L'accident mortel d'Uber à Tempe a fait du conducteur de sécurité un test de responsabilité dans la conception du système

Résumé

• Le 18 mars 2018, à Tempe, en Arizona, un système de conduite automatisée en développement d'Uber aux commandes d'un Volvo XC90 modifié a percuté et tué Elaine Herzberg. Le système l'a détectée pour la première fois 5,6 secondes avant l'impact, mais a modifié sa classification à plusieurs reprises, abandonné un historique de suivi utile après chaque reclassification et n'a déterminé qu'elle se trouvait sur la trajectoire du véhicule que 1,2 seconde avant l'impact.
• La seule opératrice du véhicule diffusait une émission de télévision sur son téléphone personnel et a détourné les yeux de la route pendant environ cinq des six dernières secondes. Le National Transportation Safety Board a conclu que son défaut de surveillance constituait la causé probable. Il a également estimé que l'évaluation inadéquate des risques par Uber ATG, la supervision inefficace des opérateurs et l'absence de gestion de la complaisance envers l'automatisation avaient contribué à l'accident, autant de conséquences d'une culture de sécurité inadéquate.
• L'humain n'était pas simplement une cause indépendante extérieure au système. Uber ATG comptait sur l'opératrice comme principale contre-mesure lorsqu'une urgence dépassait les spécifications du freinage automatisé, alors que l'alerte de collision avant et le freinage automatique d'urgence de Volvo étaient désactivés en mode autonome. Environ cinq mois avant l'accident, ATG avait regroupé les responsabilités de deux opérateurs en un seul poste et examinait rarement les vidéos tournées vers l'habitacle qui auraient pu révéler la distraction.
• L'Arizona avait accueilli les essais autonomes sans permis spécial. Le NTSB a jugé la supervision de l'État insuffisante et recommandé une demande axée sur la sécurité ainsi qu'un examen par des experts avant les essais. La législation ultérieure de l'Arizona a créé des dispositions relatives à la notification, à la certification, à l'application de la loi et aux interactions avec les forces de l'ordre, mais le cadre visible repose encore largement sur les attestations de l'opérateur ou de l'entreprise plutôt que sur la publication d'une approbation de sécurité indépendante propre à chaque cas.
• Les preuves de réparation sont substantielles, mais limitées. ATG a rétabli deux opérateurs, ajouté une surveillance de l'attention en temps réel, modifié la prédiction des trajectoires, supprimé la logique de suspension d'action d'une seconde, réactivé les alertes de collision et le freinage d'urgence compatibles de Volvo, réduit la vitesse des essais sur route ouverte et mis en place un système de gestion de la sécurité. Le NTSB a clos en 2024 sa recommandation adressée à l'ancienne ATG, après la vente de l'unité à Aurora. Cette clôture ne reproduit pas tous les résultats de validation et ne prouve pas comment l'organisation d'origine fonctionnerait aujourd'hui.
• D'importantes lacunes de gouvernance restaient visibles au 15 juillet 2026. L'ordonnance de la NHTSA sur la déclaration des accidents fournit des données obligatoires sur les incidents et des moyens d'application, mais les recommandations du NTSB visant à imposer et à évaluer des auto-évaluations de sécurité avant les essais figurent toujours sur la liste des recommandations ouvertes de la NHTSA. Le test durable consiste donc à savoir si un développeur peut prouver la chaîne de repli avant d'exposer le public: commande d'urgence indépendante, hypothèses réalistes sur les performances humaines, protections actives de l'attention, approbation contrôlée des changements, examen par l'État et les autorités fédérales, et preuves auditables tirées de scénarios sollicitant toutes les couches ensemble.

L'opposition entre conductrice et système échoue au test du contrôle

La page d'enquête du NTSB expose clairement la conclusion causale officielle. La causé probable était le défaut de surveillance de l'environnement de conduite et du système de conduite automatisée par l'opératrice du véhicule, visuellement distraite par son téléphone personnel. La même conclusion identifie des facteurs contributifs au sein d'Uber ATG: une évaluation inadéquate des risques de sécurité, une supervision inefficace des opérateurs et l'absence de mécanisme adéquat pour lutter contre la complaisance envers l'automatisation.

La traversée dangereuse et l'altération des facultés de la piétonne, ainsi que la supervision insuffisante de l'Arizona Department of Transportation, ont constitue d'autres facteurs contributifs.

Ces conclusions ne se repartissent pas proprement entre un être humain coupable et une machine neutre. Un véhicule automatise en développement constitue une opération d'essai sociotechnique. Son dossier de sécurité englobe les capteurs, le logiciel de perception, la planification des mouvements, la logique de freinage, les systèmes du véhicule de base, les restrictions d'itinéraire et de vitesse, l'interface homme-machine, l'opérateur, la supervision, le contrôle des changements, l'examen des incidents et l'autorisation d'utiliser une route publique.

Si le développeur confie le rétablissement d'urgence à une personne, les performances probables de celle-ci pendant une longue surveillance passive deviennent une donnée de conception. S'il supprime une deuxième personne ou désactive un frein indépendant, l'opérateur restant supporte une part plus importante du risque, qu'une politique interdise ou non les téléphones.

C'est pourquoi cette affaire constitue un test de responsabilité, et non un concours visant à déterminer quel élément unique a causé l'échec de la dernière seconde. Le droit pénal, une enquête de sécurité du NTSB, la gestion de la sécurité d'entreprise et la réglementation des véhicules répondent à des questions différentes. Le rapport final HAR-19/03 du NTSB est un rapport factuel de sécurité, non un jugement répartissant les dommages civils ou la culpabilité pénale. Une procédure pénale peut établir la responsabilité juridique de l'opératrice sans valider l'architecture du système d'ATG.

Une version logicielle réparée peut améliorer le traitement des objets sans prouver que la supervision et l'autorisation d'essais sur route publique étaient adéquates. Chaque conclusion doit rester dans les limites de l'autorité et des preuves de sa source.

La répartition des conséquences rend cette discipline essentielle. Herzberg a perdu la vie. Sa famille et sa communauté ont subi un préjudice qu'elles ne maîtrisaient pas. L'opératrice a fait l'objet de poursuites et de plusieurs années d'examen public. Il était demande aux conducteurs de sécurité de gérer une tache de surveillance peu fréquente mais aux conséquences graves. Les ingénieurs, les dirigeants, Volvo, Uber, les organismes de l'Arizona, les autorités fédérales de réglementation puis les développeurs de véhicules autonomes contrôlaient différentes couches de prévention.

Les usagers de la route n'avaient aucun moyen pratique d'inspecter ces couches avant de partager l'environnement d'essai.

La question centrale de responsabilité est donc opérationnelle: qui pouvait changer quoi avant l'accident ? Uber ATG pouvait modifier la logique de classification et de prédiction, la réponse d'urgence, la vitesse d'essai, les effectifs, la formation, l'examen des vidéos et les critères de mise en service. Volvo et ATG contrôlaient ensemble l'intégration qui désactivait les systèmes anticollision d'usine. L'opératrice contrôlait son attention, la direction et le freinage pendant le trajet. L'Arizona contrôlait les conditions dans lesquelles les essais se déroulaient sur ses routes.

La NHTSA contrôlait l'autorité fédérale en matière de défauts et les orientations, mais n'avait pas approuve au préalable le dossier de sécurité d'ATG. La piétonne contrôlait le lieu et le moment de sa traversée, mais ni la conception du système qui approchait ni l'autorisation de l'essayer. Les conséquences se chevauchaient; le contrôle, non.

Qui disposait d'un contrôle concret

Uber ATG disposait du contrôle direct le plus large sur l'opération d'essai. Son logiciel détectait les objets, leur attribuait des classifications, prédisait leurs mouvements, planifiait une trajectoire et émettait des commandes de direction et de freinage. Ses dirigeants choisissaient le domaine de conception opérationnelle, notamment les itinéraires cartographiés, les conditions d'éclairage et météorologiques ainsi qu'une vitesse maximale d'essai.

Son organisation opérationnelle recrutait et formait les opérateurs, rédigeait les politiques relatives au téléphone et à la conduite, décidait si un ou deux opérateurs occuperaient un véhicule, stockait les vidéos tournées vers l'habitacle et déterminait la fréquence de leur inspection par les superviseurs. Sa structure de sécurité et de direction déterminait si les dangers seraient identifies avant la mise en service sur route publique.

