Keine Stufe sendet.
Keine Stufe lenkt über eine Verbindung.

Kein Funk und kein GPS an Bord der Flotte, mit der einen geregelten Ausnahme: Die beiden Konfigurationen zur Kampfmittelräumung, KAOS-MC Land und KMM-01, führen GNSS und Kommandoverbindungen, und KMM-01 führt zusätzlich ein Seeradar und AIS, um Verkehr zu sehen und gesehen zu werden. Überall sonst, in der Luft, am Boden, im Wasser oder unter der Erde, sendet nichts per Funk und lenkt nichts über eine Verbindung. Den Funk auszuschließen ist eine Entwurfsentscheidung am Zeichenbrett und kein später aufgebrachter Flicken, und die Regel biegt sich nicht aus Bequemlichkeit: Kein Käufer muss herausarbeiten, auf welcher Seite davon ein Programm liegt. Räumarbeit trägt eine Navigations- und Kommunikationsausrüstung wegen der Arbeit und nicht wegen der Plattform — ein Oberflächenfahrzeug ist nach den Verkehrsregeln verpflichtet, gesehen zu werden und zu antworten, und beide Maschinen arbeiten auf Boden und Wasser, deren Umfassung der Kunde kontrolliert und vermessen hat, unter einem namentlich benannten Aufsichtsführenden, der zusieht. Was diese Ausrüstung niemals tut, ist etwas entscheiden. Ein Verbindungsverlust verengt, was die Maschine tun darf, und hält sie an, hält sie oder führt sie zurück, und das Sicherheitsverhalten liegt nie hinter der Verbindung.

Eine Entwurfsphilosophie ergibt drei Wege, eine Plattform zu lenken, und in keinem davon liegt Funk. Stufe 1, voreingestellt: Die Bahn wird vor dem Start gerechnet, und im Flug lenkt nichts. Beim Leitflugkörper Goose CS-110 gilt das wörtlich — keine Batterie, kein Motor, kein Empfänger, kein Servo, kein Sensor, keine Anzeige und kein Anzündmittel — also kann nichts an Bord gestört oder getäuscht werden, weil nichts an Bord ist. Stufe 2, faserlenkt: Die Plattform zieht eine Lichtleitfaser nach, und ein Mensch steuert sie über den Draht. Eine physische Verbindung lässt sich nicht störsenden, nicht täuschen und nicht anpeilen, und sie hält den Menschen konstruktiv im Regelkreis. Dies ist die Grundstufe der gesamten Flotte und der Regelfall der Tetherführung unter Wasser. Stufe 3, optische KI: passive Sensorik an Bord, optische KI in der Luft und SLAM am Boden. Die Plattform empfängt und sendet nicht, sie braucht also keine Verbindung und bietet auch keine zum Auffinden.

Die Leiter ist zuerst eine Aktorikleiter. Stufe 1 stellt ihre Finnen einmal ein, beim Start, ohne Stellbewegung im Flug und ohne Elektronik, die den Startimpuls überstehen müsste. Die Stufen 2 und 3 brauchen angetriebene Finnen: Aktoren, Energie und Steuerelektronik, die Kosten verursachen und den Startstoß überleben müssen. Manövrierautorität wird mit Geld und Komplexität gekauft, eine Stufe auf einmal. Die Stufung ist außerdem eine Fertigungsstrategie: Alle drei Stufen teilen die geformte Flugzelle, die Startanlagenfamilie und die Produktionslinie, und die Unterschiede liegen in der Nutzlastbucht. Unter der Erde trägt die Faser mehr als Befehle — sie ist die Brotkrumenspur hinaus, und auf der Bohrlinie ist sie das Leitungsprodukt, das im Bohrkanal zurückbleibt.

Die Leiter ist Familiengrundsatz und keine einheitliche Spezifikation, und Physik und Aufgabe biegen sie Programm für Programm. Goose CS-110 ist in der Leitflugkörperkonfiguration Stufe 1; der angetriebene Bereich liegt bei CS-120, das primär faserlenkt nach Stufe 2 mit dem Menschen im Regelkreis arbeitet und Stufe 1 als Rückfallbetrieb führt. Auf See gibt es keine ballistische Stufe: Der Faser-Tether ist das Arbeitstier der Wasserfamilie, mit begrenzter Autonomie für lange Etappen. Die Untergrundfamilie ist standardmäßig Stufe 2 — Lenkung, Kommunikation, Brotkrumenspur und bei der Tiefenreihe auch Energie in einem Strang — und Stufe 3 bedeutet dort ausschließlich Kartierungsautonomie, niemals Einsatzautonomie. Wo ein Luftsuchkopf nach Stufe 3 erwogen wird, kommt zuerst die Rechtsberatung.

