Safety Filter

Kategorie: Control › Feedback control
Schlagwörter: safety, safe-control, optimization, learning-based-control, runtime-assurance

Eine Laufzeitschicht, die jeden Befehl eines nominalen Reglers, eines Menschen oder einer gelernten Policy prüft und durch den nächstgelegenen Befehl ersetzt, der das System nachweislich innerhalb einer sicheren Menge hält.

Definition

Ein Sicherheitsfilter (safety filter) sitzt zwischen einem nominalen Regler und den Aktuatoren. Der nominale Regler, der ein von Hand abgestimmtes Regelgesetz, ein Planer, ein Teleoperator oder eine gelernte Policy sein kann, schlägt einen Befehl u_nom vor. Der Filter prüft, ob dessen Anwendung das System innerhalb einer Menge sicherer Zustände hält, und ersetzt ihn andernfalls durch einen sicheren Befehl, meist den, der u_nom am nächsten liegt. Ist der vorgeschlagene Befehl bereits sicher, passiert er unverändert. Diese Trennung erlaubt es Ingenieuren, im nominalen Regler auf Leistung hin zu entwerfen und die Sicherheit in einer kleinen, analysierbaren Komponente durchzusetzen.

Mehrere Konstruktionen sind verbreitet. Filter auf Basis von Control Barrier Functions lösen in jedem Regelschritt ein kleines quadratisches Programm: Minimiere ‖u − u_nom‖² unter einer linearen Nebenbedingung, die verhindert, dass eine Barrierefunktion zu schnell abnimmt, sowie unter den Aktuatorgrenzen. Filter auf Basis der Hamilton-Jacobi-Erreichbarkeit berechnen offline die Menge der Zustände, aus denen sich Sicherheit aufrechterhalten lässt, und schalten auf einen sicheren Regler um oder blenden ihn ein, wenn sich der Zustand ihrem Rand nähert. Prädiktive Sicherheitsfilter nutzen modellprädiktive Regelung: Sie prüfen, ob auf den vorgeschlagenen Befehl eine sichere Rückfalltrajektorie über einen Horizont folgen kann, und ändern ihn, falls nicht. Lernorientierte Arbeiten verwenden eng verwandte Ideen unter Namen wie Shields und Safety Layers.

Ein Sicherheitsfilter ist nur so gut wie das Modell und die Zustandsschätzung, auf die er sich stützt. Modellfehler, Verzögerungen, Aktuatorsättigung und Wahrnehmungsfehler können die Garantie allesamt brechen, daher verschärfen robuste Varianten die Nebenbedingungen um Schranken dieser Fehler, etwa um Zustandsschätzungen aus gelernter Wahrnehmung zu berücksichtigen. Filter können auch unerwünschtes Verhalten verursachen, etwa dass ein Roboter vor einem Hindernis stehen bleibt, wenn das nominale Ziel dahinter liegt, weil sie lokal wirken und nicht neu planen. Der Eintrag Control Barrier Function beschreibt das Zertifikat selbst; der Sicherheitsfilter ist die Laufzeitarchitektur, die ein solches Zertifikat, eine erreichbare Menge oder eine prädiktive Prüfung nutzt, um Befehle zu ändern.

Warum es wichtig ist

Gelernte Policies und menschliche Bediener bringen keine Sicherheitsgarantien mit, und sie so neu zu trainieren, dass sie in jeder Situation sicher sind, ist selten praktikabel. Ein Sicherheitsfilter fügt eine verifizierbare Schicht hinzu, die Grenzen wie Kollisionsvermeidung, Gelenkgrenzen oder Geofences unabhängig davon durchsetzt, was der nominale Regler tut, und ist daher ein verbreitetes Muster für den Einsatz lernbasierter Regelung auf realen Robotern.

Wichtige Anwendungen

Kollisionsvermeidung rund um gelernte oder teleoperierte Regler
Durchsetzen von Gelenk-, Geschwindigkeits- und Arbeitsraumgrenzen bei Manipulatoren
Geofencing und Hindernisvermeidung für Drohnen
Sichere Exploration während des Reinforcement Learning auf Hardware
Shared Autonomy, bei der ein menschlicher Befehl minimal korrigiert wird

In der Praxis

Ein Team setzt eine Reinforcement-Learning-Policy auf einem mobilen Roboter in einem Labor mit Menschen ein. Es umgibt sie mit einem CBF-basierten Sicherheitsfilter: Für jedes nahe Hindernis ist die Barrierefunktion der Abstand minus einem Sicherheitsabstand, und ein quadratisches Programm, das im Regeltakt läuft, findet den Geschwindigkeitsbefehl, der der Ausgabe der Policy am nächsten liegt und alle Barriere-Nebenbedingungen sowie die Geschwindigkeitsgrenzen des Roboters erfüllt. Da die Hindernispositionen von einem gelernten Detektor mit bekannten Fehlerschranken stammen, vergrößert das Team den Sicherheitsabstand um diese Schranke. Während der Tests protokolliert es, wie oft und wie stark der Filter eingreift, was zeigt, wo die Policy selbst mehr Training braucht.

Häufige Missverständnisse

Ein Sicherheitsfilter macht jeden Regler sicher — seine Garantie hängt davon ab, dass Modell, Zustandsschätzung und Aktuatorgrenzen stimmen; Fehler darin müssen beschränkt und berücksichtigt werden
Ein Sicherheitsfilter ersetzt die Planung — er ändert Befehle lokal und kann den Roboter festsitzen lassen oder in eine Verklemmung bringen; um Ziele zu erreichen, wird weiterhin ein Planer gebraucht
Sicherheitsfilter und Control Barrier Function bedeuten dasselbe — eine CBF ist eine Art von Zertifikat; Filter lassen sich auch aus erreichbaren Mengen oder prädiktiven Rückfalltrajektorien bauen

Wer das wissen sollte

Regelungstechniker, die lernbasierte Regler einsetzen
Sicherheitsingenieure für mobile Roboter und Drohnen
Forscher im Reinforcement Learning, die an sicherer Exploration arbeiten
Entwickler für Teleoperation und Shared Autonomy

Open Source Robotics