Stos oprogramowania zautomatyzowanej jazdy

Oprogramowanie zautomatyzowanej jazdy zamienia niepewne dane czujników w ruch: ocenia położenie, rozumie sytuację, przewiduje rozwój, wybiera zgodną z prawem trasę i steruje pojazdem. Typowy łańcuch to percepcja, lokalizacja, predykcja, planowanie i sterowanie; uczenie maszynowe może łączyć etapy, lecz pytania o bezpieczeństwo pozostają.

Percepcja buduje model świata

Oprogramowanie wykrywa pasy, krawędzie drogi, wolną przestrzeń, znaki, sygnały, pojazdy, pieszych, rowerzystów i inne elementy. Śledzi je i ocenia pozycję, prędkość, kierunek oraz niepewność.

Fuzja łączy obrazy, echa radarowe, chmury punktów lidaru i dane ruchu. Nie jest głosowaniem większościowym: liczą się czas, kalibracja, zaufanie i skorelowane awarie. Odbicie, przesłonięcie lub zasłonięty obiektyw mogą czynić źródło mylącym.

Użyteczny model pokazuje też to, czego nie widać. Jeśli pieszy jest częściowo ukryty za vanem, niepewność musi przejść do predykcji i planowania zamiast uznania obszaru za pusty.

Lokalizacja ocenia położenie i pewność

Lokalizacja łączy GNSS, czujniki bezwładnościowe, ruch kół, mapy i zaobserwowane cechy drogi. Wynikiem jest oszacowana poza—pozycja i orientacja—wraz z niepewnością.

Niepewność wpływa na bezpieczne manewry. Pojazd niepewny swojego pasa nie powinien zaczynać ciasnej zmiany tylko dlatego, że wymaga jej trasa. W tunelu, kanionie miejskim lub na zmienionej drodze musi mniej polegać na jednym źródle.

Predykcja przedstawia kilka możliwych przyszłości

Inni uczestnicy nie realizują scenariusza. Rowerzysta może ominąć dziurę, dziecko wyjść zza przeszkody, a kierowca skręcić bez sygnału.

Modele oceniają możliwe tory i zamiary, najlepiej jako prawdopodobieństwa, a nie jedną pewną przyszłość. Planowanie musi być bezpieczne dla wiarygodnych alternatyw, nie tylko zgadywać najbardziej prawdopodobne działanie.

Niepewność powinna zmieniać zachowanie: mniejsza prędkość, większy odstęp lub odłożenie manewru. Nadmierna ostrożność także może być niebezpieczna, blokując ruch lub będąc nieprzewidywalną; system musi postępować bez udawania, że niepewność zniknęła.

Planowanie wybiera zachowanie i ruch

Planowanie działa w kilku skalach:

Planowanie trasy wybiera drogi i cele.
Planowanie zachowania wybiera podążanie, ustąpienie, włączenie się, zmianę pasa lub postój.
Planowanie ruchu tworzy tor unikający kolizji z prędkością i krzywizną.

Plan musi przestrzegać zasad, ograniczeń fizycznych, komfortu i zrozumiałego zachowania. Matematycznie bezkolizyjny tor może być zły, jeśli mija rowerzystę zbyt blisko lub niejednoznacznie waha się na skrzyżowaniu.

Potrzebny jest też tor awaryjny. Oprogramowanie musi wiedzieć, co zrobić po zamknięciu pasa, pogorszeniu czujnika lub utracie dostępu do celu.

Sterowanie zamienia tor w ruch

Sterownik przekłada tor na skręt, moment silnika i hamowanie, uwzględniając prędkość, przyczepność, nachylenie, ładunek i opóźnienie elementów wykonawczych.

Pojazdy elektryczne łączą rekuperację i hamulce cierne, aby zapewnić przewidywalne opóźnienie mimo zmian baterii, temperatury i przyczepności. Płynność nie jest kosmetyką; gwałtowne sterowanie może destabilizować pasażerów, zmniejszać przyczepność i utrudniać odczytanie zamiaru.