Le rapport du NTSB sur l'automatisation du véhicule identifie la plateforme Krypton et la version logicielle spécifiques installées dans le véhicule accidenté. Il indique également que le système était censé fonctionner de manière autonome uniquement sur des itinéraires cartographiés désignés, tandis qu'un humain surveillait à la fois le système et l'environnement. Cette répartition est importante: l'ADS effectuait la tache de conduite jusqu'à ce qu'il ne dispose plus d'une réponse adéquate, tandis que la personne était censée détecter la défaillance et reprendre rapidement le contrôle.

L'opératrice contrôlait le repli manuel immédiat. Les instructions d'ATG imposaient de surveiller, de garder les mains au-dessus du volant et un pied au-dessus du frein, de signaler les événements inhabituels et d'intervenir en cas d'urgence. L'opératrice contrôlait également son téléphone personnel et a enfreint la réglé interdisant son utilisation. Les données du téléphone et de l'application ont montre qu'une vidéo était diffusée pendant tout le trajet. Son dernier regard vers le bas a supprimé l'ultime réponse humaine disponible pendant l'intervalle critique.

Reconnaître cette capacité d'action ne revient pas à considérer l'opératrice comme une garantie illimitée contre les limites prévisibles du système.

Les dirigeants d'ATG contrôlaient les conditions dans lesquelles ce repli était censé fonctionner. Le rapport factuel sur les facteurs opérationnels montre qu'il existait une politique écrite interdisant le téléphone et que sa violation pouvait entraîner un licenciement. Il révèle aussi les faiblesses de contrôle sous-jacentes à cette règle: la politique n'était pas autonome, ATG ne disposait d'aucune trace attestant que cette opératrice l'avait reconnue individuellement et la supervision ne transformait pas les images stockées de la caméra intérieure en contrôles réguliers. Une politique établit une norme.

Elle n'est pas une protection opérationnelle tant que la formation, l'observation, l'escalade et les conséquences ne rendent pas son respect visible.

Volvo contrôlait le véhicule d'origine et ses systèmes de sécurité de série, tandis qu'ATG contrôlait leur intégration à la pile en développement dans le cadre d'un accord impliquant les deux entreprises. Le véhicule de série disposait d'une alerte de collision avant et d'un freinage automatique d'urgence. Ces fonctions étaient actives en mode manuel, mais se désactivaient automatiquement en mode autonome.

Le dossier du NTSB indique qu'un fonctionnement simultané était considéré comme incompatible parce que les radars d'ATG et de Volvo pouvaient interférer et que le module de freinage n'était pas conçu pour donner la priorité entre deux commandes de freinage. Il ne s'agissait pas d'une mystérieuse défaillance de composant cette nuit-là. C'était une décision d'intégration connue qui supprimait une couche d'intervention indépendante lorsque l'ADS était actif.

L'Arizona contrôlait l'accès aux routes publiques. Le décret de 2015 de l'État exigeait un opérateur titulaire d'un permis, capable de prendre le contrôle, une preuve de responsabilité financière et le respect du code de la route, et créait un comité de supervision. Pourtant, la déclaration de décembre 2016 de l'ADOT accueillant Uber indiquait qu'aucun permis ni aucune licence spéciale n'était requis pour les essais autonomes. L'État a donc fixé des conditions générales sans évaluation technique préalable de l'analyse des dangers, de l'architecture de repli ou du plan de surveillance des opérateurs d'ATG.

La NHTSA contrôlait l'autorité fédérale relative aux défauts des véhicules à moteur et les orientations nationales. A l'époque, sa politique ADS 2.0 était expressément volontaire. La page officielle d'ADS 2.0 explique qu'un développeur n'avait pas à soumettre d'auto-évaluation, à attendre une approbation ni à satisfaire à un nouveau mécanisme de conformité avant les essais. L'autorité fédérale pouvait réagir à un défaut de sécurité déraisonnable, mais les orientations n'équivalaient pas à une approbation prospective de ce système d'essai en développement.

Enfin, ni Herzberg ni les autres usagers de la route ne contrôlaient aucune de ces décisions de sécurité. La route publique faisait partie de l'environnement de validation, mais une personne croisant le véhicule ne pouvait connaître sa limite de freinage d'urgence, savoir si l'AEB d'usine était actif, à quelle fréquence l'opératrice était surveillée ou si un évaluateur indépendant avait conteste la suppression de la redondance. Cette asymétrie plaide avec le plus de force en faveur d'une assurance publique auditable avant les essais, et non d'une simple enquête après le préjudice.

Chronologie: politique, changements opérationnels et dernières secondes

Le cadre de l'Arizona précédait l'arrivée d'Uber. Le décret 2015-09 encourageait les essais et fixait des conditions élémentaires concernant l'opérateur et l'assurance. En décembre 2016, après qu'un différend eut interrompu les essais d'Uber en Californie, l'Arizona a publiquement souligné qu'il n'exigeait pas de permis spécial pour les essais autonomes. L'État cherchait à attirer les investissements et le développement technique tout en s'appuyant largement sur les règles générales applicables aux véhicules et sur la responsabilité du développeur.

Uber ATG utilisait initialement deux personnes dans chaque véhicule d'essai. L'une surveillait la route et se préparait à reprendre le contrôle; l'autre documentait le comportement du système et l'environnement. Environ cinq mois avant l'accident mortel, ATG a introduit une interface sur tablette et regroupé ces responsabilités entre les mains d'un seul opérateur.

Le NTSB a constaté que l'interface réduisait la complexité de la consignation des événements, mais qu'une seule personne devait toujours surveiller la route, superviser l'ADS, se tenir prête à intervenir en urgence et parfois détourner le regard pour utiliser la tablette.

La suppression du deuxième opérateur a également supprimé une personne qui aurait pu détecter un danger, rappeler ses obligations à la conductrice ou fournir un deuxième canal d'attention.

Ce changement doit être lu conjointement avec l'architecture du système. En mode autonome, l'alerte de collision avant et le frein d'urgence d'usine étaient inactifs. L'ADS d'ATG limitait les freinages extrêmes et utilisait un intervalle de suspension d'action pour se prémunir contre les dangers faussement positifs. Si le système estimait qu'une collision ne pouvait plus être évitée dans les limites de freinage et d'à-coup qui lui étaient imposées, sa conception ne prévoyait pas d'appliquer le freinage maximal dans le seul but de réduire la gravité de l'impact.

Il devait avertir l'opératrice et amorcer un ralentissement progressif.

L'opératrice n'était donc pas une défense parmi plusieurs couches aux capacités équivalentes. Dans les cas d'urgence importants, elle constituait la principale défense finale.

Le 1er mars 2018, l'Arizona a publié le décret 2018-04, qui élargissait le cadre du fonctionnement autonome avec et sans personne présente et présentait la sécurité publique comme une priorité. Le décret exigeait le respect des lois applicables, une condition de risque minimal après une défaillance de l'ADS en fonctionnement sans conducteur, une assurance et un plan d'interaction avec les forces de l'ordre. Il n'imposait pas qu'un groupe technique indépendant approuve le dossier de sécurité des essais d'un développeur avant l'utilisation de la route.

Le dimanche 18 mars, le Volvo XC90 2017 modifie a commencé le trajet d'essai concerne à Tempe. La route était sèche et éclairée par l'éclairage public. Le véhicule effectuait sa deuxième boucle sur un itinéraire établi et fonctionnait en mode autonome depuis environ 19 minutes lorsqu'il s'est approche de Mill Avenue en direction du nord à environ 45 mph. Herzberg a commencé à traverser depuis le terre-plein central, hors d'un passage piéton, en poussant un vélo.

L'ADS l'a détectée pour la première fois par radar 5,6 secondes avant l'impact, à environ 44 mph. Il a d’abord classé le retour comme un véhicule et ne l'a pas situé sur la trajectoire du SUV. Le lidar l'a ensuite classé comme un objet inconnu, puis comme un véhicule. Entre 3,8 et 2,7 secondes avant l'impact, la classification a alterné entre véhicule et autre. A chaque changement de classification, le système ne conservait pas l'historique de suivi de l'objet, ce qui affaiblissait la prédiction de sa trajectoire.

A 2,6 secondes, il a classé l’objet comme un vélo, mais l'a d’abord traité comme statique et situe hors de la trajectoire du SUV.

A 1,5 seconde de l'impact, la classification est revenue à objet inconnu. L'objet se trouvait partiellement dans la voie du SUV, et l'ADS a planifié une trajectoire pour le contourner. A 1,2 seconde, la classification lidar est de nouveau passée à vélo et la trajectoire prédite a enfin occupé la voie du SUV. Le plan de braquage précédent n'était plus réalisable. La situation est devenue dangereuse et l'intervalle de suspension d'action d'une seconde a commencé. A 0,2 seconde de l'impact, la suspension a pris fin et l'ADS a généré un ralentissement et une alerte sonore.

