Backup-Based Safety Filters: A Comparative Review of Backup CBF, Model Predictive Shielding, and gatekeeper

Resumo Técnico: Filtros de Segurança Baseados em Backup

1. Problema e Motivação

O artigo aborda o desafio central de garantir segurança em sistemas autônomos com dinâmicas não lineares, especialmente quando os módulos de planejamento e controle (como Aprendizado por Reforço ou planejamento baseado em amostragem) não oferecem garantias formais de segurança.
A solução comum é utilizar um filtro de segurança que monitora o comando nominal e o modifica apenas quando necessário para preservar a segurança. O objetivo ideal é uma intervenção mínima: o controlador nominal deve permanecer ativo sempre que sua execução for compatível com a operação segura futura.

O problema específico identificado pelos autores é a conservadorismo excessivo em filtros de segurança baseados em backup. Métodos existentes frequentemente avaliam a segurança baseando-se na viabilidade de uma manobra de backup imediata, em vez de avaliar se a política nominal poderia continuar segura por um período adicional antes de uma eventual troca para o backup. Isso leva a rejeições desnecessárias de comandos nominais válidos.

2. Metodologia e Abordagem Unificada

Os autores revisitam três métodos principais de filtros de segurança baseados em backup dentro de um framework comparativo unificado:

1. Backup CBF (Funções de Barreira de Controle de Backup).
2. MPS (Model Predictive Shielding / Blindagem Preditiva por Modelo).
3. Gatekeeper.

Abstração Comum:
Todos os métodos partem de uma política de backup ($\pi_b$) conhecida, que garante que o sistema possa entrar e permanecer em um conjunto terminal controladamente invariante ($S_0$) a partir de um conjunto recuperável. A segurança é certificada mostrando que, a partir do estado atual (ou futuro), o sistema pode alternar para $\pi_b$ e permanecer seguro.

Definição Chave: Conjunto Inativo do Filtro ($I_{sf}$)
O foco da comparação é o conjunto inativo do filtro, definido como o conjunto de estados onde o filtro de segurança deixa a política nominal ($\pi_{nom}$) inalterada. Um conjunto inativo maior implica menos intervenções conservadoras e melhor desempenho da tarefa.

Diferenças Algorítmicas Analisadas:

• Backup CBF: Define um conjunto seguro implícito (o conjunto recuperável induzido por $\pi_b$) e resolve um Problema de Programação Quadrática (QP) online para encontrar a entrada mais próxima da nominal que satisfaça as restrições de barreira ao longo da trajetória de backup.
• MPS: Verifica a validade de uma trajetória candidata (nominal por um tempo fixo $\Delta t$, seguido de backup). Se a trajetória for válida, aceita o nominal; caso contrário, aplica o backup imediatamente. O tempo de troca é fixo ($\Delta t$).
• Gatekeeper: Utiliza a mesma verificação de validade que o MPS, mas trata o tempo de troca ($T_S$) como uma variável de decisão. Em vez de verificar apenas $\Delta t$, ele busca o maior $T_S$ possível (dentro de um horizonte $T_H$) para o qual a trajetória nominal seguida pelo backup permanece segura.

3. Contribuições Principais

O artigo é expositivo e comparativo, estabelecendo conexões teóricas e limitações:

1. Relação de Inclusão entre Métodos:

   • Os autores provam que o MPS é um caso especial do Gatekeeper. Especificamente, o conjunto inativo do MPS está contido no conjunto inativo do Gatekeeper ($I_{MPS} \subseteq I_{GK}$). O Gatekeeper aceita todos os estados que o MPS aceita, além de estados que só se tornam recuperáveis se a troca para o backup for adiada.
   • Eles também relacionam o Gatekeeper ao interior do conjunto inativo do Backup CBF dentro do conjunto seguro implícito ($int_S(I_{BCBF}) \subseteq I_{GK}$).

2. Identificação da "Avaliação de Segurança no Backup":

   • O artigo destaca uma limitação fundamental compartilhada: a segurança é frequentemente avaliada pela viabilidade da manobra de backup, e não pela execução contínua da política nominal.
   • O Gatekeeper mitiga esse conservadorismo ao otimizar o tempo de troca. Ele permite que o sistema execute a política nominal por mais tempo, desde que exista um ponto futuro onde a troca para o backup ainda seja segura.

3. Framework Unificado:

   • O trabalho fornece notação e abstrações comuns para comparar esses métodos, clarificando que as diferenças residem principalmente na estratégia de busca pelo tempo de troca e na forma como as restrições são aplicadas (QP contínuo vs. verificação discreta de trajetória).

4. Resultados Experimentais

Os autores validam as afirmações teóricas através de três estudos de simulação:

• A. Integrador Duplo Planar:

  • Visualização dos conjuntos inativos. O Gatekeeper demonstrou uma região de aceitação nominal visivelmente maior que o MPS e o Backup CBF, confirmando a inclusão teórica $I_{MPS} \subseteq I_{GK}$. O MPS e o Backup CBF rejeitaram estados onde a execução nominal por um curto período ainda seria segura.

• B. Cenário "Reach-Avoid" com Obstáculo Dinâmico:

  • Um robô deve atravessar um corredor estreito com um obstáculo móvel, tendo um "bolso de segurança" como fallback.
  • Resultado: O Backup CBF e o MPS recuaram repetidamente para o bolso de segurança ao se aproximarem do obstáculo, falhando em completar a tarefa. O Gatekeeper conseguiu manter a política nominal por mais tempo, adiando a troca para o backup até que fosse estritamente necessário, alcançando o objetivo com sucesso.
  • Métricas: O Gatekeeper preservou o controlador nominal em 87,5% dos passos (vs. 55,3% do MPS e 28,8% do Backup CBF).

• C. Ultrapassagem em Rodovia (Modelo Dinâmico de Bicicleta):

  • Um veículo realista (8 estados) tentando ultrapassar em uma estrada de 5 faixas.
  • Resultado: O Backup CBF e o MPS acionaram mudanças de faixa desnecessárias para a faixa de backup, mesmo quando a faixa atual estava livre. O Gatekeeper manteve o veículo na faixa original.
  • Métricas: O Gatekeeper manteve o controle nominal em 100% dos casos, enquanto o MPS e o Backup CBF mantiveram apenas 67,5% e 60,8%, respectivamente.

5. Significado e Conclusão

O artigo conclui que, embora o Gatekeeper não elimine a dependência fundamental da qualidade da política de backup e do modelo preditivo, ele introduz um grau de liberdade adicional (o tempo de troca) que reduz significativamente o conservadorismo inerente a esses filtros.

Ao permitir que o sistema execute a política nominal por um período certificado maior antes de forçar uma manobra de backup, o Gatekeeper oferece um equilíbrio superior entre segurança formal e desempenho da tarefa, evitando intervenções prematuras que degradam a utilidade do sistema autônomo. O trabalho serve como um tutorial compacto e uma revisão crítica, estabelecendo bases teóricas claras para a seleção e implementação de filtros de segurança em sistemas robóticos complexos.