Einführung in die Erreichbarkeitsanalyse in der sicherheitskritischen Steuerung

Moderne Steuerungssysteme werden zunehmend mit Aufgaben betraut, bei denen das Versagen zu schweren Verletzungen, Umweltschäden oder zum Verlust von Menschenleben führen kann. Von selbstfahrenden Autos, die durch überfüllte Straßen fahren, bis hin zu Roboterarmen, die Operationen durchführen, erfordern diese sicherheitskritischen Anwendungen strenge Sicherheit, dass das System niemals in einen gefährlichen Zustand gelangen wird. Die Erreichbarkeitsanalyse hat sich als grundlegendes Instrument zur Erreichung dieser Garantie herausgestellt. Durch die Berechnung der gesamten Menge von Zuständen, die ein dynamisches System im Laufe der Zeit unter bestimmten Anfangsbedingungen und Steuereingaben erreichen kann, können Ingenieure Sicherheitsbeschränkungen formal überprüfen und Steuerungen entwerfen, die unsichere Regionen vermeiden. Dieser Artikel bietet eine eingehende Untersuchung der Erreichbarkeitsanalyse, ihrer Rolle bei sicherheitskritischen Steuerungen, Schlüsselanwendungen, aktuelle Herausforderungen und zukünftige Richtungen.

Was ist eine Reachability Analysis?

Im Kern ist die Erreichbarkeitsanalyse eine formale Verifikationstechnik, die verwendet wird, um alle möglichen Zustände zu bestimmen, die ein System aus einem gegebenen Satz von Anfangszuständen erreichen kann, vorbehaltlich zulässiger Eingaben und Störungen. Mathematisch betrachtet man ein dynamisches System mit kontinuierlicher Zeit oder diskreter Zeit, das durch gewöhnliche Differentialgleichungen beschrieben wird ℑ(t) = f(x(t), u(t)) oder Differenzgleichungen x+ = f(x, u). Der erreichbare Satz ist definiert als die Sammlung aller Zustände, die aus dem anfänglichen Satz X0 zu einem beliebigen Zeitpunkt in einem gegebenen Horizont [0, T] oder zu einem bestimmten Zeitpunkt erreicht werden können.

Diese Berechnung kann exakt oder annähernd sein. Exakte Methoden wie Quantifikator-Eliminierung oder Zonotop-Ausbreitung gibt es für lineare Systeme, während nichtlineare oder hochdimensionale Systeme oft Über-Approximationen (z. B. unter Verwendung von Polytopen, Ellipsoiden oder Stützfunktionen) oder Unter-Approximationen erfordern. Der Kompromiss zwischen Genauigkeit und rechnerischer Traktionsfähigkeit liegt im Herzen der modernen Erreichbarkeitsforschung.

Schlüsselkonzepte zur Erreichbarkeit

  • Backward vs. Forward – Forward reachability berechnet Zustände, die von einem anfänglichen Satz erreichbar sind; backward reachability berechnet Zustände, die zu einem gegebenen Zielsatz führen können.
  • Exakt vs. Approximate – Exakt erreichbare Sets sind für die meisten nichtlinearen oder hochdimensionalen Systeme rechnerisch unerschwinglich. Über-Approximationen garantieren Sicherheit, riskieren aber falsch positive Ergebnisse; Unter-Approximationen garantieren die Existenz unsicherer Trajektorien, können aber einige verfehlen.
  • Zeitvariant vs. Zeitinvariant - Erreichbare Mengen können für einen festen Zeithorizont (das “Reach-Tube”) berechnet oder über alle Zeiträume akkumuliert werden, um das Steady-State-Verhalten zu erfassen.
  • Set-Darstellungen – Gemeinsame Darstellungen umfassen Zonotope, Polytope, Ellipsoide, Sternsätze und Polynom-Level-Sets, die jeweils unterschiedliche Kompromisse in Genauigkeit und Rechenkosten bieten.

