La arquitectura de software de conducción automatizada
El software de conducción automatizada convierte datos inciertos de sensores en movimiento físico: estima la ubicación, comprende la escena, predice su evolución, elige una trayectoria legal y controla el vehículo. La cadena habitual es percepción, localización, predicción, planificación y control; el aprendizaje automático puede fusionar algunas etapas, pero las preguntas de seguridad permanecen.
La percepción construye un modelo del mundo
El software de percepción detecta carriles, bordes, espacio libre, señales, semáforos, vehículos, peatones, ciclistas y otros elementos relevantes. Los sigue en el tiempo y estima su posición, velocidad, orientación e incertidumbre.
La fusión combina imágenes, retornos de radar, nubes de puntos lidar y datos de movimiento. No es una votación por mayoría: debe considerar tiempos, calibración, confianza y fallos correlacionados. Un reflejo, una oclusión o un objetivo bloqueado pueden hacer engañosa una fuente.
Un modelo útil también representa lo invisible. Si un peatón está parcialmente oculto tras una furgoneta, esa incertidumbre debe pasar a la predicción y planificación, en lugar de tratar la zona como vacía.
La localización estima posición y confianza
La localización combina GNSS, sensores inerciales, movimiento de ruedas, mapas y elementos observados de la vía. Produce una pose estimada —posición y orientación— con su incertidumbre.
Esa incertidumbre cambia qué maniobras son seguras. Un vehículo que no identifica con confianza su carril no debe iniciar un cambio ajustado solo porque lo pide la ruta. En túneles, cañones urbanos o trazados modificados, debe depender menos de una sola fuente.
La predicción representa varios futuros posibles
Los demás usuarios no siguen guiones. Un ciclista puede esquivar un bache, un niño salir de una oclusión y un conductor girar sin señalizar.
Los modelos estiman trayectorias e intenciones posibles, idealmente con probabilidades y no un único futuro cierto. La planificación debe ser segura ante alternativas creíbles, no limitarse a adivinar la acción más probable.
La incertidumbre debe cambiar el comportamiento: menor velocidad, mayor separación o aplazar una maniobra. Una cautela excesiva también puede crear peligros al bloquear el tráfico o resultar impredecible; el sistema debe avanzar sin fingir que desapareció la incertidumbre.
La planificación elige comportamiento y movimiento
La planificación opera a varias escalas:
- Planificación de ruta selecciona carreteras y destinos.
- Planificación de comportamiento decide seguir, ceder, incorporarse, cambiar de carril o parar.
- Planificación de movimiento crea una trayectoria que evita colisiones con velocidad y curvatura.
El plan debe respetar normas, límites físicos, confort y un comportamiento comprensible para otros. Una trayectoria matemáticamente libre de colisión puede ser mala si pasa demasiado cerca de un ciclista o duda de forma ambigua en una intersección.
También necesita una trayectoria de respaldo. El software debe saber qué hacer si se cierra un carril, se degrada un sensor o el destino queda inaccesible.
El control convierte la trayectoria en movimiento
El controlador traduce la ruta prevista en dirección, par motor y frenado. Debe considerar velocidad, adherencia, pendiente, carga y retardo de los actuadores.
Los vehículos eléctricos añaden frenado combinado: la regeneración y los frenos de fricción deben proporcionar la desaceleración solicitada de forma predecible al cambiar batería, temperatura y tracción. La suavidad no es cosmética; un control brusco puede desestabilizar a los pasajeros, reducir el agarre y dificultar que otros lean la intención.
Monitores independientes pueden comprobar la diferencia entre movimiento ordenado y real, la permanencia dentro de una envolvente segura y la salud del sistema principal.
El aprendizaje automático es un componente, no un argumento de seguridad
El aprendizaje automático se usa ampliamente en percepción, predicción y cada vez más en planificación. Algunos sistemas son modulares; otros emplean modelos aprendidos que relacionan más directamente los sensores con trayectorias. Las implementaciones reales pueden quedar entre ambos.
Ni la «IA integral» ni una cadena diseñada a mano demuestran capacidad. Las preguntas son:
- ¿Qué datos y situaciones definen el comportamiento previsto?
- ¿Cómo se encuentran los casos raros, sesgados o mal etiquetados?
- ¿Cómo representa el sistema la incertidumbre?
- ¿Qué límites quedan fuera del modelo aprendido?
- ¿Cómo se evalúa un cambio de software para detectar regresiones?
- ¿Qué monitor independiente puede contener una salida insegura?
ISO/PAS 8800 aborda los riesgos por insuficiencia de las salidas de IA, errores sistemáticos y fallos aleatorios de hardware en vehículos de carretera. Refleja el problema central: una alta precisión media no equivale a un argumento de seguridad aceptable.
Entrenamiento, pruebas y validación son trabajos distintos
El entrenamiento mejora el modelo. Las pruebas buscan fallos. La validación pregunta si el sistema completo es adecuado para su dominio previsto.
Los desarrolladores combinan:
- reproducción de datos grabados;
- pruebas de software y hardware en el bucle;
- simulación con variaciones controladas;
- escenarios en circuito cerrado;
- pruebas supervisadas en vía pública; y
- operación sin conductor monitorizada tras el despliegue.
La simulación genera situaciones peligrosas y raras sin exponer al público, pero solo sirve si los modelos de vehículo, sensor y usuario representan la realidad. El kilometraje público aporta evidencia operativa, pero demuestra con poca eficiencia peligros raros y precisos. Un programa creíble necesita evidencia basada en escenarios y en exposición.
Superar un conjunto fijo no basta. El software puede sobreajustarse a la referencia, y una mejora puede crear una regresión en otro lugar.
Respaldo y asistencia remota
El sistema comprueba continuamente el dominio operativo, la salud de sensores, la calidad de localización y el estado del vehículo.
En el nivel 2, un límite devuelve toda la tarea al conductor, que ya debería supervisar. En el nivel 3, el sistema gestiona una solicitud de intervención y una respuesta para reducir el riesgo. En el nivel 4, debe alcanzar una condición de riesgo mínimo sin depender de un conductor.
Las flotas sin conductor pueden usar asistencia remota para aportar contexto, por ejemplo confirmar que un objeto extraño es una barrera provisional. No es conducción remota continua. El vehículo sigue siendo responsable del movimiento seguro, salvo que su modelo operativo contemple expresamente un conductor remoto.
Las actualizaciones cambian un producto crítico para la seguridad
Las actualizaciones inalámbricas pueden mejorar percepción, ampliar el dominio o cambiar la conducta. También pueden provocar regresiones. Una nueva versión requiere trazabilidad, ciberseguridad, despliegue gradual, monitorización y estrategia de reversión o contención.
Una actualización no cambia el nivel SAE por una declaración comercial. La función completa —hardware, software, dominio, respaldo, homologación e instrucciones— debe sustentar el nuevo papel.
Para el comprador, la interfaz suele ser la conducta de software más visible. Debe indicar qué función está activa, qué hace, qué espera de la persona y por qué se acerca a un límite. La confusión de modo es un defecto del sistema, no un mero error del usuario.