Nehody jsou stále součástí dopravy, a to i když se věnuje nemalé úsilí technickému zdokonalování vozidel, dopravní infrastruktury, nebo vzdělávání řidičů a ostatních účastníků dopravního provozu. V roce 2023 v České republice řešila policie celkem 94 945 nehod při nichž zemřelo 455 osob.
Nejzásadnějším argumentem pro zavedení autonomní mobility je její dramatický vliv na snížení nehodovosti, a tedy počtu úmrtí na silnicích. Abychom tomuto příslibu jako společnost mohli dostát je před námi ještě dlouhá cesta, která by však neměla vyvolávat pochybnosti o technologii samotné. Jedním z takových incidentů popírající vnitřní logiku zavádění autonomní mobility se stal v pondělí 2. října v San Franciscu. Právě tam totiž došlo ke střetu autonomního vozidla provozovaného společností Cruise a chodce, který byl následně vozidlem ještě několik metrů vlečen a poté uvězněn pod koly vozidla.
Autonomní společnost Cruise vlastněná General Motors je jednou z nejúspěšnějších značek na trhu (Zdroj: Cruise)
Společnost Cruise již dříve získala povolení k provozu bez bezpečnostního řidiče od Kalifornského úřadu pro motorová vozidla a povolení k účtování poplatků za jízdu robotaxi od Kalifornské komise pro veřejné služby (vládní regulátor placených služeb komerční dopravy) a od té doby se řadila mezi jedny z nejúspěšnějších a nejspolehlivějších společností vyvíjející a provozující osobní autonomní vozidla. Pro účely vyšetřování společnost Cruise objednala vyhotovené externího reportu o nehodě, kterou následně ve svých odborných publikacích komentovali další odborníci zabývající se bezpečností autonomní vozidel. Vzniklý report se skládá ze dvou částí. První část je věnována řešení otázek dodržování právních předpisů a případného zavinění. A druhá část je technická zpráva, jejímž cílem je poskytnout analýzu hlavních příčin samotné havárie.
Nehoda začíná na křižovatce na čtyřproudé pozemní komunikaci, kde v odlesku červené barvy vyzařující ze semaforu vedle sebe stojí dvě vozidla. Jedním z nich je běžné, člověkem řízení vozidlo značky Nissan, které stojí ve středovém pruhu, který přiléhal ke středové čáře obousměrné komunikace. Druhým vozidlem je samořízené robotaxi značky Chevrolet Bolt provozované společností Cruise, které stálo v krajním pruhu. Jamile se na semaforu rozsvítila zelená barva vstupuje na protější straně křižovatky v místě přechodu pro chodce do vozovky chodec, který nejdříve přešel jízdní pruh autonomního vozidla a následně vozidla Nissan. A zatímco chodec přechází vozovku obě vozidla se rozjíždějí na zelenou. Jenomže cestu chodkyni blokuje vozidlo jedoucí do protisměru autonomního vozidla a vozidla Nissan. Chodkyně se tedy zastavila ve vozovce a zřejmě nevěnovala pozornost blížícímu se Nissanu, který jej srazil a následně po nárazu zabrzdil.
Tímto nárazem však událost nekončí. Chodec byl totiž vozidlem Nissan odmrštěn do dráhy autonomního vozidla Cruise, které ačkoliv těsně před nárazem začalo brzdit do chodce narazilo, předním kolem chodce přejelo a následně zastavilo. Vozidlo situaci vyhodnotilo jako boční náraz a ihned po zastavení vozidlo zahájilo manévr při kterém zajíždělo ke krajnici vozovky, aby dosáhlo takzvaného minimálního rizikového stavu. Ten standard SAE J3016 definuje jako “stabilní, zastavený stav, do kterého může uživatel nebo systém autonomního řízení uvést vozidlo po provedení záložních dynamických jízdních úkonů, aby se snížilo riziko havárie, pokud daná jízda nemůže nebo nemá pokračovat.” Jenomže chodec byl v tomto případě zachycen pod vozidlem a vlečen 20 metrů rychlostí až 12 km/h, přičemž v tom mohlo pokračovat i dále pokud by nerozpoznalo anomálii pohybu vozidla a předčasně nezastavilo. Centrum pro vzdálený dohled, které společnosti poskytuje kontraktorská společnost sídlící v Arizoně taky moc nepomohla, protože se s vozidlem spojila až v momentě, kdy se vozidlo nacházelo v polovině tohoto manévru.