Bedeutung in sicherheitskritischen Kontrollsystemen

In sicherheitskritischen Bereichen ist die Gewährleistung nicht optional. Normen wie ISO 26262 (Automobil), IEC 62304 (Medizinprodukte) und DO-178C (Avionik) erfordern eine strenge Überprüfung, dass Systemgefahren beseitigt oder gemindert werden. Die Erreichbarkeitsanalyse bietet mathematisch nachweisbare Garantien. Im Gegensatz zur Simulation, die nur eine endliche Reihe von Szenarien testet, untersucht die Erreichbarkeit mögliche Verhaltensweisen von und allen, einschließlich Randfällen, die in einer typischen Testsuite möglicherweise nie auftreten.

Konkret hilft die Erreichbarkeit Ingenieuren:

  • Identifizieren Sie Fehlermodi – Durch die Untersuchung, welche Parameter oder Eingaben dazu führen, dass das System in unsichere Zustände eintritt, können Ingenieure Monitore neu gestalten oder hinzufügen.
  • Design-Sicherheitsfilter – Ein auf Erreichbarkeit basierender Sicherheitsfilter kann einen nominalen Controller überschreiben, wenn das System einen sicheren Umschlag hinterlässt, wodurch ein sicherer Betrieb ohne Leistungseinbußen gewährleistet wird.
  • Zertifizierung der Konformität – Formale Sicherheitsnachweise können neben Testdaten bei den Aufsichtsbehörden eingereicht werden, was den Einsatz von Produkten stärkt.

Ein klassisches Beispiel ist das luftgestützte Kollisionsvermeidungssystem (ACAS Xu). Die Erreichbarkeitsanalyse wurde verwendet, um zu überprüfen, dass die Steuerungslogik niemals widersprüchliche Empfehlungen (z. B. "Klettern" auf beide Flugzeuge gleichzeitig) ausgibt, eine kritische Sicherheitseigenschaft. Der Ansatz wurde durch Abstrahieren der Flugzeugdynamik auf ein hochdimensionales System skaliert.

Anwendungen in allen sicherheitskritischen Bereichen

Autonome Fahrzeuge

Autonomes Fahren erfordert den Umgang mit unvorhersehbaren Interaktionen mit Fußgängern, Radfahrern und anderen Fahrzeugen in Echtzeit. Die Erreichbarkeitsanalyse spielt eine doppelte Rolle: (1) in der Planungsschicht stellt sie sicher, dass sich die generierten Trajektorien nicht mit den möglichen erreichbaren Sätzen anderer Agenten schneiden; (2) in der Verifizierungsschicht überprüft sie, dass die Wahrnehmungs-zu-Steuerungs-Pipeline des Fahrzeugs niemals eine Trajektorie steuert, die zu einer Kollision führt, selbst bei Sensorausfällen oder Modellunsicherheiten.

Zum Beispiel wurde das Hamilton-Jacobi-Erreichbarkeit-Framework angewendet, um sichere Sätze für Spurwechsel und Kreuzung zu berechnen. Durch die Berücksichtigung des schlimmsten Verhaltens anderer Verkehrsteilnehmer (z. B. maximale Beschleunigung / Verzögerung) kann ein autonomes Fahrzeug Manöver planen, die nachweislich Kollisionen vermeiden. Untersuchungen zeigen, dass erreichbarkeitsbasierte Sicherheitsfilter die Kollisionsraten um Größenordnungen im Vergleich zu rein reaktiven Systemen reduzieren können.

Externer Link: Für eine detaillierte Umfrage zur Erreichbarkeit für autonomes Fahren siehe "Erreichbarkeitsanalyse für autonomes Fahren: eine Umfrage" in den Annual Reviews in Control.

Medizinprodukte

Medizinische Systeme wie Insulinpumpen, Beatmungsgeräte und Roboter-Chirurgie-Tools müssen die Patientensicherheit gewährleisten. Die Erreichbarkeitsanalyse überprüft, ob die Geräteausgänge (z. B. Medikamentenabgaberate, Schnittkraft) innerhalb physiologischer Grenzen bleiben. In einem automatisierten Insulinabgabesystem muss der Kontrollalgorithmus beispielsweise sicherstellen, dass der Blutzucker niemals in eine schwere Hypoglykämie fällt. Die Erreichbarkeit berechnet die Menge aller möglichen Glukose-Trajektorien bei Mahlzeitenunsicherheit, Bewegung und Sensorrauschen, wodurch die Gestaltung eines Controllers ermöglicht wird, der den Patienten sicher hält.

