Tunable Input-to-State Safety with Input Constraints

Dit artikel presenteert een raamwerk dat tunable input-to-state safety (TISSf) integreert met algemene ingangsbeperkingen door een meetkundige karakterisering te gebruiken die een voorschrijvende ondergrens voor de afstemfunctie biedt, waardoor robuuste veiligheid en recursieve haalbaarheid van QP-gebaseerde veiligheidsfilters worden gegarandeerd.

De kern

Stel je voor dat je een zelfrijdende auto bestuurt die een onzichtbare "veiligheidskracht" heeft. Deze kracht zorgt ervoor dat de auto nooit tegen een obstakel aanrijdt, zelfs niet als de weg glad is of als er een sterke wind waait (dit noemen wetenschappers perturbaties of verstoringen).

In de wereld van de robotica heet dit systeem TISSf. Het is slim omdat je de "veiligheidskracht" kunt afstellen. Als je ver weg bent van een obstakel, kun je de auto wat vrijer laten bewegen (minder conservatief). Als je dichtbij komt, wordt de kracht sterker en wordt de auto voorzichtig.

Het Probleem: De Onzichtbare Muur
Maar er zit een addertje onder het gras. In de oude versies van dit systeem werd de "veiligheidskracht" zo afgesteld dat het theoretisch veilig was, maar er werd geen rekening gehouden met de fysieke grenzen van de motor.
Stel je voor dat je een auto hebt die maximaal 100 km/u kan rijden. Als het veiligheids-systeem vraagt om plotseling 200 km/u te rijden om een ongeluk te voorkomen, kan de motor dat niet. De auto "breekt" dan de regels van de motor, en het hele systeem faalt.

De auteurs van dit papier zeggen: "Hoe kunnen we de veiligheidsinstellingen zo afstemmen dat de auto nooit iets vraagt dat de motor fysiek niet kan?"

De Oplossing: Een Slimme Regelaar
De auteurs hebben een nieuwe manier bedacht om deze veiligheidsinstellingen (de "tuning") te ontwerpen. In plaats van achteraf te kijken of het werkt ("hopelijk lukt het wel"), bouwen ze de regels zo dat het altijd werkt.

Hier is hoe ze dat doen, met een paar creatieve vergelijkingen:

1. De Veiligheidszone als een Half-Plane

Stel je voor dat de ruimte waar de auto mag rijden een grote kamer is. De "veiligheidskracht" is een onzichtbare muur die de auto van de gevaarlijke kant van de kamer scheidt.

• De oude methode: Je schuift die muur heen en weer om de auto veilig te houden, maar soms duw je de muur zo ver op dat de auto tegen de fysieke muur van de kamer (de motorlimieten) aanloopt. Dan zit je vast.
• De nieuwe methode: De auteurs gebruiken wiskunde (noem het een "meetkundige kompas") om precies te berekenen hoe ver je die onzichtbare muur mag schuiven, zodat hij nooit de fysieke muur raakt. Ze noemen dit een "ondergrens": je mag de instelling nooit lager zetten dan een bepaald punt, anders botst het.

2. De "Covering" Strategie (Het Net)

De auto rijdt door een heel groot gebied. Je kunt niet voor elk mogelijk punt op de weg apart controleren of de instellingen werken. Dat zou te veel tijd kosten.
De auteurs gebruiken een slimme truc: ze gooien een net over het hele gebied.

• Ze kiezen een paar honderd steekproefpunten (zoals netten die je in een visvijver gooit).
• Ze zorgen ervoor dat elk punt in het gebied dicht bij een van deze netpunten ligt.
• Als ze bewijzen dat de instellingen op de netpunten werken, en ze weten hoe snel de situatie kan veranderen (de "Lipschitz-continuïteit", wat je kunt zien als de maximale snelheid van verandering), dan weten ze zeker dat het overal werkt.
• Dit is als het controleren van de temperatuur op een paar plekken in een kamer om te weten of de hele kamer warm genoeg is.

3. De Proefkeuken (Offline Berekening)

Voordat de auto überhaupt start, doen de auteurs een "proefkeuken" berekening (een Lineair Programma of LP).

