⚡ electrical engineering

Generalizations of Backup Control Barrier Functions: Expansion and Adaptation for Input-Bounded Safety-Critical Control

Diese Arbeit verallgemeinert Backup-Control-Barriere-Funktionen, indem sie den Controller zur Erweiterung des sicheren Bereichs vom verifizierten Backup-Controller trennt, um durch adaptive Strategien konservativere Eingangsbeschränkungen zu überwinden und gleichzeitig formale Sicherheitsgarantien für nichtlineare Systeme zu gewährleisten.

Ursprüngliche Autoren: David E. J. van Wijk, Dohyun Lee, Ersin Das, Tamas G. Molnar, Aaron D. Ames, Joel W. Burdick

Veröffentlicht 2026-03-20

📖 4 Min. Lesezeit☕ Kaffeepausen-Lektüre

CC BY 4.0

Ursprüngliche Autoren: David E. J. van Wijk, Dohyun Lee, Ersin Das, Tamas G. Molnar, Aaron D. Ames, Joel W. Burdick

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Das große Problem: Der „Sicherheitsgurt", der zu eng sitzt

Stellen Sie sich vor, Sie steuern einen autonomen Roboter (wie einen Drohnen-Retter oder ein selbstfahrendes Auto). Ihre wichtigste Aufgabe ist es, dass dieser Roboter niemals in einen Unfall gerät.

In der Technik gibt es dafür eine Methode namens „Control Barrier Functions" (CBF). Man kann sich das wie einen Sicherheitsgurt vorstellen. Dieser Gurt sagt dem Roboter: „Du darfst dich nur so weit bewegen, wie es sicher ist."

Das Problem ist aber: Bei komplexen Maschinen mit begrenzter Kraft (z. B. eine Drohne, die nicht unendlich schnell beschleunigen kann) ist dieser Sicherheitsgurt oft viel zu eng. Der Roboter wird so vorsichtig, dass er kaum noch etwas tun kann. Er steht fast still, nur um sicher zu sein. Das ist wie ein Fahrer, der auf der Autobahn nur mit 10 km/h fährt, weil er Angst hat, die Bremse nicht rechtzeitig zu finden.

Die alte Lösung: Der „Backup-Plan"

Um das zu verbessern, haben Forscher eine Methode namens Backup Control Barrier Functions (bCBF) entwickelt.

Die Analogie:
Stellen Sie sich vor, Sie laufen durch einen dunklen Wald.

Die alte Methode: Sie haben einen Notfallplan (den „Backup-Plan"). Wenn Sie in Gefahr kommen, müssen Sie sofort in eine kleine, sichere Höhle (den „Backup-Bereich") rennen und dort bleiben.
Um sicherzustellen, dass Sie immer noch rechtzeitig in diese Höhle kommen, müssen Sie sich sehr weit vor der Höhle aufhalten. Das bedeutet, Sie dürfen gar nicht weit in den Wald hineinlaufen, weil Sie sonst vielleicht nicht mehr schnell genug zurück zur Höhle rennen können.
Das Problem: Der Bereich, in dem Sie sich bewegen dürfen, ist immer noch sehr klein, weil Sie sich an den gleichen Notfallplan halten müssen, den Sie auch nutzen, um die Höhle zu erreichen.

Die neue Lösung: Zwei verschiedene Helfer

Die Autoren dieses Papers haben eine geniale Idee: Warum muss derjenige, der Sie in die Höhle bringt, derselbe sein wie derjenige, der Sie dorthin führt, wo Sie gerade sind?

Sie trennen zwei Rollen voneinander:

Der „Rettungs-Experte" (Backup-Controller): Das ist ein sehr konservativer, langsamer und extrem sicherer Pilot. Seine einzige Aufgabe ist es, den Roboter sicher in die kleine Höhle zu bringen, wenn alles schiefgeht. Er ist wie ein erfahrener Bergführer, der nur den sichersten, aber langsamsten Weg kennt.
Der „Abenteuer-Experte" (Expansion-Controller): Das ist ein sportlicher, schneller Pilot. Seine Aufgabe ist es, den Roboter so weit wie möglich in den Wald zu führen, ohne die Sicherheit zu verlieren. Er ist wie ein Sportler, der weiß, wie man schnell läuft, aber immer noch weiß, wo die Grenze ist.

Der Trick:
In der neuen Methode darf der Roboter vom „Abenteuer-Experten" gelenkt werden, um sich weit vom sicheren Bereich zu entfernen. Aber sobald es kritisch wird, schaltet das System nahtlos auf den „Rettungs-Experten" um, der den Roboter dann sicher in die Höhle bringt.

Das Ergebnis:
Da der „Abenteuer-Experte" nicht so vorsichtig sein muss wie der „Rettungs-Experte", darf der Roboter viel weiter in den Wald laufen. Der „Sicherheitsgurt" wird plötzlich viel weiter gezogen, ohne dass das Risiko steigt. Der Roboter kann schneller und effizienter arbeiten, bleibt aber trotzdem 100% sicher.

