Nejzásadnějším argumentem pro zavedení autonomní mobility je její dramatický vliv na snížení nehodovosti, a tedy počtu úmrtí na silnicích. Abychom tomuto příslibu jako společnost mohli dostát je před námi ještě dlouhá cesta, která by však neměla vyvolávat pochybnosti o technologii samotné. Jedním z takových incidentů popírající vnitřní logiku zavádění autonomní mobility se stal v pondělí 2. října v San Franciscu. Právě tam totiž došlo ke střetu autonomního vozidla provozovaného společností Cruise a chodce, který byl následně vozidlem ještě několik metrů vlečen a poté uvězněn pod koly vozidla.

Společnost Cruise již dříve získala povolení k provozu bez bezpečnostního řidiče od Kalifornského úřadu pro motorová vozidla a povolení k účtování poplatků za jízdu robotaxi od Kalifornské komise pro veřejné služby (vládní regulátor placených služeb komerční dopravy) a od té doby se řadila mezi jedny z nejúspěšnějších a nejspolehlivějších společností vyvíjející a provozující osobní autonomní vozidla. Pro účely vyšetřování společnost Cruise objednala vyhotovené externího reportu o nehodě, kterou následně ve svých odborných publikacích komentovali další odborníci zabývající se bezpečností autonomní vozidel. Vzniklý report se skládá ze dvou částí. První část je věnována řešení otázek dodržování právních předpisů a případného zavinění. A druhá část je technická zpráva, jejímž cílem je poskytnout analýzu hlavních příčin samotné havárie.

Nehoda začíná na křižovatce na čtyřproudé pozemní komunikaci, kde v odlesku červené barvy vyzařující ze semaforu vedle sebe stojí dvě vozidla. Jedním z nich je běžné, člověkem řízení vozidlo značky Nissan, které stojí ve středovém pruhu, který přiléhal ke středové čáře obousměrné komunikace. Druhým vozidlem je samořízené robotaxi značky Chevrolet Bolt provozované společností Cruise, které stálo v krajním pruhu. Jamile se na semaforu rozsvítila zelená barva vstupuje na protější straně křižovatky v místě přechodu pro chodce do vozovky chodec, který nejdříve přešel jízdní pruh autonomního vozidla a následně vozidla Nissan. A zatímco chodec přechází vozovku obě vozidla se rozjíždějí na zelenou. Jenomže cestu chodkyni blokuje vozidlo jedoucí do protisměru autonomního vozidla a vozidla Nissan. Chodkyně se tedy zastavila ve vozovce a zřejmě nevěnovala pozornost blížícímu se Nissanu, který jej srazil a následně po nárazu zabrzdil.

Tímto nárazem však událost nekončí. Chodec byl totiž vozidlem Nissan odmrštěn do dráhy autonomního vozidla Cruise, které ačkoliv těsně před nárazem začalo brzdit do chodce narazilo, předním kolem chodce přejelo a následně zastavilo. Vozidlo situaci vyhodnotilo jako boční náraz a ihned po zastavení vozidlo zahájilo manévr při kterém zajíždělo ke krajnici vozovky, aby dosáhlo takzvaného minimálního rizikového stavu. Ten standard SAE J3016 definuje jako “stabilní, zastavený stav, do kterého může uživatel nebo systém autonomního řízení uvést vozidlo po provedení záložních dynamických jízdních úkonů, aby se snížilo riziko havárie, pokud daná jízda nemůže nebo nemá pokračovat.” Jenomže chodec byl v tomto případě zachycen pod vozidlem a vlečen 20 metrů rychlostí až 12 km/h, přičemž v tom mohlo pokračovat i dále pokud by nerozpoznalo anomálii pohybu vozidla a předčasně nezastavilo. Centrum pro vzdálený dohled, které společnosti poskytuje kontraktorská společnost sídlící v Arizoně taky moc nepomohla, protože se s vozidlem spojila až v momentě, kdy se vozidlo nacházelo v polovině tohoto manévru.

Detailní časový přehled událost vypadá následovně:

