De vanskelige problemene automatisert kjøring ikke har løst

Nivå 4-tjenester frakter nå passasjerer uten fører i flere byer, og nivå 3-funksjoner er godkjent i serieproduserte biler under begrensede forhold. Det uløste problemet er å definere, validere og drive akseptabel atferd innenfor et domene der sammenkoblede betingelser kan tvinge systemet ut før det går tomt for alternativer.

Persepsjon under forringede forhold

Regn, snø, tåke, mørke, blending, sprut og smuss påvirker sensorer på forskjellige måter. Oppvarming og rengjøring kan holde en kameralinse eller et lidarvindu brukbart, mens radar gir utfyllende informasjon, men ingen kombinasjon av maskinvare får krevende vær til å forsvinne.

Systemet må anslå sin nåværende persepsjonsevne. Det er vanskeligere enn å oppdage en sensor som har sviktet fullstendig. Et delvis tildekket kamera eller en radarrefleksjon kan fortsatt produsere plausible data, men med lavere pålitelighet.

Lavere hastighet kan gjenopprette stoppmarginen, men bare dersom trafikken rundt kan forstå atferden og systemet fortsatt har et trygt sted å stanse eller avslutte tjenesten.

Midlertidige og tvetydige veier

Kart og treningsdata bygger på gårsdagens forhold. Veiarbeidere endrer kjørefelt, dekker til oppmerking, flytter barrierer og dirigerer trafikken med håndsignaler. Nødetater setter med hensikt vanlige regler til side. En varebil kan skjule et midlertidig skilt.

Disse situasjonene kombinerer persepsjon, semantisk forståelse og sosial kontekst. Kjøretøyet må identifisere hvilken midlertidig regulering som har myndighet, resonnere om skjulte områder og fortsette uten blindt å følge verken kartet eller kjøretøyet foran.

Menneskelige førere forhandler også med øyekontakt, kjøretøyplassering og små bevegelser. Automatiserte kjøretøy må kommunisere hensikten tydelig uten å finne opp utrygge konvensjoner.

Den lange halen er ikke en liste

Utviklere kaller ofte sjeldne eller uvanlige situasjoner «edge cases». Begrepet kan være misvisende. Mange er kombinasjoner av vanlige faktorer: en vanlig fotgjengerbevegelse bak en vanlig parkert varebil i vanlig regn.

Det er umulig å liste opp enhver situasjon. Det dypere kravet er robust atferd under usikkerhet:

ikke kjør fortere enn den gjeldende sikten tillater;
behold alternativer før systemet forplikter seg;
behandle skjult rom som usikkert, ikke tomt;
oppdag når situasjonen ligger utenfor validert erfaring; og
bruk en trygg reserveløsning som passer veien.

Maskinlæringsmodeller kan generalisere, men de kan også feile selvsikkert på ukjente inndata. Uavhengige begrensninger, overvåking under drift og systematisk scenariogenerering er fortsatt nødvendig.

Menneskelige faktorer ved automatiseringsgrensen

Nivå 2 er avhengig av kontinuerlig menneskelig overvåking, samtidig som overvåkingen blir monoton. Førere kan få for stor tillit til jevn ytelse, lære å tilfredsstille svake rattvarsler uten å se på veien eller misforstå et produktnavn.

Nivå 3 fjerner kontinuerlig overvåking, men skaper et overgangsproblem. En bruker som skal være klar til å overta, trenger tid til å avslutte en sekundær aktivitet, orientere seg i situasjonen og ta kontroll. Systemet må oppdage en grense tidlig nok til at anmodningen blir meningsfull.

Modusforvirring kan oppstå når grensesnittet ikke tydelig viser aktivt nivå, tilgjengelighet eller forventet respons. Forutsigbar feilbruk bør håndteres i utformingen i stedet for å avvises som et problem som kan løses med en advarsel.

Å bevise sikkerhet før sjelden skade oppstår

Alvorlige ulykker er sjeldne i forhold til kjørt distanse. Å påvise en liten statistisk forskjell kan kreve enormt mye sammenlignbar eksponering, og rå kjørelengde kan skjule enklere veityper eller værforhold.

Simulering skalerer scenariodekningen, men avhenger av hvor troverdige modellene er. Tester på lukket område kan gjentas, men er forenklede. Testing på offentlig vei er realistisk, men ineffektivt for sjeldne farer. Retrospektive ulykkessammenligninger avhenger av rapporteringsterskler, definisjoner av alvorlighetsgrad, geografisk sammensetning og egnede menneskelige referanser.

Utfordringen er å bygge et sikkerhetsargument av utfyllende dokumentasjon, ikke å lete etter ett avgjørende tall. Dokumentasjonen bør være spesifikk for kjøretøyet, programvaren, driftsdomenet og versjonen.

