A IA planeja. As regras governam. Os humanos autorizam. A segurança tem veto.
O Steady Eddie carrega a sua inteligência a bordo, em camadas, cada uma com uma função e um limite. As camadas que percebem e planejam são modelos de software, e nós as atualizamos: à medida que os modelos melhoram, cada unidade melhora com eles. As regras que governam os modelos, o controlador que movimenta a máquina e o sistema de segurança que pode parar tudo não são tocados por uma atualização, e nenhum modelo consegue convencê-los do contrário.
A máquina em operação, girando no modelo de engenharia.
O que propõe, o que decide, o que interrompe.
Todo comando passa por essa pilha. O pensamento é substituível. As partes que governam, movimentam e protegem não são, e ficam por baixo, onde um modelo não consegue alcançá-las.
Ele conversa com a equipe e lê o trabalho.
A parte que entende um plano, uma pergunta ou um desenho, e explica o que o Eddie pretende. Ele aconselha. Nunca comanda um controle.
Ele transforma um trabalho aprovado em ações comuns e limitadas.
Um corte, um içamento, uma passada, um giro, cada um dentro dos limites definidos para aquela máquina. Um plano é uma proposta até que tudo abaixo dele o tenha admitido.
Ele observa, e só consegue dizer para parar.
Detecção, classificação e rastreamento do que está ao redor da máquina, com uma confiança para cada um. A percepção pode retirar autoridade. Não pode concedê-la. Pode dizer para parar; não pode dizer para seguir.
Todo comando é admitido ou rejeitado aqui.
Regras simples, sempre as mesmas. Esta é a linha entre o que a IA quer e o que a máquina tem permissão para fazer.
Um controlador de ciclo fixo aciona cada comando.
Ele movimenta o joystick, o pedal, a alavanca, da forma como a calibração ensinou, e nada além disso. Um modelo mais rápido toma uma decisão melhor; ele não faz uma válvula hidráulica abrir mais rápido, e os próprios comandos da máquina definem o piso de toda resposta.
Um controlador de segurança independente com veto sobre tudo acima dele.
Cabeado separadamente, alimentado separadamente, respondendo à pessoa na máquina e aos seus próprios sensores. Quando ele diz para parar, nada acima dele tem voto.
Oito câmeras em um anel, e um disco nos próprios pés da máquina que nenhuma câmera consegue ver.
O anel não é uma câmera aparafusada onde havia espaço. É uma geometria calculada: quantas lentes, em que altura, inclinadas o quanto para baixo, de forma que cada metro quadrado desde a própria área de apoio da máquina até o círculo de visibilidade que a norma desenha ao redor de uma máquina da sua classe seja visto, e a partir de cinco metros seja visto por duas câmeras ao mesmo tempo.
Por que oito.
Sete câmeras deixam terreno que apenas uma lente vê. Oito deixam quase nada, e um alvo visto por duas câmeras é um alvo com uma distância, não apenas uma direção. O anel é girado de forma que nenhuma câmera fique na linha de centro da lança, onde a lança a bloquearia.
O disco cego, declarado.
Uma câmera no alto de uma máquina não consegue ver o terreno nos seus próprios pés. A geometria deixa um disco pouco maior que dois metros de diâmetro, no centro de rotação, que o anel não cobre, e o desenho diz isso em vez de escondê-lo. Esse disco é a razão pela qual a faixa próxima existe: nada tem permissão de estar nela quando a máquina está armada, e os próprios comandos da máquina, e a regra de que nada pode estar nela quando a máquina está armada, são o que mantém isso assim. O número vem da geometria, e nós o verificamos na máquina.
Discreto de propósito.
A própria visão de um operador é protegida por uma norma que define quanto uma peça instalada pode bloquear na linha de visão. Os módulos de câmera do Eddie são dimensionados conforme essa regra: discretos o suficiente para que uma pessoa no banco veja o que sempre viu.
- Lentes grandes-angulares, cada uma abrangendo um terço do horizonte, bastante inclinadas para baixo a partir de um anel na altura do teto.
