Safe Controller Synthesis Using Lyapunov-based Barriers for Linear Hybrid Systems with Simplex Architecture

Titolo: Sintesi di Controller Sicuri tramite Barriere Basate su Lyapunov per Sistemi Ibridi Lineari con Architettura Simplex

1. Il Problema

I moderni Sistemi Cyber-Fisici (CPS) autonomi spesso adottano un'architettura a due livelli (architettura Simplex):

• Un Controller Primario Ottimale (POC), basato su apprendimento automatico (AI) o ottimizzazione analitica, progettato per massimizzare le prestazioni su un modello nominale.
• Un Controller di Backup Sicuro (BSC), attivato solo quando il POC viene percepito come insicuro.

Le sfide principali identificate dagli autori sono:

1. Mancanza di Garanzie Temporali: I metodi esistenti per la progettazione del BSC spesso non considerano scadenze temporali (deadline) rigorose per il recupero di traiettorie potenzialmente insicure.
2. Regioni Operative Limitate: Le tecniche attuali tendono a garantire la sicurezza solo su regioni operative piccole, non massimizzando lo spazio degli stati sicuro.
3. Vincoli di Risorse: Non esiste un approccio che integri la sintesi del controller con la gestione adattiva della banda di elaborazione (schedulazione multi-rate) in ambienti con risorse limitate.
4. Complessità Computazionale: Le tecniche basate su funzioni di barriera (Barrier Functions - BF) e funzioni di Lyapunov (LF) per sistemi non lineari o ad alta dimensionalità spesso soffrono di esplosione dello spazio degli stati o richiedono soluzioni NP-hard (es. problemi di somma di quadrati - SOS).

L'obiettivo è sintetizzare un insieme di controller di backup che garantiscano: (i) sicurezza (invarianza forward), (ii) recupero tempestivo entro una scadenza definita, e (iii) minimo utilizzo delle risorse computazionali.

2. Metodologia Proposta

Gli autori propongono un framework di sintesi e attivazione online basato su Funzioni di Lyapunov Quadratiche (QLF) e Funzioni di Barriera di Sicurezza (SBF). Il sistema è modellato come un sistema ibrido lineare tempo-invariante (LTI) linearizzato attorno a un punto di equilibrio.

Il framework si articola in quattro fasi principali (illustrate nella Figura 2 del paper):

Fase 1: Derivazione del Tasso di Decadimento Minimo

Il tempo di recupero desiderato ($\delta_t$) viene convertito in un numero di iterazioni di campionamento ($\delta_k$) e successivamente in un tasso di decadimento minimo richiesto ($\alpha_{ref}$) per la funzione di Lyapunov. Questo tasso garantisce che qualsiasi stato iniziale nella regione sicura esterna alla regione preferita ($R_S \setminus R_P$) rientri nella regione preferita ($R_P$) entro il tempo limite.

Fase 2: Sintesi dei Vincoli (Recupero e Sicurezza)

Vengono formulate due condizioni tramite Disuguaglianze Matriciali Lineari (LMI):

• Recupero Tempestivo: Si impone che la QLF decada con un tasso $\alpha$ sufficiente a soddisfare la scadenza $\delta_k$. Questo viene trasformato in un problema di programmazione semidefinita (SDP) risolvibile efficientemente.
• Garanzia di Sicurezza: Si utilizza una funzione di barriera basata sulla QLF stessa. L'obiettivo è massimizzare la più grande regione ellissoidale invariante forward (SFIR - Safe Forward-Invariant Region) contenuta all'interno della regione operativa sicura ($R_S$). Questo assicura che le traiettorie non escano mai da $R_S$ durante il recupero.

Fase 3: Sintesi Multi-Rate e Logica di Commutazione

Per gestire le risorse limitate, il framework sintetizza multipli controller di backup con diversi periodi di campionamento ($h_i$).

• Vengono risolti problemi di ottimizzazione SDP per diversi periodi di campionamento, generando un set di guadagni di controller $K_S$.
• Viene proposta una Politica di Attivazione del Controller Dipendente dallo Stato (SCAP). La logica di commutazione seleziona il controller che massimizza il tasso di decadimento della QLF ($\alpha_i V_i(x)$) tra quelli il cui stato attuale rientra nella loro rispettiva SFIR. Questo garantisce stabilità e sicurezza anche durante il passaggio tra controller con diversi periodi di campionamento.

