A pilha de software da condução automatizada
O software de condução automatizada transforma dados incertos dos sensores em movimento físico: estima a localização, compreende a situação, prevê a evolução, escolhe um percurso legal e controla o veículo. A cadeia habitual é perceção, localização, previsão, planeamento e controlo; a aprendizagem automática pode unir etapas, mas as questões de segurança permanecem.
A perceção constrói um modelo do mundo
O software deteta vias, limites da estrada, espaço livre, sinais, semáforos, veículos, peões, ciclistas e outros elementos relevantes. Acompanha-os ao longo do tempo e estima posição, velocidade, orientação e incerteza.
A fusão combina imagens, retornos de radar, nuvens de pontos lidar e dados de movimento. Não é uma votação por maioria: deve considerar sincronização, calibração, confiança e falhas correlacionadas. Uma reflexão, oclusão ou lente obstruída pode tornar uma fonte enganadora.
Um modelo útil também representa o invisível. Se um peão estiver parcialmente oculto por uma carrinha, a incerteza deve seguir para a previsão e o planeamento, em vez de a zona ser tratada como vazia.
A localização estima posição e confiança
A localização combina GNSS, sensores inerciais, movimento das rodas, mapas e elementos observados da estrada. O resultado é uma pose estimada—posição e orientação—com incerteza.
Essa incerteza altera as manobras seguras. Um veículo que não identifica a sua via com confiança não deve iniciar uma mudança apertada só porque a rota o exige. Em túneis, desfiladeiros urbanos ou traçados alterados, deve depender menos de uma única fonte.
A previsão representa vários futuros possíveis
Os outros utentes não seguem guiões. Um ciclista pode desviar-se de um buraco, uma criança surgir de uma oclusão e um condutor virar sem sinalizar.
Os modelos estimam trajetórias e intenções possíveis, idealmente com probabilidades e não um único futuro certo. O planeamento deve manter-se seguro perante alternativas credíveis, não apenas adivinhar a ação mais provável.
A incerteza deve mudar o comportamento: menor velocidade, maior distância ou adiamento da manobra. Cautela excessiva também pode criar perigo ao bloquear o trânsito ou ser imprevisível; o sistema deve avançar sem fingir que a incerteza desapareceu.
O planeamento escolhe comportamento e movimento
O planeamento opera a várias escalas:
- Planeamento de rota seleciona estradas e destinos.
- Planeamento de comportamento decide seguir, ceder, entrar, mudar de via ou parar.
- Planeamento de movimento cria uma trajetória que evita colisões, com velocidade e curvatura.
O plano deve respeitar regras, limites físicos, conforto e comportamento compreensível. Uma trajetória matematicamente livre de colisão pode ser má se passar demasiado perto de um ciclista ou hesitar ambiguamente num cruzamento.
Também precisa de uma trajetória de recurso. O software deve saber o que fazer se uma via fechar, um sensor se degradar ou o destino ficar inacessível.
O controlo transforma a trajetória em movimento
O controlador traduz o percurso em direção, binário do motor e travagem, considerando velocidade, aderência, inclinação, carga e atraso dos atuadores.
Os VE acrescentam travagem combinada: regeneração e travões de fricção devem produzir desaceleração previsível quando mudam bateria, temperatura e tração. A suavidade não é cosmética; um controlo brusco pode desestabilizar passageiros, reduzir aderência e dificultar a leitura da intenção.
Monitores independentes podem verificar diferenças entre movimento comandado e real, permanência numa envolvente segura e saúde do sistema principal.
A aprendizagem automática é um componente, não um argumento de segurança
A aprendizagem automática é muito usada em perceção, previsão e, cada vez mais, planeamento. Alguns sistemas são modulares; outros ligam mais diretamente sensores e trajetórias com modelos aprendidos. As implementações reais podem ficar entre ambos.
Nem «IA ponta a ponta» nem uma cadeia construída manualmente provam capacidade. As perguntas são:
- Que dados e cenários definem o comportamento pretendido?
- Como se encontram casos raros, enviesados ou mal etiquetados?
- Como representa o sistema a incerteza?
- Que limites ficam fora do modelo aprendido?
- Como se avalia uma alteração para detetar regressões?
- Que monitor independente pode conter uma saída insegura?
ISO/PAS 8800 aborda riscos de saídas insuficientes da IA, erros sistemáticos e falhas aleatórias de hardware em veículos rodoviários. Elevada precisão média não equivale a um argumento de segurança aceitável.
Treino, teste e validação são tarefas diferentes
O treino melhora o modelo. O teste procura falhas. A validação pergunta se o sistema completo é adequado ao domínio previsto.
Os programadores combinam:
- reprodução de dados gravados;
- testes de software e hardware no circuito;
- simulação com variações controladas;
- cenários em pista fechada;
- testes supervisionados em via pública; e
- operação sem condutor monitorizada após implementação.
A simulação cria perigos raros sem expor o público, mas só é útil se os modelos representarem a realidade. Os quilómetros públicos fornecem provas operacionais, mas demonstram perigos raros e precisos de forma ineficiente. Um programa credível precisa de provas por cenários e exposição.
Passar um conjunto fixo não basta. O software pode sobreajustar-se ao referencial, e uma melhoria criar regressão noutro local.
Recurso e assistência remota
O sistema verifica continuamente domínio operacional, saúde dos sensores, qualidade da localização e estado do veículo.
No nível 2, um limite devolve toda a tarefa ao condutor que já deveria supervisionar. No nível 3, o sistema gere um pedido de intervenção e redução do risco. No nível 4, tem de alcançar uma condição de risco mínimo sem condutor.
Frotas sem condutor podem usar assistência remota para contexto, por exemplo confirmar uma barreira temporária. Isso difere de condução remota contínua. O veículo continua responsável pelo movimento seguro, salvo se o modelo operacional usar explicitamente um condutor remoto.
As atualizações alteram um produto crítico para a segurança
Atualizações remotas podem melhorar perceção, alargar o domínio ou mudar o comportamento, mas também criar regressões. Uma nova versão exige rastreabilidade, segurança, implementação faseada, monitorização e estratégia de reversão ou contenção.
Uma atualização não muda o nível SAE por declaração de marketing. A função completa—hardware, software, domínio, recurso, homologação e instruções—tem de sustentar o novo papel.
Para os compradores, a interface é muitas vezes o comportamento mais visível. Deve mostrar claramente a função ativa, o que faz, o que espera da pessoa e por que se aproxima de um limite. A confusão de modo é um defeito do sistema, não apenas erro do utilizador.