Restricciones, conjuntos seguros y funciones barrera

Un controlador observa un estado cercano al límite permitido y reduce la acción que pretendía aplicar. La acción corregida parece adecuada en el instante de la medición. Sin embargo, si permanece fija mientras el sistema sigue moviéndose, el límite puede cruzarse antes de la siguiente actualización. La restricción exige una propiedad de la trayectoria, mientras el cálculo del controlador se realiza a partir de información disponible en momentos concretos.

Las funciones barrera permiten expresar esa diferencia mediante desigualdades verificables. Su utilidad depende de que la dinámica, las acciones disponibles y el modo de actualización estén incluidos en el problema. Los ejemplos que siguen son construcciones matemáticas normalizadas. Compararemos soluciones exactas, sin interpretar una simulación que permanece dentro de los límites como prueba suficiente de que todas las trayectorias lo harán.

El conjunto permitido y la propiedad que se quiere conservar

Consideremos primero un sistema escalar continuo:

El estado $x$ representa una desviación normalizada. El tiempo se expresa en unidades del modelo; el coeficiente de disipación se ha fijado en uno por unidad de tiempo. La entrada $u$ y la perturbación $d$ tienen unidades de cambio del estado por unidad de tiempo. El actuador admite únicamente $u\in[-2,2]$. La restricción elegida es permanecer en $C=[-1,1]$.

Decir que un controlador hace invariante hacia delante a $C$ significa que toda trayectoria que empieza dentro de ese intervalo permanece en él durante su evolución. La condición inicial forma parte de la afirmación. Esta propiedad no asegura que una trayectoria que empieza fuera entre en el intervalo, ni que dentro de él alcance una referencia particular. El término «seguro» se utilizará aquí para ese cumplimiento de las restricciones especificadas.

En el sistema sin perturbación, la entrada constante cero mantiene el intervalo: la disipación lleva el estado hacia el origen. Pero otro controlador puede perseguir una referencia exterior o aplicar una acción que lo acerque demasiado a un extremo. La existencia de alguna acción segura no implica que cualquier regla de control preserve el conjunto. El problema de síntesis consiste en seleccionar acciones que satisfagan la restricción junto con otros objetivos compatibles.

Prajna, Jadbabaie y Pappas (2007) desarrollan certificados barrera para verificar que las trayectorias de sistemas continuos e híbridos evitan regiones prohibidas. Su formulación distingue el caso de peor escenario de una verificación estocástica que proporciona cotas de probabilidad. Esa distinción afecta al significado de la garantía. Verificar una dinámica ya especificada y diseñar una entrada que mantenga una restricción son tareas relacionadas; la segunda debe incluir las posibilidades reales del actuador.

Para el ejemplo supondremos inicialmente que el estado se conoce exactamente y que la acción puede actualizarse continuamente. Con entradas y perturbaciones acotadas, la solución del sistema lineal existe para todo tiempo. Más adelante cambiaremos la implementación a acciones constantes entre mediciones y volveremos a calcular la condición correspondiente. No trasladaremos la garantía de un modo de ejecución al otro sin comprobarla.

Una desigualdad que impide agotar el margen

Representemos los dos límites mediante $h_+(x)=1-x$ y $h_-(x)=1+x$. Ambos márgenes son no negativos precisamente dentro de $C$. El primero mide cuánto falta para el límite superior; el segundo, para el inferior. Una condición suficiente de conservación consiste en exigir, para cada margen,

El parámetro $\kappa$ tiene unidades inversas de tiempo. La desigualdad permite que el margen disminuya cuando es positivo, pero limita la rapidez de esa disminución. En la frontera, donde el margen vale cero, exige que su derivada no sea negativa. El controlador puede acercarse al límite sin producir una velocidad que lo atraviese desde la frontera.

La razón se obtiene multiplicando por $e^{\kappa t}$. La derivada del producto $e^{\kappa t}h(t)$ es no negativa si se cumple la desigualdad. Por tanto, $h(t)\ge e^{-\kappa t}h(0)$. Un margen inicial no negativo permanece no negativo. Este argumento debe aplicarse a lo largo de la trayectoria; comprobar la desigualdad una sola vez no establece su cumplimiento posterior.