• -38,3 s: Chodec přechází ulici souběžně s pohybem vozidel, pak odbočí doleva a přejde před vozidla na vzdálenější straně křižovatky. Chodec zůstává po celou dobu na dohled autonomnímu vozidlu. Není známo, zda vozidlo sledovalo pohled chodce jako pokus o "oční kontakt" s vozidlem před zahájením přecházení v čase -7,9 sekundy.
• -10 s: Světelná signalizace se mění na zelenou; obě vozidla jsou nehybná.
• -9,2 s: V tomto okamžiku Nissan i autonomní vozidlo zrychlují přímo k prázdnému přechodu na protější straně křižovatky. Nissan má mírný náskok před vozidlem Cruise.
• -7,9 s: Chodec vstupuje na přechod pro chodce. Autonomní vozidlo jede rychlostí přibližně 9 km/h.
• -7,7 s: Autonomní vozidlo předpovídá, že chodec přejde jeho jízdní pruh. Vozidlo pokračuje ve zrychlování.
• -5,3 s: Chodec opustí jízdní pruh autonomního vozidla po 2,6 s. To v danou dobu jede rychlostí přibližně 22 km/h a pokračuje ve zrychlování.
• -4,8 s: Autonomní vozidlo dle polohy Nissanu a chodce vyhodnocuje jako objekty se kterým může mít potenciální kolizi, nicméně nepočítá s možností kolize Nissanu a chodce.
• -4,7 s: Chodec zastaví v jízdním pruhu Nissanu, který je blokován provozem v protisměru, a zůstane na přechodu.
• -4,6 s: Autonomní vozidlo se ve svém jízdním pruhu vychýlí doprava, pravděpodobně v důsledku přítomnosti chodce v přilehlém jízdním pruhu.
• -2,9 s: Nissan narazí do chodce při rychlosti 35 km/h bez předchozího brzdění. Autonomní vozidlo nyní jede rychlostí 28 km/h a tuto rychlost si udržuje po celou následující sekundu. Chodec se v době střetu pohybuje rychlostí 4 km/h. Palubní kamera autonomního vozidla zachycuje snímek této srážky, který byl v zorném poli.
• -2,0 s: Sledování chodce autonomním vozidlem je zrušeno. Přerušovaná klasifikace a sledování však pokračuje až do -0,3 s.
• -1,5 s: (přibližně): Autonomní vozidlo mírně zrychluje.
• -1,17 s: Vizuální oddělení chodce od vozu Nissan. Autonomní vozidlo jede rychlostí rychlosti 29 km/h.
• -1,07 s: Nissan zahájí prudké brždění.
• -0,78 s: Chodec je odmrštěn do jízdního pruhu autonomního vozidla přibližně 21,5 stopy před vozidlem, které jede rychlostí 29,5 km/h.
• -0,78 s: Časový bod, kdy by zahájení brzdění zcela zabránilo kontaktu s chodcem, ale autonomní vozidlo mírně zvýšilo rychlost.
• -0.41: Předpovězená hrozící kolize autonomním vozidlem.
• -0,3 s: Poslední správná klasifikace chodce vozidlem, přerušovaná klasifikace a sledování chodců vede k tomu, že vozidlo detekuje "obsazený prostor", což vede k příkazům řízení a brzdění.
• -0,25 s: Autonomní vozidlo vyšle příkazy k řízení a brzdění. Vozidlo při rychlosti 31 km/h.
• -0,2 s: Nissan se zcela zastavil.
• 0 s: První kontakt předního nárazníku s chodcem. Vozidlo zpomaluje o 0,8 km/h na 30 km/h. Systém ochrany proti nárazu nesprávně identifikuje boční náraz. Centrum pro vzdálený dohled vidělo chodce na kapotě autonomního vozidla na časově zpožděném videu.
• +0,23 s: Vozidlo levým předním kolem přejede chodce.
• +1,78 s: Vozidlo brzdí, aby dosáhlo nulové rychlosti.
• +1,83 s: Vozidlo začíná po nárazu zrychlovat, aby zajistilo “stav minimálního rizika”. Vozidlo začne táhnout chodce přibližně 6 metrů rychlostí až 12,4 km/h. Do několika sekund po nárazu vozidlo odešle do třísekundový videozáznam kolize do centra pro vzdálený dohled, který obsahuje pouze událost kolize.
• +3,8 s: Levé přední kolo se roztočí v rychlosti asi 32 km/h při kontrole trakce v důsledku zachyceného chodce, který fyzicky brání pohybu vozidla.
• Do 5 sekund: Centrum pro vzdálený dohled shlédlo video kolize (konkrétně jak byl chodec odmrštěn na kapotu, dále byly vidět a slyšet nárazy a vozidlo, které již odjíždělo na stranu).
• +5,8 s: Uvádí se, že v důsledku prokluzu kol dochází k okamžitému zastavení. Nebýt toho vozidlo mohlo místo toho táhnout chodce až 30 metrů. Ve skutečnosti vozidlo spustí manévr postupného zpomalování až zastavení.
• +8,8 s: Dosažen konečný bod klidu autonomního vozidla. Chodec je z velké části pod zadní částí vozidla. Nohy vyčnívají z levé zadní části vozidla, přičemž nejméně jedna noha chodce leží na pneumatice. Chodce a jeho dolní končetiny byly viditelné v širokoúhlém pohledu levé boční kamery po celou dobu události. Nohy byly krátce detekovány, ale nebyly klasifikovány ani sledovány po srážce.
• +2 min.: Dispečery tísňového volání 911 upozornil na nehodu náhodný svědek. Nic nenasvědčuje tomu, že by společnost Cruise nebo její smluvní partneři někdy volali dispečerům městské záchranné služby.
• +3 min.: Vozidlo poslalo poslala do centra pro vzdálený dohled 14sekundové video, na kterém je vidět kolize, ale ne manévr, při kterém byl chodec vlečen.
• +8 min.: Na místě jsou záchranáři. Prostřednictvím autonomního vozidla žádají centrum pro vzdálený dohled, aby do vyproštění ponechalo vozidlo na místě.
• +10 až +15 min.: Cruise zaměstnanci z podpory pro autonomní vozidla se dostavili na místo události.
• +20 min.: Cruise tým pro řešení incidentů označuje nehodu jako "Sev-1" (menší srážka) na základě údajů z centra pro vzdálený dohled.
• do +20 min.: Je aktivován systém, který informuje zaměstnance Cruise o "menším" neštěstí.
• +45 min.: Na místo přijíždějí pracovníci smluvní společnosti, kteří zaznamenávají pohyb autonomního vozidla po nehodě, krev oběti a další skvrny na zemi.
• +2 hodiny: Cruise upravuje zařazení nehody na "Sev-0" (závažná nehoda se zraněním) a informuje další zaměstnance.
• Dále následuje další vyšetřování na místě nehody za přítomnosti záchranářů, zaměstnanců Cruise i centra pro vzdálený dohled.

