Az autó, amelyhez nem adnak kormányt

Valaki Texasban nagyon biztos valamiben

A Tesla helyzetét könnyű félreérteni, mert ugyanazzal a márkanévvel három különböző dolgot kapcsolunk össze.

Először is az FSD (Supervised) néven olyan vezetéstámogató rendszert kínál a vásárlóinak, amely kormányoz, gyorsít, fékez, sávot vált és útvonalat követ, de a gyártó saját megfogalmazása szerint aktív emberi felügyeletet igényel, és nem teszi autonómmá az autót. Ez a jelenlegi besorolás szerint Level 2. Vagyis az autó elvégzi a látványos munkát, az ember pedig megkapja a kevésbé hálás feladatot: nézze végig, és legyen kész azonnal közbelépni. Mint egy vezetésoktató, csak nincs külön fékpedálja, és a tanuló néha szoftverfrissítést kér.

Másodszor a Tesla már üzemeltet emberi vezető nélküli Robotaxi-szolgáltatást. A vállalat támogatási oldala szeptember elején Austin, Dallas, Houston, Miami, Orlando és Tampa korlátozott területeit sorolja fel. A Model Y mellé a Cybercab is megérkezett, de a céljárművel egyelőre Austin meghatározott részein lehet utazni. A hatvárosos hálózat tehát nem hat városnyi Cybercab-szolgáltatást jelent.

Harmadszor itt van maga a Cybercab: egy kifejezetten ehhez az üzlethez gyártott autó, amelyet az utas akkor sem tud hazavezetni, ha elege lesz a szoftverből. Az első fuvarokkal a jármű és a szolgáltatás már találkozott. A gyári kapacitás felfuttatásához azonban azt is tudni kell, mekkora területen, milyen megbízhatóan és mennyi háttérmunkával lehet sok ilyen autót üzemeltetni. Különben a tervezettnél több pénz marad aranyszínű karosszériákban lekötve.

Miért érdemes már most nagy gyártási kapacitást építeni egy ilyen szolgáltatás mögé? Erre legalább három kézenfekvő magyarázat van.

Az első: Elon Musk megint túl optimista. Ezt a lehetőséget nem kell különösebben egzotikusnak tekintenünk. A Tesla autonómiával kapcsolatos határidői korábban is hajlamosak voltak gyorsabban haladni, mint maga az autonómia. Egy autógyár ráadásul nem egy mobilalkalmazás. Ha a szoftver három hónapot késik, küldünk még néhány buildet. Ha a jármű két évet késik, addig emberek, szerszámok, beszállítók, présgépek és dollármilliárdok várják, hogy végre történjen valami.

A második: A Tesla belül olyan fejlődési görbét lát, amelyet mi kívülről nem látunk teljes egészében. A vállalat nemcsak azt tudhatja, hány kilométert ment az FSD, hanem azt is, milyen hibákat követett el, melyikből lett volna baleset emberi beavatkozás nélkül, és hogyan változik ez az arány modellverzióról modellverzióra. A felügyelt rendszerről már részletesebb adatokat is közöl, de a Robotaxi további bővítésének teljes bizonyítékát ezekből nem lehet kiolvasni. Ehhez később visszatérünk, mert a belső adatok és a nyilvánosan ellenőrizhető eredmények közötti különbség végigkíséri a történetünket.

A harmadik magyarázat azonban kevésbé látványos, és éppen ezért érdekesebb:

A Cybercabnek nem kell mindenhol vezetnie.

Nem kell felismernie egy hóviharban, útburkolati jel nélkül, hogy a szembejövő traktor mögül vajon szarvas, kerékpáros vagy egy különösen elszánt postás bukkan elő. Nem kell első nap elboldogulnia minden ország összes földútján. Nem kell Level 5-nek lennie.

