Nessun livello trasmette.
Nessun livello guida su un collegamento.

Nessuna radio e nessun GPS a bordo della flotta, con l'unica eccezione stabilita: le due configurazioni per sminamento, KAOS-MC Land e KMM-01, portano GNSS e collegamenti di comando, e KMM-01 porta inoltre un radar marittimo e l'AIS per vedere il traffico ed essere vista. In ogni altro caso, in aria, a terra, in acqua o sotto terra, nulla trasmette via radio e nulla si guida su un collegamento. Escludere la radio è una scelta di progetto presa al tavolo da disegno anziché una correzione applicata dopo, e la regola non si piega per comodità: nessun acquirente deve stabilire da quale lato di essa stia un programma. Il lavoro di sminamento porta un corredo di navigazione e comunicazione per il lavoro anziché per la piattaforma — un'unità di superficie è tenuta dalle norme per prevenire gli abbordi in mare a essere vista e a rispondere, ed entrambe le macchine lavorano terreno e acqua il cui perimetro il cliente controlla e ha rilevato, sotto un supervisore nominato che osserva. Ciò che quel corredo non fa mai è decidere qualcosa. La perdita del collegamento restringe ciò che la macchina può fare e la ferma, la trattiene o la fa rientrare, e il comportamento di sicurezza non sta mai a valle del collegamento.

Una sola filosofia di progetto dà tre modi di guidare una piattaforma, e in nessuno di essi c'è la radio. Livello 1, preimpostato: la traiettoria è calcolata prima del lancio e nulla guida in volo. Sul proiettile di punta Goose CS-110 questo è letterale — nessuna batteria, nessun motore, nessun ricevitore, nessun servocomando, nessun sensore, nessun indicatore e nessun iniziatore — quindi a bordo non c'è nulla che possa essere disturbato o ingannato, perché a bordo non c'è nulla. Livello 2, guidato a fibra ottica: la piattaforma svolge una fibra ottica e una persona la comanda lungo quel filo. Un collegamento fisico non può essere disturbato, ingannato né localizzato per radiogoniometria, e tiene una persona nel ciclo per costruzione. È il livello predefinito su tutta la flotta e la norma per il cavo sotto la superficie. Livello 3, IA ottica: rilevamento passivo di bordo, IA ottica in aria e SLAM a terra. La piattaforma riceve e non trasmette, quindi non ha bisogno di alcun collegamento e non ne offre alcuno da individuare.

La scala è una scala di attuazione prima di essere qualunque altra cosa. Il Livello 1 imposta le sue alette una volta sola, al lancio, senza attuazione in volo e senza elettronica che debba sopravvivere all'impulso di lancio. I Livelli 2 e 3 richiedono alette comandate: attuatori, alimentazione ed elettronica di controllo che aggiungono costo e devono resistere allo shock di lancio. L'autorità di manovra si compra con denaro e complessità, un livello alla volta. La suddivisione in livelli è anche una strategia di produzione: tutti e tre i livelli condividono la cellula stampata, la famiglia di lanciatori e la linea di produzione, e le differenze vivono nel vano del carico utile. Sotto terra la fibra porta più dei comandi: è la traccia per uscire, e sulla linea di perforazione è il condotto lasciato nel foro come prodotto.

La scala è dottrina di famiglia anziché una specifica uniforme, e fisica e missione la piegano programma per programma. Goose CS-110 è Livello 1 nella configurazione di proiettile di punta; il perimetro propulso sta con CS-120, che è Livello 2 guidato a fibra ottica come modalità primaria, con una persona nel ciclo, e Livello 1 come modalità degradata. In mare non esiste un livello balistico: il cavo in fibra è il mezzo di lavoro sulla famiglia Acqua, con autonomia delimitata per le tratte lunghe. La famiglia Sottosuolo è Livello 2 per impostazione — guida, comunicazioni, traccia di ritorno e, sulla serie profonda, alimentazione in un solo filo — e là il Livello 3 è solo autonomia di mappatura, mai autonomia di impiego. Dove si prenda in considerazione un cercatore aereo di Livello 3, viene prima il parere legale.

Un solo ordine di autorità governa entrambe le metà dell'impresa, ed è una costituzione di programma anziché un'impostazione. La sicurezza fisica sovrasta la persona sul posto, che sovrasta un operatore remoto autorizzato, che sovrasta il controllore deterministico, e il pianificatore viene per ultimo. La sicurezza indipendente toglie energia al movimento per una via propria, prova lo stato sicuro e detiene il veto finale, e non può dipendere dal sistema operativo generico, dal processore grafico o dal pianificatore per un'azione di sicurezza fondamentale. Una persona qualificata approva l'inviluppo operativo delimitato, il compito e le regole di intervento, e non può scavalcare una condizione di sicurezza indipendente. Il controllo deterministico del movimento verifica ed esegue primitive approvate entro i limiti propri della macchina e non può inventare un'intenzione di missione. L'intelligenza di compito propone e mette in sequenza senza alimentare un attuatore. L'apprendimento in esercizio raccoglie evidenze, derive e dimostrazioni dell'operatore per il rilascio successivo, e non può promuovere da sé un nuovo comportamento in servizio.

