AI planuje. Zasady rządzą. Ludzie autoryzują. Bezpieczeństwo ma prawo weta.
Steady Eddie niesie swoją inteligencję na pokładzie, w warstwach, każda z zadaniem i granicą. Warstwy, które postrzegają i planują, to modele programowe, i my je aktualizujemy: gdy modele się poprawiają, każda jednostka poprawia się razem z nimi. Zasady, które rządzą modelami, sterownik, który porusza maszyną, i system bezpieczeństwa, który może zatrzymać wszystko, nie są dotykane przez aktualizację, i żaden model nie może ich do tego namówić.
Maszyna przy pracy, obrót w modelu inżynierskim.
Co proponuje, co decyduje, co zatrzymuje.
Każde polecenie przechodzi w dół przez ten stos. Myślenie jest wymienne. Części rządzące, poruszające i chroniące nie są, i znajdują się poniżej, tam, gdzie model nie może ich dosięgnąć.
Rozmawia z załogą i odczytuje zadanie.
Część, która rozumie plan, pytanie lub rysunek, i wyjaśnia, co zamierza Eddie. Doradza. Nigdy nie wydaje polecenia sterowaniu.
Zamienia zatwierdzone zadanie w zwykłe, ograniczone działania.
Cięcie, podniesienie, przejazd, obrót, każde w granicach ustalonych dla tej maszyny. Plan jest propozycją, dopóki wszystko poniżej go nie dopuści.
Obserwuje, i może tylko powiedzieć stop.
Wykrywanie, klasyfikacja i śledzenie tego, co jest wokół maszyny, z poziomem pewności dla każdego. Percepcja może odebrać uprawnienie. Nie może go przyznać. Może powiedzieć stop; nie może powiedzieć jedź.
Każde polecenie jest tu dopuszczone lub odrzucone.
Proste zasady, te same za każdym razem. To jest linia między tym, czego chce AI, a tym, co maszyna może zrobić.
Sterownik o stałym cyklu obsługuje każdy element sterowania.
Porusza dźwignią sterującą, pedałem, drążkiem, tak jak nauczyła go kalibracja, i niczym innym. Szybszy model podejmuje lepszą decyzję; nie sprawia, że zawór hydrauliczny otwiera się szybciej, a fabryczne sterowanie maszyny ustala dolną granicę każdej reakcji.
Niezależny sterownik bezpieczeństwa z prawem weta nad wszystkim powyżej.
Osobno okablowany, osobno zasilany, podlegający osobie przy maszynie i swoim własnym czujnikom. Gdy mówi stop, nic powyżej nie ma głosu.
Osiem kamer na pierścieniu, i jeden dysk u stóp maszyny, którego żadna kamera nie widzi.
Pierścień to nie kamera przykręcona tam, gdzie było miejsce. To obliczona geometria: ile obiektywów, na jakiej wysokości, przechylonych jak daleko w dół, tak by każdy metr kwadratowy od śladu samej maszyny aż po okrąg widoczności, jaki norma rysuje wokół maszyny jej klasy, był widziany, a od pięciu metrów widziany przez dwie kamery naraz.
Dlaczego osiem.
Siedem kamer zostawia teren widziany tylko przez jeden obiektyw. Osiem zostawia niemal nic, a cel widziany przez dwie kamery to cel z odległością, nie tylko namiarem. Pierścień jest obrócony tak, by żadna kamera nie leżała na osi wysięgnika, gdzie wysięgnik by ją zasłonił.
Martwy dysk, wprost.
Kamera wysoko na maszynie nie widzi terenu u jej własnych stóp. Geometria zostawia dysk nieco ponad dwa metry w poprzek, w centrum obrotu, którego pierścień nie pokrywa, a rysunek to mówi zamiast to ukrywać. Ten dysk jest powodem, dla którego istnieje bliska strefa: nic nie może się w niej znajdować, gdy maszyna jest uzbrojona, a fabryczne sterowanie maszyny i zasada, że nic nie może się w niej znajdować, gdy maszyna jest uzbrojona, są tym, co to utrzymuje. Wartość wynika z geometrii, i sprawdzamy ją na maszynie.
Smukłe celowo.
Własny widok operatora jest chroniony przez normę, która ustala, ile osprzęt może zasłaniać na linii wzroku. Moduły kamer Eddiego są dobrane pod tę zasadę: na tyle smukłe, że osoba w fotelu widzi to, co zawsze widziała.
- Szerokie obiektywy, każdy obejmujący jedną trzecią horyzontu, mocno przechylone w dół z pierścienia na wysokości dachu.