En sistemas generales hay que considerar la regularidad de las funciones y del controlador, la existencia de soluciones y el dominio donde se cumple la condición. Ames y colaboradores (2017) formulan funciones barrera de control para sistemas afines en la entrada y relacionan las entradas que satisfacen sus desigualdades con invariancia. Su resultado requiere seleccionar entradas admisibles y respetar las hipótesis de regularidad. La condición de barrera no crea una entrada factible donde el conjunto disponible no la contiene.

En nuestro sistema, fijemos $d=0$ y $\kappa=2$. Sustituyendo las dos derivadas se obtiene el intervalo de entradas:

Debe intersectarse con la saturación física $[-2,2]$. Para todos los estados entre menos uno y uno, esa intersección es no vacía. En el extremo superior, por ejemplo, exige $u\le1$; en el inferior exige $u\ge-1$. La disipación aporta parte de la acción necesaria para no salir.

Las dos desigualdades se imponen a la misma entrada. En problemas con varias restricciones, encontrar una acción para cada una por separado no demuestra que exista una acción que las satisfaga simultáneamente. El conjunto permitido para el controlador es la intersección de todas las condiciones y de los límites del actuador. Su factibilidad debe acompañar a la prueba de invariancia.

Filtrar una acción nominal

Supongamos que otro componente propone la acción nominal $u_{\mathrm{nom}}=2$. Podemos buscar la entrada admisible más cercana mediante el problema cuadrático

En una dimensión, la solución consiste en proyectar la acción nominal sobre el intervalo factible. Si ya pertenece a él, se conserva; si lo excede, se utiliza el extremo más próximo. La función objetivo es estrictamente convexa y el intervalo es cerrado, de modo que la solución es única cuando existe. Los extremos dependen de forma continua y por tramos lineal del estado, lo que también da una regla de control regular en este ejemplo.

Desde $x=0{,}9$, la entrada nominal se reduce a $u=1{,}1$. Si el filtro se actualiza continuamente, mientras el estado sea positivo aplica $u=2-x$. La dinámica resultante es $\dot x=2-2x$, cuya solución desde ese estado es $x(t)=1-0{,}1e^{-2t}.$

El estado se aproxima al límite superior sin cruzarlo. Al cabo de una unidad de tiempo vale aproximadamente $0{,}98647$. El margen nunca se agota en tiempo finito. La acción elegida conserva la restricción, aunque no lleva el estado al origen: el objetivo nominal sigue empujándolo hacia arriba.

La misma fórmula de realimentación aclara qué sucede con una condición inicial exterior. Si se comienza en $x=1{,}1$ y se mantiene $u=2-x$, la trayectoria es $x(t)=1+0{,}1e^{-2t}$. Se acerca al conjunto y reduce continuamente la violación, pero permanece fuera en cualquier tiempo finito. La desigualdad de margen puede cumplirse con un margen inicialmente negativo sin producir una entrada finita al conjunto. Para exigir recuperación antes de un plazo hay que formular esa propiedad adicional y comprobar que las entradas disponibles permiten conseguirla. Una convergencia asintótica hacia la frontera, una entrada efectiva en el conjunto y su conservación posterior son resultados diferentes, aunque compartan parte de la matemática.

La minimización realiza una comparación instantánea entre entradas. No demuestra que la trayectoria obtenida minimice un coste acumulado ni que alcance cualquier objetivo compatible con el conjunto. La formulación de Ames y colaboradores combina restricciones barrera con objetivos expresados mediante funciones de Lyapunov; aun en esa combinación, la seguridad y el progreso hacia un objetivo dependen de condiciones diferentes. En nuestro filtro se ha penalizado únicamente la desviación respecto a la acción propuesta.

Esta separación permite cambiar el generador de la acción nominal sin cambiar la pregunta que responde el filtro. Podría provenir de un controlador lineal, de una planificación o de una política aprendida. La garantía procede de la entrada finalmente aplicada y de su relación con la dinámica. Si un proceso posterior modifica esa entrada, la comprobación debe repetirse sobre la acción efectiva.

