💻 computer science

Designing Barrier Functions for Graceful Safety Control

本文提出了一种针对相对阶为 1 或 2 的动力系统的安全控制方法，通过结合零化与倒数控制障碍函数构建类似“刚性弹簧”的约束，在确保主安全层失效时次级安全层仍保持前向不变性，从而实现具备多层保障的“优雅”安全控制。

原作者： Yejin Moon, Gabor Orosz, Hosam K. Fathy

发布于 2026-03-05

📖 1 分钟阅读☕ 轻松阅读

原作者： Yejin Moon, Gabor Orosz, Hosam K. Fathy

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

这篇论文主要解决了一个非常实际的问题：当我们在控制机器（比如自动驾驶汽车、机器人）时，如何确保它们不仅“安全”，而且在遇到意外时能“优雅地”避免灾难？

为了让你轻松理解，我们可以把这篇论文的核心思想比作**“驾驶一辆装有双重保险的汽车”**。

1. 背景：传统的“非黑即白”安全观

以前的安全控制方法（叫控制屏障函数 CBF）就像是一个**“单色开关”**：

安全区（白色）： 只要车在安全距离内，就没事。
危险区（黑色）： 一旦越过那条线，就是“不安全”，系统会拼命刹车或转向。

问题出在哪？
想象你在高速公路上开车，前面的车突然急刹车（这就是“外部干扰”）。

传统方法： 只要你的车还没撞上，系统就认为你还“安全”。但如果前面的车切得太近，你的车可能已经处于“即将撞车”的边缘，但传统系统还没反应过来，因为它只盯着“有没有撞上”这条线。一旦真的撞上了，那就是一场灾难。
现实情况： 安全是有层次的。
- 第一层（理想安全）： 离前车很远，很舒适。
- 第二层（危险边缘）： 离前车很近，很紧张，但还没撞。
- 第三层（灾难）： 真的撞上了。

传统的控制方法往往忽略了中间的“危险边缘”，直接跳到“灾难”判定，导致在紧急情况下反应不够“优雅”或不够强力。

2. 核心概念：什么是“优雅的安全”（Graceful Safety）？

这篇论文提出的“优雅安全”，就是给系统加上两层防护网：

第一层网（主安全层）： 这是你希望保持的理想状态。就像你希望保持 50 米的车距。
第二层网（备用安全层/失效安全层）： 这是最后的底线。比如，哪怕你被迫把车距压缩到 5 米，只要没撞上（0 米），你就必须保证绝对不会发生碰撞。

“优雅”的定义：
即使你不小心闯过了第一层网（进入了危险区），系统也要保证你永远不会撞破第二层网（灾难区）。就像你从高处掉下来，虽然没落在软垫上（第一层），但下面还有一张巨大的安全网（第二层），保证你不会摔死。

3. 技术魔法：像“变硬的弹簧”一样的控制

为了实现这种两层保护，作者设计了一种特殊的数学约束，我们可以把它想象成**“智能弹簧”**：

在安全区（第一层）： 弹簧很软。系统会温和地把你拉回安全位置，就像正常的自动驾驶一样，不会急刹车。
在危险区（闯过第一层）： 弹簧开始变硬。系统会施加更大的力把你推回安全区。
在灾难边缘（接近第二层）： 弹簧变得无限硬！就像一堵不可逾越的墙。无论系统怎么努力，它都会产生巨大的反向力，死死地把你挡在灾难之外。

比喻：
想象你在玩一个游戏，前面有一堵墙（灾难）。

传统方法： 离墙 10 米时开始刹车。如果离墙只有 1 米了，它可能已经刹不住了，直接撞上去。
优雅方法： 离墙 10 米时轻轻刹车。离墙 2 米时，刹车力度加倍。离墙 0.1 米时，刹车力度变成超级加倍，仿佛有一双无形的大手把你硬生生拽回来，哪怕你之前冲得再快，也绝对撞不到墙。

4. 为什么这对机械系统很重要？

论文特别提到，很多机械系统（如汽车、机器人）的控制输入是加速度（踩油门或刹车的力度），而不是直接控制速度。这就像你推一个箱子，你推的是“力”，箱子产生的是“加速度”，然后才变成“速度”。

