Смертельная авария Uber в Темпе сделала водителя безопасности проверкой системной ответственности

Резюме

• 18 марта 2018 года разрабатываемая автоматизированная система вождения Uber, управлявшая модифицированным Volvo XC90, сбила и убила Elaine Herzberg в Темпе, штат Аризона. Система впервые обнаружила её за 5,6 секунды до столкновения, но неоднократно меняла классификацию, отбрасывала полезную историю сопровождения после переклассификации и определила, что она находится на пути автомобиля, лишь за 1,2 секунды до удара.
• Единственный оператор автомобиля транслировала телевизионную программу на личном телефоне и не смотрела на дорогу около пяти из последних шести секунд. Национальный совет по безопасности на транспорте установил, что вероятной причиной стало невыполнение ею обязанностей по контролю. Совет также установил, что этому способствовали неадекватная оценка рисков в Uber ATG, неэффективный надзор за операторами и отсутствие мер против самоуспокоенности при автоматизации — всё это следствия недостаточной культуры безопасности.
• Человек не был лишь независимой причиной вне системы. Uber ATG полагалась на оператора как на основную контрмеру, когда чрезвычайная ситуация выходила за пределы спецификаций автоматического торможения, а система предупреждения о лобовом столкновении и автоматического экстренного торможения Volvo была отключена в автономном режиме. Примерно за пять месяцев до аварии ATG объединила обязанности двух операторов в одну роль и редко просматривала видео из салона, которое могло бы выявить отвлечение внимания.
• Аризона приветствовала автономные испытания без специального разрешения. NTSB установил, что надзор штата был недостаточным, и рекомендовал перед началом испытаний подачу заявки, ориентированной на безопасность, и экспертную оценку. Позднее законодательство Аризоны ввело положения об уведомлении, сертификации, правоприменении и взаимодействии с правоохранительными органами, однако видимая система по-прежнему в значительной мере опирается на заявления оператора или компании, а не на публикацию независимого подтверждения безопасности для конкретного случая.
• Данные об исправлениях существенны, но ограничены. ATG вернула двух операторов, добавила мониторинг внимания в реальном времени, изменила прогнозирование траектории, убрала логику подавления действий на одну секунду, снова включила совместимые предупреждения о столкновении и экстренное торможение Volvo, снизила скорость испытаний на дорогах общего пользования и построила систему управления безопасностью. NTSB закрыл свою рекомендацию бывшей ATG в 2024 году, после того как подразделение было продано Aurora. Закрытие не воспроизводит каждый результат валидации и не доказывает, как первоначальная организация работала бы сегодня.
• По состоянию на 15 июля 2026 года сохранялись заметные пробелы в управлении. Предписание NHTSA об отчётности о ДТП обеспечивает обязательные данные об инцидентах и рычаги правоприменения, однако рекомендации NTSB требовать и оценивать добровольные самооценки безопасности до испытаний остаются в открытом списке NHTSA. Поэтому устойчивая проверка состоит в том, может ли разработчик доказать цепочку резервных мер до того, как подвергать риску общественность: независимое экстренное управление, реалистичные допущения о человеческих возможностях, активные средства контроля внимания, контролируемое согласование изменений, проверка на уровне штата и федерации и проверяемые доказательства из сценариев, которые нагружают все уровни одновременно.

Противопоставление водителя и системы не проходит проверку на контроль

Страница расследования NTSBпрямо излагает официальный вывод о причинах. Вероятной причиной стало невыполнение оператором автомобиля обязанностей по контролю за дорожной обстановкой и автоматизированной системой вождения, поскольку она была визуально отвлечена личным телефоном. В том же выводе указаны сопутствующие факторы внутри Uber ATG: неадекватная оценка рисков безопасности, неэффективный надзор за операторами и отсутствие адекватного механизма противодействия самоуспокоенности при автоматизации. Дополнительными сопутствующими факторами стали небезопасный переход пешехода вне перехода и её нетрезвое состояние, а также недостаточный надзор со стороны Департамента транспорта Аризоны.

Эти выводы не делятся аккуратно на одного виновного человека и одну нейтральную машину. Разрабатываемый автоматизированный автомобиль — это социально-техническая испытательная операция. Его обоснование безопасности включает датчики, программное обеспечение восприятия, планирование движения, логику торможения, системы базового автомобиля, ограничения маршрута и скорости, человеко-машинный интерфейс, оператора, надзор, контроль изменений, разбор инцидентов и разрешение на использование дороги общего пользования.

Если разработчик поручает аварийное восстановление человеку, вероятные результаты работы этого человека при длительном пассивном наблюдении становятся входным параметром проектирования.

Если разработчик убирает второго человека или отключает независимый тормоз, оставшийся оператор несёт больше риска, независимо от того, запрещает ли внутренняя политика телефоны.

Именно поэтому это дело — проверка подотчётности, а не спор о том, какой отдельный элемент вызвал отказ в последнюю секунду. Уголовное право, расследование безопасности NTSB, корпоративное управление безопасностью и регулирование транспортных средств отвечают на разные вопросы.Итоговый отчёт NTSB HAR-19/03— это отчёт о выяснении фактов, а не судебное решение о распределении гражданского ущерба или уголовной вины. Уголовное дело может установить правовую ответственность оператора, не подтверждая архитектуру системы ATG. Исправленная версия программного обеспечения может улучшить обработку объектов, не доказывая, что надзор и разрешение на дороги общего пользования были адекватными.

Каждый вывод должен оставаться в пределах полномочий и доказательств своего источника.

Распределение последствий делает эту дисциплину необходимой. Herzberg погибла. Её семья и сообщество понесли вред, который они не контролировали. Оператор столкнулась с уголовным преследованием и годами публичного внимания. Водителям безопасности поручали задачу наблюдения с низкой частотой событий и высокими последствиями. Инженеры, менеджеры, Volvo, Uber, ведомства Аризоны, федеральные регуляторы, а позднее и разработчики автономных транспортных средств контролировали разные уровни предотвращения. У участников дорожного движения не было практической возможности изучить эти уровни до того, как они оказались в той же испытательной среде.

Поэтому ключевой вопрос подотчётности носит операционный характер: кто и что мог изменить до аварии? Uber ATG могла изменить логику классификации и прогнозирования, экстренное реагирование, скорость испытаний, штатное расписание, обучение, просмотр видео и критерии выпуска. Volvo и ATG совместно контролировали интеграцию, которая отключила заводские системы предотвращения столкновений. Оператор контролировала внимание, рулевое управление и торможение во время поездки. Аризона контролировала условия, на которых испытания проводились на её дорогах.

NHTSA контролировала федеральные полномочия в отношении дефектов и рекомендации, но не утверждала заранее обоснование безопасности ATG.

Пешеход контролировала, где и когда переходить дорогу, но не конструкцию приближающейся системы и не разрешение на испытания. Последствия пересекались; контроль — нет.

У кого был фактический контроль

Uber ATG обладала наиболее широким прямым контролем над испытательной операцией. Её программное обеспечение обнаруживало объекты, присваивало классификации, прогнозировало движение, планировало траекторию и выдавало команды рулевого управления и торможения. Её менеджеры выбирали область эксплуатационного проектирования, включая картографированные маршруты, условия освещения и погоды, а также максимальную скорость испытаний.

Её операционная организация нанимала и обучала операторов, писала политики использования телефонов и вождения, решала, будет ли в автомобиле один или два человека, хранила видео из салона и определяла, как часто руководители будут его просматривать.

Её структура безопасности и руководства определяла, будут ли опасности выявлены до выпуска на дороги общего пользования.

