Nadzór ludzki nad pojazdami autonomicznymi

Przy trybie Human-out-of-the-loop (poziomy SAE 4 i 5) używając pojazdu autonomicznego, jako pasażer, można analizować, jaka jest rola zewnętrznych użytkowników drogi (VRU i inni kierowcy) w pętli interakcji.  Na przykład, gdy AV napotka pieszego próbującego przejść przez jezdnię z przystanku bez przejścia dla pieszych, pojazd zmieni swoje lokalne planowanie trajektorii, aby uniknąć kolizji, wykonując hamowanie awaryjne lub kierowanie pojazdem. Można to uznać za bezpośrednią interwencję użytkownika zewnętrznego w pętlę decyzyjną POJAZDÓW AUTONOMICZNYCH. Potwierdza to pogląd, że w takich przypadkach zewnętrzni użytkownicy dróg będą działać jako człowiek w pętli (Saleh i in., 2017), co generuje wiele problemów i niewiadomych, takich jak na przykład potencjalne nadużycia ze strony zewnętrznych użytkowników dróg mogących zachowywać się bezkarnie, utrudniając ruch POJAZDÓW AUTONOMICZNYCH. Jak wspomniano wcześniej, kwestie te należy rozpatrywać z wielu perspektyw, w tym z kontekstu edukacyjnego i prawnego. Pętla interakcji człowiek-pojazd jest również znana jako współpraca człowiek-pojazd. Podstawową ideą tego terminu jest to, że istnieje wspólna strategia kontroli, w której kierowca (lub pasażer) i pojazd działają jako zespół podczas zadań związanych z prowadzeniem pojazdu. Zaproponowano kilka modeli współpracy dla interakcji człowiek-pojazd w zautomatyzowanej jeździe. Modele te wykraczają poza definicję poziomów automatyzacji i oferują bardziej elastyczne podejście do ludzkiego nadzoru, w którym zarówno zautomatyzowany system, jak i kierowcy muszą nauczyć się bezpiecznej i efektywnej współpracy w dynamicznym środowisku. Aby skutecznie współpracować, musi istnieć dwukierunkowa lub wzajemna świadomość. Z jednej strony POJAZDÓW AUTONOMICZNYCH musi znać stan kierowcy na poziomach 1-3 (Hecht i in., 2019). Stopień zaangażowania lub rozproszenia uwagi kierowcy powinien być stale monitorowany, z uwzględnieniem trzech głównych źródeł rozproszenia:

• rozproszenia manualnego,
• wzrokowego i
• poznawczego,

które występują, gdy ręce kierowcy nie znajdują się na kierownicy, jego oczy nie są skierowane na drogę, a jego uwaga jest odwrócona od zadania prowadzenia pojazdu. Jeśli poziom uwagi kierowcy jest niewystarczający, system automatyzacji jazdy może się zatrzymać, ponieważ użytkownik nadużywa go, a konsekwencje mogą być śmiertelne. Jako przykład w raporcie odniesiono się do wielokrotnych przypadków, w których niewłaściwe użycie autopilota Tesli (poziom SAE 2) prowadzi do śmiertelnych wypadków.

W przypadku pasażerów (poziomy 4 i 5) należy zauważyć, że pomimo iż ciągłe monitorowanie stanu pasażera nie jest warunkiem koniecznym do prawidłowego korzystania z systemu, może przynieść korzyści w postaci poprawy komfortu użytkowania. Z drugiej strony kierowca/pasażer musi rozumieć stan i możliwości prowadzenia systemu autonomicznego. Oznacza to określenie, jaki rodzaj informacji, poziom szczegółowości i sposób komunikacji są najskuteczniejsze dla użytkownika POJAZDÓW AUTONOMICZNYCH, aby skutecznie zrozumieć stan systemu, nie ulegając przeciążeniu, a nawet będąc w stanie zająć się innymi zadaniami niezwiązanymi z samym prowadzeniem pojazdu.

