SMCBF：融合滑模控制与屏障函数，打造鲁棒自动驾驶安全控制

1. 项目概述：当车道保持遇上鲁棒安全控制

在自动驾驶和高级驾驶辅助系统（ADAS）的研发一线摸爬滚打十几年，我见过太多“理论上完美，一上实车就露怯”的控制算法。车道保持辅助系统（LKAS）作为ADAS的基石功能之一，其核心任务听起来简单：在驾驶员偶尔分神或疲劳时，自动微调方向盘，确保车辆始终行驶在车道线内。但魔鬼藏在细节里，如何设计一个控制器，既能精准跟踪驾驶员的转向意图，又能在任何情况下——比如车辆载荷突变、轮胎特性变化或遇到急弯时——铁腕执行“绝不越线”这条安全铁律，是工程实践中永恒的挑战。

传统的控制屏障函数（CBF）方法为这种安全约束提供了优雅的数学框架，它通过一个二次规划（QP）问题，对驾驶员输入进行“最小干预”式的修正，仅在车辆即将越界时介入。然而，它的一个致命弱点在于其安全性严重依赖于精确的系统模型。一旦模型参数（如车辆质量、轮胎侧偏刚度）与实际有出入，这个“安全屏障”就可能失效。这正是我们这次要啃的硬骨头：如何让安全关键控制框架在面对真实的、充满不确定性的车辆动力学模型时，依然坚如磐石？

答案是将另一种以“鲁棒”著称的控制利器——滑模控制（SMC），与CBF深度结合。我们称之为滑模控制屏障函数（SMCBF）。这个框架的核心思想，不是去精确地建模所有不确定性，而是设计一个控制律，主动“滑入”并“锁死”在由安全约束定义的滑模面上。一旦进入滑模运动，系统的动态将对匹配范围内的模型误差和扰动具有完全的自适应性。这就好比给安全屏障装上了一个自适应减震器，无论路面如何颠簸，屏障本身的位置和强度都保持不变。

本文将详细拆解这个基于SMCBF的鲁棒安全关键控制框架，从理论推导、控制器设计，到在实时硬件在环（HIL）平台上的完整实现与验证。我会分享从论文公式到可运行代码、从仿真曲线到硬件信号的全链路实操细节，特别是如何调节那些关键的“魔法参数”，以及我们在调试中踩过的坑和收获的经验。无论你是控制理论的研究者，还是正在将ADAS算法落地的工程师，相信这些来自实战的干货都能给你带来直接的参考价值。

2. 核心思路：为什么是滑模控制屏障函数（SMCBF）？

在深入公式之前，我们得先搞清楚一个根本问题：为什么传统的指数型控制屏障函数（ECBF）在实车应用中会“力不从心”，而引入滑模控制（SMC）的思路能破局？

2.1 传统CBF/ECBF的软肋：模型依赖性与脆弱性

控制屏障函数（CBF）的精妙之处在于，它将“车辆不能越过车道线”这样的物理安全约束，转化成了一个关于系统状态函数h(x)的数学不等式：h(x) ≥ 0定义了安全集。控制器通过求解一个二次规划（QP）问题，寻找一个最接近驾驶员原意u_nom的控制指令u*，同时强制满足ḣ(x, u) + α(h(x)) ≥ 0这个不等式。这个不等式保证了h(x)不会衰减到零以下，从而让系统状态始终留在安全集内。

对于车道保持，我们通常定义两个CBF：h1(x) = e_max - e1和h2(x) = e1 - e_min，其中e1是车辆中心到车道中心线的横向位移。只要这两个函数值非负，车辆就被“夹”在两条虚拟的边界内。

问题来了：上面那个关键的不等式ḣ(x, u) + α(h(x)) ≥ 0，其计算严重依赖于车辆动力学模型（公式中的f(x)和g(x)）。在ECBF中，为了处理更高阶的相对度（比如我们的位移e1需要两次微分才出现控制输入δ），引入了虚拟输入输出线性化（VIOL）和极点配置控制器。但无论是CBF还是ECBF，其QP约束中的模型项L_f h(x)和L_g h(x)都是基于标称模型计算的。

