O acidente fatal da Uber em Tempe transformou o motorista de segurança em um teste de responsabilidade do design do sistema

Resumo

• Em 18 de março de 2018, um sistema de direção automatizado da Uber em desenvolvimento controlando um Volvo XC90 modificado atropelou e matou Elaine Herzberg em Tempe, Arizona. O sistema a detectou pela primeira vez 5,6 segundos antes do impacto, mas mudou repetidamente sua classificação, descartou o histórico de rastreamento útil após a reclassificação e não determinou que ela estava na trajetória do veículo até 1,2 segundos antes do impacto.
• O único operador do veículo estava transmitindo um programa de televisão em um telefone pessoal e desviou o olhar da estrada por cerca de cinco dos últimos seis segundos. O National Transportation Safety Board determinou que sua falha em monitorar foi a causa provável. Também descobriu que a avaliação de risco inadequada da Uber ATG, a supervisão ineficaz dos operadores e a falha em gerenciar a complacência da automação contribuíram, todas consequências de uma cultura de segurança inadequada.
• O humano não era meramente uma causa independente fora do sistema. A Uber ATG dependia do operador como a principal contramedida quando uma emergência excedia as especificações de frenagem automatizada, enquanto o alerta de colisão frontal e a frenagem automática de emergência da Volvo estavam desativados no modo autônomo. Cerca de cinco meses antes do acidente, a ATG consolidou as responsabilidades de dois operadores em uma única função e raramente revisava o vídeo voltado para o interior que poderia ter exposto a distração.
• O Arizona havia recebido os testes autônomos sem uma licença especial. O NTSB considerou a supervisão estadual insuficiente e recomendou uma aplicação focada em segurança e revisão especializada antes dos testes. Mais tarde, a lei do Arizona criou disposições de notificação, certificação, fiscalização e interação com as forças de segurança, mas a estrutura visível ainda depende substancialmente de declarações do operador ou da empresa, em vez da publicação de uma aprovação de segurança independente específica para o caso.
• As evidências de reparo são materiais, mas limitadas. A ATG restaurou dois operadores, adicionou monitoramento de atenção em tempo real, alterou a previsão de trajetória, removeu a lógica de supressão de ação de um segundo, reativou os alertas de colisão e a frenagem de emergência da Volvo compatíveis, reduziu a velocidade dos testes em vias públicas e criou um sistema de gerenciamento de segurança. O NTSB encerrou sua recomendação à antiga ATG em 2024, após a unidade ter sido vendida para a Aurora. O encerramento não reproduz todos os resultados de validação nem prova como a organização original se sairia hoje.
• Lacunas importantes de governança permaneciam visíveis em 15 de julho de 2026. A ordem de notificação de acidentes da NHTSA fornece dados obrigatórios de incidentes e poder de fiscalização, mas as recomendações do NTSB para exigir e avaliar autoavaliações de segurança pré-teste permanecem na lista aberta da NHTSA. O teste durável é, portanto, se um desenvolvedor pode provar a cadeia de fallback antes de expor o público: controle de emergência independente, suposições realistas de desempenho humano, salvaguardas ativas de atenção, aprovação controlada de mudanças, revisão estadual e federal, e evidências auditáveis de cenários que estressam todas as camadas juntas.

A estrutura motorista versus sistema falha no teste de controle

A página de investigação do NTSB declara a conclusão causal oficial de forma clara. A causa provável foi a falha do operador do veículo em monitorar o ambiente de direção e o sistema de direção automatizado porque ela estava visualmente distraída com seu telefone pessoal. A mesma conclusão identifica fatores contribuintes dentro da Uber ATG: avaliação de risco de segurança inadequada, supervisão ineficaz dos operadores e nenhum mecanismo adequado para lidar com a complacência da automação.

A travessia insegura e a deficiência da pedestre, e a supervisão insuficiente do Departamento de Transportes do Arizona, foram fatores contribuintes adicionais.

Essas descobertas não se dividem perfeitamente em um humano culpado e uma máquina neutra. Um veículo automatizado em desenvolvimento é uma operação de teste sociotécnico. Seu caso de segurança inclui sensores, software de percepção, planejamento de movimento, lógica de frenagem, sistemas do veículo base, restrições de rota e velocidade, a interface homem-máquina, o operador, a supervisão, o controle de mudanças, a revisão de incidentes e a permissão para usar uma via pública.

Se o desenvolvedor atribui a recuperação de emergência a uma pessoa, o desempenho provável dessa pessoa sob monitoramento passivo prolongado torna-se uma entrada de design. Se o desenvolvedor remove uma segunda pessoa ou desativa um freio independente, o operador restante carrega mais do risco, independentemente de uma política dizer que telefones são proibidos.

É por isso que o caso é um teste de responsabilidade, em vez de uma disputa sobre qual elemento único causou o último segundo da falha. O direito penal, uma investigação de segurança do NTSB, o gerenciamento de segurança corporativo e a regulamentação de veículos respondem a perguntas diferentes. O relatório final HAR-19/03 do NTSB é um relatório de segurança de apuração de fatos, não um julgamento que aloca danos civis ou culpa criminal. Um caso criminal pode estabelecer a responsabilidade legal do operador sem validar a arquitetura do sistema da ATG.

Uma versão de software reparada pode melhorar o manuseio de objetos sem provar que a supervisão e a aprovação da via pública foram adequadas. Cada conclusão deve permanecer dentro da autoridade e das evidências de sua fonte.

A distribuição das consequências torna essa disciplina essencial. Herzberg perdeu sua vida. Sua família e comunidade sofreram danos que não controlaram. A operadora enfrentou um processo e anos de escrutínio público. Os motoristas de segurança foram solicitados a gerenciar uma tarefa de monitoramento de baixa frequência e alto impacto. Engenheiros, gerentes, Volvo, Uber, agências do Arizona, reguladores federais e desenvolvedores posteriores de veículos autônomos controlaram diferentes camadas preventivas. Os usuários da via não tinham como inspecionar essas camadas antes de compartilhar o ambiente de teste.

A questão central da responsabilidade é, portanto, operacional: quem poderia mudar o quê antes do acidente? A Uber ATG poderia mudar a lógica de classificação e previsão, a resposta de emergência, a velocidade de teste, a equipe, o treinamento, a revisão de vídeo e os critérios de liberação. A Volvo e a ATG juntas controlavam a integração que desativava os sistemas de prevenção de colisão de fábrica. O operador controlava a atenção, a direção e a frenagem durante a viagem. O Arizona controlava os termos sob os quais os testes ocorriam em suas estradas.

A NHTSA controlava a autoridade federal sobre defeitos e orientações, mas não pré-aprovou o caso de segurança da ATG. O pedestre controlava onde e quando atravessar, mas não o design do sistema que se aproximava ou a permissão para testes. As consequências se sobrepunham; o controle, não.

Quem tinha controle prático

A Uber ATG tinha o controle direto mais amplo sobre a operação de teste. Seu software detectava objetos, atribuía classificações, previa movimentos, planejava uma trajetória e emitia comandos de direção e frenagem. Seus gerentes selecionavam o domínio de design operacional, incluindo rotas mapeadas, condições de iluminação e clima, e uma velocidade máxima de teste. Sua organização de operações contratava e treinava operadores, escrevia políticas sobre telefone e direção, escolhia se uma ou duas pessoas estariam em um veículo, armazenava vídeo voltado para o interior e decidia com que frequência os supervisores o inspecionariam.

Sua estrutura de segurança e liderança determinava se os perigos seriam identificados antes da liberação em vias públicas.