Systém zodpovědný za předpověď pohybu chodce, který je založený na strojovém učení předpokládal, že v momentě příjezdu vozidla do oblasti přechodu pro chodce bude chodec již mimo vozovku. Dnes už víme, že tato předpověď byla mylná a tak autonomní vozidlo po celou dobu kdy chodce detekovalo zrychlovalo a rychlost vozidla se za dobu kdy se chodec nacházel v jeho jízdním pruhu (tedy za 2,6 sekundy) více než zdvojnásobila, když rychlost narostla o 13 km/h. Toto zrychlení směrem k chodci je samo o sobě v rozporu s kalifornskými pravidly silničního provozu, která stanoví, že "řidič vozidla, který se blíží k chodci na jakémkoliv vyznačeném nebo nevyznačeném přechodu pro chodce, je povinen dbát zvýšené opatrnosti a snížit rychlost vozidla nebo učinit jiná opatření týkající se provozu vozidla, která jsou nezbytná k zajištění bezpečnosti chodce." [CA21950]

Autonomní vozidlo mělo dostatek času, aby na chodce reagovalo a ikdyž přihlédnem k prodlevě při brždění mohlo srážce zcela zabránit. Vozidlo chodce detekovalo po celou dobu, co se nacházel na přechodu pro chodce až do prvotní srážky chodce a vozidla Nissan. V čase nárazu 0 pak vozidlo Cruise kvůli pomalejší reakci brzdění muselo brzdit agresivněji nad hodnotu 0,5 g. Autonomní vozidlo se v čase srážky chodce a vozidla Nissan chovalo způsobem, který nebral v potaz pohyb chodce v místě těsně předcházejícímu nárazu vozidla a chodce. Ačkoliv tedy existovali informace ze senzorů o výskytu chodce, systém nebyl schopen jej sledovat. Dle prohlášení ve zmíněném reportu je sledování takovéto sledování objektu nereálné a hypotetické, ale tato nehoda nám ukazuje, že nebrat v úvahu chodce sraženého jiným vozidlem jen několik málo metrů od autonomního vozidla není nejbezpečnější a nejzodpovědnější přístup.

Detekce nárazu autonomního vozidla a dalšího objektu (v tomto případě chodce) závisí na schopnosti sledování objektu, tedy pomineme-li systém předpovídající polohu objektu v budoucnu je závislá na jeho správné detekce senzory. Tento náraz se udál v místě mimo dosah lidaru, což přispělo k nesprávnému vyhodnocení polohy chodce během nárazu a po něm. Ovšem zde nás instinkt radí potřebu osadit vozidlo dalšími dalšími senzory může klamat. Vozidlo totiž informace o výskytu chodce v bezprostřední blízkosti chodce mělo načež jej následně ztratilo z dohledu. Tato situace vyžaduje alespoň zvláštní přístup v dalším pohybu vozidla, pakliže ne přímo kontrolu dopravní situace vzdáleným operátorem.

