⚡ electrical engineering

On transferring safety certificates across dynamical systems

本文提出了一种转移控制屏障函数（tCBF）框架，利用模拟函数和显式边界项将简化模型上的安全证书系统性地迁移至动力学不匹配的目标系统，从而在无需两者状态维度或动力学一致的情况下实现安全约束的强制执行。

原作者： Nikolaos Bousias, Charalampia Stamouli, Anastasios Tsiamis, George Pappas

发布于 2026-03-17

📖 1 分钟阅读☕ 轻松阅读

原作者： Nikolaos Bousias, Charalampia Stamouli, Anastasios Tsiamis, George Pappas

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

这篇论文解决了一个非常实际的问题：如何把在一个“简单模型”上设计好的安全规则，完美地移植到一个“复杂真实机器”上，防止它撞车或出事故？

为了让你更容易理解，我们可以用**“新手司机（抽象模型）”和“职业赛车手（真实系统）”**的故事来打比方。

1. 核心难题：理想很丰满，现实很骨感

想象一下，你正在教一个刚拿驾照的新手（我们叫它系统 A，也就是论文里的“抽象模型”）怎么开车避开障碍物。

系统 A 的特点：它假设车是完美的，没有摩擦力，刹车是瞬间的，转弯是完美的。在这个简单的世界里，你很容易画出一条“安全路线”，只要车不跑出这个圈，就不会撞车。这就像论文里的控制障碍函数（CBF），它是一个数学上的“安全护盾”。

现在，你要把这个安全规则交给一个真正的职业赛车手（系统 B，也就是论文里的“真实系统”）。

系统 B 的特点：这是一辆真实的赛车，有复杂的空气动力学、轮胎会打滑、引擎有延迟、车身会晃动。如果你直接把给新手画的“完美路线”强加给赛车，赛车可能会因为反应不过来或者物理惯性而冲出安全区，导致撞车。

论文要解决的问题就是： 我们能不能利用给新手设计的安全规则，通过某种“翻译”和“修正”，让复杂的赛车也能安全地避开障碍物，而不需要重新为赛车设计一套全新的安全规则？

2. 解决方案：安全证书的“翻译官”与“缓冲垫”

作者提出了一种叫做**“转移控制障碍函数”（tCBF）的方法。我们可以把它想象成给赛车手配备了一个智能翻译官和一个特制的缓冲垫**。

A. 翻译官（模拟函数 Simulation Function）

这个翻译官的作用是把赛车（复杂系统）的当前状态，“翻译”成新手（简单模型）能理解的状态。

比喻：赛车正在高速过弯，车身倾斜了 10 度。翻译官会告诉新手：“别慌，虽然你感觉在倾斜，但在你的简单模型里，这相当于你只是稍微偏了一点点方向。”
作用：它建立了一个桥梁，让两个完全不同的系统能在同一个“语言”下对话。

B. 特制缓冲垫（Margin Term / 安全余量）

这是论文最精彩的部分。因为赛车和新手毕竟不一样，翻译不可能 100% 完美。如果赛车稍微偏离了一点，新手的安全规则可能就不够用了。

比喻：想象新手的安全规则是“离墙至少 1 米”。但赛车因为车身晃动，可能会多晃出 0.2 米。
操作：翻译官会告诉赛车手：“虽然规则说离墙 1 米，但为了保险起见，你要把安全距离主动缩小到 0.8 米（或者反过来，把安全区域向内收缩）。”
核心逻辑：论文设计了一个数学公式（那个“余量项”），它会根据赛车和新手之间的“误差大小”，自动调整安全边界。误差越大，安全边界收缩得越多，留出的“缓冲垫”就越厚，确保即使赛车有偏差，也不会真的撞上。

3. 如何执行：智能刹车系统（QP 安全过滤器）

有了这个翻译官和缓冲垫，赛车手怎么开车呢？

正常情况：赛车手按照自己原本的计划（比如想走最快的路线）开车。
危险时刻：当赛车靠近障碍物，且距离小于那个“收缩后的安全边界”时，智能刹车系统（论文里的 QP 安全过滤器）就会介入。
动作：它不会完全接管赛车，而是最小限度地修改赛车的指令。比如，原本要直行，系统会微调一下方向盘，让车稍微偏一点点，刚好避开障碍物，然后立刻把控制权交还给赛车手。
结果：赛车既避开了危险，又尽可能保持了原本流畅的驾驶风格，没有被安全系统“过度干涉”。

