Oké, de melyik öl meg kevesebb embert?

Százmilliós és milliárdos mérföldszámok

A Tesla FSD (Supervised) számlálója milliárdnyi felügyelt mérföldet összesít. Ez azonban nem azonos a biztonsági jelentés gördülő tizenkét havi ütközési mutatóinak mintájával. A külön kutatásoknak is saját vizsgálati időszakuk van: nem minden százalékot a teljes, folyamatosan növekvő futásból számolnak.

A Tesla összesített futása sokszorosa a Waymo 220,6 millió mérföldes, teljesen vezető nélküli összehasonlításának. A nagyobb szám első pillantásra meggyőzőbbnek hangzik. A telefonunk kameráján is az a legfontosabb szám, amelyik mellé a gyártó a legtöbb megapixelt tudja írni, egészen addig, amíg este meg nem próbáljuk lefotózni vele a macskát, és egy szőrös napfogyatkozást kapunk.

A mérföld önmagában itt is csak felbontás. A kérdés az, mi történt közben. Csakhogy a Tesla mérföldjeinél egy ember ül a vezetőülésben. A rendszer hivatalos neve nem véletlenül FSD (Supervised). A Tesla saját támogatási oldala is kimondja, hogy a funkciók nem teszik autonómmá az autót, és a sofőrnek figyelnie kell.

Ha a rendszer rosszul mér fel egy helyzetet, az ember fékezhet, kormányozhat vagy kikapcsolhatja. Ha az ember nem ment, az FSD lehetett rossz — de az is lehet, hogy az ember hibázott, későn reagált, vagy rosszul használta a rendszert. Amit látunk, az nem egy magára hagyott gép teljesítménye, hanem egy ember–gép párosé.

Ez olyan, mintha egy tandembicikli időeredményéből próbálnánk megállapítani, milyen gyors az elöl ülő versenyző, miközben hátul egy másik ember is teker, fékez, és időnként kétségbeesetten belenyúl a kormányzásba. Lehet, hogy az első fantasztikus. Lehet, hogy a hátsó mentette meg őket a bokortól.

A célvonal kamerája csak azt látja, hogy a tandem beért.

A Waymo 2026. júniusi biztonsági frissítése ezzel szemben 2026 márciusának végéig több mint 220 millió úgynevezett rider-only mérföldet vizsgált. A vezetőülésben nem volt biztonsági sofőr. A Waymo Driver a kijelölt működési területén maga végezte a teljes dinamikus vezetési feladatot.

A száma kisebb, de a kísérlet merészebb. A trapézon kevesebb ugrást látunk, csak közben elvitték alóla a hálót. A cég szerint az azonos helyeken és időszakokban közlekedő emberi benchmarkhoz képest 94 százalékkal kevesebb súlyos vagy halálos sérüléssel járó, 82 százalékkal kevesebb bármilyen jelentett sérüléssel járó, és 82 százalékkal kevesebb légzsáknyílásos baleset történt. Nem csak azokat számolták, amelyekért a Waymo volt felelős.

Az összesített különbség a Waymo becslése szerint 47 elmaradt súlyos vagy halálos sérüléses, 305 elmaradt légzsáknyílásos és 707 elmaradt, bármilyen sérülést okozó baleset az emberi benchmarkhoz képest. Ez nagyon erős eredmény. De még ez sem azt jelenti, hogy a Waymo „94 százalékkal biztonságosabb az embernél” mindenhol, minden időben és minden lehetséges úton. Azt jelenti, hogy a 2026 márciusáig vizsgált öt város szolgáltatási területein, a vizsgált felszíni utakon és a saját módszertanával kialakított emberi összehasonlításhoz képest ennyivel alacsonyabb volt bizonyos súlyossági kategóriák rátája.

A Waymo közben új városokba is belépett. A márciusi mintából számolt eredmény nem külön biztonsági igazolás az azóta megnyitott területekre vagy minden új járműváltozatra.