Elég lehet Level 4-nek lennie néhány pontosan meghatározott helyen és körülmény között. Ehhez viszont előbb rendet kell tenni egy számozásban, amelyet az autóipar következetesen használ, a marketing következetesen összekever, a közönség pedig érthető módon úgy olvas, mintha egy videojáték fejlődési lépcsője lenne, pedig nagyon nem az.

Az önvezetés hat szintje remek rendszer. Csak nem arra, amire mindenki használja

Az SAE J3016 szabvány hat szintre osztja a vezetési automatizálást, nullától ötig. Ebből könnyű arra következtetni, hogy a Level 2 kétszer olyan okos, mint a Level 1, a Level 4 pedig már majdnem elkészült Level 5. Mintha a gép tapasztalati pontokat gyűjtene, aztán a negyedik szinten feloldaná a robotaxi-képességet.

Valójában a számozás nem elsősorban azt méri, mennyire ügyesen vezet az autó. Nem intelligenciahányados vagy karateöv, inkább munkabeosztás, amely azt írja le, hogy egy adott automatizált funkció használata közben ki végzi a vezetési feladatot, ki figyeli a környezetet, és kinek kell megoldania a helyzetet, ha a rendszer már nem tud tovább működni. Ráadásul nem az egész autó kap örök életre egyetlen szintet. Ugyanabban a járműben lehet Level 2 autópálya-asszisztens, Level 3 dugópilóta és Level 4 automata parkolási funkció, attól függően, melyik rendszer aktív. (SAE J3016)

Az SAE egyik kulcsfogalma a dynamic driving task, röviden DDT. Ez a dinamikus vezetési feladat: kormányzás, gyorsítás, fékezés, a forgalom és az út figyelése, reagálás a járművekre, gyalogosokra, táblákra és eseményekre. Az, hogy az utas Budapestről Debrecenbe szeretne menni, még stratégiai útvonalválasztás. Az, hogy a következő kereszteződésben mikor és hogyan fordulunk balra, már DDT. A cél megadása olyan, mint éttermet választani. A DDT az a rész, amikor odafelé nem hajtunk át a parkon.

A másik kulcsfogalom a fallback: ki viszi biztonságos állapotba a járművet, ha az automatizálás eléri a saját határát vagy meghibásodik? E két kérdésből az egész skála érthetővé válik.

A táblázatban már a Level 0 is okozhat némi zavart. A nullás szint nem azt jelenti, hogy az autóban nincs számítógép, radar vagy automatikus beavatkozás. Az automata vészfék akár erősen bele is taposhat a fékbe. Azért Level 0, mert csak egy pillanatnyi veszélyhelyzetben avatkozik közbe; nem végzi tartósan a vezetési feladat valamely részét. Ugyanezért nem lesz egy autó magasabb szintű attól, hogy több tucat asszisztens dolgozik benne. A svájci bicskából sem lesz komornyik attól, hogy van rajta dugóhúzó. A besorolás nem a funkciólista hosszát méri.

Három hétköznapi kifejezés többet segít, mint az összes marketingnév.

Hands-off esetén elengedhetjük a kormányt, de ettől még figyelnünk kell. Ez lehet Level 2. Eyes-off esetén szabályosan elfordíthatjuk a figyelmünket az útról, de felszólításra vissza kell térnünk a vezetéshez. Ez a Level 3 jellegzetes ígérete. Driverless vagy rider-only üzemben pedig nincs szükség vezetésre kész emberre. Ez Level 4 vagy 5.

Az ugrás tehát nem a kéz, hanem a figyelem és a fallback körül történik. Egy autó úgy is lehet technikailag lenyűgöző, hogy az SAE szerint továbbra is mi vezetjük. És lehet alacsony sebességű, szűk területre zárt jármű úgy Level 4, hogy a képességei egy ügyes emberéhez képest kifejezetten szerények.

Az igazán nagy különbség nem ott van, ahol az autó először magától kormányoz. Az már Level 1-ben megtörténhet. Nem is ott, ahol egyszerre kezeli a kormányt és a pedálokat; ezt tudja a Level 2.