• Ze zoeken de perfecte combinatie van instellingen (hoe sterk de kracht moet zijn en hoe snel hij moet toenemen als je dichterbij komt).
• Ze zoeken de combinatie die de auto de meeste vrijheid geeft, maar die garandeert dat de motorlimieten nooit worden overschreden.
• Zodra deze instellingen zijn gevonden, zijn ze "in de steen gehouwen". De auto hoeft ze niet meer te berekenen tijdens het rijden; hij gebruikt ze gewoon.

Het Resultaat: De Connected Cruise Control (CCC)

In hun test laten ze zien hoe dit werkt bij een Connected Cruise Control (een auto die met de auto ervoor meedraait).

• Situatie: De auto voor remt plotseling hard.
• Oude methode: De auto probeert te hard te remmen om veilig te blijven, maar de remmen zijn niet sterk genoeg (of de motor kan niet zo hard vertragen). Het systeem wordt onstabiel of onveilig.
• Nieuwe methode: De auto weet van tevoren wat de remmen aankunnen. Hij remt zo snel en efficiënt mogelijk, maar binnen de fysieke grenzen. Hij houdt een veilige afstand, maar rijdt niet onnodig traag (wat de oude, te veilige methodes deden).

Samengevat in één zin:
De auteurs hebben een slimme manier bedacht om de "veiligheidsinstellingen" van een robot of auto zo te ontwerpen dat ze altijd binnen de fysieke mogelijkheden van de machine blijven, zodat de robot veilig én efficiënt kan rijden zonder vast te lopen in zijn eigen beperkingen.

Technische samenvatting

Hier is een gedetailleerde technische samenvatting van het artikel "Tunable Input-to-State Safety with Input Constraints" in het Nederlands.

Titel: Tunable Input-to-State Safety met Invoerbeperkingen

1. Probleemstelling

In veiligheidskritieke controlesystemen worden Control Barrier Functions (CBF's) vaak gebruikt om garanties te geven voor het behoud van een veilige toestand. Om robuustheid te bieden tegen verstoringen (zoals modelonzekerheden), is het kader van Input-to-State Safety (ISSf) ontwikkeld. Een verdere generalisatie hiervan is Tunable Input-to-State Safety (TISSf), die een afstemfunctie (tuning function) introduceert om de conservatisme van de veiligheidsgarantie dynamisch te regelen.

Het fundamentele probleem dat dit artikel adresseert, is dat de bestaande TISSf-methoden de afstemfuncties vaak ontwerpen zonder expliciete rekening te houden met invoerbeperkingen (actuatorlimieten). In de praktijk zijn invoerbeperkingen (bijv. maximale versnelling of stuurhoek) cruciaal. Als de TISSf-conditie te streng wordt (door een ongeschikte afstemfunctie), kan de vereiste controle-invoer buiten de toegestane set vallen, wat leidt tot een lege doorsnede tussen de veilige invoerset en de fysieke beperkingen. Dit resulteert in een verlies van haalbaarheid (infeasibility) en kan veiligheidsgaranties ondermijnen. Bestaande methoden vertrouwen vaak op trial-and-error of achteraf verzadiging, wat geen theoretische garantie biedt voor compatibiliteit.

2. Methodologie

De auteurs stellen een constructief raamwerk voor om TISSf en invoerbeperkingen gelijktijdig te garanderen door de afstemfunctie a priori te ontwerpen.

