对抗性传感器攻击下非线性系统的弹性控制障碍函数：一种微分安全博弈方法

《IFAC Journal of Systems and Control》：Resilient control barrier functions for nonlinear systems under adversarial sensor attacks: A differential safety game approach

　　

**摘要要点**

• 单一观测驱动的控制器可服务于一致性纤维上所有状态。
• Lipschitz 鲁棒选择器保证扩展集的前向不变性。
• 切向约束攻击动力学定义了微分安全博弈。
• 带符号的 Isaacs 不等式提供了内部粘解证书。
• 精确的二阶锥滤波器验证了安全证书链。

**引言**

安全性是现代信息物理系统（CPS）的基本要求，包括自动驾驶汽车、机器人平台和先进过程控制系统。在此类应用中，控制算法依赖通过分布式传感和通信基础设施获取的测量数据。尽管这种连接性带来了先进的控制能力，但也使 CPS 暴露于信息物理漏洞之中，尤其是针对传感器测量的攻击。

对传感器信号的对抗性操纵，如偏置注入、欺骗攻击或重放攻击，可能破坏控制器可用的信息。其后果是，即使标称控制器在正常运行条件下能保证安全行为，基于受损测量计算出的控制输入也可能违反安全约束。因此，在对抗性测量破坏存在的情况下保证非线性动态系统的安全性，代表了弹性控制设计中的一个挑战性难题。从数学观点来看，该问题可被解释为分析在对抗性扰动作用于测量通道时非线性动态系统的前向不变性性质。

控制障碍函数（CBF）近期已成为一种系统性的数学框架，用于强制非线性系统的安全。通过保证指定安全集的前向不变性，CBF 使得通过二次规划（QP）滤波器合成安全关键控制器成为可能，这些滤波器以最小的方式修改给定的标称控制输入。这种形式为将安全约束纳入实时控制算法提供了一种计算可行的机制。然而，经典 CBF 公式通常假设控制器能够获取准确的测量值。当测量被对抗性信号破坏时，屏障条件可能在错误的位置进行评估，从而使标称 CBF 框架提供的安全保证失效。

CBF 文献中的最新进展解决了机器人和自主系统中的扰动、输入约束、估计误差和实现问题（Garg 等，2024）。测量鲁棒 CBF 显式地纳入了有界状态估计误差和测量依赖的不确定性集合（Cosner 等，2021；Dean 等，2021）。鲁棒输出 CBF 将这一观点扩展到部分观测、估计器不确定性和学习的输出反馈证书（Lindemann 等，2024），而输出反馈备份 CBF 将估计误差包络与输入约束相结合（van Wijk 等，2026）。此处区别性特征在于信息和控制量词的顺序：对于每个受损观测 $y$，需要有一个输入 $u(y)$ 同时满足保护邻域内一致性纤维上每一个隐含的"系统-攻击"状态的屏障不等式。这种纤维上的均匀性比在单一估计位置上施加裕度更强，并使可实现性约束得以明确。对抗性破坏也是一种受幅值和速率双重约束的动态状态，这自然引出了下文开发的状态约束安全博弈公式。

本文研究传感器测量在对抗性破坏下的非线性控制系统的安全性质。我们考虑一类有界传感器攻击，这类攻击在观测状态中引入不确定性，并将由此产生的安全问题表述为控制器与操纵传感器信号的攻击者之间的微分博弈。在此框架下，我们开发了一种弹性控制障碍函数公式，显式地考虑了攻击引起的测量不确定性，并在可接受攻击下保证经认证的扩展安全集的前向不变性（Li 等，2023）。

更具体地说，我们引入了定义在扩展状态空间上的对抗性障碍函数，该空间同时纳入了物理系统状态和攻击动力学。本文的主要安全结果——定理 2——建立了如下结论：若所得弹性屏障不等式被满足，则在系统与攻击信号耦合动力学下，扩展安全集具有前向不变性。因此，即使在存在有界传感器攻击的情况下，真实系统状态仍保持在规定的安全集内。