Penalizar una violación cambia la afirmación

Consideremos el extremo $x=1$, sin perturbación. La condición dura exige $u\le1$. Imaginemos que se permite relajarla mediante una variable $s\ge0$, de modo que $u\le1+s$, y se minimiza

Una penalización grande hace costosa la relajación, pero no la prohíbe. Para este caso, la solución es $s=1/(1+\rho)$ y $u=1+s$. Si $\rho=9$, resulta $s=0{,}1$ y $u=1{,}1$. La derivada del estado en el límite es entonces positiva: $\dot x=0{,}1$. La acción respeta la saturación del actuador y, sin embargo, empuja fuera del conjunto.

El problema relajado prefiere esa solución porque su coste es $0{,}45$, frente a $0{,}5$ al utilizar la entrada dura $u=1$ sin relajación. El resultado es correcto para el objetivo que se le dio. Lo que cambió fue la especificación: se autorizó intercambiar una violación de la condición por una mejora en la proximidad a la acción nominal. Ningún valor finito de la penalización elimina completamente la relajación en este ejemplo.

Conviene distinguir esta operación de relajar una condición de rendimiento conservando intacta la barrera. Si se permite reducir la rapidez de convergencia a un objetivo, puede mantenerse la invariancia siempre que las restricciones barrera y de entrada sigan siendo conjuntamente factibles. Si se permite violar la barrera, la demostración anterior ya no proporciona la misma garantía. La documentación del controlador debe indicar qué condición puede ceder y qué propiedad queda establecida cuando lo hace.

La magnitud de una penalización tampoco tiene un significado independiente de la normalización. Multiplicar un margen por una constante positiva conserva el conjunto definido por su signo y, si se multiplican ambos lados, conserva su desigualdad dura. En cambio, una variable de relajación añadida después de esa transformación queda expresada en otra escala. Mantener el mismo peso numérico en el objetivo cambia entonces el precio efectivo de la violación original. Comparar penalizaciones entre implementaciones exige conocer cómo se normalizaron funciones y variables. Un valor aparentemente enorme no representa por sí mismo una prioridad absoluta de la restricción.

Incorporar una perturbación acotada

Volvamos a imponer restricciones duras. Ahora suponemos que $d(t)$ es una perturbación medible que puede variar en el tiempo y satisface $|d(t)|\le\delta$. Su valor instantáneo no se conoce al elegir la entrada. Una garantía robusta para el conjunto original exige satisfacer cada desigualdad bajo todos los valores permitidos de la perturbación.

Para el límite superior, el peor caso es una perturbación positiva; para el inferior, una negativa. Con un valor general de $\kappa$, las entradas deben cumplir

además de la saturación. Para $\kappa=2$ y $\delta=0{,}2$, el intervalo se convierte en $[-1{,}8-x,\,1{,}8-x]$. Sigue siendo factible en todo $C$ al intersectarlo con las entradas físicas. En $x=0{,}9$, el filtro de la acción nominal dos selecciona ahora $u=0{,}9$.

La diferencia puede verse exactamente. Si se utilizara el filtro nominal $u=2-x$ con la perturbación constante $d=0{,}2$, el estado seguiría $x(t)=1{,}1-0{,}2e^{-2t}$. Alcanzaría el límite en $(\log2)/2$, aproximadamente $0{,}3466$ unidades de tiempo, y después lo cruzaría. La garantía nominal correspondía a otra dinámica.

Con el filtro robusto actualizado continuamente, la rama pertinente es $u=1{,}8-x$. Bajo la perturbación positiva máxima, la dinámica vuelve a ser $\dot x=2-2x$ y se recupera la trayectoria que permanecía bajo uno. El margen adicional compensa exactamente el peor empuje considerado. Para perturbaciones variables dentro de la cota, las desigualdades de ambos márgenes siguen cumpliéndose y conservan el intervalo.

Xu y colaboradores (2015, versión corregida de 2016) analizan la robustez de funciones barrera frente a perturbaciones. Para perturbaciones persistentes, parte de sus resultados conserva un conjunto relajado cuyo tamaño depende de la perturbación. Kolathaya y Ames (2019) formalizan una noción de seguridad entrada–estado mediante una ampliación de ese tipo. Permanecer cerca del conjunto original y permanecer dentro de él son garantías distintas. La desigualdad robusta que hemos calculado busca explícitamente la segunda para la cota declarada.

