Tunable Input-to-State Safety with Input Constraints

Cet article propose un cadre intégrant des contraintes d'entrée compactes dans la synthèse de la fonction d'ajustement de la sécurité entrée-état (TISSf), garantissant ainsi la compatibilité des commandes et la faisabilité récursive des filtres de sécurité tout en maintenant la robustesse face aux perturbations.

L'essentiel

Voici une explication simple de ce papier de recherche, imagée pour que tout le monde puisse comprendre, même sans être ingénieur.

🚗 Le Problème : Conduire une voiture qui a peur (et qui est bridée)

Imaginez que vous conduisez une voiture autonome. Cette voiture a deux règles d'or :

1. La Sécurité (Le Bouclier) : Elle doit absolument éviter les accidents, même si la route est glissante, qu'il y a du vent ou que le capteur fait une erreur. C'est ce qu'on appelle la "sécurité robuste".
2. Les Limites Physiques (Le Frein) : La voiture ne peut pas accélérer à l'infini ni freiner instantanément. Elle a des limites physiques (moteur, pneus).

Le souci ?
Dans les méthodes actuelles, on essaie de renforcer le "bouclier" de sécurité pour être sûr de ne pas avoir d'accident. Mais souvent, pour être trop prudent, le système demande à la voiture de freiner si fort ou d'accélérer si vite que cela dépasse les limites du moteur.
C'est comme si un coach de sport vous disait : "Pour être sûr de ne pas tomber, saute par-dessus ce mur !" Mais si le mur est trop haut, vous ne pouvez pas sauter, et vous restez bloqué. Le système devient incompatible : il demande l'impossible.

💡 La Solution : Le "Réglage Intelligent" (TISSf)

Les auteurs de ce papier (Ming Li, Jin Chen, Dimos Dimarogonas) ont développé une nouvelle méthode pour régler ce "réglage de prudence".

Imaginez que le système de sécurité est un thermostat.

• Si vous le mettez sur "Très Prudent", la voiture freine dès qu'elle voit un nuage. C'est sûr, mais ça bloque le moteur (trop de demande).
• Si vous le mettez sur "Peu Prudent", la voiture va vite, mais elle risque l'accident.

L'ancienne méthode consistait à tourner ce bouton au hasard jusqu'à ce que ça marche, ou à accepter que la voiture dépasse ses limites (ce qui est dangereux).

La nouvelle méthode (TISSf avec contraintes) :
Au lieu de tourner le bouton au hasard, les chercheurs ont créé une recette mathématique qui dit exactement : "Voici la plage de réglages possibles pour le thermostat qui garantit à la fois : 1) pas d'accident, et 2) le moteur ne casse pas."

🛠️ Comment ça marche ? (Les Analogies)

1. La Carte de Sécurité (Le Support Fonction)

Imaginez que vous devez dessiner une zone de sécurité autour de la voiture. Cette zone est délimitée par une ligne.

• Si la ligne est trop proche de la voiture, la zone est petite et très sûre, mais la voiture a peu de place pour bouger (elle risque de toucher les murs du garage).
• Si la ligne est loin, la voiture a de la place, mais c'est moins sûr.

Les chercheurs utilisent une astuce mathématique (appelée "fonction de support") pour calculer la distance exacte que cette ligne doit avoir pour que la voiture puisse toujours trouver une manœuvre possible à l'intérieur de ses limites physiques. C'est comme calculer la taille minimale d'une porte pour qu'un éléphant puisse passer sans se cogner.

2. La Recette de Cuisine (Paramétrage)

Au lieu de cuisiner "au feeling", ils ont transformé le problème en une équation simple avec deux ingrédients :

• Le niveau de base (ϵ0) : À quel point on commence à être prudent.
• La vitesse d'ajustement (λ) : À quelle vitesse on devient plus ou moins prudent quand la voiture s'éloigne du danger.

Ils ont prouvé qu'il existe une zone de sécurité pour ces deux ingrédients. Si vous choisissez vos ingrédients dans cette zone, la recette fonctionnera toujours.

3. L'Entraînement Offline (Le Simulateur)

Avant de mettre la voiture sur la route, les chercheurs utilisent un ordinateur pour tester des milliers de situations (comme un simulateur de vol).

• Ils prennent des échantillons de situations (pluie, freinage brusque, virage).
• Ils utilisent un algorithme simple (un programme linéaire) pour trouver les meilleurs ingrédients qui fonctionnent pour toutes ces situations en même temps.
• C'est comme si un chef cuisinier testait sa recette sur 2000 clients différents avant de l'annoncer au public, pour être sûr que tout le monde l'aimera.