Le dossier du NTSB n'a pas permis de déterminer si le léger délai de communication avait laisse ce ralentissement commencer avant que l'opératrice ne reprenne le contrôle.

L'opératrice avait regarde vers le bas pendant environ cinq des six dernières secondes. Le rapport factuel sur les performances humaines documente sa formation, ses fonctions, son regard et les données du téléphone. Sur l'ensemble du trajet, elle a regardé vers la partie inférieure de la console centrale pendant 34 % du temps. Lors de la première boucle au même endroit de la route, un regard vers le bas a duré 26,5 secondes. Pendant l'approche finale, elle a relevé les yeux environ une seconde avant la collision et braqué à gauche 0,02 seconde avant l'impact. Elle n'a freiné qu'après l'impact.

Cette chronologie ne prouve pas qu'une personne aurait du réagir au premier retour radar. Le NTSB a analysé la géométrie et le comportement ordinaire de balayage visuel, et indique que même une opératrice attentive aurait pu ne pas remarquer Herzberg 5,6 secondes avant l'impact alors que le SUV sortait d'un virage. Une fois le véhicule arrivé sur la portion rectiligne 3,9 secondes avant l'impact, elle serait toutefois entrée dans le champ de vision normal d'une conductrice attentive. Les essais de freinage ont établi une fenêtre d'environ deux à quatre secondes pour détecter le danger et amorcer une réponse.

Le NTSB a conclu qu'une opératrice attentive aurait probablement pu éviter la collision ou en atténuer la gravité.

L'accident s'est produit à 21 h 58. Herzberg est décédée sur place; l'opératrice n'a pas été blessée. L'inspection mécanique n'a relevé aucun défaut majeur dans le freinage de base, l'éclairage, la suspension, les systèmes électriques, les roues ou les pneus du véhicule. L'ADS n'a signalé aucun défaut de capteur ou de système pendant le trajet.

Ces constatations négatives sont importantes, car elles éloignent l'explication d'une panne mécanique aléatoire et l'orientent vers le comportement attendu du système, les performances humaines et la manière dont l'opération d'essai était gouvernée.

Le 19 mars, ATG a interrompu les essais sur route publique dans tous ses centres opérationnels. Le 26 mars, le gouverneur de l'Arizona a adressé à Uber une lettre de suspension conservée dans le dossier du NTSB, demandant à l'ADOT de suspendre la capacité d'Uber à tester et exploiter des véhicules autonomes sur les routes publiques de l'Arizona. La lettre qualifiait l'incident de manquement aux attentes de l'État en matière de sécurité. Il s'agissait d'une réponse coercitive décisive, mais elle est intervenue après la décision permissive d'admission et après le décès.

ATG n'a repris les essais de l'ADS sur route publique que le 20 décembre 2018, et uniquement sur une boucle d'un mile à Pittsburgh, limitée à 25 mph. L'entreprise avait modifie ses contrôles techniques, opérationnels et organisationnels. En novembre 2019, le NTSB a adopté son rapport final et ses recommandations. La procédure pénale s'est poursuivie séparément: une mise en accusation par un grand jury en 2020 accusait l'opératrice d'homicide par négligence, ce qui constituait une accusation et non une condamnation.

En juillet 2023, un accord de plaidoyer dépose a réglé l'affaire par un plaidoyer de culpabilité pour mise en danger, et le procureur du comte a fait état de trois ans de probation sous surveillance. Cette issue établit la responsabilité juridique personnelle aux termes de l'accord; elle ne tranche pas la question de savoir si les contrôles de conception et de gouvernance d'ATG étaient adéquats.

La chaîne causale technique était une séquence, non une seule classification manquée

Il est tentant de résumer l'accident en disant que le véhicule n'a pas vu une piétonne. C'est inexact. Ses capteurs ont détecté un objet plusieurs secondes avant l'impact. L'échec est apparu dans la manière dont les détections étaient représentées, classifiées, conservées dans le temps, converties en mouvements possibles puis reliées à l'autorité de freinage.

La détection constituait la première couche et elle a fonctionné. Le radar a produit le premier retour; les systèmes lidar et caméra ont contribué à la représentation de l'environnement. Le NTSB n'a constaté aucun dysfonctionnement pertinent des capteurs. Le problème n'était pas une simple cécité des capteurs, et l'obscurité n'expliquait pas à elle seule l'événement.

La caméra avant de la flotte rendait la scène plus sombre que ce que les enquêteurs ont observé sur place, tandis que l'étude des distances de visibilité n'a révèle aucun obstacle qui aurait empêché une opératrice attentive de voir la piétonne traverser pendant l'approche concernée.

La classification était instable. La même usagère de la route est passée des catégories véhicule à autre puis vélo. La classification importe, car le système associait des objectifs différents aux différentes classes. Un objet inconnu pouvait être traite comme statique. Un vélo détecté sur une voie de circulation pouvait recevoir un objectif conforme à cette voie, même lorsque la personne observée la traversait. Dans cette version du logiciel, les piétons situes hors d'un passage piéton ne recevaient pas d'objectif explicite de traversée.

Le système incorporait donc des hypothèses sur l'endroit ou un piéton devait se trouver et sur la manière dont un objet classifie devait se déplacer.

La continuité du suivi était affaiblie par l'architecture. Lorsque la classification changeait, le système n'utilisait plus l'historique de suivi antérieur de l'objet pour la nouvelle trajectoire. La continuité physique d'un usager de la route ne garantissait pas sa continuité dans le modèle. Plusieurs secondes d'observations ne s'accumulaient donc pas en une estimation robuste d'une personne traversant régulièrement la route. Le système recommençait une partie de son raisonnement à chaque changement d'étiquette.

La prédiction a transformé ce modèle instable en une évaluation dangereuse de la trajectoire. Pendant la majeure partie de l'approche, l'objet a été traité comme statique ou en mouvement dans la voie de gauche adjacente. Ce n'est qu'a 1,2 seconde que l'ADS a situé l'objet classe comme vélo entièrement dans la voie du SUV. A ce stade, il n'était plus possible de le contourner au moyen du plan généré.

La réponse d'urgence a ajouté un nouveau délai. ATG avait conçu un intervalle de suspension d'une seconde afin de vérifier un danger potentiel, de calculer une solution de rechange ou de permettre à l'opératrice d'intervenir. Prise isolement, la préoccupation était légitime: un système en développement réagissant violemment à des faux positifs peut provoquer ses propres collisions. Mais la question de sécurité n'est pas de savoir si les freinages intempestifs avaient de l'importance. Elle consiste à savoir si l'architecture combinée préservait une réponse sure lorsque la classification se stabilisait tardivement.

Dans ce cas, une seconde a absorbé l'essentiel du temps restant.

Les limites de freinage ont ensuite empêche une réponse d'atténuation forte. L'ADS traitait les situations exigeant un freinage au-delà de ses spécifications définies de décélération ou d'à-coup comme des urgences nécessitant une intervention humaine. Si le freinage maximal dans ces limites ne permettait pas d'éviter la collision, le système automatise n'était pas conçu pour appliquer le freinage maximal dans le seul but d'en réduire la gravité. Il émettait un avertissement et amorçait un ralentissement progressif. Aucun freinage automatique d'urgence significatif ne compensait la prédiction tardive.

Le véhicule de base ne pouvait fournir de secours indépendant, car son alerte de collision avant et son AEB étaient désactivés en mode autonome. La justification de l'intégration tenait aux interférences radar et à l'absence de priorité résolue entre deux sources de commandes de freinage. Il s'agit de contraintes d'ingénierie réelles. Elles ont aussi cree une lacune opérationnelle commune et connue: lorsque la pile d'ATG était active, la couche de sécurité de série qui aurait autrement pu avertir ou freiner n'était pas disponible.

Enfin, le repli humain n'a pas fonctionne. L'opératrice regardait un téléphone, ATG ne surveillait pas en temps réel, le deuxième opérateur était absent et l'ADS n'a fourni d'avertissement utile qu'au moment ou la collision était effectivement inévitable. La chaîne causale était donc la suivante: détection sans interprétation stable, interprétation sans reconnaissance opportune de la trajectoire, reconnaissance suivie d'une suspension, atténuation automatisée insuffisante et repli humain indisponible. Aucun maillon ne suffit à lui seul à expliquer l'ensemble du résultat.