La cota también tiene un alcance temporal y operacional. Si solo describe los errores observados en una muestra, todavía falta justificar que cubra los errores durante la ejecución considerada. Si la perturbación pertenece a un modelo probabilístico con valores sin cota finita, esta demostración determinista no se aplica tal cual. Habría que cambiar la afirmación, por ejemplo a una cota de probabilidad de incumplimiento, y derivarla bajo ese modelo.

Dos causas diferentes de falta de factibilidad

Una intersección vacía puede revelar un límite del actuador o una condición suficiente demasiado exigente. Podemos distinguirlos dentro del mismo sistema. Aumentemos la cota de perturbación hasta $\delta=2{,}5$, conservando $\kappa=2$. Las desigualdades robustas exigen simultáneamente $u\ge0{,}5-x$ y $u\le-0{,}5-x$. Son incompatibles para cualquier estado, incluso antes de aplicar la saturación. El filtro no tiene solución bajo esas condiciones.

Sin embargo, el conjunto original todavía puede conservarse. Dentro del intervalo, consideremos $u=-2x$, que respeta la saturación. La dinámica pasa a ser $\dot x=-3x+d$. En el extremo superior, aun con la perturbación positiva máxima, la derivada vale $-0{,}5$; en el inferior, con la perturbación negativa máxima, vale $0{,}5$. En ambos extremos apunta hacia dentro.

También puede comprobarse toda la trayectoria. La solución es la suma del estado inicial multiplicado por $e^{-3t}$ y una integral de la perturbación con un núcleo positivo. La contribución máxima de esa integral es $(2{,}5/3)(1-e^{-3t})$. Como $2{,}5/3<1$, las envolventes superior e inferior permanecen dentro de los límites si el estado inicial pertenece a ellos. Existe, por tanto, un control robusto para el conjunto aunque la elección anterior de barrera no lo certifique.

Al cambiar a $\kappa=3$, el intervalo robusto es $[-2x-0{,}5,\,-2x+0{,}5]$. Contiene precisamente la acción $-2x$. La nueva condición certifica el controlador que acabamos de verificar por solución directa. Aumentar el parámetro permite una reducción más rápida del margen en el interior; en la frontera sigue exigiendo la misma dirección no saliente. La falta de factibilidad anterior estaba asociada con esa restricción sobre la evolución del margen.

La situación cambia si la cota de perturbación alcanza $\delta=3{,}2$. En $x=1$, la acción más negativa disponible es $u=-2$. Bajo la perturbación positiva máxima, la derivada es $0{,}2$. Ninguna entrada permitida puede evitar que esa trayectoria salga desde el extremo. El intervalo completo ya no puede ser robustamente invariante frente a todas las perturbaciones declaradas.

Modificar $\kappa$ no elimina esta imposibilidad: cuando el margen es cero, el término que contiene ese parámetro también lo es. La dificultad procede de la dinámica y la capacidad de actuación en la frontera. Cambiar el conjunto permitido, mejorar el actuador o reducir justificadamente la clase de perturbaciones define otro problema. Aceptar una relajación numérica solo hace posible resolver la optimización; no restaura la propiedad que el sistema no puede cumplir.

Estos casos dan significado a un diagnóstico de inviabilidad. Antes de concluir que el sistema es físicamente incapaz, conviene examinar si existe otra condición suficiente o un subconjunto controlable adecuado. Antes de concluir que basta ajustar parámetros, conviene comprobar las direcciones posibles en los extremos críticos. La distinción evita interpretar el estado del optimizador como una descripción completa de las posibilidades dinámicas.

Lo que sucede mientras se retiene una entrada

Regresemos a $\delta=0$ y $\kappa=2$. El filtro calculó $u=1{,}1$ en $x=0{,}9$. Supongamos ahora que esa entrada se mantiene constante durante una unidad de tiempo. El sistema sigue siendo continuo; solo el controlador se actualiza de forma discreta. La solución durante el intervalo es

Se alcanza el límite en $t=\log2$, aproximadamente $0{,}6931$, y al final del intervalo el estado vale $1{,}02642$. La entrada satisfacía la condición barrera al calcularse, pero dejó de satisfacerla conforme cambió el estado. En particular, cuando se alcanza uno todavía se aplica una entrada superior a la permitida en la frontera.