- Każda kamera odczytuje całą klatkę naraz, więc trzęsąca się kabina nie wygina świata.
- Wysoki zakres dynamiczny: nisko stojące słońce i ciemny warsztat w tej samej klatce.
- Zamontowane w fabrycznych punktach lusterek i poręczy producenta, nigdy do konstrukcji chroniącej przy przewróceniu.
Dwa obiektywy, jedna migawka, jedna zasada o świetle.
Pierścień chce szerokości. Narzędzie chce szczegółu. Kabina drga. Słońce siedzi na horyzoncie o czwartej po południu w styczniu. Każda z tych rzeczy to decyzja o obiektywie, i każda została podjęta na papierze, zanim kupiono kamerę.
Obiektyw świadomości.
Obiektyw na każdej kamerze pierścienia, który obejmuje jedną trzecią horyzontu, więc kwadrant jest pokryty z zapasem, a osoba na krawędzi okręgu nadal wypełnia dość kadru, by być osobą, a nie plamą. Osiem się nakłada; nakładanie jest tym, skąd bierze się głębia.
Obiektyw roboczy.
Obiektyw o połowę węższy na dachu, patrzący do przodu i w dół na narzędzie i cięcie: łyżkę, ścianę, ładunek, krawędź. To, co robią oczy operatora przez większość zmiany.
Migawka.
Kamera, która odczytuje swoją klatkę linia po linii, tak jak robi to większość kamer w telefonach, wygina prosty słup w przechył, gdy kabina, w której siedzi, drga. Kamery Eddiego odczytują całą klatkę naraz. Drgająca kabina to normalny stan pracującej maszyny, więc to nigdy nie było opcjonalne.
Deska rozdzielcza, odczytywana tak, jak Ty ją czytasz.
Jedna kamera w kabinie patrzy na zestaw wskaźników i odczytuje go optycznie: silnik pracujący, temperaturę, paliwo, lampki ostrzegawcze i usterek. Żaden przewód nie wchodzi do maszyny, by o to zapytać. Może zatrzymać Eddiego. Nigdy nie może uruchomić maszyny.
Obracający się lidar, radar tam, gdzie wymaga tego pogoda, i szczere podsumowanie tego, co traci każdy z nich.
Kamery dają obraz. Lidar daje strukturę i bezpośredni zasięg do wszystkiego, co trafi. Radar, montowany jako opcja tam, gdzie deszcz, pył i śnieg są normalnym stanem, daje wykrycie obecności, gdy te oślepiają wszystko inne. Żadnemu z tych trzech nie ufa się samodzielnie, bo każdy ma pogodę, przez którą nie widzi.
Lidar.
Sto dwadzieścia osiem kanałów obracającego się lidaru na dachu kabiny, powyżej pierścienia, z polem pionowym jednej ósmej okręgu od góry do dołu, obracający się dziesięć razy na sekundę. Nadaje obrazowi jego metryczną strukturę: kształt terenu, zasięg hałdy, krawędź wykopu, odbicie od człowieka. To najsłabszy czujnik we mgle i pierwszy, który traci osobę w ciemnej odzieży roboczej, więc nigdy nie jest jedynym.
Radar, jako opcja.
Tam, gdzie deszcz, pył lub śnieg są normalnym stanem na placu, jednostki radarowe są dodawane na wysokości pasa wokół maszyny, każda używana tylko w rdzeniu swojego pola, gdzie jej kąty są uczciwe. Pył, który zatrzymuje lidar całkowicie, jest niemal przezroczysty dla radaru. Więc radar jest używany do wykrywania obecności w pyle i śniegu, nigdy do pozycji, i nigdy samodzielnie: osoba stojąca w miejscu jest dla niego niewidzialna, a dwie osoby stojące razem to jeden obiekt radarowy.
Zamiatanie i obrót.
Maszyna, która się obraca, przeciąga własny wysięgnik przez pole lidaru. Eddie wie, gdzie jest jego wysięgnik w każdej chwili, i usuwa wysięgnik z obrazu, zamiast widzieć ścianę, której tam nie ma.
Kamery i lidar go tracą. Radar, tam gdzie jest zamontowany, utrzymuje.
Lidar widzi każdą cząstkę jako twardy cel. Radar ledwo je widzi, dlatego zapylone place go dostają.
Lidar traci pierwszy. Kamery utrzymują dłużej.
Odbicia lidaru zanikają we mgle, zanim zrobi to obraz kamery.
Czujniki skierowane do przodu zasypuje. Pierścień utrzymuje.
