L'IA planifie. Les règles gouvernent. Les humains autorisent. La sécurité a un droit de veto.
Steady Eddie transporte son intelligence à bord, en couches, chacune avec un rôle et une limite. Les couches qui perçoivent et planifient sont des modèles logiciels, et nous les mettons à jour : à mesure que les modèles s'améliorent, chaque unité s'améliore avec eux. Les règles qui gouvernent les modèles, le contrôleur qui actionne la machine et le système de sécurité qui peut tout arrêter ne sont pas touchés par une mise à jour, et aucun modèle ne peut les en dissuader.
La machine au travail, en rotation dans le modèle d'ingénierie.
Ce qui propose, ce qui décide, ce qui arrête.
Chaque commande descend à travers cette pile. La réflexion est remplaçable. Les parties qui gouvernent, qui déplacent et qui protègent ne le sont pas, et elles se trouvent en dessous, là où un modèle ne peut pas les atteindre.
Il communique avec l'équipe et comprend le travail à faire.
La partie qui comprend un plan, une question ou un dessin, et qui explique ce qu'Eddie a l'intention de faire. Elle conseille. Elle ne pilote jamais directement une commande.
Elle transforme un mandat approuvé en actions ordinaires et bornées.
Une coupe, un levage, une passe, un pivotement, chacun à l'intérieur des limites fixées pour cette machine. Un plan reste une proposition tant que tout ce qui se trouve en dessous ne l'a pas admis.
Elle observe, et elle ne peut que dire stop.
Détection, classification et suivi de ce qui se trouve autour de la machine, avec un degré de confiance pour chacun. La perception peut retirer l'autorité. Elle ne peut pas l'accorder. Elle peut dire stop; elle ne peut pas dire go.
Chaque commande est admise ou rejetée ici.
Des règles simples, les mêmes à chaque fois. C'est la ligne entre ce que l'IA veut et ce que la machine est autorisée à faire.
Un contrôleur à cycle fixe actionne chaque commande.
Il actionne le joystick, la pédale, le levier, de la manière que l'étalonnage lui a enseignée, et rien d'autre. Un modèle plus rapide prend une meilleure décision; il ne fait pas s'ouvrir plus vite une valve hydraulique, et les commandes propres à la machine fixent le plancher de chaque réponse.
Un contrôleur de sécurité indépendant, avec droit de veto sur tout ce qui se trouve au-dessus de lui.
Câblé séparément, alimenté séparément, répondant à la personne présente sur la machine et à ses propres capteurs. Quand il dit stop, rien au-dessus de lui n'a voix au chapitre.
Huit caméras sur un anneau, et un disque au pied même de la machine qu'aucune caméra ne voit.
L'anneau n'est pas une caméra boulonnée là où il y avait de la place. C'est une géométrie calculée : combien d'objectifs, à quelle hauteur, inclinés de combien vers le bas, de sorte que chaque mètre carré, depuis l'empreinte propre de la machine jusqu'au cercle de visibilité que la norme trace autour d'une machine de sa catégorie, soit vu, et qu'à partir de cinq mètres il soit vu par deux caméras à la fois.
Pourquoi huit.
Sept caméras laissent du sol que seul un objectif voit. Huit n'en laissent presque plus, et une cible vue par deux caméras est une cible dont on connaît la distance, pas seulement le relèvement. L'anneau est tourné de façon qu'aucune caméra ne se trouve sur l'axe de la flèche, là où celle-ci la bloquerait.
Le disque aveugle, énoncé clairement.
Une caméra placée en hauteur sur une machine ne peut pas voir le sol à ses propres pieds. La géométrie laisse un disque d'un peu plus de deux mètres de diamètre, au centre de rotation, que l'anneau ne couvre pas, et le dessin le déclare plutôt que de le cacher. Ce disque est la raison d'être de la bande rapprochée : rien n'est autorisé à s'y trouver quand la machine est armée, et ce sont les commandes propres à la machine, ainsi que la règle voulant que rien ne s'y trouve quand la machine est armée, qui le garantissent. Le chiffre vient de la géométrie, et nous le vérifions sur la machine.
Discret, à dessein.
La vue propre d'un opérateur est protégée par une norme qui fixe la part que peut bloquer un accessoire à hauteur des yeux. Les nacelles de caméra d'Eddie sont dimensionnées selon cette règle : assez discrètes pour qu'une personne dans le siège voie ce qu'elle a toujours vu.
- Des objectifs grand angle, chacun couvrant un tiers de l'horizon, inclinés bien vers le bas depuis un anneau à hauteur du toit.
- Chaque caméra lit l'image entière d'un coup, de sorte qu'une cabine qui vibre ne déforme pas le monde.
