⚡ electrical engineering

Output Feedback Backup Control Barrier Functions: Safety Guarantees Under Input Bounds and State Estimation Error

Dit artikel introduceert Output Feedback Backup Control Barrier Functions (O-bCBF), een methode die onzekerheidsomhulsels rond geschatte toestanden gebruikt om veiligheidsgaranties te bieden voor systemen met beperkte besturing en onnauwkeurige toestandsmetingen.

Oorspronkelijke auteurs: David E. J. van Wijk, Tamas G. Molnar, Samuel Coogan, Manoranjan Majji, Aaron D. Ames, Joel W. Burdick

Gepubliceerd 2026-04-23

📖 5 min leestijd🧠 Diepgaand

CC BY 4.0

Oorspronkelijke auteurs: David E. J. van Wijk, Tamas G. Molnar, Samuel Coogan, Manoranjan Majji, Aaron D. Ames, Joel W. Burdick

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

De Kern: Veiligheid voor een auto die niet precies weet waar hij is

Stel je voor dat je een zelfrijdende auto bestuurt. De auto moet veilig blijven binnen een bepaald gebied (bijvoorbeeld niet van de weg rijden of niet tegen een boom aanrijden). Dit noemen we veiligheid.

In de ideale wereld zou de auto perfect weten waar hij is. Maar in het echte leven is dat niet zo. De auto kijkt door een raam (camera's, sensoren) en ziet de wereld, maar die beelden zijn wazig of er zit ruis op. De auto heeft dus alleen een schatting van zijn positie, niet de exacte waarheid.

Deze paper lost een groot probleem op: Hoe zorg je dat de auto veilig blijft, zelfs als hij niet precies weet waar hij is, en als hij ook nog eens beperkte kracht heeft (bijvoorbeeld de motor kan niet oneindig hard remmen)?

De Probleemstelling: De "Blinde" Gok

De Schatting: De auto denkt: "Ik ben hier." Maar in werkelijkheid is hij misschien een paar meter verderop.
De Beperking: De auto kan niet zomaar alles doen. Hij heeft een maximum snelheid en remkracht (dit noemen ze input bounds).
Het Gevaar: Als de auto alleen op zijn schatting vertrouwt, kan hij denken: "Ik kan nog net stoppen," terwijl hij in werkelijkheid al te hard rijdt en tegen de boom aanrijdt.

De Oplossing: De "Backup" en de "Veiligheidsbubbel"

De auteurs gebruiken een slimme techniek die ze Backup Control Barrier Functions noemen. Laten we dit vergelijken met een parachute en een veiligheidsbubbel.

1. De Backup (De Parachute)

Stel je voor dat je een parachute hebt die je altijd kunt openen als het misgaat. In de auto-zit dit als een "noodplan".

Er is een Backup Controller: een heel simpel, veilig programma dat de auto altijd kan laten remmen of stoppen, zolang hij maar binnen een klein, veilig gebiedje zit.
De auto weet: "Als ik in dat kleine gebiedje kom, kan ik altijd veilig stoppen, zelfs als ik niet perfect weet waar ik ben."

2. De Veiligheidsbubbel (De Uncertainty Envelope)

Dit is het nieuwe, slimme deel van deze paper. Omdat de auto niet precies weet waar hij is, kan hij niet zeggen: "Ik ben op punt X." Hij moet zeggen: "Ik ben ergens in dit gebiedje rondom punt X."

De Analogie: Stel je voor dat de auto een gloeiebol (een wazige bol) om zich heen heeft. De auto zit in het midden, maar de echte auto kan overal binnen die bol zitten.
De paper zegt: "We gaan niet kijken of de schattings-punt veilig is. We kijken of de hele gloeiebol veilig is."
Als de hele gloeiebol veilig is (dus zelfs het verste puntje in de bol niet tegen de boom rijdt), dan is de echte auto ook veilig.

Hoe werkt het precies? (De Twee Methoden)

De auteurs stellen twee manieren voor om deze "gloeiebol" te berekenen:

Methode 1: De Open-Loop Methode (De "Gok" zonder bijsturing)

De auto doet alsof hij zijn schatting niet meer gaat corrigeren. Hij rekent uit: "Als ik nu zo blijf rijden, waar zou ik dan over 5 seconden zijn, als ik mijn schatting niet bijstuur?"
Vervolgens tekent hij een buis (tube) om die voorspelling. Deze buis wordt steeds breder naarmate de tijd vordert, omdat de onzekerheid groeit.
De regel: Als deze hele buis veilig blijft en eindigt in het veilige "Backup-gebiedje", dan mag de auto doorgaan.
Vergelijking: Het is alsof je een bal gooit en een grote, brede trechter tekent die de bal moet opvangen. Als de trekker veilig is, is de bal ook veilig.