In der Roboterchirurgie, wo eine verlorene Verbindung oder Kommunikationsverzögerung zu Gewebeschäden führen kann, stellt die Erreichbarkeit sicher, dass der Endeffektor des Roboters im verifizierten sicheren Arbeitsbereich bleibt. Formale Verifizierungstools wie CORA (Continuous Reachability Analyzer) wurden verwendet, um medizinische Robotersteuerungssoftware vor dem klinischen Einsatz zu validieren.

Externer Link: Erfahren Sie mehr über Erreichbarkeit in der medizinischen Robotik aus diesem Forschungsartikel in Autonomous Robots.

Industrielle Automatisierung und Robotik

Die Herstellung von Zellen mit kollaborativen Robotern muss versehentliche Kollisionen mit menschlichen Arbeitern verhindern. Die Erreichbarkeitsanalyse wird verwendet, um die Menge aller Positionen und Geschwindigkeiten zu berechnen, die ein Roboterarm in einem bestimmten Zeithorizont erreichen kann. Sicherheitssteuerungen setzen dann einen Mindestabstand durch, selbst wenn es sich um ungünstigste Gelenkgrenzen oder Nutzlastschwankungen handelt. Der Ansatz gilt auch für Exoskelette und Prothesen, bei denen die Mensch-Roboter-Interaktion Sicherheitsgarantien erfordert.

Bei der Prozesssteuerung (z. B. chemische Reaktoren) wird durch die Erreichbarkeitsanalyse überprüft, dass Temperatur und Druck während des Anfahrens, Abschaltens oder Fehlerszenarios niemals sichere Schwellenwerte überschreiten. Durch die Berechnung des erreichbaren Satzes unter allen möglichen Ventilöffnungssequenzen können Bediener sichere Verfahrensbeschränkungen ableiten.

Luft- und Raumfahrt

Luft- und Raumfahrtsysteme sind seit langem Pioniere formaler Methoden. Die Erreichbarkeitsanalyse ist unerlässlich, um Systeme zum Schutz von Flugumhüllen zu überprüfen, die Ställe und Übergeschwindigkeiten verhindern. Für unbemannte Luftfahrzeuge, die in engen Formationen oder in der Nähe von Flugverbotszonen betrieben werden, bietet die Erreichbarkeit kollisionsfreie Flugbahngarantien. Das NASA Langley Research Center hat stark in Erreichbarkeitstools für das Flugverkehrsmanagement investiert, um Konfliktlösungsempfehlungen für mehrere Flugzeuge zu überprüfen.

„Die Erreichbarkeitsanalyse ist der einzige Weg, um einen mathematisch strengen Beweis dafür zu liefern, dass ein sicherheitskritisches Flugzeugsystem niemals seinen Umschlag verletzen wird. – National Academies report on Aviation Safety.

Computational Methods und Algorithmen

Die Erreichbarkeitsanalyse ist rechnerisch anspruchsvoll. Bei linearen Systemen kann der erreichbare Satz mithilfe von Zonotopenoperationen (Minkowski-Summen, lineare Karten) mit polynomieller Zeitkomplexität genau berechnet werden.

  • ] Taylor-Modell-Propagation - Verwendung von Taylor-Serienerweiterungen und Intervallarithmetik, um die Entwicklung der nichtlinearen Dynamik zu über-annähern (z. B. Flow *).
  • Hamilton-Jacobi Erreichbarkeit – Lösen einer partiellen Differentialgleichung (die Hamilton-Jacobi-Bellman-Gleichung), um den erreichbaren Satz als Pegelsatz einer Wertefunktion zu berechnen. Behandelt nichtlineare Systeme mit Kontrolle und Störung, leidet aber unter dem "Fluch der Dimensionalität".
  • Abstraktionsbasierte Methoden – Bauen Sie einen Finite-State-Automaten, der die kontinuierliche Dynamik nachahmt, und wenden Sie dann eine Modellprüfung an, um die Sicherheitseigenschaften zu überprüfen.
  • Neurale Netzwerküberprüfung – Die Erreichbarkeit von Systemen mit neuronalen Netzwerkcontrollern wird durch Techniken wie ReLU-Dekomposition und konvexe Rumpf-Näherung erweitert, um Sätze durch versteckte Schichten zu verbreiten.