🏁 Le Résultat : La Voiture Connectée (CCC)

Pour prouver que ça marche, ils ont appliqué cette méthode à une voiture connectée (une voiture qui suit une autre voiture sur l'autoroute).

• Sans leur méthode : La voiture soit freine trop tard (accident), soit freine trop fort (elle dépasse les limites du moteur et devient incontrôlable).
• Avec leur méthode : La voiture suit la précédente de très près (pour économiser du carburant et le temps), mais elle ne dépasse jamais les limites de son moteur. Elle reste toujours dans la "zone de sécurité" calculée.

🎯 En résumé

Ce papier résout un conflit classique en robotique : "Comment être sûr à 100% sans demander l'impossible à la machine ?"

Ils ont remplacé le "tâtonnement" par une méthode de calcul rigoureuse. Ils disent : "Ne choisissez pas vos paramètres de sécurité au hasard. Suivez cette carte mathématique, et vous aurez une voiture qui est à la fois ultra-sûre et capable de faire ce qu'on lui demande physiquement."

C'est un peu comme passer d'un pilote qui conduit en fermant les yeux et en priant, à un pilote qui a une carte GPS précise lui disant exactement où il peut aller sans tomber dans le ravin.

Résumé technique

Voici un résumé technique détaillé de l'article "Tunable Input-to-State Safety with Input Constraints" (Sécurité entrée-état réglable avec contraintes d'entrée), rédigé en français.

1. Problématique

Les fonctions de barrière de contrôle (CBF) sont devenues un outil standard pour garantir la sécurité des systèmes non linéaires en temps réel. Cependant, leur application dans des environnements réels est souvent compromise par des perturbations (incertitudes de modèle, bruits), ce qui a conduit au développement de la Sécurité Entrée-État (ISSf) et de sa version réglable, la TISSf (Tunable Input-to-State Safety).

La TISSf introduit une fonction de réglage (tuning function) $\varepsilon(h(x))$ qui permet d'ajuster le compromis entre la robustesse face aux perturbations et la conservatisme de la sécurité (éviter des manœuvres trop prudentes).

Le problème central identifié dans cet article est que les fonctions de réglage dans les approches TISSf existantes sont généralement conçues sans tenir compte explicitement des contraintes d'entrée (limites des actionneurs).

• Dans la pratique, si la fonction de réglage est choisie de manière inappropriée (par exemple, trop petite pour être très robuste), elle peut rendre l'ensemble des commandes admissibles défini par la TISSf vide en intersection avec les contraintes physiques de l'actionneur ($U$).
• Cela conduit à une incompatibilité : le contrôleur ne peut pas trouver de commande satisfaisant à la fois la condition de sécurité TISSf et les limites physiques, entraînant un échec de la sécurité ou une saturation non garantie théoriquement.
• Les méthodes actuelles reposent souvent sur un réglage "essai-erreur" ou une saturation a posteriori, sans garantie théorique de compatibilité sur l'ensemble de l'ensemble sûr.

2. Méthodologie

Les auteurs proposent un cadre constructif pour synthétiser des fonctions de réglage qui garantissent intrinsèquement la compatibilité avec des contraintes d'entrée compactes et convexes.

A. Caractérisation Géométrique et Fonctions de Support

L'approche repose sur une interprétation géométrique :

• La condition TISSf définit un demi-espace dans l'espace des commandes $\Pi_\varepsilon(x)$.
• La contrainte d'entrée définit un ensemble convexe $U$.
• La compatibilité exige que $\Pi_\varepsilon(x) \cap U \neq \emptyset$ pour tout état $x$ dans l'ensemble sûr $C$.

En utilisant la fonction de support $\sigma_U(d(x)) = \max_{u \in U} d(x)^\top u$, les auteurs dérivent une condition nécessaire et suffisante sous forme de borne inférieure explicite pour la fonction de réglage $\varepsilon(h(x))$ :
$$\varepsilon(h(x)) \geq \frac{\|d(x)\|_2^2}{c(x) + \sigma_U(d(x))}$$
où $c(x)$ et $d(x)$ sont les dérivées de Lie liées à la fonction de barrière. Cette inégalité transforme la contrainte de compatibilité en une contrainte de conception sur $\varepsilon$.