Problemy te są ściśle związane z KR4 (Przejrzystość), a dokładniej z kryteriami wyjaśnialności CR4.2 i CR4.3. Z jednej strony przekazywane informacje mogą mieć charakter ciągły, obejmując takie elementy jak mapa, globalna trasa, planowana trajektoria lokalna, wykryci agenci i przeszkody, przewidywane przyszłe trajektorie agentów , znaki drogowe, stan świateł drogowych itp. Raport zwraca uwagę, że informacje te mogą być bardzo przydatne do zrozumienia zachowania pojazdu, ale mogą nie być zbyt skuteczne w przypadkach, gdy konieczne jest pilne wznowienie sterowania ręcznego. Z tego powodu, z drugiej strony, systemy dyskretne mogą być projektowane tak, aby zapewnić poziom pewności lub niezawodności systemów automatyki. Wskaźniki, które mogą być numerowane lub kodowane kolorami, mogą być stosowane całościowo dla całego zautomatyzowanego systemu lub na poziomie zadania, np. wskaźnik lokalizacji, wskaźnik zrozumienia sceny, wskaźnik bezpieczeństwa lokalnej trajektorii itp. Bezpośrednie zastosowanie poziomów automatyzacji SAE pozostawia niewiele miejsca na efektywną współpracę. Na przykład w przypadku poziomów wspomagania lub częściowo zautomatyzowanej jazdy (poziomy 1 i 2) nie powinno być dozwolone żadne rozproszenie uwagi kierowcy. W warunkowej zautomatyzowanej jeździe (poziom 3) teoretycznie możliwe jest poświęcenie pewnej części obciążenia psychicznego innymi zadaniami, takimi jak wypoczynek lub praca (zadania niezwiązane z prowadzeniem pojazdu). W rzeczywistości istnieje wiele podejść do badania skutecznych strategii współpracy na poziomie 3 automatyzacji, które pozwalają kierowcy na dłuższe odwracanie uwagi od zadań związanych z prowadzeniem pojazdu. Jednak w praktyce stanowi to duże ryzyko. Konieczność terminowej reakcji użytkownika na istotne awarie, wznowienia sterowania ręcznego lub nawet osiągnięcia stanu minimalnego ryzyka (przy czym to użytkownik ponosi ostateczną odpowiedzialność za wszelkiego rodzaju awarie) oznacza, że uwaga kierowcy musi być prawie stała. Wreszcie na najwyższych poziomach autonomii (poziomy 4 i 5 SAE) współpraca w prowadzeniu zadań jest bez znaczenia.

 Niezależnie od tego, czy ma to miejsce w środowisku jazdy współpracującym (w automatyzacji poziomu 3), czy w przejściach między poziomami (np. z 4 na 3), istnieje jeden element, który ma fundamentalne znaczenie dla bezpiecznej i wydajnej jazdy: żądanie przejęcia (TOR) lub prośba o interwencję. Jest to powiadomienie wysyłane przez zautomatyzowany system prowadzenia pojazdu do użytkownika, wskazujące na potrzebę wznowienia ręcznej obsługi pojazdu w celu wykonania zadań związanych z prowadzeniem pojazdu lub osiągnięcia stanu minimalnego ryzyka. Niniejszy raport wskazuje, że zbadano dwie główne zmienne, zwykle w symulowanych środowiskach. Po pierwsze, funkcjonalność komunikacyjna, która obejmuje funkcjonalności wzrokowe, wibrodotykowe i słuchowe. Po drugie, czas reakcji, na który mają wpływ różne czynniki, w tym poziom rozproszenia uwagi kierowcy, rodzaj zadania niezwiązanego z prowadzeniem pojazdu, sposób komunikacji i doświadczenie w obsłudze wcześniejszych żądań interwencji. Podejścia oparte na wydajności, tj. prośby o przejęcie dostosowane do zachowania kierowcy (Kim i Yang, 2017), okazały się bardzo skutecznym sposobem rozwiązania tego krytycznego zadania. Innym czynnikiem, który należy przeanalizować w ramach tego wymogu, są procesy szkoleniowe lub edukacyjne dotyczące sprawowania nadzoru. Raport stwierdza, że istnieje wyraźny związek między doświadczeniem kierowcy a wcześniejszą wiedzą na wszystkich poziomach automatyzacji, nie tylko w celu rozwijania akceptacji i zaufania, ale także w celu efektywnego wykorzystania systemu automatyzacji jazdy. Jako dobry przykład znaczenia właściwego szkolenia w zakresie koncepcji zespołu „człowiek-maszyna” omawiany dokument wskazuje dziedzinę lotnictwa, gdzie piloci muszą przejść skomplikowany, wręcz wyrafinowany proces szkolenia w zakresie automatyzacji. Zarazem jednak wydaje się, że  przy mniejszych wymaganiach dla kierowców pojazdów wyposażonych w zautomatyzowane systemy jazdy, rozsądne wydaje się raczej myślenie o minimalnych standardach szkoleniowych.

