Il  18 marzo 2018 una Volvo XC90 di Uber  impegnata nei test per la guida autonoma e appositamente modificata per questo scopo, ha investito e ucciso un pedone nei dintorni di Tempe in Arizona. Le cause dell'incidente non sono state subito chiare ma ora il rapporto preliminare del National Transportation Safety Board chiarisce meglio la dinamica dei fatti. Innanzitutto è confermato che l'auto si stava muovendo in modalità completamente autonoma e che il pedone era vestito con abiti scuri. Questi non ha guardato nella direzione di provenienza del veicolo se non fino a un attimo prima dell'impatto e ha attraversato la strada in un punto non illuminato da alcuna luce stradale.

Inoltre, il pedone stava spingendo a mano una bicicletta che non aveva catarifrangenti laterali – come prescritto dal codice della strada USA – mentre quelli anteriori e posteriori, così come la lampadina frontale, erano perfettamente perpendicolari alla strada e dunque alla direzione del veicolo. Il pedone ha attraversato la strada scendendo da un marciapiede dove i segnali indicavano di utilizzare l'apposito attraversamento pedonale posto circa 110 metri più avanti.

La Volvo XC90 modificata da Uber, era dotata di  telecamere frontali e laterali, un radar, un lidar (ovvero un radar laser), un navigatore e un'unità di calcolo dedicata. La XC90 aveva anche tutti i sistemi di assistenza alla guida che fanno parte del suo equipaggiamento standard, inclusi la frenata automatica di emergenza e il riconoscimento dei pedoni. Queste funzioni venivano però spente quando l'auto entrava in funzione la guida autonoma.

Il pedone è stato individuato 115 metri prima

Il radar e il lidar hanno rilevato la presenza del pedone sulla traiettoria dell'auto sei secondi prima dell'impatto, quando la Volvo viaggiava a 69 km/h, classificandolo prima come un oggetto non identificato, poi come un veicolo e poi come bicicletta, modificando più volte le aspettative circa il suo comportamento successivo.

Il software ha reagito 25 metri prima

A 1,3 secondi dall'impatto il software si è reso conto che sarebbe stata necessaria una frenata di emergenza per ridurre le conseguenze della collisione. Tuttavia, secondo quanto dichiarato da Uber, quando l'auto guida da sola la frenata automatica di emergenza è disabilitata per ridurre il pericolo di comportamenti errati da parte del veicolo. In questo caso il guidatore dovrebbe intervenire ma pare che il sistema non l'abbia allertato, infatti i dati registrati dall'auto dimostrano che il conducente ha messo le mani sul volante meno di un secondo prima dell'impatto e che ha premuto il pedale del freno meno di un secondo dopo l'impatto. 

Al momento dell’incidente tutto funzionava alla perfezione

L'operatore della Volvo autonoma ha dichiarato che stava controllando la strumentazione e che non ha mai usato i suoi telefoni fino a dopo l'impatto; i tempi di reazione infatti corrispondono con quelli di un normale conducente che “non veda” il pedone. Il rapporto preliminare si conclude confermando che al momento dell'incidente tutto funzionava alla perfezione.

Per parlare di cause legali è ancora presto e bisognerà attendere la fine delle indagini ufficiali. Quello che però è chiarissimo  è che ci troviamo di fronte a una situazione assolutamente normale, dove il pedone si è comportato come tantissimi altri pedoni che attraversano fuori dalle strisce, o come tanti altri ciclisti che non si preoccupano affatto dell’essere invisibili al buio. Forse un automobilista umano avrebbe investito il pedone-ciclista, ma se accettassimo questo errore da un sistema automatico allora dovremmo anche accettare che i semafori impazziscano, gli ascensori non si fermino al piano,  i passaggi a livello si blocchino!

Il fatto è che i sistemi hanno rilevato il pedone-ciclista ben 115 metri prima, che è lo spazio percorso dalla vettura in 6 secondi, quindi c’era tutto il tempo per rallentare e fermarsi; però i sistemi  hanno reagito solo 25 metri prima, con un ritardo inaccettabile, visto che ha causato il non arresto della vettura in tempo.

