Backup-Based Safety Filters: A Comparative Review of Backup CBF, Model Predictive Shielding, and gatekeeper

Titel: Backup-gebaseerde veiligheidsfilters: Een vergelijkende review van Backup CBF, Model Predictive Shielding en gatekeeper

Auteurs: Taekyung Kim, Aswin D. Menon, Akshunn Trivedi, Dimitra Panagou (Universiteit van Michigan)

1. Probleemstelling

Het garanderen van veiligheid in autonome systemen met niet-lineaire dynamica blijft een centrale uitdaging. Moderne plannings- en besturingsmodules (zoals Reinforcement Learning en sampling-based motion planning) bieden vaak geen formele veiligheidsgaranties. Een veelgebruikte oplossing is het plaatsen van een veiligheidsfilter tussen de nominale controller (die de taak uitvoert) en het systeem. Dit filter moet ingrijpen wanneer nodig om veiligheid te waarborgen, maar idealiter zo minimaal mogelijk, zodat de nominale controller zo lang mogelijk actief blijft.

Bestaande methoden, zoals Backup Control Barrier Functions (Backup CBF), Model Predictive Shielding (MPS) en gatekeeper, gebruiken allemaal een "backup-beleid" (een bekende, veilige noodmanoeuvre) om veiligheid te certificeren. Echter:

• Er ontbreekt een unified framework om deze methoden direct te vergelijken.
• Er is een fundamenteel beperking in deze methoden: veiligheid wordt vaak geëvalueerd op basis van de haalbaarheid van de backup-manoeuvre zelf, in plaats van of de nominale strategie nog veilig door kan gaan. Dit leidt tot conservatisme (onnodig ingrijpen).

2. Methodologie

De auteurs presenteren een unificerend vergelijkingskader dat de drie methoden beschrijft met dezelfde notatie en abstractie.

• Gemeenschappelijke Abstractie: Alle methoden worden gedefinieerd als een filter dat een nominale policy ($\pi_{nom}$) en een backup policy ($\pi_b$) gebruikt. De kern van de vergelijking ligt in de filter-inactieve set ($I_{sf}$): de verzameling toestanden waarin het filter de nominale input ongewijzigd laat. Een grotere inactieve set betekent minder onnodige ingrepen.

• De drie methoden:

  1. Backup CBF: Definieert een impliciete veilige set als de "herstelbare set" (recoverable set) die door het backup-beleid kan worden bereikt. Het lost een kwadratisch programma (QP) op om de input zo dicht mogelijk bij de nominale input te houden, terwijl de staat binnen deze set blijft.
  2. Model Predictive Shielding (MPS): Controleert op discrete tijdstippen of een traject dat eerst de nominale policy volgt gedurende een vaste tijd ($\Delta t$) en daarna schakelt naar de backup policy, veilig is. Als dit niet geldt, wordt de backup policy direct toegepast.
  3. Gatekeeper: Gebruikt dezelfde validatiecheck als MPS, maar behandelt de schakeltijd ($T_S$) naar de backup als een beslissingsvariabele. In plaats van alleen te kijken naar een vaste $\Delta t$, zoekt het naar de langste duur waarin de nominale policy veilig kan blijven voordat een schakeling naar de backup noodzakelijk is.

• Kerninzicht: De auteurs identificeren het probleem van "veiligheidsevaluatie op backup". Veiligheid wordt vaak beoordeeld aan de hand van de directe haalbaarheid van de backup, wat leidt tot conservatisme als de nominale policy nog even veilig zou kunnen doorgaan voordat een backup nodig is. Gatekeeper probeert dit op te lossen door de schakeltijd te optimaliseren.

3. Belangrijkste Bijdragen

1. Unificerend Kader: De auteurs tonen aan dat MPS een speciaal geval is van gatekeeper (waarbij de zoekruimte voor de schakeltijd beperkt is tot één punt: $\Delta t$).
2. Theoretische Inclusies:
   • Bewezen dat de inactieve set van MPS een deelverzameling is van die van gatekeeper ($I_{MPS} \subseteq I_{GK}$).
   • Bewezen dat het relatieve inwendige van de Backup CBF inactieve set een deelverzameling is van de gatekeeper inactieve set ($int_S(I_{BCBF}) \subseteq I_{GK}$).
   • Dit betekent dat gatekeeper theoretisch minder ingrijpend is dan de andere twee methoden, terwijl het dezelfde veiligheidsgaranties behoudt.
3. Identificatie van Conservatisme: Het artikel benadrukt dat de beperking van backup-gebaseerde filters vaak ligt in het vaststellen van de schakeltijd, niet in het gebruik van een backup-beleid zelf.

4. Resultaten

De auteurs valideren hun theorie via drie simulatiescenario's:

• Planar Double Integrator (2D):

  • Visualisatie van de veilige sets toont dat gatekeeper een aanzienlijk groter gebied accepteert voor de nominale controller dan Backup CBF en MPS.
  • MPS en Backup CBF weigeren toestanden waar de nominale controller nog even veilig zou kunnen doorgaan voordat een backup nodig is. Gatekeeper herkent deze toestanden door een latere schakeltijd te kiezen.

• Reach-Avoid met Dynamisch Obstakel:

  • Een robot moet een gang doorkruisen met een bewegend obstakel.
  • Backup CBF en MPS: Grijpen te vroeg in en trekken zich terug in een "veiligheidszakje" (safety pocket), waardoor ze de missie (het doel bereiken) niet voltooien.
  • Gatekeeper: Blijft de nominale controller gebruiken zolang er een geldige schakeltijd bestaat. De robot wacht af, gaat voorbij het obstakel en bereikt het doel.
  • Data: Gatekeeper behoudt de nominale controller in 87,5% van de stappen (vs. 55,3% voor MPS en 28,8% voor Backup CBF) en voltooit de taak succesvol.

• Highway Overtake (Autonoom Rijden):

  • Een voertuig met een dynamisch fietsmodel moet een auto inhalen.
  • Backup CBF en MPS: Schakelen onnodig naar een backup-baan omdat hun veiligheidscertificaat te kortzichtig is en direct gekoppeld is aan de backup-manoeuvre.
  • Gatekeeper: Blijft in de huidige rijbaan rijden omdat het certificeert dat een langere nominale segment veilig is.
  • Data: Gatekeeper behoudt 100% nominale tracking, terwijl MPS en Backup CBF respectievelijk 67,5% en 60,8% behalen.

5. Betekenis en Conclusie

Dit artikel biedt een cruciale theoretische en praktische inzichten voor de robotica en besturingstechniek:

• Het toont aan dat gatekeeper een superieure prestatie levert door de conservatisme van bestaande backup-methoden te verminderen zonder de veiligheid te compromitteren.
• Het introduceert de schakeltijd als een vrijheidsgraad om de "nominale doorlooptijd" te maximaliseren.
• Het artikel dient als een compacte tutorial die de theoretische connecties tussen deze methoden verduidelijkt, wat essentieel is voor het kiezen van de juiste veiligheidsfilter voor complexe, niet-lineaire systemen.

De studie concludeert dat het minimaliseren van ingrepen (door de nominale controller langer actief te houden) mogelijk is door de timing van de backup-manoeuvre te optimaliseren in plaats van deze direct te forceren bij de eerste tekenen van onzekerheid.