⚡ electrical engineering

Output Feedback Backup Control Barrier Functions: Safety Guarantees Under Input Bounds and State Estimation Error

Diese Arbeit stellt Output Feedback Backup Control Barrier Functions (O-bCBFs) vor, die durch die Nutzung eines Unsicherheitskorridors um den geschätzten Systemfluss auch bei unvollständiger Zustandsinformation und beschränkten Eingaben Sicherheitsgarantien für den wahren Systemzustand gewährleisten.

Ursprüngliche Autoren: David E. J. van Wijk, Tamas G. Molnar, Samuel Coogan, Manoranjan Majji, Aaron D. Ames, Joel W. Burdick

Veröffentlicht 2026-04-23

📖 4 Min. Lesezeit☕ Kaffeepausen-Lektüre

CC BY 4.0

Ursprüngliche Autoren: David E. J. van Wijk, Tamas G. Molnar, Samuel Coogan, Manoranjan Majji, Aaron D. Ames, Joel W. Burdick

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Das große Problem: Fahren mit einem verschwommenen Spiegel

Stellen Sie sich vor, Sie fahren ein hochmodernes, autonomes Auto. Ihr Ziel ist es, sicher durch eine enge Gasse zu kommen, ohne die Mauern zu berühren (das ist die Sicherheit).

Das Problem ist jedoch:

Ihre Sensoren sind ungenau: Sie können die Welt nicht perfekt sehen. Sie haben nur eine grobe Schätzung, wo Sie sind (z. B. durch ein GPS oder eine Kamera mit Rauschen). Das ist wie Fahren mit einem verschwommenen Spiegel.
Ihr Motor ist begrenzt: Sie können nicht unendlich schnell bremsen oder lenken. Der Motor hat ein Limit (das sind die Eingangsbeschränkungen).

Frühere Sicherheits-Systeme (die sogenannten Control Barrier Functions) funktionierten nur dann perfekt, wenn man den exakten Standort des Autos kannte. Wenn man aber nur eine Schätzung hat, kann das System täuschen: Es denkt, das Auto ist weit weg von der Mauer, aber in Wirklichkeit ist es schon fast dran. Das führt zu Unfällen.

Die Lösung: Der "Backup-Plan" mit einem Sicherheitsnetz

Die Autoren dieses Papiers haben eine neue Methode entwickelt, die sie "Output Feedback Backup Control Barrier Functions" nennen. Lassen Sie uns das mit einer Geschichte erklären:

1. Der "Backup-Plan" (Die Notbremse)

Stellen Sie sich vor, Sie haben einen sehr vorsichtigen, langweiligen Fahrer im Auto, der nur eine Sache kann: Sofort anhalten und sicher bleiben. Nennen wir ihn "Herr Backup".

Die Idee: Wenn das Auto in Gefahr gerät, schaltet das System sofort auf "Herr Backup" um. Da Herr Backup so vorsichtig ist, weiß man genau, dass er das Auto niemals in die Mauer fahren wird, solange er das Steuer übernimmt.
Der Trick: Man plant voraus. Man fragt sich: "Wenn ich jetzt in 5 Sekunden auf 'Herr Backup' umschalte, komme ich dann noch sicher an?" Wenn die Antwort "Ja" ist, darf das Auto noch ein bisschen riskanter fahren (z. B. schneller). Wenn die Antwort "Nein" ist, muss man sofort vorsichtiger werden.

2. Das Problem mit dem verschwommenen Spiegel

Das Problem bei früheren Methoden war: Man plante den Weg für "Herr Backup" basierend auf dem verschwommenen Spiegel.

Szenario: Der Spiegel zeigt, das Auto ist sicher. "Herr Backup" plant also einen Weg. Aber weil der Spiegel verschwommen ist, ist das Auto in Wirklichkeit schon viel näher an der Mauer. "Herr Backup" versucht zu bremsen, aber es ist zu spät, weil er auf falschen Daten basierte.

3. Die neue Methode: Der "Sicherheits-Tunnel" (Uncertainty Envelope)

Die Autoren sagen: "Wir trauen dem verschwommenen Spiegel nicht blind."

Statt nur eine Linie zu zeichnen, wo das Auto vermutlich ist, zeichnen sie einen dicken, unsicheren Tunnel um diese Linie herum.

Der grüne Punkt: Das ist, was der Computer glaubt, wo das Auto ist (die Schätzung).
Der rosa Tunnel: Das ist der Bereich, in dem das Auto tatsächlich sein könnte, basierend auf der Unsicherheit der Sensoren.

Die Regel lautet:
Solange der gesamte rosa Tunnel sicher ist (also nirgendwo die Mauer berührt), ist das Auto sicher.

Das ist wie beim Fahren mit einem dicken, weichen Kissen um das Auto herum. Solange das Kissen die Mauer nicht berührt, berührt das Auto die Mauer auch nicht.

Wie funktioniert das in der Praxis?