Inoltre la frenata automatica di emergenza e il riconoscimento dei pedoni erano “spenti”  quando nell'auto entrava in funzione la guida autonoma. Non è stata giustificata la scelta.

Quindi alcuni sistemi hanno funzionato molto meglio di un conducente umano, vedendo un pedone-ciclista che forse un umano non avrebbe visto. Però i sistemi non sono stati progettati per reagire tempestivamente, al limite rallentando; questa è stata una scelta di programmazione cosciente di qualcuno che ha preferito evitare che la vettura rallentasse con dati in ingresso di quel tipo. Esattamente come accade quando un conducente umano corre a velocità eccessiva!  Infatti il limite su quella strada è di 45 miglia orarie e la vettura procedeva alla velocità massima consentita; nessuna infrazione, però cautela avrebbe richiesto che una vettura senza conducente procedesse più piano.  Per le vetture a guida autonoma il Codice della Strada va riscritto, per imporre comportameti tecnicamente cauti e sicuri; ad esempio nessuna normativa permette di contestare la scelta di  testare su strada normale un hardware incapace di calcolare (sono passati ben 4,7 secondi) con velocità sufficiente al fabbisogno; perché non sono neanche definiti i tempi accettabili di calcolo.

Così come è stata una scelta “escludere” la frenata automatica di emergenza e il riconoscimento dei pedoni, accettando il rischio che il sistema di guida autonoma gestisse il tutto. Se sarà confermata la versione dei fatti sopra sintetizzata, sembrerebbe  proprio che una vettura in grado di percepire un pedone nel buio totale a 115 metri di distanza (ottimo!) sia stata mal programmata a più livelli, secondo specifiche di programmazione mal concepite.  Se un tetto viene progettato e/o realizzato male, crolla è uccide un essere umano, il responsabile viene condannato; una vettura a guida autonoma viene progettata e realizzata esattamente come un tetto, cambia solo la tecnologia.

Ovviamente ogni punto della relazione USA sarà analizzato, i tempi verificati, eccetera e quindi ci si potrà pronunciare compiutamente  a processo finito. Al momento si possono solo fare ipotesi. Va sempre ricordato però che il software non nasconde alcun “mistero”, fosse anche di Intelligenza Artificiale. Qualunque software deve fare ciò per cui è progettato e solo ciò per cui è progettato; se non lo fa, e tutto è perfettamente funzionante, allora il software è stato progettato male; da un umano. Oppure le specifiche sono state definite male; sempre da un umano.

Secondo l'Nhtsa, i risultati di questa indagine "sollevano dubbi sulle sicurezza della tecnologia usata da Uber e sul processo per i test delle vetture".

Un ulteriore problema perché poco tempo si era poi scoperto sulle auto driveless Uber l'intervento dei conducenti,  molto più che sulle auto di altre marche che usavano la tecnologia senza pilota. Forse non è un caso che dopo l'incidente  siano stati bloccati definitivamente tutti i test. 

Il rapporto

Da una analisi dettagliata, punto per punto, del rapporto emergono decine di scelte prestazionali e  decisionali relative al software, senza che esista alcuna normtaiva "cogente" in merito.

“Sembra una grave dimenticanza nella progettazione” ha dichiarato Bryant Walker Smith, professore University of South Carolina che studia le normative autonome sui veicoli. “La relazione chiarisce che un veicolo a guida autonoma è stato testato su strade pubbliche quando non era ancora abbastanza sicuro e ha ucciso un pedone. Questa è la conclusione”, ha detto William Wallace, analista politico per Consumers Union in una dichiarazione. “Il sistema di Uber non è stato in grado di capire e reagire adeguatamente a ciò che lo circondava e si è affidato eccessivamente all’operatore umano, ed era troppo pericoloso per essere testato su una strada chiusa”.

Passi per un test in ambiente controllato, dove l'attraversamento è "simulato", ma ci si chiede come sia stato scelto di  autorizzare un test su strada comune senza fissare delle specifiche tecniche di dettaglio adeguato alle necessità della sicurezza. Non era previsto neanche un allarme per il conducente.