⚡ electrical engineering

$\mathcal{L}_1$ -Certified Distributionally Robust Planning for Safety-Constrained Adaptive Control

该论文提出了一种将 $\mathcal{L}_1$ 自适应控制与分布鲁棒模型预测控制（DR-MPC）相结合的分层框架，利用 $\mathcal{L}_1$ 控制器在线生成的分布证书来界定模糊集，从而在无需分布样本的情况下，为同时面临系统模型不确定性和环境不确定性的随机非线性系统提供可证明的安全保障。

原作者： Astghik Hakobyan, Amaras Nazarians, Aditya Gahlawat, Naira Hovakimyan, Ilya Kolmanovsky

发布于 2026-03-31

📖 1 分钟阅读☕ 轻松阅读

CC BY 4.0

原作者： Astghik Hakobyan, Amaras Nazarians, Aditya Gahlawat, Naira Hovakimyan, Ilya Kolmanovsky

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

这篇论文提出了一种让自动驾驶汽车（或机器人）在既不确定自己身体状态，又不确定周围环境的情况下，依然能绝对安全行驶的新方法。

为了让你更容易理解，我们可以把自动驾驶系统想象成一位**“盲人钢琴家”，而这篇论文就是为他设计的一套“双重保险演奏方案”**。

1. 核心挑战：为什么现在的自动驾驶很难？

想象一下，你要在黑暗中弹钢琴：

模型不确定性（身体问题）： 你的手指可能因为疲劳或生病，力度和反应速度跟平时不一样（比如想按重音，结果按轻了）。这就是**“系统模型不准”**。
环境不确定性（外部问题）： 舞台周围可能有突然移动的观众，或者灯光忽明忽暗，你看不清障碍物在哪里。这就是**“环境不确定性”**。

如果只靠“最坏情况”去猜（比如假设手指完全失灵、观众全冲上来），钢琴家就会变得非常保守，动作僵硬，甚至弹不出曲子（性能太差）。
如果只靠“平均情况”去猜（假设一切正常），一旦遇到意外，就会直接撞琴键（不安全）。

2. 解决方案：分层级的“双重保险”

作者设计了一个**“上下级配合”的框架，就像一位“总指挥（规划器）”和一位“贴身保镖（自适应控制器）”**。

第一层：总指挥（DR-MPC 规划器）—— 负责“画路线”

它的任务： 在地图上规划出一条安全的路线。
它的绝招： 它不只看地图，它手里拿着一副**“模糊眼镜”。它知道环境里的障碍物位置可能有误差，所以它画的路线不是紧贴着障碍物，而是留出了一段“安全缓冲带”（在论文里叫Wasserstein 模糊集**）。
局限性： 这位总指挥虽然很聪明，但他假设钢琴家（系统）的手指是听话的。如果钢琴家真的“不听使唤”（模型误差），总指挥画的路线可能就不管用了。

第二层：贴身保镖（L1 自适应控制器）—— 负责“实时修正”

它的任务： 当钢琴家真的手指不听使唤时，保镖立刻介入，强行把动作拉回总指挥规划的路线上。
它的绝招： 保镖不仅修正动作，还能**“打保票”**。它能计算出：“虽然我现在在修正，但我保证钢琴家现在的状态，绝对不会偏离总指挥画的那条路线太远。”
关键创新： 以前，总指挥需要知道“模糊眼镜”的度数（不确定性范围）才能画路线，但这个度数很难算。现在，保镖通过实时计算，直接告诉总指挥：“放心吧，我的修正能力能保证误差在这个范围内！”这样，总指挥就不需要猜了，直接拿着这个“保票”去画路线。

3. 这个框架是如何工作的？（通俗版流程）

看世界（环境感知）： 系统收集周围障碍物的数据（比如通过摄像头看到几个模糊的影子）。
画路线（DR-MPC）：
- 总指挥利用保镖提供的“误差保证书”（系统不确定性范围）和收集到的环境数据（环境不确定性范围），画出一条**“绝对安全”**的路线。
- 这条路线考虑了最坏的情况：如果障碍物突然动了一下，或者我的车突然打滑，只要在这个范围内，我就不会撞车。
执行与修正（L1-AC）：
- 车子开始按路线跑。
- 如果车子发现“哎呀，我打滑了”或者“引擎有点不对劲”，保镖（L1 控制器） 立刻出手，用超快的反应把车子拉回路线。
- 同时，保镖不断向总指挥汇报：“看，我控制住了，现在的误差还在你画的那个安全圈里！”
循环往复： 每过一小段时间，总指挥就根据保镖的最新汇报，重新画下一段路线。