Pięć minut zawiei śnieżnej może oślepić czujnik skierowany do przodu; osiem kamer wokół maszyny nie wszystkie są zwrócone w stronę pogody.
Radar ją traci. Kamery i lidar utrzymują.
Radar, który odczytuje ruch, nie widzi kogoś stojącego w miejscu.
Lidar ją traci. Kamery utrzymują, i radar tam, gdzie jest zamontowany.
Ciemna odzież odbija niemal nic do lidaru.
Eddie odbiera sobie własne uprawnienie.
Gdy czujniki się nie zgadzają lub pogoda je zabiera, percepcja może zrobić z wątpliwością jedno: odebrać uprawnienie.
Wie, która strona jest górą, w którą stronę jest skierowana, i gdzie jest jej łyżka.
Maszyna na zboczu, obracająca ładunek, to nie ta sama maszyna co na płaskim terenie. Eddie niesie czujniki, które mówią o różnicy, i niesie dwa z najważniejszego rodzaju, bo kabina i podwozie się nie zgadzają.
Dwie jednostki inercyjne, nie jedna.
Jedna w kabinie, jedna na podwoziu. Na koparce różnią się o obrót i o własne mocowanie kabiny, a traktowanie ich jako jednej to metr błędu na narzędziu. Wybrana jednostka to klasa, która może utrzymać swoją orientację przez minuty bez korekty, nie klasa z telefonu; różnica została obliczona, zanim ją kupiono.
Obrót i siłowniki.
Taśma na korpusie gąsienicowym odczytywana przez kamerę skierowaną w dół, podająca kąt między nadwoziem a gąsienicami. Czujniki nachylenia na wysięgniku i ramieniu, bo mierzenie siłownika umieszcza krawędź łyżki tam, gdzie naprawdę jest, a mierzenie na przegubie tego nie robi.
Kurs z dwóch anten.
Grawitacja mówi maszynie, gdzie jest dół. Nie ma zdania na temat kursu. Eddie bierze kurs z linii między dwiema antenami satelitarnymi na dachu, rozstawionymi dostatecznie daleko, by im ufać, i korektorem klasy geodezyjnej tam, gdzie zadanie wymaga dokładności.
Szybkie, korygowane, zakotwiczone.
Czujniki na sterowaniu są szybkie i zamykają pętlę. Czujniki orientacji ją korygują. Namiar satelitarny jest wolny i wolny od dryftu, i zakotwicza obraz do siatki własnej placu; nigdy nie zamyka pętli samodzielnie.
Obiekty, teren, bliska strefa, w której się zatrzymuje, daleka strefa, w której obserwuje.
Zestaw czujników jest zbudowany na teren, na którym pracujemy: pył, śnieg, mgła, ciemność i maszyna, która się obraca. To obraz, który buduje.
Ilustracja obrazu, który buduje Eddie: obiekty, teren, bliska strefa, w której zatrzymuje się przy wjeździe, daleka strefa, w której obserwuje. Nie jest na żywo.
Osiem kamer wokół maszyny.
Szerokie obiektywy, rozmieszczone równomiernie, przechylone w dół, dobrane tak, by nie było martwego terenu od śladu samej maszyny aż po okrąg widoczności, jaki norma rysuje wokół maszyny jej klasy.
Jedna kamera na narzędziu i cięciu.
To, co robią oczy operatora: łyżka, ściana, ładunek, krawędź.
Jedna kamera odczytuje deskę rozdzielczą.
Silnik pracujący, temperatura oleju, paliwo, lampki ostrzegawcze i usterek, tak jak zerka na nie operator. Może zatrzymać Eddiego. Nigdy nie może uruchomić maszyny.
Obracający się lidar na dachu kabiny.
Struktura, zasięg i kształt terenu. Struktura, zasięg i kształt terenu.
Opcja na deszcz i pył.
Najsilniejszy czujnik w pyle i śniegu, i ślepy na cel, który się nie porusza, więc też nigdy nie jest jedynym. Dodawany tam, gdzie wymaga tego pogoda na placu.
Wie, która strona jest górą.
Jednostki inercyjne na kabinie i podwoziu, inklinometr na górnej konstrukcji i enkoder na obrocie.
Każda oś wie, gdzie jest.
Czujniki pozycji i siły na każdym elemencie sterowania, który obsługuje Eddie, czujnik długości na każdym siłowniku, i pozycjonowanie satelitarne z korektorem klasy geodezyjnej tam, gdzie wymaga tego zadanie.
Gdy nie jest pewien, odbiera uprawnienie.
