Adversarial Observability and Performance Trade-offs in Optimal Control

Titolo

Osservabilità Avversaria e Compromessi di Prestazione nel Controllo Ottimale

1. Il Problema

Il lavoro affronta la sfida di progettare controllori di retroazione (feedback) per sistemi lineari che operano in ambienti ostili. In scenari come l'aviazione o lo spazio, un avversario può tentare di ricostruire lo stato corrente o l'intento di un sistema autonomo utilizzando i propri sensori (es. radar, immagini ottiche).
L'obiettivo principale è duplice e conflittuale:

1. Minimizzare l'osservabilità avversaria: Progettare un controllore che renda difficile per un avversario ricostruire lo stato del sistema basandosi sulle sue misurazioni parziali ($y = Cx$).
2. Mantenere le prestazioni ottimali: Stabilizzare il sistema all'origine con prestazioni vicine all'ottimo, rispettando vincoli rigidi sulla degradazione delle prestazioni rispetto al controllore LQR (Linear Quadratic Regulator) standard.

A differenza di approcci precedenti che si basano sul cambio di modalità di controllo (Moving Target Defense) o trattano l'osservabilità come una proprietà binaria, questo studio propone un approccio continuo all'interno di un'unica architettura di controllo a retroazione, quantificando esplicitamente il compromesso (trade-off) tra prestazioni e sicurezza.

2. Metodologia

Gli autori formulano il problema come un'ottimizzazione vincolata basata su due metriche derivate dalla Matrice di Osservabilità di Gramian ($W$) del sistema a ciclo chiuso $(A+BK, C)$:

• Metrica 1 (Osservabilità Media): Minimizzare la traccia del Gramian, $\text{tr}(WV)$, dove $V$ è la covarianza della condizione iniziale. Questa metrica quantifica l'energia media rilasciata attraverso i sensori dell'avversario su tutte le direzioni dello stato.
• Metrica 2 (Osservabilità nelle Direzioni Deboli): Massimizzare la traccia dell'inverso del Gramian regolarizzato, $-\text{tr}(W_\epsilon^{-1}V^{-1})$. Questa metrica è sensibile alle direzioni meno osservabili e tende all'infinito se il sistema diventa non osservabile, spingendo il controllore a rendere il sistema il più vicino possibile all'indistinguibilità.

Il vincolo di prestazione è definito come una distanza massima $\lambda$ rispetto al costo ottimo del controllore LQR standard ($J^*$).

Soluzioni Algoritmiche

Il paper propone due approcci distinti per risolvere i problemi di ottimizzazione:

1. Per la Metrica 1 (Traccia del Gramian):

   • Viene dimostrato che il problema può essere riformulato esattamente come un Programma Semidefinito (SDP).
   • Utilizzando un cambiamento di variabili ($X = KS$) e il complemento di Schur, il problema non convesso originale viene trasformato in un problema convesso risolvibile efficientemente con solver SDP standard.

2. Per la Metrica 2 (Traccia dell'Inverso del Gramian):

   • Poiché la funzione obiettivo è non convessa (a causa dell'inverso della matrice) e il Gramian può diventare singolare, il problema non è direttamente risolvibile come SDP.
   • Viene proposta una soluzione approssimata mediante un algoritmo di SDP Sequenziale basato sulla procedura Convex-Concave (CCP).
   • Il problema viene trasformato in un programma di differenza di funzioni convesse (DC) linearizzando le parti concave delle restrizioni in modo iterativo. Viene introdotta una regolarizzazione ($\epsilon I$) nell'equazione di Lyapunov per garantire la non singolarità e la convergenza.

3. Contributi Chiave

• Limiti Teorici Inferiori: Gli autori derivano limiti teorici inferiori per i valori ottimali delle metriche di osservabilità in funzione del parametro di compromesso $\lambda$. Questi limiti caratterizzano i limiti fondamentali di quanto si possa ridurre l'osservabilità avversaria a fronte di una specifica degradazione delle prestazioni.
• Analisi del Trade-off: Viene dimostrato che piccoli compromessi nelle prestazioni ($\lambda$ piccolo) portano a una riduzione significativa dell'osservabilità media (Metrica 1), mentre compromessi più grandi sono necessari per ottenere miglioramenti drastici nella metrica basata sull'inverso (Metrica 2), che mira a rendere il sistema quasi non osservabile.
• Robustezza: Viene analizzata la robustezza del controllore rispetto all'incertezza sulla matrice di sensing $C$ dell'avversario, dimostrando che l'uso di un superset delle possibili configurazioni di sensori fornisce un limite superiore certificato per l'osservabilità.
• Algoritmi Efficienti: Fornisce un metodo esatto (SDP) per la minimizzazione della traccia e un metodo iterativo convergente (Sequential SDP) per la massimizzazione della traccia dell'inverso.

4. Risultati Sperimentali

Le simulazioni sono state condotte su due casi di studio:

1. Sistema Intuitivo (2 stati): Dimostra come il controllore modifichi la dinamica del sistema per disaccoppiare gli stati, rendendo la prima variabile di stato non osservabile dalla seconda, pur mantenendo le prestazioni vicine all'ottimo. I risultati confermano la correttezza dei limiti teorici inferiori derivati.
2. Aereo ADMIRE (5 stati, 7 ingressi):
   • Algoritmo 2 (Inverso del Gramian): Il controllore spinge l'autovalore minimo del Gramian verso zero, rendendo il sistema quasi non osservabile. Questo porta a errori di stima dell'avversario elevati per lo stato meno osservabile, con un costo di prestazione accettabile.
   • Algoritmo 1 (Traccia del Gramian): Il controllore riduce gli autovalori più grandi del Gramian, migliorando l'indistinguibilità media su tutte le direzioni.
   • Confronto: Le simulazioni mostrano che i controllori proposti aumentano significativamente l'errore di stima dell'avversario (simulato con un osservatore di Luenberger e rumore deterministico) con una perdita di prestazioni trascurabile o gestibile.

5. Significato e Impatto

Questo lavoro è significativo perché sposta il paradigma della difesa contro l'osservazione avversaria da strategie discrete (cambio di modalità) a strategie di controllo continuo e ottimizzato.

• Sicurezza Proattiva: Offre un framework matematico rigoroso per "nascondere" lo stato di un sistema dinamico senza comprometterne la stabilità o la missione primaria.
• Quantificazione del Rischio: Fornisce agli ingegneri di controllo strumenti per quantificare esattamente quanto "sicuro" è un sistema contro la ricostruzione dello stato in base al livello di tolleranza alle prestazioni.
• Applicabilità: Le tecniche di programmazione semidefinita rendono il metodo applicabile a sistemi reali complessi, come veicoli aerei e satelliti, dove la sicurezza informatica e la sicurezza fisica sono strettamente interconnesse.

In sintesi, il paper stabilisce i limiti fondamentali del compromesso tra prestazioni e sicurezza contro l'osservazione e fornisce strumenti computazionali pratici per progettare controllori che operano in prossimità di questi limiti.