La conductrice de sécurité faisait partie du système conçu

L'expression « conductrice de sécurité » peut dissimuler une décision importante d'attribution. Il était attendu de la personne qu'elle reste vigilante pendant que l'automatisation assurait la conduite normale durant de longues périodes, puis qu'elle détecte une défaillance rare et intervienne en quelques secondes. Il ne s'agit pas d'une conduite manuelle ordinaire. C'est du contrôle de supervision, dont la faisabilité doit être évaluée à l'aide de données sur les performances humaines.

Le NTSB a conclu que la distraction visuelle prolongée était un effet typique de la complaisance envers l'automatisation et que les humains obtenaient de mauvais résultats lorsqu'ils surveillaient une automatisation très fiable. Le problème n'excuse pas l'utilisation délibérée d'un téléphone. Il modifie ce qu'un concepteur responsable doit anticiper. Une interdiction peut dissuader certains comportements fautifs, mais une évaluation des risques doit partir de l'hypothèse que la vigilance passive diminue, que les défaillances rares sont difficiles à détecter et qu'une personne seule peut enfreindre une règle.

Une conception à fortes conséquences ne traite pas une conformité parfaite comme une couche redondante indépendante.

ATG disposait avant l'accident de données de surveillance utiles. Des caméras tournées vers l'habitacle filmaient l'opératrice. Les superviseurs auraient pu examiner les images afin de détecter l'utilisation du téléphone, l'éloignement des mains et les tendances d'attention. Le NTSB a constaté que cet examen était rare. C'est ce qui distingue la collecte de données du contrôle. Une caméra qui ne produit des preuves qu'après un accident mortel est un outil d'enquête.

Une caméra reliée à des alertes, à l'échantillonnage, à l'accompagnement, à la suspension et à l'analyse des tendances constitue un contrôle préventif.

La suppression du deuxième opérateur a intensifié le risque. Les fonctions documentées de l'opérateur du véhicule confiaient au rôle opérationnel la surveillance de la route, l'intervention et la consignation des événements. La tablette réduisait la charge de consignation, mais n'éliminait pas la nécessite de détourner le regard. Une deuxième personne aurait pu s'occuper de la consignation, vérifier l'attention de l'autre et agir comme rappel social. Deux personnes ne sont pas automatiquement en sécurité, et toutes deux peuvent être distraites, mais en supprimer une sans remplacement valide a éliminé de la diversité dans le repli.

La bonne question de responsabilité n'est pas de savoir si ATG était autorisée à rendre ses opérations plus efficaces. Il faut demander quelles preuves étayaient le changement. Un dossier de changement défendable identifierait le danger maîtrise par le deuxième opérateur, quantifierait la charge de travail résiduelle liée à la nouvelle tablette, analyserait la durée de vigilance, testerait les performances de reprise après de longues périodes sans événement, fixerait des expositions maximales par poste et par itinéraire, définirait des seuils d'attention et exigerait l'approbation d'une fonction de sécurité indépendante.

Le dossier public du NTSB n'a trouvé aucun processus adéquat d'évaluation des risques de sécurité remplissant ce rôle avant l'accident.

C'est aussi pourquoi la faute de l'opératrice et la responsabilité liée à la conception du système sont compatibles. L'opératrice avait le devoir de surveiller la route et ne l'a pas fait. ATG avait le devoir d'évaluer si le repli résistait à une défaillance humaine prévisible et ne l'a pas fait de manière adéquate. La première explique pourquoi la dernière intervention humaine a échoué. La seconde explique pourquoi l'attention d'une seule personne était devenue un point de défaillance unique aussi critique.

La culture de sécurité a transformé des faiblesses distinctes en une seule condition opérationnelle

Le rapport final n'a pas employé l'expression « culture de sécurité » comme une critique vague. Il l'a associée à une structure manquante et à une exécution inefficace. Au moment de l'accident, ATG ne disposait d'aucun plan de sécurité d'entreprise attribuant les responsabilités en matière de risque entre les services, d'aucune division de sécurité ni d'aucun responsable de sécurité dédié. Le directeur des opérations, qui n'avait pas d'expérience en gestion de la sécurité, assumait la responsabilité du responsable de la sécurité en plus de ses fonctions opérationnelles.

Cette structure a compté à plusieurs points de décision. Qui pouvait contester indépendamment la désactivation de l'AEB de série ? Qui était responsable du danger créé par la remise à zéro de l'historique de suivi après les changements de classification ? Qui a approuvé la suspension d'action d'une seconde et le choix de ne pas atténuer une collision inévitable avec le freinage maximal disponible ? Qui a validé la suppression du deuxième opérateur ? Qui examinait les données d'attention et immobilisait un opérateur ou suspendait un itinéraire lorsque des violations de la politique apparaissaient ?

Sans attribution claire, compétente et indépendante, chaque question pouvait rester enfermée dans la logique locale de son service d'ingénierie ou d'exploitation.

L'exécution des politiques présentait la même faiblesse. ATG disposait d'une règle sur les téléphones portables, d'un barème disciplinaire et d'une politique de dépistage de drogues. Pourtant, elle ne possédait aucune trace d'acceptation individuelle de la réglé sur les téléphones et appliquait les dépistages de manière sporadique. L'opératrice impliquée dans l'accident n'avait subi ni dépistage avant embauche ni dépistage aléatoire et n'a pas été testée selon la propre politique post-accident de l'entreprise.

Le NTSB n'a trouvé aucune preuve que l'altération des facultés de l'opératrice ait contribue à l'accident;

le dépistage n'en constitue donc pas une explication causale. Il montre que les engagements écrits en matière de sécurité ne se traduisaient pas de manière fiable dans la pratique opérationnelle.

Les données relatives aux accidents et incidents exigeaient également un apprentissage organisationnel. Le rapport sur l'automatisation recense 37 accidents et incidents antérieurs en mode autonome entre septembre 2016 et mars 2018, la plupart impliquant un autre véhicule percutant le SUV d'essai. Cet historique n'établit pas qu'un avertissement antérieur identique à la traversée de Herzberg existait. Il montre qu'ATG disposait d'un historique de terrain croissant exigeant une classification structurée, une analyse normalisée en fonction de l'exposition et un examen des dangers.

Les nombres bruts d'événements ne peuvent prouver la sécurité sans contexte de kilométrage, de scénario et de gravite; l'absence d'un événement mortel identique ne doit pas davantage être considérée comme la preuve que l'architecture était sure.

L'examen externe de la culture commande après l'accident recommandait un SMS, des responsables de sécurité de haut niveau, une communication interne, une reforme de la formation, des contrôles inopinés des opérateurs et des contrôles plus solides des risques opérationnels. Comme ATG l'avait commandé, il n'équivaut pas à une conclusion d'application d'un régulateur. Le NTSB a évalué indépendamment le dossier de l'accident et est parvenu à des conclusions concordantes sur le cadre de sécurité antérieur à l'accident.

Le dossier public du NTSB permet d'inspecter les rapports factuels sous-jacents, les mémoires des entreprises et les pièces jointes, afin que les lecteurs puissent distinguer les déclarations de l'entreprise des conclusions des enquêteurs.

La gouvernance des routes publiques laissait au développeur le soin de noter ses protections critiques

L'opération de Tempe se situait entre les divisions traditionnelles d'autorité. La NHTSA réglemente les véhicules à moteur et les équipements au niveau fédéral. Les États réglementent les conducteurs, l'immatriculation et la circulation routière. Un ADS en développement complique cette répartition parce que la machine exécute la tache de conduite tandis qu'un salarie de l'entreprise la supervise, et parce que le véhicule modifie peut respecter les normes du véhicule de base alors même que le logiciel expérimental crée un nouveau comportement.

ADS 2.0 identifiait douze éléments de sécurité, notamment le domaine de conception opérationnelle, la détection des objets et événements et la réponse à ceux-ci, le repli, la validation, l'interface homme-machine, l'enregistrement des données et le comportement après un accident. Les orientations elles-mêmes encourageaient une auto-évaluation publique et volontaire de la sécurité, tout en précisant qu'elle n'était ni exhaustive, ni obligatoire, ni soumise à l'approbation fédérale. Le document constituait donc un mécanisme de transparence, et non une condition d'accès.

Le NTSB a constaté que les soumissions volontaires avaient une valeur limitée pour la sécurité lorsque les développeurs pouvaient s'en dispenser et que la NHTSA n'en évaluait pas le caractère adéquat. Il a émis les recommandations H-19-47 à H-19-52. La recommandation H-19-47 demande à la NHTSA d'exiger que les développeurs menant des essais sur les routes publiques soumettent des auto-évaluations de sécurité. H-19-48 demande à l'agence de les évaluer afin de vérifier l'existence de protections appropriées, notamment le suivi de l'engagement de l'opérateur.