Offentlige data trenger også uavhengig gransking. Sikkerhetsresultater rapportert av selskaper kan være verdifulle når metoder, nevnere og nedlastbare datasett oppgis. De bør ikke generaliseres utenfor det målte domenet.

Reserveløsning uten å skape en ny fare

«Kjør trygt til siden» er ikke alltid mulig. En motorvei kan mangle skulder; en tunnel kan blokkere forbindelsen; en bygate kan være tettpakket; et stanset kjøretøy kan i seg selv bli en kollisjonsrisiko.

Tilstanden med minimal risiko avhenger av gjenværende kapasitet, veigeometri, trafikk og feil. Kjøretøyet kan måtte fortsette med redusert hastighet, fullføre et filskifte, nå et sikkert område eller stanse i kjørefeltet.

Fjernassistanse kan bidra til å tolke en uvanlig situasjon, men kommunikasjonen kan være forsinket eller utilgjengelig. Systemet om bord trenger fortsatt en trygg respons. Hvis et menneske på avstand kontinuerlig styrer bevegelsen, bør arkitekturen og påstandene gjøre dette klart.

Skalering av driftssystemet, ikke bare bilen

En nivå 4-flåte er avhengig av kartlegging, disponering, lading, rengjøring, kalibrering, vedlikehold, fjernassistanse, beredskap og lokale tillatelser.

Utvidelse reiser driftsmessige spørsmål:

Kan depoter lade nok kjøretøy uten å redusere tjenestens dekning?
Hvor raskt oppdages og vedlikeholdes skitne eller skadde sensorer?
Hvordan kommuniseres stengte veier og nødinstruksjoner?
Hvilken støtte finnes for passasjerer med funksjonsnedsettelser eller i nød?
Hvordan bevares, rapporteres og undersøkes hendelser?

Et kjøretøy som kan navigere i en ny by under testing, er ikke automatisk klart for offentlig kommersiell drift der.

Kostnader, energi og reparasjon

Redundant databehandling, lidar, radar, rengjøringssystemer og feiltolerant aktivering øker kostnader, energibruk og vedlikehold. Takutstyr kan øke luftmotstanden. Belastning fra databehandling og sensorer reduserer elbilens rekkevidde og produserer varme.

Forbrukerkjøretøy har også et reparasjonsproblem. Et mindre sammenstøt eller skifte av frontrute kan kreve kalibrering. Hvis et kjøretøy selges med maskinvare for en fremtidig funksjon, har foreldelse og langsiktig deletilgang betydning.

Større skala vil redusere enkelte komponentkostnader, men høyere kapasitet kan spise opp besparelsene gjennom ekstra dekning, databehandling eller redundans.

Regulering og forskjeller på tvers av grenser

Godkjenningsløpene er forskjellige for førerassistanse, betinget automatisering og helautomatiserte kjøretøy. Typegodkjenning av kjøretøyet, tillatelse til testing, tillatelse til drift uten fører og myndighet til å kreve betaling fra passasjerer er separate spørsmål.

En funksjon kan være teknisk til stede, men deaktivert i ett marked. Reglene for tillatte sekundæraktiviteter, hendelsesdata, forsikring og fjerndrift varierer også.

Internasjonale standarder og FN-regulativer reduserer oppsplittingen, men utrullingen forblir lokal fordi veitrafikklovgivning, infrastruktur og håndheving er lokal.

Transportresultatene er ikke garantert

En automatisert elbil kan redusere enkelte ulykkesutfall og fjerne eksosutslipp under bruk. En flåte kan også legge til tomme omplasseringskilometer, konkurrere med kollektivtransport eller øke reiseetterspørselen.

Bedre tilgjengelighet avhenger av kjøretøydesign, pris, tjenesteområde og passasjerstøtte – ikke bare automatisering. Mindre kø avhenger av belegg og samlet antall kjøretøykilometer, ikke av jevnere styring av én bil.

Den riktige vurderingsenheten er transporttjenesten så vel som kjøretøyet.

Hva som ville telle som reell fremgang

Fremgang er mer enn en ny demonstrasjon. Sterk dokumentasjon omfatter:

en tydelig utvidet og validert ODD;
bedre vern mot feilbruk av nivå 2;
trygge overganger på nivå 3 målt med dokumentasjon om menneskelige faktorer;
førerløs offentlig tjeneste med transparent driftsomfang;
sammenlignbare data om ulykkesutfall med reproduserbare metoder;
lavere energi- og maskinvarekostnad uten en svakere reserveløsning; og
myndighetsgodkjenning som presist angir hva som ble vurdert.

Fullt nivå 5 er ikke nødvendig for at automatisert kjøring skal være nyttig. Den mer troverdige veien er avgrenset kapasitet som bare utvides når dokumentasjonen støtter den nye grensen.