A helyzet ott változik meg igazán, ahol az embernek már nem kell folyamatosan figyelnie az utat.

Level 2-ben akkor is mi vezetünk, ha tíz perce nem értünk a kormányhoz. A rendszer mozgatja az autót, de a vezetési felelősség operatív értelemben nálunk marad. Mi vagyunk a húsból készült biztonsági rendszer. A szemünk nem opcionális tartozék.

Level 3-ban viszont — amikor a funkció aktív és a feltételei teljesülnek — a rendszer végzi a teljes dinamikus vezetési feladatot. Az ember olvashat, dolgozhat vagy a központi kijelzőt nézheti, ha a helyi jog ezt engedi. De van egy kellemetlen apróbetű: ha az autó jelzi, vissza kell vennie a vezetést. A könyv tehát engedélyezett, csak a fejezet közepén bármikor következhet egy röpdolgozat a pillanatnyi forgalmi helyzetből.

Level 4-ben még ez az apróbetű is eltűnik. A rendszer nem építheti a biztonságát arra, hogy néhány másodpercen belül előkerül egy éber, helyzetben lévő és cselekvőképes ember. Az utas lehet gyerek, lehet vak, lehet jogosítvány nélküli, vagy egyszerűen ülhet hátul. Neki nem feladata megmenteni a gépet saját magától. Az viszont, hogy egy szolgáltató milyen korú és milyen segítséget igénylő utasokat fogad, külön szolgáltatási feltétel.

Ezért félrevezető az a mondat, hogy egy Level 4 rendszer „jobb”, mint egy Level 3. Lehet, hogy sokkal szűkebb helyen használható. Egy lassú, földrajzilag lehatárolt területen működő repülőtéri shuttle lehet Level 4, miközben egy kiváló, egész Európát átszelő autópálya-asszisztens Level 2 marad.

Az előbbi önállóbb, az utóbbi általánosabban használható; nem ugyanabban a versenyben indulnak.

Amikortól a gyártó kölcsönzi nekünk a sofőrt

Az első valódi Level 3 típusjóváhagyást a Honda kapta meg Japánban 2020 novemberében. A Legend Traffic Jam Pilot meghatározott autópályák torlódásaiban vehette át a vezetési feladatot. A Honda 2021-ben vezette be a piacra, összesen száz lízingelt autóval. Ez nem tömegtermék volt, inkább egy nagyon drága, közúti lábjegyzet — de jogilag és mérnökileg fontos lábjegyzet. A rendszer működése közben a sofőr levehette a szemét az útról. (Honda Level 3 type designation, Honda Legend SENSING Elite piaci bevezetése)

A Mercedes később DRIVE PILOT néven vitt sorozatgyártásba a Hondához hasonló Level 3 rendszert. A 2024 decemberében jóváhagyott, 2025 tavaszán piacra vitt német verzió bizonyos autópályákon, meghatározott körülmények között már 95 km/h-ig használható. A BMW Personal Pilot L3 szintén lehetővé tette, hogy a német 7-es BMW vezetője meghatározott, legfeljebb 60 km/h-s sebességig, autópályán, levegye a szemét a forgalomról. Ugyanebben az autóban a 130 km/h-ig működő Highway Assistant Level 2 maradt, mert használata közben a vezetőnek figyelnie kellett az utat. Szép példa arra, hogy a nagyobb sebesség nem jelent magasabb automatizálási szintet. (Mercedes-Benz DRIVE PILOT, BMW Personal Pilot L3)

Miért ilyen szűkek ezek a rendszerek?