• Geometrische Karakterisering: De TISSf-conditie wordt geïnterpreteerd als een halfruimte in de invoerruimte. De compatibiliteit met een compacte, convexe invoerconstraint $U$ wordt vertaald naar de eis dat deze halfruimte de set $U$ moet snijden.
• Ondersteunende Functies (Support Functions): Met behulp van de theorie van ondersteunende functies ($\sigma_U$) leiden de auteurs een exacte, verifieerbare ondergrens af voor de afstemfunctie $\varepsilon(h(x))$. De voorwaarde voor compatibiliteit luidt:
  $$\varepsilon(h(x)) \geq \frac{\|d(x)\|_2^2}{c(x) + \sigma_U(d(x))}$$
  waarbij $c(x)$ en $d(x)$ afgeleiden van de barrier-functie zijn. Dit transformeert het probleem van "controleer compatibiliteit achteraf" naar "ontwerp de afstemfunctie binnen deze ondergrens".
• Parametrisatie en Offline Synthese:
  • De auteurs parametriseren de afstemfunctie als een exponentiële functie: $\varepsilon(h(x)) = \epsilon_0 e^{\lambda h(x)}$.
  • Door de logaritmische transformatie wordt de compatibiliteitsvoorwaarde een lineaire ongelijkheid in de parameters $(\ln \epsilon_0, \lambda)$.
  • Om de oneindige verzameling van toestanden in de veilige set $C$ te behandelen, gebruiken ze een $\kappa$-overdekking (covering) strategie. Ze selecteren een eindige steekproef van punten in $C$ en passen Lipschitz-continuïteitsgrenzen toe om de garantie uit te breiden naar de hele set.
  • Dit leidt tot een Lineair Program (LP) dat offline wordt opgelost om de optimale parameters $(\epsilon_0^*, \lambda^*)$ te vinden die compatibiliteit garanderen voor de gehele veilige set.
• Online Controle: De uiteindelijke controle-invoer wordt berekend via een Quadratisch Program (QP) dat de nominale prestaties minimaliseert onder de TISSf-beperking (met de gevonden parameters) en de invoerconstraints.

3. Belangrijkste Bijdragen

1. Constructieve Compatibiliteitskarakterisering: Het artikel introduceert een methode om de set van toelaatbare afstemfuncties te karakteriseren die compatibel zijn met algemene compacte invoerconstraints, gebruikmakend van ondersteunende functies.
2. Expliciete Ontwerpcriteria: Er worden afgeleide voorwaarden voor veelvoorkomende constraint-types (norm-gebonden, polyhedraal en box-constraints) gepresenteerd, wat leidt tot direct controleerbare ontwerpcondities.
3. Offline Synthese met LP: Een tractabele methode wordt ontwikkeld om de parameters van de afstemfunctie offline te selecteren via een LP, gebaseerd op steekproefnemen en overdekking. Dit garandeert recursieve haalbaarheid van het online QP.
4. Theoretische Garantie: In tegenstelling tot eerdere benaderingen, garandeert deze methode dat de TISSf-eigenschap en de invoerconstraints gelijktijdig worden voldaan door ontwerp, niet door toeval of verzadiging.

4. Resultaten

De methode is gevalideerd via een simulatie van Connected Cruise Control (CCC):

• Scenario: Een voertuig volgt een leidende auto die remt, met externe verstoringen en strikte versnellingsbeperkingen ($u \in [-6, 0.8] \, m/s^2$).
• Vergelijking: De voorgestelde methode (LP-QP) werd vergeleken met:
  • TISSf (Baseline): Handmatig afgestemd, wat leidde tot overtreding van de invoerlimieten.
  • TISSf (Sat): Gebruik van verzadiging, wat resulteerde in trage reacties en conservatisme.
  • TISSf (Trial): Trial-and-error afstemming, wat minder conservatief was dan de baseline maar nog steeds geen garantie bood.
• Uitkomst: De voorgestelde LP-QP-methode behaalde de beste prestaties:
  • Het hield de veiligheidsafstand (headway) zo klein mogelijk terwijl de veiligheid werd gewaarborgd.
  • Het volgde de gewenste snelheid sneller dan de verzadigde variant.
  • Het garandeerde dat de controle-invoer nooit de fysieke limieten overschreed, terwijl de andere methoden tijdelijk de limieten overschreden of onnodig conservatief waren.

5. Betekenis

Dit werk sluit een kritieke kloof tussen robuuste veiligheidscontrole en praktische implementatie. Het toont aan dat het mogelijk is om Tunable Input-to-State Safety toe te passen zonder te compromitteren op de fysieke beperkingen van de actuatoren. Door de afstemfunctie systematisch te ontwerpen via een lineair programma, biedt het een reproduceerbaar en wiskundig onderbouwd kader voor de implementatie van veilige controlesystemen in de echte wereld, waar actuatorlimieten en onzekerheden altijd aanwezig zijn. Dit is een belangrijke stap voor de toepassing van CBF's in complexe systemen zoals autonoom rijden en robotica.