Отчёт NTSB об автоматизации транспортных средствуказывает конкретную платформу Krypton и версию программного обеспечения, установленные на автомобиле, попавшем в аварию. В нём также зафиксировано, что система должна была работать автономно только на обозначенных картографированных маршрутах, пока человек контролировал и систему, и окружающую обстановку. Это разделение важно: ADS выполняла задачу вождения до тех пор, пока у неё не оказывалось адекватного ответа, а человек должен был обнаружить отказ и быстро взять управление на себя.

Оператор контролировала немедленный ручной резерв. Инструкции ATG требовали следить за дорогой, держать руки над рулевым колесом и ногу над педалью тормоза, отмечать необычные события и вмешиваться в чрезвычайных ситуациях. Оператор также контролировала личный телефон и нарушила правило, запрещающее его использование. Данные телефона и приложений показали, что видео транслировалось на протяжении всей поездки. Её последний взгляд вниз устранил последний доступный человеческий отклик в критический интервал. Признание этой роли не означает отношение к оператору как к неограниченной гарантии от предсказуемых ограничений системы.

Менеджеры ATG контролировали условия, в которых этот резерв должен был работать.Фактологический отчёт по эксплуатационным факторампоказывает, что существовала письменная политика, запрещающая телефоны, и что нарушение могло привести к увольнению. Он также показывает слабые места контроля за этим правилом: политика не была самостоятельным документом, у ATG не было записи о том, что эта оператор лично подтвердила её, а надзор не превращал сохранённые записи камеры в салоне в регулярные проверки. Политика устанавливает стандарт. Она не является рабочим средством защиты, пока обучение, наблюдение, эскалация и последствия не делают соблюдение видимым.

Volvo контролировала исходный автомобиль и его серийные системы безопасности, а ATG контролировала их интеграцию с разрабатываемым стеком в рамках соглашения с участием обеих компаний. Заводской автомобиль имел предупреждение о лобовом столкновении и автоматическое экстренное торможение. Эти функции были активны в ручном режиме, но автоматически отключались в автономном режиме. В материалах NTSB указано, что одновременная работа считалась несовместимой, поскольку радары ATG и Volvo могли создавать помехи, а модуль тормозов не был рассчитан на приоритизацию двух команд торможения. Это не была загадочная поломка компонента в ту ночь.

Это было известное интеграционное решение, которое устранило один независимый уровень вмешательства, пока работала ADS.

Аризона контролировала допуск на дороги общего пользования.Исполнительный приказ штата 2015 годатребовал лицензированного оператора, способного взять управление на себя, подтверждение финансовой ответственности и соблюдение правил дорожного движения, а также создавал наблюдательный комитет. Однако взаявлении ADOT от декабря 2016 года, приветствовавшем Uber, говорилось, что специальных разрешений или лицензий для автономных испытаний не требуется. Таким образом, штат установил общие условия без предварительной технической оценки анализа опасностей ATG, архитектуры резервных мер или плана мониторинга операторов.

NHTSA контролировала федеральные полномочия в отношении дефектов автомобилей и национальные рекомендации. В то время её политика ADS 2.0 была прямо добровольной.Официальная страница ADS 2.0поясняет, что разработчику не нужно было подавать самооценку, ждать одобрения или соответствовать новому механизму соблюдения требований до испытаний. Федеральные органы могли реагировать на необоснованный дефект безопасности, но рекомендации не были предварительным одобрением этой разрабатываемой испытательной системы.

Наконец, ни Herzberg, ни другие участники дорожного движения не контролировали ни одно из этих решений о безопасности. Дорога общего пользования была частью среды валидации, однако человек, встретивший такой автомобиль, не мог знать его предел экстренного торможения, была ли активна заводская AEB, как часто контролировали оператора и оспорил ли независимый эксперт устранение резервирования. Эта асимметрия — самый сильный аргумент в пользу проверяемого публичного подтверждения безопасности до испытаний, а не только расследования после вреда.

Хронология: политика, эксплуатационные изменения и последние секунды

Правовая база Аризоны появилась до прихода Uber. Исполнительный приказ 2015-09 поощрял испытания и устанавливал базовые требования к операторам и страхованию. В декабре 2016 года, после того как спор остановил испытания Uber в Калифорнии, Аризона публично подчеркнула, что не требует специального разрешения на автономные испытания. Штат стремился привлечь инвестиции и техническое развитие, в значительной мере полагаясь на общие правила для транспортных средств и ответственность разработчика.

Первоначально Uber ATG использовала двух человек в каждом испытательном автомобиле. Один следил за дорогой и готовился взять управление, другой фиксировал поведение системы и окружающую обстановку. Примерно за пять месяцев до смертельной аварии ATG внедрила планшетный интерфейс и объединила эти обязанности в одну роль оператора. NTSB установил, что интерфейс снизил сложность регистрации событий, но одному человеку по-прежнему приходилось следить за дорогой, контролировать ADS, быть готовым к чрезвычайной ситуации и иногда отводить взгляд для работы с планшетом.

Удаление второго оператора также устранило человека, который мог обнаружить опасность, напомнить водителю об обязанностях или создать второй канал внимания.

Это изменение следует рассматривать вместе с архитектурой системы. В автономном режиме заводское предупреждение о лобовом столкновении и экстренный тормоз были неактивны. ADS от ATG ограничивала резкое торможение и использовала интервал подавления действий для защиты от ложноположительных опасностей. Если система считала, что столкновения уже нельзя избежать в пределах её ограничений по торможению и рывку, конструкция не применяла максимальное торможение только для уменьшения тяжести удара. Ожидалось, что она предупредит оператора и начнёт постепенное замедление. Таким образом, оператор был не одной из нескольких равноценных защит.

В важных чрезвычайных случаях оператор был основной последней защитой.

1 марта 2018 года Аризона издалаИсполнительный приказ 2018-04, расширив рамки автономной эксплуатации с человеком в автомобиле и без него и назвав общественную безопасность приоритетом. Приказ требовал соблюдения применимых законов, перехода в состояние минимального риска после отказа ADS для беспилотной эксплуатации, страхования и плана взаимодействия с правоохранительными органами. Он не требовал, чтобы независимая техническая комиссия одобряла обоснование безопасности испытаний разработчика до выхода на дорогу.

В воскресенье 18 марта модифицированный Volvo XC90 2017 года начал соответствующую испытательную поездку в Темпе. Дорога была сухой и освещалась уличными фонарями. Автомобиль проходил второй круг по установленному маршруту и находился в автономном режиме примерно 19 минут, когда приблизился к авеню Милл в северном направлении со скоростью около 45 миль в час. Herzberg начала переходить дорогу от центральной разделительной полосы вне пешеходного перехода, ведя велосипед.

ADS впервые обнаружила её радаром за 5,6 секунды до удара на скорости около 44 миль в час. Сначала она классифицировала отражённый сигнал как автомобиль и не отнесла его к траектории внедорожника. Затем лидар классифицировал его как неизвестный объект, а затем как автомобиль. В интервале от 3,8 до 2,7 секунды до удара классификация менялась между «автомобиль» и «другое». При каждой смене классификации система не переносила историю сопровождения объекта, ослабляя прогноз траектории. За 2,6 секунды она классифицировала объект как велосипед, но сначала считала его статичным и находящимся вне траектории внедорожника.

За 1,5 секунды до удара классификация снова стала «неизвестный». Объект частично находился на полосе внедорожника, и ADS спланировала путь вокруг него. За 1,2 секунды классификация лидара снова изменилась на «велосипед», и прогнозируемая траектория наконец заняла полосу внедорожника. Прежний план рулевого управления больше не был выполним. Ситуация стала опасной, и начался односекундный интервал подавления действий. За 0,2 секунды до удара подавление закончилось, и ADS сформировала замедление и звуковое предупреждение.