El resultado contrasta con el control continuamente actualizado, que producía $1-0{,}1e^{-2t}$. No se trata de dos métodos numéricos aproximando la misma trayectoria: son dos leyes de aplicación de la entrada y, por tanto, dos trayectorias distintas. La retención debe estar incluida en el sistema que se analiza si ese es el modo de funcionamiento del controlador.

Breeden, Garg y Panagou (2022) estudian condiciones barrera para sistemas con controles constantes por tramos y períodos de actualización fijos. Sus condiciones introducen información sobre la evolución entre muestras. La motivación es precisamente que una desigualdad continua comprobada solo en los instantes de actualización puede perder validez después. Los márgenes necesarios dependen de la dinámica, del conjunto de entradas y del período.

Una barrera puramente discreta puede exigir que el margen en el siguiente estado sea no negativo, o que conserve una fracción no negativa del margen actual. Si esa condición se cumple en cada transición y el margen inicial es no negativo, la invariancia de los estados discretos se sigue por inducción. Para un proceso que existe solamente en esos pasos, esa puede ser la propiedad adecuada.

Para una planta física continua observada por muestreo, todavía queda por estudiar el tramo entre ambos estados. En una dinámica general, una trayectoria puede cruzar un límite y regresar antes de la siguiente observación. Comprobar extremos seguros no descarta ese recorrido. En nuestro escalar obtendremos una garantía adicional porque podemos calcular envolventes que son monótonas durante cada retención; esa propiedad específica hará suficiente comprobar sus extremos.

Una condición exacta para el controlador muestreado

Sea $\Delta$ el período de actualización. Si la entrada se mantiene constante y la perturbación satisface $|d(t)|\le\delta$, la fórmula de variación de constantes da

El núcleo de la integral es positivo. Por ello, reemplazar la perturbación por su cota positiva produce una envolvente superior; reemplazarla por su cota negativa produce una inferior. Esta comparación cubre cualquier perturbación medible dentro de la cota, incluso si cambia rápidamente. No hace falta suponer que la perturbación real permanezca constante durante el intervalo.

Exigir que ambas envolventes terminen dentro del intervalo proporciona, con $r=e^{-\Delta}$, la condición

La intersección con $[-2,2]$ vuelve a expresar la limitación del actuador. Cada envolvente tiene la forma $e^{-t}x_0+(1-e^{-t})(u\pm\delta)$. Su derivada mantiene un signo constante durante la retención. Si el estado inicial y el extremo final de cada envolvente están dentro del intervalo, todos sus valores intermedios también lo están. Como la trayectoria real queda entre ellas, tampoco sale.

Esta demostración aprovecha la estructura del sistema escalar. La monotonicidad no se ha deducido de observar unos cuantos puntos simulados; se obtiene de la fórmula de las envolventes. En sistemas con varios estados, oscilaciones o restricciones curvas, hace falta otra justificación para controlar el tramo. Las técnicas barrera para muestreo desarrollan precisamente cotas que pueden utilizarse cuando no se dispone de una solución tan simple.

Para $x_0=0{,}9$, $\delta=0{,}2$ y $\Delta=1$, el intervalo de entradas, tras aplicar la saturación, es aproximadamente $[-1{,}90576,\,0{,}85820]$. Proyectar la acción nominal dos selecciona el extremo superior. Bajo la perturbación positiva máxima, la trayectoria llega exactamente a uno al final del intervalo y permanece dentro hasta entonces. Si la perturbación es menor o cambia de signo, la envolvente sigue proporcionando la misma cota superior.

La entrada $0{,}9$ calculada por la barrera robusta continua no sería suficiente bajo esa retención. Con perturbación constante $0{,}2$ volvería a producir $1{,}1-0{,}2e^{-t}$ y cruzaría el límite antes de actualizarse. Compensar la perturbación y compensar la falta de actualización son dos exigencias distintas. Haber incorporado una de ellas al controlador no incorpora automáticamente la otra.