Ez a mondat hosszú. Azért hosszú, mert minden levágott tagmondatból egy új marketingkampány születhetne.

A két oszlop nem azt mutatja, hogy az egyik cég őszinte, a másik pedig nem. Azt mutatja, hogy két külön kísérletet nézünk. A Waymo kérdése: biztonságosabban vezet-e a gép az embernél ott, ahol már magára merjük hagyni? A Tesla kérdése: ritkábban ütközik-e az autó, amikor a vezetéstámogató rendszer és a figyelő ember együtt dolgozik?

Mindkettő fontos. A Cybercabhez azonban az elsőre kell válaszolni. Mert a Cybercab kesztyűtartójában nem jár alapfelszerelésként egy figyelmes kaliforniai, aki szükség esetén előbújik és ellenkormányoz.

Hogyan lehet bebizonyítani, hogy egy gép biztonságosabb nálunk?

Elsőre egyszerűnek tűnik. Vegyük a balesetek számát, osszuk el a megtett mérföldekkel, és nézzük meg, kinek kisebb az eredménye.

Ez nagyjából olyan, mintha két éttermet az alapján hasonlítanánk össze, hány vendég küldte vissza az ételt. Az egyik tíz reklamációt kapott száz tányérból, a másik százat százezerből; máris kell a nevező.

Aztán kiderül, hogy az egyik kizárólag főtt rizst szolgált fel, a másik nyers osztrigát, ezért kell a kitettség. Az egyik minden félbehagyott köretet reklamációnak számolt, a másik csak azt, amelyik után mentőt hívtak, ezért kell az eseménydefiníció is.

Az sem mindegy, kik voltak a vendégek: az egyik étterem egy gólyatábort, a másik egy idősotthont szolgált ki. A két csoportban ugyanaz az étel sem feltétlenül jelent azonos kockázatot, ezért az összehasonlításnál a vendégkört is figyelembe kell venni. Mire mindezt tisztázzuk, az éttermi toplistából lassan közegészségügyi vizsgálat lesz.

És még mindig csak ott tartunk, hogy rendesen elneveztük az oszlopokat.

Egy lökhárító karcolása, egy kinyíló légzsák és egy halálos ütközés egyaránt baleset. Biztonsági szempontból mégsem ugyanazok. Ha csak a darabszámot nézzük, egy rendkívül óvatos robotaxi akár rosszul is járhat. Képzeljük el, hogy szűk helyen araszol, és valaki nekikoccan hátulról. Az esemény bekerülhet az autonómflotta jelentésébe, miközben egy ember két fotó és némi választékos káromkodás után talán továbbhajtana.

Vegyünk egy betonoszlopot egy parkolóházban. Az ember nekitolat, kiszáll, megvizsgálja a lökhárítót, majd megállapítja, hogy az oszlop eleve szar helyen volt. Ha a karcolás nem látszik messziről, az esemény hivatalos besorolása: patina.

Az autonóm autó eközben eltárolja a gyorsulást, a sebességváltozást, a kameraképet, az időpontot és valószínűleg azt is, hogy az oszlop a találkozás előtt mennyire volt magabiztos. A jogi osztály pedig eldönti, melyik jelentési kategória nyelte le az esetet. Ugyanaz a koppanás három különböző valóságként jelenhet meg. A Waymo Safety Impact hubja a vizsgált mintáról megjegyzi, hogy a jelentett SGO-ütközések 41 százalékában az ütközési sebességváltozás, a delta-V egy mérföld/óra alatti volt. Ez már kevésbé Mad Max, inkább egy különösen határozott bevásárlókocsi.

A súlyossági lépcső ezért fontos:

1. minden észlelt érintkezés;
2. rendőrségnek tipikusan jelentett baleset;
3. vontatást vagy légzsáknyílást okozó ütközés;
4. sérüléses baleset;
5. súlyos vagy halálos sérülés.