H-19-49 et H-19-50 demandent à l'Arizona d'exiger une demande axée sur les risques et un examen par des experts avant d'accorder un permis d'essai. H-19-52 demande à ATG d'achever un système de gestion de la sécurité.

Le cadre législatif ultérieur de l'Arizona est plus explicite que la position de 2016 selon laquelle aucun permis spécial n'était requis. L' article 28-9702 des Arizona Revised Statutes autorise l'exploitation avec un humain titulaire d'un permis et capable de reprendre la tache de conduite. Pour le fonctionnement sans conducteur, il exige un plan d'interaction avec les forces de l'ordre et une déclaration écrite reconnaissant la conformité fédérale lorsqu'elle est requise, une condition de risque minimal après une défaillance pertinente de l'ADS, la capacité à respecter le code de la route, un titre, une immatriculation et une assurance.

L'ADOT peut émettre une lettre de cessation et d'abstention si les documents requis ne sont pas soumis. D'autres articles créent des procédures de suspension de l'immatriculation lorsque des éléments indiquent qu'un véhicule peut être dangereux.

Il s'agit de véritables contrôles juridiques, et le chapitre 117 de 2021 promulgue a transféré des exigences essentielles de la politique exécutive vers la loi. Les pages actuelles de l'ADOT distinguent les essais avec un conducteur de sécurité des essais ou de l'exploitation sans conducteur. Pourtant, les dispositions visibles ne publient pas elles-mêmes une détermination d'expert indépendante selon laquelle les preuves d'un développeur concernant la réponse aux objets, le repli, la surveillance des opérateurs et le contrôle des changements sont adéquates avant les essais.

La comparaison du cadre public avec H-19-49 et H-19-50 permet de déduire que l'attestation et l'application demeurent plus visibles que l'approbation préalable par des experts, propre à chaque cas. Elle ne prouve pas quelles interactions non publiques l'ADOT peut mener avec un opérateur donne.

En 2023, la gouverneure Katie Hobbs a abrogé le décret 2018-04 parce qu'une législation ultérieure traitait le sujet. Le décret d'abrogation confirme la transition juridique; il n'efface pas le rôle historique du décret de 2018 au moment de l'accident. Cette distinction temporelle évite deux erreurs: appliquer rétroactivement la loi actuelle aux essais d'Uber en 2018, ou faire comme si aucune réforme n'avait suivi la conclusion du NTSB en Arizona.

Les contrôles fédéraux des preuves ont également change. La Standing General Order de la NHTSA relative à la déclaration des accidents, publiée pour la première fois en 2021 puis modifiée, exige que les entités ADS et de niveau 2 identifiées déclarent les accidents répondant aux critères. La NHTSA peut utiliser ces déclarations pour le suivi, les enquêtes sur les défauts et l'application. L'ordonnance améliore la rapidité et la comparabilité par rapport aux notifications ponctuelles. Elle intervient toutefois après un accident ou un incident déclarable; elle ne remplace pas l'évaluation prospective d'un plan d'essai sur route publique.

A la date de consultation de l'article, la page de la NHTSA sur les recommandations ouvertes du NTSB répertoriait toujours H-19-47 et H-19-48. La réponse de mars 2020 de l'agence demandait qu'elles soient considérées comme des réponses acceptables ouvertes, tout en s'appuyant sur des évaluations volontaires et des initiatives connexes. La conclusion défendable n'est pas que la supervision fédérale est restée immobile; la déclaration obligatoire des accidents est substantielle.

Elle est que la soumission obligatoire avant les essais et l'évaluation fédérale de fond, contrôles précisément demandes par le NTSB, n'apparaissaient pas comme achevées dans la propre liste de recommandations ouvertes de l'agence.

La responsabilité juridique a réglé une affaire, pas l'architecture

La procédure pénale de l'opératrice est importante parce qu'elle rejette l'idée que l'automatisation aurait supprimé toute obligation humaine. Le grand jury l'a inculpée d'homicide par négligence en 2020. Le plaidoyer ultérieur a remplacé le risque d'un procès par une condamnation convenue pour mise en danger et une probation sous surveillance. L' annonce de 2023 du procureur du comte de Maricopa souligne la responsabilité d'une personne au volant malgré la technologie disponible.

Cette issue à des limites. Un plaidoyer de culpabilité n'établit pas toutes les allégations factuelles de la mise en accusation antérieure. Il ne statue pas sur la conception technique, le caractère raisonnable de la direction d'ATG, l'obligation réglementaire de l'Arizona ni une répartition hypothétique de la faute civile. Il ne transforme pas non plus un facteur contributif du NTSB en élément constitutif d'une infraction pénale. Utiliser l'affaire comme preuve que seule l'opératrice comptait dépasserait le dossier judiciaire.

L'erreur inverse consisterait à traitér le rapport du NTSB comme un verdict de responsabilité de l'entreprise. Le Board determine la causé probable et formule des recommandations de sécurité. Il n'accorde pas de dommages-intérêts et sa procédure n'est pas un procès contradictoire. Ses conclusions systémiques font autorité pour l'analyse de la sécurité des transports, mais elles ne prouvent pas en elles-mêmes une infraction pénale ou une demande civile.

Un problème de responsabilité plus large se pose lorsque la visibilité juridique se concentre sur le dernier acteur humain. Une conductrice à un nom, un relevé téléphonique et un instant précis d'inattention. Les décisions systémiques sont reparties entre les exigences, les versions logicielles, les réunions d'intégration, les budgets d'effectifs, l'examen de sécurité et la politique de l'État. Elles peuvent avoir une importance causale sans correspondre nettement à une infraction individuelle.

Un régime de responsabilité mature doit préserver le devoir de la conductrice tout en rendant les décisions institutionnelles tout aussi traçables.

Cela implique de consigner l'approbation nominative des changements critiques pour la sécurité, et non d'attribuer les décisions uniquement à une unité d'entreprise. Il faut conserver l'analyse des dangers ayant justifie la désactivation de l'AEB, la validation ayant étaye la suspension d'action, les données de performance relatives à l'affectation d'un seul opérateur, le taux d'examen des vidéos d'attention et le fondement utilise par l'État pour autoriser l'exposition sur route publique.

Sans ces documents, le droit pénal peut statuer sur la conduite personnelle tandis que l'apprentissage du système demeure incomplet.

L'impact s'est étendu au-delà de la collision

L'impact direct était irréversible: Herzberg a été tuée. L'analyse publique ne doit pas la transformerr en scénario d'essai ni réduire l'événement à une étape technique. C'était une personne qui utilisait une route publique et qui n'avait pas consenti à participer à la validation d'un système en développement. Le fait qu'elle ait traverse hors d'un passage piéton et que la toxicologie ait étaye une possible altération de ses facultés appartient au dossier causal, comme l'a conclu le NTSB. Cela ne lui transfere pas le contrôle des protections d'Uber.

Sa famille a subi une perte et un long processus public au cours duquel la vidéo, la toxicologie, le logiciel et le comportement de la conductrice ont été examinés à plusieurs reprises. Les principales sources officielles utilisées ici ne fournissent aucune mesure publique fiable de l'ensemble du préjudice économique ou non économique de la famille, et aucun chiffre de ce type ne doit être invente. Un décès ne gagne pas en précision lorsqu'on lui associe une estimation monétaire non étayée.

L'opératrice a fait l'objet de poursuites pénales, d'un plaidoyer de culpabilité et d'une probation. Les autres conducteurs de sécurité ont hérite d'une profession transformée: davantage de formation et de surveillance, mais aussi des preuves plus claires que la supervision de l'automatisation peut entraîner une exposition juridique personnelle. Les employeurs qui qualifient une personne de solution de repli doivent divulguer les limites réelles, former aux urgences rares, mesurer l'attention et accorder à cette personne une autorité et une redondance suffisantes pour remplir ce rôle.

Uber ATG a interrompu les essais publics, perdu l'autorisation d'opérer en Arizona, supporte des travaux d'enquête et de reconception et réduit l'échelle et la vitesse de son programme lors de sa reprise. La déclaration d'enregistrement déposée par Uber avant son introduction en bourse mentionnait l'accident mortel et le risque que des défaillances de véhicules autonomes entraînent responsabilité, examen et atteinte à la réputation.

Le formulaire S-1 déposé auprès de la SEC est une communication de l'entreprise aux investisseurs, non une preuve indépendante de sécurité, mais il confirme que les conséquences sont devenues un risque d'entreprise significatif.

