Lo stack software della guida automatizzata
Il software di guida automatizzata trasforma dati incerti dei sensori in movimento fisico: stima la posizione, comprende la scena, ne prevede l’evoluzione, sceglie un percorso legale e controlla il veicolo. La catena nota è percezione, localizzazione, previsione, pianificazione e controllo; l’apprendimento automatico può unire alcune fasi, ma le questioni di sicurezza restano.
La percezione costruisce un modello del mondo
Il software rileva corsie, bordi, spazio libero, segnali, semafori, veicoli, pedoni, ciclisti e altri elementi rilevanti. Li segue nel tempo e ne stima posizione, velocità, orientamento e incertezza.
La fusione combina immagini, ritorni radar, nuvole di punti lidar e dati di movimento. Non è un voto di maggioranza: deve considerare tempi, calibrazione, fiducia e guasti correlati. Riflessione, occlusione o lente bloccata possono rendere fuorviante una fonte.
Un modello utile rappresenta anche ciò che non è visibile. Se un pedone è in parte nascosto da un furgone, l’incertezza deve passare a previsione e pianificazione, non rendere vuota l’area.
La localizzazione stima posizione e fiducia
La localizzazione combina GNSS, sensori inerziali, movimento delle ruote, mappe ed elementi stradali osservati. Produce una posa stimata—posizione e orientamento—con incertezza.
L’incertezza cambia le manovre sicure. Un veicolo che non identifica con certezza la corsia non deve iniziare un cambio stretto solo perché lo chiede il percorso. In gallerie, canyon urbani o tracciati modificati deve dipendere meno da un’unica fonte.
La previsione rappresenta più futuri possibili
Gli altri utenti non seguono copioni. Un ciclista può evitare una buca, un bambino emergere da un’occlusione e un conducente svoltare senza segnalare.
I modelli stimano traiettorie e intenzioni possibili, preferibilmente con probabilità e non un unico futuro certo. La pianificazione deve restare sicura tra alternative credibili, non limitarsi all’azione più probabile.
L’incertezza deve cambiare il comportamento: velocità minore, distanza maggiore o manovra rinviata. Una cautela eccessiva può creare pericoli bloccando il traffico o risultando imprevedibile; il sistema deve avanzare senza fingere che l’incertezza sia sparita.
La pianificazione sceglie comportamento e movimento
La pianificazione opera su più scale:
- Pianificazione del percorso sceglie strade e destinazioni.
- Pianificazione del comportamento decide se seguire, dare precedenza, immettersi, cambiare corsia o fermarsi.
- Pianificazione del movimento crea una traiettoria anticollisione con velocità e curvatura.
Il piano deve rispettare regole, limiti fisici, comfort e comportamento comprensibile. Una traiettoria matematicamente senza collisioni può essere scadente se passa troppo vicino a un ciclista o esita ambiguamente a un incrocio.
Serve anche un percorso di ripiego. Il software deve sapere cosa fare se una corsia chiude, un sensore degrada o la destinazione diventa irraggiungibile.
Il controllo trasforma la traiettoria in movimento
Il controllore traduce il percorso in sterzo, coppia motore e frenata, considerando velocità, aderenza, pendenza, carico e ritardo degli attuatori.
I veicoli elettrici aggiungono la frenata combinata: rigenerazione e freni ad attrito devono produrre decelerazione prevedibile al variare di batteria, temperatura e trazione. La fluidità non è cosmetica; un controllo brusco può destabilizzare i passeggeri, ridurre l’aderenza e rendere meno leggibile l’intenzione.
Monitor indipendenti possono verificare divergenze tra movimento richiesto e reale, permanenza nell’inviluppo sicuro e salute del sistema principale.
L’apprendimento automatico è un componente, non una prova di sicurezza
L’apprendimento automatico è comune in percezione, previsione e sempre più pianificazione. Alcuni sistemi sono modulari; altri collegano più direttamente sensori e traiettorie con modelli appresi. Le soluzioni reali possono stare nel mezzo.
Né «IA end-to-end» né una catena costruita a mano dimostrano capacità. Le domande sono:
- Quali dati e scenari definiscono il comportamento previsto?
- Come si trovano casi rari, distorti o etichettati male?
- Come viene rappresentata l’incertezza?
- Quali vincoli restano fuori dal modello?
- Come si valuta una modifica per le regressioni?
- Quale monitor indipendente può contenere un’uscita pericolosa?
ISO/PAS 8800 tratta i rischi da uscite IA insufficienti, errori sistematici e guasti hardware casuali nei veicoli stradali. Un’elevata precisione media non equivale a una prova di sicurezza accettabile.
Addestramento, test e convalida sono compiti diversi
L’addestramento migliora il modello. Il test cerca guasti. La convalida chiede se l’intero sistema è adatto al dominio previsto.
Gli sviluppatori combinano:
- riproduzione di dati registrati;
- test software e hardware nel circuito;
- simulazione con variazioni controllate;
- scenari su pista chiusa;
- test supervisionati su strada pubblica; e
- esercizio senza conducente monitorato dopo l’introduzione.
La simulazione genera pericoli rari senza esporre il pubblico, ma serve solo se i modelli rappresentano la realtà. I chilometri pubblici forniscono prove operative, ma dimostrano in modo inefficiente pericoli rari e precisi. Un programma credibile richiede prove per scenario e per esposizione.
Superare un insieme fisso non basta. Il software può sovradattarsi al riferimento, e un miglioramento creare una regressione altrove.
Ripiego e assistenza remota
Il sistema controlla continuamente dominio operativo, salute dei sensori, qualità della localizzazione e stato del veicolo.
Al livello 2, un limite restituisce l’intero compito al conducente che dovrebbe già sorvegliare. Al livello 3, il sistema gestisce richiesta d’intervento e riduzione del rischio. Al livello 4, deve raggiungere una condizione di rischio minimo senza conducente.
Le flotte senza conducente possono usare assistenza remota per il contesto, ad esempio confermare una barriera temporanea. È diversa dalla guida remota continua. Il veicolo resta responsabile del movimento sicuro, salvo che il modello operativo preveda espressamente un conducente remoto.
Gli aggiornamenti modificano un prodotto critico per la sicurezza
Gli aggiornamenti remoti possono migliorare percezione, ampliare il dominio o cambiare comportamento, ma anche creare regressioni. Una nuova versione richiede tracciabilità, sicurezza, introduzione graduale, monitoraggio e strategia di ripristino o contenimento.
Un aggiornamento non cambia il livello SAE per dichiarazione commerciale. L’intera funzione—hardware, software, dominio, ripiego, approvazione e istruzioni—deve sostenere il nuovo ruolo.
Per gli acquirenti, l’interfaccia è spesso il comportamento più visibile. Deve mostrare chiaramente funzione attiva, azione, ruolo umano atteso e motivo dell’avvicinarsi a un limite. La confusione di modalità è un difetto di sistema, non solo errore dell’utente.