IEEE Transactions on Robotics

One Filter to Deploy Them All: Robust Safety for Quadrupedal Navigation in Unknown Environments

作者：Albert Lin, Shuang Peng, Somil Bansal · 机构：University of Southern California, Los Angeles, CA, USA; Stanford University, Stanford, CA, USA

会议/期刊：IEEE Transactions on Robotics · 发布日期：2026 · 页码：545-560

控制移动机器人仿生机器人状态估计安全

精读笔记

Problem Setting

论文标题：One Filter to Deploy Them All: Robust Safety for Quadrupedal Navigation in Unknown Environments（IEEE Transactions on Robotics / 2026）。

这篇论文解决的不是“让四足机器人学会避障”，而是给任意已有四足导航控制器外接一个可部署的安全层：环境未知、障碍未知、动力学有偏差、底层 locomotion policy 可替换，仍希望 safety filter 能在碰撞前接管 high-level twist command。

真正困难点在于安全证书的三重依赖：依赖环境几何，因为 failure set 随障碍变化；依赖系统动力学，因为滑移、payload、friction、低层 tracking error 都会改变可达集；依赖 nominal controller，因为很多 safety critic/backup-policy 的安全判断是围绕特定 policy 学出来的。已有 HJ/CBF/MPC 方法通常要么需要已知模型和障碍，要么在线计算太重；RL/CRL 或 ABS 类方法则在训练 policy 和环境分布外缺少可靠性。

关键矛盾是：四足 locomotion 需要敏捷性，不能用过慢的 quasistatic planner；但形式安全方法要 tractable，又不能直接处理全身高维接触动力学。本文的答案是牺牲动力学精度，保留安全相关的平面运动结构，并把误差全部放进在线估计的 adversarial disturbance。

Motivation

作者动机比较明确：现有安全方法缺少“证书复用”。如果每换一个 locomotion policy、每遇到一个新环境、每出现一种新摩擦条件都要重训/重算 safety certificate，那么它不适合当前快速迭代的 learning-based legged locomotion。

核心观察是四足导航系统天然是层级式的：高层输出 forward velocity / yaw rate，低层负责跟踪。对安全避障而言，很多底层差异并不需要显式建模成 full-body dynamics，而可以看作 high-level reduced dynamics 的 tracking error 或 drift。这样，跨 controller 的问题就从“为每个 controller 学一个 safety critic”变成“估计该 controller 在当前环境下相对 reduced model 的 disturbance bound”。

关键缺口是：传统 HJ reachability 有强形式语义，但通常固定在一个已知 failure set 和动力学模型上；learning-based safety filter 有泛化能力，但证书语义弱。本文试图把两者拼起来：offline 用 HJ 生成监督信号，online 用观测条件化网络 amortize value function。

Core Idea

论文真正核心的方法思想是：学习一个 observation-conditioned reachability value function，而不是学习某个 policy-conditioned safety critic。OCR-VN 看到局部 LiDAR、当前 reduced state 和 disturbance bound 后，预测“在这个局部障碍配置和这个动力学不确定性下”的 HJ safety value。随后 safety filter 用 value 梯度构造 QP，只在 value 接近不安全边界时最小修改 nominal twist。

这个建模改变很关键：安全性不再围绕 nominal policy 的未来行为建模，而是围绕一个 robust optimal controller 的可达安全边界建模。nominal controller 只在 QP objective 中作为“尽量不偏离”的参考项出现，不参与证书本身。因此换 planner、换低层策略时，理论上只要 reduced-order disturbance bound 能覆盖模型误差，filter 就仍可工作。

引入的 inductive bias 是 HJ reachability 的几何结构：value function 是关于 failure set、dynamics、disturbance bound 的安全距离/可达性对象，而不是普通神经网络从状态到风险的黑箱分类器。LiDAR 条件化提供环境几何，disturbance bound 条件化提供鲁棒性半径，QP 则把 value 梯度转化成最小干预控制。

Method

方法可以压缩成三个机制。

第一，reduced-order robust abstraction。作者用 Dubins car 表示四足在平面上的 high-level kinematics，把真实四足动力学、底层策略差异、摩擦/负载/滑移等全部视为 additive disturbance。这一步解决 HJ 维度不可扩展的问题，也让 filter 与具体 low-level policy 解耦。代价是安全性完全依赖 disturbance bound 是否覆盖真实误差。