O relatório de automação de veículos do NTSB identifica a plataforma Krypton específica e a versão de software instalada no veículo do acidente. Também registra que o sistema deveria operar autonomamente apenas em rotas mapeadas designadas, enquanto um humano supervisionava tanto o sistema quanto o ambiente. Essa divisão é importante: o ADS realizava a tarefa de dirigir até que não tivesse uma resposta adequada, enquanto se esperava que a pessoa detectasse a falha e assumisse rapidamente.

O operador controlava o fallback manual imediato. As instruções da ATG exigiam monitoramento, mãos pairando sobre o volante e um pé sobre o freio, marcando eventos incomuns e intervindo em emergências. O operador também controlava o telefone pessoal e violou a regra de proibição de telefone. As evidências de telefone e aplicativo mostraram que o vídeo foi transmitido durante toda a viagem. Seu olhar final para baixo removeu a última resposta humana disponível durante o intervalo crítico. Reconhecer essa ação não é o mesmo que tratar o operador como uma garantia ilimitada contra limitações previsíveis do sistema.

Os gerentes da ATG controlavam as condições sob as quais se esperava que esse fallback funcionasse. O relatório factual de operações mostra que existia uma política escrita de proibição de telefone e que a violação poderia levar à demissão. Também mostra fraquezas de controle por trás da regra: a política não era autônoma, a ATG não tinha registro de que esta operadora a reconheceu individualmente, e a supervisão não transformou as evidências de câmera interna armazenadas em verificações regulares. Uma política estabelece um padrão.

Não é uma salvaguarda operacional a menos que treinamento, observação, escalação e consequências tornem a adesão visível.

A Volvo controlava o veículo original e seus sistemas de segurança de produção, enquanto a ATG controlava sua integração com a pilha de desenvolvimento sob um acordo envolvendo ambas as empresas. O veículo de fábrica tinha alerta de colisão frontal e frenagem automática de emergência. Essas funções estavam ativas no modo manual, mas desligavam automaticamente no modo autônomo. O registro do NTSB diz que a operação simultânea foi considerada incompatível porque os radares da ATG e da Volvo poderiam interferir e porque o módulo de freio não foi projetado para priorizar dois comandos de frenagem.

Isso não foi uma falha misteriosa de componente na noite. Foi uma decisão de integração conhecida que removeu uma camada de intervenção independente enquanto o ADS estava ativo.

O Arizona controlava a admissão em vias públicas. A ordem executiva de 2015 do estado exigia um operador licenciado capaz de assumir o controle, prova de responsabilidade financeira e conformidade com as leis de trânsito, e criou um comitê de supervisão. No entanto, a declaração de dezembro de 2016 do ADOT recebendo a Uber dizia que não havia licenças ou autorizações especiais para testes autônomos. O estado, portanto, estabeleceu condições amplas sem uma avaliação técnica pré-teste da análise de perigos, arquitetura de fallback ou plano de monitoramento de operadores da ATG.

A NHTSA controlava a autoridade federal sobre defeitos de veículos motorizados e as orientações nacionais. Na época, sua política ADS 2.0 era expressamente voluntária. A página oficial do ADS 2.0 explica que um desenvolvedor não precisava enviar uma autoavaliação, aguardar aprovação ou atender a um novo mecanismo de conformidade antes de testar. A autoridade federal poderia responder a um defeito de segurança irracional, mas a orientação não equivalia a uma aprovação prospectiva deste sistema de teste em desenvolvimento.

Finalmente, nem Herzberg nem outros usuários da via controlavam qualquer uma dessas decisões de segurança. A via pública funcionava como parte do ambiente de validação, mas uma pessoa encontrando o veículo não poderia saber seu limite de frenagem de emergência, se o AEB de fábrica estava ativo, com que frequência o operador era monitorado ou se um revisor independente havia desafiado a remoção de redundância. Essa assimetria cria o caso mais forte para garantia pública auditável antes do teste, não apenas investigação após o dano.

Linha do tempo: política, mudanças operacionais e os segundos finais

O arcabouço do Arizona precedeu a chegada da Uber. A Ordem Executiva 2015-09 incentivava os testes e estabelecia condições básicas para operadores e seguros. Em dezembro de 2016, após uma disputa interromper os testes da Uber na Califórnia, o Arizona enfatizou publicamente que não exigia uma licença especial para testes autônomos. O estado buscava investimento e desenvolvimento técnico, confiando substancialmente nas regras gerais de veículos e na responsabilidade do desenvolvedor.

A Uber ATG inicialmente usava duas pessoas em cada veículo de teste. Uma monitorava a estrada e se preparava para assumir o controle; a outra documentava o comportamento do sistema e o ambiente. Cerca de cinco meses antes do acidente fatal, a ATG introduziu uma interface tablet e consolidou essas responsabilidades em um único operador. O NTSB descobriu que a interface reduziu a complexidade do registro de eventos, mas uma pessoa ainda tinha que observar a estrada, supervisionar o ADS, estar pronta para uma emergência e às vezes desviar o olhar para usar o tablet.

Remover o segundo operador também removeu uma pessoa que poderia detectar perigo, lembrar o motorista de seus deveres ou fornecer um segundo canal de atenção.

A mudança deve ser lida juntamente com a arquitetura do sistema. No modo autônomo, o alerta de colisão frontal e o freio de emergência de fábrica estavam inativos. O ADS da ATG limitava a frenagem extrema e usava um intervalo de supressão de ação para proteger contra falsos positivos. Se o sistema julgasse que uma colisão não poderia mais ser evitada dentro de seus limites de frenagem e jerk, seu design não aplicava a frenagem máxima apenas para reduzir a gravidade do impacto. Esperava-se que alertasse o operador e iniciasse uma desaceleração gradual. O operador não era, portanto, uma defesa entre várias camadas igualmente capazes.

Em casos importantes de emergência, o operador era a principal defesa final.

Em 1º de março de 2018, o Arizona emitiu a Ordem Executiva 2018-04, expandindo a estrutura para operação autônoma com e sem uma pessoa presente e descrevendo a segurança pública como uma prioridade. A ordem exigia conformidade com as leis aplicáveis, uma condição de risco mínimo após uma falha do ADS para operação sem motorista, seguro e um plano de interação com as forças de segurança. Não exigia que um painel técnico independente aprovasse o caso de segurança de teste de um desenvolvedor antes do uso em vias públicas.

No domingo, 18 de março, o Volvo XC90 2017 modificado iniciou a viagem de teste relevante em Tempe. A estrada estava seca e iluminada pela iluminação pública. O veículo estava em seu segundo loop de uma rota estabelecida e estava no modo autônomo por cerca de 19 minutos quando se aproximou da Mill Avenue no sentido norte a cerca de 45 mph. Herzberg começou a atravessar do canteiro central fora de uma faixa de pedestres enquanto caminhava com uma bicicleta.

O ADS a detectou pela primeira vez por radar 5,6 segundos antes do impacto a aproximadamente 44 mph. Inicialmente classificou o retorno como um veículo e não o colocou na trajetória do SUV. O Lidar então classificou como um objeto desconhecido, depois como um veículo. Entre 3,8 e 2,7 segundos antes do impacto, a classificação alternou entre veículo e outro. A cada mudança de classificação, o sistema não carregava o histórico de rastreamento do objeto, enfraquecendo a previsão de trajetória. Em 2,6 segundos, classificou o objeto como bicicleta, mas inicialmente o tratou como estático e fora da trajetória do SUV.