Diagram nehody (Zdroj: Autor)
Systém zodpovědný za předpověď pohybu chodce, který je založený na strojovém učení předpokládal, že v momentě příjezdu vozidla do oblasti přechodu pro chodce bude chodec již mimo vozovku. Dnes už víme, že tato předpověď byla mylná a tak autonomní vozidlo po celou dobu kdy chodce detekovalo zrychlovalo a rychlost vozidla se za dobu kdy se chodec nacházel v jeho jízdním pruhu (tedy za 2,6 sekundy) více než zdvojnásobila, když rychlost narostla o 13 km/h. Toto zrychlení směrem k chodci je samo o sobě v rozporu s kalifornskými pravidly silničního provozu, která stanoví, že "řidič vozidla, který se blíží k chodci na jakémkoliv vyznačeném nebo nevyznačeném přechodu pro chodce, je povinen dbát zvýšené opatrnosti a snížit rychlost vozidla nebo učinit jiná opatření týkající se provozu vozidla, která jsou nezbytná k zajištění bezpečnosti chodce." [CA21950]
Autonomní vozidlo mělo dostatek času, aby na chodce reagovalo a ikdyž přihlédnem k prodlevě při brždění mohlo srážce zcela zabránit. Vozidlo chodce detekovalo po celou dobu, co se nacházel na přechodu pro chodce až do prvotní srážky chodce a vozidla Nissan. V čase nárazu 0 pak vozidlo Cruise kvůli pomalejší reakci brzdění muselo brzdit agresivněji nad hodnotu 0,5 g. Autonomní vozidlo se v čase srážky chodce a vozidla Nissan chovalo způsobem, který nebral v potaz pohyb chodce v místě těsně předcházejícímu nárazu vozidla a chodce. Ačkoliv tedy existovali informace ze senzorů o výskytu chodce, systém nebyl schopen jej sledovat. Dle prohlášení ve zmíněném reportu je sledování takovéto sledování objektu nereálné a hypotetické, ale tato nehoda nám ukazuje, že nebrat v úvahu chodce sraženého jiným vozidlem jen několik málo metrů od autonomního vozidla není nejbezpečnější a nejzodpovědnější přístup.
Detekce nárazu autonomního vozidla a dalšího objektu (v tomto případě chodce) závisí na schopnosti sledování objektu, tedy pomineme-li systém předpovídající polohu objektu v budoucnu je závislá na jeho správné detekce senzory. Tento náraz se udál v místě mimo dosah lidaru, což přispělo k nesprávnému vyhodnocení polohy chodce během nárazu a po něm. Ovšem zde nás instinkt radí potřebu osadit vozidlo dalšími dalšími senzory může klamat. Vozidlo totiž informace o výskytu chodce v bezprostřední blízkosti chodce mělo načež jej následně ztratilo z dohledu. Tato situace vyžaduje alespoň zvláštní přístup v dalším pohybu vozidla, pakliže ne přímo kontrolu dopravní situace vzdáleným operátorem.
Centrum vzdálené asistence smělo přístup k informacím v podstatě okamžitě, takže systém vzdáleného dohledu mohl vidět a slyšet, co se stalo, včetně srážky vozidla s chodcem a sekvencí vlečení. Místo toho se vozidlo zlomek sekundy po zastavení znovu rozjelo, a to zcela samo. Ačkoliv zde zcela vzdálená asistence procesně zcela selhala byl kanál pro přenos informací mezi vozidlem a centrem pro vzdálený dohled alespoň úspěšně využít ke komunikaci se zásahovými jednotkami na místě, které například vzdálené asistenci poradili, aby vozidlo udrželi v klidu.