在实际车辆中，模型不确定性无处不在：

• 参数不确定性：车辆总质量m随乘员和货物变化，轮胎侧偏刚度C_α随胎压、磨损、路面条件剧烈变化。
• 未建模动态：悬架特性、转向系统延迟、执行器非线性等。
• 外部扰动：侧风、路面坡度与不平度。

当这些不确定性存在时，基于标称模型计算出的ḣ(x, u)可能与实际值相去甚远。这会导致一个严重的后果：QP求解器基于错误的约束条件计算出的“安全”控制量u*，实际上可能无法保证h(x)的真实导数满足安全条件，从而导致车辆越界。也就是说，理论上的安全保证，在模型失配面前变得不可靠。

2.2 滑模控制（SMC）的强项：对不确定性的不变性

滑模控制是一种变结构控制，其核心思想是设计一个滑模面s(x)=0。一旦系统状态到达该滑模面，控制器会以一种高频切换的方式（理论上无限快，实践中用饱和函数近似）迫使状态轨迹“滑向”平衡点。滑模控制最吸引人的特性是在滑模面上，系统动态对满足匹配条件的不确定性具有完全鲁棒性。

所谓匹配条件，简单说就是不确定性出现在与控制输入相同的通道里。对于许多实际系统，包括我们的车辆横向动力学模型，主要的参数不确定性（如质量、惯量、轮胎刚度）往往满足或近似满足匹配条件。这意味着，只要滑模控制的增益足够大，就能完全抵消这些不确定性的影响，使系统轨迹严格按照设计好的滑模动态（由s(x)=0定义）运动。

2.3 SMCBF的融合思路：在安全屏障上构建滑模面

SMCBF的巧妙之处，正是将这两种思想融合：

1. 目标一致：CBF的目标是保持h(x) ≥ 0；SMC的目标是驱动s(x) → 0。如果我们定义滑模面s(x)直接与CBFh(x)及其导数相关呢？
2. 构建滑模面：对于一个相对度为r的CBF（在车道保持中，r=2），我们定义滑模面为s_CBF = (d/dt + λ)^(r-1) (h(x) - h_d)，其中h_d是期望值（通常为0，代表安全边界），λ是正常数。当s_CBF = 0时，h(x)将以指数速率收敛到h_d。这意味着，保持在滑模面上，就等于强制执行了CBF所要求的安全动态。
3. 设计鲁棒控制律：针对这个新定义的滑模面s_CBF，我们设计一个滑模控制器。这个控制器的任务不再是简单地满足ḣ(x, u) + α(h(x)) ≥ 0这个不等式，而是保证s_CBF的微分满足滑模条件(1/2) d(s_CBF²)/dt ≤ -η |s_CBF|。这个条件能确保即使存在模型误差，系统状态也会被强力“拉回”滑模面，从而间接地、且是鲁棒地保证了h(x) ≥ 0。
4. 嵌入安全滤波框架：最后，我们将这个基于滑模的鲁棒控制律，作为一个新的、更强的约束条件，放入那个熟悉的QP框架中。QP求解器的工作依然是：寻找一个与驾驶员输入δ_d最接近的转向角δ*，但前提是这个δ*必须满足由滑模控制推导出的新安全不等式。

打个比方：传统的ECBF就像一个智能围栏，它根据车辆的预估轨迹（依赖模型）提前发出轻柔的修正力。但如果预估轨迹错了（模型不准），修正力可能方向或大小不对。而SMCBF则像围栏本身变成了带有强电磁力的轨道，一旦车辆靠近，就会产生一个强大的、方向明确的吸力（控制力），这个力的大小设计成足以克服各种干扰（模型不确定性），强行把车辆“吸”在安全边界之内。前者依赖精准预测，后者依赖强力纠偏。