В материалах NTSB не удалось определить, позволила ли небольшая задержка связи начать замедление до того, как оператор взяла управление на себя.

Оператор смотрела вниз около пяти из последних шести секунд.Фактологический отчёт о человеческом факторедокументирует её обучение, обязанности, направление взгляда и данные телефона. За всю поездку она смотрела на нижнюю центральную консоль 34 процента времени. На первом круге на том же участке дороги один взгляд вниз длился 26,5 секунды. На финальном приближении она подняла взгляд примерно за секунду до столкновения и повернула руль влево за 0,02 секунды до удара. Она затормозила только после удара.

Такая хронология не доказывает, что человек должен был отреагировать на первый сигнал радара. NTSB проанализировал геометрию и обычное поведение при осмотре дороги и отметил, что даже внимательный оператор мог не заметить Herzberg за 5,6 секунды, пока внедорожник выходил из поворота. Однако когда автомобиль оказался на прямом участке за 3,9 секунды до удара, она попала бы в нормальное поле зрения внимательного водителя. Тормозные испытания подтвердили окно примерно от двух до четырёх секунд для обнаружения и начала реакции. NTSB пришёл к выводу, что внимательный оператор, вероятно, мог избежать столкновения или снизить его тяжесть.

Авария произошла в 21:58. Herzberg погибла на месте; оператор не пострадала. Механический осмотр не выявил серьёзных дефектов в базовой тормозной системе, освещении, подвеске, электрических системах, колёсах или шинах. ADS не сообщала о неисправностях датчиков или системы во время поездки. Эти отрицательные результаты важны, поскольку сужают объяснение: не случайная механическая поломка, а ожидаемое поведение системы, человеческий фактор и порядок управления испытательной операцией.

19 марта ATG остановила испытания на дорогах общего пользования во всех операционных центрах. 26 марта губернатор Аризоны направил Uberписьмо о приостановке, сохранённое в досье NTSB, поручив ADOT приостановить возможность Uber испытывать и эксплуатировать автономные автомобили на дорогах общего пользования Аризоны. В письме инцидент назван несоответствием ожиданиям штата по безопасности. Это был решительный правоприменительный ответ, но он последовал после разрешительного решения о допуске и после гибели человека.

ATG не возобновляла испытания ADS на дорогах общего пользования до 20 декабря 2018 года, и то лишь на замкнутом маршруте в одну милю в Питтсбурге с ограничением 25 миль в час. Компания изменила технические, эксплуатационные и организационные средства контроля. В ноябре 2019 года NTSB принял итоговый отчёт и рекомендации. Уголовное дело шло отдельно:обвинительное заключение большого жюри 2020 годаобвинило оператора в причинении смерти по неосторожности — это было обвинение, а не приговор. В июле 2023 годаподписанное соглашение о признании винызавершило дело признанием вины в создании опасности, и прокурор округа сообщил о трёх годах условного срока под надзором.

Такое решение устанавливает личную правовую ответственность в рамках соглашения; оно не решает, были ли адекватными средства контроля проектирования и управления ATG.

Техническая причинно-следственная цепь была последовательностью, а не одной пропущенной классификацией

Есть соблазн кратко описать аварию так: автомобиль не увидел пешехода. Это неточно. Его датчики обнаружили объект за несколько секунд до удара. Отказ возник в том, как обнаружения были представлены, классифицированы, перенесены во времени, преобразованы в возможное движение и затем связаны с полномочиями на торможение.

Обнаружение было первым уровнем, и оно сработало. Радар дал первоначальный отражённый сигнал; лидар и камеры дополнили представление об окружающей обстановке. NTSB не обнаружил существенной неисправности датчиков. Проблема не сводилась к «слепоте» датчиков, и одна темнота не объясняет событие. Передняя камера автопарка делала сцену темнее, чем её наблюдали следователи на месте, а анализ дистанции видимости не выявил препятствий, которые помешали бы внимательному оператору увидеть переходящего дорогу пешехода на соответствующем участке приближения.

Классификация была нестабильной. Один и тот же участник дорожного движения переходил между метками «автомобиль», «другое» и «велосипед». Классификация важна, потому что система связывала разные цели с разными классами. Неизвестный объект мог считаться статичным. Велосипеду, обнаруженному на полосе движения, могла быть назначена цель, соответствующая полосе, даже когда наблюдаемый человек пересекал её. Пешеходам вне пешеходного перехода в этой версии программного обеспечения явная цель перехода не назначалась. Таким образом, система закладывала допущения о том, где должен находиться пешеход и как должен двигаться классифицированный объект.

Непрерывность сопровождения ослаблялась архитектурой. При смене классификации система больше не использовала прежнюю историю сопровождения объекта для новой траектории. Физическая непрерывность участника дорожного движения не гарантировала непрерывность в модели. Это означало, что наблюдения за несколько секунд не накапливались в одну надёжную оценку человека, равномерно пересекающего дорогу. Система многократно перезапускала часть своих рассуждений при смене метки.

Прогнозирование превращало эту нестабильную модель в небезопасную оценку траектории. Большую часть приближения объект считался статичным или движущимся по соседней левой полосе. Только за 1,2 секунды ADS поместила объект, классифицированный как велосипед, полностью на полосу внедорожника. К этому моменту объехать его по сформированному плану уже было невозможно.

Экстренное реагирование добавило ещё одну задержку. ATG спроектировала односекундный интервал подавления, чтобы проверить потенциальную опасность, рассчитать альтернативу или дать оператору вмешаться. Само по себе опасение было обоснованным: разрабатываемая система, резко реагирующая на ложные срабатывания, может сама создавать столкновения. Но вопрос безопасности не в том, имело ли значение ложное торможение. Вопрос в том, сохраняла ли комбинированная архитектура безопасный отклик, когда классификация стабилизировалась поздно. В данном случае одна секунда поглотила большую часть оставшегося времени.

Затем ограничения торможения помешали сильному смягчающему отклику. ADS рассматривала ситуации, требующие торможения за пределами заданных спецификаций замедления или рывка, как чрезвычайные, требующие вмешательства человека. Если максимальное торможение в этих пределах не могло избежать столкновения, автоматизированная система не была рассчитана на применение максимального торможения только ради снижения тяжести. Она должна была предупредить и начать постепенное замедление. Никакое значимое автоматическое экстренное торможение не компенсировало позднее прогнозирование.

Базовый автомобиль не мог обеспечить независимое спасение, потому что его предупреждение о лобовом столкновении и AEB были отключены в автономном режиме. Обоснование интеграции включало помехи радаров и нерешённый приоритет между двумя источниками команд торможения. Это реальные инженерные ограничения. Они также создали известный общий эксплуатационный пробел: когда работал стек ATG, серийный уровень безопасности, который иначе мог бы предупредить или затормозить, был недоступен.

Наконец, человеческий резерв не сработал. Оператор смотрела в телефон, ATG не вела наблюдение в реальном времени, второго оператора не было, а ADS не дала полезного предупреждения, пока столкновение фактически не стало неизбежным. Таким образом, причинно-следственная цепь выглядела так: обнаружение без стабильной интерпретации, интерпретация без своевременного распознавания траектории, распознавание, за которым последовало подавление, недостаточное автоматическое смягчение и недоступный человеческий резерв. Ни одно отдельное звено не объясняет весь результат.

