Os problemas difíceis que a condução automatizada ainda não resolveu

Os serviços de nível 4 já transportam passageiros sem condutor em várias cidades, e há funções de nível 3 homologadas em automóveis de produção sob condições limitadas. O problema ainda não resolvido é definir, validar e operar um comportamento aceitável num domínio cujas condições interligadas podem obrigar a uma saída antes de o sistema esgotar as opções.

Perceção em condições degradadas

Chuva, neve, nevoeiro, escuridão, encandeamento, projeções e sujidade afetam os sensores de formas diferentes. O aquecimento e a limpeza podem manter utilizável uma lente de câmara ou uma janela de lidar, enquanto o radar fornece informação complementar, mas nenhuma combinação de hardware faz desaparecer condições meteorológicas severas.

O sistema tem de estimar a sua capacidade de perceção atual. Isso é mais difícil do que detetar um sensor totalmente avariado. Uma câmara parcialmente obstruída ou uma reflexão de radar ainda podem produzir dados plausíveis, mas com menor fiabilidade.

Reduzir a velocidade pode recuperar a margem de paragem, mas apenas se o trânsito envolvente conseguir compreender o comportamento e o sistema ainda dispuser de um local seguro para parar ou abandonar o serviço.

Vias temporárias e ambíguas

Os mapas e os dados de treino são construídos a partir da realidade de ontem. Os trabalhadores rodoviários alteram vias, cobrem marcações, deslocam barreiras e dirigem o trânsito com sinais manuais. Os serviços de emergência anulam deliberadamente as regras normais. Um veículo de entregas pode tapar a vista de um sinal temporário.

Estas situações combinam perceção, compreensão semântica e contexto social. O veículo precisa de identificar o controlo temporário com autoridade, raciocinar sobre oclusões e avançar sem seguir cegamente o mapa ou o veículo da frente.

Os condutores humanos também negoceiam com contacto visual, posição do veículo e pequenos movimentos. Os veículos automatizados têm de comunicar claramente a sua intenção sem inventar convenções inseguras.

A cauda longa não é uma lista

Os programadores chamam frequentemente «casos limite» a situações raras ou invulgares. A expressão pode ser enganadora. Muitas são combinações de fatores comuns: um movimento habitual de um peão atrás de uma carrinha estacionada sob chuva normal.

É impossível enumerar todas as situações. O requisito mais profundo é um comportamento resiliente perante a incerteza:

não conduzir para além do que a visibilidade atual permite;
preservar alternativas antes de assumir um compromisso;
tratar o espaço oculto como incerto, não vazio;
detetar quando a situação está fora da experiência validada; e
utilizar uma solução de recurso segura e adequada à via.

Os modelos de aprendizagem automática podem generalizar, mas também podem falhar com confiança perante dados desconhecidos. Continuam a ser necessários limites independentes, monitorização em tempo de execução e geração sistemática de cenários.

Fatores humanos na fronteira da automatização

O nível 2 depende de supervisão humana contínua ao mesmo tempo que torna essa supervisão monótona. Os condutores podem confiar demasiado num desempenho fluido, aprender a satisfazer alertas fracos no volante sem observar a estrada ou interpretar mal o nome de um produto.

O nível 3 elimina a supervisão contínua, mas cria um problema de transição. Um utilizador pronto para assumir o controlo precisa de tempo para interromper uma atividade secundária, orientar-se na situação e controlar o veículo. O sistema tem de reconhecer um limite suficientemente cedo para que o pedido seja significativo.

Pode surgir confusão de modo quando a interface não torna claros o nível ativo, a disponibilidade ou a resposta solicitada. A utilização indevida previsível deve ser tratada no projeto, em vez de ser descartada como um problema de aviso.

Provar a segurança antes de ocorrer um dano raro

Os acidentes graves são raros relativamente à distância percorrida. Demonstrar uma pequena diferença estatística pode exigir uma enorme exposição comparável, e a quilometragem bruta pode ocultar tipos de estrada ou condições meteorológicas mais fáceis.

A simulação aumenta a cobertura de cenários, mas depende da fidelidade dos modelos. Os ensaios em pista fechada são repetíveis, mas simplificados. Os testes em via pública são realistas, mas ineficientes para perigos raros. As comparações retrospetivas de acidentes dependem de limiares de comunicação, definições de gravidade, distribuição geográfica e referências humanas adequadas.

O desafio é construir uma argumentação de segurança a partir de provas complementares, não procurar um número decisivo. As provas devem ser específicas do veículo, software, domínio operacional e versão.