Centrum vzdálené asistence smělo přístup k informacím v podstatě okamžitě, takže systém vzdáleného dohledu mohl vidět a slyšet, co se stalo, včetně srážky vozidla s chodcem a sekvencí vlečení. Místo toho se vozidlo zlomek sekundy po zastavení znovu rozjelo, a to zcela samo. Ačkoliv zde zcela vzdálená asistence procesně zcela selhala byl kanál pro přenos informací mezi vozidlem a centrem pro vzdálený dohled alespoň úspěšně využít ke komunikaci se zásahovými jednotkami na místě, které například vzdálené asistenci poradili, aby vozidlo udrželi v klidu.

Závěrem se musíme vrátit na samotný úvod tohoto článku, kde je zmíněno, že zásadním argumentem pro masivní rozšíření autonomních vozidel je jejich vyšší bezpečnost provozu oproti dopravě založené na vozidlech řízených člověkem. Z tohoto pohledu v tomto incidentu není nejzajímavější bizarnost odmrštění chodce od konvenčního vozidla “pod kola” autonomního vozidla, nebo samotný náraz autonomního vozidla s chodce, ale selhání detekce nárazu autonomního vozidla s chodce. I report sám přiznává "Poté, co autonomní vozidlo srazilo chodce, by si pozorný a všímavý lidský řidič uvědomil, že došlo k nějakému nárazu, a nepokračoval by v jízdě bez dalšího prozkoumání situace." A i vzhledem k tomu, že nebylo zjištěno žádné selhání hardwaru, či softwaru se nelze ubránit pocitu nejen funkční nedostatečnosti systému nad rámec definovaných vad, ale že se více jedná o selhání nastavení bezpečnostních procesů a protokolů. To podporuje i fakt ponehodové dokumentace, která nezmiňuje žádný metodický postup pro uchování důkazů, jako je konfigurace vozidla, komunikační protokoly a další technické údaje. Vyzrálá technologie se mimo jiné vyznačuje tím, že ví, kde jsou její limity a v případě potřeby řešit situace nad rámec jejich schopností požádá o pomoc. Je pak už celkem jedno, jestli o pomoc požádá člověka, nebo jiný systém, který je specializovaný na řešení dané situace. V tomto případě byla pomoc promptně “vyžádána” spojením s centrem pro vzdálený dohled, nicméně, než mohlo dojít k nějaké analýze sitiuace vozidlo již zahájilo manévr pro zajištění stavu minimálního rizika, který nepochybně vedl k dalšímu zranění chodce, místo aby počkal na pokyny vzdáleného operátora. Ačkoli je rychlý přesun autonomního vozidla mimo jízdní pruhy žádoucí, zdá se, že takový přesun po detekované kolizi je velmi riskantní vzhledem k vysoké variabilitě a nejistotě možných pokolizních scénářů. Jistě, kde, jaký konstruktér, dopravní expert, nebo inženýr dokáže vyjmenovat hned několik důvodů proč se takto vozidlo zachovalo, a ještě více důvodů proč je to správný postup. Na druhou stranu přístup, kdy se vozidlo svévolně rozhodne pro další pohyb po nárazu do objektu, který není klasifikovaný je při nejmenším podivný z pohledu systémové bezpečnosti. Selhání vzdáleného dohledu pak už jen zvýrazňuje fakt, že tísňovou linku 911 nezavolal operátor centra pro vzdálený dohled, ale náhodný kolemjdoucí.

Jaké jsou tedy nejdůležitější poučení z této situace? Za prvé, že autonomní vozidlo (potažmo jeho provozovatel) se nemůže zbavit odpovědnosti za přiměřenou reakci na situaci, které mohou být nepředvídatelné a způsobené jinými účastníky provozu. Dále tato havárie podtrhává nutnost a potřebu vypořádat se s okrajovými scénáři, které se mohou vyskytnou jen velice zřídka, což však nesnižuje závažnost jejich dopadu. A posledním poučením je otázka provozu autonomních bez bezpečnostních řidičů. Je zřejmé, že pokud by se v daném autě nacházel bezpečnostní řidič mohli by kolizi autonomního vozidla s chodce předejít. Pokud by i přesto ke kolizi došlo následky nehody by byly významně menší a pomoci by se zraněnému mohlo dostat výrazně rychleji.

Zdroje:
[QER2024] Quinn Emanuel Trial Laywers (2024). “Report to the Boards of Directors of
Cruise LLC, GM Cruise Holdings LLC, and General Motors Holdings LLC Regarding the
October 2, 2023 Accident in San Francisco. Jan. 24, 2024. https://bit.ly/49tmcKd
Koopman, P. (2024). Anatomy of a Robotaxi Crash: Lessons from the Cruise Pedestrian Dragging Mishap. arXiv preprint arXiv:2402.06046.