Minél feljebb megyünk, annál fontosabb az esemény — és annál ritkább. A ritka eseményből pedig nehezebb statisztikailag megbízható következtetést levonni. A baleset szó tehát nem doboz, inkább egész IKEA-raktár. A kutató feladata először nem az, hogy megszámolja a dobozokat, hanem hogy ellenőrizze: mindenki ugyanabba a BILLY-polcba próbálta-e belegyömöszölni a valóságot.

A Tesla ezt másképp kezeli. A jelentésében „nagy” ütközés az, amelynél légzsák vagy más nem visszafordítható pirotechnikai utasvédelmi eszköz nyílik. „Kisebb” ütközés az, amelynél ez nem történik meg, de a jármű sebessége legalább 8 km/h-val változik 150 ezredmásodpercen belül. Ez jól automatizálható, objektív telemetria.

Viszont nem sérülési adat. A Tesla ezt maga is jelzi: egészségügyi és adat-hozzáférési okokból nem közöl sérülési rátát, ezért a légzsáknyílást és a delta-V-t használja súlyossági proxyként. A proxy olyan, mint a füstjelző.

A proxy ebben az értelemben olyan, mint a füstjelző: következetesen jelzi, hogy valami történt, de nem mondja meg, a pirítós égett oda vagy a konyha. A légzsáknyílás és a sebesség hirtelen megváltozása is jól mérhető, önmagában azonban egyikből sem derül ki, megsérült-e valaki.

Az emberi vezetők baleseteiről szóló adatbázisok olyanok, mint a Lidl polcai egy háromnapos ünnep előtti utolsó órában. Tudjuk, hogy volt ott kenyér, tej és minden más is, mire azonban odaérünk, már csak három száraz kifli meg egy horpadt tejesdoboz árválkodik. Ebből kellene megmondanunk, mi történt egész nap. Súlyos vagy halálos ütközés ritkán marad titokban, de egy parkolói horpadás annál könnyebben. Az amerikai becslések szerint a pusztán anyagi káros balesetek nagy része és a sérüléses balesetek közel harmada nem kerül rendőrségi nyilvántartásba.

Az autonóm jármű ezzel szemben tele van szenzorral, kapcsolattal és jogi jelentési kötelezettséggel. Amit az ember elfelejt, azt a telemetria gyakran megőrzi. Ha nyersen hasonlítjuk össze a két adatbázist, könnyen arra jutunk, hogy a robot veszélyesebb, pedig csak mindent feljegyez, és nem tud úgy tenni, mintha az a horpadás már tegnap is ott lett volna.

Az emberi emlékezet különösen rugalmas műszer, amikor a következő biztosítási díj függ tőle. Ilyenkor egy horpadásból „már korábban is ott lévő fénytörés”, a koccanásból „határozott parkolás”, a tanúból pedig olyan valaki lesz, akinek sajnos éppen merült a telefonja. A robot nem ilyen tapintatos.

Ő az a kolléga, aki a céges csapatépítőn mindent lát, mindenre emlékszik, és másnap mindenkinek kiküldi róla a jegyzőkönyvet.

Az NHTSA Standing General Order éppen ezért nélkülözhetetlen, de nem kész ranglista. Az automatizált vezetési rendszerekhez és a Level 2 vezetéstámogatáshoz eltérő eseményeket kell jelenteni, az ügynökség pedig nem írja elő, hogy minden gyártó azonos részletességgel közölje a megtett mérföldeket. Abszolút balesetszámból, használati kitettség nélkül nem lehet biztonsági rátát számolni.

Egy friss példa az adatok korlátjára az NHTSA 13781-14552-es jelentése: egy 2026. márciusi, bataviai Model Y-baleset halálos kimenetet és ellenőrzötten aktív vezetéstámogatást rögzít. A rendszer pontos változata és az eset leírása nem nyilvános. Ebből nem állapíthatjuk meg sem azt, hogy kifejezetten az FSD működött, sem azt, hogy a rendszer okozta a balesetet.