- Grande plage dynamique : un soleil bas et un atelier sombre dans la même image.
- Fixées aux points de rétroviseur et de main courante du fabricant, jamais à une structure de protection au retournement.
Deux objectifs, un seul obturateur, une seule règle sur la lumière.
L'anneau veut de la largeur. L'outil veut du détail. La cabine vibre. Le soleil est sur l'horizon à quatre heures de l'après-midi en janvier. Chacun de ces éléments est une décision d'objectif, et chacune a été prise sur papier avant même l'achat d'une caméra.
L'objectif de vigilance.
Un objectif sur chaque caméra de l'anneau qui couvre un tiers de l'horizon, de sorte qu'un quadrant est couvert avec marge et qu'une personne au bord du cercle remplit encore assez de l'image pour être une personne, et non une tache floue. Les huit se chevauchent; c'est de ce chevauchement que vient la profondeur.
L'objectif de travail.
Un objectif deux fois moins large, sur le toit, regardant vers l'avant et vers le bas, sur l'outil et la coupe : le godet, le front de taille, la charge, l'arête. Ce que font les yeux d'un opérateur pendant la majeure partie d'un quart de travail.
L'obturateur.
Une caméra qui lit son image ligne par ligne, comme le font la plupart des caméras de téléphone, transforme un poteau droit en un poteau penché quand la cabine où elle se trouve vibre. Les caméras d'Eddie lisent l'image entière d'un coup. Une cabine qui vibre est l'état normal d'une machine au travail, ce n'était donc jamais optionnel.
Le tableau de bord, lu comme vous le lisez.
Une caméra dans la cabine observe le groupe d'instruments et le lit optiquement : moteur en marche, température, carburant, les voyants d'avertissement et de défaut. Aucun fil n'entre dans la machine pour l'interroger. Elle peut arrêter Eddie. Elle ne peut jamais démarrer la machine.
Un lidar tournant, un radar là où la météo l'exige, et un compte rendu franc de ce que chacun perd.
Les caméras donnent l'image. Le lidar donne la structure et une distance directe à tout ce qu'il touche. Le radar, installé en option là où la pluie, la poussière et la neige sont la norme, donne une présence quand ces conditions aveuglent tout le reste. Aucun des trois n'est fiable seul, car chacun a une météo qu'il ne peut pas voir à travers.
Le lidar.
Un lidar tournant à cent vingt-huit canaux, sur le toit de la cabine, au-dessus de l'anneau, avec un champ vertical d'un huitième de cercle de haut en bas, tournant dix fois par seconde. Il donne à l'image sa structure métrique : la forme du sol, l'étendue d'un tas, le bord d'une tranchée, le retour d'une personne. C'est le capteur le plus faible dans le brouillard et le premier à perdre une personne en vêtement de travail sombre, il n'est donc jamais le seul.
Le radar, en option.
Là où la pluie, la poussière ou la neige sont la norme sur un chantier, des unités radar sont ajoutées à hauteur de taille autour de la machine, chacune utilisée seulement dans le cœur de son champ, là où ses angles sont fiables. La poussière qui arrête net un lidar est presque transparente pour le radar. Le radar sert donc à la présence dans la poussière et la neige, jamais à la position, et jamais seul : une personne immobile lui est invisible, et deux personnes debout ensemble forment un seul objet radar.
Le balayage, et le pivotement.
Une machine qui pivote traîne sa propre flèche à travers le champ du lidar. Eddie sait où se trouve sa flèche à chaque instant et la retire de l'image, plutôt que de voir un mur qui n'existe pas.
Les caméras et le lidar la perdent. Le radar, là où il est installé, tient bon.
Le lidar voit chaque particule comme une cible dure. Le radar ne les voit presque pas, c'est pourquoi les chantiers poussiéreux en sont équipés.
Le lidar perd le premier. Les caméras tiennent plus longtemps.
Les retours du lidar s'effacent dans le brouillard avant que l'image d'une caméra ne le fasse.
Les capteurs orientés vers l'avant s'enterrent. L'anneau tient bon.
Cinq minutes de neige battante peuvent aveugler un capteur orienté vers l'avant; huit caméras autour de la machine ne font pas toutes face à la météo.
Le radar la perd. Les caméras et le lidar tiennent bon.
Un radar qui lit le mouvement ne peut pas voir quelqu'un qui se tient immobile.
Le lidar le perd. Les caméras tiennent bon, et le radar là où il est installé.
Un vêtement sombre renvoie presque rien à un lidar.
Eddie retire sa propre autorité.
Quand les capteurs sont en désaccord ou que la météo les neutralise, la perception n'a le droit de faire qu'une chose face au doute : retirer l'autorité.
