Timely Activation of Safety Filters via One-Step Reachability Expansion

机器人和自动驾驶车辆正日益被要求在复杂的、拥挤的空间中导航，从工厂车间到城市街道。为了安全地实现这一目标，工程师们依赖于一种数学框架，这些框架充当了无形的护栏，确保机器永远不会进入一个灾难或故障不可避免的状态。一种被称为“可达性分析”的强大方法，通过从灾难出发进行逆向推导，来绘制出系统可能到达灾难的所有路径图。这张被称为“后向可达管”（backward reachable tube）的地图定义了一个边界：如果机器人保持在该管之外，它是安全的；如果它触碰到了边界，它必须立即采取特定的行动以避免危险。在理论上，这个系统是完美的。然而，现实世界的机器人并不以平滑、连续的流进行思考或移动。相反，它们是在一系列快速的快照中运行的，即在固定的间隔内检查位置、计算新方向并调整电机。这种平滑理论与破碎现实之间的差距创造了一个危险的盲点。在一次快照与下一次快照之间，机器人理论上可能会“跳过”安全边界，直接落在危险区域内，而此时计算机甚至还没意识到它已经越界。

智利圣地亚哥大学的研究人员发现了这一特定的脆弱性，并提出了一个原则性的解决方案来弥补这一差距。他们发现，对于以离散时间步更新控制信号的机器人来说，依赖标准的安全边界是不充分的。为了解决这个问题，他们开发了一种方法，通过创建一个更大的、扩张的安全边界，来解释机器人在控制更新之间的短暂时间内移动的能力。该系统不再等待机器人触碰原始危险区，而是根据机器人经过一个单一时间步后可能到达的位置进行预测，从而更早地触发安全干预。通过使用这个扩张的边界作为安全滤波器的触发器，该系统确保了即使存在数字控制固有的延迟，机器人也不会有机会跳入注定失败的状态。

问题的核心在于安全性计算方式与机器人实际移动方式之间的不匹配。在理想的数学世界中，机器人的路径是一条连续的线。如果安全滤波器被设计为在机器人触碰危险区边缘的瞬间切换到紧急操作，它就能完美工作。但在现实中，机器人的计算机每隔不到一秒就会检查其位置，决定要做什么，并向电机发送指令。在那个微小的间隔期间，机器人会继续移动。如果它移动得足够快，或者有意外的风或颠簸推动了它，它可以在下一次检查发生之前就跨越安全线并进入危险区。机器人实际上已经“跳过”了护栏。工程师们曾尝试通过在纸面上让危险区看起来更大，即增加一个随机的缓冲带来提前触发安全系统来解决这个问题。虽然这有所帮助，但它只是一种粗略的猜测，往往会迫使机器人变得过度谨慎，从而限制其高效执行任务的能力。

研究人员通过精确计算机器人在最坏的情况下在一个单一时间步内可能行驶多远来解决这个问题。他们将原始危险区视为一个目标，而非最终目标，即机器人可能在那个短暂的间隔内到达的目标。通过在仅一个时间步的持续时间内从危险区进行逆向推导，他们绘制出了一个新的、更大的区域。这个新区域包含了机器人可能在反应之前到达原始危险区的每一个位置。这就是“单步扩张后向可达管”。它不是一个随机的猜测或固定的余量；它是基于机器人的物理特性、最大速度以及像风或摩擦力之类的扰动而进行的精确计算。结果是一个既能保证安全，又不会造成不必要限制的边界。

为了测试这个想法，团队模拟了一辆自动驾驶汽车（模型为 Dubins 车），它正在一个充满障碍物的拥挤环境中导航。这辆车必须从一个起点行驶到一个目标点，同时避开一个包含四个圆形障碍物的矩形围栏。研究人员编写程序，让汽车使用一种本身并不关心安全性的标准导航策略，完全依赖安全滤波器来防止碰撞。随后，他们比较了两种场景：一种是安全滤波器使用原始的标准边界，另一种是使用新的扩张边界。他们运行了这些模拟，使用了不同的控制更新时间间隔（从 0.1 秒到 0.4 秒不等），并引入了随机扰动以模拟现实世界的不确定性。

结果非常显著。当使用标准边界时，机器人经常无法避免碰撞，尤其是在更新之间的时间间隔变长时。在 0.2 秒间隔的最具挑战性的测试中，标准方法导致机器人在 100 次模拟运行中有 95 次发生碰撞。机器人靠近障碍物，计算机等待下一次更新，而在那分裂的一秒钟内，机器人跳过了安全线并撞上了障碍物。相比之下，使用扩张边界的系统在绝大多数情况下保持了安全。在同样的 0.2 秒间隔下，扩张方法在 100 次运行中有 82 次保持了安全。即使在使用扩张方法时发生了失败，其程度也轻得多：机器人侵入障碍物区域的距离显著减小，且发生首次失败前的时间更长。

研究还表明，随着更新间隔的增加，扩张边界变得更加有效。虽然标准方法在较长间隔下表现糟糕，但扩张方法继续保持稳健。这表明，对于无法进行极快控制更新的系统，这种新方法特别有价值。研究人员指出，扩张边界充当了一个补偿延迟的缓冲器，确保安全滤波器能够足够早地激活，以便在为时不及之前将机器人转向远离危险的方向。然而，他们也谨慎地指出，这种方法并不能消除所有风险。因为底层的安全性计算仍然是基于连续时间数学的，在理论与机器人的离散运动现实之间仍存在一个小小的差距。模拟中仍然发生了失败，尽管频率更低，程度也更轻。

这项工作为使自动驾驶系统在现实世界中更加安全提供了一条清晰的路径。通过从任意的安全余量转向对危险区的精确单步扩张，工程师可以部署既安全又高效的机器人。该方法保留了机器人在安全区域自由移动的能力，同时确保一旦接近风险，系统就能有足够的时间进行干预。研究人员建议，这种逻辑可以推广到他们所测试的其他安全框架中，为弥合平滑数学理论与数字控制的离散、分步性质之间的差距提供一种通用的方法。对于未来的机器人技术——即机器必须在不可预测的环境中与人类安全共存——缩小这一差距不仅是一个技术改进，更是一个基本要求。