Fase 4: Consapevolezza delle Risorse (Resource-Awareness)

Per ottimizzare l'uso della banda di elaborazione, viene introdotto un Global Logarithmic Barrier Function (GLBF).

• Se il budget di utilizzo della CPU ($U_b$) viene superato, la SCAP valuta se è possibile commutare a un controller con un periodo di campionamento più lungo (frequenza più bassa) che garantisca comunque un decadimento sicuro (basato sul trend di decadimento del GLBF).
• Questo permette di ridurre la frequenza di esecuzione dei task di controllo quando lo stato del sistema è "più sicuro", liberando risorse per altri compiti critici.

3. Contributi Chiave

1. Primo lavoro di sintesi con recupero tempestivo e massimizzazione della regione sicura: È la prima proposta che garantisce la convergenza entro una scadenza specifica partendo dalla più grande regione invariante forward possibile, utilizzando risorse minime.
2. Approccio SDP invece di SOS/QP: A differenza delle tecniche basate su SOS (Somma di Quadrati) o QP (Programmazione Quadratica) che sono computazionalmente onerose o difficili da risolvere in tempo reale per sistemi complessi, l'uso di LMI e SDP rende la sintesi più veloce e scalabile per sistemi lineari/linearizzati.
3. Politica di Attivazione Adattiva (SCAP): Un algoritmo che gestisce dinamicamente la commutazione tra controller multi-rate, bilanciando il tasso di recupero e i vincoli di banda di elaborazione, prevenendo fenomeni di Zeno (commutazioni infinite).
4. Integrazione Lyapunov-Barriera: L'uso innovativo della stessa QLF come funzione di barriera per definire la regione sicura, semplificando la sintesi e garantendo la compatibilità tra stabilità e sicurezza.

4. Risultati Sperimentali

Il framework è stato validato su due casi di studio classici:

1. Dinamica Longitudinale di un Aereo (ALD):
   • Obiettivo: Controllo dell'angolo di beccheggio.
   • Risultati: Il sistema ha sintetizzato controller con periodi di campionamento da 20ms a 300ms. In simulazioni con budget di risorse variabili, la SCAP ha commutato dinamicamente tra controller ad alta frequenza (per recupero rapido) e bassa frequenza (per risparmiare risorse), riportando l'aereo nella regione sicura entro 2.5 secondi senza violare i vincoli di sicurezza.
2. Pendolo Invertito (IPD):
   • Obiettivo: Mantenimento della posizione verticale.
   • Risultati: Simile all'ALD, il sistema ha gestito deviazioni significative dalla regione preferita. La SCAP ha attivato sequenze di controller (es. da 160ms a 80ms) basandosi sulla sicurezza dello stato corrente e sul budget di risorse, garantendo il recupero entro la scadenza.

Performance Computazionali:

• Il tempo di sintesi SDP è stato di circa 0.43 secondi su un processore Intel Core i5, significativamente inferiore rispetto ai metodi QP o SOS (circa 0.85s o più), rendendo l'approccio adatto per l'implementazione su piattaforme embedded.

5. Significato e Impatto

Questo lavoro rappresenta un passo avanti significativo nella sicurezza dei sistemi cyber-fisici autonomi:

• Affidabilità Operativa: Fornisce garanzie formali non solo sulla stabilità, ma anche sulla tempestività del recupero da stati insicuri, un requisito critico per applicazioni reali (es. veicoli autonomi, droni).
• Efficienza delle Risorse: Introduce un paradigma in cui la sicurezza non è statica ma si adatta dinamicamente alle risorse computazionali disponibili, permettendo l'uso di controller "pesanti" solo quando necessario e riducendo il carico quando lo stato è stabile.
• Scalabilità: Offrendo una soluzione basata su LMI/SDP per sistemi linearizzati, rende possibile l'implementazione di architetture Simplex robuste su hardware con risorse limitate, superando le limitazioni delle tecniche simboliche tradizionali.

In sintesi, il paper propone un metodo pratico e teoricamente solido per progettare sistemi di controllo di backup che siano non solo sicuri, ma anche efficienti e capaci di garantire il ritorno alla normalità entro tempi predeterminati, adattandosi alle condizioni dinamiche delle risorse di calcolo.