Il sait où est le haut, dans quelle direction il pointe, et où se trouve son godet.
Une machine sur une pente, en train de pivoter avec une charge, n'est pas la même machine que sur le plat. Eddie transporte les capteurs qui font la différence, et il en transporte deux du type le plus important, parce qu'une cabine et un châssis ne sont pas d'accord.
Deux centrales inertielles, pas une seule.
Une dans la cabine, une sur le châssis. Sur une pelle, elles diffèrent selon le pivotement et selon le montage propre de la cabine, et les traiter comme une seule donne un mètre d'erreur à l'outil. L'unité choisie est de la classe capable de tenir son assiette pendant des minutes sans correction, pas la classe qu'on trouve dans un téléphone; la différence a été calculée avant l'achat.
Le pivotement, et les vérins.
Une bande sur la caisse, lue par une caméra tournée vers le bas, donnant l'angle entre la tourelle et les chenilles. Des capteurs d'inclinaison sur la flèche et le balancier, car mesurer au vérin place l'arête du godet là où elle se trouve réellement, alors que mesurer à l'articulation ne le fait pas.
Le cap déduit de deux antennes.
La gravité indique à une machine où est le bas. Elle n'a aucun avis sur le cap. Eddie déduit le cap de la ligne entre deux antennes satellite sur le toit, espacées assez pour être fiables, et un correcteur de précision géodésique là où le travail exige un nivellement précis.
Rapide, corrigé, ancré.
Les capteurs sur les commandes sont rapides et bouclent l'asservissement. Les capteurs d'assiette le corrigent. Le positionnement satellite est lent et sans dérive, et il ancre l'image à la grille propre du chantier; il ne boucle jamais un asservissement à lui seul.
Les objets, le sol, la bande rapprochée où il s'arrête, la bande éloignée où il surveille.
L'ensemble de capteurs est conçu pour le terrain où nous travaillons : poussière, neige, brouillard, obscurité, et une machine qui pivote. Voici l'image qu'il construit.
Une illustration de l'image qu'Eddie construit : les objets, le sol, la bande rapprochée où il s'arrête à l'entrée, la bande éloignée où il surveille. Pas une sortie en direct.
Huit caméras autour de la machine.
Des objectifs grand angle, espacés également, inclinés vers le bas, dimensionnés de sorte qu'il n'y ait aucun sol aveugle depuis l'empreinte propre de la machine jusqu'au cercle de visibilité que la norme trace autour d'une machine de sa catégorie.
Une caméra sur l'outil et la coupe.
Ce que font les yeux de l'opérateur : le godet, le front de taille, la charge, l'arête.
Une caméra lit le tableau de bord.
Moteur en marche, température d'huile, carburant, les voyants d'avertissement et de défaut, de la même façon qu'un opérateur y jette un coup d'œil. Elle peut arrêter Eddie. Elle ne peut jamais démarrer la machine.
Un lidar tournant sur le toit de la cabine.
Structure, étendue et forme du sol. Structure, étendue et forme du sol.
Une option pour la pluie et la poussière.
Le capteur le plus fort dans la poussière et la neige, et aveugle à une cible qui ne bouge pas, il n'est donc jamais le seul non plus. Ajouté là où la météo d'un chantier l'exige.
Il sait où est le haut.
Des centrales inertielles sur la cabine et le châssis, un inclinomètre sur la structure supérieure et un codeur sur le pivotement.
Chaque axe sait où il se trouve.
Détection de position et de force sur chaque commande qu'Eddie actionne, un capteur de longueur sur chaque vérin, et un positionnement satellite avec correcteur de précision géodésique là où le travail l'exige.
Quand il n'est pas sûr, il retire l'autorité.
La neige ensevelit les capteurs orientés vers l'avant. Le brouillard aveugle le lidar. Une cible immobile est invisible pour le radar. Aucun niveau de performance n'est revendiqué pour l'ensemble de capteurs. Conçu selon l'architecture ISO 13849, en visant ISO 17757. Aucune certification n'est revendiquée.
Chaque capteur sur sa propre branche, pour qu'une panne ait un nom.
L'image n'est pas une seule soupe de pixels et de points. Chaque capteur est lu séparément, jugé selon sa propre fiabilité, et combiné seulement ensuite au niveau des objets. Quand un capteur tombe en panne, Eddie peut dire lequel, et continuer sans lui. Fusionner tout dès le départ a été testé et rejeté : dans le brouillard, cela voyait moins qu'une seule caméra.
La scène qu'Eddie conserve ne devient jamais totalement certaine de quoi que ce soit, par conception. Il tient deux registres séparés : le terrain qu'il n'a jamais observé, et le terrain où ses capteurs sont en désaccord. Les deux sont traités comme inconnus, et inconnu signifie aucune autorité à cet endroit.
