⚡ electrical engineering

Robust Verification of Controllers under State Uncertainty via Hamilton-Jacobi Reachability Analysis

Ce papier présente RoVer-CoRe, un cadre innovant utilisant l'analyse de faisabilité de Hamilton-Jacobi pour vérifier formellement la sécurité des contrôleurs basés sur la perception et concevoir des contrôleurs robustes face aux incertitudes perceptuelles.

Auteurs originaux : Albert Lin, Alessandro Pinto, Somil Bansal

Publié 2026-04-16

📖 5 min de lecture🧠 Analyse approfondie

CC BY 4.0

Auteurs originaux : Albert Lin, Alessandro Pinto, Somil Bansal

Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète

Imaginez que vous conduisez une voiture autonome dans un brouillard très épais. Votre voiture a des caméras et des capteurs, mais à cause du brouillard, elle ne voit pas parfaitement la route. Elle pense être à un endroit, mais en réalité, elle est peut-être un peu plus à gauche ou un peu plus à droite.

Le problème, c'est que si la voiture prend une décision basée sur une mauvaise information, elle pourrait sortir de la route et avoir un accident. Comment être absolument certain qu'elle restera sur la route, même si ses "yeux" la trompent au pire moment possible ?

C'est exactement le défi que relève l'article que vous avez partagé. Voici une explication simple de leur solution, RoVer-CoRe, en utilisant des analogies du quotidien.

1. Le Problème : Le "Brouillard" de la Perception

Les voitures et les robots d'aujourd'hui utilisent souvent des réseaux de neurones (des cerveaux artificiels) pour voir. Mais ces cerveaux font des erreurs.

L'analogie : Imaginez un joueur de football qui porte des lunettes de soleil déformantes. Il voit le ballon à 2 mètres de lui, alors qu'il est en réalité à 3 mètres. S'il court vers l'endroit où il pense que le ballon est, il va rater le but.
Le défi : Les méthodes actuelles pour vérifier la sécurité sont soit trop simplistes (elles ignorent la complexité du cerveau artificiel), soit trop conservatrices (elles disent "c'est dangereux" dès qu'il y a un doute, même si ce n'est pas le cas).

2. La Solution : RoVer-CoRe (Le "Simulateur de Pire Cas")

Les auteurs proposent un nouveau cadre appelé RoVer-CoRe. Au lieu de regarder la voiture et le cerveau artificiel séparément, ils les collent ensemble comme un seul bloc.

L'analogie du "Boulanger et de la Farine" :
Imaginez que vous voulez vérifier si un gâteau va brûler.
- La voiture est le four.
- Le cerveau artificiel est le boulanger qui regarde le gâteau.
- Le brouillard est la poussière sur la vitre du four.
Au lieu de vérifier le boulanger et le four séparément, RoVer-CoRe crée une simulation où le boulanger a déjà la poussière sur les lunettes, et on regarde comment il réagit dans le four.

3. La Méthode Magique : L'Analyse de "Portée Hamilton-Jacobi"

C'est le cœur technique, mais voici comment le comprendre simplement :

Imaginez que vous voulez savoir jusqu'où vous pouvez pousser une voiture sans qu'elle ne tombe d'une falaise, même si le vent souffle fort dans la mauvaise direction.

L'approche classique : On essaie de deviner ou de simuler des milliers de fois. C'est long et on peut rater un cas rare.
L'approche RoVer-CoRe (HJ Reachability) : C'est comme tracer une frontière magique sur une carte.
- À l'intérieur de la frontière bleue : C'est la zone de sécurité absolue. Même si le vent souffle fort et que le conducteur a mal vu la route, la voiture ne tombera jamais.
- À l'extérieur : C'est le danger.

Cette méthode calcule mathématiquement la pire situation possible (le vent le plus fort + la pire erreur de vision) et trace la ligne exacte où la sécurité commence à se briser. C'est comme si on construisait un mur de protection autour de la voiture, en tenant compte de toutes les erreurs possibles.

4. Comment ça marche en pratique ? (Les deux études de cas)

Les auteurs ont testé leur méthode sur deux situations réelles :

A. L'avion qui se gare (Taxiing)

La situation : Un avion doit se garer sur une piste en suivant une ligne centrale, mais il utilise une caméra pour voir.
Le résultat : RoVer-CoRe a pu dire : "Si l'erreur de vision est inférieure à X%, l'avion est sûr." Plus important encore, ils ont pu dire : "Si vous changez un petit paramètre dans le code de l'avion (comme la sensibilité du volant), vous pouvez tolérer un brouillard encore plus épais sans danger."
L'analogie : C'est comme ajuster la suspension d'une voiture pour qu'elle reste stable même sur une route pleine de nids-de-poule, en sachant exactement jusqu'où on peut aller.