Em 1,5 segundos antes do impacto, a classificação voltou a desconhecido. O objeto estava parcialmente na faixa do SUV, e o ADS planejou uma trajetória ao redor dele. Em 1,2 segundos, a classificação do lidar mudou novamente para bicicleta e a trajetória prevista finalmente ocupou a faixa do SUV. O plano de direção anterior não era mais viável. A situação tornou-se perigosa e o intervalo de supressão de ação de um segundo começou. Em 0,2 segundos antes do impacto, a supressão terminou e o ADS gerou uma desaceleração e alerta auditivo.

O registro do NTSB não pôde determinar se o ligeiro atraso de comunicação permitiu que essa desaceleração começasse antes de o operador assumir o controle.

O operador havia olhado para baixo por cerca de cinco dos últimos seis segundos. O relatório factual de desempenho humano documenta seu treinamento, deveres, olhar e evidências de telefone. Ao longo da viagem, ela olhou para o console central inferior por 34% do tempo. No primeiro loop na mesma seção da estrada, um olhar para baixo durou 26,5 segundos. Na aproximação final, ela levantou o olhar cerca de um segundo antes da colisão e virou à esquerda 0,02 segundos antes do impacto. Ela freou apenas após o impacto.

O tempo não prova que uma pessoa deveria ter reagido ao primeiro retorno do radar. O NTSB analisou a geometria e o comportamento normal de varredura, e disse que mesmo um operador atento poderia não ter notado Herzberg em 5,6 segundos enquanto o SUV saía de uma curva. Uma vez que o veículo atingiu a seção reta 3,9 segundos antes do impacto, no entanto, ela teria entrado no campo de visão normal de um motorista atento. Os testes de frenagem suportaram uma janela de aproximadamente dois a quatro segundos para detectar e iniciar uma resposta.

O NTSB concluiu que um operador atento provavelmente poderia ter evitado a colisão ou mitigado sua gravidade.

O acidente ocorreu às 21h58. Herzberg morreu no local; o operador não ficou ferido. A inspeção mecânica não identificou um defeito maior na frenagem base, iluminação, suspensão, sistemas elétricos, rodas ou pneus do veículo. O ADS não relatou falha de sensor ou sistema durante a viagem. Esses achados negativos são importantes porque estreitam a explicação para longe de uma falha mecânica aleatória e em direção ao comportamento esperado do sistema, desempenho humano e a forma como a operação de teste era governada.

Em 19 de março, a ATG interrompeu os testes em vias públicas em todos os centros operacionais. Em 26 de março, o governador do Arizona enviou à Uber uma carta de suspensão preservada no dossiê do NTSB, orientando o ADOT a suspender a capacidade da Uber de testar e operar veículos autônomos em vias públicas do Arizona. A carta chamou o incidente de falha em cumprir a expectativa de segurança do estado. Foi uma resposta de fiscalização decisiva, mas ocorreu após a decisão permissiva de admissão e após a fatalidade.

A ATG não retomou os testes com ADS em vias públicas até 20 de dezembro de 2018, e então apenas em um loop de uma milha em Pittsburgh com limite de 25 mph. A empresa alterou os controles técnicos, operacionais e organizacionais. Em novembro de 2019, o NTSB adotou seu relatório final e recomendações. O caso criminal continuou separadamente: uma acusação do grande júri em 2020 acusou a operadora de homicídio culposo negligente, uma acusação em vez de condenação.

Em julho de 2023, um acordo de confissão registrado resolveu o caso através de uma confissão de culpa por colocação em perigo, e o procurador do condado relatou três anos de liberdade condicional supervisionada. Essa disposição estabelece responsabilidade legal pessoal sob o acordo; não decide se o design e os controles de governança da ATG eram adequados.

A cadeia causal técnica foi uma sequência, não uma classificação perdida

É tentador resumir o acidente dizendo que o veículo não viu um pedestre. Isso é impreciso. Seus sensores detectaram um objeto vários segundos antes do impacto. A falha emergiu em como as detecções foram representadas, classificadas, transportadas ao longo do tempo, convertidas em movimento possível e então conectadas à autoridade de frenagem.

A detecção foi a primeira camada e funcionou. O radar produziu o retorno inicial; os sistemas de lidar e câmera contribuíram para a representação ambiental. O NTSB não encontrou mau funcionamento relevante do sensor. O problema não foi simples cegueira de sensor, e a escuridão sozinha não explicou o evento. A câmera frontal da frota tornou a cena mais escura do que os investigadores observaram no local, enquanto o trabalho de distância de visão não encontrou obstrução que impedisse um operador atento de ver o pedestre atravessando durante a aproximação relevante.

A classificação foi instável. O mesmo usuário da via mudou entre rótulos de veículo, outro e bicicleta. A classificação é importante porque o sistema associava diferentes objetivos a diferentes classes. Um objeto desconhecido poderia ser tratado como estático. Uma bicicleta detectada em uma faixa de tráfego poderia ser atribuída a um objetivo consistente com a faixa, mesmo quando a pessoa observada a estava atravessando. Pedestres fora de uma faixa de pedestres não recebiam um objetivo explícito de travessia nesta versão de software.

O sistema, portanto, incorporava suposições sobre onde um pedestre deveria estar e como um objeto classificado deveria se mover.

A continuidade do rastreamento foi enfraquecida pela arquitetura. Quando a classificação mudava, o sistema não usava mais o histórico de rastreamento anterior do objeto para a nova trajetória. A continuidade física de um usuário da via não garantia continuidade no modelo. Isso significava que vários segundos de observações não se acumulavam em uma estimativa robusta de uma pessoa atravessando a estrada de forma constante. O sistema reiniciava repetidamente parte de seu raciocínio à medida que o rótulo mudava.

A previsão traduziu esse modelo instável em uma avaliação de trajetória insegura. Durante a maior parte da aproximação, o objeto foi tratado como estático ou movendo-se na faixa adjacente esquerda. Apenas em 1,2 segundos o ADS colocou o objeto classificado como bicicleta totalmente na faixa do SUV. Nesse ponto, contorná-lo não era mais possível sob o plano gerado.

A resposta de emergência adicionou outro atraso. A ATG havia projetado um intervalo de supressão de um segundo para verificar um perigo potencial, calcular uma alternativa ou permitir que o operador interviesse. A preocupação era legítima isoladamente: um sistema em desenvolvimento que reage violentamente a falsos positivos pode criar suas próprias colisões. Mas a questão de segurança não é se a frenagem falsa importava. É se a arquitetura combinada preservou uma resposta segura quando a classificação se estabilizou tarde. Neste caso, um segundo consumiu a maior parte do tempo restante.

Os limites de frenagem então impediram uma resposta de mitigação forte. O ADS tratava situações que exigiam frenagem além de suas especificações definidas de desaceleração ou jerk como emergências para intervenção humana. Se a frenagem máxima dentro desses limites não pudesse evitar a colisão, o sistema automatizado não foi projetado para aplicar a frenagem máxima apenas para reduzir a gravidade. Ele alertaria e iniciaria uma desaceleração gradual. Nenhum freio de emergência automatizado significativo compensou a previsão tardia.

O veículo base não pôde fornecer um resgate independente porque seu alerta de colisão frontal e AEB foram desativados no modo autônomo. A justificativa de integração envolvia interferência de radar e prioridade não resolvida entre duas fontes de comando de frenagem. Essas são restrições reais de engenharia. Elas também criaram uma lacuna operacional comum conhecida: quando a pilha da ATG estava ativa, a camada de segurança de produção que de outra forma alertaria ou frearia não estava disponível.

Finalmente, o fallback humano não operou. O operador estava olhando para um telefone, a ATG não estava assistindo em tempo real, um segundo operador estava ausente e o ADS não forneceu um aviso útil até que a colisão fosse efetivamente inevitável. A cadeia causal foi, portanto, detecção sem interpretação estável, interpretação sem reconhecimento de trajetória oportuno, reconhecimento seguido de supressão, mitigação automatizada insuficiente e um fallback humano indisponível. Nenhum elo único explica todo o resultado.