Eine Autoritätsordnung gilt für beide Hälften des Unternehmens, und sie ist eine Programmverfassung und keine Einstellung. Die harte Sicherheit steht über dem Menschen vor Ort, dieser über einem befugten Fernbediener, dieser über der deterministischen Steuerung, und der Planer steht zuletzt. Die unabhängige Sicherheit entzieht Bewegungsenergie auf einem eigenen Pfad, weist den sicheren Zustand nach und hält das letzte Vetorecht, und sie darf für eine Kernsicherheitshandlung nicht auf das Allzweckbetriebssystem, den Grafikprozessor oder den Planer angewiesen sein. Ein qualifizierter Mensch genehmigt den begrenzten Arbeitsbereich, die Aufgabe und die Eingriffsregeln und kann eine unabhängige Sicherheitsbedingung nicht umgehen. Die deterministische Bewegungsführung prüft und führt genehmigte Grundbewegungen innerhalb der maschineneigenen Grenzen aus und kann keine Auftragsabsicht erfinden. Die Aufgabenintelligenz schlägt vor und ordnet, ohne einen Aktor zu bestromen. Das Lernen im Betrieb erfasst Nachweise, Abweichungen und Vorführungen der Bedienenden für die nächste Freigabe und kann ein neues Verhalten nicht selbst in den Einsatz überführen.

Wahrnehmung ist die Art, wie eine Plattform weiß, wo sie ist und was sie umgibt. Nichts davon ist eine Verbindung, und nichts davon kann eine Maschine in Gang setzen. In der Flotte ist die autonome Stufe passiv optisch: Sie liest Licht und keinen Kanal, sie gibt einem Aufklärungssender also nichts im Spektrum zu finden. Auf einer umgerüsteten Maschine ist der Wahrnehmungssatz lokal und gemischt — Kameras, Lidar und Näherungssensorik, die Objekte, freien Raum, Gefahren und die jeweils zugehörige Zuverlässigkeit auflösen — und eine Kamera, die das maschineneigene Armaturenbrett liest, ist der Weg, auf dem der Instrumentenzustand erfasst wird, anstelle eines Abgriffs am Bus des Herstellers. Autonomie bei schwerem Gerät braucht eine Zustandsschätzung, die näher an dem liegt, was eine erfahrene Bedienperson tatsächlich wahrnimmt, der Zustandssatz ist deshalb breiter als eine Position: Fahrzeug- und Werkzeugkoordinaten, Bodenneigung und die örtliche Auflagefläche, Schlupf und Traktionsvertrauen, Last und Werkzeugeingriff, Sensorzustand sowie Vertrauen bei Staub, Blendung, Niederschlag, Dunkelheit und Verdeckung. Unbekannter Zustand ist ein gültiger Zustand, und wenn die Zustandsqualität unter das fällt, was eine Fähigkeit verlangt, verlangsamt das Aufgabensystem, hält an, bittet um menschliche Prüfung oder verbietet die Fähigkeit. Externe Wahrnehmung darf Autorität entziehen. Sie darf niemals Autorität schaffen.

Behauptet wird keine Immunität. Jede Abhängigkeit, die die Architektur entfernt, wird benannt, und die Funktion, die ohne sie weiterläuft, wird daneben benannt. Es gibt keinen GNSS-Empfänger, eine begrenzte örtliche Aufgabe läuft also auf Ortung an Bord und vor Ort und nicht auf einer Satellitenposition, die auf einem anderen Weg beschafft würde. Es gibt keine Funkkommandoverbindung, und die örtliche Maschinenaufgabe verlangt keinen durchgehenden Befehl. Es gibt keine Cloud: Auftragslaufzeit und Sicherheitsfunktionen laufen lokal, zuerst offline. Es gibt keine externe Karte: Die örtliche Wahrnehmung baut eine aufgabenbezogene Darstellung des Bodens, auf dem die Maschine arbeitet. Es gibt keinen zwingenden ausländischen Dienst: Eine unterstützte Freigabe arbeitet und erholt sich lokal. Die eine Verbindung ist eine Faser, nur unter der Tetherstufe, und ihr Verlust endet in einem festgelegten Halt oder einer festgelegten Rückstufung, niemals in unkontrolliertem Weiterlauf.