3. 系统建模与问题形式化

理论再美���也需要扎根于具体的系统模型。车道保持的控制对象是车辆横向动力学，我们采用广泛验证的“自行车模型”。

3.1 车辆横向-横摆动力学模型

忽略纵向动力学，假设车速V_x恒定，我们关注四个核心状态：

• e1: 车辆质心到车道中心线的横向位移（误差）。
• ẏ: 车辆横向速度。
• e2: 车辆横摆角与道路期望横摆角之差（航向误差），e2 = ψ - ψ_des。
• ψ̇: 车辆横摆角速度。

控制输入是前轮转向角δ。系统的状态空间方程如下（即正文中的公式(3)）：

[ ė1 ] [ 0, 1, V_x, 0 ] [ e1 ] [ 0 ] [ 0 ] [ ẏ ] = [ 0, a22, 0, a24 ] [ ẏ ] + [ 2Cαf/m ] δ + [ 0 ] ψ̇_des [ ė2 ] [ 0, 0, 0, 1 ] [ e2 ] [ 0 ] [ -1 ] [ ψ̈ ] [ 0, a42, 0, a44 ] [ ψ̇ ] [ 2Cαf*ℓf/Iz ] [ 0 ]

其中：

• a22 = -(2Cαf + 2Cαr)/(m V_x)
• a24 = -V_x - (2Cαf*ℓf - 2Cαr*ℓr)/(m V_x)
• a42 = -(2Cαf*ℓf - 2Cαr*ℓr)/(I_z V_x)
• a44 = -(2Cαf*ℓf² + 2Cαr*ℓr²)/(I_z V_x)
• ψ̇_des = κ_r * V_x，κ_r是道路曲率，由前视摄像头或高精地图提供。

这个模型可以写成标准仿射非线性形式：ẋ = f(x) + g(x) u + p d。其中x = [e1, ẏ, e2, ψ̇]^T，u = δ，d = ψ̇_des可视为外部扰动。f(x)和g(x)可以从上面的矩阵中直接提取。

实操要点一：模型参数的获取与标定模型中的参数m（质量）、I_z（横摆转动惯量）、ℓ_f、ℓ_r（前后轴到质心距离）、Cα_f、Cα_r（前后轮侧偏刚度）至关重要。这些参数不能简单从车辆手册获取。

• m和I_z：可以通过整车称重和CAD模型估算，更准确的方法是进行惯性参数辨识实验。
• ℓ_f和ℓ_r：在水平地面上测量轴距和静态前后轴载荷，通过力矩平衡计算。
• Cα_f和Cα_r：这是最难确定的参数。它随垂直载荷、轮胎型号、路面条件非线性变化。通常通过实车试验（如正弦扫频转向实验）进行辨识，或采用经验公式（如Pacejka魔术公式）进行拟合。在控制器设计初期，可以使用标称值，但必须意识到其不确定性范围很大（±30%是常见的）。

3.2 安全约束与控制目标形式化

我们的控制架构是“驾驶员主导，安全系统监护”的模式。

1. 驾驶员输入：δ_d，由模拟驾驶员模型或真实驾驶员操作产生，意图是跟踪道路中心线。
2. 安全约束：车辆横向位移e1必须始终保持在物理车道边界内。假设车道宽度为L，车辆宽度为W，则安全边界通常设定为e_min = -(L/2 - W/2 - margin)，e_max = L/2 - W/2 - margin，其中margin是一个安全余量（例如0.3米）。由此定义两个CBF：
   • h1(x) = e_max - e1（保证不超出右边界）
   • h2(x) = e1 - e_min（保证不超出左边界） 安全意味着对于所有时间t，h1(x(t)) ≥ 0且h2(x(t)) ≥ 0。
3. 控制目标：设计一个安全滤波器（ASIF），它以驾驶员输入δ_d为标称输入，输出一个经过最小修改的控制量δ*。δ*必须保证系统在存在模型不确定性的情况下，依然满足上述安全约束。同时，当车辆远离边界时，δ*应尽可能接近δ_d，以尊重驾驶员的驾驶意图。