Az abszolút darabszámok rangsorolása olyan volna, mintha a kórházakat a halálesetek száma alapján minősítenénk, de nem kérdeznénk meg, hogy az egyik egy falusi szemészet, a másik pedig országos traumatológiai központ. A szemészet fölényesen nyerne. Egészen addig, amíg el nem törik a lábunk.

Ötszáz baleset lehet rémisztően sok. Vagy meglepően kevés. Attól függ, ötezer vagy ötvenmilliárd mérföld áll mögötte.

Az autópályán gyorsan gyűlnek a mérföldek: egyenletes a tempó, kevés a kereszteződés és viszonylag ritka a váratlan helyzet. A belvárosban viszont egymást követik a döntési helyzetek: gyalogost, biciklist, parkoló autót, balra kanyarodást, ajtónyitást, mentőt, ételfutárt és azt a turistát, aki a telefonján nézi, hol van, miközben fizikailag teljesen máshol áll.

Az autópálya egy könyvtári olvasóterem. A belváros ugyanaz a könyvtár, miután beengedtek egy óvodáscsoportot, két gördeszkást és egy kecskét, amelyik sürgősen el akarja érni a zöldet a zebránál. Ha az egyik rendszer mérföldjeinek nagy része autópályán, a másiké pedig sűrű városi utcákon keletkezik, a nyers ráta nem korrekt összehasonlítás.

Egy mérföld mindig egy mérföld, ahogy száz gramm uborka és száz gramm vaj is ugyanannyit nyom. Ettől még a dietetikus ritkán cseréli fel őket az étrendben azzal, hogy a mérleg szerint döntetlen. Ugyanez igaz napszakra, időjárásra, sebességre, útgeometriára, járműtípusra és földrajzra. Egy napsütéses phoenixi út nem ugyanaz a kockázati egység, mint egy ködös San Franciscó-i emelkedő péntek este. Még ugyanabban a városban sem mindegy, melyik útvonalon megyünk.

A Waymo emberi benchmarkja ezért nem egyszerű országos átlag. Állami rendőrségi baleseti adatokat és járműmérföldeket használ, kiszűri az autópályákat, összehangolja a járműtípust, és földrajzilag újrasúlyozza az emberi adatokat a Waymo tényleges útvonaleloszlásához. A sérüléses baleseteknél aluljelentési korrekciót is alkalmaz. A módszer nem tökéletes — ilyen adatforrásokkal nincs tökéletes alma–alma összehasonlítás —, de legalább pontosan megmutatja, hogyan próbálja az almát lehámozni a narancsról.

A Tesla amerikai benchmarkja más kompromisszumot köt. A 2024-es szövetségi járműmérföld-adatokat az NHTSA mintavételes baleseti rendszereivel kombinálja, majd a Tesla manuálisan vezetett flottájából becsüli az autópálya–nem autópálya arányokat és a kisebb–nagyobb ütközések viszonyát. A cég maga is elismeri, hogy ezek a szükséges feltételezések zajt és torzítást vihetnek az eredménybe.

Ez önmagában nem statisztikai csalás, hanem kényszerű becslés: ha nincs megfelelő országos adat, a Tesla a saját flottája alapján becsül meg bizonyos arányokat. Csakhogy ezek a feltételezések nem üres kézzel érkeznek a modellbe; magukkal hozzák a Tesla autóinak, sofőrjeinek és útvonalainak sajátosságait is.

Ezért a Tesla legérdekesebb összehasonlítása nem is feltétlenül az FSD kontra „átlagos Amerika”, hanem az FSD-t használó és a manuálisan vezetett Teslák közötti különbség. Ott legalább hasonlóbb a jármű, a telemetria és az adatgyűjtés.

