Résumé Technique : Sécurité Robuste aux Distributions sous Incertitudes Arbitraires

Énoncé du Problème

Garantir la sécurité des systèmes robotiques autonomes est compliqué par des dynamiques non linéaires, des limites d'actionnement et des incertitudes provenant de décalages de modèle, d'erreurs de perception et de perturbations exogènes. Bien que les filtres de sécurité (ou « gardiens ») offrent une solution modulaire en basculant d'une politique nominale haute performance vers une politique de secours certifiée lorsque la sécurité est menacée, les approches existantes rencontrent des limitations significatives face à l'ambiguïté distributionnelle.

Les méthodes actuelles reposent généralement soit sur :

1. Filtres de Sécurité Robustes : En supposant des bornes déterministes du pire cas, ce qui peut être excessivement conservateur.
2. Filtres de Sécurité Stochastiques : En supposant des distributions de perturbations connues et spécifiques (par exemple, gaussiennes), qui échouent lorsque la vraie distribution est inconnue, partiellement observée ou décalée (décalage distributionnel).
3. Planification Robuste aux Distributions (DR) : Bien que prometteuse, l'intégration directe de contraintes DR dans les filtres de sécurité pour des systèmes non linéaires généraux est computationnellement prohibitif. Cela nécessite souvent de résoudre des problèmes d'optimisation de haute dimension sur des distributions du pire cas au sein d'ensembles d'ambiguïté, rendant l'implémentation en temps réel impossible.

Le défi central abordé dans ce travail est de fournir des garanties de sécurité probabilistes pour des systèmes non linéaires généraux sous des structures d'incertitude arbitraires (non additives, non affines) où la vraie distribution du bruit est inconnue, sans encourir le coût computationnel de l'optimisation de trajectoire DR en ligne.

Méthodologie : DRS-gatekeeper

Les auteurs proposent le Gardien Stochastique Robuste aux Distributions (DRS-gatekeeper), un filtre de sécurité en temps réel qui étend le cadre de filtrage de sécurité basé sur une politique de secours. La méthode combine un ensemble d'ambiguïté de Wasserstein avec une analyse statistique à échantillon fini pour certifier la sécurité.

Architecture Principale

Le système fonctionne en basculant entre une politique nominale haute performance ($\pi_N$) et une politique de secours pré-vérifiée ($\pi_B$). La politique de secours est conçue pour rendre un ensemble sûr spécifique $\mathcal{C}$ invariant vers l'avant avec une forte probabilité (un ensemble invariant contrôlé $\alpha$-probabiliste). L'objectif est de rester sur la politique nominale aussi longtemps que possible tout en assurant qu'un basculement vers la politique de secours se produit avant que la sécurité ne soit compromise.

Composants Techniques Clés

1. Contrainte de Chance Robuste aux Distributions (DRCC) :
   Au lieu d'optimiser par rapport à une seule distribution nominale $\hat{P}_t$, la méthode assure la sécurité face à un ensemble d'ambiguïté $\mathcal{B}_\beta(\hat{P}_t)$ défini par la distance de Wasserstein-$\infty$ avec un rayon $\beta$. Cet ensemble contient toutes les distributions cohérentes avec les données disponibles. L'objectif est de satisfaire :
   $$\inf_{Q \in \mathcal{B}_\beta(\hat{P}_t)} \Pr_{w \sim Q} [\text{Sécurité}] \geq 1 - \varepsilon$$

2. Réduction de Dimensionnalité par Recherche de Temps de Basculement :
   Plutôt que de résoudre un problème d'optimisation DR de haute dimension en ligne, les auteurs exploitent la structure du filtrage basé sur une politique de secours. Le problème de certification de sécurité est réduit à une recherche unidimensionnelle sur le temps de basculement $s_t$ entre les politiques nominale et de secours.

3. Certification Basée sur l'Échantillonnage avec Garanties à Échantillon Fini :
   La méthode utilise une approche inspirée de Monte Carlo :

   • Déroulements Parallèles : Pour chaque temps de basculement candidat $m$, l'algorithme génère $N$ échantillons indépendants de trajectoires de bruit à partir de la distribution nominale $\hat{P}_t$.
   • Seuil Gonflé par Wasserstein : Pour tenir compte de l'ensemble d'ambiguïté sans en échantillonner directement, l'algorithme calcule une marge de sécurité $H$ pour chaque déroulement. Il compte ensuite les « échecs » non seulement lorsque $H < 0$, mais lorsque $H < L_H \beta$, où $L_H$ est la constante de Lipschitz de la fonction de sécurité et $\beta$ est le rayon d'ambiguïté. Cela gonfle efficacement l'ensemble des échecs pour couvrir la distribution du pire cas au sein de l'ensemble d'ambiguïté (Lemme 1).
   • Bornes Statistiques : Le nombre d'échecs observé est utilisé pour calculer une borne supérieure sur la vraie probabilité d'échec en utilisant la distribution binomiale et un niveau de confiance spécifié par l'utilisateur $1-\delta$.
   • Sélection : L'algorithme sélectionne le dernier temps de basculement $s_t$ tel que la borne supérieure statistique sur la probabilité d'échec reste en dessous du seuil $(\varepsilon - \alpha)/(1 - \alpha)$.