4. 控制器设计：从ECBF到SMCBF的详细推导

这是整个框架的核心技术环节。我们将一步步推导ECBF和SMCBF的QP问题形式。

4.1 指数型控制屏障函数（ECBF）设计

对于相对度r=2的CBFh(x)（我们的h1(x)和h2(x)均满足），其直到二阶的Lie导数为：

• ḣ(x) = L_f h(x)（因为L_g h(x) = 0，一阶导数不含控制量）
• ḧ(x) = L_f² h(x) + L_g L_f h(x) u

我们引入一个虚拟控制输入μ_b，令ḧ(x) = μ_b。这样，关于h(x)的动态系统可以写成虚拟的线性系统：η̇_b = F_b η_b + G_b μ_b，其中η_b = [h, ḣ]^T，F_b = [[0,1],[0,0]]，G_b = [0,1]^T。

对于这个二阶线性系统，我们可以采用极点配置来稳定它。设计状态反馈μ_b = -K_b η_b = -[k1, k2] [h, ḣ]^T，使得闭环矩阵A_b = F_b - G_b K_b的特征值（即极点）均具有负实部。这保证了h(x)指数收敛到0（安全边界）。根据ECBF理论，只要保证μ_b ≥ -K_b η_b，就能保证h(x(t)) ≥ C_b e^{A_b t} η_b(0) ≥ 0。

因此，ECBF安全滤波器的QP问题构建如下：

minimize (over δ, μ_b) δ^T δ - 2 δ_d^T δ subject to: L_f² h1(x) + L_g L_f h1(x) δ = μ_b1 L_f² h2(x) + L_g L_f h2(x) δ = μ_b2 μ_b1 ≥ -K_b1 η_b1 μ_b2 ≥ -K_b2 η_b2 δ_min ≤ δ ≤ δ_max

这里K_b1和K_b2是分别为两个CBF设计的反馈增益向量。最后一个不等式是执行器（转向电机）的物理限幅约束。

实操要点二：ECBF增益K_b的选取与调试K_b = [k1, k2]的选择本质上是为虚拟系统ḧ = μ_b配置极点。设期望极点为p1和p2（通常为负实数或具有负实部的共轭复数），则有(s - p1)(s - p2) = s² + k2 s + k1，所以k1 = p1*p2，k2 = -(p1+p2)。

• 起点：可以将极点配置在-2 ~ -10的范围内，对应带宽约2~10 rad/s。过快的极点（如-20）会导致控制量δ需求过大，容易饱和；过慢的极点（如-0.5）则响应迟缓，可能在紧急情况下无法及时阻止越界。
• 调试过程：
  1. 在仿真中，让车辆以较大初始误差接近边界。
  2. 观察h(x)的收敛曲线。理想情况是平滑、无超调地趋于0。如果振荡，说明阻尼不足（k2相对k1太小），可以增大k2（使极点更负实）。
  3. 观察控制量δ。应避免高频抖振和频繁饱和。如果δ饱和，要么放宽δ_max/min（如果硬件允许），要么降低增益（使极点更慢）。
  4. 关键测试：在标称模型下，ECBF应能完美工作。但接下来，我们需要引入模型不确定性来暴露其弱点。

4.2 滑模控制屏障函数（SMCBF）设计

现在，我们承认模型f(x)，g(x)是不精确的，真实模型为f_real(x)，g_real(x)。定义模型误差体现在虚拟控制通道：ḧ_real(x) = μ_b + Δ_1 + Δ_2 μ_b，其中Δ_1和Δ_2代表未建模动态和参数不确定性。