Még ott is megmarad az önkiválasztás: ki, milyen úton, milyen időben és milyen magabiztossággal kapcsolja be a rendszert? Lehet, hogy az FSD-t használó sofőrök mások. Lehet, hogy nehezebb helyzetben kikapcsolják. Lehet, hogy a rendszer jelenléte megváltoztatja a figyelmüket.

A Tesla mérnöki vállalat, nem statisztikai kutatóintézet. Ebből azért még nem látunk bele abba, mennyit költ a kanyarodásra és mennyit a kontrollcsoportra. Az új FSD Evidence Dashboard részletesebb vizsgálatokat és módszertant közöl, amit érdemes számításba venni. A vizsgálatok megfigyelésesek: több eltérést kezelnek, de például az időjárás, a forgalom sűrűsége és a helyzet összetettsége nincs teljesen kiegyenlítve. A kedvező összefüggés így értékes eredmény, de önmagában nem bizonyítja, hogy a különbséget kizárólag az FSD okozta.

Tegyük fel, hogy egy autonóm flotta tízmillió mérföld alatt egyetlen halálos balesetet sem okoz. Ez jó hír. De mennyire erős bizonyíték?

Ha tízszer feldobunk egy pénzérmét, és egyszer sem lesz fej, joggal kezdünk gyanakodni, hogy nem érmét dobálunk, hanem macskát. A valóságban persze azt kell eldöntenünk, hogy az érme szabálytalan-e, vagy csak egy ritka sorozatot láttunk. Kevés megfigyelésből ezt nehéz biztosan megmondani.

A ritka baleseteknél ugyanez történik, csak az érme két tonna, és sokkal nehezebb dobálni. Az amerikai emberi halálozási ráta is annyira alacsony egyetlen mérföldre vetítve, hogy ritka eseményeknél óriási futás kell a különbség megbízható kimutatásához. A RAND klasszikus elemzése arra jutott, hogy sérüléses és különösen halálos kimenetek puszta közúti tesztelésével millió, illetve akár milliárd mérföldekre lehet szükség a biztonsági előny statisztikai igazolásához.

Hiába gyűjtünk százmillió eseménytelen mérföldet egy üres sivatagi úton, az autó ettől még nem vizsgázott le azokból a ritka, veszélyes helyzetekből, amelyekben valóban bizonyítania kellene.

Ezért vannak a grafikonokon bizonytalansági sávok. Az intervallum a becslés körüli köd: megmutatja, milyen értékek férnek még össze ésszerűen a megfigyelt adatokkal. Kevés eseménynél széles, sok eseménynél pedig szűkül.

A sajtóközlemény természetesen azt az egy számot szereti, amelyik jól mutat a címben. A bizonytalansági sáv ritkán kap meghívást a pezsgőbontásra, mert kellemetlen szokása, hogy ünneplés közben az orra alatt mormolja az apró betűs részt. Pedig éppen belőle derül ki, milyen tág tartomány fér még össze az adatokkal. Ha egy városban a robotnak nulla súlyos balesete volt, az nem jelenti, hogy a valódi rátája matematikailag nulla. Azt jelenti, hogy a mintában nem láttunk ilyet. A kettő között annyi a különbség, mint aközött, hogy a konyhában nincs egér, vagy hogy ma délután nem találkoztunk vele.

Az austini adat gyönyörű példa. A 2026. júliusi IIHS-elemzés körülbelül 50 millió Waymo-mérföldet hasonlított össze ugyanazon városok és évek mintegy 222 milliárd emberi mérföldjével. A rendőrségnek tipikusan jelentett balesetekre szűrve a Waymo összesített részvételi rátája 68 százalékkal alacsonyabb volt; a sérüléses baleseteké 81 százalékkal.

Phoenixben 76, Los Angelesben 71, San Franciscóban 35 százalékos csökkenést becsültek. Austinban 4 százalékkal magasabb rátát. Elromlott ott a Waymo?