Autonomní vozidlo Chevrolet Bolt společnosti Cruise v provozu (Zdroj: Cruise)
Závěrem se musíme vrátit na samotný úvod tohoto článku, kde je zmíněno, že zásadním argumentem pro masivní rozšíření autonomních vozidel je jejich vyšší bezpečnost provozu oproti dopravě založené na vozidlech řízených člověkem. Z tohoto pohledu v tomto incidentu není nejzajímavější bizarnost odmrštění chodce od konvenčního vozidla “pod kola” autonomního vozidla, nebo samotný náraz autonomního vozidla s chodce, ale selhání detekce nárazu autonomního vozidla s chodce. I report sám přiznává "Poté, co autonomní vozidlo srazilo chodce, by si pozorný a všímavý lidský řidič uvědomil, že došlo k nějakému nárazu, a nepokračoval by v jízdě bez dalšího prozkoumání situace." A i vzhledem k tomu, že nebylo zjištěno žádné selhání hardwaru, či softwaru se nelze ubránit pocitu nejen funkční nedostatečnosti systému nad rámec definovaných vad, ale že se více jedná o selhání nastavení bezpečnostních procesů a protokolů. To podporuje i fakt ponehodové dokumentace, která nezmiňuje žádný metodický postup pro uchování důkazů, jako je konfigurace vozidla, komunikační protokoly a další technické údaje. Vyzrálá technologie se mimo jiné vyznačuje tím, že ví, kde jsou její limity a v případě potřeby řešit situace nad rámec jejich schopností požádá o pomoc. Je pak už celkem jedno, jestli o pomoc požádá člověka, nebo jiný systém, který je specializovaný na řešení dané situace. V tomto případě byla pomoc promptně “vyžádána” spojením s centrem pro vzdálený dohled, nicméně, než mohlo dojít k nějaké analýze sitiuace vozidlo již zahájilo manévr pro zajištění stavu minimálního rizika, který nepochybně vedl k dalšímu zranění chodce, místo aby počkal na pokyny vzdáleného operátora. Ačkoli je rychlý přesun autonomního vozidla mimo jízdní pruhy žádoucí, zdá se, že takový přesun po detekované kolizi je velmi riskantní vzhledem k vysoké variabilitě a nejistotě možných pokolizních scénářů. Jistě, kde, jaký konstruktér, dopravní expert, nebo inženýr dokáže vyjmenovat hned několik důvodů proč se takto vozidlo zachovalo, a ještě více důvodů proč je to správný postup. Na druhou stranu přístup, kdy se vozidlo svévolně rozhodne pro další pohyb po nárazu do objektu, který není klasifikovaný je při nejmenším podivný z pohledu systémové bezpečnosti. Selhání vzdáleného dohledu pak už jen zvýrazňuje fakt, že tísňovou linku 911 nezavolal operátor centra pro vzdálený dohled, ale náhodný kolemjdoucí.
Jaké jsou tedy nejdůležitější poučení z této situace? Za prvé, že autonomní vozidlo (potažmo jeho provozovatel) se nemůže zbavit odpovědnosti za přiměřenou reakci na situaci, které mohou být nepředvídatelné a způsobené jinými účastníky provozu. Dále tato havárie podtrhává nutnost a potřebu vypořádat se s okrajovými scénáři, které se mohou vyskytnou jen velice zřídka, což však nesnižuje závažnost jejich dopadu. A posledním poučením je otázka provozu autonomních bez bezpečnostních řidičů. Je zřejmé, že pokud by se v daném autě nacházel bezpečnostní řidič mohli by kolizi autonomního vozidla s chodce předejít. Pokud by i přesto ke kolizi došlo následky nehody by byly významně menší a pomoci by se zraněnému mohlo dostat výrazně rychleji.
Zdroje: