Niciun nivel nu emite.
Niciun nivel nu se ghidează pe o legătură.

Fără radio și fără GPS la bordul flotei, cu singura excepție stabilită prin decizie: cele două configurații de deminare, KAOS-MC Land și KMM-01, au GNSS și legături de comandă, iar KMM-01 are în plus un radar de navigație maritimă și AIS, pentru a vedea traficul și pentru a fi văzută. În toate celelalte cazuri, în aer, pe sol, în apă sau sub pământ, nimic nu emite prin radio și nimic nu se ghidează pe o legătură. Excluderea radioului este o decizie de proiectare luată la planșetă, nu un petic aplicat ulterior, iar regula nu se îndoaie pentru comoditate: niciun cumpărător nu trebuie să calculeze de care parte a ei se află un program. Lucrările de deminare au un echipament de navigație și comunicație din cauza lucrării, nu din cauza platformei — o navă de suprafață este obligată de regulile de navigație să fie văzută și să răspundă, iar ambele mașini lucrează pe teren și pe apă al cărui perimetru clientul îl controlează și l-a măsurat, sub un supraveghetor nominalizat care urmărește lucrarea. Ce nu face niciodată acel echipament este să decidă ceva. O legătură pierdută restrânge ce are voie să facă mașina și o oprește, o ține pe loc sau o readuce, iar comportamentul de siguranță nu se află niciodată în aval de legătură.

O singură filosofie de proiectare oferă trei moduri de a ghida o platformă și niciunul nu conține radio. Nivelul 1, prestabilit: traiectoria este calculată înainte de lansare și nimic nu ghidează în zbor. Pe proiectilul principal Goose CS-110 acest lucru este literal — fără baterie, fără motor, fără receptor, fără servomecanism, fără senzor, fără indicator și fără inițiator — deci nimic de la bord nu poate fi bruiat sau falsificat, pentru că nu se află nimic la bord. Nivelul 2, ghidare prin fibră: platforma trage după ea o fibră optică și o persoană o comandă pe firul acela. O legătură fizică nu este expusă bruiajului, falsificării sau radiogoniometriei și păstrează un om în buclă prin însăși construcția ei. Acesta este nivelul implicit în toată flota și norma de legătură prin fir sub apă. Nivelul 3, IA optică: detecție pasivă de la bord, IA optică în aer și SLAM pe sol. Platforma recepționează și nu emite, deci nu are nevoie de nicio legătură și nu oferă nici una care să fie găsită.

Scara este o scară de acționare înainte de a fi orice altceva. Nivelul 1 își fixează aripioarele o singură dată, la lansare, fără acționare în zbor și fără electronică ce trebuie să supraviețuiască impulsului de lansare. Nivelurile 2 și 3 au nevoie de aripioare acționate: servomecanisme, alimentare și electronică de comandă, care adaugă cost și trebuie să treacă prin șocul lansării. Autoritatea de manevră se cumpără cu bani și cu complexitate, câte un nivel pe rând. Împărțirea pe niveluri este și o strategie de fabricație: toate trei nivelurile împart aceeași celulă de zbor turnată, aceeași familie de lansatoare și aceeași linie de producție, iar diferențele se află în compartimentul sarcinii utile. Sub pământ fibra transportă mai mult decât comenzi — este firul de întoarcere la ieșire, iar pe linia de foraj este produsul-conduct lăsat în gaură.

Scara este doctrină de familie, nu o specificație uniformă, iar fizica și misiunea o îndoaie program cu program. Goose CS-110 este Nivel 1 în configurația de proiectil principal; domeniul propulsat aparține CS-120, care este în principal Nivel 2 cu ghidare prin fibră și om în buclă, cu Nivelul 1 ca mod degradat. Pe mare nu există nivel balistic: legătura prin fibră este calul de povară al familiei Apă, cu autonomie delimitată pentru tronsoanele lungi. Familia Subteran este implicit Nivel 2 — ghidare, comunicații, fir de întoarcere și, pe seria de adâncime, alimentare într-un singur fir — iar Nivelul 3 este acolo doar autonomie de cartografiere, niciodată autonomie de angajare. Acolo unde se are în vedere un cap de autoghidare aerian de Nivel 3, consilierul juridic se pronunță primul.

O singură ordine a autorității guvernează ambele jumătăți ale întreprinderii, și ea este o constituție de program, nu un parametru. Siguranța cu acțiune directă are prioritate față de omul aflat la locul lucrării, care are prioritate față de un operator la distanță autorizat, care are prioritate față de controlerul determinist, iar planificatorul este ultimul. Siguranța independentă înlătură energia de mișcare pe calea proprie, dovedește starea sigură și deține dreptul final de veto, și nu poate depinde de sistemul de operare de uz general, de procesorul grafic sau de planificator pentru o acțiune de siguranță esențială. Un om calificat aprobă plaja de operare delimitată, sarcina și regulile de intervenție și nu poate ocoli o condiție de siguranță independentă. Controlul determinist al mișcării verifică și execută primitive aprobate în limitele proprii ale mașinii și nu poate inventa intenția misiunii. Inteligența de sarcină propune și secvențiază fără să alimenteze un element de acționare. Învățarea în exploatare colectează dovezi, deviații și demonstrații ale operatorului pentru versiunea următoare și nu poate promova singură un comportament nou în exploatare.