- Toda câmera lê o quadro inteiro de uma vez, de forma que uma cabine tremendo não distorça o mundo.
- Alta faixa dinâmica: um sol baixo e uma oficina escura no mesmo quadro.
- Instaladas nos próprios pontos de espelho e corrimão do fabricante, nunca em uma estrutura de proteção contra capotamento.
Duas lentes, um obturador, uma regra sobre luz.
O anel quer amplitude. A ferramenta quer detalhe. A cabine treme. O sol fica no horizonte às quatro da tarde em janeiro. Cada uma dessas é uma decisão de lente, e cada uma foi tomada no papel antes de uma câmera ser comprada.
A lente de percepção.
Uma lente em cada câmera do anel que abrange um terço do horizonte, de forma que um quadrante seja coberto com margem e uma pessoa na borda do círculo ainda preencha o quadro o suficiente para ser uma pessoa e não uma mancha. As oito se sobrepõem; a sobreposição é de onde vem a profundidade.
A lente de trabalho.
Uma lente com metade da largura, no teto, olhando para frente e para baixo, para a ferramenta e o corte: a caçamba, a frente de escavação, a carga, a borda. O que os olhos de um operador fazem durante a maior parte de um turno.
O obturador.
Uma câmera que lê o seu quadro linha por linha, da forma como a maioria das câmeras de celular faz, transforma um poste reto em uma inclinação quando a cabine em que está tremendo. As câmeras do Eddie leem o quadro inteiro de uma vez. Uma cabine vibrando é a condição normal em uma máquina em operação, então isso nunca foi opcional.
O painel, lido da forma como você o lê.
Uma câmera na cabine olha para o painel de instrumentos e o lê opticamente: motor funcionando, temperatura, combustível, as luzes de aviso e de falha. Nenhum fio entra na máquina para perguntar. Isso pode parar o Eddie. Nunca pode ligar a máquina.
Um lidar giratório, radar onde o clima exige, e um relato simples do que cada um perde.
As câmeras dão a imagem. O lidar dá estrutura e um alcance direto a tudo que atinge. O radar, instalado como opção onde chuva, poeira e neve são a condição normal, dá presença quando eles cegam tudo o mais. Nenhum dos três é confiável sozinho, porque cada um tem um clima através do qual não consegue enxergar.
O lidar.
Um lidar giratório de cento e vinte e oito canais no teto da cabine, acima do anel, com um campo vertical de um oitavo de um círculo de cima a baixo, girando dez vezes por segundo. Ele fornece à imagem a sua estrutura métrica: a forma do terreno, a extensão de uma pilha, a borda de uma vala, o retorno de uma pessoa. É o sensor mais fraco na neblina e o primeiro a perder uma pessoa em roupa de trabalho escura, então nunca é o único.
Radar, como opção.
Onde chuva, poeira ou neve são a condição normal em um local, unidades de radar são adicionadas na altura da cintura ao redor da máquina, cada uma usada apenas no núcleo do seu campo onde os seus ângulos são confiáveis. Poeira que paralisa um lidar é quase transparente para o radar. Então o radar é usado para presença em poeira e neve, nunca para posição, e nunca sozinho: uma pessoa parada é invisível para ele, e duas pessoas juntas são um único objeto de radar.
A varredura, e o giro.
Uma máquina que gira arrasta a sua própria lança pelo campo do lidar. O Eddie sabe onde a sua lança está a cada instante e remove a lança da imagem, em vez de ver uma parede que não existe.
Câmeras e lidar a perdem. Radar, onde instalado, se mantém.
O lidar vê cada partícula como um alvo sólido. O radar quase não as vê, e é por isso que locais empoeirados o recebem.
O lidar perde primeiro. As câmeras se mantêm por mais tempo.
Os retornos do lidar desaparecem na neblina antes que a imagem de uma câmera desapareça.
Sensores voltados para frente ficam soterrados. O anel se mantém.
Cinco minutos de neve intensa podem cegar um sensor voltado para frente; oito câmeras ao redor da máquina não ficam todas voltadas para o clima.
