Trudne problemy, których zautomatyzowana jazda nie rozwiązała

Usługi poziomu 4 przewożą już pasażerów bez kierowcy w kilku miastach, a funkcje poziomu 3 zostały dopuszczone w samochodach produkcyjnych w ograniczonych warunkach. Nierozwiązanym problemem pozostaje zdefiniowanie, zweryfikowanie i eksploatowanie akceptowalnego zachowania w domenie, której powiązane warunki mogą wymusić wyjście, zanim system wyczerpie dostępne możliwości.

Percepcja w pogorszonych warunkach

Deszcz, śnieg, mgła, ciemność, olśnienie, rozbryzgi i brud wpływają na czujniki w różny sposób. Ogrzewanie i czyszczenie mogą utrzymać użyteczność obiektywu kamery lub okna lidaru, a radar dostarcza uzupełniających informacji, lecz żadna kombinacja sprzętu nie sprawi, że trudna pogoda zniknie.

System musi oceniać swoją bieżącą zdolność percepcji. Jest to trudniejsze niż wykrycie całkowicie niesprawnego czujnika. Częściowo zasłonięta kamera lub odbicie radarowe mogą nadal dostarczać wiarygodnie wyglądające dane o niższej niezawodności.

Zmniejszenie prędkości może przywrócić margines hamowania, ale tylko jeśli otaczający ruch potrafi zrozumieć takie zachowanie, a system nadal ma bezpieczne miejsce do zatrzymania lub zakończenia działania.

Tymczasowe i niejednoznaczne drogi

Mapy i dane treningowe opierają się na wczorajszych warunkach. Robotnicy drogowi zmieniają pasy, zakrywają oznakowanie, przesuwają bariery i kierują ruchem gestami. Służby ratunkowe celowo uchylają zwykłe zasady. Samochód dostawczy może zasłonić tymczasowy znak.

Takie sytuacje łączą percepcję, rozumienie semantyczne i kontekst społeczny. Pojazd musi rozpoznać nadrzędne tymczasowe sterowanie ruchem, rozumować o przesłonięciach i jechać dalej bez ślepego podążania za mapą lub poprzedzającym pojazdem.

Kierowcy negocjują również kontakt wzrokowy, pozycję pojazdu i niewielkie ruchy. Pojazdy zautomatyzowane muszą jasno komunikować zamiar, nie tworząc niebezpiecznych konwencji.

Długi ogon nie jest listą

Deweloperzy często nazywają rzadkie lub nietypowe sytuacje „przypadkami brzegowymi”. Termin może być mylący. Wiele z nich to połączenia zwykłych czynników: typowy ruch pieszego za zwykłym zaparkowanym vanem podczas zwykłego deszczu.

Nie da się wyliczyć każdej sytuacji. Głębszym wymogiem jest odporne zachowanie w warunkach niepewności:

nie jechać szybciej, niż pozwala bieżąca widoczność;
zachować alternatywy przed podjęciem wiążącej decyzji;
traktować przesłoniętą przestrzeń jako niepewną, a nie pustą;
wykrywać, kiedy sytuacja wykracza poza zweryfikowane doświadczenie; oraz
stosować bezpieczne rozwiązanie awaryjne dopasowane do drogi.

Modele uczenia maszynowego potrafią uogólniać, ale mogą też z pełnym przekonaniem zawodzić przy nieznanych danych wejściowych. Nadal potrzebne są niezależne ograniczenia, monitorowanie w czasie działania i systematyczne generowanie scenariuszy.

Czynniki ludzkie na granicy automatyzacji

Poziom 2 zależy od stałego nadzoru człowieka, jednocześnie czyniąc ten nadzór monotonnym. Kierowcy mogą nadmiernie ufać płynnemu działaniu, nauczyć się spełniać słabe ostrzeżenia na kierownicy bez patrzenia na drogę lub błędnie rozumieć nazwę produktu.

Poziom 3 eliminuje stały nadzór, ale tworzy problem przejścia. Użytkownik gotowy do przejęcia potrzebuje czasu, aby przerwać dodatkową czynność, zorientować się w sytuacji i przejąć kontrolę. System musi odpowiednio wcześnie rozpoznać ograniczenie, aby wezwanie miało znaczenie.

Do pomylenia trybu może dojść, gdy interfejs nie pokazuje jasno aktywnego poziomu, dostępności lub oczekiwanej reakcji. Przewidywalne niewłaściwe użycie należy uwzględnić w projekcie, a nie zbywać jako problem, który rozwiąże ostrzeżenie.

Udowodnienie bezpieczeństwa przed wystąpieniem rzadkiej szkody

Poważne wypadki są rzadkie w stosunku do przejechanego dystansu. Wykazanie niewielkiej różnicy statystycznej może wymagać ogromnej porównywalnej ekspozycji, a surowy przebieg może ukrywać łatwiejsze typy dróg lub warunki pogodowe.

Symulacja zwiększa pokrycie scenariuszy, ale zależy od wierności modeli. Testy na zamkniętych torach są powtarzalne, lecz uproszczone. Testy na drogach publicznych są realistyczne, ale nieefektywne dla rzadkich zagrożeń. Retrospektywne porównania wypadków zależą od progów zgłaszania, definicji ciężkości, rozkładu geograficznego i odpowiednich ludzkich punktów odniesienia.

Wyzwaniem jest zbudowanie argumentacji bezpieczeństwa z uzupełniających się dowodów, a nie poszukiwanie jednej decydującej liczby. Dowody powinny być właściwe dla pojazdu, oprogramowania, domeny operacyjnej i wersji.

