Softwarestakken til automatiseret kørsel

Software til automatiseret kørsel omsætter usikre sensordata til fysisk bevægelse ved at anslå position, forstå situationen, forudsige udviklingen, vælge en lovlig vej og styre køretøjet. Den kendte kæde er perception, lokalisering, forudsigelse, planlægning og styring; maskinlæring kan samle trin, men sikkerhedsspørgsmålene består.

Perception opbygger en verdensmodel

Softwaren registrerer vognbaner, vejkanter, fri plads, skilte, signaler, køretøjer, fodgængere, cyklister og andre relevante objekter. Den følger dem over tid og anslår position, hastighed, retning og usikkerhed.

Sensorfusion kombinerer billeder, radarekkoer, lidar-punktskyer og bevægelsesdata. Det er ikke en flertalsafstemning: tid, kalibrering, sensortillid og korrelerede fejl skal medregnes. Refleksion, skjul eller en blokeret linse kan gøre én kilde misvisende.

En brugbar model repræsenterer også det usynlige. Er en fodgænger delvist skjult bag en varebil, skal usikkerheden indgå i forudsigelse og planlægning i stedet for at gøre området tomt.

Lokalisering anslår position og tillid

Lokalisering kombinerer GNSS, inertisensorer, hjulbevægelse, kort og observerede vejtræk. Resultatet er en anslået positur—position og retning—med usikkerhed.

Usikkerheden afgør sikre manøvrer. Et køretøj, der ikke sikkert kender sin vognbane, bør ikke foretage et tæt vognbaneskift, blot fordi ruten kræver det. I tunneler, bygader eller ændrede vejforløb skal det stole mindre på én kilde.

Forudsigelse viser flere mulige fremtider

Andre trafikanter følger ikke manuskripter. En cyklist kan undvige et hul, et barn komme frem fra skjul, og en bilist dreje uden signal.

Modeller anslår mulige baner og hensigter, helst med sandsynligheder frem for én sikker fremtid. Planlægningen skal være sikker på tværs af troværdige alternativer, ikke kun gætte den mest sandsynlige handling.

Usikkerhed bør ændre adfærden: lavere fart, større afstand eller udsat manøvre. For stor forsigtighed kan også skabe fare ved at blokere trafik eller være uforudsigelig; systemet skal komme frem uden at benægte usikkerheden.

Planlægning vælger adfærd og bevægelse

Planlægning sker på flere niveauer:

Ruteplanlægning vælger veje og destinationer.
Adfærdsplanlægning vælger at følge, vige, flette, skifte vognbane eller standse.
Bevægelsesplanlægning skaber en kollisionsfri bane med fart og krumning.

Planen skal respektere regler, fysiske grænser, komfort og forståelig adfærd. En matematisk kollisionsfri bane kan være dårlig, hvis den passerer en cyklist for tæt eller tøver tvetydigt i et kryds.

Der kræves også en fallbackbane. Softwaren skal vide, hvad den kan gøre ved en lukket vognbane, forringet sensor eller utilgængelig destination.

Styring gør banen til bevægelse

Regulatoren omsætter banen til styretøj, motormoment og bremser og tager højde for fart, vejgreb, stigning, last og aktuatorforsinkelse.

Elbiler har blandet bremsning: regenerering og friktionsbremser skal levere forudsigelig deceleration, når batteri, temperatur og greb ændres. Jævnhed er ikke kosmetik; brat styring kan destabilisere passagerer, mindske greb og gøre hensigten sværere at aflæse.

Uafhængige monitorer kan kontrollere forskelle mellem beordret og faktisk bevægelse, sikkerhedsgrænser og hovedsystemets tilstand.

Maskinlæring er en komponent, ikke et sikkerhedsargument

Maskinlæring bruges meget til perception, forudsigelse og stadig mere planlægning. Nogle systemer er modulære; andre forbinder sensorinput mere direkte med baner gennem lærte modeller. Virkelige løsninger kan ligge imellem.

Hverken »end-to-end-AI« eller en håndbygget kæde beviser kapacitet. Spørgsmålene er:

Hvilke data og scenarier definerer den ønskede adfærd?
Hvordan findes sjældne, skæve eller fejlmærkede tilfælde?
Hvordan repræsenteres usikkerhed?
Hvilke grænser ligger uden for modellen?
Hvordan testes en ændring for regression?
Hvilken uafhængig monitor kan begrænse et usikkert output?

ISO/PAS 8800 behandler risiko fra utilstrækkelige AI-output, systematiske fejl og tilfældige hardwarefejl i vejkøretøjer. Høj gennemsnitlig nøjagtighed er ikke et tilstrækkeligt sikkerhedsargument.

Træning, test og validering er forskellige opgaver

Træning forbedrer modellen. Test søger fejl. Validering spørger, om hele systemet passer til det tiltænkte domæne.

Udviklere kombinerer:

afspilning af optagne data;
software- og hardware-in-the-loop-test;
simulering med kontrollerede variationer;
scenarier på lukket bane;
overvåget test på offentlig vej; og
overvåget førerløs drift efter udrulning.

Simulering skaber sjældne farer uden at udsætte offentligheden, men er kun nyttig, hvis modellerne repræsenterer virkeligheden. Offentlige kilometer giver driftserfaring, men dokumenterer sjældne, præcise farer ineffektivt. Et troværdigt program kræver scenarie- og eksponeringsbaseret dokumentation.

Et fast testsæt er ikke nok. Software kan overtilpasse sig målet, og én forbedring kan skabe regression andetsteds.

Fallback og fjernassistance

Systemet kontrollerer løbende driftsdomæne, sensortilstand, lokaliseringskvalitet og køretøjstilstand.

På niveau 2 går hele opgaven ved en grænse tilbage til den allerede overvågende fører. På niveau 3 håndterer systemet en overtagelsesanmodning og risikoreduktion. På niveau 4 skal det nå en tilstand med minimal risiko uden fører.

Førerløse flåder kan bruge fjernassistance til kontekst, eksempelvis bekræftelse af en midlertidig barriere. Det er ikke kontinuerlig fjernkørsel. Køretøjet har ansvaret for sikker bevægelse, medmindre driftsmodellen udtrykkeligt bruger en fjernfører.

Opdateringer ændrer et sikkerhedskritisk produkt

Trådløse opdateringer kan forbedre perception, udvide domænet eller ændre adfærd, men også skabe regression. En ny version kræver sporbarhed, sikkerhed, trinvis udrulning, overvågning og en tilbageførings- eller inddæmningsstrategi.

En opdatering ændrer ikke SAE-niveauet gennem markedsføring. Hele funktionen—hardware, software, domæne, fallback, godkendelse og instruktioner—skal understøtte den nye rolle.

For købere er brugerfladen ofte mest synlig. Den bør klart vise aktiv funktion, handling, menneskets forventede rolle og grunden til en kommende grænse. Tilstandsforvirring er en systemfejl, ikke blot brugerfejl.