Водитель безопасности был частью спроектированной системы

Фраза «водитель безопасности» может скрывать важное решение о распределении функций. От человека ожидали, что он будет сохранять бдительность, пока автоматизация долгое время ведёт машину в обычных условиях, а затем обнаружит редкий отказ и вмешается в течение секунд. Это не обычное ручное вождение. Это контроль над автоматизированной системой, и его осуществимость должна оцениваться с помощью данных о человеческих возможностях.

NTSB пришёл к выводу, что длительное визуальное отвлечение — типичный эффект самоуспокоенности при автоматизации и что люди плохо справляются с ролью наблюдателей за высоконадёжной автоматикой. Эта проблема не оправдывает сознательное использование телефона. Она меняет то, что должен предвидеть ответственный проектировщик. Запрет может сдерживать часть нарушений, но оценка рисков должна исходить из того, что пассивная бдительность ослабевает, редкие отказы трудно обнаружить, а один человек может нарушить правило. Проектирование систем с высокими последствиями не рассматривает полное соблюдение правил как независимый резервный уровень.

До аварии у ATG были полезные данные мониторинга. Камеры, направленные в салон, записывали оператора. Руководители могли просматривать записи на предмет использования телефона, отсутствия рук на органах управления и тенденций внимания. NTSB установил, что такой просмотр был редким. Это различие между сбором данных и контролем. Камера, которая даёт доказательства только после смертельной аварии, — инструмент расследования. Камера, связанная с предупреждениями, выборочными проверками, наставничеством, отстранением и анализом тенденций, — превентивное средство контроля.

Удаление второго оператора усилило риск.Задокументированные обязанности водителя-операторавозлагали на оператора наблюдение за дорогой, вмешательство и регистрацию событий. Планшет снизил нагрузку по регистрации, но не устранил необходимость отводить взгляд. Второй человек мог бы вести записи, перепроверять внимание и действовать как социальное напоминание. Два человека не гарантируют безопасность автоматически, и оба могут отвлекаться, но устранение одного без проверенной замены лишило резерв разнообразия.

Правильный вопрос подотчётности не в том, было ли ATG разрешено повышать эффективность операций. Вопрос в том, какие доказательства поддерживали это изменение. Защитимая запись об изменении должна была бы указать опасность, которую контролировал второй оператор, количественно оценить остаточную нагрузку от нового планшета, проанализировать длительность сохранения бдительности, проверить эффективность перехвата управления после длительных периодов без событий, установить максимальную продолжительность смены и воздействие маршрута, определить пороги внимания и потребовать одобрения независимой функции безопасности.

В публичных материалах NTSB не было обнаружено адекватного процесса оценки рисков безопасности, выполнявшего эту роль до аварии.

Именно поэтому нарушение оператора и ответственность за проектирование системы совместимы. Оператор была обязана следить за дорогой и не делала этого. ATG была обязана оценить, устойчив ли резерв к предсказуемым человеческим ошибкам, и не сделала этого в достаточной мере. Первое объясняет, почему последнее вмешательство человека не удалось. Второе объясняет, почему внимание одного человека стало настолько критической единой точкой отказа.

Культура безопасности превратила отдельные слабости в одно эксплуатационное состояние

Итоговый отчёт не использовал термин «культура безопасности» как расплывчатую критику. Он связал этот термин с отсутствием структуры и неэффективным исполнением. На момент аварии у ATG не было корпоративного плана безопасности, распределяющего ответственность за риски между подразделениями, не было отдела безопасности и не было выделенного менеджера по безопасности. Руководитель операционной деятельности, не имевший опыта в управлении безопасностью, нёс обязанности менеджера по безопасности в дополнение к операционным обязанностям.

Эта структура имела значение в нескольких точках принятия решений. Кто мог независимо оспорить отключение серийной AEB? Кто отвечал за опасность, возникшую из-за сброса истории сопровождения при смене классификации? Кто одобрил односекундное подавление действий и решение не смягчать неизбежное столкновение максимально доступным торможением? Кто подписал удаление второго оператора? Кто анализировал данные о внимании и останавливал оператора или маршрут при появлении нарушений политики? Без ясной, компетентной и независимой ответственности каждый вопрос мог оставаться внутри локального инженерного или операционного обоснования.

Исполнение политик демонстрировало ту же слабость. У ATG было правило о мобильных телефонах, порядок дисциплинарных мер и политика тестирования на наркотики. Однако не было записи об индивидуальном подтверждении правила о телефонах, а тестирование на наркотики проводилось нерегулярно. Оператор, попавшая в аварию, не проходила ни предварительное, ни случайное тестирование и не была проверена в соответствии с собственной политикой компании, действовавшей после аварии. NTSB не нашёл доказательств того, что состояние оператора способствовало аварии, поэтому тестирование на наркотики не является причинным объяснением.

Это доказательство того, что письменные обязательства по безопасности не всегда становились операционной практикой.

Данные об авариях и инцидентах также требовали организационного обучения. В отчёте об автоматизации перечислены 37 предшествующих аварий и инцидентов в автономном режиме с сентября 2016 года по март 2018 года, в большинстве из которых в испытательный внедорожник врезался другой автомобиль. Эта история не устанавливает предшествующее предупреждение, идентичное переходу Herzberg. Она показывает, что у ATG накапливался полевой опыт, требующий структурированной классификации, анализа с нормированием по пробегу и пересмотра опасностей.

Простое число событий не может доказать безопасность без контекста пробега, сценариев и тяжести; точно так же отсутствие идентичного смертельного события не следует считать доказательством того, что архитектура была безопасной.

Внешняя проверка культуры, заказанная после аварии, рекомендовала SMS, старших руководителей по безопасности, внутренние коммуникации, реформу обучения, внезапные проверки операторов и более строгие средства контроля операционных рисков. Поскольку её заказала ATG, она не эквивалентна правоприменительному выводу регулятора. NTSB независимо оценил материалы аварии и пришёл к согласованным выводам о системе безопасности до аварии.Публичное досье NTSBделает базовые фактологические отчёты, материалы компаний и приложения доступными для изучения, позволяя читателям отделять заявления компаний от выводов следователей.

Управление дорогами общего пользования оставило разработчику оценку критических средств защиты

Операция в Темпе оказалась между традиционными зонами полномочий. NHTSA регулирует автомобили и оборудование на федеральном уровне. Штаты регулируют водителей, регистрацию и эксплуатацию дорог. Разрабатываемая ADS усложняет это разделение, поскольку машина выполняет задачу вождения, пока сотрудник компании контролирует её, а модифицированный автомобиль может соответствовать стандартам базового автомобиля, даже когда экспериментальное программное обеспечение создаёт новое поведение.

ADS 2.0 определила двенадцать элементов безопасности, включая область эксплуатационного проектирования, обнаружение объектов и событий и реагирование, резервные меры, валидацию, человеко-машинный интерфейс, запись данных и поведение после аварии.Само руководствопоощряло публичную добровольную самооценку безопасности, но говорило, что она не является исчерпывающей, обязательной или подлежащей федеральному одобрению. Это делало документ механизмом прозрачности, а не воротами.

NTSB установил, что добровольные материалы имели ограниченную ценность для безопасности там, где разработчики могли их не подавать, а NHTSA не оценивала достаточность. Совет выпустилрекомендации с H-19-47 по H-19-52. H-19-47 просит NHTSA обязать разработчиков, испытывающих системы на дорогах общего пользования, подавать самооценки безопасности. H-19-48 просит агентство оценивать их на предмет надлежащих средств защиты, включая мониторинг вовлечённости оператора. H-19-49 и H-19-50 просят Аризону требовать ориентированную на риски заявку и экспертную оценку до выдачи разрешения на испытания. H-19-52 просит ATG завершить создание системы управления безопасностью.