Offline zuerst ist eine Entwurfseigenschaft und keine Einsatzoption. Offline-Bauartefakte, signierte Abbilder, Abhängigkeitsspiegel und Wiederherstellungsmedien werden für unterstützte Feldversionen gepflegt, und das Wiederherstellungsabbild und sein Verfahren sind kontrolliert. Externe Systeme sprechen mit einem Auftragsgateway, das nur erlaubte Anfragetypen in das genehmigte örtliche Aufgabenvokabular übersetzt, Maschinensteuer- und Sicherheitsnetze bleiben von Service- und Auftragsnetzen getrennt, und eine externe Verbindung kann keine Aktorautorität schaffen. Die Freigabedisziplin ist aufgeschrieben: sicherer und vermessener Systemstart, wo die Hardware ihn unterstützt, signierte Firmware-, Software-, Modell- und Kalibrierpakete, rollenbasierter Servicezugang getrennt von Entwicklerrechten, eine Software-Stückliste je unterstützter Freigabe, Offline-Aktualisierung mit Prüfung von Echtheit, Verträglichkeit und Rückrollbarkeit, geschützte Ereignis- und Wartungsprotokolle sowie getrennt gehaltene Signierung für Entwicklung, Test und Produktion.

Auf der Seite von CDNS Autonomy ist die Hardwaregrenze der ganze Punkt. Die Einheit nimmt ihre Arbeit auf einem von drei Wegen an — geladen und versiegelt an der Docksstelle, über einen Faser-Tether zu einem Menschen an einer abgesetzten Station oder über die eigene Wahrnehmung innerhalb derselben Regeln. Sechs Schnittstellenfamilien sind das, worum ein Satz konstruiert wird, und nicht eine Maschine: zweiachsige Handsteuerung, Drehsteuerung, lineare Fußsteuerung, diskrete Schaltsteuerung, Instrumentenbeobachtung und die Erfassung dynamischer Zustände. Die Herstellersteuerung zu erhalten ist die leitende Regel: Die Lenkung wird über eine Adapterplatte aus der Mitte des Lenkrads angetrieben, das Lenkrad wird nicht angebohrt, der Kranz bleibt für menschliche Hände frei, und der Antrieb ist rückdrehbar, drehmomentbegrenzt und unabhängig erfasst. Regeln werden versiegelt und signiert ausgeliefert, mit in Kanada gehaltenen Schlüsseln, die Befugnis ist eine zeitlich begrenzte Leihe, über den Draht oder an der Docksstelle widerrufbar, und der mechanische Anschlag sowie die Handentriegelung an jedem Aktor bleiben immer erhalten.

Technische Einzelheiten werden in Stufen freigegeben. Öffentlich sind Fähigkeit und bereinigte Architektur. Programmunterlagen und bereinigte Schnittstellenbeschreibungen, dann Konfigurationsnachweise sowie Integrations-, Cyber- und Unterstützungsdokumentation, dann Zeichnungen, Stücklisten und beschränkte technische Daten öffnen sich in vier Stufen unter Vertraulichkeits-, Export- und Sicherheitsauflagen. Für einen Integrator ist die Grenze eine kontrollierte externe Schnittstellenbeschreibung über eine drahtgebundene Verbindung oder eine Verbindung an der Docksstelle, die Auftragsobjekte, Status, Zustand und Ereignisse führt, während die innere Umsetzung geschützt bleibt: Ein externes System fordert Arbeit in diesem Vokabular an und erhält keine Aktorautorität. Jede Anfrage wird geprüft, die Lieferung unterliegt kanadischen Exportgenehmigungen, die je Sendung erteilt werden, und die Exporthaltung ist rechtsberatungsgeführt. Für die Konstruktionen sind Patente angemeldet. Nichts auf dieser Website ist ein Angebot, und es erscheinen keine Preise darauf.