SMCBF的设计步骤如下：

1. 定义滑模面：对于r=2，我们定义s_CBF = ḣ + λ h。这里λ > 0是一个设计参数，决定了在滑模面上h的收敛速率（h按e^{-λ t}衰减）。选择s_CBF = 0作为滑模面。
2. 设计滑模控制律：目标是使系统状态到达并保持在s_CBF = 0上。我们采用经典的趋近律方法。对s_CBF求导：ṡ_CBF = ḧ + λ ḣ = (μ_b + Δ_1 + Δ_2 μ_b) + λ ḣ（代入存在不确定性的ḧ_real） 设计标称等效控制μ_b_eq，使得在无不确定性（Δ_1=Δ_2=0）时，有ṡ_CBF = 0。解得：μ_b_eq = -λ ḣ。 为了对抗不确定性，我们加入一个不连续项：μ_b = μ_b_eq - K_SMC * sat(s_CBF / Φ)。 其中sat()是饱和函数，Φ是边界层厚度，用于消除理想滑模控制带来的高频抖振。K_SMC是滑模增益。
3. 确定增益K_SMC：根据滑模条件(1/2) d(s_CBF²)/dt ≤ -η |s_CBF|，可以推导出K_SMC需满足���K_SMC ≥ (η + |Δ_1| + |Δ_2 * μ_b_eq|) / (1 - |Δ_2|)。 这里η > 0是到达速度参数。这个不等式是工程实现的关键：K_SMC必须大于不确定性上界的一个函数。在实际中，我们通常没有精确的Δ_1和Δ_2上界，只能通过仿真和实验，从一个较大的K_SMC开始，在抑制抖振和保证鲁棒性之间折衷。
4. 构建SMCBF-QP问题：与ECBF类似，我们将滑模控制律作为一个约束放入QP。SMCBF要求μ_b ≥ μ_b_eq - K_SMC * sat(s_CBF / Φ)。注意这里是≥而不是=，因为QP约束是不等式，这给了求解器更大的自由度，只要控制量满足这个“最低要求”即可。

因此，SMCBF安全滤波器的QP问题为：

minimize (over δ, μ_b) δ^T δ - 2 δ_d^T δ subject to: L_f² h1(x) + L_g L_f h1(x) δ = μ_b1 L_f² h2(x) + L_g L_f h2(x) δ = μ_b2 μ_b1 ≥ -λ1 ḣ1 - K_SMC1 * sat(s_CBF1 / Φ1) μ_b2 ≥ -λ2 ḣ2 - K_SMC2 * sat(s_CBF2 / Φ2) δ_min ≤ δ ≤ δ_max

其中s_CBF1 = ḣ1 + λ1 h1，s_CBF2 = ḣ2 + λ2 h2。

实操要点三：SMCBF参数整定经验SMCBF有更多参数需要调节：λ,K_SMC,Φ。

• λ：与ECBF的极点类似，决定了“滑模面”的动态，即理想情况下h的收敛速度。通常λ在1~5之间选取。λ越大，收敛越快，但对控制量的需求也越大。
• K_SMC：这是鲁棒性的核心。它需要足够大以覆盖最坏情况下的不确定性。调试时：
  1. 在标称模型下，先将K_SMC设为一个较小值（如0.1），观察系统在扰动下的表现。
  2. 逐渐增大K_SMC，直到系统在面对你设定的模型参数变化（如±30%质量变化）时，依然能保持安全。
  3. 注意：过大的K_SMC会导致控制量δ在滑模面附近剧烈抖振，即使有边界层Φ也难以完全平滑。同时，过大的K_SMC可能使QP问题因约束过强而不可行（infeasible）。
• Φ（边界层厚度）：用于平滑控制，消除抖振。
  • Φ越大，控制越平滑，但跟踪精度会下降，相当于在滑模面附近允许一个“模糊带”。
  • Φ越小，控制越接近理想的开关特性，抖振越明显。
  • 通常从Φ = 0.05 * max(|s_CBF|)的估计值开始调试，然后根据控制信号的平滑度进行微调。在实际硬件上，需要观察转向电机的电流或扭矩信号，确保没有有害的高频分量。