O motorista de segurança fazia parte do sistema projetado

A frase "motorista de segurança" pode ocultar uma importante decisão de alocação. Esperava-se que a pessoa permanecesse vigilante enquanto a automação lidava com a direção normal por longos períodos, depois detectasse uma falha rara e interviesse em segundos. Isso não é direção manual comum. É controle de supervisão, e sua viabilidade deve ser avaliada com evidências de desempenho humano.

O NTSB concluiu que a distração visual prolongada era um efeito típico da complacência da automação e que os humanos têm baixo desempenho como monitores de automação altamente confiável. O problema não desculpa o uso deliberado do telefone. Isso muda o que um designer responsável deve antecipar. Uma proibição pode coibir alguma má conduta, mas uma avaliação de risco deve presumir que a vigilância passiva se degrada, falhas raras são difíceis de detectar e uma única pessoa pode violar uma regra. O design de alto risco não trata a conformidade perfeita como uma camada redundante independente.

A ATG possuía evidências de monitoramento úteis antes do acidente. As câmeras voltadas para o interior gravavam o operador. Os supervisores poderiam ter revisado as imagens para uso de telefone, comportamento de mãos longe do volante e tendências de atenção. O NTSB descobriu que a revisão era rara. Essa é uma distinção entre coleta de dados e controle. Uma câmera que produz evidências apenas após um acidente fatal é uma ferramenta de investigação. Uma câmera conectada a alertas, amostragem, treinamento, suspensão e análise de tendências é um controle preventivo.

Remover o segundo operador intensificou o risco. Os deveres documentados do operador do veículo colocavam o monitoramento da estrada, intervenção e notação de eventos na função operacional. O tablet reduziu o fardo da notação, mas não eliminou a demanda de desvio de olhar. Uma segunda pessoa poderia ter lidado com o registro, verificado a atenção e atuado como um lembrete social. Duas pessoas não são automaticamente seguras, e ambas podem se distrair, mas eliminar uma sem uma substituição validada removeu a diversidade do fallback.

A questão certa de responsabilidade não é se a ATG tinha permissão para tornar as operações mais eficientes. É quais evidências apoiaram a mudança. Um registro de mudança defensável identificaria o perigo controlado pelo segundo operador, quantificaria a carga de trabalho residual do novo tablet, analisaria a duração da vigilância, testaria o desempenho de retomada após longos períodos sem eventos, definiria exposições máximas de turno e rota, definiria limites de atenção e exigiria aprovação de uma função de segurança independente.

O registro público do NTSB não encontrou nenhum processo de risco de segurança adequado que desempenhasse esse papel antes do acidente.

É também por isso que a má conduta do operador e a responsabilidade do design do sistema são compatíveis. O operador tinha o dever de observar a estrada e não o fez. A ATG tinha o dever de avaliar se o fallback era robusto contra falha humana previsível e não o fez adequadamente. O primeiro explica por que a última intervenção humana falhou. O segundo explica por que a atenção de uma pessoa se tornou um ponto único de falha tão crítico.

A cultura de segurança transformou fraquezas separadas em uma condição operacional

O relatório final não usou "cultura de segurança" como uma crítica vaga. Ele vinculou o termo à estrutura ausente e à execução ineficaz. No momento do acidente, a ATG não tinha um plano de segurança corporativo atribuindo responsabilidades de risco entre departamentos, nenhuma divisão de segurança e nenhum gerente de segurança dedicado. O chefe de operações, sem formação em gerenciamento de segurança, carregava a responsabilidade de gerente de segurança além das funções operacionais.

Essa estrutura importou em vários pontos de decisão. Quem poderia desafiar independentemente a desativação do AEB de produção? Quem era o dono do perigo criado pela redefinição do histórico de rastreamento após mudanças de classificação? Quem aprovou a supressão de ação de um segundo e a escolha de não mitigar um acidente inevitável com a frenagem máxima disponível? Quem autorizou a remoção do segundo operador? Quem revisou os dados de atenção e parou um operador ou uma rota quando as violações de política apareceram?

Sem uma propriedade clara, competente e independente, cada problema poderia permanecer dentro de sua lógica local de engenharia ou operações.

A execução da política mostrou a mesma fraqueza. A ATG tinha uma regra de telefone celular, um cronograma disciplinar e uma política de teste de drogas. No entanto, faltava um registro de reconhecimento individual da regra do telefone e implementava testes de drogas esporadicamente. A operadora do acidente não havia recebido teste pré-emprego ou aleatório e não foi testada sob a própria política pós-acidente da empresa. O NTSB não encontrou evidências de que a deficiência do operador tenha contribuído para o acidente, então o teste de drogas não é uma explicação causal.

É evidência de que os compromissos de segurança por escrito não se tornaram prática operacional de forma confiável.

Os dados de acidentes e incidentes também exigiam aprendizado organizacional. O relatório de automação lista 37 acidentes e incidentes anteriores no modo autônomo de setembro de 2016 a março de 2018, a maioria envolvendo outro veículo atingindo o SUV de teste. Esse histórico não estabelece um aviso prévio idêntico à travessia de Herzberg. Mostra que a ATG tinha um registro de campo crescente que exigia classificação estruturada, análise normalizada por exposição e revisão de perigos. Contagens brutas de eventos não podem provar segurança sem contexto de quilometragem, cenário e gravidade;

nem a falta de um evento fatal idêntico deve ser tratada como prova de que a arquitetura era segura.

A revisão externa da cultura encomendada após o acidente recomendou um SMS, líderes seniores de segurança, comunicação interna, reforma do treinamento, verificações não anunciadas dos operadores e controles de risco operacionais mais fortes. Por ter sido encomendada pela ATG, não equivale a uma constatação de fiscalização de um regulador. O NTSB avaliou independentemente o registro do acidente e chegou a conclusões alinhadas sobre a estrutura de segurança pré-acidente.

O dossiê público do NTSB torna os relatórios factuais subjacentes, submissões da empresa e anexos inspecionáveis, permitindo que os leitores separem as representações da empresa das conclusões dos investigadores.

A governança das vias públicas deixou o desenvolvedor avaliar as salvaguardas críticas

A operação em Tempe estava entre as divisões tradicionais de autoridade. A NHTSA regula veículos motorizados e equipamentos no nível federal. Os estados regulam motoristas, registro e operação viária. Um ADS em desenvolvimento complica essa divisão porque a máquina realiza a tarefa de dirigir enquanto um funcionário da empresa a supervisiona, e porque o veículo modificado pode cumprir os padrões do veículo base mesmo quando o software experimental cria novos comportamentos.

O ADS 2.0 identificou doze elementos de segurança, incluindo o domínio de design operacional, detecção e resposta de objetos e eventos, fallback, validação, interface homem-máquina, registro de dados e comportamento pós-acidente. A própria orientação incentivava uma autoavaliação voluntária pública de segurança, mas dizia que não era exaustiva, obrigatória ou sujeita a aprovação federal. Isso tornava o documento um mecanismo de transparência, não um portão.

O NTSB descobriu que as submissões voluntárias tinham valor de segurança limitado onde os desenvolvedores podiam omiti-las e a NHTSA não avaliava a adequação. Emitiu as recomendações H-19-47 a H-19-52. A H-19-47 pede à NHTSA que exija que os desenvolvedores que testam em vias públicas submetam autoavaliações de segurança. A H-19-48 pede que a agência as avalie para salvaguardas apropriadas, incluindo monitoramento de engajamento do operador. As H-19-49 e H-19-50 pedem ao Arizona que exija uma aplicação focada em risco e revisão especializada antes de conceder uma licença de teste.