Dane publiczne także wymagają niezależnej analizy. Wyniki bezpieczeństwa podawane przez firmy mogą być wartościowe, gdy ujawnione są metody, mianowniki i zbiory danych do pobrania. Nie należy ich uogólniać poza zmierzoną domenę.

Rozwiązanie awaryjne bez tworzenia nowego zagrożenia

„Bezpieczne zjechanie na bok” nie zawsze jest możliwe. Autostrada może nie mieć pobocza; tunel może blokować łączność; ulica miejska może być zatłoczona; zatrzymany pojazd może sam stworzyć ryzyko kolizji.

Stan minimalnego ryzyka zależy od pozostałej zdolności, geometrii drogi, ruchu i awarii. Pojazd może być zmuszony kontynuować jazdę ze zmniejszoną prędkością, zakończyć zmianę pasa, dotrzeć do bezpiecznego miejsca lub zatrzymać się na pasie.

Pomoc zdalna może ułatwić interpretację nietypowej sytuacji, lecz komunikacja może być opóźniona lub niedostępna. System pokładowy nadal potrzebuje bezpiecznej reakcji. Jeżeli człowiek zdalnie stale steruje ruchem, architektura i deklaracje powinny jasno o tym mówić.

Skalowanie systemu operacyjnego, nie tylko samochodu

Flota poziomu 4 zależy od mapowania, przydzielania przejazdów, ładowania, czyszczenia, kalibracji, utrzymania, pomocy zdalnej, reagowania kryzysowego i lokalnych zezwoleń.

Rozszerzanie działalności rodzi pytania operacyjne:

Czy bazy mogą ładować dostatecznie dużo pojazdów bez ograniczania zasięgu usługi?
Jak szybko wykrywane i serwisowane są zabrudzone lub uszkodzone czujniki?
Jak przekazywane są informacje o zamknięciu dróg i instrukcje awaryjne?
Jakie wsparcie otrzymują pasażerowie z niepełnosprawnościami lub w trudnej sytuacji?
Jak zdarzenia są zabezpieczane, zgłaszane i badane?

Pojazd, który potrafi poruszać się po nowym mieście podczas testów, nie jest automatycznie gotowy do świadczenia tam publicznej usługi komercyjnej.

Koszt, energia i naprawy

Nadmiarowe jednostki obliczeniowe, lidar, radar, systemy czyszczące i odporne na awarie elementy wykonawcze zwiększają koszt, zużycie energii i wymagania utrzymaniowe. Wyposażenie dachowe może zwiększać opór powietrza. Obciążenie obliczeniowe i czujniki zmniejszają zasięg pojazdu elektrycznego i wytwarzają ciepło.

Pojazdy konsumenckie mają również problem napraw. Niewielka kolizja lub wymiana przedniej szyby mogą wymagać kalibracji. Jeśli pojazd jest sprzedawany ze sprzętem dla przyszłej funkcji, znaczenie mają starzenie się technologii i długoterminowa dostępność części.

Skala obniży koszty niektórych komponentów, ale większe możliwości mogą pochłonąć oszczędności przez dodatkowe pokrycie, moc obliczeniową lub redundancję.

Regulacje i różnice transgraniczne

Ścieżki zatwierdzania różnią się dla wspomagania kierowcy, automatyzacji warunkowej i w pełni zautomatyzowanych pojazdów. Homologacja typu pojazdu, zezwolenie na testowanie, zezwolenie na działanie bez kierowcy i prawo do pobierania opłat od pasażerów są odrębnymi kwestiami.

Funkcja może być technicznie obecna, ale wyłączona na jednym rynku. Różnią się też przepisy dotyczące dozwolonych czynności dodatkowych, danych o zdarzeniach, ubezpieczenia i zdalnej obsługi.

Międzynarodowe normy i regulaminy ONZ ograniczają fragmentację, ale wdrażanie pozostaje lokalne, ponieważ prawo drogowe, infrastruktura i egzekwowanie przepisów mają charakter lokalny.

Efekty transportowe nie są gwarantowane

Zautomatyzowany pojazd elektryczny może ograniczyć niektóre skutki wypadków i wyeliminować emisje z rury wydechowej podczas użytkowania. Flota może również generować puste kilometry związane ze zmianą położenia, konkurować z transportem publicznym lub zwiększać popyt na podróże.

Korzyści w zakresie dostępności zależą od projektu pojazdu, ceny, obszaru usługi i wsparcia pasażerów, a nie tylko od automatyzacji. Korzyści dla zatłoczenia zależą od obłożenia i łącznej liczby pojazdokilometrów, a nie od płynniejszego sterowania jednym samochodem.

Właściwą jednostką oceny jest zarówno usługa transportowa, jak i pojazd.

Co byłoby rzeczywistym postępem

Postęp to więcej niż nowy pokaz. Mocne dowody obejmują:

wyraźnie rozszerzoną i zweryfikowaną ODD;
lepsze zabezpieczenia przed niewłaściwym użyciem poziomu 2;
bezpieczne przejścia na poziomie 3 zmierzone dowodami dotyczącymi czynników ludzkich;
publiczną usługę bez kierowcy o przejrzystym zakresie działania;
porównywalne dane o skutkach wypadków z powtarzalnymi metodami;
niższe zużycie energii i koszt sprzętu bez osłabienia rozwiązania awaryjnego; oraz
zatwierdzenie regulacyjne, które dokładnie określa, co oceniono.

Pełny poziom 5 nie jest konieczny, aby zautomatyzowana jazda była użyteczna. Bardziej wiarygodna droga to ograniczone możliwości, rozszerzane dopiero wtedy, gdy dowody uzasadniają nową granicę.