Die Autoren haben zwei Wege entwickelt, wie man diesen "Tunnel" berechnet:

Methode 1 (Offener Loop): Man simuliert, was passieren würde, wenn man den "Backup-Fahrer" sofort einschaltet, aber ohne neue Sensordaten zu berücksichtigen. Man berechnet, wie groß der Fehler-Tunnel in der Zukunft wachsen könnte. Wenn dieser Tunnel noch sicher ist, darf man weiterfahren.
Methode 2 (Geschlossener Loop): Man ist noch schlauer. Man berücksichtigt, dass der "Backup-Fahrer" auch neue Sensordaten bekommt, während er fährt. Das erlaubt es, den Tunnel etwas enger zu machen und das Auto flexibler zu steuern.

Warum ist das so wichtig?

Es garantiert Sicherheit: Selbst wenn die Sensoren verrückt spielen, weiß das System: "Solange mein Sicherheits-Tunnel die Mauer nicht berührt, bin ich sicher."
Es funktioniert mit begrenzten Motoren: Das System weiß genau, wann es auf den "Backup-Fahrer" umschalten muss, damit dieser noch genug Zeit und Kraft hat, das Auto zu stoppen.
Es ist anwendbar: Ob bei Robotern, Drohnen oder autonomen Autos – überall, wo man nicht 100% genau weiß, wo man ist, aber trotzdem nicht abstürzen darf.

Zusammenfassung in einem Satz

Die Autoren haben ein Sicherheits-System erfunden, das nicht auf dem "perfekten Wissen" über den Standort eines Roboters basiert, sondern auf einem dicken Sicherheits-Tunnel um die Schätzung herum, der garantiert, dass der Roboter selbst bei unscharfen Sensoren und schwachen Motoren niemals in Gefahr gerät.

1. Problemstellung

Die Sicherheit autonomer Systeme ist für den realen Einsatz von entscheidender Bedeutung. Während Control Barrier Functions (CBFs) ein etabliertes Werkzeug sind, um die Vorwärtsinvarianz (Sicherheit) einer definierten Menge zu garantieren, basieren die meisten bestehenden Ansätze auf der Annahme, dass der wahre Systemzustand zu jedem Zeitpunkt exakt bekannt ist.

In der Praxis ist diese Annahme jedoch oft nicht haltbar:

Zustandsunsicherheit: Autonome Systeme treffen Entscheidungen basierend auf geschätzten Zuständen, die aus verrauschten Sensormessungen gewonnen werden.
Eingangsbeschränkungen: Die Stellgrößen (Inputs) sind physikalisch begrenzt.
Kopplungseffekte: Wenn der wahre Zustand unbekannt ist, aber die Regelung auf dem geschätzten Zustand basiert, entsteht eine Kopplung zwischen dem bekannten (geschätzten) und dem unbekannten (wahren) Fluss des Systems.

Das zentrale Problem dieses Papers ist die Entwicklung von Sicherheitsgarantien für nichtlineare Systeme mit eingeschränkten Eingängen und ungenauen Zustandsinformationen (Output-Feedback), ohne dabei die Sicherheit des wahren Systems zu gefährden.

2. Methodik

Die Autoren erweitern das Konzept der Backup Control Barrier Functions (bCBFs), das ursprünglich für perfekte Zustandsinformationen entwickelt wurde, auf den Fall mit Output-Feedback.

Grundlegende Konzepte

Backup-Set und Backup-Controller: Es wird eine kleinere, sicherere Teilmenge $C_B$ (Backup-Set) definiert, die durch einen vorgegebenen „Backup-Controller" $k_b$ invariant gehalten werden kann.
Unsicherheits-Umschließung (Uncertainty Envelope): Da der wahre Fluss nicht berechnet werden kann, wird ein Unsicherheitsbereich um den geschätzten Fluss herum definiert. Die Sicherheit dieses Bereichs garantiert die Sicherheit des wahren Zustands.

Zwei vorgeschlagene Methoden

Das Paper stellt zwei Methoden vor, um die „Verstärkungs-Terme" (tightening terms) $\epsilon_\tau$ und $\epsilon_b$ zu berechnen, die die Sicherheitsbedingungen für den geschätzten Zustand verschärfen, um die Unsicherheit des wahren Zustands abzudecken:

Methode 1: Open-Loop Safety (Offene Schleife)
- Hier wird der geschätzte Zustand unter Verwendung des Backup-Controllers vorwärts integriert, ohne Korrekturterme (Innovation) basierend auf zukünftigen Messungen.
- Es wird ein „Rohr" (Tube) um den geschätzten offenen Fluss gebildet.
- Die Verstärkungs-Terme werden so gewählt, dass dieses Rohr den wahren offenen Fluss enthält.
- Vorteil: Einfachere Berechnung, geeignet für lineare Systeme oder Systeme mit konstantem Eingangsvektor.
Methode 2: Closed-Loop Safety (Geschlossene Schleife)
- Diese Methode berücksichtigt die Dynamik des geschätzten Systems mit Korrekturtermen (z. B. Kalman-Filter-Gain).
- Es wird eine Kette von Unsicherheitsbändern betrachtet: Vom geschätzten offenen Fluss zum geschätzten geschlossenen Fluss und schließlich zum wahren geschlossenen Fluss.
- Vorteil: Kann zu weniger konservativen Ergebnissen führen, insbesondere wenn die geschlossene Schleife kontrahierend ist (d. h. Fehler schnell abklingen).