A H-19-52 pede à ATG que complete um sistema de gerenciamento de segurança.

O arcabouço legal posterior do Arizona é mais explícito do que a posição de 2016 de nenhuma licença especial. O Título 28, Seção 28-9702 dos Estatutos Revisados do Arizona permite a operação com um humano licenciado capaz de retomar a tarefa de dirigir. Para operação sem motorista, exige um plano de interação com as forças de segurança e uma declaração por escrito reconhecendo a conformidade federal quando exigida, uma condição de risco mínimo após falha relevante do ADS, capacidade de cumprir as leis de trânsito, título, registro e seguro. O ADOT pode emitir uma carta de cessação e desistência se os documentos exigidos não forem submetidos.

Outras seções criam procedimentos de suspensão de registro quando as evidências indicam que um veículo pode ser inseguro.

Esses são controles legais reais, e o Capítulo 117 de 2021 promulgado moveu os principais requisitos da política executiva para o estatuto. As páginas atuais do ADOT distinguem testes com motorista de segurança de testes ou operação sem motorista. No entanto, as disposições visíveis não publicam por si mesmas uma determinação especializada independente de que a resposta a objetos, o fallback, o monitoramento do operador e as evidências de controle de mudanças de um desenvolvedor específico são adequadas antes do teste.

Comparar a estrutura pública com as H-19-49 e H-19-50 suporta uma inferência de que a atestação e a fiscalização permanecem mais visíveis do que a pré-aprovação especializada específica do caso. Não prova qual engajamento não público o ADOT pode realizar para um operador específico.

Em 2023, a governadora Katie Hobbs rescindiu a Ordem Executiva 2018-04 porque a legislação subsequente abordou o assunto. A ordem de rescisão confirma a transição legal; não apaga o papel histórico da ordem de 2018 no momento do acidente. Essa distinção temporal evita dois erros: aplicar o estatuto de hoje retroativamente ao teste da Uber em 2018, ou tratar o Arizona como se nenhuma reforma tivesse se seguido à conclusão do NTSB.

Os controles federais de evidências também mudaram. A Ordem Geral Permanente da NHTSA sobre notificação de acidentes, emitida pela primeira vez em 2021 e posteriormente alterada, exige que entidades ADS e Nível 2 identificadas relatem acidentes qualificados. A NHTSA pode usar esses relatórios para acompanhamento, investigação de defeitos e fiscalização. A ordem melhora a pontualidade e a comparabilidade em relação à notificação ad hoc. No entanto, opera após um acidente ou incidente relatável; não é um substituto para a avaliação prospectiva de um plano de teste em via pública.

Na data de acesso do artigo, a página de recomendações abertas do NTSB da NHTSA ainda listava H-19-47 e H-19-48. A resposta da agência em março de 2020 pediu que fossem tratadas como respostas aceitáveis abertas, confiando em avaliações voluntárias e iniciativas relacionadas. A conclusão defensável não é que a supervisão federal ficou parada; a notificação obrigatória de acidentes é substancial. É que a submissão obrigatória pré-teste e a avaliação federal substantiva, os controles específicos solicitados pelo NTSB, não foram mostrados como concluídos pela própria lista de recomendações abertas da agência.

A responsabilidade legal resolveu um caso, não a arquitetura

O processo criminal do operador é importante porque rejeita uma narrativa em que a automação removeu todo o dever humano. O grande júri acusou homicídio culposo negligente em 2020. A confissão posterior substituiu o risco do julgamento por uma condenação acordada por colocação em perigo e liberdade condicional supervisionada. O anúncio do Procurador do Condado de Maricopa em 2023 enfatiza a responsabilidade de uma pessoa ao volante, apesar da tecnologia disponível.

Essa resolução tem limites. Uma confissão de culpa não estabelece todas as alegações factuais da acusação anterior. Não julga o design técnico, a razoabilidade da gestão da ATG, o dever regulatório do Arizona ou uma alocação hipotética de culpa civil. Também não converte um fator contribuinte do NTSB em um elemento criminal. Usar o caso como prova de que apenas o operador importava excederia o registro judicial.

O erro inverso seria tratar o relatório do NTSB como um veredito de responsabilidade corporativa. O Conselho determina a causa provável e emite recomendações de segurança. Não concede danos e seu processo não é um julgamento adversarial. Suas conclusões sistêmicas são autoritativas para a análise de segurança de transporte, mas não provam por si mesmas uma ofensa criminal ou reivindicação civil.

Há um problema mais amplo de responsabilidade quando a visibilidade legal se concentra no último ator humano. Um motorista tem um nome, um registro de telefone e um momento preciso de desatenção. As decisões do sistema são distribuídas entre requisitos, versões de software, reuniões de integração, orçamentos de pessoal, revisão de segurança e política estadual. Elas podem ser causalmente importantes sem mapear claramente para uma única ofensa individual. Um regime de responsabilidade maduro deve preservar o dever do motorista enquanto torna as decisões institucionais igualmente rastreáveis.

Isso significa registrar a aprovação nomeada para mudanças críticas de segurança, não atribuir decisões apenas a uma unidade corporativa. Significa reter a análise de perigos que justificou o AEB desativado, a validação que apoiou a supressão de ação, as evidências de desempenho para a equipe de um único operador, a taxa de revisão do vídeo de atenção e a base estadual para permitir a exposição em vias públicas. Sem esses registros, o direito penal pode resolver a conduta pessoal enquanto o aprendizado do sistema permanece incompleto.

O impacto se estendeu além da colisão

O impacto direto foi irreversível: Herzberg foi morta. A análise pública não deve transformá-la em um cenário de teste ou reduzir o evento a um marco técnico. Ela era uma pessoa usando uma via pública que não havia consentido em fazer parte da validação de um sistema em desenvolvimento. O fato de ela ter atravessado fora de uma faixa de pedestres e que a toxicologia apoiava possível deficiência pertence ao registro causal, como o NTSB concluiu. Isso não transfere o controle sobre as salvaguardas da Uber para ela.

Sua família enfrentou perda e um longo processo público no qual vídeo, toxicologia, software e conduta do motorista foram repetidamente examinados. As fontes oficiais primárias usadas aqui não fornecem uma medida pública confiável do dano econômico ou não econômico total da família, e nenhum valor deve ser inventado. A fatalidade não se torna mais precisa anexando uma estimativa monetária não suportada.

A operadora enfrentou processo criminal, confissão de culpa e liberdade condicional. Outros motoristas de segurança herdaram uma profissão mudada: mais treinamento e monitoramento, mas também evidências mais claras de que supervisionar a automação pode produzir exposição legal pessoal. Os empregadores que chamam alguém de fallback devem divulgar as limitações reais, treinar para emergências raras, medir a atenção e dar à pessoa autoridade e redundância suficientes para desempenhar o papel.

A Uber ATG interrompeu os testes públicos, perdeu a permissão para operar no Arizona, incorreu em trabalho de investigação e redesenho e reduziu a escala e a velocidade de seu programa retomado. A declaração de registro da Uber arquivada antes de sua oferta pública divulgou o acidente fatal e o risco de que falhas de veículos autônomos pudessem criar responsabilidade, escrutínio e danos à reputação. O S-1 arquivado na SEC é uma divulgação da empresa aos investidores, não prova independente de segurança, mas confirma que as consequências se tornaram risco corporativo material.