El período modifica las acciones que pueden mantenerse sin salir. Con el mismo estado inicial y la misma cota de perturbación, el extremo superior permitido es aproximadamente $1{,}75083$ para un período de $0{,}1$ y $0{,}95415$ para un período de $0{,}5$. Una acción más intensa puede ser admisible durante un intervalo más corto. Esto tampoco significa que la condición muestreada deba ser siempre más restrictiva que una barrera continua con un parámetro fijo: esas condiciones limitan la evolución de formas diferentes.

Para obtener una garantía reiterada, se vuelve a medir el estado al final de cada período y se selecciona una entrada del intervalo correspondiente. Con la cota $0{,}2$ y la saturación indicada, ese intervalo es no vacío para todo estado de $C$. La propiedad de un paso puede encadenarse: cada tramo empieza dentro y termina dentro, y sus envolventes permanecen dentro. Si faltara factibilidad en algún estado alcanzado, esta argumentación reiterada quedaría incompleta.

Hay un segundo sentido de seguridad que requiere distinguirse de la invariancia demostrada aquí. Cosner y colaboradores (2023) estudian funciones barrera de tiempo discreto bajo perturbaciones estocásticas que pueden carecer de una cota determinista. Su análisis establece límites probabilísticos para la permanencia en el conjunto seguro durante horizontes finitos, bajo las hipótesis del modelo y de la condición barrera en esperanza. Esa conclusión difiere de la envolvente escalar de este capítulo, que garantiza permanencia para todas las perturbaciones que satisfacen $|d(t)|ledelta$. Cuando el ruido puede superar cualquier límite fijo, una cota de probabilidad durante un intervalo no equivale a invariancia determinista para toda trayectoria y todo tiempo. Los resultados tampoco deben trasladarse sin revisión desde una planta genuinamente discreta a una planta continua controlada por retención entre muestras.

La incertidumbre del estado también consume margen

Hasta ahora conocíamos el estado al elegir la entrada. Si solo disponemos de una estimación $\hat x$ con error acotado por $\eta$, las restricciones deben considerar todos los estados compatibles. Para el intervalo robusto continuo con $\kappa=2$ y $\delta=0{,}2$, el extremo superior más restrictivo corresponde a $x=\hat x+\eta$; el inferior más restrictivo, a $x=\hat x-\eta$.

Con $\hat x=0{,}9$ y $\eta=0{,}05$, el máximo permitido por la condición continua baja de $0{,}9$ a $0{,}85$. La reducción procede del error de localización, además del margen ya reservado para la perturbación dinámica. Aplicar la desigualdad únicamente a la estimación central omitiría estados posibles más próximos al límite. Para una implementación muestreada se deben introducir también esos extremos iniciales en las envolventes del intervalo.

La condición inicial exige la misma atención. Una estimación cuyo intervalo de error cruza el límite no certifica que el sistema esté inicialmente en $C$. Un controlador que conserva un conjunto desde su interior no resuelve por sí solo esa falta de información. Hace falta conocer un conjunto inicial compatible con la garantía, o formular y demostrar otra propiedad que incluya las posibilidades exteriores.

La cota del error de estimación debe mantenerse bajo las condiciones de operación consideradas. Un retraso de comunicación puede ampliar el conjunto de estados posibles porque la planta ha evolucionado desde la medición. Incorporar ese efecto requiere propagar el conjunto durante el retraso usando entradas y perturbaciones admisibles. La acción finalmente elegida debe comprobarse frente a ese conjunto propagado, no frente a una medición pasada tratada como si fuera actual.

Cuando la posición no contiene toda la restricción dinámica

Consideremos ahora un sistema diferente: un doble integrador con posición $p$, velocidad $v$ y aceleración controlada. Sus ecuaciones son $\dot p=v$ y $\dot v=u$, con $u\in[-1,1]$. Hay una pared idealizada en $p=1$ y se permite tocarla sin sobrepasarla. No imponemos un límite inferior a la posición ni incluimos perturbaciones en este ejemplo.