Mert Level 3-nál a gyártó már nem mondhatja egyszerűen azt, hogy a vezetőnek folyamatosan figyelnie kellett volna. Amíg a funkció szabályosan aktív, a rendszer vállalja a vezetési feladatot. Ehhez redundáns érzékelés, fékezés, kormányzás, energiaellátás, pontos helymeghatározás, vezetőfigyelés, eseményrögzítés és gondosan kidolgozott átadási folyamat kell. A kritikus funkciókhoz megfelelő tartalék működés és hibafelismerés kell; hogy mit és hogyan kettőznek meg, az a konkrét felépítéstől függ. Az ENSZ 157-es előírása például megköveteli a vezető elérhetőségének ellenőrzését, a vezetés visszaadására felszólító transition demandet, valamint az automatizált üzem eseményeit tároló rendszert. Ha megjelenik az átvételi kérés, a korábban engedélyezett képernyős melléktevékenységet fel kell függeszteni. (UNECE Regulation No. 157, UNECE automated-driving overview)

Az SAE-szint önmagában nem jogszabály, és nem mondja meg, hogy baleset után melyik biztosító, üzembentartó vagy gyártó utalja a pénzt. A polgári jogi felelősség országonként eltérhet; az első kárt sok rendszerben továbbra is a kötelező gépjármű-biztosítás rendezi, amely később megpróbálhatja továbbhárítani a költséget. A vezető is felelhet, ha nem veszi át szabályosan az irányítást.

De a technikai felelősség határa Level 3-nál kétségtelenül elmozdul. Ha a rendszer azt közölte, hogy ő vezet, és az eseménynapló szerint az üzemfeltételek teljesültek, akkor a baleset már nem magyarázható pusztán hibás emberi vezetéssel. Előkerül a szenzor, a szoftver, a jóváhagyott működési tartomány, az átadási idő, a hibafelismerés és a termékfelelősség.

Magyarul: Level 2-nél a gyártó egy nagyon ügyes segédet ad el. Level 3-nál bizonyos percekre sofőrt ad el. Igaz, olyat, aki pontosan akkor bök oldalba, amikor ő maga zavarba jött.

Ez üzletileg furcsa köztes állapot. Az autóba be kell építeni egy drága és biztonságkritikus rendszert, a gyártónak vállalnia kell az automatizált vezetésből eredő új kockázatokat, mégis szükség van egy jogosítvánnyal rendelkező, józan és rövid időn belül mozgósítható emberre a vezetőülésben. Ő közben leveheti a figyelmét az útról — de nem annyira, hogy ne lehessen gyorsan visszarángatni a valóságba.

Emberi szempontból ez sem ideális. A rendszer éppen akkor kér segítséget, amikor olyan helyzethez ér, amelyet maga nem tud biztonsággal folytatni. A sofőrnek néhány másodperc alatt meg kell értenie, hol van, milyen sávban halad, mi történik körülötte, miért adta fel a gép, és mit kellene most csinálnia. Olyan ez, mintha egy másodpilótát akkor ébresztenénk fel, amikor a kapitány közli, hogy fogalma sincs, mi történt, de zuhanunk!

Mindez felvet egy elsőre abszurd lehetőséget. Mi van, ha bizonyos üzleti feladatokra egyszerűbb átugrani ezt a köztes állapotot?

Akkor ugorjunk egyből négyesre

Egy Level 4 robotaxiban nincs átadási probléma, mert nincs kinek átadni a vezetést. Ez nem jelenti azt, hogy a műszaki feladat könnyebb. Ellenkezőleg: a járműnek magának kell kezelnie a hibát, elhagynia a veszélyes helyzetet, biztonságos helyen megállnia vagy segítséget kérnie. Viszont az ember és gép közötti bizonytalan felelősségváltás eltűnik a rendszerből.

A csereüzlet egyszerű: kivesszük az embert, cserébe szigorúan korlátozzuk a világot.