O papel da Volvo exigia clareza porque o veículo carregava sua arquitetura base enquanto a ATG controlava o sistema em desenvolvimento. Em sua submissão de parte ao NTSB, a Volvo enfatizou o desafio de fatores humanos de manter um motorista supervisor pronto como fallback. Uma submissão de parte defende a posição da parte e não deve ser tratada como uma conclusão do Conselho. É evidência útil de que o fabricante do veículo base reconheceu a prontidão do fallback como uma questão de design, não apenas uma questão de caráter do operador.

O Arizona experimentou um custo de legitimidade. O estado havia anunciado seu ambiente de baixa regulação como uma vantagem e depois suspendeu a Uber após a fatalidade. A questão não é que inovação e segurança sejam mutuamente exclusivas. É que a garantia pública enfraquece quando a admissão é fácil, a revisão técnica é opaca e a fiscalização decisiva vem apenas após o dano. Leis posteriores podem melhorar a autoridade, mas a confiança também exige a divulgação do que foi revisado e por que um teste foi permitido.

O setor de veículos autônomos enfrentou maior escrutínio sobre testes em vias públicas, motoristas de segurança e autocertificação voluntária. Esse efeito não pode ser quantificado a partir deste caso sozinho. O investimento em tecnologia, a opinião pública e os cronogramas de implantação respondem a muitos eventos. A inferência suportada é mais estreita: o acidente forneceu evidências concretas de que um ADS em desenvolvimento poderia detectar um usuário da via e ainda assim falhar em produzir uma prevenção oportuna, e que um fallback humano poderia falhar sob uma tarefa de monitoramento inadequadamente gerenciada.

Evidências de reparo: o que mudou e o que as evidências provam

O primeiro controle da ATG foi uma parada. Ela encerrou os testes em vias públicas no dia seguinte ao acidente e não os retomou até dezembro. Uma suspensão impede a recorrência imediata enquanto a investigação e o redesenho ocorrem. Não é, por si só, evidência de que o sistema posterior é seguro.

As mudanças técnicas abordaram diretamente a sequência registrada. A ATG alterou a fusão de sensores e a previsão de trajetória para que as posições anteriores permanecessem relevantes quando a classificação mudasse. O sistema atualizado podia atribuir um objetivo de travessia de meio de quarteirão a um pedestre. Removeu a supressão de ação, permitiu a frenagem para mitigar um acidente mesmo quando a prevenção total era impossível e aumentou o jerk permitido.

Alterou a frequência do radar da ATG e trabalhou com a Volvo na prioridade do comando de frenagem para que o alerta de colisão frontal e o AEB de pedestre pudessem permanecer ativos durante os testes autônomos.

Essas mudanças têm forte ajuste causal. Cada uma mapeia uma camada falha: continuidade, previsão de travessia, resposta atrasada, mitigação de gravidade e frenagem independente. A ATG reproduziu os dados do sensor do acidente através de uma versão de software de setembro de 2018 e relatou que a nova versão teria classificado o pedestre mais cedo, previsto o conflito de travessia e iniciado a frenagem controlada mais de quatro segundos antes do tempo de impacto original. Esta é uma evidência de regressão útil, mas sua fonte e método importam.

Foi uma simulação da ATG relatada aos investigadores, não uma reprodução pública independente com detalhes completos de software, cenário e aceitação.

As mudanças operacionais também corresponderam às conclusões. A ATG restaurou dois especialistas de missão treinados, separou o monitoramento da estrada no banco do motorista de outras funções, expandiu o treinamento sobre distração e manobras de emergência, e adicionou monitoramento de atenção em tempo real por câmera interna. Um desvio de olhar de vários segundos poderia desencadear um alerta no veículo e um relatório do supervisor. O NTSB concluiu que essas medidas começaram a abordar as deficiências de supervisão.

A palavra "começaram" é apropriadamente cautelosa: instalação e procedimento mostram design de controle, enquanto o desempenho de alerta a longo prazo, taxas de falso negativo, resposta do supervisor e comportamento sob pressão mostram eficácia do controle.

O reparo organizacional incluiu um sistema de gerenciamento de segurança com política, gestão de riscos, garantia e promoção; liderança de segurança dedicada; governança de teste revisada; e revisão de liberação mais formal. A submissão de parte da Uber ATG ao NTSB descreveu suas revisões internas e externas e alegou melhorias amplas. Como submissão de empresa, prova o que a ATG representou e quais materiais forneceu, não eficácia independente.

As evidências externas tornaram-se mais fortes depois. A página de resultados investigativos de veículos automatizados atual do NTSB diz que a H-19-52, a recomendação para completar o SMS, foi encerrada em 26 de abril de 2024. O encerramento da recomendação é significativo: o Conselho julgou a ação responsiva do destinatário suficiente para seu propósito de rastreamento. A página também observa que a Uber ATG havia sido adquirida por outro desenvolvedor. O encerramento não é uma certificação de que a unidade original da Uber ainda opera, que cada decisão pré-acidente foi reparada ou que todas as evidências de teste são públicas.

A propriedade mudou o objeto sendo avaliado. A Uber anunciou a venda de seu negócio ATG para a Aurora em dezembro de 2020 e a concluiu em janeiro de 2021. O Formulário 10-K de 2020 da Uber registra a transferência e o relacionamento comercial contínuo. Um controle reparado incorporado na ATG pode ter sido transferido com pessoas e ativos, mudado sob a Aurora ou retirado. As evidências públicas não devem descrever casualmente a Uber de 2026 como operando o mesmo programa de desenvolvimento de Tempe.

A Uber agora atua em parte como uma plataforma integrando parceiros autônomos. Suas diretrizes de segurança para mobilidade autônoma e entrega de abril de 2026 descrevem a avaliação do plano de segurança do parceiro em planejamento, demonstração e operação. Elas pedem relatórios de desempenho e referências de padrões, mas também dizem que a avaliação não prescreve uma métrica e limite para cada parceiro. Isso é evidência de uma estrutura de governança atual, não prova de que um parceiro específico passou em um teste divulgado ou que os controles de Tempe foram reproduzidos independentemente.

O reparo regulatório é igualmente misto. A notificação obrigatória de acidentes dá à NHTSA dados que faltavam em 2018, e o Arizona agora tem estatutos que regem a operação autônoma e a fiscalização. No entanto, a autoavaliação federal de segurança pré-teste permanece voluntária e as recomendações relevantes do NTSB permanecem abertas. A revisão de supervisão de veículos automatizados do GAO, atualizada até março de 2026, continuou a relatar que o DOT carecia de um plano geral atendendo a princípios de planejamento abrangente.

O sistema federal tem mais evidências após incidentes, mas o registro público não mostra um portão de aprovação uniforme para casos de segurança de ADS em desenvolvimento em vias públicas.

Fatos confirmados, inferência apoiada e desconhecidos públicos

Os fatos confirmados são extensos. O ADS detectou Herzberg 5,6 segundos antes do impacto e não identificou uma trajetória de colisão até 1,2 segundos antes do impacto. A classificação mudou repetidamente e o histórico de rastreamento não foi transportado através dessas mudanças. A supressão de ação durou então um segundo. O alerta de colisão frontal e o AEB de fábrica foram desativados no modo autônomo. O operador estava transmitindo vídeo e olhou para baixo durante a aproximação crítica. A ATG removeu um segundo operador e raramente revisava as imagens da câmera interna.

O NTSB identificou a distração do operador como causa provável e a cultura de segurança, avaliação de risco, supervisão e controles de complacência da ATG como fatores contribuintes. O Arizona suspendeu os testes, a ATG parou e depois retomou sob condições alteradas, e a operadora acabou se declarando culpada de colocação em perigo.

