Backup-Based Safety Filters: A Comparative Review of Backup CBF, Model Predictive Shielding, and gatekeeper

1. Problema e Contesto

Il lavoro affronta la sfida centrale di garantire la sicurezza nei sistemi autonomi con dinamiche non lineari, un requisito fondamentale per robotica e sistemi cyber-fisici.

• La sfida: I moderni moduli di pianificazione e controllo (come l'Apprendimento per Rinforzo - RL o la pianificazione basata su campionamento) spesso non forniscono garanzie formali di sicurezza.
• La soluzione esistente: L'uso di "filtri di sicurezza" che monitorano il comando nominale e lo modificano solo quando necessario per preservare la sicurezza. L'obiettivo è un intervento minimo: il controller nominale dovrebbe rimanere attivo finché la sua esecuzione futura è certificata come sicura.
• Il limite attuale: Le analisi di raggiungibilità sono rigorose ma computazionalmente proibitive per sistemi ad alta dimensionalità. Le Funzioni di Barriera di Controllo (CBF) offrono un'alternativa trattabile, ma la costruzione di CBF per sistemi non lineari con vincoli di ingresso è difficile.
• L'approccio "Backup": I filtri basati su backup (Backup CBF, MPS, gatekeeper) partono da una manovra di backup nota (una politica $\pi_b$) che garantisce il rientro in un insieme sicuro terminale $S_0$. La sicurezza è certificata dimostrando che, dallo stato corrente o da uno stato futuro previsto, il sistema può passare alla politica di backup, rimanere nell'insieme sicuro e raggiungere $S_0$. Tuttavia, questi metodi soffrono spesso di un'eccessiva conservatività.

2. Metodologia e Quadro Unificato

Gli autori propongono un quadro unificato per confrontare tre specifici filtri di sicurezza basati su backup:

1. Backup CBF (Backup Control Barrier Functions): Definisce un insieme sicuro implicito basato sull'insieme recuperabile dalla politica di backup. Risolve un problema di ottimizzazione (QP) online per trovare l'ingresso di controllo più vicino a quello nominale che soddisfi i vincoli di barriera derivati dal backup.
2. Model Predictive Shielding (MPS): Utilizza un aggiornamento digitale. Ad ogni istante di controllo, verifica se la traiettoria che segue la politica nominale per un intervallo fisso ($\Delta t$) e poi passa al backup rimane sicura. Se la verifica fallisce, attiva immediatamente il backup.
3. Gatekeeper: Utilizza la stessa logica di validità di MPS, ma tratta il tempo di commutazione ($T_S$) dalla politica nominale a quella di backup come una variabile decisionale da ottimizzare, piuttosto che fissarlo a priori.

Concetto Chiave: Insiemi di Inattività del Filtro
Il cuore dell'analisi è il confronto degli insiemi di inattività del filtro ($I_{sf}$), ovvero l'insieme degli stati in cui il filtro lascia inalterata la politica nominale. Un insieme più grande indica un intervento meno invasivo.

• Il paper identifica una limitazione strutturale comune chiamata "valutazione della sicurezza sul backup": la sicurezza è spesso valutata sulla fattibilità della manovra di backup immediata, piuttosto che sulla possibilità di continuare l'esecuzione sicura della politica nominale per un periodo più lungo.

3. Contributi Chiave

Il contributo principale è espositivo e comparativo, con risultati teorici e sperimentali:

• Quadro Unificato: Definizione di un'astrazione comune per i filtri di sicurezza e notazione coerente per confrontare Backup CBF, MPS e Gatekeeper.
• Relazioni Teoriche (Inclusioni):
  • MPS è un caso speciale di Gatekeeper: È dimostrato che $I_{MPS} \subseteq I_{GK}$. Gatekeeper accetta tutti gli stati accettati da MPS e, grazie alla ricerca sul tempo di commutazione, può accettare stati aggiuntivi che diventano recuperabili solo dopo una commutazione ritardata.
  • Relazione con Backup CBF: È dimostrato che l'interno relativo dell'insieme di inattività di Backup CBF è contenuto nell'insieme di inattività di Gatekeeper ($int_S(I_{BCBF}) \subseteq I_{GK}$).
• Mitigazione della Conservatività: Gatekeeper riduce la conservatività ottimizzando il tempo di commutazione. Invece di forzare un switch immediato se il backup è necessario tra $\Delta t$, Gatekeeper cerca il massimo tempo $T_S$ per cui la politica nominale può continuare prima di dover passare al backup.
• Analisi delle Limitazioni: Il paper evidenzia che la conservatività residua dipende dalla qualità della politica di backup e dalla griglia di ricerca temporale, non solo dall'algoritmo di filtro.

4. Risultati Sperimentali

I risultati sono stati validati su tre scenari simulati:

1. Doppio Integratore Piano:

   • Visualizzazione degli insiemi recuperabili.
   • Risultato: Gatekeeper mostra un'area di accettazione della politica nominale visibilmente più grande rispetto a Backup CBF e MPS, confermando teoricamente che $I_{MPS} \subseteq I_{GK}$.

2. Raggiungi-Evita con Ostacolo Dinamico:

   • Un robot deve raggiungere un obiettivo in un corridoio stretto con un ostacolo mobile.
   • Risultato: Backup CBF e MPS costringono il robot a ritirarsi ripetutamente in una "tasca di sicurezza" non appena l'ostacolo si avvicina, fallendo nel raggiungere l'obiettivo. Gatekeeper, invece, permette al robot di continuare la traiettoria nominale, ritardando il backup fino a quando è sicuro, permettendo di raggiungere l'obiettivo.
   • Metriche: Gatekeeper mantiene la politica nominale nell'87.5% dei passi (vs 55.3% per MPS e 28.8% per Backup CBF) e completa il compito con successo.

3. Sorpasso in Autostrada (Modello Dinamico Bici):

   • Scenario realistico con un veicolo a 8 stati e forze pneumatiche non lineari.
   • Risultato: Backup CBF e MPS attivano inutilmente una manovra di cambio corsia di backup perché valutano la sicurezza solo in modo miope rispetto alla manovra di backup. Gatekeeper certifica che la corsia attuale è sicura per un periodo più lungo, evitando l'intervento non necessario.
   • Metriche: Gatekeeper mantiene il controllo nominale al 100% dei casi, contro il 67.5% di MPS e il 60.8% di Backup CBF.
   • Efficienza: L'implementazione parallela di Gatekeeper riduce drasticamente il tempo di calcolo rispetto all'implementazione sequenziale originale, mantenendo le stesse prestazioni di sicurezza.

5. Significato e Conclusioni

Questo lavoro è una revisione tecnica fondamentale che chiarisce le connessioni teoriche tra i principali filtri di sicurezza basati su backup.

• Impatto Teorico: Dimostra che la conservatività nei filtri attuali deriva spesso dalla fissazione a priori del tempo di commutazione.
• Impatto Pratico: Introduce Gatekeeper come metodo superiore che, ottimizzando il tempo di commutazione, massimizza l'utilizzo della politica nominale (spesso più performante o efficiente) senza compromettere la sicurezza formale.
• Direzione Futura: Il paper sottolinea che, sebbene Gatekeeper migliori la permissività, la qualità finale del filtro dipende ancora intrinsecamente dalla bontà della politica di backup e dell'accuratezza del modello predittivo.

In sintesi, il paper fornisce una guida compatta per comprendere come passare da una valutazione di sicurezza "miope" basata sul backup immediato a una valutazione più intelligente che sfrutta la finestra temporale disponibile per mantenere il comportamento nominale desiderato.