Garanties Théoriques

L'article fournit une preuve formelle (Théorème 1) que, si les hypothèses concernant la continuité de Lipschitz de la fonction de sécurité et l'existence d'une politique de secours valide sont respectées, le DRS-gatekeeper satisfait la DRCC avec une probabilité d'au moins $1-\delta$. Cette garantie est indépendante de la dimension de la trajectoire ou du nombre d'échantillons $N$, bien que $N$ affecte le conservatisme du filtre.

Contributions Clés

1. Algorithme DRS-gatekeeper : Introduction d'un filtre de sécurité en temps réel pour des systèmes non linéaires avec des structures de perturbations arbitraires et une ambiguïté distributionnelle.
2. Certificat à Échantillon Fini : Dérivation d'un certificat de sécurité probabiliste sous un ensemble d'ambiguïté de Wasserstein en calculant une borne supérieure sur la probabilité d'échec du pire cas avec un niveau de confiance spécifié.
3. Efficacité Computationnelle : Reformulation du problème de sécurité DR de dimension infinie en une recherche unidimensionnelle, permettant une implémentation en temps réel via un échantillonnage parallèle.
4. Validation Empirique : Démonstration de la méthode sur trois domaines distincts de complexité croissante : un véhicule de Dubins, une voiture de course de Formule 1 et un avion de combat F-16.

Résultats Expérimentaux

Les auteurs ont validé le DRS-gatekeeper par des simulations le comparant à des méthodes de référence (incluant les Fonctions de Barrière de Contrôle Robustes aux Distributions, DR-CBF, et le contrôle par Intégrale de Trajectoire Prédictive de Modèle, MPPI).

• Véhicule de Dubins : Comparé au DR-CBF, le DRS-gatekeeper a atteint des taux de sécurité nettement plus élevés (jusqu'à 100 % contre 15-75 % selon les paramètres) sur des probabilités d'échec variables ($\varepsilon$) et des rayons d'ambiguïté ($\beta$). Bien que les temps d'atteinte de l'objectif aient été légèrement plus élevés dans certains cas, la méthode a offert un compromis sécurité-performance plus fiable.
• Voiture de Course de Formule 1 : Dans un scénario de haute dimension (7 états) avec une incertitude empirique complexe et non gaussienne :
  • Sous un bruit gaussien, le DRS-gatekeeper a maintenu 96 % de sécurité contre 92 % pour le MPPI.
  • Sous un bruit empirique (simulant un décalage distributionnel), la sécurité du MPPI est tombée à 76 %, tandis que le DRS-gatekeeper a maintenu 94 % de sécurité.
  • La méthode a atteint ces résultats avec une intervention de secours minimale (<1,5 %) et des temps de calcul (~21 ms) adaptés au contrôle en temps réel.
• Avion de Combat F-16 : Dans un scénario de 12 états et 4 entrées volant à travers un canyon étroit avec turbulence et résidus de modèle :
  • Une méthode de suivi de trajectoire optimale de référence n'a atteint que 40 % de sécurité (88 % en considérant l'horizon complet, toujours en dessous de l'objectif de 95 %).
  • Le DRS-gatekeeper a amélioré le taux de sécurité à 88 % (avec un objectif de 95 % par itération, l'effet cumulatif est noté) avec une utilisation de secours faible (13,9 %) et une surcharge computationnelle minimale (12,2 ms).
  • La méthode a géré avec succès le degré relatif élevé et les contraintes d'entrée qui rendaient le DR-CBF inapplicable pour ce système.

Signification et Revendications

L'article revendique que le DRS-gatekeeper comble une lacune critique dans la sécurité autonome : la capacité à gérer des structures d'incertitude arbitraires et des décalages distributionnels sans la charge computationnelle de l'optimisation DR en ligne. En tirant parti de l'architecture basée sur une politique de secours et de la robustesse basée sur Wasserstein, la méthode fournit des garanties de sécurité probabilistes rigoureuses pour des systèmes non linéaires complexes et de haute dimension où les filtres robustes ou stochastiques traditionnels échouent ou sont trop conservateurs. Les auteurs soulignent que leur approche est particulièrement significative pour des systèmes où la vraie distribution du bruit est inconnue ou non stationnaire, comme dans les courses à haute vitesse ou les manœuvres aériennes sous turbulence.