Jede Methode präsentiert Kompromisse in Skalierbarkeit, Konservatismus und Rechenkosten. Für einen umfassenden Überblick konsultieren Sie "Reachability Analysis of nonlinear systems: a survey" im Journal of Systems Science and Complexity.

Das richtige Tool auswählen

Es stehen mehrere Open-Source-Toolboxen für Erreichbarkeit zur Verfügung: CORA (für lineare/nichtlineare Dauer), JuliReach (Julia-basiert), SpaceEx (für lineare Systeme mit großem Zustandsraum), HyLAA (für neuronale Netzwerk-Controller). Die Wahl hängt vom Systemmodell, der Dimension und der erforderlichen Genauigkeit ab. Viele Ingenieure kombinieren Tools: Verwenden Sie eine schnelle Über-Approximation für Echtzeit-Sicherheitsfilter und eine genauere (aber langsamere) Analyse für die Offline-Zertifizierung.

Herausforderungen und Einschränkungen

Trotz ihrer Stärken steht die Erreichbarkeitsanalyse vor grundlegenden Hürden:

Computational Skalierbarkeit

Die Größe des erreichbaren Satzes wächst im schlimmsten Fall exponentiell mit der Zustandsdimension (Fluch der Dimensionalität). Für ein 10-Zustands-Fahrzeugmodell kann eine genaue erreichbare Satzberechnung möglich sein; für ein 50-Zustands-Antriebsstrangmodell muss auf zu konservative Näherungswerte zurückgegriffen werden. Techniken wie Zersetzung (Unabhängigkeit oder schwache Kopplung) und Monotonie können die Komplexität verringern, sind aber nicht universell anwendbar.

Unsicherheit und Störungen

Reale Systeme unterliegen unbekannten externen Störungen (z. B. Windböen, Sensorgeräusche) und parametrischen Unsicherheiten (z. B. Massenschwankungen). Die Erreichbarkeitsanalyse muss diese als begrenzte Mengen berücksichtigen, die daraus resultierenden erreichbaren Mengen können jedoch sehr groß sein, was zu restriktiven Sicherheitsbeschränkungen führt. Die probabilistische Erreichbarkeit (die Risiken anstelle von Worst-Case-Grenzen berechnet) ist ein aktives Forschungsgebiet, hat jedoch derzeit nicht den gleichen Reifegrad für die Zertifizierung.

Verifizierung vs. Validierungslücke

Die Erreichbarkeitsanalyse beweist die Eigenschaften eines Modells, nicht des physikalischen Systems. Modellfehler (z. B. unmodellierte Reibung, Verzögerungen) können den Sicherheitsnachweis ungültig machen. Die Überbrückung dieser Lücke erfordert eine sorgfältige Modellkalibrierung und Robustheitsanalyse. Hybridansätze, die Erreichbarkeit mit Laufzeitüberwachung kombinieren, gewinnen an Zugkraft.

Integration in die Echtzeitkontrolle

Aktuelle Erreichbarkeitsalgorithmen, insbesondere für nichtlineare Systeme, sind im Betrieb zu langsam online zu laufen. Viele Anwendungen nutzen Erreichbarkeit offline, um ein Sicherheits-Orakel (z. B. eine Lookup-Tabelle mit sicheren Geschwindigkeiten) zu generieren, das der Echtzeit-Controller abfragt. Aber für Systeme, die auf unvorhersehbare Veränderungen reagieren müssen (z. B. ein Fußgänger, der auf die Straße fliegt), ist eine Online-Recomputation des erreichbaren Sets erforderlich. Fortschritte bei GPU-beschleunigten Algorithmen und Modellen mit reduzierter Ordnung bieten Hoffnung, aber produktionsbereite Online-Erreichbarkeit bleibt selten.

Zukünftige Richtungen

Echtzeit-Erreichbarkeit mit Machine Learning

Die neusten Fortschritte nutzen neuronale Netze, um erreichbare Mengen oder deren Grenzen zu approximieren. Zum Beispiel kann ein gelerntes Vorwärtsmodell schnell vorhersagen, in welche Regionen das System eintreten könnte, was die Notwendigkeit einer vollständigen symbolischen Berechnung reduziert. Solche gelernten Surrogate müssen jedoch selbst verifiziert werden, was eine zirkuläre Abhängigkeit erzeugt, die erst jetzt von der Verifikationsgemeinschaft für neuronale Netze in Angriff genommen wird.

