Riepilogo Tecnico: Sicurezza Distribuzionalmente Robusta sotto Incertezze Arbitrarie

Enunciato del Problema

Garantire la sicurezza per i sistemi robotici autonomi è complicato da dinamiche non lineari, limiti di attuazione e incertezze derivanti da discrepanze del modello, errori di percezione e disturbi esogeni. Sebbene i filtri di sicurezza (o "guardiani") offrano una soluzione modulare passando da una politica nominale ad alte prestazioni a una politica di backup certificata quando la sicurezza è a rischio, gli approcci esistenti presentano limitazioni significative in presenza di ambiguità distribuzionale.

I metodi attuali si basano tipicamente su:

1. Filtri di Sicurezza Robusti: Assumendo limiti deterministici nel caso peggiore, che possono essere eccessivamente conservativi.
2. Filtri di Sicurezza Stocastici: Assumendo distribuzioni di disturbo note e specifiche (ad esempio, Gaussiane), che falliscono quando la distribuzione reale è sconosciuta, parzialmente osservata o spostata (spostamento distribuzionale).
3. Pianificazione Distribuzionalmente Robusta (DR): Sebbene promettente, l'integrazione diretta di vincoli DR nei filtri di sicurezza per sistemi non lineari generali è computazionalmente proibitiva. Spesso richiede la risoluzione di problemi di ottimizzazione ad alta dimensionalità sulle distribuzioni nel caso peggiore all'interno di insiemi di ambiguità, rendendo di fatto impossibile l'implementazione in tempo reale.

La sfida centrale affrontata in questo lavoro è come fornire garanzie di sicurezza probabilistiche per sistemi non lineari generali sotto strutture di incertezza arbitrarie (non additive, non affini) dove la distribuzione del rumore reale è sconosciuta, senza incorrere nel costo computazionale dell'ottimizzazione di traiettorie DR online.

Metodologia: DRS-gatekeeper

Gli autori propongono il Gatekeeper Stocastico Distribuzionalmente Robusto (DRS-gatekeeper), un filtro di sicurezza in tempo reale che estende il framework di filtraggio della sicurezza basato su backup. Il metodo combina un insieme di ambiguità di Wasserstein con un'analisi statistica su campioni finiti per certificare la sicurezza.

Architettura Principale

Il sistema opera commutando tra una politica nominale ad alte prestazioni ($\pi_N$) e una politica di backup pre-verificata ($\pi_B$). La politica di backup è progettata per rendere un insieme sicuro specifico $\mathcal{C}$ invariante in avanti con alta probabilità (un insieme controllato invariante $\alpha$-probabilistico). L'obiettivo è rimanere sulla politica nominale il più a lungo possibile, assicurando che il passaggio alla politica di backup avvenga prima che la sicurezza venga compromessa.

Componenti Tecnici Chiave

1. Vincolo di Probabilità Distribuzionalmente Robusto (DRCC):
   Invece di ottimizzare contro una singola distribuzione nominale $\hat{P}_t$, il metodo garantisce la sicurezza contro un insieme di ambiguità $\mathcal{B}_\beta(\hat{P}_t)$ definito dalla distanza di Wasserstein-$\infty$ con raggio $\beta$. Questo insieme contiene tutte le distribuzioni coerenti con i dati disponibili. L'obiettivo è soddisfare:
   $$\inf_{Q \in \mathcal{B}_\beta(\hat{P}_t)} \Pr_{w \sim Q} [\text{Sicurezza}] \geq 1 - \varepsilon$$

2. Riduzione della Dimensionalità tramite Ricerca del Tempo di Commutazione:
   Piuttosto che risolvere un problema di ottimizzazione DR ad alta dimensionalità online, gli autori sfruttano la struttura del filtraggio basato su backup. Il problema di certificazione della sicurezza è ridotto a una ricerca monodimensionale sul tempo di commutazione $s_t$ tra la politica nominale e quella di backup.

3. Certificazione Basata su Campionamento con Garanzie su Campioni Finiti:
   Il metodo utilizza un approccio ispirato a Monte Carlo:

   • Rollout Paralleli: Per ogni tempo di commutazione candidato $m$, l'algoritmo genera $N$ campioni indipendenti di traiettorie di rumore dalla distribuzione nominale $\hat{P}_t$.
   • Soglia Inflata di Wasserstein: Per tenere conto dell'insieme di ambiguità senza campionare direttamente da esso, l'algoritmo calcola un margine di sicurezza $H$ per ogni rollout. Quindi conta i "fallimenti" non solo quando $H < 0$, ma quando $H < L_H \beta$, dove $L_H$ è la costante di Lipschitz della funzione di sicurezza e $\beta$ è il raggio di ambiguità. Questo infla efficacemente l'insieme dei fallimenti per coprire la distribuzione nel caso peggiore all'interno dell'insieme di ambiguità (Lemma 1).
   • Limiti Statistici: Il conteggio dei fallimenti osservati viene utilizzato per calcolare un limite superiore sulla probabilità reale di fallimento utilizzando la distribuzione binomiale e un livello di confidenza specificato dall'utente $1-\delta$.
   • Selezione: L'algoritmo seleziona l'ultimo tempo di commutazione $s_t$ tale che il limite superiore statistico sulla probabilità di fallimento rimanga al di sotto della soglia $(\varepsilon - \alpha)/(1 - \alpha)$.