5. 实时硬件在环（HIL）实现与部署细节

将算法从仿真（SIL）搬到实时硬件在环（HIL）测试，是通往产品化的关键一步。这里充满了工程上的挑战。

5.1 HIL系统架构与组件选型

我们采用了文中所述的Speedgoat实时目标机方案，这是一种典型的工业级HIL配置。

• 被控对象仿真机（Performance Unit）：运行高保真的车辆动力学模型、道路环境模型、驾驶员模型以及传感器（摄像头）仿真模型。它模拟真实世界的物理过程，并以固定的步长（如T_s = 10ms）输出所有状态量（e1, ẏ, e2, ψ̇）、道路曲率κ_r和驾驶员转向输入δ_d。
• 控制器硬件（Baseline Unit）：运行我们设计的SMCBF/ECBF安全滤波器算法。它通过CAN总线接收来自Performance Unit的传感器和状态信息，在每个控制周期（T_s）内求解一次QP问题，计算出安全转向角δ*，再通过CAN总线发送回去。
• CAN网络：连接两者，模拟车载网络通信。需要严格定义报文ID、数据格式和发送周期。例如：
  • ID 2: 车辆状态报文，包含e1,ẏ,e2,ψ̇,V_x，周期10ms。
  • ID 3: 环境信息报文，包含κ_r，周期10ms。
  • ID 1: 控制指令报文，包含δ*，周期10ms。

实操要点四：QP求解器的选择与集成QP问题的实时求解是整个系统的瓶颈。对于我们的问题（2个CBF，1个控制输入，加上限幅约束），问题规模很小，但必须在10ms内完成求解。

• 选项1：使用优化库：如qpOASES（适合参数不变的问题）、OSQP（轻量级，支持嵌入）。在Simulink中，可以通过C MEX S-Function或调用外部库实现。
• 选项2：显式MPC/显式QP：如果系统是线性的，或者可以在工作点线性化，并且状态和约束是多项式形式，可以考虑使用显式求解。它将在线优化问题转化为离线计算一个分段仿射查找表，在线计算就是查表，速度极快。但对于非线性CBF，这通常很困难。
• 选项3：自定义求解器：对于这种小规模QP，甚至可以用简单的梯度投影法或激活集法的简化版本来实现。关键是代码要高效，避免动态内存分配。
• 我们的选择：在Speedgoat的Simulink Real-Time环境中，我们使用了quadprog（MATLAB内置）的代码生成功能。虽然它不是最快的，但对于原型验证足够。关键一步：必须将QP问题的构造（Hessian矩阵H，梯度向量f，约束矩阵A,b）写成高度优化、固定维度的代码，避免在循环中使用inv或pinv。

5.2 代码生成与部署流程

1. 模型分割：在Simulink中创建两个顶层模型。一个用于Performance Unit（车辆与环境模型），另一个用于Baseline Unit（控制器模型）。两者通过CAN Receive/Send模块交互。
2. 控制器模型配置：
   • 将SMCBF/ECBF的算法模块（包括状态导数计算、Lie导数计算、QP问题构建与求解）封装在一个原子子系统或MATLAB Function块中。
   • 在Model Settings中，将求解器类型设置为固定步长（Fixed-step），步长设为T_s（0.01s），选择ode3（Bogacki-Shampine）或ode4（Runge-Kutta）等中等精度算法。
   • 在Code Generation设置中，选择系统目标文件为ert.tlc（Embedded Coder），并针对Speedgoat硬件进行配置。
3. 被控对象模型配置：同样设置固定步长。由于车辆模型可能更复杂，步长可以与控制器相同或更小（如0.001s），然后以10ms的倍数进行下采样后发送CAN信号。
4. 编译与下载：分别对两个模型进行代码生成、编译，并下载到对应的Speedgoat硬件中。
5. 同步启动：通过Speedgoat的上位机软件或Simulink Real-Time Explorer，同步启动两个硬件上的程序。

实操要点五：确保实时性与数据同步

• 定时中断：确保控制器的所有代码在一个T_s周期内完成。使用示波器或Speedgoat的实时监测工具，查看任务执行时间（Task Execution Time）是否始终小于T_s。
• CAN通信延迟：CAN总线也有微小延迟。需要确保Performance Unit在周期开始时计算并发送数据，Baseline Unit在周期内收到、计算并发送回控制指令，Performance Unit在下一个周期开始时应用该指令。这要求CAN报文调度非常精确。
• 时间戳：在关键的CAN报文中加入时间戳字段，可以在后期分析中评估端到端的延迟。