Die adaptive Erweiterung: Der lernende Navigator

In einem zweiten Schritt haben die Forscher noch einen „Clou" eingebaut: Anpassungsfähigkeit.

Stellen Sie sich vor, der „Abenteuer-Experte" hat ein Regler-Rad (Parameter), das er während der Fahrt drehen kann.

Wenn der Roboter merkt, dass er sich dem Ziel nähert, aber noch weit von der sicheren Höhle entfernt ist, dreht er das Rad so, dass der „Rettungs-Experte" noch effizienter wird.
Es ist, als würde ein Navigator während der Fahrt die Route optimieren: „Hey, wir sind jetzt in einer Zone, wo wir schneller werden können, ohne die Sicherheit zu gefährden. Ändere die Strategie!"

Das wurde an einer Drohne getestet, die landen musste.

Die alte Methode: Die Drohne landete sicher, aber sehr weit vom Ziel entfernt, weil sie zu viel Angst hatte.
Die neue Methode: Die Drohne landete viel näher am Ziel, weil sie durch die getrennten Rollen und die Anpassung den optimalen Weg fand, ohne gegen die Wand zu fliegen.

Zusammenfassung in einem Satz

Die Forscher haben einen Sicherheitsmechanismus für Roboter entwickelt, der zwei verschiedene Strategien kombiniert: einen extrem sicheren „Notfall-Piloten" und einen flexiblen „Abenteuer-Piloten". Dadurch können Roboter viel mehr tun und effizienter arbeiten, ohne jemals die Sicherheit zu gefährden – wie ein Sportwagen, der trotzdem einen unzerstörbaren Sicherheitsgurt hat.

1. Problemstellung

Die Gewährleistung der Sicherheit nichtlinearer Systeme mit eingeschränkten Eingaben (Input-Bounds) ist eine zentrale Herausforderung in der autonomen Steuerung.

Herausforderung: Herkömmliche Control Barrier Functions (CBFs) benötigen die Existenz einer sicherheitsgarantierenden Steuerung für alle Zustände in der sicheren Menge. Bei Systemen mit strengen Eingangsbeschränkungen ist dies oft schwer zu verifizieren und führt zu sehr konservativen (kleinen) sicheren Mengen, was die Leistungsfähigkeit der Steuerung einschränkt.
Bestehende Lösung (bCBF): Backup Control Barrier Functions (bCBF) erweitern die sichere Menge, indem sie die Trajektorien eines vorverifizierten „Backup-Controllers" ( $k_b$ ) über einen Zeithorizont $T$ verfolgen. Ziel ist es, einen Zustand zu erreichen, der in eine vordefinierte Backup-Menge ( $C_B$ ) führt.
Limitierung: Im Standard-bCBF-Ansatz muss derselbe Backup-Controller sowohl die Backup-Menge invariant halten als auch zur Erweiterung der sicheren Menge verwendet werden. Diese Kopplung schränkt die Wahl des Erweiterungs-Controllers ein und führt oft zu unnötig konservativen Ergebnissen, da der Backup-Controller nicht unbedingt der optimale Controller für eine maximale Expansion ist.

2. Methodik

Das Paper schlägt eine Verallgemeinerung des bCBF-Rahmens vor, die die Entkopplung der beiden Rollen des Controllers ermöglicht.

A. Generalisierte Backup-Methode (Entkopplung)

Statt einen einzigen Controller zu verwenden, werden zwei verschiedene Controller eingeführt:

Backup-Controller ( $k_b$ ): Ein vorverifizierter Controller, der die Backup-Menge $C_B$ invariant hält.
Erweiterungs-Controller ( $k_e$ ): Ein Controller, der speziell darauf ausgelegt ist, die Backup-Menge maximal zu erweitern, ohne zwingend selbst invariant zu sein.

Um die Sicherheit zu gewährleisten, wird ein geschalteter Controller ( $k_s$ ) entworfen:
$k_s(x) = (1 - \eta(x)) k_e(x) + \eta(x) k_b(x)$
Dabei ist $\eta(x)$ eine glatte Schaltfunktion, die sicherstellt, dass innerhalb der Backup-Menge $C_B$ ( $\eta=1$ ) ausschließlich der Backup-Controller $k_b$ aktiv ist. Außerhalb von $C_B$ dominiert der Erweiterungs-Controller $k_e$ .

Die neue, erweiterte sichere Menge $C_I^*$ wird definiert als die Menge aller Zustände, von denen aus die Trajektorie unter dem geschalteten System $k_s$ über den Horizont $T$ innerhalb der Gesamtsicheren Menge $C_S$ bleibt und am Ende in $C_B$ landet.

B. Adaptive Erweiterung

Das Framework wird weiter verallgemeinert, indem der Erweiterungs-Controller parametrisiert wird ( $k_e(x, \theta)$ ). Die Parameter $\theta$ werden als zusätzliche Zustände betrachtet.