Le rôle de Volvo exigeait de la clarté parce que le véhicule utilisait son architecture de base tandis qu'ATG contrôlait le système en développement. Dans son mémoire de partie adresse au NTSB, Volvo a souligné le défi des facteurs humains consistant à maintenir un conducteur superviseur prêt à intervenir comme solution de repli. Un mémoire de partie défend la position de celle-ci et ne doit pas être traite comme une conclusion du Board.

Il constitue une preuve utile que le constructeur du véhicule de base reconnaissait la disponibilité du repli comme une question de conception, et non comme une simple question de personnalité de l'opératrice.

L'Arizona a subi un coût de légitimité. L'État avait présenté son environnement peu réglemente comme un avantage, puis suspendu Uber après le décès. Le problème n'est pas que l'innovation et la sécurité s'excluent mutuellement. Il est que l'assurance publique s'affaiblit lorsque l'admission est facile, l'examen technique opaque et l'application décisive n'intervient qu'après le préjudice. Les lois ultérieures peuvent renforcer l'autorité, mais la confiance exige aussi que soient divulgues les éléments examines et les raisons pour lesquelles un essai a été autorisé.

Le secteur des véhicules autonomes a fait l'objet d'un examen accru concernant les essais sur route publique, les conducteurs de sécurité et l'autocertification volontaire. Cet effet ne peut être quantifié à partir de cette seule affaire. Les investissements technologiques, l'opinion publique et les calendriers de déploiement réagissent à de nombreux événements.

La déduction étayée est plus étroite: l'accident a fourni la preuve concrète qu'un ADS en développement pouvait détecter un usager de la route sans produire à temps une manoeuvre d'évitement, et qu'un repli humain pouvait échouer dans le cadre d'une tache de surveillance mal gérée.

Preuves de réparation: ce qui a changé et ce que les preuves démontrent

Le premier contrôle d'ATG a été l'arrêt. L'entreprise a mis fin aux essais sur route publique le lendemain de l'accident et ne les a repris qu'en décembre. Une suspension empêche une récurrence immédiate pendant l'enquête et la reconception. Elle ne constitue pas, à elle seule, une preuve que le système ultérieur est sur.

Les modifications techniques ont directement traite la séquence enregistrée. ATG a modifié la fusion des capteurs et la prédiction des trajectoires afin que les positions antérieures restent pertinentes lors d'un changement de classification. Le système mis à jour pouvait attribuer à un piéton un objectif de traversée en milieu de rue. Il a supprimé la suspension d'action, autorise le freinage afin d'atténuer un accident même lorsqu'un évitement complet était impossible et augmente l'à-coup autorise.

Il a modifié la fréquence radar d'ATG et travaillé avec Volvo sur la priorité des commandes de freinage afin que l'alerte de collision avant et l'AEB pour piétons puissent rester actifs pendant les essais autonomes.

Ces changements correspondent fortement aux causes. Chacun cible une couche défaillante: la continuité, la prédiction de la traversée, la réponse tardive, l'atténuation de la gravité et le freinage indépendant. ATG a rejoué les données des capteurs de l'accident dans une version logicielle de septembre 2018 et indique que la nouvelle version aurait classé la piétonne plus tôt, prédit le conflit de traversée et amorce un freinage contrôle plus de quatre secondes avant l'heure de l'impact d'origine. Il s'agit d'une preuve de régression utile, mais sa source et sa méthode comptent.

C'était une simulation d'ATG communiquée aux enquêteurs, non une reproduction publique indépendante accompagnée de tous les détails relatifs au logiciel, au scénario et aux critères d'acceptation.

Les changements opérationnels correspondaient également aux conclusions. ATG a rétabli deux spécialistes de mission formés, séparé la surveillance de la route depuis le siège conducteur des autres fonctions, élargi la formation sur la distraction et les manoeuvres d'urgence, et ajouté une surveillance en temps réel de l'attention par caméra intérieure. Un regard détourné pendant plusieurs secondes pouvait déclencher une alerte dans le véhicule et un rapport au superviseur. Le NTSB a conclu que ces mesures commençaient à corriger les déficiences de supervision.

Le mot « commençaient » est prudemment approprie: l'installation et la procédure montrent la conception du contrôle, tandis que les performances à long terme des alertes, les taux de faux négatifs, la réponse du superviseur et le comportement sous pression montrent l'efficacité du contrôle.

La réparation organisationnelle comprenait un système de gestion de la sécurité avec politique, gestion des risques, assurance et promotion; une direction dédiée à la sécurité; une gouvernance des essais révisée; et un examen plus formel des mises en service. Le mémoire d'Uber ATG en tant que partie auprès du NTSB décrivait ses examens internes et externes et revendiquait de vastes améliorations. En tant que mémoire de l'entreprise, il prouve ce qu'ATG a déclaré et les documents qu'elle a fournis, non leur efficacité indépendante.

Les preuves externes se sont renforcées par la suite. L'actuelle page du NTSB sur les résultats des enquêtes relatives aux véhicules automatises indique que H-19-52, la recommandation visant à achever le SMS, a été close le 26 avril 2024. La clôture d'une recommandation est significative: le Board a jugé l'action du destinataire suffisante aux fins de son suivi. La page indique également qu'Uber ATG avait été acquise par un autre développeur. La clôture ne certifie pas que l'unité Uber d'origine fonctionne toujours, que chaque décision antérieure à l'accident a été corrigée ou que toutes les données d'essai sont publiques.

Le changement de propriétaire a modifié l'objet évalue. Uber a annoncé la vente de son activité ATG à Aurora en décembre 2020 et l'a finalisée en janvier 2021. Le formulaire 10-K 2020 d'Uber consigne le transfert et la poursuite de la relation commerciale. Un contrôle réparé intégré à ATG peut avoir été transféré avec les personnes et les actifs, modifié sous Aurora ou retiré. Les preuves publiques ne doivent pas décrire négligemment Uber en 2026 comme exploitant le même programme de développement qu'a Tempe.

Uber agit désormais en partie comme une plateforme intégrant des partenaires autonomes. Ses directives d'avril 2026 sur la sécurité de la mobilité et de la livraison autonomes décrivent l'évaluation des plans de sécurité des partenaires au cours de la planification, de la démonstration et de l'exploitation. Elles demandent la communication de performances et font référence à des normes, mais indiquent également que l'évaluation n'impose pas une mesure et un seuil uniques à chaque partenaire.

C'est la preuve d'un cadre de gouvernance actuel, non la preuve qu'un partenaire donné a réussi un test divulgué ou que les contrôles de Tempe ont été reproduits de manière indépendante.

La réparation réglementaire est tout aussi mitigée. La déclaration obligatoire des accidents fournit à la NHTSA des données dont elle ne disposait pas en 2018, et l'Arizona possède désormais des lois régissant le fonctionnement autonome et leur application. Pourtant, l'auto-évaluation fédérale de sécurité avant les essais reste volontaire et les recommandations correspondantes du NTSB restent ouvertes. L' examen de la supervision des véhicules automatises par le GAO, mis à jour jusqu'en mars 2026, continuait d'indiquer que le DOT ne disposait pas d'un plan global conforme aux principes de planification exhaustive.

Le système fédéral dispose de davantage de preuves après les incidents, mais le dossier public ne révèle pas une condition d'approbation uniforme pour les dossiers de sécurité des ADS en développement sur route publique.

Faits confirmés, déductions étayées et inconnues publiques

Les faits confirmes sont nombreux. L'ADS a détecté Herzberg 5,6 secondes avant l'impact et n'a identifié une trajectoire de collision que 1,2 seconde avant celui-ci. La classification a changé à plusieurs reprises et l'historique de suivi n'a pas été conserve lors de ces changements. La suspension d'action a ensuite duré une seconde. L'alerte de collision avant et l'AEB d'usine étaient désactivés en mode autonome. L'opératrice diffusait une vidéo et regardait vers le bas pendant l'approche critique. ATG avait supprimé le deuxième opérateur et examinait rarement les images de la caméra intérieure.

Le NTSB a désigné la distraction de l'opératrice comme cause probable et la culture de sécurité, l'évaluation des risques, la supervision et les contrôles de la complaisance d'ATG comme facteurs contributifs. L'Arizona a suspendu les essais, ATG les a interrompus puis repris sous des conditions modifiées, et l'opératrice a finalement plaidé coupable de mise en danger.