Niezależne monitory mogą sprawdzać różnicę między ruchem żądanym i rzeczywistym, bezpieczne granice oraz stan głównego systemu.

Uczenie maszynowe jest elementem, nie argumentem bezpieczeństwa

Uczenie maszynowe jest szeroko używane w percepcji, predykcji i coraz częściej planowaniu. Jedne systemy są modułowe, inne łączą czujniki z torami bardziej bezpośrednio przez wyuczone modele. Realne rozwiązania mogą leżeć pośrodku.

Ani „AI end-to-end”, ani ręcznie zbudowany łańcuch nie dowodzą możliwości. Pytania brzmią:

Jakie dane i scenariusze definiują zamierzone zachowanie?
Jak znajduje się rzadkie, stronnicze lub źle opisane przypadki?
Jak system przedstawia niepewność?
Jakie granice leżą poza modelem?
Jak zmianę ocenia się pod kątem regresji?
Jaki niezależny monitor może ograniczyć niebezpieczny wynik?

ISO/PAS 8800 dotyczy ryzyka niewystarczających wyników AI, błędów systematycznych i losowych awarii sprzętu w pojazdach drogowych. Wysoka średnia dokładność nie jest akceptowalnym argumentem bezpieczeństwa.

Trening, testowanie i walidacja to różne zadania

Trening ulepsza model. Testowanie szuka błędów. Walidacja pyta, czy cały system pasuje do zamierzonej domeny.

Twórcy łączą:

odtwarzanie zarejestrowanych danych;
testy software- i hardware-in-the-loop;
symulację z kontrolowanymi zmianami;
scenariusze na zamkniętym torze;
nadzorowane testy na drogach publicznych; oraz
monitorowaną pracę bez kierowcy po wdrożeniu.

Symulacja tworzy rzadkie zagrożenia bez narażania ludzi, ale pomaga tylko, gdy modele odpowiadają rzeczywistości. Kilometry publiczne dają dowody operacyjne, lecz nieefektywnie wykazują precyzyjne rzadkie zagrożenia. Wiarygodny program wymaga dowodów scenariuszowych i ekspozycyjnych.

Zaliczenie stałego zestawu nie wystarcza. Oprogramowanie może nadmiernie dopasować się do miernika, a ulepszenie wywołać regresję gdzie indziej.

Rozwiązanie awaryjne i pomoc zdalna

System stale kontroluje domenę, stan czujników, jakość lokalizacji i stan pojazdu.

Na poziomie 2 granica oddaje całe zadanie kierowcy, który powinien już nadzorować. Na poziomie 3 system obsługuje wezwanie do interwencji i redukcję ryzyka. Na poziomie 4 musi bez kierowcy osiągnąć stan minimalnego ryzyka.

Floty bez kierowcy mogą używać pomocy zdalnej do kontekstu, np. potwierdzenia tymczasowej bariery. To nie jest ciągłe zdalne prowadzenie. Pojazd odpowiada za bezpieczny ruch, chyba że model wyraźnie korzysta ze zdalnego kierowcy.

Aktualizacje zmieniają produkt krytyczny dla bezpieczeństwa

Aktualizacje zdalne mogą poprawić percepcję, rozszerzyć domenę lub zmienić zachowanie, ale także spowodować regresje. Nowa wersja wymaga identyfikowalności, zabezpieczeń, etapowego wdrażania, monitorowania i strategii wycofania lub ograniczenia.

Aktualizacja nie zmienia poziomu SAE deklaracją marketingową. Cała funkcja—sprzęt, oprogramowanie, domena, rozwiązanie awaryjne, zatwierdzenie i instrukcje—musi wspierać nową rolę.

Dla kupujących interfejs jest często najbardziej widoczny. Powinien jasno pokazywać aktywną funkcję, działanie, oczekiwaną rolę człowieka i przyczynę zbliżania się do granicy. Pomylenie trybu to wada systemu, nie tylko błąd użytkownika.