4. 实验验证：四旋翼无人机穿越障碍

为了证明这个方法有效，作者让一架真实的四旋翼无人机（非常复杂，会飘、会抖、受风力影响）在堆满障碍物的房间里飞行。

简单模型：他们先在一个像“点”一样的简单数学模型上设计了避障规则。
真实挑战：无人机有复杂的物理引擎，还会受重力影响。
结果：
- 如果没有这个“转移”技术，无人机可能会因为模型不匹配而撞墙。
- 用了这个方法后，无人机成功避开了所有障碍物。
- 关键点：无人机在大部分时间里都飞得很顺畅（遵循原本的计划），只有在快要撞墙的那一瞬间，安全系统才轻轻推了一把，把它拉回安全区。

总结

这篇论文的核心思想就是：不要每次都重新发明轮子。

如果我们在一个简单、好算的模型上已经证明了“这样是安全的”，我们不需要为复杂的真实机器重新证明一遍。我们只需要通过**“翻译”（模拟函数）和“留有余地”**（安全余量），就能把简单模型的安全证书“转移”给复杂的真实机器。

这就好比：

你给一个在平地上走路的人（简单模型）画了个安全圈。
现在你要让一个在冰面上滑冰的人（复杂系统）也遵守这个圈。
你不需要重新画圈，你只需要告诉滑冰的人：“因为冰面滑，你要把安全圈向内收缩一点，并且时刻注意脚下的冰（误差）。”
这样，滑冰的人就能安全地滑行了，而且不需要重新学习怎么走路。

这种方法让机器人、无人机等复杂系统在保持高性能的同时，拥有了经过严格数学证明的安全保障。

论文技术总结：跨动力学系统的安全证书传递 (On transferring safety certificates across dynamical systems)

1. 研究背景与问题 (Problem)

随着自主系统在机器人、航空航天和工业自动化中的普及，确保其安全运行至关重要。控制障碍函数 (Control Barrier Functions, CBFs) 已成为实时控制系统中强制执行安全约束的强大数学工具，能够将安全要求编码为前向不变集，从而生成最小侵入式的安全过滤器。

然而，在实际应用中存在一个显著的理论与实践鸿沟：

模型不匹配：安全规范通常在最简化的抽象模型（如单积分器或双积分器）上设计和验证，因为这些模型易于处理且适合形式化验证。
部署复杂性：将这些安全保证直接部署到物理系统（如具有非线性动力学、欠驱动特性、几何约束和执行器限制的复杂机器人）时，由于模型失配，基于理想模型推导出的安全证书可能失效。
现有方法的局限：传统的近似双模拟（approximate bisimulation）和模拟关系（simulation relations）主要用于分层验证，但在 CBF 安全关键控制中的应用尚不充分。现有的 CBF 合成方法通常要求直接在完整非线性系统上设计障碍函数，这在计算上可能不可行或需要极高的领域专业知识。

核心问题：如何将在简化抽象模型上设计的安全证书（Safety Certificates），系统地传递并强制执行到具有不匹配动力学的高维复杂物理系统上？

2. 方法论 (Methodology)

本文提出了一种传递控制障碍函数 (Transferred Control Barrier Function, tCBF) 框架，利用模拟函数 (Simulation Function) 和显式边界项 (Margin Term) 来解决上述问题。

2.1 核心概念

系统定义：
- $\Sigma_1$ ：抽象系统（如双积分器），状态 $x_1$ ，具有已知的有效 CBF $b_1$ 。
- $\Sigma_2$ ：目标物理系统（如四旋翼无人机），状态 $x_2$ ，动力学更复杂。
模拟函数 (Simulation Function, $V$ )：
- 定义了一个从 $\Sigma_2$ 到 $\Sigma_1$ 的映射关系，量化了两个系统输出之间的不匹配。
- 包含一个控制接口 $F$ ，使得 $\Sigma_2$ 的行为可以近似 $\Sigma_1$ 的行为。
- 满足衰减不等式，确保模拟误差随时间收敛。
见证映射 (Witness Map, $\Pi$ )：
- 将物理状态 $x_2$ 映射到抽象状态空间中最接近的抽象状态 $\Pi(x_2) = \arg\min_{x_1} V(x_1, x_2)$ 。
tCBF 构造：
- 定义传递后的障碍函数 $b_2(x_2)$ 为：
  $b_2(x_2) := b_1(\Pi(x_2)) - \phi(V(\Pi(x_2), x_2))$
- 其中 $\phi$ 是一个边界函数 (Margin Function)，用于根据模拟误差 $V$ 收缩抽象安全集，以补偿模型失配。