Il est également confirmé qu'ATG a modifié les contrôles techniques et opérationnels concernes. Le NTSB a documenté la réactivation des systèmes de sécurité compatibles du véhicule de base, la modification de la prédiction des trajectoires, la suppression de la suspension, l'ajout du freinage d'atténuation, le rétablissement d'un deuxième opérateur, l'ajout de la surveillance de l'attention en temps réel et le développement d'un SMS. Le NTSB a ensuite clos H-19-52. La NHTSA impose maintenant la déclaration des accidents d'ADS répondant aux critères.

L'Arizona a promulgué des dispositions relatives aux véhicules autonomes.

Uber a vendu ATG à Aurora.

Plusieurs conclusions sont des déductions étayées plutôt que des faits directement observes. La conservation de l'historique de suivi et le traitement de la traversée en milieu de rue comme un objectif possible devraient réduire la défaillance précise de perception et de prédiction observée à Tempe, car ces changements ciblent son mécanisme. Un AEB indépendant et la suppression de la suspension devraient améliorer les possibilités d'atténuation. Deux opérateurs et des alertes d'attention en temps réel devraient réduire le risque qu'un seul regard prolonge mette en échec tout le repli.

Le NTSB et la simulation d'ATG étayent ces propositions, mais le public ne peut calculer la réduction exacte du risque.

La conclusion selon laquelle la suppression du deuxième opérateur exigeait un dossier de sécurité du changement plus solide que ne le montre le dossier public est une déduction étayée. Le NTSB a constaté une augmentation de la charge de travail et une réduction de la redondance, ainsi qu'une évaluation inadéquate des risques. Cela ne prouve pas le motif commercial de la modification des effectifs et n'identifie pas chaque dirigeant qui l'a approuvée. Le dossier public n'établit pas si le coût, l'extension de la flotte, la confiance dans la tablette ou un autre facteur a dominé la décision.

D'importants détails techniques restent inconnus du public. Le code source complet, les paramètres des modèles, les données d'entraînement, les distributions des faux positifs, le corpus de simulation, les critères de mise en service et les résultats complets des tests de scénarios ne figurent pas au dossier. Le public ne peut reproduire la relecture du logiciel mis à jour ni inspecter chaque cas dans lequel le système révisé a freiné inutilement.

Il ne peut vérifier la sensibilité du dispositif de surveillance de l'attention selon l'éclairage, les lunettes, la position de la tête et la diversité des opérateurs, ni déterminer à quelle fréquence les superviseurs ont donné suite à ses rapports.

Le dossier complet des décisions internes n'est pas non plus disponible. Les documents publics ne nomment pas chaque approbateur de la désactivation de l'AEB, de la suspension d'action, des limites de freinage, de l'affectation d'un seul opérateur ou de la mise en service sur route. Ils ne révèlent pas chaque objection, acceptation de risque, pression de calendrier ou escalade. L'absence de ces preuves ne démontre pas un motif indu; elle limite l'attribution.

La durabilité des réparations est en partie inconnaissable, car l'organisation a changé de propriétaire. La clôture par le NTSB établit une réponse acceptée à H-19-52, tandis que la vente de 2021 signifie que les preuves opérationnelles ultérieures appartiennent à une structure d'entreprise différente. Le cadre de plateforme actuel d'Uber ne peut être considère comme une simple continuation des contrôles d'ATG après l'accident. Les performances ultérieures d'Aurora ne peuvent être automatiquement attribuées à Uber, et la gouvernance actuelle des partenaires d'Uber ne valide pas le programme de 2018.

L'impact global n'est pas public. Les documents officiels utilises ici ne quantifient pas toutes les pertes familiales, les conséquences pour les salaries, le coût du programme, l'impact municipal ou le retard de l'ensemble du secteur. Ils n'étayent aucun montant total unique. Ils n'établissent pas non plus comment l'acceptation du public aurait évolue sans l'accident.

Les preuves publiques ne peuvent établir avec certitude un scénario contrefactuel sans accident. Selon les essais du NTSB, une opératrice attentive aurait probablement pu éviter ou atténuer l'impact. Le logiciel mis à jour d'ATG aurait, selon les informations communiquées, freine bien plus tôt lors de la relecture. Ce sont des conclusions fortes et circonscrites. Elles n'établissent pas exactement ou Herzberg ou le véhicule se seraient arrêtés dans chaque variation plausible, ni qu'aucune autre défaillance ne se serait produite.

Contrefactuels: ou un contrôle antérieur aurait pu rompre la chaîne

Le contrefactuel le plus immédiat est celui d'une opératrice attentive. L'analyse par le NTSB de la distance de visibilité et du freinage étaye l'existence probable d'une fenêtre d'évitement ou d'atténuation après l'entrée du SUV sur la portion rectiligne. C'est le contrefactuel individuel le plus solide, car il repose sur la géométrie mesurée et le freinage du véhicule. Il ne justifie toujours pas de faire de l'attention l'unique dossier de sécurité.

Un deuxième contrefactuel est la surveillance active de l'opératrice. Si la caméra intérieure avait été reliée à une alerte en direct fiable avant l'accident, les regards répétés et parfois très prolonges de l'opératrice vers le bas auraient pu déclencher une intervention plus tôt pendant le trajet. Un superviseur aurait pu l'avertir ou la retirer, ou le système aurait pu imposer un arrêt sur. Cette hypothèse est étayée par la tendance des images enregistrées et par la forme du contrôle ultérieur d'ATG. Le seuil d'alerte exact et le résultat de la réponse demeurent inconnus.

Un troisième contrefactuel est le maintien du deuxième opérateur. Un opérateur assis sur le siège passager aurait pu gérer la consignation, remarquer le regard de la conductrice ou identifier le danger lie à la traversée. Le NTSB a traité la deuxième personne comme une redondance perdue et ATG a rétabli ce rôle. On ne peut supposer que n'importe quelle deuxième personne serait restée attentive ou serait intervenue à temps. Le contrefactuel est que deux canaux d'attention indépendants réduisent le risque de point de défaillance unique, non que deux personnes garantissent la sécurité.

Un quatrième commence dans le logiciel. Si l'identité de l'objet et son mouvement antérieur avaient persiste lors des changements de classification, la traversée régulière observée aurait pu influencer la prédiction de trajectoire avant 1,2 seconde. La logique modifiée d'ATG et sa relecture étayent cette déduction. Une architecture robuste testerait aussi de manière prudente les classifications incertaines ou changeantes: un objet inconnu en mouvement à proximité d'une trajectoire accessible devrait conserver un potentiel de collision, même si son étiquette sémantique est instable.

Un cinquième concerne le contrôle d'urgence. La suppression de l'intervalle de suspension d'une seconde aurait préserve un temps de réponse rare une fois le danger identifié. Autoriser le freinage maximal possible à des fins d'atténuation aurait pu réduire l'impact même lorsqu'un évitement complet n'était plus possible. L'AEB réactivé de Volvo aurait pu fournir un avertissement ou un freinage indépendant. Le dossier public ne contient pas de reconstruction complète de la manière dont l'AEB de série aurait classé cette traversée précise avec les capteurs d'ATG en fonctionnement;

il serait donc excessif d'affirmer qu'il aurait certainement empêche l'accident.

Un sixième est une vitesse d'essai inférieure. ATG a repris à 25 mph au lieu de la limite de fonctionnement de 45 mph appliquée à Tempe. Une vitesse inférieure réduit la distance d'arrêt et l'énergie de l'impact, et donne davantage de temps à un humain. Elle peut aussi modifier la représentativité de l'itinéraire et retarder les essais dans des conditions de vitesse plus élevée.

Une extension responsable exigerait des preuves par étapes: démontrer la détection, la prédiction, l'atténuation et la reprise à basse vitesse, puis n'approuver une vitesse supérieure qu'une fois les limites fondées sur des scénarios respectées.

Un septième contrefactuel se situe hors de l'entreprise. Une demande de l'Arizona axée sur la sécurité aurait pu exiger d'ATG qu'elle divulgue la désactivation de l'AEB de base, les limites du freinage d'urgence, la suspension d'une seconde, la charge de travail d'un opérateur unique et le plan de surveillance de l'attention. Un groupe d'experts aurait pu imposer des changements ou limiter les essais. Ce résultat est plausible, car il s'agit exactement des protections soulignées par le NTSB par la suite.

Il n'est pas certain qu'un évaluateur aurait découvert toutes les interactions ou refuse l'itinéraire.

Un huitième est l'évaluation fédérale. La soumission obligatoire d'une VSSA et l'examen de fond par la NHTSA auraient pu créer un minimum national et éclairer les décisions des États. Les limites sont réelles: une auto-évaluation de haut niveau peut ne pas révéler une défaillance au niveau du code source, et les autorités ont besoin de personnel qualifie et de critères d'essai pour la contester. Une condition documentaire dépourvue de preuves et d'expertise peut devenir un exercice de conformité de façade.