B. Le rover lunaire (Exploration spatiale)

La situation : Un robot explore la Lune la nuit. Ses caméras ne voient rien dans le noir, donc il accumule des erreurs de position. Il a des phares, mais les phares coûtent cher en énergie.
Le résultat : RoVer-CoRe a permis de créer une règle intelligente : "Garde les phares éteints le plus longtemps possible, mais allume-les exactement au moment où l'erreur de position va devenir trop dangereuse."
L'analogie : C'est comme conduire de nuit avec des phares qui s'allument automatiquement juste avant que vous ne perdiez le fil de la route, pour économiser de l'essence tout en restant en sécurité.

5. Pourquoi c'est révolutionnaire ?

Précision : Contrairement aux anciennes méthodes qui disent "c'est peut-être dangereux" (trop prudent), celle-ci dit "voici la ligne exacte de sécurité".
Robustesse : Elle ne se contente pas de vérifier, elle aide à construire de meilleurs robots. Elle dit aux ingénieurs : "Modifiez ce paramètre ici, et votre robot deviendra plus sûr."
Transparence : Si un robot échoue, le système peut montrer exactement pourquoi (ex: "Le robot a cru voir un obstacle là où il n'y en avait pas, et a tourné trop vite").

En résumé

RoVer-CoRe est comme un super-bouclier mathématique. Il prend un robot intelligent mais un peu "distrait" (à cause des erreurs de vision), simule le pire scénario possible, et trace une frontière de sécurité inébranlable. Cela permet de déployer des robots autonomes (voitures, drones, rovers) avec la certitude qu'ils ne feront pas de bêtises, même quand leurs "yeux" les trompent.

1. Problématique

L'essor des contrôleurs basés sur la perception pour les systèmes autonomes (utilisant des réseaux de neurones, des capteurs bruyants, etc.) soulève des défis majeurs en matière de sécurité. Bien que ces systèmes soient performants, leur vérification formelle reste extrêmement difficile, notamment en raison de :

La complexité des contrôleurs (non-linéaires, non convexes, basés sur l'apprentissage, boîtes noires).
L'incertitude perceptive : les erreurs de capteurs, les défauts d'estimation d'état ou les perturbations environnementales (ex: perte de signal GPS) peuvent entraîner des états estimés ( $\hat{x}$ ) différents de l'état réel ( $x$ ).

Les méthodes existantes, souvent basées sur des ensembles atteignables approximatifs (hyper-rectangles, zonotopes, etc.), souffrent d'un conservatisme excessif. Elles échouent fréquemment à certifier la sécurité de systèmes réels car les approximations de propagation d'incertitude gonflent trop les ensembles d'états possibles. De plus, l'analyse de Hamilton-Jacobi (HJ) classique suppose une connaissance parfaite de l'état, ce qui n'est pas le cas ici.

Objectif : Développer un cadre capable de fournir des garanties de sécurité formelles pour des systèmes sous contrôle basé sur la perception, en tenant compte des pires cas d'erreurs perceptives et de perturbations externes.

2. Méthodologie : RoVer-CoRe

Les auteurs proposent RoVer-CoRe (Robust Verification of Controllers via HJ Reachability), le premier cadre basé sur l'analyse de reachability de Hamilton-Jacobi (HJ) spécifiquement conçu pour les systèmes sous incertitude perceptive.

A. Abstraction du Système en Boucle Fermée

L'idée centrale est de concaténer le contrôleur ( $\pi$ ), la fonction d'observation ( $p$ ) et le module d'estimation d'état ( $q$ ) pour former une dynamique de boucle fermée équivalente :
$h(x, d, e) := f(x, \pi(q(p(x), e)), d)$
Où :

$x$ est l'état réel.
$d$ est la perturbation externe.
$e$ est l'erreur perceptive (bruit, erreur d'estimation).
Le système est traité comme un jeu différentiel où $d$ et $e$ sont des adversaires cherchant à faire entrer le système dans un ensemble d'échec $F$ .