难点： 这种系统反应有延迟（数学上叫“相对阶为 2"）。如果你等到快撞上了才用力推，可能已经来不及了。
解决方案： 作者设计的这个“智能弹簧”算法，专门针对这种有延迟的系统。它不仅能保证不撞墙，还能在撞墙前（即使速度很快）通过计算，提前施加巨大的“反向力”，确保系统优雅地停下来，而不是硬生生地撞上去。

5. 实验结果：真的有效吗？

作者用“撞墙”的例子做了模拟：

旧方法： 如果车一开始速度太快或者离墙太近，旧算法会失效，车直接撞墙。
新方法： 即使车一开始离墙很近且速度很快，新算法会瞬间计算出需要多大的“刹车力”。虽然这个力非常大（模拟中达到了惊人的数值），但它成功地把车在撞墙前停住了，或者让车在极近距离内安全停下，避免了灾难。

总结

这篇论文就像是在教自动驾驶系统如何**“未雨绸缪”和“临危不乱”**：

分层防御： 不要只盯着“撞没撞”，要区分“有点危险”和“非常危险”。
弹性反应： 危险越大，反应越激烈（像变硬的弹簧）。
底线思维： 即使最坏的情况发生（闯过第一道防线），也要保证绝对不发生最可怕的后果（撞墙/灾难）。

这就好比一位经验丰富的老司机，平时开车很温和（第一层），但一旦遇到突发状况，他会瞬间爆发惊人的反应能力，死死守住最后一道防线，确保乘客绝对安全。这就是所谓的“优雅的安全控制”。

这是一份关于论文《Designing Barrier Functions for Graceful Safety Control》（设计用于优雅安全控制的障碍函数）的详细技术总结。

1. 研究背景与问题定义 (Problem)

核心挑战：
传统的控制障碍函数（Control Barrier Functions, CBF）方法通常将安全状态定义为“非黑即白”的单一层概念：要么在安全集内（Safe），要么在安全集外（Unsafe）。然而，在实际工程应用（如自动驾驶、电池管理）中，安全往往具有多层性：

理想安全层（Primary Layer）： 系统处于最佳或期望的安全状态。
危险层（Danger Zone）： 系统偏离了理想状态，但尚未发生灾难。
灾难层（Catastrophe）： 系统发生不可逆的破坏（如碰撞、热失控）。

现有方法的局限性：
当系统受到强干扰或初始条件恶劣导致“理想安全层”被突破时，传统的 CBF 方法（如零值 CBF 或指数 CBF）可能无法保证系统不进入“灾难层”。例如，在二阶机械系统中，如果初始速度过大，即使位置在安全范围内，传统的基于位置的 CBF 也可能无法阻止碰撞。

研究目标：
提出一种**“优雅安全控制”（Graceful Safety Control）**框架。其定义是：即使主安全层被突破，系统仍能通过次级“故障安全”（Failsafe）层保持前向不变性，从而防止灾难性后果的发生，使系统能够“优雅”地降级而非直接崩溃。

2. 方法论 (Methodology)

本文提出了一种结合**零值 CBF（Zeroing CBF）和倒数 CBF（Reciprocal CBF）**概念的新型约束框架，适用于相对阶（Relative Degree）为 1 或 2 的系统。

2.1 多层安全集定义

定义了一个变换后的障碍函数 $h_g(x)$ ，将状态空间划分为三个区域：

主安全集 $S$ ： $h_g(x) \ge 0$ （理想安全）。
故障安全集 $D$ （危险区）： $-1 < h_g(x) < 0$ （系统处于危险但非灾难状态）。
灾难集 $C$ ： $h_g(x) \le -1$ （灾难发生，如碰撞）。

2.2 核心约束设计

为了同时保证主安全集的前向不变性（类似零值 CBF）和防止进入灾难集（类似倒数 CBF），作者设计了一个非线性约束：
$\dot{h}_g(x, u) \ge -\beta \left( \frac{h_g(x)}{h_g(x) + 1} \right)$
其中 $\beta$ 是扩展类 $\mathcal{K}$ 函数（通常取线性 $\gamma h_g$ ）。

