Ningún nivel transmite.
Ningún nivel guía por enlace.

Sin radio y sin GPS a bordo de la flota, con la única excepción establecida: las dos configuraciones de desminado, KAOS-MC Land y KMM-01, llevan GNSS y enlaces de mando, y KMM-01 lleva además un radar marino y AIS para ver el tráfico y ser vista. En todo lo demás, en el aire, en tierra, en el agua o bajo tierra, nada transmite por radio y nada se guía por un enlace. Descartar la radio es una decisión de diseño tomada en el tablero de dibujo y no un parche aplicado después, y la regla no se dobla por conveniencia: ningún comprador tiene que averiguar a qué lado de ella se sitúa un programa. El trabajo de desminado lleva un equipamiento de navegación y comunicaciones por el trabajo y no por la plataforma: el reglamento de abordajes exige que un buque de superficie sea visto y responda, y ambas máquinas trabajan terreno y agua cuyo perímetro el cliente controla y ha topografiado, bajo un supervisor designado que está vigilando. Lo que ese equipamiento nunca hace es decidir nada. La pérdida del enlace reduce lo que la máquina puede hacer y la detiene, la mantiene o la hace regresar, y el comportamiento de seguridad nunca queda aguas abajo del enlace.

Una sola filosofía de diseño da tres maneras de guiar una plataforma, y en ninguna de ellas hay radio. Nivel 1, preestablecido: la trayectoria se calcula antes del lanzamiento y nada guía en vuelo. En el proyectil principal Goose CS-110 eso es literal —sin batería, sin motor, sin receptor, sin servo, sin sensor, sin indicador y sin iniciador—, de modo que nada a bordo puede interferirse ni suplantarse, porque no hay nada a bordo. Nivel 2, guiado por fibra: la plataforma arrastra una fibra óptica y una persona la manda por ese hilo. Un enlace físico no puede interferirse, suplantarse ni localizarse por radiogoniometría, y mantiene a una persona en el bucle por construcción. Es el nivel por defecto en toda la flota y la norma de amarre bajo el agua. Nivel 3, IA óptica: sensado pasivo a bordo, IA óptica en el aire y SLAM en tierra. La plataforma recibe y no transmite, de modo que no necesita enlace alguno y no ofrece ninguno que localizar.

La escala es, antes que nada, una escala de actuación. El nivel 1 fija sus aletas una sola vez, en el lanzamiento, sin actuación en vuelo y sin electrónica que tenga que sobrevivir al pulso de lanzamiento. Los niveles 2 y 3 necesitan aletas accionadas: actuadores, alimentación y electrónica de control que añaden coste y tienen que sobrevivir al choque del lanzamiento. La autoridad de maniobra se compra con dinero y complejidad, nivel a nivel. La escalonación es también una estrategia de fabricación: los tres niveles comparten la célula moldeada, la familia de lanzadores y la línea de producción, y las diferencias viven en el compartimento de carga. Bajo tierra la fibra lleva más que órdenes: es el hilo que marca la salida, y en la línea de perforación es el producto de conducto que queda en el barreno.

La escala es doctrina de familia y no una especificación uniforme, y la física y la misión la doblan programa a programa. Goose CS-110 es nivel 1 en la configuración de proyectil principal; el alcance propulsado corresponde a CS-120, que es nivel 2 guiado por fibra como modo primario con una persona en el bucle, y nivel 1 como modo degradado. En el mar no hay nivel balístico: el amarre de fibra es el caballo de batalla de la familia Agua, con autonomía acotada para las etapas largas. La familia Subsuelo es nivel 2 por defecto —guiado, comunicaciones, hilo de retorno y, en la serie profunda, alimentación en una sola hebra— y allí el nivel 3 es únicamente autonomía de cartografiado, nunca autonomía de enfrentamiento. Cuando se contempla una cabeza buscadora aérea de nivel 3, se consulta primero al asesor jurídico.

Un único orden de autoridad gobierna las dos mitades de la empresa, y es una constitución del programa y no un ajuste. La seguridad física tiene rango superior a la persona local, que lo tiene superior a un mando remoto autorizado, que lo tiene superior al controlador determinista, y el planificador queda en último lugar. La seguridad independiente retira la energía de movimiento por su propia vía, comprueba el estado seguro y conserva el veto final, y no puede depender del sistema operativo de propósito general, del procesador gráfico ni del planificador para una acción de seguridad esencial. Una persona cualificada aprueba la envolvente operativa acotada, la tarea y las reglas de intervención, y no puede saltarse una condición de seguridad independiente. El movimiento determinista comprueba y ejecuta primitivas aprobadas dentro de los propios límites de la máquina y no puede inventar intención de misión. La inteligencia de tarea propone y secuencia sin energizar ningún actuador. El aprendizaje en ejecución captura evidencias, derivas y demostraciones del operador para la siguiente versión, y no puede por sí solo poner en servicio un comportamiento nuevo.

