De softwarestack voor geautomatiseerd rijden
Software voor geautomatiseerd rijden zet onzekere sensorgegevens om in fysieke beweging: locatie schatten, de situatie begrijpen, ontwikkeling voorspellen, een wettige route kiezen en het voertuig besturen. De bekende keten is waarneming, lokalisatie, voorspelling, planning en regeling; machinelearning kan stappen samenvoegen, maar de veiligheidsvragen blijven.
Waarneming bouwt een wereldmodel
De software detecteert rijstroken, wegranden, vrije ruimte, borden, signalen, voertuigen, voetgangers, fietsers en andere relevante elementen. Zij volgt die door de tijd en schat positie, snelheid, richting en onzekerheid.
Sensorfusie combineert beelden, radarecho’s, lidar-puntenwolken en bewegingsgegevens. Het is geen meerderheidsstemming: timing, kalibratie, sensorvertrouwen en gecorreleerde fouten tellen mee. Reflectie, afscherming of een geblokkeerde lens kan een bron misleidend maken.
Een bruikbaar model toont ook het onzichtbare. Is een voetganger deels verborgen achter een bestelwagen, dan moet de onzekerheid meegaan naar voorspelling en planning, niet het gebied leeg maken.
Lokalisatie schat positie en vertrouwen
Lokalisatie combineert GNSS, traagheidssensoren, wielbeweging, kaarten en waargenomen wegkenmerken. Het resultaat is een geschatte pose—positie en richting—met onzekerheid.
Die onzekerheid bepaalt veilige manoeuvres. Een voertuig dat zijn rijstrook niet zeker kent, mag geen krappe wissel beginnen alleen omdat de route dat vraagt. In tunnels, stadskloven of gewijzigde wegen moet het minder op één bron vertrouwen.
Voorspelling toont meerdere mogelijke toekomsten
Andere weggebruikers volgen geen script. Een fietser kan een gat ontwijken, een kind uit afscherming komen en een bestuurder zonder richtingaanwijzer afslaan.
Modellen schatten mogelijke trajecten en intenties, liefst met waarschijnlijkheden en niet één zekere toekomst. Planning moet veilig blijven bij geloofwaardige alternatieven, niet alleen de waarschijnlijkste actie raden.
Onzekerheid moet gedrag wijzigen: lagere snelheid, grotere afstand of uitgestelde manoeuvre. Overmatige voorzichtigheid kan ook gevaar geven door verkeer te blokkeren of onvoorspelbaar te zijn; het systeem moet vooruitgang boeken zonder onzekerheid te ontkennen.
Planning kiest gedrag en beweging
Planning werkt op meerdere schalen:
- Routeplanning kiest wegen en bestemmingen.
- Gedragsplanning kiest volgen, voorrang verlenen, invoegen, wisselen of stoppen.
- Bewegingsplanning maakt een botsingsvermijdend traject met snelheid en kromming.
Het plan moet regels, fysieke grenzen, comfort en begrijpelijk gedrag respecteren. Een wiskundig botsingsvrij traject kan slecht zijn als het een fietser te dicht passeert of dubbelzinnig twijfelt op een kruising.
Er is ook een terugvaltraject nodig. De software moet weten wat mogelijk is bij een gesloten rijstrook, verslechterde sensor of onbereikbare bestemming.
Regeling maakt van een traject beweging
De regelaar vertaalt het traject in stuurhoek, motorkoppel en remmen, rekening houdend met snelheid, grip, helling, belading en actuatorvertraging.
Elektrische auto’s voegen gemengd remmen toe: regeneratie en wrijvingsremmen moeten voorspelbaar vertragen wanneer batterij, temperatuur en grip veranderen. Soepelheid is niet cosmetisch; abrupte regeling kan passagiers destabiliseren, grip verminderen en intentie minder leesbaar maken.
Onafhankelijke bewaking kan verschillen tussen opgedragen en echte beweging, de veilige begrenzing en gezondheid van het hoofdsysteem controleren.
Machinelearning is een component, geen veiligheidsargument
Machinelearning wordt veel gebruikt voor waarneming, voorspelling en steeds meer planning. Sommige systemen zijn modulair; andere verbinden sensoren directer met trajecten via geleerde modellen. Werkelijke oplossingen kunnen ertussen liggen.
Noch ‘end-to-end-AI’ noch een handgebouwde keten bewijst capaciteit. De vragen zijn:
- Welke gegevens en scenario’s bepalen het beoogde gedrag?
- Hoe worden zeldzame, vertekende of verkeerd gelabelde gevallen gevonden?
- Hoe geeft het systeem onzekerheid weer?
- Welke grenzen liggen buiten het model?
- Hoe wordt een wijziging op regressie beoordeeld?
- Welke onafhankelijke bewaking kan onveilige uitvoer beperken?
ISO/PAS 8800 behandelt risico’s van onvoldoende AI-uitvoer, systematische fouten en willekeurige hardwarefouten in wegvoertuigen. Hoge gemiddelde nauwkeurigheid is geen aanvaardbaar veiligheidsargument.
Trainen, testen en valideren zijn verschillende taken
Trainen verbetert het model. Testen zoekt fouten. Valideren vraagt of het hele systeem past bij het bedoelde domein.
Ontwikkelaars combineren:
- afspelen van opgenomen gegevens;
- software- en hardware-in-the-loop-tests;
- simulatie met gecontroleerde variaties;
- scenario’s op afgesloten terrein;
- begeleide tests op de openbare weg; en
- bewaakt rijden zonder bestuurder na invoering.
Simulatie maakt zeldzame gevaren zonder het publiek bloot te stellen, maar helpt alleen als modellen de werkelijkheid weergeven. Openbare kilometers leveren operationeel bewijs, maar bewijzen zeldzame, precieze gevaren inefficiënt. Een geloofwaardig programma heeft scenario- en blootstellingsbewijs nodig.
Een vaste testset halen volstaat niet. Software kan zich aan de maatstaf overaanpassen, en verbetering kan elders regressie veroorzaken.
Terugval en ondersteuning op afstand
Het systeem controleert voortdurend werkingsgebied, sensorstatus, lokalisatiekwaliteit en voertuigstatus.
Op niveau 2 geeft een grens de hele taak terug aan de al toezichthoudende bestuurder. Op niveau 3 beheert het systeem een interventieverzoek en risicovermindering. Op niveau 4 moet het zonder bestuurder een toestand met minimaal risico bereiken.
Vloten zonder bestuurder kunnen ondersteuning op afstand gebruiken voor context, zoals bevestiging van een tijdelijke barrière. Dat is anders dan voortdurend rijden op afstand. Het voertuig blijft verantwoordelijk voor veilige beweging, tenzij het bedrijfsmodel uitdrukkelijk een bestuurder op afstand gebruikt.
Updates veranderen een veiligheidskritisch product
Updates op afstand kunnen waarneming verbeteren, het domein uitbreiden of gedrag wijzigen, maar ook regressie veroorzaken. Een nieuwe versie vereist traceerbaarheid, beveiliging, gefaseerde invoering, bewaking en een terugdraai- of beperkingsstrategie.
Een update wijzigt het SAE-niveau niet door marketing. De volledige functie—hardware, software, domein, terugval, goedkeuring en instructies—moet de nieuwe rol ondersteunen.
Voor kopers is de interface vaak het zichtbaarst. Die moet actieve functie, handeling, verwachte menselijke rol en reden van een naderende grens duidelijk tonen. Modusverwarring is een systeemdefect, niet alleen gebruikersfout.