当 $h_g \ge 0$ 时： 约束表现为零值 CBF，确保系统回归安全。
当 $-1 < h_g < 0$ 时： 分母项 $(h_g + 1)$ 趋近于 0，导致右侧项趋向负无穷大。这产生了一种**“硬化”（Stiffening）**效应，类似于弹簧刚度随变形增加而急剧增大，迫使控制输入产生巨大的反向力，防止 $h_g$ 达到 -1。

2.3 相对阶处理

相对阶 1 系统： 直接应用上述一阶约束。
相对阶 2 系统（如机械系统，控制输入为加速度）： 将上述一阶约束扩展为二阶指数形式，引入阻尼比 $\zeta$ 和自然频率 $\omega_n$ ：
$\ddot{h}_g + 2\zeta\omega_n \dot{h}_g + \omega_n^2 \frac{h_g}{h_g + 1} \ge 0$
该约束保证了即使主安全边界被突破，次级故障安全边界（ $h_g = -1$ ）也能被守住。

2.4 控制器合成

将上述约束作为二次规划（QP）的约束条件，在最小化与期望控制输入偏差的同时，满足安全约束。

3. 关键贡献 (Key Contributions)

优雅安全控制框架： 首次系统性地提出了“优雅安全”的概念，通过单一约束实现了多层安全保证（主安全层 + 故障安全层）。
混合障碍函数设计： 创造性地将零值 CBF（用于主边界）和倒数 CBF（用于次级边界）的概念融合在一个非线性不等式中，利用“硬化”机制防止灾难。
严格的数学证明：
- 证明了该控制器能保证主安全集 $S$ 的前向不变性。
- 证明了只要初始状态在故障安全集 $D$ 内，系统永远不会进入灾难集 $C$ （即 $h_g > -1$ 始终成立）。
- 针对相对阶 2 系统，利用李雅普诺夫函数证明了系统的渐近稳定性。
能量类比分析： 将非线性约束项类比为“硬化弹簧”，利用能量法（Lyapunov 函数）直观地解释了系统为何能避免灾难。

4. 实验结果 (Results)

作者通过**墙壁碰撞避免（Wall Collision Avoidance）**的仿真实验验证了方法的有效性，对比了传统 CBF 与提出的优雅 CBF。

场景设置： 一个物体向墙壁移动，目标是停在安全距离 $x_{sf}$ 处，避免碰撞墙壁 $x_w$ 。
相对阶 1 实验（速度控制）：
- 传统零值 CBF 在初始位置不安全时能将其拉回，但无法处理速度直接控制的不现实假设。
- 优雅 CBF 在初始位置不安全时，能施加更激进的减速，确保不进入危险区。
相对阶 2 实验（加速度控制）：
- 传统指数 CBF 的失败： 当初始速度过大（如 -25 m/s）且初始位置处于“名义安全”但实际危险区域时，传统 CBF 无法阻止碰撞（ $h_g$ 穿过 -1）。
- 优雅 CBF 的成功：
  - 即使在初始速度极大、位置极近的情况下，优雅控制器也能通过施加极大的瞬时加速度（如 3400 m/s² 或 4500 m/s²）将物体拉回。
  - 系统状态 $h_g$ 始终保持在 -1 以上，成功避免了碰撞。
  - 对比了过阻尼（ $\zeta=2$ ）和欠阻尼（ $\zeta=0.5$ ）情况：欠阻尼响应更快但振荡更大，过阻尼更平稳但恢复较慢。两者均能避免灾难。

5. 意义与结论 (Significance & Conclusion)

理论意义： 填补了现有 CBF 文献中缺乏多层安全保证的空白。它证明了在安全边界被突破后，系统仍可通过数学保证避免灾难性后果，而不仅仅是“尽力而为”。
工程应用价值： 特别适用于对安全性要求极高的机械系统（如自动驾驶、机器人、电池热管理）。它允许系统在极端工况下“优雅降级”（例如，从自动驾驶模式切换到紧急避险模式，而不是直接发生碰撞）。
未来展望： 本文主要关注相对阶 1 和 2 的系统。未来的工作可以将其推广到更高相对阶的系统，以覆盖更广泛的非线性动力学系统。

总结： 该论文通过引入一种具有“硬化”特性的非线性障碍函数，成功解决了传统安全控制方法在极端条件下失效的问题，为高可靠性系统的安全控制提供了新的理论工具和设计范式。