I problemi difficili che la guida automatizzata non ha risolto

I servizi di livello 4 trasportano già passeggeri senza conducente in diverse città, e funzioni di livello 3 sono omologate su auto di serie in condizioni limitate. Il problema ancora irrisolto è definire, convalidare e gestire un comportamento accettabile in un dominio le cui condizioni interdipendenti possono imporre un’uscita prima che il sistema esaurisca le opzioni.

Percezione in condizioni degradate

Pioggia, neve, nebbia, buio, abbagliamento, spruzzi e sporcizia influiscono sui sensori in modi diversi. Riscaldamento e pulizia possono mantenere utilizzabile un obiettivo o una finestra lidar, mentre il radar fornisce informazioni complementari, ma nessuna combinazione hardware fa scomparire il maltempo intenso.

Il sistema deve stimare la propria capacità percettiva attuale. È più difficile che rilevare un sensore completamente guasto. Una telecamera parzialmente ostruita o una riflessione radar possono continuare a produrre dati plausibili, ma meno affidabili.

Ridurre la velocità può ripristinare il margine di arresto, ma solo se il traffico circostante può comprendere il comportamento e il sistema dispone ancora di un luogo sicuro in cui fermarsi o interrompere il servizio.

Strade temporanee e ambigue

Mappe e dati di addestramento si basano sulla realtà di ieri. Gli addetti stradali modificano le corsie, coprono la segnaletica orizzontale, spostano le barriere e dirigono il traffico con gesti. I soccorritori derogano intenzionalmente alle normali regole. Un furgone per le consegne può nascondere un segnale temporaneo.

Queste situazioni combinano percezione, comprensione semantica e contesto sociale. Il veicolo deve identificare quale controllo temporaneo abbia autorità, ragionare sulle occlusioni e procedere senza seguire ciecamente né la mappa né il veicolo davanti.

Anche i conducenti umani negoziano con il contatto visivo, la posizione del veicolo e piccoli movimenti. I veicoli automatizzati devono comunicare chiaramente le proprie intenzioni senza inventare convenzioni pericolose.

La lunga coda non è un elenco

Gli sviluppatori chiamano spesso «casi limite» le situazioni rare o insolite. Il termine può trarre in inganno. Molte sono combinazioni di fattori comuni: il normale movimento di un pedone dietro a un comune furgone parcheggiato durante una pioggia ordinaria.

È impossibile elencare ogni situazione. Il requisito più profondo è un comportamento resiliente nell’incertezza:

non procedere oltre quanto consenta la visibilità attuale;
preservare alternative prima di impegnarsi;
trattare lo spazio occultato come incerto, non vuoto;
rilevare quando la situazione esce dall’esperienza convalidata; e
utilizzare una strategia di ripiego sicura e adatta alla strada.

I modelli di apprendimento automatico possono generalizzare, ma possono anche fallire con sicurezza su dati sconosciuti. Restano necessari vincoli indipendenti, monitoraggio durante l’esecuzione e generazione sistematica degli scenari.

Fattori umani al confine dell’automazione

Il livello 2 dipende dalla supervisione umana continua, rendendo al contempo monotona tale supervisione. I conducenti possono fidarsi eccessivamente di un funzionamento fluido, imparare a soddisfare deboli avvisi sul volante senza guardare la strada o fraintendere il nome di un prodotto.

Il livello 3 elimina la supervisione continua, ma crea un problema di transizione. Un utente pronto a riprendere il controllo ha bisogno di tempo per interrompere un’attività secondaria, orientarsi nella situazione e assumere la guida. Il sistema deve riconoscere un limite abbastanza presto da rendere significativa la richiesta.

La confusione di modalità può verificarsi quando l’interfaccia non rende chiari il livello attivo, la disponibilità o la risposta richiesta. L’uso improprio prevedibile deve essere affrontato nella progettazione, anziché liquidato come un semplice problema di avvertenze.

Dimostrare la sicurezza prima che si verifichi un danno raro

Gli incidenti gravi sono rari rispetto alla distanza percorsa. Dimostrare una piccola differenza statistica può richiedere un’enorme esposizione comparabile, e il chilometraggio grezzo può nascondere tipi di strada o condizioni meteorologiche più semplici.

La simulazione amplia la copertura degli scenari, ma dipende dalla fedeltà dei modelli. I test su pista chiusa sono ripetibili, ma semplificati. Le prove su strade pubbliche sono realistiche, ma inefficienti per i pericoli rari. I confronti retrospettivi degli incidenti dipendono dalle soglie di segnalazione, dalle definizioni di gravità, dalla distribuzione geografica e da adeguati riferimenti umani.

La sfida è costruire un’argomentazione di sicurezza da prove complementari, non cercare un unico numero decisivo. Le prove devono essere specifiche per veicolo, software, dominio operativo e versione.