6. 实验结果分析与参数鲁棒性深度测试

在HIL平台上，我们进行了大量的测试，对比了纯驾驶员控制、ECBF安全滤波和SMCBF安全滤波。

6.1 标称工况下的性能对比

在标称参数（表3）和一条包含直道、弯道的测试道路上，我们模拟驾驶员偶尔分心导致车辆偏离。

• 纯驾驶员模型：如图5所示，车辆轨迹多次穿越车道边界，这是不安全且不符合法规的。
• ECBF控制器：能够将车辆牢牢保持在车道内，h1(x)和h2(x)始终为正（图6）。控制效果良好。
• SMCBF控制器：同样保证了安全性（图7）。从轨迹图上看，两者在标称情况下差异极小。

但是，关键的区别在于控制信号δ的形态。ECBF产生的转向角指令相对平滑。而SMCBF的指令在边界层内会有微小的、更高频的调整，这是��模控制“不断小幅度纠偏”特性的体现，但经过饱和函数sat()滤波后，实际输出是平滑的，不会引起执行器抖动。

6.2 鲁棒性测试：参数摄动下的表现

这才是SMCBF大放异彩的地方。我们进行了两组参数摄动：

1. 质量与惯量增加30%：模拟车辆满载情况。
2. 轮胎侧偏刚度Cα_f和Cα_r变化±10%：模拟轮胎磨损、胎压变化或路面附着系数变化。

我们进行了多次蒙特卡洛仿真，统计横向位移e1的分布（箱线图，如图8）。

• ECBF的表现：在大多数情况下仍能保证安全，但e1的波动范围（箱体高度和须长）明显增大了。在Cα减小10%且质量增加的极端组合下，ECBF失败了，车辆发生了越界（图9中对应的点）。这是因为模型误差超出了ECBF基于标称模型所设计的“安全裕度”。
• SMCBF的表现：在所有测试用例下均保持了安全。更重要的是，e1的波动范围显著小于ECBF，且更加集中。这说明SMCBF的滑模控制律有效地抑制了参数变化对控制性能的影响，将系统状态更紧密地“拉”在期望的安全边界附近。

实操要点六：如何解读箱线图与评估鲁棒性图8中的箱线图是评估控制器鲁棒性的利器。

• 箱体：代表了e1数据的中间50%（25%分位数到75%分位数）。箱体越窄，说明控制器在大多数时间将车辆控制得越靠近车道中心，性能越一致、越精确。
• 中位数线：箱体内的横线，代表数据的中位数。理想情况应在0附近（车道中心）。
• 须线：延伸到非异常值的最小和最大值。须线越长，说明控制器偶尔产生的最大偏差越大。
• 异常值：图中单独的点，代表极端情况下的偏差。SMCBF的异常值更少、更接近箱体，说明其应对极端情况的能力更强。

通过对比ECBF和SMCBF在不同参数组合下的箱线图，可以直观地得出SMCBF在性能一致性和安全鲁棒性上均更优的结论。

6.3 调试过程中遇到的典型问题与解决策略

1. QP问题不可行（Infeasible）：

   • 现象：求解器报错，无法找到满足所有约束的解。
   • 原因：最常见的原因是安全约束μ_b ≥ ...与控制量限幅约束δ_min ≤ δ ≤ δ_max冲突。例如，车辆以高速、大侧向误差接近边界，此时需要很大的转向角才能拉回，但δ_max限制了物理上限。
   • 解决：
     • 放宽安全约束：增大边界层厚度Φ（对SMCBF）或减小CBF的收敛速率（减小λ或使ECBF极点更慢），让控制器“不那么激进”。
     • 检查模型准确性：如果模型严重失准，计算出的所需控制量可能远大于实际需要。确保模型参数在合理范围内。
     • 引入软约束或惩罚：将硬约束μ_b ≥ ...改为在目标函数中加入大的惩罚项，但这会牺牲安全保证的严格性。
     • 最后手段：临时扩大δ_max/min（如果执行器有能力），但这可能不符合实际车辆限制。