Methode 2: De Closed-Loop Methode (De "Realistische" Gok)

Hierbij houdt de auto rekening met het feit dat hij zijn schatting wel gaat bijsturen (de sensoren werken nog steeds).
Dit is lastiger te berekenen, maar geeft vaak een smaller, efficiënter veiligheidsgebied.
Vergelijking: Het is alsof je niet alleen de bal gooit, maar ook meekijkt hoe de wind (de sensoren) de bal bijstuurt, en je tekent een buis die rekening houdt met die bijsturing.

Waarom is dit zo belangrijk?

In het verleden hadden wetenschappers twee keuzes:

Te voorzichtig zijn: Ze maakten de veiligheidsregels zo streng dat de auto nauwelijks iets kon doen (hij bleef stilstaan uit angst).
Te optimistisch zijn: Ze deden alsof de auto alles perfect zag. Dan kon de auto snel rijden, maar bij een kleine meetfout botste hij.

Deze paper biedt een derde optie:
Het biedt een wiskundig bewijs dat de auto altijd veilig blijft, zelfs als:

De sensoren ruis hebben.
De motor beperkt is.
De auto niet precies weet waar hij is.

Het bewijst dat er altijd een oplossing (een rem- of stuurcommando) bestaat die de auto veilig houdt, zolang hij maar binnen die "gloeiebol" blijft.

Samenvatting in één zin

De auteurs hebben een nieuwe manier bedacht om zelfrijdende systemen veilig te houden door een onzekerheids-bubbel om hun schattingen te tekenen en te garanderen dat zelfs het slechtst mogelijke scenario binnen die bubbel nog veilig is, zodat ze nooit tegen een boom rijden, zelfs als ze niet precies weten waar ze zijn.

Titel: Output Feedback Backup Control Barrier Functions: Veiligheidsgaranties onder Inputgrenzen en State Estimation Error

Auteurs: David E. J. van Wijk et al. (Caltech, Wichita State, Georgia Tech, Texas A&M)

1. Probleemstelling

De veiligheid van autonome systemen is cruciaal voor hun inzet in de echte wereld. Hoewel Control Barrier Functions (CBF's) een krachtig hulpmiddel zijn om formele veiligheidsgaranties te geven (door een veiligheidsset voorwaarts invariant te houden), maken de meeste bestaande methoden de onrealistische aanname dat de ware toestand van het systeem perfect bekend is.

In de praktijk worden beslissingen echter genomen op basis van een geschatte toestand ( $\hat{x}$ ), afgeleid van ruisbehalde sensormetingen. Dit introduceert twee grote uitdagingen:

Toestandsonzekerheid: De controller werkt met een schatting die afwijkt van de ware toestand ( $x$ ). Als de controller de ware toestand niet kent, kan de voorspelde evolutie van het systeem (de "flow") onnauwkeurig zijn, wat kan leiden tot het schenden van veiligheidsconstraints.
Inputgrenzen: Veel systemen hebben beperkingen op de bedieningskrachten (bijv. maximale stuwkracht of motorvermogen). Het garanderen van veiligheid onder deze beperkingen is al moeilijk bij perfecte toestandsinformatie, maar wordt exponentieel complexer bij onzekerheid.

Bestaande methoden voor output-feedback (gebaseerd op schattingen) missen vaak een garantie dat er altijd een haalbaar bedieningssignaal bestaat dat de veiligheid garandeert, vooral wanneer de schattingen onnauwkeurig zijn en de input beperkt is.

2. Methodologie

De auteurs stellen een nieuwe techniek voor: Output Feedback Backup Control Barrier Functions (O-bCBF's). Deze methologie combineert de principes van Backup CBF's (bCBF's) met een onzekerheidsenveloppe rondom de geschatte toestand.

Kernconcepten:

Backup Set en Controller: Er wordt een kleinere, "veilige" set ( $C_B$ ) gedefinieerd (bijv. een ellipsoïde rond een stabiel evenwichtspunt) en een bijbehorende "backup controller" ( $k_b$ ) die deze set voorwaarts invariant houdt, zelfs onder invloed van schattingsfouten.
Uncertainty Envelope (Onzekerheidsbuis): Omdat de ware toestand onbekend is, wordt de evolutie van de geschatte toestand onder een vooraf gedefinieerde controller gevolgd. Rond deze geschatte trajecten wordt een "buis" of enveloppe getekend die de maximale mogelijke afwijking tussen de ware en geschatte toestand omvat.
Tightening Terms (Verstrakkende termen): Om te garanderen dat de ware toestand veilig blijft, worden de veiligheidsconstraints voor de geschatte toestand "verstrakt". Dit betekent dat de geschatte toestand een veiligere zone moet binnenblijven dan strikt noodzakelijk zou zijn bij perfecte informatie. De grootte van deze verstrakking ( $\epsilon_\tau, \epsilon_b$ ) wordt bepaald door de bovengrens van de schattingsfout.