A Waymo ezt nem elméletben csinálja. A vállalat szeptember 1-jei közlése szerint Denverrel, San Diegóval és Tampával együtt már 14 városban fogad utasokat vezető nélküli autóiba. Az új helyeken fokozatosan teszi hozzáférhetővé a szolgáltatást; ez még nem azt jelenti, hogy mindenki bármikor rendelhet autót. A működés létezése viszont nem ígéret. Azt, hogy mit lehet elmondani a biztonságáról, külön részben fogjuk szétszedni.

A Waymo utasa nem kap felszólítást, hogy tizenöt másodpercen belül vegye át a kormányt. Ha a jármű nem képes teljesíteni a fuvart a saját feltételei között, akkor eleve nem kell felvennie a fuvart; ha menet közben műszaki vagy környezeti problémába kerül, a rendszer feladata eljutni egy minimális kockázatú állapotba. A háttérben emberi flottaoperátorok segíthetnek értelmezni egy szokatlan helyzetet, de ettől még nem az utas lesz a biztonsági tartalék. Ez inkább hasonlít egy telefonos segítségre, mint arra, amikor valaki más is csatlakozik a játékba, hogy megoldja a problémát, amit te nem tudsz. A távoli segítség és a távoli vezetés közötti fontos különbséget a negyedik részben vesszük majd elő.

A Tesla szeptember 3-i Cybercab-útmutatója hasonló terméket ír le. A gyártó szerint az autonóm mód SAE Level 4, amelyben a jármű emberi beavatkozás nélkül végzi a teljes dinamikus vezetési feladatot. Kapcsolati vagy hardverhiba esetén megpróbál biztonságos helyre félreállni. Rendőri megállításkor leparkol, kikapcsolja az autonóm módot, majd kapcsolatot létesít a támogatással. Ezek a leírt működési eljárások; a teljes rendszer megbízhatóságának igazolása külön feladat.

Ez nagyon más világ, mint egy magántulajdonú autó, amelynek a sofőrje éppen szendvicset keresgél a hátsó ülésen, miközben a rendszer eldönti, hogy áthajt-e a piros lámpán vagy sem. De itt is fontos a fékpedál — mármint a gondolkodásban, mert az autóban nincs.

Egy gyártói útmutató megmutatja, hogyan tervezték működtetni a rendszert. Nem bizonyítja önmagában, hogy minden leírt körülmény között elég biztonságos, és nem egyenértékű egy független validációval. A Cybercab már szállít utasokat, de ebből még nem tudjuk, milyen gyakran kerül bajba, mennyi emberi háttérmunkát igényel, vagy mennyire könnyű ugyanazt a szolgáltatást új környezetben bevezetni. Az indulás egy fontos állomás; a tömeges üzemhez szükséges bizonyítékoknak közben tovább kell gyűlniük.

Szeptember 4-én az NHTSA vizsgálatot jelentett be a Cybercab szövetségi járműbiztonsági megfelelőségének gyártói igazolásáról. Ez még nem tiltás vagy megállapított szabálytalanság. Azt viszont jól mutatja, hogy a szolgáltatás állami jogosultsága és a jármű szövetségi megfelelősége külön kérdés.

Egy autó, amely tökéletesen vezet — kivéve ahol nem

A Level 4 kulcsfogalma az Operational Design Domain, vagyis ODD. Magyarul gyakran működési tartománynak vagy tervezett működési területnek fordítják, de egyik sem adja vissza igazán jól. Az ODD inkább az autonóm rendszer munkaköri leírása. Benne van, mikor dolgozik, hol dolgozik, mit vállal, és milyen időjárásnál jelenti be, hogy én itt most megállok.