Ebből nem következik. Az austini minta kicsi volt, így a becslés bizonytalan. Éppen ez a lényeg: a városonkénti százalék nem focieredmény, amelynél a 104 legyőzi a 100-at. Mintanagyság és bizonytalanság nélkül csak a mezszámokat nézzük.

Kevés adatnál egyetlen baleset is akkorát ránt az arányszámon, hogy a statisztika könnyen városi sajátosságnak néz egy balszerencsés délutánt.

A Waymo 220 millió mérföldes elemzését maga a Waymo készíti. Vagyis a tanuló hozta a házi feladatot, a javítókulcsot és egy gondosan megszerkesztett grafikont arról, hogy a dolgozat különösen jól sikerült. Részletes módszertant, városonkénti mérföldeket, baleseti azonosítókat, eredményeket és reprodukcióhoz használható adatfájlokat közöl. Ez a terület átlagánál érdemben nagyobb átláthatóság. De a szerző továbbra is az a cég, amelynek üzleti érdeke fűződik a kedvező eredményhez.

Az olvasható levezetés sokat számít. Attól még jólesik, ha a dolgozatot valaki más is kijavítja, lehetőleg nem ugyanaz a személy, aki a hűtőre készül kirakni. A Swiss Re-vel készített, 25,3 millió teljesen autonóm mérföldre épülő biztosítási elemzés 88 százalékkal kevesebb anyagi káros és 92 százalékkal kevesebb testi sérüléses kárigényt talált az összes emberi vezetőhöz képest. A biztosítási adatok értékesek, mert valódi pénzügyi következményhez kapcsolják a balesetet. Ugyanakkor ez is Waymo–Swiss Re együttműködés, nem egy névtelen akadémiai manó által a pincében talált tekercs.

Ezért különösen fontos az IIHS vizsgálata. Az intézet nem a Waymo saját sérülési kategóriájából indult, hanem az NHTSA-jelentéseket tisztította meg a duplikációktól, a nem közúti vagy nem aktív automatizálással történt esetektől, majd azt becsülte, mely ütközést jelentette volna tipikusan egy ember a rendőrségnek. A több gyártó ADS-rendszereit lefedő kiinduló adatállomány 736 közúti, automatizálással történt bejelentésének mindössze 22 százalékát minősítette ilyennek.

Ez a kutatás kevésbé hasonlított egy látványos autóversenyre, inkább egy garázsvásár utáni rendrakásra. Ez a jelentés kétszer van meg. Ez valójában nem közút. Ennél nem is az automatika vezetett. Ez pedig — bármilyen sértődötten néz is — nem ugyanaz a baleset még egyszer.

Ez nem tökéletes módszer. De más adatból, más csapat, más definícióval is ugyanabba az irányba jutott: a Waymo vizsgált vezető nélküli működésében a biztonsági előny valószínűleg valódi. Ez a legerősebb korrekt állítás, amelyet ma tehetünk.

Nem az, hogy „az autonóm autó biztonságos”, hanem hogy egy konkrét autonóm rendszer, konkrét helyeken, konkrét kimenetek alapján már meggyőzően jobbnak látszik a megfelelő emberi benchmarknál. A tudományos mondatnak minden feltételét és fenntartását magával kell vinnie, ezért mire valamennyit felpakoljuk rá, már utánfutó kell mögé.

Ez kevésbé fér el egy óriásplakáton, tudományos szempontból éppen ezért sokkal szebb.

Az autonóm autó különös szuperképessége

Az emberek rosszul skálázható sofőrök. Ha Kovács úr ma megtanulja, hogy a nedves villamossín kanyarban meglepően kevéssé támogatja a hősiességet, attól Horváth asszony holnap még ugyanúgy rácsodálkozhat. A tapasztalat terjedéséhez oktatás, szabály, újságcikk, családi legenda vagy legalább egy kellően ijesztő történet kell.

