die Eingangsbeschränkungen während des Manövers.
  • Die Sättigungs-Methode führte zu trägeren Reaktionen und größeren Sicherheitsabständen (übermäßig konservativ).
  • Die Trial-Methode funktionierte in diesem Szenario, bietet aber keine theoretische Garantie für den gesamten Zustandsraum.
  • Die vorgeschlagene LP-QP-Methode erreichte die effizientesten Sicherheitsabstände (kleinster Abstand zum führenden Fahrzeug bei gleicher Sicherheit), hielt die Eingangsbeschränkungen strikt ein und zeigte schnelle Geschwindigkeitsanpassungen.

---

5. Bedeutung

Dieses Paper schließt eine kritische Lücke in der Theorie der sicherheitskritischen Steuerung. Es zeigt, dass Robustheit (durch TISSf) und physikalische Aktuator-Grenzen nicht als widersprüchliche Anforderungen behandelt werden müssen.

• Theoretischer Fortschritt: Der Übergang von einer a posteriori Überprüfung zur a priori konstruktiven Synthese von Einstellfunktionen.
• Praktische Relevanz: Die Methode ermöglicht den Einsatz von TISSf in realen Anwendungen (wie autonomen Fahrzeugen), wo Aktuator-Limits unvermeidbar sind, ohne die Sicherheitsgarantien zu opfern.
• Allgemeingültigkeit: Der Ansatz ist nicht auf spezifische Constraint-Typen beschränkt, sondern bietet einen einheitlichen Rahmen für verschiedene geometrische Eingangsbeschränkungen.

Zusammenfassend bietet das Paper einen rigorosen mathematischen Rahmen, der die Sicherheit von gestörten Systemen unter Berücksichtigung realer Hardware-Beschränkungen durch ein systematisches, offline optimiertes Design sicherstellt.