Nenhum nível transmite.
Nenhum nível se guia por uma ligação.

Sem rádio e sem GPS a bordo da frota, com a única exceção decidida: as duas configurações de desminagem, a KAOS-MC Land e a KMM-01, levam GNSS e ligações de comando, e a KMM-01 leva também um radar marítimo e AIS para ver o tráfego e ser vista. Em todo o resto, no ar, no solo, na água ou sob o solo, nada transmite por rádio e nada se guia por uma ligação. Excluir o rádio é uma decisão de projeto tomada na prancheta e não um remendo aplicado mais tarde, e a regra não cede por conveniência: nenhum comprador tem de descobrir de que lado dela está um programa. O trabalho de desminagem leva um conjunto de navegação e comunicações por causa do trabalho e não por causa da plataforma — uma embarcação de superfície é obrigada pelas regras de navegação a ser vista e a responder, e ambas as máquinas trabalham terreno e água cujo perímetro o cliente controla e levantou, sob um supervisor nomeado que está a observar. O que esse conjunto nunca faz é decidir alguma coisa. A perda de ligação restringe o que a máquina pode fazer e pára-a, retém-na ou fá-la regressar, e o comportamento de segurança nunca fica a jusante da ligação.

Uma só filosofia de projeto dá três maneiras de guiar uma plataforma, e o rádio não está em nenhuma delas. Nível 1, predefinido: a trajetória é calculada antes do lançamento e nada guia em voo. No projétil principal Goose CS-110 isso é literal — sem bateria, sem motor, sem recetor, sem servo, sem sensor, sem indicador e sem iniciador — pelo que nada a bordo pode sofrer interferência ou falsificação, porque nada vai a bordo. Nível 2, guiado por fibra: a plataforma desenrola uma fibra ótica e uma pessoa comanda-a pelo fio. Uma ligação física não pode sofrer interferência, falsificação ou radiogoniometria, e mantém um humano no ciclo por construção. Este é o nível por omissão em toda a frota e a norma de amarra debaixo de água. Nível 3, IA ótica: deteção passiva a bordo, IA ótica no ar e SLAM no solo. A plataforma recebe e não transmite, pelo que não precisa de qualquer ligação e não oferece nenhuma para ser encontrada.

A escala é uma escala de atuação antes de ser qualquer outra coisa. O Nível 1 fixa as suas aletas uma única vez, no lançamento, sem atuação em voo e sem eletrónica que tenha de sobreviver ao impulso do lançamento. Os Níveis 2 e 3 precisam de aletas acionadas: atuadores, energia e eletrónica de controlo que acrescentam custo e têm de viver através do choque de lançamento. A autoridade de manobra compra-se com dinheiro e complexidade, um nível de cada vez. A escala é também uma estratégia de fabrico: os três níveis partilham a fuselagem moldada, a família de lançadores e a linha de produção, e as diferenças vivem no compartimento de carga útil. Sob o solo, a fibra transporta mais do que comandos — é o rasto de regresso à saída, e na linha de perfuração é o próprio produto de conduta deixado no furo.

A escala é doutrina de família e não uma especificação uniforme, e a física e a missão fazem-na ceder programa a programa. A Goose CS-110 é de Nível 1 na configuração de projétil principal; o âmbito com propulsão pertence à CS-120, que é de Nível 2, guiada por fibra como modo principal com um humano no ciclo, e de Nível 1 como modo degradado. No mar não existe nível balístico: a amarra de fibra é a força de trabalho da família Água, com autonomia delimitada para os trajetos longos. A família Subsolo é de Nível 2 por omissão — guiamento, comunicações, rasto de regresso e, na série profunda, energia num só cordão — e aí o Nível 3 é apenas autonomia de cartografia, nunca autonomia de empenhamento. Onde se pondere um sensor de busca ótico de Nível 3 no ar, o parecer jurídico vem primeiro.

Uma só ordem de autoridade governa as duas metades da empresa, e é uma constituição de programa e não uma opção de configuração. A segurança física sobrepõe-se ao humano local, que se sobrepõe a um operador remoto autorizado, que se sobrepõe ao controlador determinístico, e o planeador fica em último lugar. A segurança independente retira energia de movimento pelo seu próprio caminho, prova o estado seguro e detém o veto final, e não pode depender do sistema operativo de uso geral, do processador gráfico ou do planeador para uma ação de segurança essencial. Um humano qualificado aprova o envelope de operação delimitado, a tarefa e as regras de intervenção, e não pode contornar uma condição de segurança independente. O movimento determinístico verifica e executa primitivas aprovadas dentro dos limites próprios da máquina e não pode inventar intenção de missão. A inteligência de tarefa propõe e sequencia sem energizar um atuador. A aprendizagem em funcionamento recolhe evidência, desvio e demonstrações do operador para a versão seguinte, e não pode promover por si um novo comportamento para serviço.