La condición geométrica $p\le1$ admite estados desde los que ya no es posible evitar el cruce. Si el sistema está exactamente en la pared con velocidad positiva, cualquier aceleración acotada tarda en modificar esa velocidad. La derivada inmediata de la posición continúa siendo positiva. La entrada aparece en la segunda derivada del margen $1-p$, mientras la primera es $-v$ y no contiene la acción.

Si la velocidad inicial es positiva, el frenado máximo utiliza $u=-1$ hasta detenerse. El tiempo de frenado es $v_0$ y la distancia recorrida es $v_0^2/2$. Se obtiene integrando $v(t)=v_0-t$ hasta su primer cero. Ninguna aceleración permitida puede detener antes el movimiento hacia la pared, pues ninguna reduce la velocidad con mayor rapidez.

Por ello, el subconjunto desde el que puede respetarse la pared es

Cuando la velocidad es negativa, el movimiento se aleja de la pared y puede mantenerse con aceleración cero. Cuando es positiva, el término adicional reserva exactamente la distancia de frenado. El conjunto $K$ utiliza posición y velocidad; la condición geométrica sobre la posición por sí sola describe un conjunto mayor.

Con velocidad inicial $0{,}8$, detenerse requiere una distancia de $0{,}32$. Desde $p_0=0{,}6$ se termina en $0{,}92$, todavía dentro del límite. Desde $p_0=0{,}8$ se necesitaría llegar a $1{,}12$. En este segundo caso, incluso el frenado máximo alcanza la pared antes de detenerse, aproximadamente a las $0{,}3101$ unidades de tiempo, frente a un tiempo total de frenado de $0{,}8$.

La segunda trayectoria no demuestra un fallo del algoritmo de frenado. Demuestra que la condición inicial estaba fuera del subconjunto viable. Aumentar la frecuencia de cálculo no proporciona una aceleración menor que menos uno. Un controlador que solo vigile la posición actual puede detectar el peligro cuando todavía se cumple la desigualdad geométrica, pero ya no existe una acción que conserve su cumplimiento futuro.

La expresión de $K$ también proporciona el margen dinámico $m(p,v)=1-p-\max(v,0)^2/2$. Para velocidad positiva, su derivada bajo una acción cualquiera es $-v-vu$. Con el frenado máximo vale cero: se consume distancia a la pared y se reduce simultáneamente la distancia necesaria para detenerse. Al llegar a velocidad cero, puede mantenerse la aceleración cero. Esa política explícita muestra que todos los estados de $K$ admiten una trayectoria que respeta la pared en el modelo declarado.

Permitir tocar la pared explica que la frontera de ese conjunto esté incluida. Si la especificación exigiera una separación estrictamente positiva, habría que reservar una distancia adicional y definir las condiciones iniciales con respecto a esa nueva frontera.

Xiao y Belta (2022) desarrollan funciones barrera de orden superior para restricciones cuyo control aparece después de varias derivaciones. Sus condiciones se formulan mediante funciones auxiliares y conservan una intersección de conjuntos. La pertenencia inicial a esa intersección y la factibilidad dentro de las entradas permitidas son parte de la garantía. Añadir derivadas a la desigualdad no convierte toda posición geométricamente permitida en una condición inicial controlable.

Del certificado a la acción aplicada

El ejemplo de frenado permite interpretar una condición barrera como una reserva dinámica y no solo como una distancia geométrica. En el escalar disipativo, el margen se relacionaba con la rapidez permitida de acercamiento al extremo. En el doble integrador, la velocidad determinaba cuánto espacio debía reservarse. Una función construida sin incorporar el estado que determina la capacidad de reacción puede describir correctamente una frontera y, aun así, no definir un conjunto controlable.

La comprobación práctica tiene que corresponder a la regla completa. Si el filtro considera saturación de amplitud pero el actuador también tarda en cambiar de valor, aparece una dinámica adicional que debe representarse. Si se elige la entrada suponiendo una medición exacta y se aplica después de un retraso, el estado relevante puede haber cambiado. Estos efectos pueden incorporarse mediante estados ampliados, cotas o condiciones de muestreo; lo que no puede conservarse sin revisión es la demostración del modelo anterior.