Es wird eine Online-Anpassung der Parameter $\theta$ eingeführt.
Die Anpassungsregel (Gradientenabstieg/Ascent) basiert auf der Maximierung des Abstands des Endzustands der Trajektorie zur Grenze der Backup-Menge. Dies ermöglicht es dem System, die Erweiterung dynamisch an die aktuelle Situation anzupassen, um die Leistung zu optimieren, während die Sicherheitsgarantien erhalten bleiben.

C. Mathematische Formulierung

Die Sicherheitsbedingungen werden als Forward-Invarianz-Bedingungen für die implizite Menge $C_I^*$ (bzw. $\hat{C}_I^*$ im adaptiven Fall) hergeleitet. Diese Bedingungen führen auf eine quadratische Programmierung (QP), die in Echtzeit gelöst wird, um eine minimale Abweichung vom Primärcontroller ( $k_p$ ) bei Einhaltung der Sicherheitsbedingungen zu gewährleisten.

3. Wichtige Beiträge

Entkopplung von Erweiterung und Invarianz: Der Hauptbeitrag ist die theoretische Begründung, dass der Controller zur Erweiterung der sicheren Menge nicht identisch mit dem Backup-Controller sein muss. Dies erlaubt eine viel breitere Klasse von Erweiterungsstrategien.
Verallgemeinerte Invarianzbedingungen: Es wurden hinreichende Bedingungen für die Forward-Invarianz der neuen, impliziten sicheren Menge hergeleitet, die die formale Sicherheitsgarantie auch bei getrennten Controllern und Eingangsbeschränkungen aufrechterhalten.
Adaptives Framework: Die Erweiterung auf parametrisierte Controller-Familien ermöglicht eine Online-Anpassung der Erweiterungsstrategie, was die Flexibilität und Leistungsfähigkeit des Systems erhöht.
Wiedergewinnung bestehender Methoden: Es wird gezeigt, dass die Standard-bCBF-Methode ein Spezialfall der vorgeschlagenen generalisierten Methode ist (wenn $k_e = k_b$ ).

4. Ergebnisse und Fallstudien

Die Autoren validieren ihre Methode durch zwei Fallstudien:

Fallstudie 1: Doppelintegrator (2D):
- Ein Vergleich zeigt, dass die generalisierte Methode ( $C_I^*$ ) signifikant größere sichere Mengen erzeugt als die Standard-bCBF-Methode ( $C_I$ ).
- Durch die Verwendung eines optimierten Erweiterungs-Controllers (z. B. zeitoptimal) konnte die Backup-Menge viel weiter ausgedehnt werden, ohne die Invarianz zu verlieren.
Fallstudie 2: Quadcopter-Landung:
- Szenario: Ein Quadcopter muss in einer engen Landezone landen und dabei Wände und den Boden vermeiden, unter strengen Schub- und Drehmomentbeschränkungen.
- Vergleich:
  - Standard-bCBF: Kann das Ziel aufgrund der konservativen Erweiterung der Backup-Menge nicht erreichen.
  - Generalisiertes bCBF (GB-QP): Erreicht eine größere Expansion und kommt dem Ziel näher, scheitert aber oft noch am Erreichen des Ziels.
  - Adaptives bCBF (aGB-QP): Durch die Online-Anpassung der Reglerparameter (z. B. PD-Gewinne) während des Flugs gelingt es dem System, die Backup-Menge optimal zu erweitern und das Landeziel sicher zu erreichen.
- Die Simulationen belegen, dass alle Methoden sicher bleiben und die Eingangsbeschränkungen einhalten, wobei die adaptiven Methoden die beste Leistung (Task-Performance) bieten.

5. Bedeutung und Fazit

Dieses Paper stellt einen bedeutenden Fortschritt im Bereich der sicheren Steuerung nichtlinearer Systeme dar.

Reduktion der Konservativität: Durch die Trennung von Erweiterung und Backup wird das „sichere" Betriebsgebiet erheblich vergrößert, was in der Praxis zu effizienteren und leistungsfähigeren autonomen Systemen führt.
Flexibilität: Die Methode erlaubt die Integration von fortschrittlichen, aber schwer zu verifizierenden Steuerungsstrategien (wie zeitoptimale Steuerungen) als Erweiterungsmechanismus, solange ein einfacher Backup-Controller die finale Sicherheit garantiert.
Anwendbarkeit: Die Fähigkeit zur Online-Anpassung macht das System besonders geeignet für komplexe, dynamische Umgebungen, in denen starre Sicherheitsmengen nicht ausreichen.

Zusammenfassend bietet der vorgeschlagene Ansatz einen robusten mathematischen Rahmen, um die Lücke zwischen theoretischer Sicherheitsgarantie und praktischer Leistungsfähigkeit bei Systemen mit Eingangsbeschränkungen zu schließen.