Percepția este modul în care o platformă știe unde se află și ce este în jurul ei. Nimic din ea nu este o legătură și nimic din ea nu poate porni o mașină. Pe flotă, nivelul autonom este pasiv optic: citește lumină, nu un canal, deci nu oferă niciunui senzor de emisie nimic de găsit în spectru. Pe o mașină convertită, setul de percepție este local și mixt — camere, lidar și detecție de proximitate, care rezolvă obiecte, spațiu liber, pericole și încrederea atașată fiecăruia — iar o cameră care citește bordul mașinii este modul în care se preia starea instrumentelor, în locul unei derivații din magistrala producătorului. Autonomia utilajelor grele are nevoie de o estimare a stării mai apropiată de ceea ce percepe de fapt un operator experimentat, așa că setul de stări este mai larg decât o poziție: sistemele de referință ale șasiului și ale sculei, panta terenului și planul local de sprijin, patinarea și încrederea în aderență, sarcina și interacțiunea sculei, starea senzorilor și încrederea în praf, strălucire, precipitații, întuneric și obturare. Starea necunoscută este o stare valabilă, iar când calitatea stării scade sub ceea ce cere o deprindere, sistemul de sarcini încetinește, se oprește, cere analiză umană sau interzice deprinderea. Percepția externă poate înlătura autoritatea. Nu poate niciodată să o creeze.

Afirmația nu este una de imunitate. Fiecare dependență pe care arhitectura o elimină este numită, iar funcția care continuă fără ea este numită alături. Nu există receptor GNSS, deci o sarcină locală delimitată se execută pe localizare de la bord și locală, nu pe o poziție satelitară obținută pe altă cale. Nu există legătură radio de comandă, iar sarcina locală a mașinii nu are nevoie de comandă continuă. Nu există cloud: execuția misiunii și funcțiile de siguranță se execută local, mai întâi offline. Nu există hartă externă: percepția locală construiește o reprezentare a terenului pe care lucrează mașina, relevantă pentru sarcină. Nu există niciun serviciu străin obligatoriu: o versiune susținută funcționează și se reface local. Singura legătură este o fibră, doar la nivelul cu fir, iar pierderea ei se încheie cu o oprire sau o degradare definită, niciodată cu o continuare necontrolată.

Funcționarea offline este o proprietate de proiectare, nu o opțiune de implementare. Artefactele de compilare offline, imaginile semnate, oglinzile de dependențe și mediile de refacere sunt menținute pentru versiunile de teren susținute, iar imaginea de refacere și procedura ei sunt controlate. Sistemele externe vorbesc cu o poartă de misiune care traduce numai tipurile de cereri permise în vocabularul local aprobat de sarcini, rețelele de comandă a mașinii și de siguranță rămân separate de rețelele de serviciu și de misiune, iar o legătură externă nu poate crea autoritate asupra elementelor de acționare. Disciplina de livrare este scrisă: pornire securizată și măsurată acolo unde hardware-ul o permite, pachete semnate de firmware, software, modele și calibrări, acces de service pe bază de rol, separat de privilegiile dezvoltatorilor, un nomenclator al componentelor software pentru fiecare versiune susținută, actualizare offline cu verificări de autenticitate, compatibilitate și revenire la versiunea anterioară, jurnale protejate de evenimente și de mentenanță, precum și separarea semnării pentru dezvoltare, testare și producție.

De partea CDNS Autonomy, limita hardware este tot ce contează. Unitatea își preia sarcina în unul din trei moduri — încărcată și sigilată la doc, printr-o fibră către o persoană aflată la o stație la distanță de siguranță, sau prin propria percepție, în cadrul acelorași reguli. Un set de montaj este proiectat în jurul a șase familii de interfețe, nu în jurul unei mașini: comandă manuală pe două axe, comandă rotativă, comandă liniară la picior, comandă discretă, observarea instrumentelor și detecția stării dinamice. Păstrarea comenzilor producătorului este regula dominantă: direcția este acționată din centrul volanului, printr-o placă adaptoare, volanul nu este găurit, coroana rămâne liberă pentru mâinile omului, iar acționarea este reversibilă manual, limitată la cuplu și măsurată independent. Regulile se livrează sigilate și semnate, cu chei păstrate în Canada, autorizarea este o concesiune limitată în timp, revocabilă prin fir sau la doc, iar opritorul fizic și eliberarea manuală de pe fiecare element de acționare rămân întotdeauna la locul lor.

Detaliile tehnice se transmit în trepte. Public sunt capabilitatea și arhitectura expurgată. Prezentările de program și documentele expurgate de control al interfeței, apoi fișele de configurație și documentația de integrare, cibernetică și suport, apoi desenele, listele de materiale și datele tehnice restricționate se deschid în patru trepte, sub acorduri de confidențialitate și sub controale de export și de securitate. Pentru un integrator, limita este un document de interfață externă controlată, peste o conexiune cablată sau la doc, care transportă obiecte de misiune, stare, sănătate și evenimente, cu implementarea internă protejată: un sistem extern cere o lucrare în acest vocabular și nu primește nicio autoritate asupra elementelor de acționare. Fiecare solicitare este verificată, furnizarea este supusă autorizațiilor canadiene de export emise pentru fiecare expediere, iar poziția privind exportul se stabilește cu avizul prealabil al consilierului juridic. Proiectele au cereri de brevet în curs. Nimic de pe acest site nu este o ofertă și pe el nu apar prețuri.