Позднейшая законодательная база Аризоны более конкретна, чем позиция 2016 года об отсутствии специальных разрешений.Раздел 28-9702 Пересмотренных законов Аризоныдопускает эксплуатацию с лицензированным человеком, способным возобновить задачу вождения. Для беспилотной эксплуатации он требует план взаимодействия с правоохранительными органами и письменное заявление о соблюдении федеральных требований, когда это необходимо, переход в состояние минимального риска после соответствующего отказа ADS, способность соблюдать правила дорожного движения, правоустанавливающие документы, регистрацию и страхование. ADOT может направить предписание о прекращении деятельности, если требуемые документы не поданы.

Другие разделы предусматривают процедуры приостановки регистрации, когда данные указывают на то, что автомобиль может быть небезопасным.

Это реальные правовые средства контроля, а принятаяглава 117 2021 годаперенесла ключевые требования из исполнительной политики в закон. Текущие страницы ADOT различаютиспытания с водителем безопасностиииспытания или эксплуатацию без него. Однако сами видимые положения не публикуют независимое экспертное заключение о том, что доказательства конкретного разработчика по реагированию на объекты, резервным мерам, мониторингу оператора и контролю изменений достаточны до начала испытаний. Сравнение публичной базы с H-19-49 и H-19-50 позволяет предположить, что заявления и правоприменение остаются более заметными, чем экспертное предварительное одобрение для конкретного случая.

Это не доказывает, какую непубличную работу ADOT может проводить в отношении конкретного оператора.

В 2023 году губернатор Katie Hobbs отменила Исполнительный приказ 2018-04, поскольку последующее законодательство урегулировало этот вопрос.Приказ об отменеподтверждает правовой переход, но не стирает историческую роль приказа 2018 года на момент аварии. Это временное различие предотвращает две ошибки: применение сегодняшнего закона задним числом к испытаниям Uber 2018 года и отношение к Аризоне так, будто после выводов NTSB не последовало никаких реформ.

Федеральные механизмы сбора доказательств также изменились.Постоянное общее предписание NHTSA об отчётности о ДТП, впервые изданное в 2021 году и позднее изменённое, требует от идентифицированных организаций, работающих с ADS и системами уровня 2, сообщать о подпадающих под критерии авариях. NHTSA может использовать эти отчёты для последующих действий, расследования дефектов и правоприменения. Предписание улучшает своевременность и сопоставимость по сравнению с разовыми уведомлениями. Однако оно действует после аварии или инцидента, подлежащего отчётности, и не заменяет перспективную оценку плана испытаний на дорогах общего пользования.

По состоянию на дату обращения к статье настранице NHTSA с открытыми рекомендациями NTSBпо-прежнему значились H-19-47 и H-19-48. Вответе агентства от марта 2020 годапредлагалось считать их открытыми приемлемыми ответами, с опорой на добровольные оценки и связанные инициативы. Обоснованный вывод не в том, что федеральный надзор не развивался; обязательная отчётность о ДТП — существенная мера. Вывод в том, что обязательная подача материалов до испытаний и содержательная федеральная оценка — конкретные меры, запрошенные NTSB, — не были показаны как завершённые в собственном списке открытых рекомендаций агентства.

Правовая ответственность разрешила одно дело, но не архитектуру

Уголовное дело оператора важно, потому что отвергает нарратив, в котором автоматизация сняла с человека все обязанности. Большое жюри предъявило обвинение в причинении смерти по неосторожности в 2020 году. Позднее соглашение о признании вины заменило риск судебного процесса согласованным осуждением за создание опасности и условным сроком под надзором.Заявление прокурора округа Марикопа 2023 годаподчёркивает ответственность человека за рулём, несмотря на доступные технологии.

У этого решения есть пределы. Признание вины не устанавливает каждое фактическое утверждение из более раннего обвинительного заключения. Оно не выносит суждения о технической конструкции, разумности действий руководства ATG, регуляторной обязанности Аризоны или гипотетическом распределении гражданской вины. Оно также не превращает сопутствующий фактор NTSB в элемент состава преступления. Использование этого дела как доказательства того, что значение имел только оператор, выходило бы за пределы судебных материалов.

Противоположной ошибкой было бы считать отчёт NTSB вердиктом о корпоративной ответственности. Совет определяет вероятную причину и выпускает рекомендации по безопасности. Он не присуждает ущерб, и его процесс не является состязательным судебным разбирательством. Его системные выводы авторитетны для анализа безопасности на транспорте, но сами по себе не доказывают уголовное правонарушение или гражданско-правовое требование.

Существует более широкая проблема подотчётности, когда правовая видимость сосредоточена на последнем человеке-исполнителе. У водителя есть имя, данные телефона и точный момент невнимания. Решения системы распределены по требованиям, версиям программного обеспечения, интеграционным совещаниям, бюджетам на персонал, проверкам безопасности и политике штата. Они могут быть причинно важными, но не сводиться к одному индивидуальному правонарушению. Зрелый режим подотчётности должен сохранять обязанности водителя, делая институциональные решения в равной мере прослеживаемыми.

Это означает фиксацию именного одобрения критически важных для безопасности изменений, а не отнесение решений только к корпоративному подразделению. Это означает сохранение анализа опасностей, обосновавшего отключение AEB, валидации, поддержавшей подавление действий, данных о работе одного оператора, частоты просмотра видео внимания и оснований штата для допуска на дороги общего пользования. Без этих записей уголовное право может разрешить вопрос о личном поведении, но системное обучение останется неполным.

Последствия вышли за пределы столкновения

Прямое последствие было необратимым: Herzberg погибла. Публичный анализ не должен превращать её в тестовый сценарий или сводить событие к технической вехе. Она была человеком, пользовавшимся дорогой общего пользования и не дававшим согласия стать частью валидации разрабатываемой системы. Тот факт, что она переходила вне пешеходного перехода и что токсикология указывала на возможное состояние опьянения, входит в причинную картину, как и заключил NTSB. Это не переносит на неё контроль над средствами защиты Uber.

Её семья пережила утрату и долгий публичный процесс, в ходе которого неоднократно изучались видео, токсикология, программное обеспечение и поведение водителя. Основные официальные источники, использованные здесь, не дают надёжной публичной оценки полного экономического или неэкономического вреда семьи, и такую цифру не следует выдумывать. Смертельный исход не становится точнее от привязки неподтверждённой денежной оценки.

Оператор столкнулась с уголовным преследованием, признанием вины и условным сроком. Другие водители безопасности унаследовали изменившуюся профессию: больше обучения и мониторинга, но и более явные доказательства того, что контроль за автоматизацией может создавать личную правовую ответственность. Работодатели, называющие кого-то резервом, обязаны раскрывать реальные ограничения, обучать редким чрезвычайным ситуациям, измерять внимание и давать человеку достаточно полномочий и резервирования для выполнения роли.

Uber ATG остановила публичные испытания, потеряла разрешение работать в Аризоне, понесла расходы на расследование и перепроектирование и сократила масштаб и скорость возобновлённой программы. В регистрационном заявлении Uber, поданном перед публичным размещением, раскрыты смертельная авария и риск того, что отказы автономных автомобилей могут создать ответственность, усиленный контроль и репутационный вред.Форма S-1, поданная в SEC, — это раскрытие информации компанией инвесторам, а не независимое доказательство безопасности, но она подтверждает, что последствия стали существенным корпоративным риском.