A deteção é a forma como uma plataforma sabe onde está e o que a rodeia. Nada dela é uma ligação e nada dela pode pôr uma máquina em funcionamento. Na frota, o nível autónomo é ótico passivo: lê luz e não um canal, pelo que não dá a um emissor nada no espetro para encontrar. Numa máquina convertida, o conjunto de perceção é local e misto — câmaras, lidar e deteção de proximidade, resolvendo objetos, espaço livre, perigos e a confiança associada a cada um — e uma câmara que lê o próprio painel de instrumentos da máquina é a forma de obter o estado dos instrumentos, em vez de uma derivação do barramento do fabricante. A autonomia em equipamento pesado precisa de uma estimativa de estado mais próxima do que um operador experiente realmente perceciona, pelo que o conjunto de estados é mais amplo do que uma posição: referenciais do chassis e da ferramenta, inclinação do terreno e plano de apoio local, escorregamento e confiança na tração, carga e interação da ferramenta, saúde dos sensores, e confiança em pó, encandeamento, precipitação, escuridão e oclusão. Estado desconhecido é um estado válido, e quando a qualidade do estado desce abaixo do que uma competência exige, o sistema de tarefas abranda, pára, pede revisão humana ou proíbe a competência. A deteção externa pode retirar autoridade. Nunca a pode criar.

A afirmação não é de imunidade. Cada dependência que a arquitetura retira é nomeada, e a função que continua sem ela é nomeada ao seu lado. Não há recetor GNSS, pelo que uma tarefa local delimitada corre sobre localização a bordo e local em vez de uma posição por satélite obtida por outra via. Não há ligação de comando por rádio, e a tarefa local da máquina não exige comando contínuo. Não há nuvem: a execução da missão e as funções de segurança executam-se localmente, primeiro sem ligação. Não há mapa externo: a perceção local constrói uma representação do terreno que a máquina está a trabalhar, relevante para a tarefa. Não há serviço estrangeiro obrigatório: uma versão suportada opera e recupera localmente. A única ligação é uma fibra, apenas no nível de amarra, e a sua perda termina numa paragem ou numa degradação definidas, nunca numa continuação descontrolada.

Funcionar primeiro sem ligação é uma propriedade de projeto e não uma opção de implantação. São mantidos artefactos de compilação offline, imagens assinadas, espelhos de dependências e suportes de recuperação para as versões de campo suportadas, e a imagem de recuperação e o seu procedimento são controlados. Os sistemas externos falam com um gateway de missão que traduz apenas os tipos de pedido permitidos para o vocabulário de tarefas local aprovado, as redes de controlo da máquina e de segurança ficam segregadas das redes de serviço e de missão, e uma ligação externa não pode criar autoridade sobre atuadores. A disciplina de lançamento de versões está escrita: arranque seguro e medido onde o equipamento o suporta, firmware, software, modelos e pacotes de calibração assinados, acesso de assistência baseado em funções e separado dos privilégios de desenvolvimento, uma lista de materiais de software por versão suportada, atualização offline com verificações de autenticidade, compatibilidade e reversão, registos de eventos e de manutenção protegidos, e assinatura de desenvolvimento, de teste e de produção mantidas separadas.

Do lado da CDNS Autonomy, a fronteira de equipamento é o ponto essencial. A unidade recebe o seu trabalho por uma de três vias — carregado e selado na base de acoplamento, uma amarra de fibra até uma pessoa numa estação afastada, ou a sua própria perceção dentro das mesmas regras. Seis famílias de interface são aquilo em torno do qual um kit é projetado, em vez de uma máquina: comando manual de dois eixos, comando rotativo, comando linear de pé, comando discreto, observação de instrumentos e deteção de estado dinâmico. Manter o comando do fabricante é a regra que governa: a direção é acionada a partir do centro do volante através de uma placa adaptadora, o volante não é perfurado, o aro fica livre para as mãos humanas, e o acionamento é reversível, limitado em binário e medido de forma independente. As regras são entregues seladas e assinadas, com chaves mantidas no Canadá, a autorização é uma concessão por tempo limitado revogável por fio ou na base de acoplamento, e a paragem física e a libertação manual em cada atuador permanecem sempre.

O detalhe técnico é divulgado por etapas. O que é público é a capacidade e a arquitetura expurgada. Os resumos de programa e os documentos de controlo de interface expurgados, depois os registos de configuração e a documentação de integração, de cibersegurança e de apoio, depois os desenhos, as listas de materiais e os dados técnicos restritos abrem em quatro níveis, sob controlos de confidencialidade, de exportação e de segurança. Para um integrador, a fronteira é um documento de interface externa controlado, sobre uma ligação por fio ou na base de acoplamento, que transporta objetos de missão, estado, saúde e eventos, com a implementação interna protegida: um sistema externo pede trabalho nesse vocabulário e não recebe autoridade sobre atuadores. Todos os pedidos são sujeitos a triagem, o fornecimento está sujeito a licenças de exportação canadianas emitidas por cada expedição, e a postura de exportação obedece primeiro ao parecer jurídico. Os projetos têm pedidos de patente pendentes. Nada neste sítio é uma oferta, e nenhum preço aparece nele.