Tự Hành Có Bảo Đảm Và Chỉ Huy Con Người

Có một kiểu tự hành được tối ưu để trông ấn tượng: con người can thiệp ít nhất, độc lập cao nhất, quyết định được đưa ra và thực hiện trước khi ai bên ngoài hệ thống hiểu rõ hết. SentiaCore được xây ngược lại kiểu đó, có chủ đích. Chúng tôi tin tự hành chỉ xứng đáng hoạt động gần con người và nguy hiểm vật lý khi cẩn trọng hơn một con người thận trọng — không bao giờ kém hơn — và không bao giờ, trong bất kỳ trường hợp nào, khó dừng hơn là khó bắt đầu.

Một lớp cổng không chứa mô hình

Mọi đề xuất có thể di chuyển một robot — bất kể sinh ra từ doctrine, bộ lập kế hoạch, hay một chỉ dẫn ngôn ngữ — đều phải qua một bộ luật an toàn xác định, cố định trước khi chạm tới robot đó. Không mô hình, không yếu tố ngẫu nhiên nào nằm trong lớp cổng đó. Cùng một tình huống luôn ra cùng một câu trả lời, mỗi lần, và khi lớp cổng chặn điều gì đó, nó nói rõ vì sao, theo cách chỉ huy có thể hành động dựa vào. Đây không phải một ý kiến thứ hai từ một mô hình khác — đó là một ranh giới cứng không di chuyển chỉ vì thứ gì ở phía trước nó trở nên tự tin hơn.

Luật được tạo ra, không giả định trước

Các luật trong lớp cổng đó không phải một danh sách lý thuyết soạn trước khi từng thấy một sự cố thật. Mỗi luật tồn tại vì một tình huống cụ thể, thật đòi hỏi nó — một trường hợp mà hành vi mặc định sẽ sai, được xem xét kỹ, và biến thành một luật cố định. Luật mới trải qua cùng sự xem xét kỹ đó trước khi được tin tưởng áp lên một robot đang hoạt động. Lớp cổng lớn lên theo cách sự phán đoán của một đội lành nghề lớn lên: qua kinh nghiệm cụ thể, được xem xét, không phải sự cẩn trọng chung áp đều cho tất cả.

Quyền can thiệp nằm ngoài vòng lặp

Nút dừng khẩn cấp trong SentiaCore không phải một tính năng của hệ thống suy luận — nó được đặt bên dưới nó. Đó là một lựa chọn kiến trúc có chủ đích, không phải một chi tiết triển khai: nó có nghĩa là quyền can thiệp vẫn hoạt động cả trong một kiểu lỗi mà chính tầng suy luận chưa từng lường tới. Một cơ chế an toàn phụ thuộc vào việc hệ thống nó được thiết kế để can thiệp vào phải hoạt động đúng thì không phải một cơ chế an toàn. Cơ chế của SentiaCore không được xây theo cách đó.

Chúng tôi đã đo được điều này trong diễn tập, không chỉ khẳng định suông: trong một lượt chạy, mọi robot trong đội dừng lại trong đúng một chu kỳ điều khiển sau khi lệnh được đưa ra — một phần mười giây. Đó là độ trễ phản xạ đo được trong diễn tập, không phải một khẳng định về phần cứng vật lý của một robot cụ thể nào — nhưng đó là con số chúng tôi giữ kiến trúc phải đạt được, và đó là lý do quyền can thiệp nằm ở đúng vị trí của nó.

Chỉ huy không bao giờ chỉ là người xem

Mọi kế hoạch SentiaCore đề xuất hiện ra như một thẻ đọc được trước khi chạy — nó sẽ làm gì, đánh đổi điều gì, và việc diễn tập so với phương án khác cho thấy gì. Chỉ huy có thể duyệt, can thiệp hoặc dừng ở cấp độ kế hoạch, hoặc bấm thẳng nút dừng khẩn cấp — và không con đường nào bị đóng lại chỉ vì hệ thống đang chạy trơn tru. Duyệt và can thiệp đối xứng theo thiết kế: dừng một kế hoạch dễ đúng như bắt đầu nó, không bao giờ khó hơn.

Vì sao đây là một quyết định sản phẩm, không phải một ô cần đánh dấu tuân thủ

Có thể xây một hệ thống nhanh hơn, độc lập hơn bằng cách nới bất kỳ ràng buộc nào trong số này — ít luật cổng hơn, quyền can thiệp mềm hơn, ít hiển thị về điều sắp xảy ra hơn. Chúng tôi không nghĩ sự đánh đổi đó có sẵn cho chúng tôi, hay cho bất kỳ ai xây tự hành cho các tình huống khẩn cấp vật lý. Toàn bộ tiền đề của SentiaCore là một đội robot ra quyết định gần nguy hiểm thật chỉ đáng triển khai nếu một chỉ huy con người đủ tin tưởng mọi quyết định để đứng sau nó, và có thể kết thúc bất kỳ quyết định nào, ngay lập tức, không cần xin phép hệ thống trước.