Intet niveau sender.
Intet niveau styrer på et link.

Ingen radio og ingen GPS om bord på flåden, med den ene besluttede undtagelse: de to minerydningskonfigurationer, KAOS-MC Land og KMM-01, har GNSS og kommandolink, og KMM-01 har desuden en marineradar og AIS for at kunne se trafik og blive set. Alle andre steder, i luften, på jorden, i vandet eller under jorden, sender intet via radio, og intet styrer på et link. At udelukke radioen er et designvalg truffet ved tegnebordet frem for en lap sat på senere, og reglen bøjes ikke for bekvemmelighed: ingen køber skal regne ud, hvilken side af den et program ligger på. Rydningsarbejde har en navigations- og kommunikationsudrustning på grund af arbejdet frem for på grund af platformen — et overfladefartøj er efter søvejsreglerne forpligtet til at kunne ses og svare, og begge maskiner arbejder på terræn og vand, hvis perimeter kunden kontrollerer og har opmålt, under en navngiven tilsynsførende, som ser på. Hvad den udrustning aldrig gør, er at afgøre noget. Et tabt link indsnævrer, hvad maskinen må gøre, og standser, holder eller returnerer den, og sikkerhedsadfærden ligger aldrig nedstrøms for linket.

Én designfilosofi giver tre måder at styre en platform på, og der er ingen radio i nogen af dem. Niveau 1, forudindstillet: banen beregnes før affyring, og intet styrer under flugten. På hovedprojektilet Goose CS-110 er det bogstaveligt — intet batteri, ingen motor, ingen modtager, ingen servo, ingen sensor, ingen indikator og ingen initiator — så intet om bord kan jammes eller spoofes, fordi intet er om bord. Niveau 2, fiberstyret: platformen trækker en optisk fiber efter sig, og en person kommanderer den ned gennem tråden. Et fysisk link kan ikke jammes, spoofes eller pejles, og det holder et menneske i sløjfen ved konstruktion. Dette er standardniveauet på tværs af flåden og normen for kabelforbindelse under vand. Niveau 3, optisk AI: passiv sensorik om bord, optisk AI i luften og SLAM på jorden. Platformen modtager og sender ikke, så den har ikke behov for et link og tilbyder intet at finde.

Stigen er en aktueringsstige, før den er noget andet. Niveau 1 sætter sine finner én gang, ved affyringen, uden aktuering under flugten og uden elektronik, der skal overleve affyringsimpulsen. Niveau 2 og 3 kræver aktuerede finner: aktuatorer, strøm og styreelektronik, som koster penge og skal leve gennem affyringschokket. Manøvreevne købes med penge og kompleksitet, ét niveau ad gangen. Niveaudelingen er også en produktionsstrategi: alle tre niveauer deler det støbte flyveskrog, affyringsfamilien og produktionslinjen, og forskellene ligger i nyttelastrummet. Under jorden bærer fiberen mere end kommandoer — den er ledetråden ud igen, og på borelinjen er den det kabelrør, der efterlades i boringen som produkt.

Stigen er familiedoktrin frem for en ensartet specifikation, og fysik og mission bøjer den program for program. Goose CS-110 er Niveau 1 i hovedprojektilkonfigurationen; omfanget med fremdrift ligger hos CS-120, som primært er Niveau 2 fiberstyret med et menneske i sløjfen og Niveau 1 som degraderet tilstand. Der findes intet ballistisk niveau til søs: fiberforbindelsen er arbejdshesten i Vand-familien, med afgrænset autonomi til lange stræk. Undergrund-familien er Niveau 2 som standard — styring, kommunikation, ledetråd og, på den dybe serie, strøm i én streng — og Niveau 3 er der udelukkende kortlægningsautonomi, aldrig engagementsautonomi. Hvor en Niveau 3-målsøger i luften overvejes, kommer juridisk rådgivning først.

Én autoritetsrækkefølge styrer begge halvdele af virksomheden, og den er en programforfatning frem for en indstilling. Hård sikkerhed står over det lokale menneske, som står over en godkendt fjernbetjening, som står over den deterministiske styring, og planlæggeren står sidst. Uafhængig sikkerhed fjerner bevægelsesenergi ad sin egen vej, beviser den sikre tilstand og har det endelige veto, og den må ikke afhænge af det almene styresystem, grafikprocessoren eller planlæggeren for en central sikkerhedshandling. Et kvalificeret menneske godkender det afgrænsede driftsområde, opgaven og reglerne for indgriben og kan ikke omgå en uafhængig sikkerhedsbetingelse. Deterministisk bevægelseskontrol kontrollerer og udfører godkendte primitiver inden for maskinens egne grænser og kan ikke opfinde missionshensigt. Opgaveintelligens foreslår og sekvenserer uden at sætte strøm på en aktuator. Læring under drift opsamler dokumentation, afdrift og operatørdemonstrationer til næste udgivelse og kan ikke selv forfremme en ny adfærd til drift.