Il est tenu de savoir quand il ne peut pas voir.
La météo qui disperse la lumière est mesurée, non écartée par hypothèse. On ne fait pas confiance à un capteur qui perd tranquillement de la portée en chauffant pour le signaler lui-même; la limite est fixée depuis l'extérieur. Quand l'image s'appauvrit, l'autorité d'Eddie s'appauvrit avec elle. La règle sous laquelle vit tout l'ensemble est courte : la détection externe peut retirer l'autorité. Elle ne peut jamais la créer. Aucune couche d'IA ne peut accorder ou rétablir l'autorité de mouvement.
L'autorité n'est pas une échelle que n'importe qui peut gravir.
Un mouvement n'a lieu que lorsque le système de sécurité est dégagé, qu'une personne nommée a signé ce plan, que le mouvement se trouve à l'intérieur des limites que cette personne a approuvées, et que les limiteurs de vitesse et de force sont respectés. Les quatre, à chaque fois, sinon la machine ne bouge pas. Il n'y a pas d'ordre à réorganiser et aucun contournement.
Comment un nouveau modèle gagne sa place.
Les modèles de perception et de planification sont la technologie qui évolue le plus vite au monde en ce moment, et Eddie est conçu pour accueillir le prochain. La réflexion est remplaçable en elle-même; les règles, le contrôleur de mouvement et le système de sécurité en dessous ne changent pas quand un modèle change. Ce qui change, c'est la barre qu'un nouveau modèle doit franchir.
Quatre portes.
Rien de non signé ne fonctionne jamais sur une machine qui peut bouger. Un nouveau modèle doit être conforme à l'interface, respecter son temps et sa mémoire, et être capable de dire stop, pas seulement go; un modèle qui ne peut qu'émettre une trajectoire n'entre pas, aussi habile soit-il. Il fonctionne ensuite en ombre à côté du modèle qu'il remplacerait, sans autorité, jusqu'à ce qu'il ait été d'accord avec lui assez longtemps pour être fiable. La substitution a lieu à un battement du contrôleur, l'ancien modèle restant présent. Un retour en arrière annule l'approbation et une personne signe à nouveau; il n'y a pas de retour à la dernière commande.
Un dispositif d'enregistrement séparé consigne les gestes des bons opérateurs.
Avec une personne dans le siège et l'unité retirée, un dispositif d'enregistrement séparé consigne ce que les mains d'un opérateur expérimenté ont réellement fait, à une cadence et une résolution qui rendent l'enregistrement digne d'être conservé. Rien de ce qui appartient à Eddie n'est connecté pendant qu'il fonctionne, unités de commande comprises, et le dispositif n'est câblé à rien sur la machine. Où le manche a marqué une pause. Comment l'accélérateur est monté avant le pivotement. Comment le godet a été amené en douceur dans le front de taille.
Cet enregistrement n'a aucune autorité. Il ne peut pas actionner une commande. L'apprentissage se fait hors de la machine, est examiné par une personne nommée, et est livré signé, encadré de sorte que la technique d'aucune personne ne puisse en être reproduite et que la contribution d'aucune personne ne le domine. Il n'y a pas d'apprentissage sur la machine ni de poids qui se modifie de lui-même sur le terrain. Chaque mise à jour tourne sur notre propre flotte avant d'atteindre la vôtre.
Les yeux et le cerveau, nommés.
Les caméras sont des Leopard Imaging sur capteurs Sony IMX490. Le lidar est un Ouster OS0-128. La position et le cap proviennent d'un SBG Systems Ellipse-D, le mouvement de la tourelle d'un VectorNav VN-110, les angles de la flèche et du balancier de capteurs d'inclinaison SICK. L'ordinateur est un NVIDIA Jetson AGX Orin sur une carte porteuse Connect Tech. Chaque composant autour duquel STE Integrate est conçu, par fabricant.
Les mains, dessinées à partir du modèle.
Chaque unité de commande est dessinée dans le modèle d'ingénierie tel que construit : les nacelles de joystick, la nacelle de pédale, la nacelle de translation et la plateforme sur laquelle elles reposent. Ce sont les vues propres du modèle, tirées du même modèle contre lequel les machines sont construites.
Où le travail est préparé.
Avant qu'Eddie ne bouge, le travail est préparé hors de la machine : le chantier, sa limite, son repère, les dessins qu'exige le travail, et les vérifications de disponibilité. Cette préparation ne touche jamais la machine, ne détient aucune session et n'actionne aucune commande. Elle remet un travail prêt à la pile ci-dessus, et la pile décide, dans l'ordre, si la machine bouge.
Le STE Site Foreman est l'endroit où vit cette préparation.