El sensado es el modo en que una plataforma sabe dónde está y qué la rodea. Nada de ello es un enlace, y nada de ello puede poner en marcha una máquina. En la flota, el nivel autónomo es óptico pasivo: lee luz y no un canal, de modo que no da a un emisor nada que encontrar en el espectro. En una máquina convertida el conjunto de percepción es local y mixto —cámaras, lidar y sensado de proximidad, resolviendo objetos, espacio libre, peligros y la confianza asociada a cada uno— y una cámara que lee el propio cuadro de instrumentos de la máquina es el modo de tomar el estado de los indicadores, en lugar de un pinchazo en el bus del fabricante. La autonomía en maquinaria pesada necesita una estimación de estado más cercana a lo que percibe realmente un operador experimentado, de modo que el conjunto de estado es más amplio que una posición: los sistemas de referencia del chasis y del útil, la pendiente del terreno y el plano local de apoyo, el deslizamiento y la confianza en la tracción, la carga y la interacción del útil, la salud de los sensores y la confianza en presencia de polvo, deslumbramiento, precipitación, oscuridad y oclusión. El estado desconocido es un estado válido, y cuando la calidad del estado cae por debajo de lo que exige una habilidad, el sistema de tareas ralentiza, detiene, pide revisión humana o prohíbe esa habilidad. El sensado externo puede retirar autoridad. Nunca puede crearla.

Lo que se afirma no es inmunidad. Cada dependencia que la arquitectura elimina está nombrada, y junto a ella está nombrada la función que continúa sin ella. No hay receptor GNSS, de modo que una tarea local acotada funciona con localización a bordo y local y no con una posición de satélite obtenida por otra vía. No hay enlace de mando por radio, y la tarea local de la máquina no requiere mando continuo. No hay nube: el tiempo de ejecución de misión y las funciones de seguridad se ejecutan localmente, primero sin conexión. No hay mapa externo: la percepción local construye una representación del terreno que la máquina está trabajando, pertinente para la tarea. No hay servicio extranjero obligatorio: una versión soportada opera y se recupera localmente. El único enlace es una fibra, solo en el nivel de amarre, y su pérdida termina en una parada o una degradación definidas, nunca en una continuación descontrolada.

Funcionar primero sin conexión es una propiedad de diseño y no una opción de despliegue. Se mantienen artefactos de compilación sin conexión, imágenes firmadas, espejos de dependencias y soportes de recuperación para las versiones de campo soportadas, y la imagen de recuperación y su procedimiento están controlados. Los sistemas externos hablan con una pasarela de misión que traduce únicamente los tipos de petición permitidos al vocabulario de tareas local aprobado, las redes de control de máquina y de seguridad permanecen segregadas de las redes de servicio y de misión, y un enlace externo no puede crear autoridad sobre los actuadores. La disciplina de versiones está escrita: arranque seguro y medido donde el hardware lo admite, firmware, software, modelos y paquetes de calibración firmados, acceso de servicio basado en roles separado de los privilegios de desarrollo, una lista de materiales de software por versión soportada, actualización sin conexión con comprobaciones de autenticidad, compatibilidad y reversión, registros de eventos y de mantenimiento protegidos, y firma de desarrollo, de prueba y de producción mantenidas separadas.

En el lado de CDNS Autonomy, el límite del hardware es justamente la cuestión. La unidad recibe su trabajo por una de tres vías: cargado y sellado en el acoplamiento, un amarre de fibra hasta una persona en una estación apartada, o su propia percepción dentro de las mismas reglas. Un kit se diseña en torno a seis familias de interfaz, no en torno a una máquina: mando manual de dos ejes, mando rotativo, mando lineal de pie, mando discreto, observación de instrumentos y sensado del estado dinámico. Conservar el mando del fabricante es la regla que gobierna: la dirección se acciona desde el centro del volante mediante una placa adaptadora, el volante no se taladra, la corona queda libre para las manos de una persona, y el accionamiento es retroaccionable, de par limitado y con sensado independiente. Las reglas se entregan selladas y firmadas con claves custodiadas en Canadá, la autorización es una concesión de plazo limitado revocable por cable o en el acoplamiento, y el tope físico y el desbloqueo manual de cada actuador permanecen siempre.

El detalle técnico se libera por etapas. Lo público es la capacidad y la arquitectura depurada. Los informes de programa y los documentos depurados de control de interfaz, después los registros de configuración y la documentación de integración, ciberseguridad y soporte, y después los planos, las listas de materiales y los datos técnicos restringidos se abren en cuatro niveles bajo acuerdos de confidencialidad y controles de exportación y de seguridad. Para un integrador, el límite es un documento de interfaz externa controlada sobre una conexión cableada o en el acoplamiento, que transporta objetos de misión, estado, salud y eventos, con la implementación interna protegida: un sistema externo solicita trabajo en ese vocabulario y no recibe ninguna autoridad sobre los actuadores. Toda consulta se verifica, el suministro está sujeto a permisos de exportación canadienses emitidos por envío, y en materia de exportación la postura es consultar primero al asesor jurídico. Los diseños tienen patente en trámite. Nada de lo que hay en este sitio es una oferta, y en él no aparece ningún precio.