B. Paramétrisation et Synthèse Hors Ligne (Offline)

Pour rendre le problème de conception tractable, les auteurs paramétrisent la fonction de réglage sous forme exponentielle (comme dans les travaux précédents) :
$$\varepsilon(h(x)) = \epsilon_0 e^{\lambda h(x)}$$
En prenant le logarithme, la condition de compatibilité devient une inégalité affine en les paramètres de conception $(\ln \epsilon_0, \lambda)$ :
$$\ln \epsilon_0 + \lambda h(x) \geq \eta(x)$$
où $\eta(x)$ est une fonction calculée à partir des contraintes et de la dynamique.

Pour garantir cette condition sur tout l'ensemble sûr continu $C$ (et non pas seulement en des points discrets), l'article propose une méthode basée sur le échantillonnage par couverture (covering-based sampling) :

1. L'ensemble sûr $C$ est discrétisé par un ensemble de points $\{x_i\}$ formant une $\kappa$-couverture.
2. En exploitant la propriété de Lipschitz des fonctions impliquées, les auteurs dérivent des contraintes robustes qui garantissent que la condition est satisfaite pour tout $x \in C$, même entre les points d'échantillonnage.
3. La recherche des paramètres optimaux $(\ln \epsilon_0, \lambda)$ est formulée comme un Programme Linéaire (LP) hors ligne, minimisant une fonction objectif (compromis entre la magnitude de base et le taux de croissance) sous les contraintes robustes.

C. Synthèse du Contrôleur en Temps Réel

Une fois les paramètres optimaux obtenus, le contrôleur en temps réel est un filtre de sécurité basé sur un Programme Quadratique (QP) :

• Il minimise l'écart par rapport à une commande nominale $k_{nom}(x)$.
• Soumis aux contraintes TISSf (avec les paramètres fixés) et aux contraintes d'entrée $U$.
• Grâce à la conception hors ligne, ce QP est garanti récursivement faisable (il existe toujours une solution) sur tout l'ensemble sûr.

3. Contributions Clés

1. Caractérisation de la compatibilité : Établissement d'une condition de borne inférieure exacte pour les fonctions de réglage TISSf, utilisant les fonctions de support pour garantir l'intersection non vide entre les contraintes de sécurité et les contraintes d'entrée.
2. Conditions explicites pour divers ensembles : Adaptation de la condition générale aux contraintes courantes : bornes de norme, ensembles polyédriques et contraintes de type "boîte" (box constraints).
3. Méthode de synthèse tractable : Développement d'une procédure hors ligne basée sur un LP utilisant une stratégie d'échantillonnage par couverture, garantissant la compatibilité sur l'ensemble de l'espace d'état sûr (et non pas seulement ponctuellement).
4. Garantie de faisabilité récursive : Démonstration que le filtre de sécurité QP résultant est toujours faisable, éliminant le besoin de vérifications a posteriori ou de saturation non garantie.
5. Validation par simulation : Application à un cas d'étude de contrôle de régulateur de vitesse connecté (CCC) avec perturbations, montrant la supériorité de la méthode par rapport aux approches par saturation ou réglage manuel.

4. Résultats

Les simulations sur le scénario de contrôle de régulateur de vitesse connecté (CCC) comparent la méthode proposée (LP-QP) avec trois autres approches :

• TISSf (Baseline) : Réglage manuel sans garantie de contraintes.
• TISSf (Sat) : Application de la saturation sur la commande.
• TISSf (Trial) : Réglage par essais-erreurs.

Résultats observés :

• Efficacité de la distance de sécurité : La méthode proposée maintient la distance de sécurité (headway) la plus petite possible tout en restant sûre, ce qui signifie une moins grande conservatisme que les méthodes de base ou saturées.
• Respect des contraintes : Contrairement à la méthode "Baseline" qui viole parfois les limites d'accélération, et à la méthode "Sat" qui dégrade la performance dynamique, la méthode proposée respecte strictement les contraintes d'entrée $u \in [a, \bar{a}]$ à tout moment.
• Robustesse : Toutes les méthodes respectent la métrique de sécurité robuste ($h(x) + \zeta > 0$), mais la méthode proposée le fait avec une trajectoire de vitesse plus fluide et une meilleure réactivité.

5. Signification

Cet article comble une lacune théorique majeure dans l'application des CBF robustes (TISSf) aux systèmes réels. En passant d'une vérification a posteriori de la compatibilité à une conception constructive garantissant cette compatibilité, les auteurs permettent l'application sûre et efficace de contrôleurs robustes sur des systèmes avec des actionneurs limités.

La méthodologie proposée offre un cadre unifié pour divers types de contraintes et fournit un outil pratique (LP hors ligne + QP en ligne) pour les ingénieurs de contrôle, assurant que la sécurité robuste et les limites physiques sont satisfaites simultanément par conception, sans compromettre les performances.