Sensorik er, hvordan en platform ved, hvor den er, og hvad der er omkring den. Intet af det er et link, og intet af det kan starte en maskine. På flåden er det autonome niveau passivt optisk: det læser lys frem for en kanal, så det giver en sender intet i spektret at finde. På en konverteret maskine er perceptionssættet lokalt og blandet — kameraer, lidar og nærhedssensorer, som opløser objekter, frit rum, farer og den tillid, der hører til hver af dem — og et kamera, der læser maskinens eget instrumentpanel, er måden, instrumenttilstand tages på, i stedet for et aftap på producentens bus. Autonomi på tungt materiel kræver et tilstandsestimat tættere på det, en erfaren operatør faktisk opfatter, så tilstandssættet er bredere end en position: chassis- og værktøjsreferencer, terrænets hældning og det lokale bæreplan, slip og tillid til vejgreb, last og værktøjets samspil med materialet, sensorernes tilstand og tillid i støv, genskin, nedbør, mørke og afskærmning. Ukendt tilstand er en gyldig tilstand, og når tilstandskvaliteten falder under det, en færdighed kræver, sænker opgavesystemet farten, standser, beder om menneskelig vurdering eller forbyder færdigheden. Ekstern sensorik kan fjerne autoritet. Den kan aldrig skabe den.

Påstanden er ikke immunitet. Hver afhængighed, arkitekturen fjerner, er navngivet, og den funktion, der fortsætter uden den, er navngivet ved siden af. Der er ingen GNSS-modtager, så en afgrænset lokal opgave kører på lokalisering om bord og lokalt frem for på en satellitposition taget ad en anden vej. Der er intet radiokommandolink, og den lokale maskinopgave kræver ikke vedvarende kommando. Der er ingen sky: missionsafvikling og sikkerhedsfunktioner udføres lokalt, offline først. Der er intet eksternt kort: lokal perception bygger en opgaverelevant repræsentation af det terræn, maskinen arbejder på. Der er ingen påkrævet udenlandsk tjeneste: en understøttet udgivelse fungerer og genoprettes lokalt. Det ene link er en fiber, kun under kabelniveauet, og tabet af det ender i et defineret stop eller en degradering, aldrig i ukontrolleret fortsættelse.

Offline først er en designegenskab frem for en driftsmulighed. Offline byggeartefakter, signerede images, spejle af afhængigheder og genoprettelsesmedier vedligeholdes for understøttede feltversioner, og genoprettelsesimaget og dets procedure er kontrolleret. Eksterne systemer taler med en missionsgateway, der kun oversætter tilladte anmodningstyper til det godkendte lokale opgavevokabular, maskinstyrings- og sikkerhedsnet holdes adskilt fra service- og missionsnet, og et eksternt link kan ikke skabe aktuatorautoritet. Disciplinen omkring udgivelser er skrevet ned: sikker og målt boot, hvor hardwaren understøtter det, signerede pakker med firmware, software, modeller og kalibrering, rollebaseret serviceadgang adskilt fra udviklerrettigheder, en softwarestykliste pr. understøttet udgivelse, offline opdatering med kontrol af autenticitet, kompatibilitet og tilbagerulning, beskyttede hændelses- og vedligeholdelseslogge og adskilt signeringsmyndighed for udvikling, test og produktion.

På CDNS Autonomy-siden er hardwaregrænsen hele pointen. Enheden får sin opgave på én af tre måder — indlæst og forseglet ved dokken, en fiberforbindelse til et menneske på en betjeningsstation på afstand, eller sin egen perception inden for de samme regler. Seks grænsefladefamilier er det, et sæt konstrueres omkring, frem for en maskine: toakset håndbetjening, drejebetjening, lineær fodbetjening, diskret betjening, instrumentaflæsning og sensorik for dynamisk tilstand. At bevare producentens betjening er den styrende regel: styringen drives fra rattets centrum gennem en adapterplade, rattet bores ikke, ratkransen forbliver fri til menneskehænder, og drevet er tilbagedrivbart, momentbegrænset og uafhængigt sensorovervåget. Regler leveres forseglede og underskrevne med nøgler, der holdes i Canada, godkendelse er en tidsbegrænset brugsret, der kan tilbagekaldes via kabel eller ved dokken, og det fysiske stop og den manuelle udløsning på hver aktuator bliver altid bevaret.

Tekniske detaljer frigives i trin. Hvad der er offentligt, er kapacitet og renset arkitektur. Programbeskrivelser og rensede interfacekontroldokumenter, derefter konfigurationsjournaler, integrations-, cyber- og supportdokumentation, derefter tegninger, styklister og begrænsede tekniske data, åbner i fire niveauer under fortrolighedsaftaler samt eksport- og sikkerhedskontrol. For en integrator er grænsen et kontrolleret eksternt grænsefladedokument over en kablet forbindelse eller en forbindelse ved dokken, som bærer missionsobjekter, status, driftstilstand og hændelser, med den interne implementering beskyttet: et eksternt system anmoder om arbejde i det vokabular og modtager ingen aktuatorautoritet. Hver henvendelse screenes, levering er underlagt canadiske eksporttilladelser udstedt pr. forsendelse, og eksportpositionen fastlægges juridisk først. Designene er patentanmeldt. Intet på dette site er et tilbud, og ingen priser fremgår af det.