La percezione è il modo in cui una piattaforma sa dove si trova e che cosa ha attorno. Nulla di essa è un collegamento, e nulla di essa può avviare una macchina. Sulla flotta il livello autonomo è ottico passivo: legge la luce anziché un canale, quindi non dà a un emettitore nulla da individuare nello spettro. Su una macchina convertita il corredo di percezione è locale e misto — telecamere, lidar e rilevamento di prossimità, che risolvono oggetti, spazio libero, pericoli e la confidenza associata a ciascuno — e una telecamera che legge il quadro strumenti della macchina stessa è il modo in cui si acquisisce lo stato degli strumenti, invece di un prelievo dal bus del costruttore. L'autonomia delle macchine pesanti ha bisogno di una stima dello stato più vicina a ciò che un operatore esperto percepisce davvero, quindi l'insieme degli stati è più ampio di una posizione: riferimenti del telaio e dell'attrezzo, pendenza del terreno e piano di appoggio locale, slittamento e confidenza nella trazione, carico e interazione dell'attrezzo, salute dei sensori e confidenza in presenza di polvere, riverbero, precipitazioni, oscurità e occlusione. Uno stato ignoto è uno stato valido, e quando la qualità dello stato scende sotto ciò che una competenza richiede il sistema di compito rallenta, si ferma, chiede una revisione umana o vieta quella competenza. La percezione esterna può togliere autorità. Non può mai crearla.

L'affermazione non è di immunità. Ogni dipendenza che l'architettura rimuove è nominata, e accanto a essa è nominata la funzione che prosegue senza di essa. Non c'è ricevitore GNSS, quindi un compito locale delimitato si svolge sulla localizzazione di bordo e locale anziché su una posizione satellitare acquisita per altra via. Non c'è collegamento radio di comando, e il compito locale della macchina non richiede un comando continuo. Non c'è cloud: l'esecuzione della missione e le funzioni di sicurezza girano localmente, prima di tutto fuori rete. Non c'è mappa esterna: la percezione locale costruisce una rappresentazione, pertinente al compito, del terreno su cui la macchina lavora. Non c'è alcun servizio estero obbligatorio: una versione supportata opera e si ripristina localmente. L'unico collegamento è una fibra, solo nel livello a cavo, e la sua perdita finisce in un arresto o in un degrado definiti, mai in una prosecuzione incontrollata.

Il funzionamento fuori rete è una proprietà di progetto anziché un'opzione di impiego. Artefatti di build fuori rete, immagini firmate, mirror delle dipendenze e supporti di ripristino sono mantenuti per le versioni di campo supportate, e l'immagine di ripristino con la sua procedura è sotto controllo. I sistemi esterni dialogano con un gateway di missione che traduce solo i tipi di richiesta consentiti nel vocabolario di compito locale approvato, le reti di controllo macchina e di sicurezza restano separate dalle reti di servizio e di missione, e un collegamento esterno non può creare autorità sugli attuatori. La disciplina di rilascio è scritta: avvio sicuro e misurato dove l'hardware lo consente, firmware, software, modelli e pacchetti di calibrazione firmati, accesso di servizio basato sui ruoli e separato dai privilegi di sviluppo, una distinta dei componenti software per ogni versione supportata, aggiornamento fuori rete con verifiche di autenticità, compatibilità e ripristino, registri di eventi e di manutenzione protetti, e firme di sviluppo, collaudo e produzione tenute separate.

Sul lato CDNS Autonomy il confine hardware è tutto il punto. L'unità riceve il proprio lavoro in uno di tre modi: caricato e sigillato all'attacco, tramite un cavo in fibra verso una persona a una postazione a distanza di sicurezza, oppure dalla propria percezione entro le stesse regole. Un kit è ingegnerizzato attorno a sei famiglie di interfaccia anziché attorno a una macchina: comando manuale a due assi, comando rotativo, comando lineare a pedale, comando discreto, osservazione degli strumenti e rilevamento dello stato dinamico. Conservare il comando del costruttore è la regola che governa: lo sterzo è azionato dal centro del volante attraverso una piastra di adattamento, il volante non viene forato, la corona resta libera per le mani di una persona, e l'azionamento è retrocedibile, limitato in coppia e rilevato in modo indipendente. Le regole sono consegnate sigillate e firmate con chiavi custodite in Canada, l'autorizzazione è una concessione a tempo revocabile via cavo o all'attacco, e l'arresto fisico e lo sgancio manuale su ogni attuatore restano sempre presenti.

Il dettaglio tecnico è rilasciato per gradi. Ciò che è pubblico è la capacità e l'architettura depurata. I brief di programma e i documenti di controllo dell'interfaccia depurati, poi i registri di configurazione e la documentazione di integrazione, cyber e supporto, poi i disegni, le distinte base e i dati tecnici riservati, si aprono in quattro livelli sotto accordi di riservatezza e controlli di esportazione e sicurezza. Per un integratore il confine è un documento di interfaccia esterna controllata su una connessione via cavo o all'attacco, che porta oggetti di missione, stato, salute ed eventi, con l'implementazione interna protetta: un sistema esterno richiede lavoro in quel vocabolario e non riceve alcuna autorità sugli attuatori. Ogni richiesta è sottoposta a verifica preliminare, la fornitura è soggetta a licenze canadesi di esportazione rilasciate per singola spedizione, e in materia di esportazione viene prima il parere legale. I progetti sono oggetto di domande di brevetto in corso. Nulla su questo sito è un'offerta, e su di esso non compaiono prezzi.