Garanzie Teoriche

Il documento fornisce una dimostrazione formale (Teorema 1) che, se le ipotesi riguardanti la continuità di Lipschitz della funzione di sicurezza e l'esistenza di una politica di backup valida sono soddisfatte, il DRS-gatekeeper soddisfa il DRCC con probabilità almeno $1-\delta$. Questa garanzia è indipendente dalla dimensionalità della traiettoria o dal numero di campioni $N$, sebbene $N$ influisca sulla conservatività del filtro.

Contributi Chiave

1. Algoritmo DRS-gatekeeper: Introduzione di un filtro di sicurezza in tempo reale per sistemi non lineari con strutture di disturbo arbitrarie e ambiguità distribuzionale.
2. Certificato su Campioni Finiti: Derivazione di un certificato di sicurezza probabilistico sotto un insieme di ambiguità di Wasserstein calcolando un limite superiore sulla probabilità di fallimento nel caso peggiore con un livello di confidenza specificato.
3. Efficienza Computazionale: Riformulazione del problema di sicurezza DR infinito-dimensionale in una ricerca monodimensionale, abilitando l'implementazione in tempo reale tramite campionamento parallelo.
4. Validazione Empirica: Dimostrazione del metodo attraverso tre domini distinti di crescente complessità: un veicolo Dubins, un'auto da corsa Formula 1 e un caccia F-16.

Risultati Sperimentali

Gli autori hanno validato il DRS-gatekeeper attraverso simulazioni confrontandolo con metodi di base (inclusi Funzioni di Barriera di Controllo Distribuzionalmente Robuste, DR-CBF, e Controllo Predittivo Modello con Integrale di Percorso, MPPI).

• Veicolo Dubins: Rispetto al DR-CBF, il DRS-gatekeeper ha raggiunto tassi di sicurezza significativamente più alti (fino al 100% contro il 15-75% a seconda dei parametri) attraverso varie probabilità di fallimento ($\varepsilon$) e raggi di ambiguità ($\beta$). Sebbene i tempi di raggiungimento dell'obiettivo fossero leggermente superiori in alcuni casi, il metodo ha offerto un compromesso sicurezza-prestazioni più affidabile.
• Auto da Corsa Formula 1: In uno scenario ad alta dimensionalità (7 stati) con incertezza empirica complessa e non Gaussiana:
  • Sotto rumore Gaussiano, il DRS-gatekeeper ha mantenuto il 96% di sicurezza rispetto al 92% dell'MPPI.
  • Sotto rumore empirico (simulando uno spostamento distribuzionale), la sicurezza dell'MPPI è scesa al 76%, mentre il DRS-gatekeeper ha mantenuto il 94% di sicurezza.
  • Il metodo ha raggiunto questi risultati con un intervento di backup minimo (<1,5%) e tempi di calcolo (~21 ms) adatti al controllo in tempo reale.
• Caccia F-16: In uno scenario a 12 stati e 4 ingressi, volando attraverso una gola stretta con turbolenza e residui del modello:
  • Un metodo di base di tracciamento di traiettoria ottimale ha raggiunto solo il 40% di sicurezza (88% considerando l'orizzonte completo, ancora al di sotto dell'obiettivo del 95%).
  • Il DRS-gatekeeper ha migliorato il tasso di sicurezza all'88% (con un obiettivo del 95% per iterazione, si nota l'effetto cumulativo) con un uso ridotto del backup (13,9%) e un sovraccarico computazionale minimo (12,2 ms).
  • Il metodo ha gestito con successo l'alto grado relativo e i vincoli sugli ingressi che rendevano il DR-CBF inapplicabile per questo sistema.

Significato e Affermazioni

Il documento afferma che il DRS-gatekeeper colma una lacuna critica nella sicurezza autonoma: la capacità di gestire strutture di incertezza arbitrarie e spostamenti distribuzionali senza l'onere computazionale dell'ottimizzazione DR online. Sfruttando l'architettura basata su backup e la robustezza basata su Wasserstein, il metodo fornisce garanzie rigorose di sicurezza probabilistica per sistemi non lineari complessi e ad alta dimensionalità dove i filtri robusti o stocastici tradizionali falliscono o sono troppo conservativi. Gli autori sottolineano che il loro approccio è particolarmente significativo per sistemi in cui la distribuzione del rumore reale è sconosciuta o non stazionaria, come nelle corse ad alta velocità o nelle manovre aeree in condizioni di turbolenza.