Роль Volvo требовала ясности, поскольку автомобиль нёс её базовую архитектуру, а ATG контролировала разрабатываемую систему. Вматериалах стороны Volvo для NTSBкомпания подчеркнула проблему человеческого фактора — поддержание готовности контролирующего водителя как резерва. Материалы стороны отстаивают позицию стороны и не должны рассматриваться как вывод Совета. Это полезное свидетельство того, что производитель базового автомобиля признавал готовность резерва вопросом проектирования, а не только личных качеств оператора.

Аризона понесла издержки легитимности. Штат рекламировал среду с низким регулированием как преимущество, а затем приостановил работу Uber после гибели человека. Проблема не в том, что инновации и безопасность взаимоисключают друг друга. Проблема в том, что публичное доверие ослабевает, когда допуск лёгок, техническая проверка непрозрачна, а решительное правоприменение наступает только после вреда. Позднейшие законы могут усилить полномочия, но доверие также требует раскрытия того, что было проверено и почему испытания были разрешены.

Сектор автономных автомобилей столкнулся с усиленным вниманием к испытаниям на дорогах общего пользования, водителям безопасности и добровольной самосертификации. Этот эффект нельзя оценить количественно только по данному делу. Инвестиции в технологии, общественное мнение и графики внедрения реагируют на множество событий. Поддерживаемый вывод уже: авария дала конкретное доказательство того, что разрабатываемая ADS может обнаружить участника дорожного движения, но не обеспечить своевременное избежание столкновения, и что человеческий резерв может отказать при неадекватно управляемой задаче наблюдения.

Данные об исправлениях: что изменилось и что доказывают доказательства

Первой мерой ATG стала остановка. Компания прекратила испытания на дорогах общего пользования на следующий день после аварии и не возобновляла их до декабря. Приостановка предотвращает немедленное повторение, пока идут расследование и перепроектирование. Сама по себе она не доказывает, что позднейшая система безопасна.

Технические изменения прямо касались зафиксированной последовательности. ATG изменила слияние данных датчиков и прогнозирование траектории так, чтобы прежние позиции оставались значимыми при смене классификации. Обновлённая система могла назначать пешеходу цель пересечения дороги вне перехода. Она убрала подавление действий, разрешила торможение для смягчения удара даже при невозможности полного избежания и увеличила допустимый рывок. Она изменила частоту радара ATG и совместно с Volvo проработала приоритет команд торможения, чтобы предупреждение о лобовом столкновении и пешеходная AEB могли оставаться активными во время автономных испытаний.

Эти изменения хорошо соответствуют причинной картине. Каждое из них относится к отказавшему уровню: непрерывность, прогноз пересечения, задержка отклика, смягчение тяжести и независимое торможение. ATG воспроизвела данные датчиков аварии через версию программного обеспечения сентября 2018 года и сообщила, что новая версия классифицировала бы пешехода раньше, спрогнозировала бы конфликт пересечения и начала бы контролируемое торможение более чем за четыре секунды до исходного момента удара. Это полезное регрессионное доказательство, но важны его источник и метод.

Это была симуляция ATG, представленная следователям, а не публичное независимое воспроизведение с полными деталями программного обеспечения, сценария и критериев приёмки.

Эксплуатационные изменения также соответствовали выводам. ATG вернула двух обученных специалистов по миссии, отделила наблюдение за дорогой на водительском сиденье от других обязанностей, расширила обучение отвлечению внимания и экстренным манёврам и добавила мониторинг внимания в реальном времени с помощью камеры в салоне. Отведение взгляда на несколько секунд могло вызвать предупреждение в автомобиле и отчёт руководителю. NTSB заключил, что эти меры начали устранять недостатки надзора.

Слово «начали» уместно осторожно: установка и процедуры показывают проектирование контроля, а долгосрочная работа предупреждений, доля ложноотрицательных срабатываний, реакция руководителей и поведение под давлением показывают эффективность контроля.

Организационные исправления включали систему управления безопасностью с политикой, управлением рисками, гарантиями и продвижением; выделенное руководство по безопасности; пересмотренное управление испытаниями и более формальный анализ выпуска.Материалы стороны Uber ATG для NTSBописывали внутренние и внешние проверки и заявляли о широких улучшениях. Как материалы компании, они доказывают то, что заявила ATG и какие материалы представила, но не независимую эффективность.

Позднее внешние доказательства стали сильнее. На текущейстранице NTSB об итогах расследований в сфере автоматизированных транспортных средствуказано, что H-19-52 — рекомендация завершить создание SMS — была закрыта 26 апреля 2024 года. Закрытие рекомендации значимо: Совет счёл ответные действия получателя достаточными для целей отслеживания. На странице также отмечено, что Uber ATG была приобретена другим разработчиком. Закрытие не является сертификацией того, что первоначальное подразделение Uber всё ещё работает, что каждое доаварийное решение исправлено или что все данные испытаний публичны.

Смена собственника изменила оцениваемый объект. Uber объявила о продаже бизнеса ATG компании Aurora в декабре 2020 года и завершила сделку в январе 2021 года. Вформе 10-K Uber за 2020 годзафиксированы передача и продолжающиеся коммерческие отношения. Исправленное средство контроля, встроенное в ATG, могло перейти вместе с людьми и активами, измениться в Aurora или быть выведено. Публичные данные не должны небрежно описывать Uber 2026 года как оператора той же программы разработки в Темпе.

Сейчас Uber отчасти действует как платформа, интегрирующая автономных партнёров. Врекомендациях по безопасности автономной мобильности и доставки от апреля 2026 годаописывается оценка планов безопасности партнёров на этапах планирования, демонстрации и эксплуатации. Они требуют отчётности о показателях и ссылаются на стандарты, но также говорят, что оценка не предписывает единую метрику и порог для каждого партнёра. Это свидетельство текущей системы управления, а не доказательство того, что конкретный партнёр прошёл раскрытый тест или что средства контроля Темпе были независимо воспроизведены.

Регуляторные исправления также неоднородны. Обязательная отчётность о ДТП даёт NHTSA данные, которых не было в 2018 году, а в Аризоне теперь есть законы об автономной эксплуатации и правоприменении. Однако федеральная самооценка безопасности до испытаний остаётся добровольной, а соответствующие рекомендации NTSB — открытыми. Вобзоре GAO по надзору за автоматизированными транспортными средствами, обновлённом по март 2026 года, по-прежнему сообщалось, что у DOT нет общего плана, отвечающего принципам комплексного планирования. У федеральной системы стало больше данных после инцидентов, но публичные материалы не показывают единых ворот одобрения для обоснований безопасности разрабатываемых ADS на дорогах общего пользования.

Подтверждённые факты, обоснованные выводы и публичные неизвестные

Подтверждённые факты обширны. ADS обнаружила Herzberg за 5,6 секунды до удара и не определила траекторию столкновения до 1,2 секунды до удара. Классификация неоднократно менялась, и история сопровождения не переносилась через эти изменения. Затем подавление действий длилось одну секунду. Заводские предупреждение о лобовом столкновении и AEB были отключены в автономном режиме. Оператор транслировала видео и смотрела вниз во время критического приближения. ATG убрала второго оператора и редко просматривала записи камеры в салоне.

NTSB назвал отвлечение оператора вероятной причиной, а культуру безопасности ATG, оценку рисков, надзор и меры против самоуспокоенности — сопутствующими факторами. Аризона приостановила испытания, ATG остановила их и позднее возобновила в изменённых условиях, а оператор в итоге признала вину в создании опасности.