Megmondja, milyen földrajzi területen, úttípuson, napszakban, sebességgel, időjárásban, forgalmi helyzetben és infrastruktúra mellett vállalja a rendszer, hogy ő vezet. Tartozhat hozzá autópálya vagy belváros; nappal vagy éjszaka; száraz aszfalt, köd, mérsékelt eső; meghatározott sebességhatár; jól látható burkolati jel; bizonyos térképi lefedettség vagy hálózati kapcsolat. Az SAE-hez kapcsolódó Automated Vehicle Safety Consortium definíciója kifejezetten környezeti, földrajzi, napszakbeli, közlekedési és útjellemzőket sorol fel. (AVSC ODD framework)

A geofence, vagyis a térképen meghúzott szolgáltatási határ csak az egyik dimenzió. Phoenix egy napos délutánon, és Phoenix elárasztott utcákkal nem ugyanaz az ODD.

A Tesla Cybercab-útmutatója sokféle úttípust és időjárási helyzetet sorol fel a tervezett működési tartományban, de kizárja a terepet és a szélsőséges időjárást. Ez a műszaki leírás nem azonos azzal a térképpel, amelyen ma az alkalmazásban fuvart rendelhetünk. A szolgáltatási terület ennél szűkebb lehet, és a leírt képességek biztonságát az adott környezetben kell igazolni.

Ez egy nagyon fontos mondat a Tesla-stratégia megértéséhez. Az autó nem attól autonóm, hogy bármikor bárhol elindul. Attól autonóm, hogy azon belül, amit vállalt, nincs szüksége emberi sofőrre.

Azon kívül pedig nem hősködik. Nem fogadja el a fuvart, elkerüli a területet, lassít, félreáll vagy leparkol. A Level 4 egyik fontos képessége éppen az, hogy megfelelő pillanatban tudjon gyáva lenni.

Ebből következik, hogy a Level 4 nem feltétlenül egyik pillanatról a másikra érkezik meg. Először működhet egy városrészben, nappal és jó időben, majd kiterjedhet az egész városra, az éjszakára, az autópályára, a mérsékelt esőre és újabb városokra. Minden bővítés egy új feltételhalmaz, új kockázat és új validáció.

Kívülről ezt hajlamosak vagyunk csalásnak érezni. „Persze, úgy könnyű, ha csak ott érhető el, ahol működik.”

Csakhogy minden közlekedési rendszer így működik. A villamos sem rossz utasszállító azért, mert nem tud letérni a sínről. Egy Airbus A350 sem béna tengeralattjáró. A termék értékét nem az dönti el, hány elképzelhető feladatot képtelen elvégezni, hanem hogy a vállalt feladat elég nagy és gazdaságilag hasznos-e.

Egy robotaxinak nem kell Level 5 ahhoz, hogy pénzt keressen. Ha megbízhatóan működik Austin sűrűn lakott és nagy utazási igényű részein, napi sok órában, akkor már szolgáltatást nyújt. A Cybercab további városokba vitele növelheti a piacát; ez külön lépés attól, hogy a Tesla Model Y-jai már máshol is dolgoznak. Nem kell előtte bizonyítania, hogy januárban egy jelöletlen izlandi hegyi út közepén is felismeri a megfagyott birkát és szépen balról kerülve körbeautózza.

És ezzel a kormány nélküli Cybercab már kevésbé tűnik úgy, mint egy autó, amelyhez elfelejtettek alkatrészt rendelni. Inkább egy időzített üzleti fogadásnak látszik.

A Tesla nem feltétlenül arra fogad, hogy hamarosan elkészül az univerzális önvezetés. Arra is fogadhat, hogy a helyileg már működő szolgáltatás biztonságosan és gazdaságosan kiszolgálható területe elég gyorsan nő a Cybercab gyártásához. Ha a kereslet és a működési tartomány előbb bővül, mint a flotta, a Tesla piacot veszíthet. Ha a gyár készül el előbb, autók és lekötött tőke várakozik. És mindehhez teljesíteni kell a hatósági feltételeket is.

Az egyik hiba drága, a másik egy teljes piac elvesztésével járhat.

De mielőtt eldöntenénk, hogy ez zseniális időzítés vagy ipari méretű optimizmus, meg kell értenünk, mitől tud egyáltalán vezetni ez a két eltérő robot.