Neuro-Symbolic Safety Guidance for VLA via Constrained Flow Matching

01 Motivation

VLA 模型把感知、语言与动作生成统一进端到端框架，π₀ / π₀.₅ 等新模型用 flow matching 生成动作，泛化能力强。但真实部署的核心障碍是物理安全——尤其是碰撞避免。碰撞既会中断任务，也会损坏硬件。

"their real-world deployment remains limited by the lack of effective safety measures." —— 现有 VLA 安全手段仍不足以支撑真实部署。

现有方案分两类，都各有短板：

Training-time（如 SafeVLA）：用受约束的强化学习把安全训进模型，但需昂贵重训，且把安全当作可与奖励权衡的软目标，而非硬约束。
Inference-time（如 AEGIS / SafeDec）：用 CBF 二次规划在推理时过滤动作，无需重训。但符号求解器被放在生成之外，只对已经生成好的单个动作做事后投影（post-hoc）。因为看不到未来动作，它继承了标准 CBF 的"近视"（myopia），只能在碰撞迫在眉睫时才干预，导致过度绕行甚至 deadlock。

本文主张：flow matching 的迭代去噪本身就可以看作逐步的轨迹预测。既然每一步都有一整条候选轨迹，就应该在生成过程内部（decode-time）沿整条轨迹执行 CBF 约束，把修正分摊到更早的动作上，从而做到anticipatory avoidance。

82.8%碰撞避免率 CAR（本文，总平均）

81.6%任务成功率 TSR（本文，总平均）

+19.8%TSR 相对单步 CBF 方法提升

18.7%无安全机制基座的 CAR（对照）

02 Method

给定一个通过 flow matching 生成 action chunk 的预训练 VLA 策略 π₀.₅，方法在其去噪循环中插入两个组件：(1) collision prediction 用当前 action chunk 估计未来的安全违规；(2) safety guidance 解一个 minimum-norm 修正，使整条预测轨迹恢复安全。修正后的 chunk 送入下一步去噪，velocity field 会据此自适应调整——这就是"神经细化 ↔ 符号约束"的反馈闭环。

safety-guided flow matching overview — Figure 4：safety-guided flow matching 总览。左侧 **Neural**（预训练 VLA + Action Expert）在每一步去噪时输出 action chunk Aᵀ；右侧 **Symbolic** 用 forward kinematics 预测末端执行器位置、构造 CBF barrier Bⱼ、并在检测到碰撞时求解 min‖δ‖² 的最小修正 δ*；修正后的轨迹回灌到下一步去噪，最终输出 minimally offset 的 **Safe Action Chunk**。

① Collision prediction（碰撞预测）

把当前 action chunk 视作对未来 H 步运动的预测。用 forward kinematics 在 single-integrator 动力学下推算每个动作对应的末端执行器位置，再针对已知障碍几何评估 discrete-time CBF 条件 Bⱼ ≥ (1−γ)Bⱼ₋₁，从而在动作真正执行前就识别"未来某一步会碰撞"。

② Safety guidance（最小范数修正）

一旦检测到违规，就把标准单步 CBF 扩展为轨迹级约束优化：在整条预测轨迹上求 min ‖δ‖² s.t. Bⱼ(a+δ) ≥ (1−γ)Bⱼ₋₁(a+δ) 的最小动作修正 δ*，并把修正分摊到违规点之前的多个动作，实现平滑的提前绕行。

③ In-generation feedback（生成中反馈，关键区别）

与 post-hoc 方法最本质的不同：修正不是在生成结束后施加，而是在去噪过程中施加。因为 flow matching 模型在下一步会收到修正后的轨迹，它的 velocity field 会吸收这一扰动，后续细化步骤把动作重新拉回学习到的动作分布内——既满足 barrier 约束，又保持与策略意图一致。Post-hoc 方法缺乏这一反馈，只能事后过滤，无机会自适应。

denoising steps with correction — Figure 5：10 步去噪中的第 3–5 步。红色 = Neural 预测出会碰撞的轨迹；蓝色 = Symbolic 修正（标注了修正量 ‖δ‖，如 0.304、0.206）；绿色 = 修正后继续去噪的结果。修正后的轨迹作为每一步的输入被反复送回，逐步收敛到既避障又能到达 goal 的安全轨迹。