第二，amortized HJ certificate。训练时随机生成障碍和扰动边界，离线求 HJ value function，再训练 OCR-VN 从 LiDAR + state + disturbance bound 预测 value 和梯度。它解决在线 HJI 不可算的问题，本质是把大量离线 reachability 解蒸馏进一个条件化函数近似器。梯度监督和 sinusoidal activation 主要服务于 filter 可用性，因为 QP 直接依赖 value gradient。

第三，test-time disturbance adaptation。部署时用最近 state-action history 比较 reduced model rollout 与真实状态变化，估计位置和 yaw 的 disturbance bound，再把这个 bound 输入 OCR-VN。它解决的是静态鲁棒边界过小会失效、过大会过保守的问题。这个模块是论文相对 ABS 的关键增益来源之一，而不是普通 engineering。

最后，conformal calibration 给 value 输出加保守偏移，降低网络高估安全值的概率。它有用，但保证只对 calibration 分布成立；在真实 LiDAR 分布外或高度 cluttered 场景中，作者自己也承认需要关闭或调整。

Key Insight / Why It Works

这篇工作的核心有效性来自“证书对象选对了”。ABS 一类方法学的是某个 nominal/agile policy 之下的安全判断，因此它的 value function 混合了环境风险、policy bias 和 recovery policy 能力；一旦 policy 或动力学变了，value 的语义就漂移。OCR 学的是 robust optimal safety value，nominal policy 只影响干预时离原命令多近。这种分离让 safety layer 更像一个通用约束投影器，而不是某个策略的补丁。

第二个有效点是 disturbance bound 条件化。很多安全过滤器失败不是因为看不见障碍，而是因为以为自己能按命令走；低摩擦、payload、tracking latency 会让 nominal model 的可达集错位。OCR 把这种错位显式作为 value function 的输入，使安全边界随不确定性膨胀。这比固定 margin 或训练时 domain randomization 更直接，也解释了低摩擦场景下相对 ABS 的优势。

第三个有效点是用 LiDAR observation 直接条件化 failure set。它不是先构建全局地图再重新求 reachability，而是把局部几何到 value field 的映射 amortize 掉。这本质上是 learned solver / implicit retrieval：网络很可能在训练障碍分布中学到了局部几何模板到安全 value 的插值，而不是进行显式长期规划。对于局部避障足够有效，但不要过度解读为复杂环境拓扑推理。

最可能的核心贡献排序：1）policy-agnostic HJ value 而非 policy-conditioned critic；2）online disturbance-bound-conditioned robustness；3）LiDAR-conditioned amortized reachability。校准、网络结构、梯度 loss 是必要的工程稳定器，但不是概念突破。

需要直接指出：泛化能力很大程度来自 reduced-order model 的强先验和训练数据覆盖。所谓 one filter 并不是对任意四足任务通用，而是对“可被平面 Dubins + bounded disturbance 解释的 high-level navigation”通用。高度 cluttered 场景中需要裁剪 LiDAR cone、使用未校准输出，这说明分布外泛化和保守性仍是硬伤。

Relation To Prior Work

技术谱系上，它属于 HJ reachability-based safety filter 的 learning/amortization 分支，同时吸收了 runtime assurance、safety critic、CBF-QP 的控制接口思想。和传统 HJ 的区别不是理论定义新，而是把不同环境/扰动下的 HJ 解蒸馏成 observation-conditioned value network，从而避免在线重算。

和 CBF-QP 的关系也很清楚：HJ infinite-horizon value 可以看作构造型 barrier certificate，QP filter 与 CBF-QP 形式相似。但本文的优势在于 certificate 来自 robust optimal control，并且 disturbance 以 worst-case 进入 Hamiltonian；传统手工 CBF 往往缺少这种系统构造过程。

和 ABS 最接近，也最能体现差异。ABS 是 policy-conditioned：安全值和 recovery 行为绑定某个 agile policy，因此安全判断会继承 policy 的局限。OCR 是 optimal-control-conditioned：value 描述在 reduced dynamics 下是否存在安全控制，不关心 nominal policy 是 PS、naive、人类遥控还是 RL。这个差异是实质创新。