Le contrefactuel utile est un examen lie aux dangers, aux résultats de validation, aux dossiers de changement et à des conditions exécutoires.

Le dernier contrefactuel concerne l'autorité d'arrêt. Tout ingénieur, opérateur ou superviseur qui constate un danger non atténué devrait pouvoir suspendre les essais sans pénalité liée au calendrier. Les preuves publiques n'identifient aucun salarie précis qui aurait soulevé avant l'accident une contestation de ce type sans obtenir gain de cause. La leçon est structurelle: l'autorité d'arrêt du travail, le signalement protège et la validation indépendante de la sécurité augmentent la probabilité que des signaux faibles interrompent le déploiement avant que la route n'en fournisse la preuve.

Un test durable de responsabilité pour la conduite automatisée en développement

Le premier test est une carte nominative des contrôles. Pour chaque fonction de conduite dynamique et chaque mode de défaillance, le développeur doit identifier le composant du système, le rôle humain et le responsable investi de l'autorité. La détection, la classification, le suivi, la prédiction, le freinage, le repli, l'assistance à distance, la surveillance de l'opérateur et la liaison avec l'État doivent avoir des responsables. Une responsabilité partagée sans droits de décision nominatifs devient un risque sans propriétaire.

Le deuxième test est la continuité du danger au-delà des frontières logicielles. Lorsque la classification change, l'incertitude et l'historique des mouvements ne doivent pas disparaître. La validation doit inclure les usagers inhabituels de la route, les personnes situées hors des lieux de traversée attendus, les occultations partielles, la faible luminosité et les objets dont la classe sémantique demeure incertaine. L'exigence de sécurité n'est pas seulement un étiquetage correct; c'est une réponse prudente aux collisions en situation d'incertitude.

Le troisième test est l'atténuation indépendante. Une pile en développement ne doit pas laisser un seul humain comme unique couche d'urgence efficace lorsqu'une collision devient inévitable. L'AEB du véhicule de base, un dispositif de surveillance indépendant, un noyau de sécurité ou une autre voie diversifiée doit conserver l'autorité d'avertir, de ralentir ou d'arrêter. Si l'intégration désactive une protection de série, un remplacement documenté, équivalent ou supérieur, doit être exigé avant les essais sur route.

Le quatrième test porte sur des performances humaines réalistes. Le dossier de sécurité doit modéliser la baisse de vigilance, la complaisance envers l'automatisation, le comportement du regard, la charge de travail, le temps de reprise et les violations des règles. La formation et les politiques restent nécessaires, mais aucune ne constitue une redondance indépendante. La durée des postes, la monotonie des itinéraires, les exigences visuelles de l'IHM et la conception des alertes doivent être testées au cours de longues séquences sans événement suivies de dangers rares.

Le cinquième test est l'assurance active de l'attention. Les caméras intérieures et la télémétrie doivent produire des alertes définies, une logique d'arrêt sur, une réponse du superviseur, un accompagnement et des critères de retrait. Le développeur doit mesurer les détections manquées et les alertes intempestives, non se contenter d'annoncer l'installation. Les règles de conservation et les contrôles d'accès lies à la vie privée doivent être explicites, car le système enregistre continuellement les travailleurs.

Le sixième test est le contrôle des changements critiques pour la sécurité. La suppression d'un deuxième opérateur, la modification de la vitesse, la désactivation de l'AEB ou la modification de la logique de suspension doivent déclencher une nouvelle analyse des dangers et une approbation indépendante. Le dossier doit indiquer la protection précédente, son remplacement, les preuves, le risque résiduel, l'approbateur, l'échéance et la condition de retour en arrière. L'efficacité opérationnelle n'est pas une preuve de sécurité équivalente.

Le septième test est la validation fondée sur des scénarios avant l'exposition du public. Les travaux sur circuit fermé et en simulation doivent couvrir les conditions limites prévisibles et les défaillances combinées, avec des seuils de réussite clairs et une traçabilité des versions. La relecture de l'accident constitue un test de régression utile, mais une organisation doit aussi tester les scénarios adjacents susceptibles de mettre la correction en échec. Réussir un seul cas historique peut conduire à un surajustement de la réponse de sécurité tout aussi facilement que pour un modèle.

Le huitième test est la production de preuves de terrain tenant compte de l'exposition. Les développeurs doivent publier les miles parcourus par domaine de conception opérationnelle, les définitions des désengagements et interventions, les catégories d'accidents et de quasi-accidents, les alertes d'attention, les heures des conducteurs de sécurité et les modifications logicielles importantes. Des nombres sans dénominateur ni composition des scénarios sont trompeurs. Les détails techniques confidentiels peuvent être protégés tout en divulguant suffisamment d'informations pour permettre une analyse indépendante des tendances.

Le neuvième test est l'autorité publique prospective. Une demande auprès d'un État doit identifier la zone d'essai, les vitesses, la configuration du véhicule, le repli, le plan relatif aux opérateurs, l'assistance à distance, la réponse aux incidents et les preuves étayant la mise en service. Un groupe multidisciplinaire qualifie doit l'examiner, imposer des conditions et réévaluer l'approbation après les changements critiques pour la sécurité. L'examen fédéral doit fournir une base cohérente au lieu de laisser chaque État déduire le caractère adéquat de documents volontaires assimilés à des supports marketing.

Le dixième test porte sur les preuves d'incident et l'escalade. La déclaration des accidents doit conserver, selon une horloge commune, les données des capteurs, des commandes, des vidéos, de l'opérateur, de la version logicielle et des décisions. Les quasi-accidents et les violations d'attention doivent alimenter le même processus d'apprentissage. La standing order de la NHTSA améliore la visibilité des accidents, mais les organisations ne doivent pas attendre une collision declarable pour enquêter sur les indicateurs avancés.

Le onzième test est l'assurance indépendante. Les simulations internes et les documents de politique montrent une intention. Les évaluateurs externes, les autorités de réglementation et les essais reproductibles apportent des preuves plus solides. Les rapports d'assurance doivent expliquer leur périmètre, leurs exclusions, les essais échoués et les dangers non résolus. La clôture d'une recommandation est significative, mais elle ne doit pas être étendue au-delà de l'action précise évaluée.

Le douzième test est la continuité lors des transformations de l'entreprise. Lorsqu'un programme est vendu, réorganisé ou intégré à une plateforme, les dossiers de sécurité, les registres des dangers, les actifs de validation, les dossiers d'incident et les obligations ouvertes doivent être transférés avec une attribution claire. Le public doit pouvoir distinguer les réparations du développeur d'origine, les contrôles d'un successeur et les exigences d'une plateforme envers ses partenaires. A défaut, la responsabilité se dissout lorsque l'organigramme change.

Tempe demeure une affaire déterminante parce que chaque couche majeure a laissé des preuves. Les capteurs ont détecté l’usagère de la route. Le logiciel a modifié à plusieurs reprises le sens de cette détection. La logique d'urgence a consommé du temps et refusé une atténuation plus forte. Les protections anticollision du véhicule de base étaient indisponibles. La seule opératrice était distraite. Les données de surveillance existaient, mais étaient rarement utilisées. Un deuxième opérateur avait été supprimé. La gestion de la sécurité était immature.

L'admission par l'État ne comprenait pas d'examen technique axé sur la sécurité.

La responsabilité de l'opératrice est confirmée, non effacée, par cette analyse systémique. La leçon institutionnelle est qu'une personne ne peut être qualifiée de couche de sécurité puis considérée comme indépendante de la conception. Celui qui fait de l'humain la solution de repli contrôle la charge de travail, l'information, l'autorité, la surveillance, la redondance et le temps dont dispose cet humain. Celui qui autorise les essais publics contrôle le seuil de preuve requis avant que des usagers involontaires de la route ne supportent le risque résiduel.

La réparation exige donc davantage qu'un meilleur modèle ou une règle plus stricte sur les téléphones. Elle exige une chaîne auditable dans laquelle la perception incertaine reste prudente, le freinage d'urgence peut atténuer le dommage, les limites humaines sont intégrées au dossier de sécurité, les changements font l'objet d'un examen indépendant, les autorités examinent les preuves avant l'exposition et chaque correction revendiquée est testée sur l'ensemble du système de repli. La norme n'est pas qu'aucun véhicule en développement ne puisse jamais échouer.

Elle est qu'aucune faiblesse connue ne soit silencieusement transférée à une seule personne, à une seule protection désactivée ou à un public non informé.