Los cálculos propios conservan una diferencia deliberada entre una prueba y una comprobación numérica. Las fórmulas exactas muestran la invariancia del escalar mediante márgenes o envolventes. Los cálculos en puntos concretos verifican cifras y permiten detectar errores de implementación. Para el doble integrador, la integración del frenado caracteriza la distancia necesaria. Ningún número de trayectorias simuladas sustituye esas relaciones cuando se afirma algo sobre todas las condiciones iniciales y perturbaciones admitidas.

Incluso un problema factible puede resolverse con una tolerancia que permita un pequeño residuo negativo en la condición barrera. Si lo único que se garantiza es $\dot h\ge-\kappa h-\varepsilon$, con un error positivo constante, la integración proporciona un término negativo adicional: $-(\varepsilon/\kappa)(1-e^{-\kappa t})$. Desde un margen inicial cero, esa cota ya permite valores negativos. No equivale a la prueba de invariancia del conjunto original. Una implementación que necesite conservarla debe reservar margen para el error numérico o verificar que la acción final satisface una condición suficientemente estricta. Las unidades y la escala del residuo también deben coincidir con las de la desigualdad comprobada.

En el problema muestreado, la igualdad con el extremo de la envolvente utiliza toda la holgura disponible. La acción calculada puede llevar el estado exactamente al límite bajo el peor caso. Si existe una incertidumbre adicional que no aparece en la cota declarada, ese contacto con la frontera deja de estar cubierto por el cálculo. Elegir una acción interior puede reservar espacio, pero la cantidad reservada debe relacionarse con un límite sobre el error adicional. Esta decisión se puede expresar como una nueva restricción cuantitativa; describirla solamente como una acción «más prudente» no especifica qué perturbaciones quedan contempladas.

Desde la medición inicial $x=0{,}9$, la acción $1{,}1$ era válida para iniciar una realimentación continua nominal. Retenerla durante una unidad de tiempo cambiaba la trayectoria y producía un cruce. Con perturbación acotada por $0{,}2$, el control retenido calculado mediante las envolventes debía bajar hasta aproximadamente $0{,}85820$. La diferencia entre esas acciones queda explicada por el período, la perturbación y la forma de la dinámica, que son los elementos necesarios para sostener la garantía en ese intervalo.

Referencias

Ames, A. D., Xu, X., Grizzle, J. W., y Tabuada, P. (2017). Control Barrier Function Based Quadratic Programs for Safety Critical Systems. IEEE Transactions on Automatic Control, 62(8), 3861–3876. https://doi.org/10.1109/TAC.2016.2638961

Breeden, J., Garg, K., y Panagou, D. (2022). Control Barrier Functions in Sampled-Data Systems. IEEE Control Systems Letters, 6, 367–372. https://doi.org/10.1109/LCSYS.2021.3076127

Cosner, R. K., Culbertson, P., Taylor, A. J., y Ames, A. D. (2023). Robust safety under stochastic uncertainty with discrete-time control barrier functions. Proceedings of Robotics: Science and Systems XIX. https://doi.org/10.15607/RSS.2023.XIX.084

Kolathaya, S., y Ames, A. D. (2019). Input-to-State Safety With Control Barrier Functions. IEEE Control Systems Letters, 3(1), 108–113. https://doi.org/10.1109/LCSYS.2018.2853698

Prajna, S., Jadbabaie, A., y Pappas, G. J. (2007). A Framework for Worst-Case and Stochastic Safety Verification Using Barrier Certificates. IEEE Transactions on Automatic Control, 52(8), 1415–1428. https://doi.org/10.1109/TAC.2007.902736

Xiao, W., y Belta, C. (2022). High-Order Control Barrier Functions. IEEE Transactions on Automatic Control, 67(7), 3655–3662. https://doi.org/10.1109/TAC.2021.3105491

Xu, X., Tabuada, P., Grizzle, J. W., y Ames, A. D. (2015). Robustness of Control Barrier Functions for Safety Critical Control. IFAC-PapersOnLine, 48(27), 54–61. https://doi.org/10.1016/j.ifacol.2015.11.152. Versión corregida de 2016: https://arxiv.org/abs/1612.01554