O radar a perde. Câmeras e lidar se mantêm.
Um radar que lê movimento não consegue ver alguém parado.
O lidar a perde. As câmeras se mantêm, e o radar onde instalado.
Roupas escuras retornam quase nada para um lidar.
O Eddie remove a sua própria autoridade.
Quando os sensores discordam ou o clima os afeta, a percepção tem permissão para fazer uma coisa com a dúvida: retirar a autoridade.
Ela sabe para onde é para cima, para onde está apontando, e onde está a sua caçamba.
Uma máquina em uma encosta, girando uma carga, não é a mesma máquina que uma no plano. O Eddie carrega os sensores que fazem essa diferença, e carrega dois do tipo mais importante, porque uma cabine e um chassi não concordam.
Duas unidades inerciais, não uma.
Uma na cabine, uma no chassi. Em uma escavadeira elas diferem pelo giro e pelo próprio suporte da cabine, e tratá-las como uma só é um metro de erro na ferramenta. A unidade escolhida é da classe que consegue manter a sua atitude por minutos sem correção, não da classe de um celular; a diferença foi calculada antes de ser comprada.
O giro, e os cilindros.
Uma faixa no chassi lida por uma câmera voltada para baixo, fornecendo o ângulo entre a torre e as esteiras. Sensores de inclinação na lança e no braço, porque medir no cilindro coloca a borda da caçamba onde ela realmente está, e medir na articulação não.
Rumo a partir de duas antenas.
A gravidade diz a uma máquina qual é o sentido para baixo. Ela não tem opinião sobre o rumo. O Eddie obtém o rumo a partir da linha entre duas antenas de satélite no teto, mantidas afastadas o suficiente para ser confiável, e um corretor de grau topográfico onde o trabalho exige nível.
Rápido, corrigido, ancorado.
Os sensores nos comandos são rápidos e fecham o laço. Os sensores de atitude o corrigem. A posição por satélite é lenta e livre de deriva, e ancora a imagem à própria malha do local; ela nunca fecha um laço sozinha.
Objetos, o terreno, a faixa próxima onde ele para, a faixa distante onde ele observa.
O conjunto de sensores é construído para o terreno onde trabalhamos: poeira, neve, neblina, escuridão, e uma máquina que gira. Esta é a imagem que ele constrói.
Uma ilustração da imagem que o Eddie constrói: objetos, o terreno, a faixa próxima onde ele para ao entrar, a faixa distante onde ele observa. Não é uma saída ao vivo.
Oito câmeras ao redor da máquina.
Lentes grandes-angulares, espaçadas uniformemente, inclinadas para baixo, dimensionadas de forma que não haja terreno cego desde a própria área de apoio da máquina até o círculo de visibilidade que a norma desenha ao redor de uma máquina da sua classe.
Uma câmera na ferramenta e no corte.
O que os olhos do operador fazem: a caçamba, a frente de escavação, a carga, a borda.
Uma câmera lê o painel.
Motor funcionando, temperatura do óleo, combustível, as luzes de aviso e de falha, da forma como um operador as observa de relance. Isso pode parar o Eddie. Nunca pode ligar a máquina.
Um lidar giratório no teto da cabine.
Estrutura, extensão e a forma do terreno. Estrutura, extensão e a forma do terreno.
Uma opção para chuva e poeira.
O sensor mais forte em poeira e neve, e cego para um alvo que não está se movendo, então também nunca é o único. Adicionado onde o clima de um local exige.
Ela sabe para onde é para cima.
Unidades inerciais na cabine e no chassi, um inclinômetro na estrutura superior e um codificador no giro.
Todo eixo sabe onde está.
Sensoriamento de posição e força em cada comando que o Eddie aciona, um sensor de comprimento em cada cilindro, e posicionamento por satélite com um corretor de grau topográfico onde o trabalho exige.
Quando está incerto, ele remove autoridade.
A neve soterra sensores voltados para frente. A neblina cega o lidar. Um alvo parado é invisível para o radar. Nenhum nível de desempenho é reivindicado para o conjunto de sensores. Projetado de acordo com a arquitetura da ISO 13849, em direção à ISO 17757. Nenhuma certificação é reivindicada.