Probabilistische Erreichbarkeit

Anstatt zu fragen „Ist das System jemals in einem unsicheren Zustand?, fragt die probabilistische Erreichbarkeit „Wie hoch ist die Wahrscheinlichkeit, dass man in einen unsicheren Zustand eintritt, wenn man ein stochastisches Störungsmodell erhält? Dies ist praktischer für viele Anwendungen, bei denen ein geringes Risiko akzeptabel ist. Tools wie ProbReach und SReach kombinieren stochastische Mengenausbreitung mit dynamischer Programmierung. Zukünftige Standards können formale Risikogrenzen akzeptieren und die Einführung in Branchen beschleunigen, in denen absolute Sicherheit nicht möglich ist.

Zusammensetzungs-Erreichbarkeit

Große Systeme bestehen aus Komponenten (Sensoren, Steuerungen, Aktoren). Die Erreichbarkeit in der Zusammensetzung zerlegt das Gesamtproblem in kleinere Erreichbarkeitsanalysen für jede Komponente und erstellt dann die Ergebnisse. Dieser Ansatz ist für die Skalierung auf komplexe Systeme wie autonome Fahrzeugstapel mit Dutzenden von interagierenden Modulen unerlässlich. Erste Ergebnisse zeigen, dass die Erreichbarkeit in der Zusammensetzung mit sorgfältigen Schnittstellenannahmen die Rechenzeit um Größenordnungen reduzieren kann, während die Sicherheit erhalten bleibt.

Integration mit Run‐Time Assurance

Statt eines einmaligen Sicherheitsnachweises kann die Erreichbarkeitsanalyse innerhalb eines Run-Time Assurance (RTA)-Frameworks eingesetzt werden. Im Betrieb vergleicht das RTA-System den aktuellen Zustand des Systems ständig mit einem vorberechneten "Safe Set" von Zuständen, aus denen eine Wiederherstellung möglich ist. Wenn das System zur Grenze hin abweicht, übernimmt ein Backup-Controller. Diese Architektur wird bereits bei einigen NASA-Flugtests eingesetzt und wird für autonome Straßenfahrzeuge erforscht.

Schlussfolgerungen und Empfehlungen

Die Erreichbarkeitsanalyse ist ein Eckpfeiler der modernen sicherheitskritischen Steuerungstechnik. Sie bietet die einzige formale Methode, die garantiert, dass ein System niemals in einen unsicheren Zustand gelangt, was die begrenzte Abdeckung von Simulation und Testing übertrifft. Von autonomen Autos und medizinischen Geräten bis hin zu Luft- und Raumfahrt- und Industrierobotern hat sich die Erreichbarkeit als wertvoll erwiesen, um katastrophale Ausfälle zu verhindern.

  • Nehmen Sie die Erreichbarkeitsanalyse frühzeitig im Designzyklus an, nicht als nachträglichen Einfall, um die Controller-Architektur zu leiten.
  • Kombinieren Sie die genaue (oder über-approximative) Erreichbarkeit für die Offline-Verifizierung mit vereinfachten, schnellen Näherungswerten für Online-Sicherheitsfilter.
  • Investieren Sie in eine strenge Modellvalidierung, um sicherzustellen, dass das verifizierte Modell die physische Anlage genau darstellt.
  • Bleiben Sie auf dem Laufenden über neue Tools (z. B. kompositorische Erreichbarkeit, probabilistische Methoden), die versprechen, die Reichweite der Erreichbarkeit auf größere Klassen von Systemen zu erweitern.

Da Steuerungssysteme immer autonomer und sicherheitskritischer werden, bleibt die Erreichbarkeitsanalyse ein unverzichtbares Werkzeug. Kontinuierliche Forschung, gepaart mit der industriellen Einführung formaler Methoden, wird die nächste Generation nachweisbar sicherer Steuerungssysteme vorantreiben.

Zum weiteren Lesen erkunden Sie das Reachability Toolbox Repository, das von der Community gepflegt wird, oder das Lehrbuch “Safety-Critical Control Systems: A Formal Methods Approach.”