Anche i dati pubblici richiedono un esame indipendente. I risultati di sicurezza dichiarati dalle aziende possono essere preziosi quando vengono divulgati metodi, denominatori e registri scaricabili. Non devono essere generalizzati oltre il dominio misurato.

Ripiego senza creare un nuovo pericolo

«Accostare in sicurezza» non è sempre possibile. Un’autostrada può non avere corsia d’emergenza; un tunnel può bloccare la connettività; una strada urbana può essere affollata; un veicolo fermo può diventare esso stesso un rischio di collisione.

La condizione di rischio minimo dipende dalla capacità residua, dalla geometria stradale, dal traffico e dal guasto. Il veicolo potrebbe dover proseguire a velocità ridotta, completare un cambio di corsia, raggiungere un rifugio o fermarsi nella corsia.

L’assistenza remota può aiutare a interpretare una situazione insolita, ma le comunicazioni possono subire ritardi o non essere disponibili. Il sistema di bordo necessita comunque di una risposta sicura. Se una persona controlla continuamente il movimento da remoto, l’architettura e le dichiarazioni devono specificarlo.

Scalare il sistema operativo, non solo l’auto

Una flotta di livello 4 dipende da mappatura, assegnazione delle corse, ricarica, pulizia, calibrazione, manutenzione, assistenza remota, risposta alle emergenze e permessi locali.

L’espansione pone domande operative:

I depositi possono ricaricare un numero sufficiente di veicoli senza ridurre la copertura del servizio?
Quanto rapidamente vengono rilevati e sottoposti a manutenzione i sensori sporchi o danneggiati?
Come vengono comunicate le chiusure stradali e le istruzioni di emergenza?
Quale assistenza esiste per i passeggeri con disabilità o in difficoltà?
Come vengono conservati, segnalati e investigati gli incidenti?

Un veicolo capace di circolare in una nuova città durante i test non è automaticamente pronto a offrire lì un servizio commerciale pubblico.

Costo, energia e riparazione

Elaborazione ridondante, lidar, radar, sistemi di pulizia e attuatori tolleranti ai guasti aumentano costi, consumo energetico e manutenzione. Le apparecchiature sul tetto possono aumentare la resistenza aerodinamica. I carichi di elaborazione e dei sensori riducono l’autonomia del veicolo elettrico e producono calore.

Anche i veicoli destinati ai consumatori presentano un problema di riparazione. Una collisione lieve o la sostituzione del parabrezza possono richiedere una calibrazione. Se un veicolo viene venduto con hardware per una funzione futura, contano l’obsolescenza e la disponibilità dei ricambi a lungo termine.

La scala ridurrà alcuni costi dei componenti, ma maggiori capacità possono assorbire il risparmio aggiungendo copertura, elaborazione o ridondanza.

Regolamentazione e incoerenza tra confini

I percorsi di approvazione differiscono tra assistenza alla guida, automazione condizionata e veicoli completamente automatizzati. Omologazione del veicolo, autorizzazione ai test, permesso di operare senza conducente e facoltà di far pagare i passeggeri sono questioni separate.

Una funzione può essere tecnicamente presente, ma disattivata in un mercato. Differiscono anche le regole sulle attività secondarie consentite, sui dati degli eventi, sull’assicurazione e sul funzionamento remoto.

Gli standard internazionali e i regolamenti ONU riducono la frammentazione, ma l’introduzione resta locale perché il codice della strada, l’infrastruttura e l’applicazione delle norme sono locali.

I risultati del trasporto non sono garantiti

Un veicolo elettrico automatizzato può ridurre determinati esiti degli incidenti ed eliminare le emissioni allo scarico durante l’uso. Una flotta può anche aggiungere chilometri di riposizionamento a vuoto, competere con il trasporto pubblico o aumentare la domanda di spostamenti.

I miglioramenti nell’accessibilità dipendono dalla progettazione del veicolo, dal prezzo, dall’area di servizio e dall’assistenza ai passeggeri, non dalla sola automazione. I benefici sulla congestione dipendono dall’occupazione e dai chilometri complessivi percorsi dai veicoli, non dal controllo più fluido di una singola auto.

La corretta unità di valutazione è il servizio di trasporto oltre al veicolo.

Cosa costituirebbe un vero progresso

Il progresso è più di una nuova dimostrazione. Tra le prove solide figurano:

un ODD chiaramente ampliato e convalidato;
migliori protezioni contro l’uso improprio del livello 2;
transizioni sicure al livello 3 misurate con prove sui fattori umani;
servizio pubblico senza conducente con ambito operativo trasparente;
dati comparabili sugli esiti degli incidenti con metodi riproducibili;
minori consumi energetici e costi hardware senza indebolire il ripiego; e
un’approvazione normativa che indichi esattamente che cosa è stato valutato.

Non serve un livello 5 completo perché la guida automatizzata sia utile. Il percorso più credibile è una capacità delimitata che si espande solo quando le prove sostengono il nuovo confine.