03 Experiments

在 SafeLIBERO（源自 LIBERO 的安全关键基准）上评测，含 Spatial / Object / Goal / Long 四个任务套件，以及两级难度：Level I 把障碍放在目标物附近，Level II 把障碍放在机器人运动路径上。指标：CAR（碰撞避免率，越高越好）、TSR（任务成功率，越高越好）、ETS（平均执行步数，越低越省时）。对比对象：无安全机制的 π₀.₅ 基座、单步事后 CBF 方法 AEGIS。

方法	CAR ↑	TSR ↑	ETS ↓
Base π₀.₅（无安全）	18.69%	50.88%	278.24
AEGIS（post-hoc CBF）	77.85%	68.13%	262.30
Ours（in-generation）	82.81%	81.62%	299.97

总平均上，本文 CAR 82.81% / TSR 81.62%，相对 AEGIS（77.85% / 68.13%）在两项上均更优；相对单步方法分别提升约 +6.3% CAR、+19.8% TSR。TSR 的提升尤为显著——说明把修正嵌入生成过程能保住策略完成多步任务的能力。

长程任务是最大受益点

AEGIS 虽大幅提升 CAR，但在 Long 套件上 TSR 仅 43.75%，说明事后修正会破坏多步任务的连贯性。本文在 Long 上做到 76.75% TSR（几乎翻倍），同时 CAR 也更高（82.50% vs 79.63%）。分套件 CAR：Goal 88.25%（vs 81.50%）、Object 84.00%（vs 74.75%）、Long 82.50%（vs 79.63%），Spatial 76.50% 与 AEGIS 75.50% 相当；四个套件 TSR 全面领先。

代价是执行时间：平均 ETS 299.97 高于 AEGIS 的 262.30，在 Object 上差距最明显（305.62 vs 201.26），因为轨迹级引导会绕出更保守的路径。但在 Spatial 上 ETS 186.35 与 AEGIS 188.20 相当——当所需修正很小时，方法几乎不带来额外开销。

predictive collision avoidance example — Figure 6：SafeLIBERO-Object 任务上的预测式避障示例。红点表示对末端执行器**未来 10 步**位置的预测；绿色轨迹为经安全引导后规避酒瓶等障碍的实际路径。

04 Limitations

Note: 以下均为论文 "Challenging cases and limitations" 小节明确陈述的局限（stated by authors），非推断。

只约束末端执行器，未建模机械臂本体碰撞

barrier 仅作用于 end-effector 位置、采用 single-integrator 动力学，机械臂其余部分与障碍的碰撞未被建模。在 Spatial Task 1（在 ramekin 与 plate 之间取碗）上表现最弱，Level II 的 TSR 仅 70%、落后于 AEGIS，因为障碍迫使关节远超典型构型弯曲。推广到高阶 / full-body 动力学留作 future work。

约束依赖已知障碍几何与位姿（取自模拟器）

实例化 barrier 需要已知障碍的几何与位置，本文直接从 simulator 读取。这虽隔离了控制贡献与感知，却偏离了 VLA 的核心动机——从原始观测直接行动、不依赖显式状态。从感知中导出约束是重要的下一步。

椭球近似可能低估某些几何所需的间隙

Object Task 3 在 Level I 上 CAR 偏低（46% vs AEGIS 的 78%），说明对障碍的 ellipsoidal approximation 在部分几何形状上会低估所需 clearance。

执行时间偏高（ETS）

本文 ETS 在四套件中的三个高于其他方法，Object 尤甚。作者指出这些延迟主要源于策略在无信息量的感知输入下发出中性动作，而非引导过程本身。