Output Feedback Backup Control Barrier Functions: Safety Guarantees Under Input Bounds and State Estimation Error

1. Il Problema

La sicurezza dei sistemi autonomi è fondamentale per il loro dispiegamento nel mondo reale. Le Funzioni di Barriera di Controllo (CBF) sono uno strumento chiave per garantire l'invarianza in avanti di un insieme sicuro, ma la maggior parte delle ricerche esistenti assume che lo stato vero del sistema sia perfettamente noto in ogni istante.

In pratica, i sistemi autonomi operano basandosi su stime dello stato ottenute da sensori rumorosi (controllo in retroazione dell'uscita o output feedback). Quando lo stato stimato differisce da quello vero, l'applicazione diretta delle CBF può portare a violazioni di sicurezza. Inoltre, molti sistemi fisici hanno vincoli sugli input di controllo (es. limiti di coppia o velocità).

Il problema centrale affrontato in questo lavoro è: Come garantire la sicurezza di un sistema non lineare con vincoli sugli input, quando si dispone solo di una stima rumorosa dello stato e non dello stato vero?

2. Metodologia

Gli autori estendono il framework delle Backup Control Barrier Functions (bCBF), che utilizzano la previsione del flusso del sistema sotto un "controllore di backup" per gestire i vincoli sugli input, adattandolo al contesto dell'output feedback.

La metodologia si articola in tre fasi principali:

A. Definizione del Backup e Stima dell'Errore

• Viene definito un insieme di backup ($C_B$) e un controllore di backup ($k_b$) che, se applicati tramite retroazione dello stato vero, renderebbero $C_B$ invariante.
• Si assume l'esistenza di un stimatore di stato (es. filtro di Kalman, osservatore di Luenberger) che fornisce una stima $\hat{x}$ e garantisce che l'errore di stima $\|x - \hat{x}\|$ sia limitato da una funzione nota $\delta_x(t)$.
• Viene introdotta l'ipotesi che il controllore di backup sia robusto a disturbi additivi virtuali derivanti dall'errore di stima.

B. Due Metodi per Gestire l'Incertezza

Per garantire che lo stato vero rimanga sicuro basandosi solo sulla stima, gli autori propongono due tecniche per definire un "tubo" di incertezza attorno al flusso stimato:

1. Metodo 1: Sicurezza in Open-Loop (Open-loop Safety)

   • Si considera l'evoluzione futura dello stato stimato ($\hat{\phi}$) utilizzando il controllore di backup, ma senza il termine di correzione dell'osservatore (quindi come se fosse un sistema in open-loop).
   • Si calcola un limite superiore per la deviazione tra il flusso vero e il flusso stimato aperto ($\hat{\delta}$).
   • Si definisce un insieme sicuro espanso ($\hat{C}_{I}(t)$) basato sulla stima, "restringendo" i vincoli di sicurezza (usando termini di tightening $\epsilon_\tau, \epsilon_b$) per compensare la massima possibile deviazione dell'errore.
   • Se la stima rimane in questo insieme ristretto, si garantisce che lo stato vero rimanga nell'insieme sicuro originale.

2. Metodo 2: Sicurezza in Closed-Loop (Closed-loop Safety)

   • Questo metodo è più sofisticato e cerca di legare il flusso stimato in open-loop al flusso vero in closed-loop.
   • Si utilizzano limiti di flusso basati sulle dinamiche del sistema a ciclo chiuso e sulle proprietà di contrazione o Lipschitz del sistema.
   • Questo approccio può fornire limiti di incertezza più stretti (meno conservativi) per sistemi non lineari complessi rispetto al metodo open-loop.

C. Sintesi del Controllore (O-bCBF-QP)

Viene formulato un problema di ottimizzazione quadratica (QP) chiamato O-bCBF-QP.

• Obiettivo: Minimizzare la deviazione da un controllore primario desiderato ($k_p$).
• Vincoli: I vincoli di sicurezza sono imposti sul flusso stimato, ma modificati dai termini di tightening calcolati per garantire che, anche nel caso peggiore dell'errore di stima, lo stato vero non esca dall'insieme sicuro.
• Garanzia di Fattibilità: Viene dimostrato che, se la stima iniziale è nell'insieme sicuro espanso, esiste sempre un input di controllo fattibile (anche con vincoli) che mantiene la sicurezza. Se il QP diventa irrisolvibile, si può passare al controllore di backup $k_b$.

3. Contributi Chiave

1. Estensione delle bCBF all'Output Feedback: Prima applicazione delle Backup CBF che considera esplicitamente l'incertezza dello stato e i vincoli sugli input simultaneamente.
2. Garanzia di Fattibilità Ricorsiva: Dimostrazione matematica che esiste sempre un controllo sicuro fattibile per il sistema vero, anche quando si utilizza solo una stima rumorosa, purché la stima iniziale soddisfi certe condizioni.
3. Due Strategie di Stima del Flusso: Introduzione di metodi open-loop e closed-loop per calcolare i limiti di incertezza, offrendo flessibilità in base alla complessità del sistema e alle informazioni disponibili.
4. Analisi per Sistemi Lineari e Non Lineari: Fornitura di bound analitici per sistemi lineari (dove i limiti sono più stretti) e bound basati su costanti di Lipschitz per sistemi non lineari generali.

4. Risultati Sperimentali

Gli autori validano il metodo attraverso due casi di studio simulati:

• Caso 1: Doppio Integratore (Sistema Lineare)

  • Un sistema semplice con rumore di misura.
  • Risultato: Il controllore proposto mantiene lo stato vero all'interno dell'insieme sicuro, adattando dinamicamente i vincoli man mano che l'errore di stima diminuisce. Il controllo di backup non viene attivato, dimostrando l'efficienza del filtro di sicurezza.

• Caso 2: Rotazione di un Veicolo Spaziale (Sistema Non Lineare)

  • Un corpo rigido con equazioni di Eulero, vincoli di coppia e rumore giroscopico.
  • Confronto: Viene confrontato il metodo proposto con l'approccio "vanilla" (che ignora l'errore di stima).
  • Risultato: L'approccio standard fallisce e il veicolo esce dall'insieme sicuro a causa dell'errore di stima. Al contrario, il metodo O-bCBF proposto mantiene la sicurezza, dimostrando la sua robustezza in scenari critici con vincoli di input severi.

5. Significato e Impatto

Questo lavoro è significativo perché colma un divario critico tra la teoria del controllo sicuro (che spesso assume stati perfetti) e la pratica ingegneristica (dove gli stati sono sempre stimati).

• Sicurezza Reale: Permette di implementare controller sicuri su robot, veicoli autonomi e sistemi aerospaziali reali, dove i sensori sono imperfetti.
• Gestione dei Vincoli: Risolve il problema della fattibilità del controllo quando gli input sono limitati, un problema noto per essere difficile anche con stati perfetti, ma esponenzialmente più complesso con incertezza.
• Fondamento Teorico: Fornisce un framework rigoroso per la sintesi di controller sicuri basati su output, aprendo la strada a future applicazioni in scenari di sicurezza critica.

In sintesi, il paper introduce un metodo matematicamente garantito per "proteggere" i sistemi reali dai rischi derivanti dall'incertezza delle misurazioni e dai limiti fisici degli attuatori, utilizzando una combinazione di previsioni di flusso e barre di sicurezza dinamiche.