Twee Benaderingen:

Het artikel presenteert twee methoden om deze verstrakkende termen te berekenen:

Open-loop Methode: Hierbij wordt de evolutie van de geschatte toestand berekend zonder correctie-termen (geen feedback van metingen tijdens de voorspelling). Dit is eenvoudiger en leidt tot analytische grenzen voor lineaire systemen. De garantie is dat als de "buis" rond de open-loop schatting veilig blijft, de ware toestand ook veilig is.
Closed-loop Methode: Deze methode houdt rekening met de dynamiek van de geschatte toestand inclusief de correctie-termen van de observer. Dit leidt tot minder conservatieve (strakkere) grenzen, vooral nuttig voor niet-lineaire systemen of systemen waar de geschatte dynamiek contracterend is.

Formele Garantie:

De auteurs bewijzen dat als de geschatte toestand binnen een specifiek, berekenbaar gebied ( $\hat{C}_{I}(t)$ ) blijft, de ware toestand automatisch binnen de veilige set ( $C_S$ ) blijft. Dit wordt bereikt door een kwadratisch programma (QP) op te lossen dat de primaire controller minimaliseert terwijl het voldoet aan de verstrakte CBF-beperkingen. Als dit QP onhaalbaar wordt, schakelt het systeem automatisch over naar de backup controller, wat altijd haalbaar is binnen de gedefinieerde set.

3. Belangrijkste Bijdragen

Formele Veiligheidsgaranties onder Onzekerheid: Het is de eerste methode die wiskundig garandeert dat een systeem veilig blijft onder inputgrenzen en toestandsonzekerheid, zonder aan te nemen dat de ware toestand bekend is.
Existentie van Haalbare Oplossingen: De auteurs bewijzen dat er altijd een bedieningssignaal bestaat dat de veiligheid garandeert, zelfs als de schattingsfout groot is, zolang de initiële toestand binnen de gedefinieerde set ligt.
Constructieve Ontwerpmethodiek: Het biedt een systematische manier om "tightening terms" te berekenen op basis van de eigenschappen van de observer en de systeemdynamica (bijv. Lipschitz constanten).
Generalisatie van bCBF: Het breidt de bestaande Backup CBF-theorie uit van state-feedback naar output-feedback, wat essentieel is voor praktische implementaties.

4. Resultaten (Numerieke Simulaties)

De methode werd getest in twee casestudies:

Dubbele Integrator (Lineair Systeem):
- Een systeem met ruis in de positie-metingen.
- De simulatie toonde aan dat de geschatte toestand (roze lijn) binnen de berekende onzekerheidsbuis bleef, en dat de ware toestand (zwarte lijn) veilig binnen de toegestane set bleef, ondanks grote initiële schattingsfouten.
- De controle-input bleef binnen de limieten en de schattingsfout nam exponentieel af.
Ruimtevaartuig Rotatie (Niet-lineair Systeem):
- Een rigide lichaam met Euler's rotatievergelijkingen en gyroscoopruis.
- De primaire controller was opzettelijk onveilig ontworpen (zou de rotatiesnelheid te hoog laten worden).
- De O-bCBF filterte dit signaal en hield de ware rotatiesnelheid veilig.
- Vergelijking: Een standaard bCBF-methode (die de schatting als ware toestand behandelt) faalde en liet het systeem de veiligheidsset verlaten. De voorgestelde O-bCBF-methode slaagde erin om veilig te blijven, zelfs met dezelfde onnauwkeurige schattingen.

5. Betekenis en Conclusie

Dit werk is van groot belang voor de praktijk van veiligheidskritieke autonome systemen (zoals drones, autonome voertuigen en robots). Het lost het fundamentele dilemma op tussen noodzakelijke onzekerheid (we kennen de toestand nooit perfect) en strenge veiligheidseisen.

Door te laten zien dat veiligheid gegarandeerd kan worden zonder perfecte state-feedback, maakt deze methode het mogelijk om CBF-technologie toe te passen in realistische scenario's waar sensoren ruis hebben en actuatoren beperkt zijn. Het biedt een brug tussen theoretische veiligheidsgaranties en de complexe realiteit van sensor-gebaseerde besturing.