Também é confirmado que a ATG alterou os controles técnicos e operacionais relevantes. O NTSB documentou a reativação dos sistemas de segurança do veículo base compatíveis, alteração da previsão de trajetória, remoção da supressão, adição de frenagem de mitigação, restauração de um segundo operador, adição de monitoramento de atenção em tempo real e desenvolvimento de um SMS. O NTSB posteriormente encerrou a H-19-52. A NHTSA agora exige relatórios de acidentes ADS qualificados. O Arizona promulgou disposições para veículos autônomos. A Uber vendeu a ATG para a Aurora.

Várias conclusões são inferências apoiadas em vez de fatos diretamente observados. Reter o histórico de rastreamento e tratar a travessia de meio de quarteirão como um objetivo possível deve reduzir a falha específica de percepção e previsão vista em Tempe porque essas mudanças visam seu mecanismo. O AEB independente e a remoção da supressão devem melhorar a oportunidade de mitigação. Dois operadores e alertas de atenção em tempo real devem reduzir a chance de que um longo olhar derrote todo o fallback. O NTSB e a simulação da ATG apoiam essas proposições, mas o público não pode calcular a redução exata do risco.

É uma inferência apoiada que a remoção do segundo operador exigia um caso de segurança de mudança mais forte do que o registro público mostra. O NTSB encontrou aumento de carga de trabalho e redução de redundância, e encontrou avaliação de risco inadequada. Isso não prova o motivo comercial para a mudança de pessoal ou identifica todos os gerentes que a aprovaram. O registro público não estabelece se custo, escala da frota, confiança no tablet ou outro fator dominou a decisão.

Detalhes técnicos importantes permanecem desconhecidos publicamente. O código-fonte completo, parâmetros do modelo, dados de treinamento, distribuições de falsos positivos, corpus de simulação, critérios de liberação e resultados completos de testes de cenário não estão no dossiê. O público não pode reproduzir a reprodução do software atualizado ou inspecionar todos os casos em que o sistema revisado freou desnecessariamente.

Não pode verificar a sensibilidade do monitor de atenção em diferentes condições de iluminação, óculos, pose da cabeça e diversidade do operador, ou determinar com que frequência os supervisores agiram com base em seus relatórios.

O registro completo de decisões internas também não está disponível. Os materiais públicos não nomeiam todos os aprovadores para o AEB desativado, supressão de ação, limites de frenagem, equipe de um operador ou liberação em vias. Não expõem todas as divergências, aceitação de riscos, pressão de cronograma ou escalação. A ausência dessa evidência não é prova de motivo impróprio; limita a atribuição.

A durabilidade do reparo é parcialmente incognoscível porque a organização mudou de propriedade. O encerramento do NTSB estabelece uma resposta aceita à H-19-52, enquanto a venda de 2021 significa que as evidências operacionais posteriores pertencem a uma estrutura corporativa diferente. A estrutura atual de plataforma da Uber não pode ser usada como uma simples continuação dos controles pós-acidente da ATG. O desempenho posterior da Aurora não pode ser atribuído automaticamente à Uber, e a governança atual de parceiros da Uber não valida o programa de 2018.

O impacto agregado não é público. Os registros oficiais usados aqui não quantificam toda a perda familiar, consequência para funcionários, custo do programa, impacto municipal ou atraso em todo o setor. Eles não suportam um total em dólares único. Tampouco estabelecem como a aceitação pública teria evoluído sem o acidente.

As evidências públicas não podem provar um contrafactual sem acidente com certeza. Um operador atento provavelmente poderia ter evitado ou mitigado o impacto, de acordo com os testes do NTSB. O software atualizado da ATG supostamente teria freado muito mais cedo na reprodução. Essas são conclusões fortes e limitadas. Elas não estabelecem exatamente onde Herzberg ou o veículo teriam parado em cada variação plausível, ou que nenhuma falha diferente teria ocorrido.

Contrafactuais: onde um controle anterior poderia ter quebrado a cadeia

O contrafactual mais imediato é um operador atento. A análise de distância de visão e frenagem do NTSB suporta uma janela provável de prevenção ou mitigação após o SUV entrar no segmento reto da estrada. Este é o contrafactual individual mais forte porque usa geometria medida e frenagem do veículo. Ainda assim, não justifica tornar a atenção o único caso de segurança.

Um segundo contrafactual é o monitoramento ativo do operador. Se a câmera interna tivesse sido conectada a um alerta ao vivo confiável antes do acidente, os olhares para baixo repetidos e às vezes muito longos do operador poderiam ter desencadeado intervenção mais cedo na viagem. Um supervisor poderia ter avisado ou removido ela, ou o sistema poderia ter exigido uma parada segura. Isso é apoiado pelo padrão nas imagens gravadas e pela forma do controle posterior da ATG. O limite exato do alerta e o resultado da resposta permanecem desconhecidos.

Um terceiro é a retenção do segundo operador. Um operador no banco do passageiro poderia ter gerenciado a notação, notado o olhar do motorista ou identificado o perigo de travessia. O NTSB tratou a segunda pessoa como redundância perdida e a ATG restaurou a função. Não se pode presumir que qualquer segunda pessoa teria permanecido atenta ou intervindo a tempo. O contrafactual é que dois canais de atenção independentes reduzem o risco de ponto único, não que duas pessoas garantam segurança.

Um quarto começa no software. Se a identidade do objeto e o movimento anterior tivessem persistido através das mudanças de classificação, a travessia constante observada poderia ter influenciado a previsão de trajetória antes de 1,2 segundos. A lógica alterada da ATG e a reprodução apoiam essa inferência. Uma arquitetura robusta também testaria classificações incertas ou variáveis de forma conservadora: um objeto desconhecido em movimento perto de uma trajetória alcançável deve reter potencial de colisão mesmo que seu rótulo semântico seja instável.

Um quinto diz respeito ao controle de emergência. Remover o intervalo de supressão de um segundo teria preservado o escasso tempo de resposta uma vez que o perigo foi identificado. Permitir a frenagem máxima viável para mitigação poderia ter reduzido o impacto mesmo quando a prevenção total não era mais possível. O AEB da Volvo reativado poderia ter fornecido um alerta ou freio independente. O registro público não contém uma reconstrução completa de como o AEB de produção teria classificado esta travessia exata com os sensores da ATG operando, portanto, alegações de prevenção certa seriam fortes demais.

Um sexto é a velocidade de teste mais baixa. A ATG reiniciou a 25 mph em vez do limite operacional de 45 mph em Tempe. Velocidade mais baixa reduz a distância de parada e a energia do impacto e dá mais tempo ao humano. Também pode alterar a representatividade da rota e atrasar os testes em condições de velocidade mais alta. Uma expansão responsável exigiria evidências em etapas: provar detecção, previsão, mitigação e retomada em velocidade mais baixa, depois aprovar velocidade mais alta apenas quando limites baseados em cenário forem atendidos.

Um sétimo contrafactual move-se para fora da empresa. Uma aplicação do Arizona focada em segurança poderia ter exigido que a ATG divulgasse o AEB base desativado, os limites de frenagem de emergência, a supressão de um segundo, a carga de trabalho de operador único e o plano de monitoramento de atenção. Um painel de especialistas poderia ter exigido mudanças ou confinado os testes. Esse resultado é plausível porque essas são exatamente as salvaguardas que o NTSB destacou posteriormente. Não é certo que um revisor teria descoberto todas as interações ou negado a rota.

