Pubblicate le linee guida USA per auto autonome; conclusa l’inchiesta sull’incidente di guida “autonoma” di Tesla

Ultimo aggiornamento: 2017/09/18 7:40.

È di pochi giorni fa la pubblicazione delle linee guida del Dipartimento dei Trasporti statunitense per i veicoli a guida autonoma, che prevedono che dal 2025 (dopodomani, insomma) ci saranno sulle strade automobili che circoleranno senza alcun intervento del guidatore.

Insomma, è giunto il momento di affrontare seriamente la questione e magari chiarire dubbi e smontare miti assai diffusi. Ovviamente tutta quest’automazione arriverà tramite l’informatica, per cui vale la pena di parlarne qui.

Secondo i dati del Dipartimento dei Trasporti, sulle strade americane il 94% degli incidenti automobilistici gravi è causato dalle scelte o dagli errori dei conducenti. Guida distratta, imprudente, sotto effetto di alcool o altri farmaci, stanchezza causano ogni anno, negli Stati Uniti, oltre 30.000 morti: una cifra impressionante, grosso modo l‘equivalente di un 11 settembre ogni mese. I primi dispositivi di guida assistita, aggiunge il Dipartimento, stanno già salvando vite. Inoltre la guida totalmente autonoma ridarà libertà di spostamento a chi non ce l’ha per via di limitazioni motorie e non può usare i mezzi pubblici.

Ma è importante chiarire che al momento nessuna auto in commercio è realmente autonoma, tranne quelle sperimentali: quella che viene proposta dalle case automobilistiche con nomi piuttosto fuorvianti come Autopilot (Tesla) è solo una guida assistita. Il conducente resta assolutamente responsabile della condotta del veicolo e deve monitorare la strada continuamente.

Esistono cinque livelli di automazione della guida secondo lo standard SAE:

0 - Nessuna automazione.
1 - Assistenza: il veicolo è sotto il controllo del conducente ma ci sono alcune funzioni di assistenza alla guida.
2 - Automazione parziale: funzioni come accelerazione e sterzo sono automatizzate ma il conducente deve restare costantemente vigile.
3 - Automazione condizionale: il conducente deve essere a bordo ma non è più obbligato alla vigilanza continua; deve restare pronto a intervenire quando richiesto (con anticipo) dal sistema.
4 - Automazione elevata: l’auto è in grado di svolgere tutte le funzioni di guida autonomamente in determinate circostanze e il conducente può intervenire.
5 - Automazione totale: il veicolo è in grado di svolgere tutte le manovre in ogni condizione; il conducente è facoltativo.

Il problema delle auto autonome o assistite è esattamente lo stesso dei sistemi informatici tradizionali: i sistemi sono robusti, ma l’utente è un punto debole fondamentale.

Insieme al rapporto del Dipartimento dei Trasporti USA è arrivato anche il rapporto sul tristemente famoso primo incidente mortale di guida “autonoma” avvenuto in Florida a maggio del 2016, nel quale Joshua Brown, conducente di una Tesla, ha perso la vita quando un autoarticolato ha attraversato la superstrada sulla quale Brown procedeva a 136 km/h e gli ha letteralmente bloccato la strada mentre stava usando le funzioni assistite di mantenimento di corsia (Autosteer) e di controllo della velocità (Traffic Aware Cruise Control). L’auto è passata sotto l’automezzo, che ne ha tranciato il tetto, uccidendo sul colpo il conducente.

All’epoca erano circolate voci di ogni genere ed era stata messa in dubbio la reale efficacia dei sistemi di guida assistita che non avevano “visto” l’intera fiancata di un autoarticolato e non erano intervenuti nemmeno per tentare una frenata disperata.

Ma la sintesi del rapporto del National Transportation Safety Board (NTSB) chiarisce nel comunicato stampa (ricco di link a documenti) che i sistemi di bordo (hardware Mobileye con firmware 7.1 di Tesla) hanno agito correttamente nei limiti delle loro capacità: non potevano rilevare l’ostacolo perché non erano progettati per farlo e quindi non sono intervenuti. Cito:

Tesla’s automated vehicle control system was not designed to, and did not, identify the truck crossing the car’s path or recognize the impending crash; consequently, the Autopilot system did not reduce the car’s velocity, the forward collision warning system did not provide an alert, and the automatic emergency braking did not activate.

Come è possibile che i sensori dell’auto (telecamera e radar) non abbiano riconosciuto un camion messo di traverso? In attesa del rapporto completo dell’NTSB, riprendo un commento aggiunto dopo la pubblicazione iniziale di questo articolo e mi baso sulle dichiarazioni di Tesla, Musk e Mobileye fatte all'epoca e raccolte in questo mio articolo.

Prima di tutto, come nota anche un ottimo articolo di Ars Technica, i sistemi di frenata d’emergenza automatica (AEB, Automatic Emergency Braking) di praticamente tutti i costruttori (non solo Tesla) riconoscono il retro di altri veicoli ma non i loro profili o altre angolazioni.

Si era visto che a volte radar e telecamera chiedevano erroneamente la frenata d’emergenza perché scambiavano un cartello sopraelevato per un oggetto sulla strada o perché scambiavano i sottopassaggi stradali per un ostacolo (dal loro punto di vista la strada, in linea retta davanti a loro, non scendeva ma finiva di colpo con un muro, quello della strada sotto la quale dovevano passare). Oggi i sistemi di visione artificiale più recenti sono immensamente più potenti e non devono subire queste approssimazioni.