2. 控制量抖振（Chattering）：

   • 现象：转向角指令δ*在高频小幅度振荡。
   • 原因（针对SMCBF）：边界层厚度Φ设置过小，或滑模增益K_SMC过大，导致系统在滑模面附近频繁穿越。
   • 解决：适当增大Φ。也可以将符号函数sign(s)替换为更光滑的近似，如s / (|s| + ε)，其中ε是一个小正数。

3. 系统响应迟缓：

   • 现象：车辆接近边界时，控制器介入太慢，导致h(x)非常接近0甚至轻微为负（在数值容差内）后才被拉回。
   • 原因：CBF的收敛速度太慢（λ太小或ECBF极点太慢），或者滑模增益K_SMC不够大，无法快速驱动态进入滑模面。
   • 解决：适度增大λ或K_SMC。但要注意与控制量饱和之间的权衡。

4. HIL系统中的时序问题：

   • 现象：控制效果不稳定，有时好有时坏，与仿真结果不符。
   • 原因：CAN通信延迟不固定，或控制器任务执行时间偶尔超时。
   • 解决：
     • 使用硬件同步信号（如外部中断）来严格同步两个单元的计算周期。
     • 优化控制器代码，确保最坏情况执行时间（WCET）小于T_s。
     • 在控制器中实施“超时处理逻辑”，如果在本周期未收到新数据，则使用上一周期的数据或一个安全默认值。

7. 总结与展望：从HIL到实车的思考

通过这个项目，我们成功地将基于滑模控制屏障函数（SMCBF）的鲁棒安全关键控制框架，应用到了实时硬件在环环境下的车道保持辅助系统中。实验结果表明，相较于传统的ECBF方法，SMCBF在保持相同安全性的前提下，显著提升了系统对车辆质量、惯量、轮胎刚度等关键参数摄动的鲁棒性，表现为更小、更稳定的横向位移偏差。

几点深刻的体会：

1. 理论到实践的桥梁是参数调试：再优美的理论，也需要通过大量、系统的参数调试才能发挥威力。理解每个参数（λ,K_SMC,Φ,K_b）的物理意义和相互影响，建立一套从标称模型到不确定性模型的调试流程，至关重要。
2. 实时性是硬约束：HIL测试逼真地反映了算法的实时计算压力。QP求解器的选择、代码的优化、任务周期的确定，这些工程细节直接决定了算法能否上车。
3. 安全是底线，但不是唯一：安全滤波器保证了“不出事”，但乘坐舒适性（控制量的平滑度）和驾驶员体验（干预的突兀感）同样重要。需要在安全、舒适和性能之间找到平衡点。例如，可以通过设计更平滑的CBF函数或调整边界层来改善舒适性。

未来的工作可以沿着以下几个方向展开：

1. 纵向与横向协同控制：目前的框架假设纵向车速V_x恒定。实际中，LKAS常与自适应巡航（ACC）协同工作。需要研究在V_x变化时，如何调整CBF参数或设计自适应机制。
2. 考虑执行器动态与延迟：转向系统有其自身的动力学和延迟。未来的设计需要将执行器模型纳入考虑，或者采用预测控制的方式来补偿延迟。
3. 更复杂的安全约束：当前只考虑了车道边界。可以扩展CBF以同时避让其他车辆、行人或障碍物，形成一套完整的安全防护网。
4. 数据驱动的参数自适应：K_SMC的保守估计可能会牺牲性能。可以利用车载传感器数据在线估计不确定性的大小，从而自适应地调整K_SMC，实现性能与鲁棒性的动态平衡。

这个基于SMCBF的鲁棒安全滤波框架，不仅适用于车道保持，其核心思想——利用滑模控制的强鲁棒性来增强基于模型的安全屏障——可以广泛应用于机器人、无人机等任何需要在高不确定性下保证安全性的动态系统。希望这篇详细的拆解和实战记录，能为同行们在解决类似安全关键控制问题时，提供一条清晰的路径和一份可靠的参考。