Um oitavo é a avaliação federal. A submissão obrigatória de VSSA e a revisão substantiva da NHTSA poderiam ter criado um mínimo nacional e apoiado as decisões estaduais. Os limites são reais: uma autoavaliação de alto nível pode não revelar falha no nível da fonte, e os reguladores precisam de pessoal qualificado e critérios de teste para desafiá-la. Um portão de documento sem evidências e experiência pode se tornar teatro de conformidade. O contrafactual útil é uma revisão vinculada a perigos, resultados de validação, registros de mudanças e condições executáveis.

O contrafactual final diz respeito à autoridade de parada. Qualquer engenheiro, operador ou supervisor que veja um perigo não mitigado deve ser capaz de pausar os testes sem penalidade de cronograma. As evidências públicas não identificam um funcionário pré-acidente específico que levantou e perdeu tal desafio. A lição é estrutural: autoridade de parada de trabalho, relato protegido e aprovação de segurança independente tornam mais provável que sinais fracos interrompam a implantação antes que a estrada forneça a prova.

Um teste de responsabilidade durável para direção automatizada em desenvolvimento

O primeiro teste é um mapa de controle nomeado. Para cada função dinâmica de direção e modo de falha, o desenvolvedor deve identificar o componente do sistema, o papel humano e o gerente com autoridade. Detecção, classificação, rastreamento, previsão, frenagem, fallback, suporte remoto, monitoramento do operador e ligação com o estado precisam de proprietários. Responsabilidade compartilhada sem direitos de decisão nomeados torna-se risco sem dono.

O segundo teste é a continuidade do perigo através dos limites do software. Quando a classificação muda, a incerteza e o histórico de movimento não devem desaparecer. A validação deve incluir usuários da via incomuns, pessoas fora de locais de travessia esperados, oclusão parcial, pouca luz e objetos cuja classe semântica permanece incerta. O requisito de segurança não é apenas rotulagem correta; é resposta conservadora a colisão sob incerteza.

O terceiro teste é a mitigação independente. Uma pilha em desenvolvimento não deve deixar um único humano como a única camada de emergência eficaz quando uma colisão se torna inevitável. O AEB do veículo base, um monitor independente, um kernel de segurança ou outro caminho diverso deve reter autoridade para alertar, desacelerar ou parar. Se a integração desativa uma salvaguarda de produção, uma substituição documentada equivalente ou mais forte deve ser exigida antes dos testes em vias públicas.

O quarto teste é o desempenho humano realista. O caso de segurança deve modelar o declínio da vigilância, a complacência da automação, o comportamento do olhar, a carga de trabalho, o tempo de retomada e as violações de regras. Treinamento e política permanecem necessários, mas nenhum conta como redundância independente. A duração do turno, a monotonia da rota, a demanda de desvio de olhar da HMI e o design do alerta devem ser testados sob longas execuções sem eventos seguidas de perigos raros.

O quinto teste é a garantia ativa de atenção. Câmeras internas e telemetria devem produzir alertas definidos, lógica de parada segura, resposta do supervisor, treinamento e critérios de remoção. O desenvolvedor deve medir detecção perdida e alertas incômodos, não apenas anunciar a instalação. A retenção de privacidade e os controles de acesso devem ser explícitos porque o sistema grava os trabalhadores continuamente.

O sexto teste é o controle de mudanças críticas para a segurança. Remover um segundo operador, alterar a velocidade, desativar o AEB ou mudar a lógica de supressão deve desencadear uma nova análise de perigos e aprovação independente. O registro deve declarar a salvaguarda anterior, substituição, evidência, risco residual, aprovador, prazo de validade e condição de reversão. Eficiência operacional não é evidência de segurança equivalente.

O sétimo teste é a validação baseada em cenários antes da exposição pública. O trabalho em circuito fechado e simulação deve cobrir condições extremas previsíveis e falhas combinadas, com limites de aprovação claros e rastreabilidade de versão. A reprodução do acidente é um teste de regressão útil, mas uma organização também deve testar cenários adjacentes que poderiam derrotar a correção. Passar um caso histórico pode ajustar demais uma resposta de segurança tão facilmente quanto um modelo.

O oitavo teste são evidências de campo conscientes da exposição. Os desenvolvedores devem publicar milhas por domínio de design operacional, definições de desengajamento e intervenção, categorias de acidentes e quase acidentes, alertas de atenção, horas do motorista de segurança e mudanças materiais de software. Contagens sem denominador ou mistura de cenários enganam. Detalhes técnicos confidenciais podem ser protegidos enquanto ainda divulgam o suficiente para análise de tendências independente.

O nono teste é a autoridade pública prospectiva. Uma aplicação estadual deve identificar a área de teste, velocidades, configuração do veículo, fallback, plano do operador, suporte remoto, resposta a incidentes e evidências que apoiam a liberação. Um grupo multidisciplinar qualificado deve revisá-la, impor condições e reexaminar a aprovação após mudanças críticas de segurança. A revisão federal deve fornecer uma linha de base consistente, em vez de deixar cada estado inferir a adequação de documentos voluntários de nível de marketing.

O décimo teste são evidências de incidentes e escalação. A notificação de acidentes deve preservar dados de sensor, controle, vídeo, operador, versão de software e decisão em relógio comum. Quase acidentes e violações de atenção devem alimentar o mesmo processo de aprendizado. A ordem permanente da NHTSA melhora a visibilidade de acidentes, mas as organizações não devem esperar por uma colisão relatável para investigar indicadores principais.

O décimo primeiro teste é a garantia independente. Simulação interna e documentos de política mostram intenção. Avaliadores externos, reguladores e testes reproduzíveis fornecem evidências mais fortes. Os relatórios de garantia devem explicar escopo, exclusões, testes falhados e perigos não resolvidos. O encerramento de uma recomendação é significativo, mas não deve ser estendido além da ação específica avaliada.

O décimo segundo teste é a continuidade através da mudança corporativa. Quando um programa é vendido, reorganizado ou integrado a uma plataforma, os casos de segurança, registros de perigos, ativos de validação, registros de incidentes e obrigações abertas devem ser transferidos com propriedade clara. O público deve ser capaz de distinguir os reparos do desenvolvedor original dos controles de um sucessor e dos requisitos de parceiro de uma plataforma. Caso contrário, a responsabilidade se dissolve quando o organograma muda.

Tempe continua sendo um caso definidor porque todas as principais camadas deixaram evidências. Os sensores detectaram o usuário da via. O software mudou repetidamente o que essa detecção significava. A lógica de emergência consumiu tempo e reteve uma mitigação mais forte. As salvaguardas de colisão do veículo base estavam indisponíveis. O único operador estava distraído. Os dados de monitoramento existiam, mas raramente eram usados. Um segundo operador havia sido removido. O gerenciamento de segurança era imaturo. A admissão estadual carecia de uma revisão técnica focada em segurança.

A responsabilidade do operador é confirmada, não apagada, por esse relato do sistema. A lição institucional é que uma pessoa não pode ser rotulada como camada de segurança e depois tratada como independente do design. Quem torna o humano o fallback controla a carga de trabalho, informação, autoridade, monitoramento, redundância e tempo disponível para esse humano. Quem permite testes públicos controla o limiar de evidências antes que os usuários involuntários da via suportem o risco residual.

O reparo, portanto, exige mais do que um modelo melhor ou uma regra de telefone mais rígida. Exige uma cadeia auditável na qual a percepção incerta permaneça conservadora, a frenagem de emergência possa mitigar, os limites humanos sejam incorporados ao caso de segurança, as mudanças recebam revisão independente, as autoridades examinem as evidências antes da exposição e cada correção reivindicada seja testada em todo o sistema de fallback. O padrão não é que nenhum veículo em desenvolvimento possa falhar. É que nenhuma fraqueza conhecida é silenciosamente transferida para uma pessoa, uma salvaguarda desativada ou um público desinformado.