In pratica, per evitare falsi positivi e frenate immotivate (con conseguenti tamponamenti da parte di chi segue), erano stati allentati i criteri di riconoscimento degli ostacoli. Questo era stato fatto perché tanto il conducente doveva tenere comunque gli occhi sulla strada e quindi compensava le carenze dei sistemi automatici, che erano e sono tuttora un ausilio, non un sostituto.

In sintesi:

• La telecamera ha visto una grande superficie bianca in alto (la fiancata dell’autoarticolato era di colore molto chiaro e ben illuminata dal sole) e così l’auto ha “pensato”: “è quasi sicuramente il cielo, non mi devo preoccupare; se non è cielo, interverrà il guidatore umano”. 
• Il radar ha visto un grande rettangolo riflettente in alto e l’auto ha “pensato”: “è quasi sicuramente un cartello stradale sopraelevato, non mi devo preoccupare; se non lo è, interverrà il conducente umano”.
• Ma il conducente non è intervenuto per i due minuti che hanno preceduto lo schianto.

Per questo si tratta di sistemi di guida assistita: i casi dubbi devono essere sempre decisi dal conducente.

Il rapporto nota inoltre un altro concetto fondamentale:

Le abitudini di utilizzo, da parte del conducente della Tesla, del sistema Autopilot indicano un eccesso di affidamento all’automazione e una carenza di comprensione dei limiti del sistema.

(The Tesla driver’s pattern of use of the Autopilot system indicated an over-reliance on the automation and a lack of understanding of the system limitations.)

Brown aveva toccato il volante solo sette volte, per 25 secondi in tutto, negli ultimi 37 minuti e la visibilità del luogo dell’incidente gli avrebbe consentito indubbiamente di intervenire manualmente se fosse stato normalmente attento (“There was sufficient sight distance to afford time for either the truck driver or the car driver to have acted to prevent the crash”). Invece non ha neanche toccato il pedale del freno: lo sappiamo dalla telemetria dettagliata che caratterizza queste automobili e che si sta rivelando estremamente preziosa nella ricostruzione della dinamica di questo genere di eventi.

Ma la colpa non è stata solo del guidatore. Anche il sistema di assistenza, per il modo in cui dialogava con il conducente, ha avuto la sua parte nell’incidente:

Se i sistemi di controllo automatico dei veicoli non limitano automaticamente il proprio funzionamento alle condizioni per le quali sono stati progettati e sono adeguati, rimane il rischio di abuso da parte del conducente... Il modo in cui il sistema ‘Autopilot’ di Tesla monitorava e rispondeva all’interazione del conducente con il volante non era un metodo efficiente di garantire il coinvolgimento del conducente.

(If automated vehicle control systems do not automatically restrict their own operation to conditions for which they were designed and are appropriate, the risk of driver misuse remains... The way in which the Tesla “Autopilot” system monitored and responded to the driver’s interaction with the steering wheel was not an effective method of ensuring driver engagement.)

Tesla ha successivamente modificato le regole di interazione fra utente e auto. All’epoca il suo Autopilot tollerava che passassero vari minuti senza interazioni (mentre lo standard del settore è una quindicina di secondi) e si limitava ad avvertimenti ogni qualche minuto; ora, stando ad Ars Technica (devo verificare di persona), si disabilita dopo tre avvertimenti ignorati nel corso di un’ora sopra i 70 km/h.

C'è anche una dichiarazione dei genitori della vittima (versione più completa qui), dalla quale segnalo l’affermazione che Joshua Brown procedeva con il cruise control impostato a 119 km/h (74 miglia orarie), non “a oltre 136 km/h” come asserito da alcuni testimoni, quindi poco oltre il limite generale di 105 km/h delle divided highway in Florida, e cito questo brano:

Abbiamo sentito dire tante volte che l’auto ha ucciso nostro figlio. Semplicemente non è così. C’è stata una breve finestra di tempo in cui né Joshua né le funzioni della Tesla hanno notato il camion che voltava a sinistra davanti all’auto. La gente muore ogni giorno in incidenti d’auto. Molti di questi incidenti sono causati dalla mancanza di attenzione o dall’incapacità di vedere il pericolo. Joshua credeva, e la nostra famiglia continua a credere, che la nuova tecnologia che sta entrando nelle auto e il passaggio alla guida autonoma abbiano già salvato molte vite. Il cambiamento comporta sempre dei rischi, e una tolleranza zero per le morti fermerebbe completamente l’innovazione e i miglioramenti.

(We heard numerous times that the car killed our son. That is simply not the case. There was a small window of time when neither Joshua nor the Tesla features noticed the truck making the left-hand turn in front of the car. People die every day in car accidents. Many of those are caused by lack of attention or inability to see the danger. Joshua believed, and our family continues to believe, that the new technology going into cars and the move to autonomous driving has already saved many lives. Change always comes with risks, and zero tolerance for deaths would totally stop innovation and improvements.)

Parole davvero coraggiose.


Fonti aggiuntive: Electrek, Teslarati, Electrek.