Tự hành chỉ đáng triển khai khi đáng được tin tưởng.
SentiaCore được xây trên một tiền đề đơn giản: một hệ thống tự hành hoạt động gần con người và nguy hiểm vật lý phải cẩn trọng hơn một con người cẩn trọng, không được kém hơn — và con người phải luôn có thể dừng nó, không có ngoại lệ.
Một lớp cổng xác định
Mọi đề xuất — bất kể do đâu sinh ra — đều phải qua một bộ luật cố định trước khi một robot hành động. Không mô hình, không yếu tố ngẫu nhiên nào quyết định một hành động có được phép hay không.
Quyết định đọc được
Khi lớp cổng chặn điều gì đó, nó nói rõ lý do theo cách chỉ huy có thể đọc và hành động dựa vào — không bao giờ là một sự từ chối im lặng.
Luật được tạo ra từ trường hợp thật
Mỗi luật an toàn tồn tại vì một tình huống cụ thể đã đòi hỏi nó, và được soát xét trước khi áp lên một robot đang hoạt động — lớp cổng lớn lên qua sự xem xét kỹ, không qua phỏng đoán.
Quyền can thiệp nằm ngoài vòng lặp
Nút dừng khẩn cấp được đặt bên dưới hệ thống suy luận, không đi qua nó — nó vẫn hoạt động cả trong một kiểu lỗi mà chính tầng suy luận chưa từng lường tới.
Một chỉ huy không bao giờ chỉ là người xem nhiệm vụ của chính mình.
Mọi kế hoạch SentiaCore đề xuất hiện ra như một thẻ đọc được trước khi chạy — nó sẽ làm gì, đánh đổi điều gì, và việc diễn tập nó so với phương án khác cho thấy gì. Chỉ huy có thể duyệt, can thiệp hoặc dừng ở cấp độ kế hoạch, hoặc bấm thẳng nút dừng khẩn cấp. Không con đường nào bị đóng lại chỉ vì hệ thống đang chạy trơn tru.
- Không có gì tự hành bị giấu đi — nếu một robot sắp hành động, luôn có một thẻ cho việc đó.
- Duyệt và can thiệp đối xứng với nhau: dừng một kế hoạch dễ đúng như bắt đầu nó.
- Mọi sự cố đều được ghi lại để xem lại, không chỉ những sự cố đã đi sai.
Hệ thống thành thật về điều nó chưa biết.
Một nguy cơ đã xác nhận, một nguy cơ dự báo, và một khoảng không gian chưa cảm biến được giữ là ba loại hiểu biết khác nhau trong niềm tin của SentiaCore về hiện trường. Không điều gì được phép mượn mức tin cậy của một loại nó không thuộc về — một dự báo không bao giờ được coi như đã xác nhận, và sự im lặng từ một cảm biến không bao giờ được coi là an toàn.
Câu hỏi thường gặp
Không. Nút dừng được đặt bên dưới các tầng suy luận và lập kế hoạch, không phải một tính năng của chúng — nó được thiết kế để hoạt động cả khi mọi thứ phía trên gặp lỗi.