Cada sensor em seu próprio ramo, para que uma falha tenha um nome.
A imagem não é uma sopa única de pixels e pontos. Cada sensor é lido por conta própria, julgado pela sua própria confiabilidade, e só então combinado no nível dos objetos. Quando um sensor falha, o Eddie consegue dizer qual, e continuar sem ele. Fundir tudo cedo demais foi testado e rejeitado: na neblina, isso via menos do que uma única câmera via.
A cena que o Eddie mantém nunca se torna totalmente certa sobre nada, de propósito. Ele mantém dois registros separados: terreno que nunca observou, e terreno onde os seus sensores discordam. Ambos são tratados como desconhecidos, e desconhecido significa nenhuma autoridade ali.
Ele é obrigado a saber quando não consegue ver.
O clima que dispersa a luz é medido, não presumido. Um sensor que silenciosamente perde alcance ao esquentar não tem a confiança de dizer isso sozinho; o limite é definido de fora dele. Quando a imagem se enfraquece, a autoridade do Eddie se enfraquece com ela. A regra sob a qual todo o conjunto vive é curta: a detecção externa pode remover autoridade. Nunca pode criá-la. Nenhuma camada de IA pode conceder ou restaurar a autoridade de movimento.
A autoridade não é uma escada que qualquer um pode subir.
Um movimento acontece apenas quando o sistema de segurança está livre, uma pessoa identificada assinou por esse plano, o movimento está dentro dos limites que essa pessoa aprovou, e os limites de taxa e força são satisfeitos. Os quatro, sempre, ou a máquina não se move. Não há ordem para reordenar e nenhuma sobreposição.
How a new model earns its seat.
Perception and planning models are the fastest-moving technology in the world right now, and Eddie is built to take the next one. The thinking is replaceable on its own; the rules, the motion controller and the safety system underneath do not change when a model does. What changes is the bar a new model has to clear.
Four gates.
Nothing unsigned ever runs on a machine that can move. A new model has to fit the interface, keep to its time and memory, and be able to say stop, not only go; a model that can only ever emit a trajectory does not get in, however clever. It then runs in shadow beside the model it would replace, with no authority, until it has agreed with it long enough to trust. The swap happens at a beat of the controller, with the old model still resident. Rolling back drops the approval and a person signs again; there is no reverting to the last command.
A separate rig records how good operators move.
With a person in the seat and the unit out of it, a separate recording rig takes down what a skilled operator's hands actually did, at a rate and a resolution that make the record worth keeping. Nothing of Eddie's is connected while it runs, control units included, and the rig is wired to nothing on the machine. Where the stick paused. How the throttle came up before the swing. How the bucket was feathered into the face.
That record has no authority. It cannot move a control. Learning happens off the machine, is reviewed by a named person, and ships signed, governed so that no one person's technique is reproducible from it and no one person's contribution dominates it. There is no learning on the machine and no weight that changes itself in the field. Every update runs on our own fleet before it reaches yours.
The eyes and the brain, named.
The cameras are Leopard Imaging on Sony IMX490 imagers. The lidar is an Ouster OS0-128. Position and heading come from an SBG Systems Ellipse-D, the motion of the house from a VectorNav VN-110, the boom and stick angles from SICK inclination sensors. The computer is an NVIDIA Jetson AGX Orin on a Connect Tech carrier. Every part STE Integrate is engineered around, by maker.
The hands, drawn from the model.
Every control unit is drawn in the engineering model as built: the joystick pods, the pedal pod, the travel pod and the platform they sit on. These are the model's own views, drawn from the same model the machines are built against.
Where the job is prepared.
Before Eddie moves, the job is prepared off the machine: the site, its boundary, its datum, the drawings the work calls for, and the readiness checks. That preparation never touches the machine, holds no session and moves no control. It hands a ready job to the stack above, and the stack decides, in order, whether the machine moves.
The STE Site Foreman is where that preparation lives.