4. 为什么这个方案很厉害？（核心比喻）

以前的做法：
- 纯保守派： 就像开车时离所有车都隔 100 米，虽然安全，但根本开不动。
- 纯数据派： 就像靠经验开车，遇到没见过的路况就懵了，容易出事故。
这篇论文的做法：
- 它结合了**“数学证明”和“实时数据”**。
- L1 控制器就像是一个**“实时校准器”，它不需要知道所有未来的意外，但它能实时证明**：“不管现在发生什么，我都能把你控制在安全范围内。”
- DR-MPC就像是一个**“精明的规划师”**，它利用这个“实时证明”，大胆地规划出既安全又高效的路线，而不需要为了安全而过度保守。

5. 实验结果：真的有效吗？

论文里做了很多模拟实验（比如在充满移动障碍物的房间里走"8"字、画圆圈等）：

只有规划器（没有保镖）： 当车子真的出现“故障”（模型不匹配）时，车子会偏离路线，甚至撞墙（失败率高达 86%）。
加上保镖（L1 自适应）： 即使车子“生病”了，保镖也能把它拉回来，失败率降到了 0 或接近 0，而且开得非常稳。

总结

这篇论文的核心思想就是：让“规划者”和“执行者”通过一种“数学证书”紧密合作。

规划者负责在充满不确定性的环境中画出理论上的安全路线。
执行者负责在现实中实时修正偏差，并证明自己确实把车控制在安全范围内。

这种“双管齐下”的方法，让自动驾驶系统在面对未知的自身故障和未知的环境变化时，既能大胆前行（性能好），又能绝对安全（有理论保证）。这就好比给自动驾驶系统穿上了一套**“防弹衣”（L1 控制）和一副“透视眼”**（分布鲁棒规划），让它能在混乱的现实中安全行驶。

这是一篇关于L1 认证分布鲁棒规划用于安全约束自适应控制（L1-Certified Distributionally Robust Planning for Safety-Constrained Adaptive Control）的论文技术总结。

1. 研究背景与问题定义

核心挑战：自主系统在不确定环境下的安全运行是一个根本性难题。系统面临两类不确定性：

认知不确定性 (Epistemic Uncertainty)：源于系统模型和环境知识的不完美（如未建模的动态特性）。
偶然不确定性 (Aleatoric Uncertainty)：源于外部随机扰动（如环境中的随机障碍物运动）。

现有方法的局限性：

经典鲁棒/自适应控制：基于最坏情况分析，虽然能保证稳定性，但往往过于保守，导致性能下降。
数据驱动方法：虽然性能较好，但缺乏鲁棒性保证，对分布偏移敏感，难以在安全关键系统中应用。
分布鲁棒模型预测控制 (DR-MPC)：通过构建模糊集（Ambiguity Sets）来处理分布不确定性。然而，DR-MPC 的一个关键限制是假设模糊集已知。对于环境不确定性，可以通过有限样本构建模糊集；但对于系统状态分布，由于控制律在每个时刻只能获得单个反馈信号（单一样本），无法收集多个独立样本来验证真实闭环系统是否仍在规划使用的模糊集内。这导致在系统动态不确定时，无法提供可认证的安全保证。

本文目标：提出一种分层框架，结合 L1 自适应控制 (L1-AC) 和 分布鲁棒模型预测控制 (DR-MPC)，在同时存在系统模型失配和环境不确定性的情况下，实现可认证的安全 (Certifiably Safe) 操作。

2. 方法论：分层架构

论文提出了一种如图 1 所示的分层控制架构，通过“分布证书”将规划与自适应闭环连接起来：

2.1 上层：分布鲁棒规划器 (DR-MPC Planner)

功能：生成满足安全约束的标称轨迹。
机制：
- 在联合系统 - 环境状态空间中构建 Wasserstein 模糊集。
- 环境不确定性通过数据驱动构建（基于有限样本）。
- 系统不确定性半径（Ambiguity Radius）由下层的 L1 控制器在线认证。
- 优化问题中施加分布鲁棒机会约束 (DR-CC)，确保在所有可能的分布中，违反安全约束的概率不超过 $\beta$ 。
求解：利用 Wasserstein 对偶性，将 DR-CC 转化为基于条件风险价值 (CVaR) 的确定性约束，并通过蒙特卡洛采样实现可处理的样本化求解。