B. Calcul de l'Hamiltonien en Boucle Fermée

Le défi technique principal réside dans le calcul de l'Hamiltonien $H(x, t, \nabla V)$ pour ce système composite, qui devient souvent non convexe et difficile à optimiser. Les auteurs proposent deux approches selon la nature du contrôleur :

Calcul Exact : Pour les contrôleurs simples ou énumérables (ex: contrôleurs linéaires ou MPC sur grille), l'optimisation de l'Hamiltonien est résolue exactement. Cela permet une vérification sans conservatisme et génère des contre-exemples (signaux d'erreur et de perturbation pires cas).
Majoration Conservatrice (Bornes Inférieures) : Pour les contrôleurs complexes (ex: Réseaux de Neurones Profonds - DNN), il est impossible de résoudre l'optimisation exactement. La méthode consiste à :
- Encadrer la sortie du contrôleur par un hyper-rectangle $U(x)$ (bornes inférieures et supérieures) en utilisant des outils de vérification de NN (comme $\alpha,\beta$ -CROWN).
- Calculer une borne inférieure de l'Hamiltonien en optimisant sur cet ensemble borné plutôt que sur le contrôleur exact.
- Cela garantit une analyse saine (sound) mais potentiellement conservatrice.

C. Conception de Contrôleurs Robustes

Le cadre ne se limite pas à la vérification ; il permet la conception de contrôleurs. En paramétrant une famille de contrôleurs ( $\pi_\alpha$ ), RoVer-CoRe permet d'optimiser les hyperparamètres $\alpha$ pour maximiser la marge de sécurité ou le volume de l'ensemble sûr, guidant ainsi le réglage vers des configurations robustes.

3. Résultats et Études de Cas

Les auteurs valident RoVer-CoRe sur deux études de cas :

A. Taxiage d'Aéronef (Aircraft Taxiing)

Scénario : Un avion suit une ligne centrale en utilisant des images de caméra traitées par un DNN pour estimer l'erreur de trajectoire.
Résultat : Le cadre vérifie formellement la sécurité jusqu'à une couverture d'erreur de 99,68 %.
Conception : En analysant l'espace des hyperparamètres, RoVer-CoRe identifie des contrôleurs sûrs (zone bleue) et explique pourquoi certains contrôleurs échouent (ex: gains trop élevés provoquant des sur-corrections face à des erreurs de perception).

B. Navigation de Rover (Rover Navigation)

Scénario : Un rover lunaire navigue dans l'obscurité avec une incertitude d'odométrie visuelle croissante (modélisée par une norme croissant linéairement avec le temps sans éclairage).
Comparaison :
- MPC (Model Predictive Control) : Vérifié exactement par énumération.
- Réseau de Neurones (NN) : Vérifié avec des bornes calculées via $\alpha,\beta$ -CROWN.
Performance : RoVer-CoRe produit des ensembles atteignables (BRT) beaucoup plus précis que les méthodes Monte Carlo (qui manquent des états dangereux) et plus précis que les outils de vérification d'ensemble classiques (comme NNV 2.0).
Application : Le cadre permet de concevoir une politique d'activation des phares : allumer les lumières uniquement lorsque l'incertitude croissante menace de faire entrer le rover dans l'ensemble d'échec, économisant ainsi l'énergie tout en garantissant la sécurité.

4. Contributions Clés

RoVer-CoRe : Le premier cadre de vérification basé sur HJ pour les systèmes sous incertitude perceptive.
Abstraction Unifiée : Une formulation mathématique qui intègre perception, estimation et contrôle dans un seul système dynamique compatible avec les outils HJ existants.
Méthodes d'Hamiltonien : Des techniques pour calculer exactement ou borner l'Hamiltonien de boucle fermée, rendant la vérification applicable aux contrôleurs basés sur l'apprentissage (NN).
Vérification et Conception : Capacité à fournir des garanties de sécurité formelles tout en guidant l'optimisation des contrôleurs pour la robustesse.
Supériorité par rapport aux méthodes existantes : Démonstration empirique que RoVer-CoRe est moins conservateur que les méthodes d'ensembles approximatifs (comme NNV) et plus complet que les simulations Monte Carlo.

5. Signification et Impact

Ce travail comble un vide critique entre la théorie de la vérification formelle (HJ reachability) et la pratique des systèmes autonomes modernes (basés sur la perception).

Rigueur : Il offre des garanties mathématiques strictes (pire cas) là où les simulations statistiques échouent.
Praticité : Il démontre que la vérification formelle peut être utilisée non seulement pour valider, mais aussi pour concevoir des contrôleurs plus sûrs et économes en énergie.
Futur : Le code est open-source, facilitant l'adoption par la communauté. Les travaux futurs visent à intégrer des modèles d'incertitude probabilistes et à améliorer l'évolutivité (scalability) via des outils de reachability basés sur l'apprentissage.

En résumé, RoVer-CoRe représente une avancée majeure pour rendre les systèmes autonomes complexes (avions, rovers) plus sûrs et plus fiables dans des environnements réels incertains.