看似新的部分里，LiDAR-conditioned value prediction、conformal calibration、sliding-window disturbance estimation都不是单独新概念；真正新增的信息是把它们组织成一个可部署的 robust reachability filter，并证明这种组织能跨 controller 使用。

Dataset / Evaluation

评估覆盖了仿真和真机 Unitree Go1，包含多种 high-level planner、low-level policy、不同障碍配置、payload/friction 变化、滑地、外力、人类恶意遥控等。对论文核心 claim——同一安全层跨控制器和环境部署——支持度较强，尤其真机实验避免了纯仿真安全论文常见的说服力不足。

不过 evaluation 的边界也明显。任务主要是 planar navigation，failure 主要是静态碰撞；动态障碍演示更多是突然出现的局部障碍，理论部分明确假设 static failure set。复杂拓扑、密集墙体、全包围障碍等分布外情形没有系统量化，而且作者在 cluttered indoor 场景中需要手动丢弃部分 LiDAR readings 并关闭校准，这实际上削弱了“自动泛化”的强 claim。

与 ABS 的对比有意义，但也不是完全公平到能归因所有增益：OCR 使用显式 worst-case disturbance adaptation，而 ABS 没有；因此结果说明 OCR 的设计更适合动力学不确定性，不必解读为所有 policy-conditioned safety 方法都弱。传统 MPC/CBF baseline 主要放在附录，主文没有充分展开其 failure mode，增益归因仍有一些不清晰。

Limitation

最核心前提是 reduced-order abstraction 成立。只要四足的安全相关行为能被 Dubins-like high-level dynamics 加 bounded additive disturbance 覆盖，OCR 就有机会有效；如果出现足端打滑导致不可控旋转、低层策略强饱和、身体碰撞、接触失稳、倒地风险等超出平面模型的现象，证书语义就会断裂。

第二个前提是 disturbance bound 估计及时且保守适中。估计过小会直接破坏安全；估计过大则 BRT 膨胀，机器人可能停滞，尤其在狭窄环境中。论文中的滑窗估计假设扰动低频、短时间近似常值，这在摩擦突变和强冲击后可能有延迟。这个延迟窗口正是安全漏洞。

第三个前提是 observation distribution 接近训练/校准分布。conformal calibration 只给 validation distribution 上的概率保证，不能外推到真实世界。训练主要用随机圆形障碍，而硬件里墙、走廊、复杂 clutter 的 LiDAR 模式不同；作者在这些场景中做了人工调整，说明 OCR-VN 的几何泛化不是无条件成立。核心能力可能主要来自数据覆盖和局部模板插值。

第四，scalability 上限仍由 HJ reachability 决定。本文通过 3D Dubins 规避维度灾难，而不是解决维度灾难。若要引入速度状态、侧向速度、姿态、接触模式或动态障碍，离线 HJ 数据生成和 value learning 难度都会快速上升。

最后，安全保证在论文中是条件性的：如果 value network 准确、disturbance bound 覆盖真实误差、系统从 BRT 外开始、failure set 静态，则 filter 有 reachability 语义。实际部署中这些条件都只能近似满足，所以它更像 strong runtime safety heuristic with reachability structure，而不是完整 formal guarantee。

Takeaway

  • 1）最值得迁移的 insight 是把 safety certificate 从 policy-conditioned 改成 dynamics-and-environment-conditioned；nominal policy 只作为性能偏好进入 projection/filter。
  • 这对机器人安全层、多策略部署、foundation policy shielding 都很重要。
  • 2）把模型误差显式作为 value function 的条件变量，比单纯 domain randomization 或固定 safety margin 更可控。
  • test-time uncertainty adaptation 可能是未来 learning-based safety filter 的标准组件。

一句话总结

这篇论文把 HJ reachability safety filter 从固定模型/固定环境的离线证书推进到 LiDAR 与扰动条件化的可复用运行时安全层，真正贡献是 policy-agnostic robust certificate 的工程化落地，而不是新的 reachability 理论。