Mathematische Formulierung

Die Autoren leiten Bedingungen her, die sicherstellen, dass wenn der geschätzte Zustand $\hat{x}$ in einer erweiterten, unsicherheitsangepassten Menge $\hat{C}_{I}(t)$ liegt, der wahre Zustand $x$ garantiert in der sicheren Menge $C_S$ bleibt.
Dies führt zu einem Quadratischen Programm (QP), dem sogenannten O-bCBF-QP:

Ziel: Minimierung der Abweichung vom primären Controller.
Nebenbedingungen: Die abgeleiteten Barrieren-Bedingungen unter Berücksichtigung der Unsicherheitsgrenzen und Eingangsbeschränkungen.
Rekursive Machbarkeit: Es wird bewiesen, dass ein zulässiger Eingangsvektor immer existiert (nämlich der Backup-Controller), der die Sicherheit garantiert, selbst wenn das QP keine Lösung für den primären Controller findet.

3. Wichtige Beiträge

Erweiterung von bCBFs auf Output-Feedback: Das Paper schließt die Lücke zwischen der Theorie der Backup-CBFs (die Eingangsbeschränkungen handhabt) und der Realität der Zustandsunsicherheit.
Garantie der rekursiven Machbarkeit: Ein zentrales Ergebnis ist der Beweis, dass unter den vorgeschlagenen Bedingungen immer ein zulässiger Eingangsvektor existiert, der die Sicherheit des wahren Systems garantiert, selbst bei beschränkten Eingängen und fehlerbehafteten Schätzungen.
Zwei Ansätze zur Unsicherheitsquantifizierung: Die Unterscheidung zwischen Open-Loop- und Closed-Loop-Safety-Methoden bietet Flexibilität je nach Systemcharakteristik (z. B. Linearität vs. Nichtlinearität).
Formale Sicherheitsschranken: Ableitung expliziter Verstärkungs-Terme ( $\epsilon$ ), die auf Lipschitz-Konstanten, Beobachter-Gewinnen und Fehlergrenzen basieren, um die Lücke zwischen geschätztem und wahrem Zustand mathematisch zu überbrücken.

4. Ergebnisse (Numerische Beispiele)

Die Autoren validieren ihre Methode an zwei Simulationsbeispielen:

Fallstudie 1: Doppelintegrator (Lineares System)
- Ein System mit verrauschten Positions- und Geschwindigkeitsmessungen.
- Die Simulation zeigt, dass der wahre Zustand (schwarze Linie) trotz großer anfänglicher Schätzfehler sicher innerhalb der Grenzen bleibt, während der geschätzte Zustand (rosa Linie) den Unsicherheitsbereich nutzt.
- Der Unsicherheitsbereich (Rohr) schrumpft mit der Zeit, da der Schätzfehler durch Messungen abnimmt, was die Konservativität der Regelung reduziert.
Fallstudie 2: Raumfahrzeug-Rotation (Nichtlineares System)
- Ein starrer Körper mit Euler-Gleichungen und Gyroskop-Messungen.
- Vergleich: Ein herkömmlicher Backup-CBF-Ansatz (der den geschätzten Zustand direkt als wahren Zustand behandelt) versagt und führt das Raumfahrzeug aus dem sicheren Bereich (Verletzung der Winkelgeschwindigkeitsgrenze).
- Ergebnis: Der vorgeschlagene O-bCBF-Ansatz hält den wahren Zustand sicher innerhalb der Grenzen, indem er die Schätzunsicherheit explizit in die Sicherheitsbedingungen einbezieht.

5. Bedeutung und Fazit

Dieses Paper ist ein bedeutender Schritt hin zu praxistauglichen, sicherheitskritischen Regelungssystemen.

Realitätsnähe: Es adressiert das Problem, dass in der realen Welt nie der perfekte Zustand bekannt ist, und bietet dennoch formale Sicherheitsgarantien.
Robustheit: Die Methode ist robust gegenüber Messrauschen und Schätzfehlern, solange diese durch einen Beobachter (Estimator) begrenzt werden können.
Anwendbarkeit: Durch die Einbeziehung von Eingangsbeschränkungen ist die Methode direkt auf physikalische Systeme (Roboter, Fahrzeuge, Raumfahrzeuge) anwendbar, bei denen Aktuatoren begrenzt sind.

Zusammenfassend stellen die Autoren einen Rahmen bereit, der es ermöglicht, Output-Feedback-Regler zu entwerfen, die nicht nur sicher sind, sondern auch immer eine zulässige Lösung finden, um Katastrophen zu vermeiden, selbst wenn die Sensordaten unvollständig oder verrauscht sind.