Подтверждено также, что ATG изменила соответствующие технические и эксплуатационные средства контроля. NTSB задокументировал повторно включённые совместимые системы безопасности базового автомобиля, изменённое прогнозирование траектории, удаление подавления, добавление торможения для смягчения, возвращение второго оператора, добавление мониторинга внимания в реальном времени и разработку SMS. Позднее NTSB закрыл H-19-52. NHTSA теперь требует отчётность о соответствующих авариях ADS. Аризона приняла положения об автономных транспортных средствах. Uber продала ATG компании Aurora.

Некоторые выводы являются обоснованными умозаключениями, а не непосредственно наблюдаемыми фактами. Сохранение истории сопровождения и отношение к пересечению вне перехода как к возможной цели должны снизить конкретный сбой восприятия и прогнозирования, наблюдавшийся в Темпе, поскольку эти изменения направлены на его механизм. Независимая AEB и удаление подавления должны улучшить возможность смягчения. Два оператора и предупреждения о внимании в реальном времени должны снизить вероятность того, что один долгий взгляд вниз сведёт на нет весь резерв.

NTSB и симуляция ATG поддерживают эти утверждения, но общественность не может рассчитать точное снижение риска.

Обоснованным выводом является то, что удаление второго оператора требовало более сильного обоснования безопасности изменения, чем показывает публичная запись. NTSB выявил повышенную нагрузку и сниженное резервирование, а также неадекватную оценку рисков. Это не доказывает бизнес-мотив кадрового изменения и не называет каждого менеджера, который его одобрил. Публичные материалы не устанавливают, что доминировало в решении — стоимость, масштабирование автопарка, уверенность в планшете или иной фактор.

Важные технические детали остаются публично неизвестными. Полный исходный код, параметры модели, обучающие данные, распределение ложных срабатываний, корпус симуляций, критерии выпуска и полные результаты сценарных испытаний отсутствуют в досье. Общественность не может воспроизвести воспроизведение обновлённого программного обеспечения или изучить каждый случай, когда пересмотренная система тормозила без необходимости. Она не может проверить чувствительность монитора внимания в разных условиях освещения, при разных очках, положениях головы и разнообразии операторов или определить, как часто руководители реагировали на его отчёты.

Полная внутренняя запись решений также недоступна. Публичные материалы не называют каждого, кто одобрил отключение AEB, подавление действий, ограничения торможения, работу с одним оператором или выпуск на дорогу. Они не раскрывают каждое несогласие, принятие риска, давление сроков или эскалацию. Отсутствие этих доказательств не является подтверждением ненадлежащих мотивов; оно ограничивает атрибуцию.

Устойчивость исправлений отчасти непознаваема, поскольку организация сменила собственника. Закрытие NTSB устанавливает принятый ответ на H-19-52, а продажа 2021 года означает, что более поздние эксплуатационные данные относятся к другой корпоративной структуре. Текущая платформенная модель Uber не может рассматриваться как простое продолжение послеаварийных мер ATG. Более поздние результаты Aurora нельзя автоматически приписывать Uber, а текущее управление партнёрами Uber не подтверждает программу 2018 года.

Совокупные последствия не являются публичными. Использованные официальные материалы не оценивают количественно все потери семьи, последствия для сотрудников, стоимость программы, муниципальное воздействие или задержки в масштабах сектора. Они не дают оснований для единой денежной суммы. Они также не устанавливают, как развивалось бы общественное признание без аварии.

Публичные доказательства не могут с уверенностью доказать контрфактивный сценарий без аварии. Внимательный оператор, вероятно, мог избежать удара или смягчить его, согласно испытаниям NTSB. Обновлённое программное обеспечение ATG, как сообщается, затормозило бы намного раньше при воспроизведении. Это сильные, но ограниченные выводы. Они не устанавливают, где именно остановились бы Herzberg или автомобиль при каждой правдоподобной вариации, и что не произошёл бы другой отказ.

Контрфактические сценарии: где более ранняя мера могла разорвать цепь

Самый непосредственный контрфактический сценарий — внимательный оператор. Анализ дистанции видимости и торможения NTSB подтверждает вероятное окно для избежания или смягчения после выхода внедорожника на прямой участок. Это самый сильный индивидуальный контрфактический сценарий, поскольку он опирается на измеренную геометрию и торможение автомобиля. Тем не менее он не оправдывает превращение внимания в единственное обоснование безопасности.

Второй сценарий — активный мониторинг оператора. Если бы камера в салоне была подключена к надёжному живому предупреждению до аварии, повторяющиеся и иногда очень долгие взгляды оператора вниз могли бы вызвать вмешательство раньше. Руководитель мог предупредить или отстранить её, или система могла потребовать безопасной остановки. Это подтверждается картиной на записях и формой более поздней меры ATG. Точный порог предупреждения и результат реакции остаются неизвестными.

Третий сценарий — сохранение второго оператора. Оператор на пассажирском сиденье мог бы вести записи, заметить взгляд водителя или обнаружить опасность перехода. NTSB рассматривал второго человека как утраченное резервирование, и ATG вернула эту роль. Нельзя предполагать, что любой второй человек оставался бы внимательным или вмешался бы вовремя. Контрфактический вывод в том, что два независимых канала внимания снижают риск единой точки отказа, а не в том, что два человека гарантируют безопасность.

Четвёртый сценарий начинается в программном обеспечении. Если бы идентичность объекта и его прежнее движение сохранялись при смене классификации, наблюдаемое равномерное пересечение могло бы повлиять на прогноз траектории раньше 1,2 секунды. Изменённая логика ATG и воспроизведение поддерживают этот вывод. Надёжная архитектура также консервативно проверяла бы неопределённые или меняющиеся классификации: неизвестный движущийся объект вблизи достижимой траектории должен сохранять потенциал столкновения, даже если его семантическая метка нестабильна.

Пятый сценарий касается экстренного управления. Удаление односекундного интервала подавления сохранило бы дефицитное время реакции после выявления опасности. Разрешение максимально возможного торможения для смягчения могло бы уменьшить удар, даже когда полное избежание уже невозможно. Повторно включённая AEB Volvo могла бы дать независимое предупреждение или торможение. Публичные материалы не содержат полной реконструкции того, как серийная AEB классифицировала бы это конкретное пересечение при работающих датчиках ATG, поэтому утверждения о гарантированном предотвращении были бы слишком сильными.

Шестой сценарий — более низкая скорость испытаний. ATG возобновила работу на скорости 25 миль в час, а не при пределе 45 миль в час, как в Темпе. Более низкая скорость сокращает тормозной путь и энергию удара и даёт человеку больше времени. Она также может изменить репрезентативность маршрута и отсрочить испытания в условиях более высоких скоростей. Ответственное расширение потребовало бы поэтапных доказательств: подтвердить обнаружение, прогнозирование, смягчение и перехват управления на низкой скорости, а затем одобрить более высокую скорость только при выполнении сценарных ограничений.

Седьмой сценарий выходит за пределы компании. Ориентированная на безопасность заявка в Аризоне могла бы потребовать от ATG раскрыть отключённую базовую AEB, ограничения экстренного торможения, односекундное подавление, нагрузку на одного оператора и план мониторинга внимания. Экспертная комиссия могла бы потребовать изменений или ограничить испытания. Такой исход правдоподобен, потому что это именно те средства защиты, которые позднее выделил NTSB. Нет уверенности, что проверяющий обнаружил бы каждое взаимодействие или отказал бы в маршруте.

Восьмой сценарий — федеральная оценка. Обязательная подача VSSA и содержательная проверка NHTSA могли бы создать национальный минимум и поддержать решения штатов. Ограничения реальны: поверхностная самооценка может не выявить отказ на уровне исходного кода, а регуляторам нужны квалифицированные специалисты и критерии испытаний, чтобы оспорить её. Ворота из документов без доказательств и экспертизы могут стать имитацией соответствия. Полезный контрфактический сценарий — это проверка, привязанная к опасностям, результатам валидации, записям об изменениях и исполняемым условиям.