此外，我们从一开始就以由幅值集切锥定义的状态容许速率方向来公式化攻击动力学。这产生了一个状态约束的一步安全博弈和一个精确的信息兼容屏障获胜映射。相关的 Hamilton-Jacobi 结果是一个结构一致性证书：光滑屏障在内部满足带符号的 Isaacs 不等式，且屏障认证区域包含于鲁棒观测基础上的获胜集。

**贡献**

主要贡献总结如下：

1. 我们通过测量一致性纤维公式化受损感知，并定义了一个精确的一步信息兼容屏障获胜映射 $W(y)$，该映射要求单一观测驱动的控制器满足屏障不等式，且在认证纤维的保护邻域上均匀成立，并对每一个状态容许的攻击方向成立。

2. 我们通过针对扩展屏障沿 Carathéodory 解的邻域标量比较论证，建立了 $W(y)$ 在任意局部 Lipschitz 选择下的认证扩展安全集的前向不变性（定理 2）。

3. 我们推导了全速率球映射 $K(y)$ 作为 $W(y)$ 的保守子集，将精确映射与状态约束一步安全博弈相关联，并为同一切向约束攻击动力学获得了一个 Hamilton-Jacobi 一致性推论。

4. 对于具有球形障碍的三维导航问题，我们推导了纤维条件的全幅值球对应式的封闭形式。数值研究包括感知攻击的逐点比较器、包围全幅值球可行性在测试网格上丧失的参数扫描以量化鲁棒性代价，以及具有状态依赖屏障输入系数的非线性独轮车基准。

**相关工作**

控制障碍函数提供了构造性的前向不变条件，并支持最小化修改标称输入的实时安全滤波器（Ames 等，2017；Li 等，2023）。鲁棒 CBF 扩展解决了有界扰动、模型不确定性和实现效应（Garg 等，2024；Xu 等，2015）。最密切的工作路线涉及不确定状态信息。Dean 等人引入了针对学习感知模块和测量依赖误差描述的测量鲁棒 CBF（Dean 等，2021）。Cosner 等人将测量鲁棒性与备份集构造相结合，并在 Segway 平台上验证了所得控制器（Cosner 等，2021）。Lindemann 等人开发了针对部分观测、估计器误差和不确定模型的鲁棒输出 CBF（Lindemann 等，2024），而 van Wijk 等人在输入约束下沿备份轨迹传播输出估计不确定性（van Wijk 等，2026）。这些方法为来自估计或输出不确定性的显式安全裕度提供了动机。本文公式利用观测生成的一致性纤维，并要求单一可实现输入在其与认证集保护邻域交集上均匀满足屏障条件。

在恶意故障和攻击下的安全性已通过容错 CBF、冗余估计器、攻击恢复架构和从多个可能状态构建的可行集进行了研究。Zhang、Li 和 Clark 推导了非线性系统在传感器故障、传感器攻击和执行器故障下的容错 CBF 条件（Zhang 等，2025）。Garg 等人使用 CBF 进行执行器攻击下的攻击检测和恢复（Garg 等，2022）。Tan 等人开发了在严重传感器攻击下基于多个可能状态集的安全控制器（Tan 等，2024；Tan 等，2025），而 Bajelani 等人提出了一种模块化安全滤波器架构以应对多种网络攻击场景（Bajelani 等，2025）。