Os dados públicos também precisam de escrutínio independente. Os resultados de segurança comunicados pelas empresas podem ser valiosos quando são divulgados métodos, denominadores e registos descarregáveis. Não devem ser generalizados para além do domínio medido.

Recurso sem criar um novo perigo

«Encostar em segurança» nem sempre é possível. Uma autoestrada pode não ter berma; um túnel pode bloquear a ligação; uma rua urbana pode estar congestionada; um veículo parado pode tornar-se, por si só, um risco de colisão.

A condição de risco mínimo depende da capacidade restante, da geometria da via, do trânsito e da avaria. O veículo pode ter de continuar a velocidade reduzida, concluir uma mudança de via, alcançar um refúgio ou parar na faixa de rodagem.

A assistência remota pode ajudar a interpretar uma situação invulgar, mas as comunicações podem sofrer atrasos ou estar indisponíveis. O sistema a bordo continua a precisar de uma resposta segura. Se uma pessoa controlar continuamente o movimento à distância, a arquitetura e as alegações devem dizê-lo.

Dimensionar o sistema operacional, não apenas o automóvel

Uma frota de nível 4 depende de cartografia, despacho, carregamento, limpeza, calibração, manutenção, assistência remota, resposta a emergências e licenças locais.

A expansão levanta questões operacionais:

Os depósitos conseguem carregar veículos suficientes sem reduzir a cobertura do serviço?
Com que rapidez são detetados e assistidos sensores sujos ou danificados?
Como são comunicados os encerramentos de vias e as instruções de emergência?
Que apoio existe para passageiros com deficiência ou em perigo?
Como são preservados, comunicados e investigados os incidentes?

Um veículo capaz de circular numa nova cidade durante testes não está automaticamente pronto para ali prestar um serviço comercial público.

Custo, energia e reparação

A computação redundante, o lidar, o radar, os sistemas de limpeza e os atuadores tolerantes a falhas aumentam o custo, o consumo de energia e a manutenção. O equipamento no tejadilho pode aumentar a resistência aerodinâmica. As cargas de computação e dos sensores reduzem a autonomia do VE e produzem calor.

Os veículos de consumo também enfrentam um problema de reparação. Uma pequena colisão ou a substituição do para-brisas podem exigir calibração. Se um veículo for vendido com hardware para uma função futura, a obsolescência e o fornecimento de peças a longo prazo são importantes.

A escala reduzirá alguns custos de componentes, mas uma maior capacidade pode absorver a poupança ao acrescentar cobertura, computação ou redundância.

Regulamentação e incoerência transfronteiriça

Os percursos de homologação diferem entre assistência ao condutor, automatização condicional e veículos totalmente automatizados. A homologação de tipo do veículo, a autorização para testar, a autorização para operar sem condutor e a autoridade para cobrar aos passageiros são assuntos separados.

Uma função pode estar tecnicamente presente, mas desativada num mercado. As regras relativas a atividades secundárias permitidas, dados de eventos, seguros e operação remota também variam.

As normas internacionais e os regulamentos da ONU reduzem a fragmentação, mas a implementação continua local porque a legislação rodoviária, a infraestrutura e a fiscalização são locais.

Os resultados de transporte não estão garantidos

Um VE automatizado pode reduzir determinadas consequências de acidentes e eliminar emissões do tubo de escape durante a utilização. Uma frota também pode acrescentar quilómetros de reposicionamento em vazio, competir com os transportes públicos ou aumentar a procura de viagens.

Os ganhos de acessibilidade dependem do projeto do veículo, preço, área de serviço e apoio ao passageiro, não apenas da automatização. Os ganhos no congestionamento dependem da ocupação e do total de quilómetros percorridos pelos veículos, não do controlo mais suave de um só automóvel.

A unidade correta de avaliação é tanto o serviço de transporte como o veículo.

O que contaria como progresso real

O progresso é mais do que uma nova demonstração. Entre as provas sólidas incluem-se:

um ODD claramente alargado e validado;
melhores salvaguardas contra a utilização indevida do nível 2;
transições seguras no nível 3 medidas com provas de fatores humanos;
serviço público sem condutor com âmbito operacional transparente;
dados comparáveis sobre consequências de acidentes com métodos reproduzíveis;
menor consumo de energia e custo de hardware sem enfraquecer o recurso; e
uma homologação regulamentar que indique exatamente o que foi avaliado.

Não é necessário um nível 5 completo para que a condução automatizada seja útil. O percurso mais credível é uma capacidade delimitada que só se alarga quando as provas sustentam o novo limite.