Śnieg zasypuje czujniki skierowane do przodu. Mgła oślepia lidar. Nieruchomy cel jest niewidzialny dla radaru. Nie deklarujemy żadnego poziomu zapewnienia bezpieczeństwa dla zestawu czujników. Zaprojektowany zgodnie z architekturą ISO 13849, w kierunku ISO 17757. Nie deklarujemy żadnej certyfikacji.
Każdy czujnik na własnej gałęzi, więc awaria ma nazwę.
Obraz to nie jedna zupa pikseli i punktów. Każdy czujnik jest odczytywany osobno, oceniany według własnej niezawodności, i dopiero potem łączony na poziomie obiektów. Gdy jeden czujnik zawodzi, Eddie może powiedzieć który, i kontynuować bez niego. Wczesne łączenie wszystkiego zostało przetestowane i odrzucone: we mgle widziało mniej niż pojedyncza kamera.
Scena, którą przechowuje Eddie, nigdy nie staje się w pełni pewna niczego, celowo. Prowadzi dwie osobne księgi: teren, którego nigdy nie zaobserwował, i teren, gdzie jego czujniki się nie zgadzają. Oba są traktowane jako nieznane, a nieznane oznacza brak uprawnienia tam.
Musi wiedzieć, kiedy nie widzi.
Pogoda, która rozprasza światło, jest mierzona, nie zakładana. Czujnikowi, który po cichu traci zasięg wraz z nagrzewaniem się, nie ufa się, że sam to powie; granica jest ustalana z zewnątrz. Gdy obraz się przerzedza, uprawnienie Eddiego przerzedza się razem z nim. Zasada, pod którą żyje cały zestaw, jest krótka: zewnętrzne czujniki mogą odbierać uprawnienie. Nigdy nie mogą go tworzyć. Żadna warstwa AI nie może przyznać ani przywrócić uprawnienia do ruchu.
Uprawnienie to nie drabina, po której ktokolwiek może się wspiąć.
Ruch następuje tylko wtedy, gdy system bezpieczeństwa jest czysty, nazwana osoba podpisała ten plan, ruch mieści się w granicach zatwierdzonych przez tę osobę, i spełnione są ograniczenia prędkości i siły. Wszystkie cztery, za każdym razem, albo maszyna się nie porusza. Nie ma kolejności do przetasowania i żadnego obejścia.
How a new model earns its seat.
Perception and planning models are the fastest-moving technology in the world right now, and Eddie is built to take the next one. The thinking is replaceable on its own; the rules, the motion controller and the safety system underneath do not change when a model does. What changes is the bar a new model has to clear.
Four gates.
Nothing unsigned ever runs on a machine that can move. A new model has to fit the interface, keep to its time and memory, and be able to say stop, not only go; a model that can only ever emit a trajectory does not get in, however clever. It then runs in shadow beside the model it would replace, with no authority, until it has agreed with it long enough to trust. The swap happens at a beat of the controller, with the old model still resident. Rolling back drops the approval and a person signs again; there is no reverting to the last command.
A separate rig records how good operators move.
With a person in the seat and the unit out of it, a separate recording rig takes down what a skilled operator's hands actually did, at a rate and a resolution that make the record worth keeping. Nothing of Eddie's is connected while it runs, control units included, and the rig is wired to nothing on the machine. Where the stick paused. How the throttle came up before the swing. How the bucket was feathered into the face.
That record has no authority. It cannot move a control. Learning happens off the machine, is reviewed by a named person, and ships signed, governed so that no one person's technique is reproducible from it and no one person's contribution dominates it. There is no learning on the machine and no weight that changes itself in the field. Every update runs on our own fleet before it reaches yours.
The eyes and the brain, named.
The cameras are Leopard Imaging on Sony IMX490 imagers. The lidar is an Ouster OS0-128. Position and heading come from an SBG Systems Ellipse-D, the motion of the house from a VectorNav VN-110, the boom and stick angles from SICK inclination sensors. The computer is an NVIDIA Jetson AGX Orin on a Connect Tech carrier. Every part STE Integrate is engineered around, by maker.
The hands, drawn from the model.
Every control unit is drawn in the engineering model as built: the joystick pods, the pedal pod, the travel pod and the platform they sit on. These are the model's own views, drawn from the same model the machines are built against.
Where the job is prepared.
Before Eddie moves, the job is prepared off the machine: the site, its boundary, its datum, the drawings the work calls for, and the readiness checks. That preparation never touches the machine, holds no session and moves no control. It hands a ready job to the stack above, and the stack decides, in order, whether the machine moves.
The STE Site Foreman is where that preparation lives.