更广泛的弹性非线性控制方法使用观测器、自适应机制、切换和量化信息。代表性示例包括基于观测器的网络攻击补偿（Zhao 等，2022；Zhao 和 Yang，2024）、Markov 跳变系统的量化弹性控制（Liu 等，2026），以及针对隐蔽欺骗攻击的学习型弹性控制（Xin 和 Long，2025）。还开发了针对 DoS 攻击下非线性大规模 CPS 的自适应模糊分布式控制（Zhao 等，2024），而具有状态和输出量化的双边协同控制则展示了受限信息交换下的非线性反馈设计（Zhao 等，2025）。这些方法在网路不确定性下解决稳定性、跟踪、估计或协作目标；本文工作专注于从对抗性受损观测中获得的前向不变安全性。关于信息物理攻击模型和弹性控制架构的更广泛综述见 Xing 和 Shen（2024）。

Hamilton-Jacobi 可达性通过值函数和 Isaacs 方程刻画动态博弈中的安全性和可行性（Bardi 和 Capuzzo-Dolcetta，2009；Mitchell，2002；Mitchell 等，2005）。近期工作通过控制障碍值函数和粘解 CBF 构造将该观点与屏障证书联系起来（Choi 等，2021；Hirsch 等，2025）。在本文框架中，Hamilton-Jacobi 部分为纤维屏障证书和相关的状态约束安全博弈提供了一致性结果。

本文其余部分组织如下。第 2 节介绍模型、测量一致的屏障构造、适定性反馈假设以及微分博弈和 Hamilton-Jacobi 公式。第 3 节报告数值验证。第 4 节讨论新颖性、影响、验证和局限性。第 5 节给出结论。

**符号说明**

设 $\mathbb{R}_{\geq 0}$ 表示非负实数集。对于向量 $x \in \mathbb{R}^n$，$\|x\|$ 表示其欧几里得范数。对于标量 $s \in \mathbb{R}$，$[s]^+ := \max\{s, 0\}$ 表示其正部。对于集合 $S \subset \mathbb{R}^n$，$\text{int}(S)$ 和 $\partial S$ 分别表示其内部和边界。连续函数 $\alpha: I \to \mathbb{R}$，定义在包含原点的区间 $I \subseteq \mathbb{R}$ 上，若严格递增且 $\alpha(0) = 0$，则为扩展类-K 函数。其限制在 $\mathbb{R}_{\geq 0}$ 上的部分在 $\mathbb{R}_{\geq 0} \subseteq I$ 时即为类-K 函数。

**系统模型**

考虑控制仿射非线性系统 $\dot{p}(t) = u(t)$，其中 $p(t), u(t) \in \mathbb{R}^3$，$\|u(t)\| \leq u_{\max}$。位置测量受到破坏：$y(t) = p(t) + a(t)$，其中 $a(t) \in \mathcal{A}$，$\dot{a}(t) \in \mathcal{D}(a(t))$。

该模型代表移动机器人或空中飞行器外部回路平移子系统。幅值上界 $\bar{a}$ 限制了最大可接受传感器位移，而 $\rho$ 限制了欺骗性测量的变化速率；后者作为对攻击者能力的物理约束。

**认证的三维导航基准**

我们首先考虑一个允许直接数值验证理论证书的封闭形式基准。

**新颖性、上下文与影响**

核心贡献在于公式 (14) 中的信息兼容量词结构：由受损观测计算出的单一输入必须在保护邻域内的一致性纤维上、对所有状态容许攻击方向保持保护性。精确的一步屏障获胜映射 $W(y)$ 使这一可实现性要求得以明确，而 $K(y) \subseteq W(y)$ 给出了保守的全速率球条件。相同的信息集构造可扩展至集合值传感器。

**结论**

本文开发了一种针对对抗性受损测量控制的非线性系统的弹性控制障碍公式。核心信息约束是明确的：单一观测驱动的控制输入必须在认证屏障边界邻域内的相应一致性纤维上对所有隐含的"系统-攻击"状态保持保护性。精确的一步屏障获胜映射 $W(y)$ 编码了这一要求，而 $K(y) \subseteq W(y)$ 给出了保守的全速率球

**利益冲突声明**

作者声明不存在已知的竞争性财务利益或个人关系，这些关系可能影响本文所报告的工作。

R. Vrabel