2.2 理论推导与条件

动力学失配分析：
- 定义了动力学失配项 $\delta(x_2, u_2)$ ，即物理系统动力学在见证映射下的推前 (pushforward) 与抽象系统动力学及控制接口之间的差异。
- 提出了三种假设（H1-H3）来处理 $\delta$ ，包括精确推前、平稳性条件和一般近似推前。
边界函数设计：
- 通过分解 $b_2$ 的时间导数，推导出一个微分不等式。
- 提出了假设 2：要求边界函数 $\phi$ 的增长速度足够快，使得模拟函数的衰减项能够抵消抽象障碍函数的收缩以及残差的失配项。
- 具体条件为： $\phi'(s) \alpha_V(s) \geq \alpha_b(\phi(s)) + r(s)$ ，其中 $\alpha_V$ 和 $\alpha_b$ 分别是模拟函数和抽象 CBF 的衰减率函数， $r(s)$ 是失配项的界。
- 该条件仅依赖于标量比较函数，与系统维度无关，并给出了闭式解（如 Proposition 1）。
安全性保证：
- 定理 2 证明了：如果满足上述假设，则 $b_2$ 是目标系统 $\Sigma_2$ 的有效 CBF。这意味着只要 $b_2(x_2) \geq 0$ ，系统状态将保持在前向不变的安全集内。

2.3 实现：tCBF-QP 安全过滤器

将 tCBF 约束转化为二次规划 (QP) 问题。
目标：最小化名义控制器 $u_{nom}$ 与控制输入 $u_2$ 之间的偏差（最小侵入）。
约束：满足 tCBF 的导数条件 $\dot{b}_2 + \alpha(b_2) \geq 0$ 。
该 QP 问题在控制输入上是仿射的，可实时求解。

3. 主要贡献 (Key Contributions)

tCBF 构造框架：提出了一种形式化方法，利用模拟函数和边界项，将抽象模型上的安全证书系统地传递到高维非线性系统。
形式化保证与设计指南：
- 证明了在适当设计边界函数 $\phi$ 的情况下，传递后的安全证书对目标系统有效。
- 提供了选择 $\phi$ 的显式条件，包括常见情况下的闭式解，避免了耗时的数值优化。
通用性与解耦：该方法不要求两个系统具有相同的状态维度或动力学结构，实现了安全合成（在抽象模型上）与安全执行（在物理系统上）的清晰解耦。
实验验证：在四旋翼无人机穿越三维障碍环境的任务中进行了验证，展示了从双积分器抽象模型到完整非线性刚体动力学的成功传递。

4. 实验结果 (Results)

实验场景：四旋翼无人机在充满障碍物的三维环境中从起点导航至终点。

设置：
- 抽象模型 ( $\Sigma_1$ )：3D 双积分器。
- 目标系统 ( $\Sigma_2$ )：具有欠驱动特性的完整刚体四旋翼动力学。
- 名义控制器：基于 RRT* 路径规划、最小抽头 (Minimum-Snap) 轨迹优化和 SE(3) 几何跟踪控制。
性能表现：
- 轨迹行为：名义轨迹（无安全约束）会穿过障碍物导致碰撞。引入 tCBF-QP 过滤器后，无人机在接近障碍物时仅进行局部修正，偏离名义轨迹，而在安全区域保持名义性能。
- 屏障激活：传递后的障碍函数 $b_2$ 在接近障碍物时减小并接近零，表明安全约束被正确激活。
- 碰撞避免：尽管抽象模型使用了膨胀的安全边界（Inflated Clearance）来补偿失配，但物理系统的真实几何距离在整个轨迹中始终保持严格为正，确认了碰撞避免。
- 最小侵入性：安全过滤器仅在必要时修改控制输入，证明了该方法在保持系统性能的同时有效保障了安全。

5. 意义与未来展望 (Significance & Future Work)

理论意义：填补了组合安全验证中的关键空白，使得工程师可以在易于处理的抽象模型上推导安全规范，同时获得在复杂物理系统上部署的严格数学保证。
实际应用价值：特别适用于部署时计算资源受限的场景，允许在离线阶段在简化模型上完成复杂的安全合成，在线阶段仅执行轻量级的 QP 过滤。
未来方向：
- 目前模拟函数和控制接口通常需要解析推导，对于复杂系统可能很困难。
- 未来的工作将探索基于数据的学习方法，从数据中学习模拟函数和抽象接口，从而扩展 tCBF 在缺乏精确解析模型场景下的适用性。

总结：本文提出的 tCBF 框架为异构动力学系统间的安全传递提供了一种通用、严谨且实用的机制，通过引入模拟误差边界，成功解决了从简化模型到复杂物理系统的安全证书迁移难题。