2.2 下层：L1 自适应跟踪控制器 (L1-Adaptive Tracking)

功能：跟踪上层生成的标称轨迹，并补偿模型不确定性。
机制：
- 采用标准的 L1 架构（状态预测器、自适应律、低通滤波器）。
- 在线补偿匹配的不确定性（如未建模的非线性项）。
- 关键创新：L1 控制器不仅补偿误差，还提供了一个分布证书 (Distributional Certificate)。根据理论证明，L1 控制器能保证真实状态分布 $X_t$ 与标称状态分布 $\bar{X}_t$ 之间的 Wasserstein 距离 被一个已知常数 $\rho_x$ 所界定（即 $X_t \in B_{2p}(\bar{X}_t, \rho_x)$ ）。
- 这个 $\rho_x$ 被反馈给上层规划器，作为系统侧模糊集的半径，从而无需采样即可认证规划使用的模糊集。

2.3 闭环安全保证

通过结合 L1 提供的系统分布界限 ( $\rho_x$ ) 和环境数据的有限样本界限 ( $\rho_z$ )，构建了联合模糊集半径 $\rho_y = \rho_x + \rho_z$ 。
如果 DR-MPC 规划问题是可行的，则结合 L1 证书，理论上保证了真实闭环系统在每一步都满足安全约束（即 $P(X_t \notin O(Z_t)) \ge 1-\beta$ ）。

3. 关键贡献

分层 DR-MPC 框架：提出了一种耦合规划与自适应的框架。利用 L1-AC 在线认证系统模糊集半径（无需分布样本），同时利用有限样本浓度界限处理环境模糊集半径。
闭环分布认证机制：实现了在同时存在模型和环境不确定性下的可证明的阶段性安全保证。
可处理的 DR-MPC 重构：基于距离集表示和 Wasserstein 对偶性，将 DR-CC 转化为基于 CVaR 的确定性约束。该重构与几何形状无关，并支持基于采样的实现。

4. 实验结果

作者在 2D 动态障碍物避障场景中进行了数值实验，对比了三种方法：

DR-MPC (Nominal)：仅使用标称模型规划，无自适应。
DR-MPC (True Dynamics)：直接将控制器作用于不确定系统，无自适应补偿。
DR-MPC + L1 (本文方法)：结合 L1 自适应层。

实验设置：

四种参考轨迹（8 字形、圆形、利萨茹曲线、螺旋线）。
100 次蒙特卡洛仿真。
真实系统包含匹配的非线性不确定性。

主要发现：

DR-MPC (True Dynamics) 表现极差：由于未补偿模型失配，导致跟踪成本剧增，失败率极高（圆形场景下失败率高达 86%）。
DR-MPC (Nominal) 虽然能避开障碍物（因为规划考虑了环境不确定性），但无法补偿模型误差，导致轨迹偏离。
DR-MPC + L1 表现优异：
- 零失败：在所有四种场景下，100 次运行中未发生碰撞或失稳。
- 低跟踪成本：跟踪性能接近标称基准。
- 理论一致性：L1 控制器成功将真实状态分布限制在标称分布的 Wasserstein 管状区域内，确保了规划假设的有效性。

5. 意义与结论

理论意义：解决了 DR-MPC 在系统动态未知时无法认证模糊集的问题。通过 L1 自适应控制提供的解析界，填补了“规划”与“执行”之间的理论鸿沟，使得在缺乏系统分布样本的情况下也能提供严格的安全保证。
工程意义：为安全关键系统（如无人机、自动驾驶）提供了一种实用的控制方案，能够同时处理环境随机性和内部模型失配，且计算上可行（通过样本化 CVaR 近似）。
未来工作：论文指出未来将研究完全非线性动态下的递归可行性保证，以及更紧致的模糊集构建方法。

总结：该论文成功地将 L1 自适应控制的鲁棒性证书与分布鲁棒规划的灵活性相结合，提出了一种在双重不确定性下仍能保证可认证安全的控制框架，并通过实验验证了其有效性和优越性。