 Przy niskich poziomach automatyzacji (1 do 3) sposób, w jaki kierowcy mogą sprawować kontrolę nad AV jest dość podobny do tego w konwencjonalnych pojazdach, włączając w to wszystkie rodzaje zadań związanych z prowadzeniem, tj. strategiczne, taktyczne i operacyjne. W przypadku wyższych poziomów automatyzacji (4 i 5) nadal nie ma jasnego protokołu działania. Z pewnością jednak pasażer musi być w stanie jak najszybciej kontrolować strategiczne zadania, takie jak wybór miejsca docelowego, zmiana trasy lub żądanie zatrzymania.  Przy tym niektóre zadania taktyczne mogą być również kontrolowane przez pasażera. Można tu wymienić takie zadania, jak żądanie wyprzedzania lub niewyprzedzania, dłuższe oczekiwanie na skrzyżowaniu, zwiększanie/zmniejszanie prędkości itp. Sposoby wykonywania tej kontroli są wielorakie. Wreszcie, uzasadnione jest rozważenie, że jeśli istnieją procesy samouczenia się lub są dostępne aktualizacje systemu, które prowadzą do istotnych zmian w sposobie sprawowania przez kierowcę nadzoru (przez człowieka), programy edukacyjne lub umiejętności wymagane od kierowców będą musiały zostać odpowiednio zaktualizowane.

Przypomnimy, że w teorii sterowania, w odróżnieniu od układów ciągłych, określa się, że układ jest dyskretny, jeżeli przynajmniej jeden jego sygnał ma charakter dyskretny, tzn. przyjmuje tylko określone wartości dla określonych argumentów (zob. sygnał dyskretny, sygnał cyfrowy). Układy przejawiające w swym zachowaniu zarówno cechy układów ciągłych, jak i dyskretnych, nazywane są układami hybrydowymi. Informacje o ciągłym sygnale wyjściowym obiektu sterowania docierają do sterującego komputera cyfrowego wyłącznie w dyskretnych chwilach czasu, zwykle w równych odstępach czasu określonych okresem próbkowania. Także generowane przez komputer sygnały sterujące ulegają zmianie wyłącznie w dyskretnych chwilach czasu, przy czym okres nastawy może być wielokrotnością okresu próbkowania. Dlatego do opisu dynamiki obiektów sterowania (widzianych od strony komputerów sterujących) niezbędne są modele dyskretne w czasie. Ponieważ zdolność rozdzielcza przetworników analogowo-cyfrowych umożliwia albo całkowite pominięcie zjawiska dyskretyzacji amplitudy sygnału, albo jego uwzględnienie za pomocą addytywnego szumu pomiarowego o zerowej wartości średniej, dlatego dyskretyzacja czasowa jest jedyną dyskretyzacją, jaką należy uwzględnić i dlatego modele dyskretne są zasadniczo modelami dyskretnymi w czasie.

Inżynieria sterowania to nauka inżynierska zajmująca się procesami sterowania zachodzącymi w technologii. Zajmuje się tym od strony matematycznej w ramach teorii systemów (inżynierii), która jest interdyscyplinarną dyscypliną inżynierii. Proces kontroli technicznej to ukierunkowane oddziaływanie na fizyczne, chemiczne lub inne zmienne w systemach technicznych. Tak zwane zmienne sterowane muszą być albo utrzymywane na możliwie stałym poziomie (regulacja o stałej wartości) albo należy wpływać na nie w taki sposób, aby nadążały za określoną zmianą w czasie (sterowanie kontynuacyjne). Zasada sterowania polega na porównaniu wartości zadanej/rzeczywistej zmiennej sterującej z ujemnie zwróconą zmierzoną zmienną sterującą. Regulator określa zmienną manipulowaną poprzez odchylenie regulacji (różnicę regulacji) i określone parametry regulacji. Wpływa to na zmienną regulowaną za pośrednictwem systemu sterowanego w taki sposób, że minimalizuje odchylenie regulacji pomimo obecności zmiennych zakłócających, a zmienna sterowana przyjmuje pożądane zachowanie w czasie w zależności od wybranych kryteriów jakości. Znane zastosowania w gospodarstwie domowym to stała regulacja temperatury powietrza w pomieszczeniu (sterowanie ogrzewaniem), powietrza w lodówce lub żelazku. Dzięki tempomatowi prędkość jazdy w pojeździe silnikowym jest utrzymywana na stałym poziomie. Kontrola nadążna jest zwykle bardziej wyrafinowana technicznie, np. sterowanie kursem za pomocą autopilota w zastosowaniach morskich, lotniczych lub kosmicznych lub śledzenie celu poruszającego się obiektu.

Omawiany dokument stwierdza, że solidność techniczna i bezpieczeństwo to wymagania związane głównie z zasadą zapobiegania szkodom. W niniejszym raporcie są one opracowywane według czterech głównych wymagań cząstkowych, które omówiono poniżej.