Последний сценарий касается полномочий на остановку. Любой инженер, оператор или руководитель, видящий неустранённую опасность, должен иметь возможность приостановить испытания без штрафа за срыв графика. Публичные доказательства не называют конкретного сотрудника, который до аварии поднял бы такой вопрос и проиграл. Урок структурный: право на остановку работ, защищённые каналы сообщений и независимое утверждение безопасности повышают вероятность того, что слабые сигналы прервут развёртывание до того, как дорога предоставит доказательство.

Устойчивая проверка подотчётности для разрабатываемого автоматизированного вождения

Первая проверка — именованная карта контроля. Для каждой функции динамического вождения и режима отказа разработчик должен указать компонент системы, роль человека и менеджера с полномочиями. У обнаружения, классификации, сопровождения, прогнозирования, торможения, резерва, удалённой поддержки, мониторинга оператора и взаимодействия со штатом должны быть ответственные. Общая ответственность без именованных прав на решения становится бесхозным риском.

Вторая проверка — непрерывность опасностей на границах программного обеспечения. При смене классификации неопределённость и история движения не должны исчезать. Валидация должна включать необычных участников дорожного движения, людей вне ожидаемых мест перехода, частичное перекрытие обзора, низкую освещённость и объекты, семантический класс которых остаётся неопределённым. Требование безопасности — не только правильные метки, но и консервативная реакция на столкновение в условиях неопределённости.

Третья проверка — независимое смягчение. Разрабатываемый стек не должен оставлять одного человека единственным эффективным аварийным уровнем, когда столкновение становится неизбежным. AEB базового автомобиля, независимый монитор, ядро безопасности или другой разнородный путь должны сохранять полномочия предупреждать, замедлять или останавливать. Если интеграция отключает серийное средство защиты, до дорожных испытаний следует требовать задокументированную равноценную или более сильную замену.

Четвёртая проверка — реалистичные человеческие возможности. Обоснование безопасности должно моделировать снижение бдительности, самоуспокоенность при автоматизации, поведение взгляда, нагрузку, время перехвата управления и нарушения правил. Обучение и политики остаются необходимыми, но ни то, ни другое не считается независимым резервированием. Продолжительность смены, монотонность маршрута, потребность отводить взгляд на HMI и конструкция предупреждений должны проверяться при длительных периодах без событий, за которыми следуют редкие опасности.

Пятая проверка — активное подтверждение внимания. Камеры в салоне и телеметрия должны генерировать определённые предупреждения, логику безопасной остановки, реакцию руководителя, наставничество и критерии отстранения. Разработчик должен измерять пропущенные обнаружения и ложные предупреждения, а не просто объявлять об установке. Политика хранения и контроля доступа в отношении приватности должна быть явной, поскольку система непрерывно записывает работников.

Шестая проверка — контроль изменений, критичных для безопасности. Удаление второго оператора, изменение скорости, отключение AEB или изменение логики подавления должны запускать новый анализ опасностей и независимое одобрение. В записи должны быть указаны прежнее средство защиты, замена, доказательства, остаточный риск, утверждающее лицо, срок действия и условие отката. Эксплуатационная эффективность не является доказательством эквивалентной безопасности.

Седьмая проверка — сценарная валидация до публичного воздействия. Работа на закрытых полигонах и в симуляциях должна охватывать предсказуемые граничные условия и комбинированные отказы, с ясными порогами прохождения и отслеживаемостью версий. Воспроизведение аварии — полезное регрессионное тестирование, но организация должна также проверять смежные сценарии, которые могут обойти исправление. Прохождение одного исторического случая может так же легко переобучить меру безопасности, как и модель.

Восьмая проверка — полевые данные с учётом воздействия. Разработчики должны публиковать пробег по областям эксплуатационного проектирования, определения отключений и вмешательств, категории аварий и опасных сближений, предупреждения о внимании, часы водителей безопасности и существенные изменения программного обеспечения. Числа без знаменателя или состава сценариев вводят в заблуждение. Конфиденциальные технические детали можно защищать, раскрывая при этом достаточно для независимого анализа тенденций.

Девятая проверка — перспективные публичные полномочия. Заявка штату должна указывать зону испытаний, скорости, конфигурацию автомобиля, резерв, план оператора, удалённую поддержку, реагирование на инциденты и доказательства, поддерживающие выпуск. Квалифицированная междисциплинарная группа должна рассматривать её, устанавливать условия и пересматривать одобрение после критичных для безопасности изменений. Федеральная проверка должна обеспечивать единый базовый уровень, а не оставлять каждому штату делать вывод о достаточности по добровольным документам маркетингового уровня.

Десятая проверка — доказательства инцидентов и эскалация. Отчётность об авариях должна сохранять данные датчиков, управления, видео, оператора, версии программного обеспечения и решений с единой синхронизацией времени. Опасные сближения и нарушения внимания должны поступать в тот же процесс обучения. Постоянное предписание NHTSA улучшает видимость аварий, но организации не должны ждать отчётного столкновения, чтобы исследовать опережающие индикаторы.

Одиннадцатая проверка — независимое подтверждение. Внутренние симуляции и политики показывают намерения. Внешние оценщики, регуляторы и воспроизводимые испытания дают более сильные доказательства. Отчёты о подтверждении должны объяснять объём, исключения, проваленные тесты и нерешённые опасности. Закрытие рекомендации значимо, но его не следует распространять за пределы конкретного оценённого действия.

Двенадцатая проверка — непрерывность при корпоративных изменениях. Когда программа продаётся, реорганизуется или интегрируется в платформу, обоснования безопасности, журналы опасностей, активы валидации, записи об инцидентах и открытые обязательства должны передаваться с ясной ответственностью. Общественность должна иметь возможность отличать исправления первоначального разработчика от мер преемника и требований платформы к партнёрам. Иначе подотчётность растворяется при изменении организационной структуры.

Темпе остаётся определяющим делом, потому что каждый крупный уровень оставил доказательства. Датчики обнаружили участника дорожного движения. Программное обеспечение многократно меняло значение этого обнаружения. Аварийная логика поглощала время и удерживала более сильное смягчение. Средства защиты базового автомобиля от столкновений были недоступны. Единственный оператор была отвлечена. Данные мониторинга существовали, но использовались редко. Второй оператор был удалён. Управление безопасностью было незрелым. Допуск штата не включал ориентированную на безопасность техническую проверку.

Ответственность оператора подтверждается, а не стирается этим системным описанием. Институциональный урок в том, что человека нельзя называть уровнем безопасности, а затем рассматривать как нечто независимое от проектирования. Тот, кто делает человека резервом, контролирует нагрузку, информацию, полномочия, мониторинг, резервирование и время, доступные этому человеку. Тот, кто разрешает публичные испытания, контролирует порог доказательств до того, как невольные участники дорожного движения понесут остаточный риск.

Поэтому исправление требует большего, чем лучшая модель или более строгое правило о телефонах. Оно требует проверяемой цепочки, в которой неопределённое восприятие остаётся консервативным, экстренное торможение может смягчать удар, человеческие ограничения закладываются в обоснование безопасности, изменения проходят независимую проверку, власти изучают доказательства до воздействия на людей, а каждое заявленное исправление испытывается во всей резервной системе. Стандарт не в том, что разрабатываемый автомобиль никогда не может отказать.

Стандарт в том, что ни одна известная слабость не передаётся молча одному человеку, одному отключённому средству защиты или неинформированной публике.