Nincs éjszakai emberi OTA-frissítés. Hajnalban nem jelenik meg egy értesítés a homlokunkon, hogy „Vezetés 2.3 telepítve: mostantól felismeri a nedves sínt, javított körforgalmi indexelés, ismert hiba továbbra is a párhuzamos parkolás”. Egy szoftverflotta más.

Egyetlen ritka eseményből lehet keresési feltétel, mert a hasonló helyzeteket elő lehet bányászni. A jelenetet pedig szimulációban százféleképpen meg lehet variálni. Az új modellt vissza lehet mérni régi balesetek, közeli balesetek és hétköznapi utak millióin. Ha átmegy az ellenőrzésen, ugyanaz a javítás eljuthat minden kompatibilis autóhoz.

Ez a flottatanulás valódi szuperképessége. Nem az, hogy a központban ül egy nagy mesterséges agy, amely élőben rángatja milliónyi autó kormányát. Inkább egy ipari méretű tanulási ciklus:

1. a flotta találkozik egy hibával vagy bizonytalan helyzettel;
2. a rendszer összegyűjti a releváns adatot;
3. a fejlesztők reprodukálják és változatokat készítenek;
4. új modellt vagy szabályt fejlesztenek;
5. visszatesztelik hatalmas regressziós készleten;
6. fokozatosan kiadják;
7. figyelik, nem tanult-e meg közben valami egészen új módon hibázni.

A Waymo és a Tesla is erre épít, csak más flottával és más működési modellel.

A Tesla elosztott fogyasztói flottája rengeteg földrajzi és viselkedési változatot láthat. A Waymo kisebb, de teljesen autonóm szolgáltatási flottája olyan helyzeteket gyűjt, amelyeknél nincs emberi beavatkozás a rendszer és a kimenet között. Az egyiknek nagyobb a merítőhálója, a másik pontosabban tudja, mit fogott vele.

A Tesla óceánon halászik óriási hálóval. A Waymo kisebb tóban dolgozik, de minden halra ráírta, melyik kereszteződésből jött és pontosan hánykor nézett furcsán a biciklisre. Ez az előny azonban csak akkor működik, ha a tanulási ciklus valóban végigér.

A puszta megtett mérföld még nem tananyag. Egyenes autópályán futott egymilliárd unalmas mérföld sokat mondhat a szenzorok tartósságáról, de keveset arról, hogyan reagál a rendszer egy rendőr szokatlan kézjelére. A ritka esetet meg kell találni, megfelelően címkézni, tanítani, majd ellenőrizni, hogy a javítás nem rontott-e el öt másik helyzetet.

A közúti mérföld ezért inkább érettségi, mint a teljes oktatási rendszer. Megmutatja, hogyan teljesít a végén, de nem helyettesíti a tantervet, a gyakorlást, a szimulációt, a zárt pályát, a biztonsági elemzést és azt a kellemetlen tanárt, aki minden új szoftververziónál előveszi a tavalyi legrosszabb feladatot. A baleseti ráta ráadásul késői indikátor.

Amikor elmozdul, valami már megtörtént. Egy érett biztonsági rendszer előbb figyeli a kritikus beavatkozásokat, a bizonytalan percepciót, a vészfékezéseket, a szabálytalan pályákat, a minimális távolságokat és azokat a helyzeteket, amelyek csak szerencséből nem lettek balesetek. A majdnem baleset a baleset piszkozata: a veszélyes helyzet már összeállt, csak valaki az utolsó pillanatban átírta a végét. Éppen ezért ugyanúgy érdemes elemezni, mint a tényleges ütközést.

Viszont egyetlen szoftverhiba egyszerre lehet minden autóban

A flottatanulásnak van egy kellemetlen ikertestvére, a flottaszintű tévedés. Ha egy ember rosszul méri fel egy szokatlan utánfutó mozgását, egyetlen sofőr hibázik; ha viszont a közös szoftvermodell téved, ugyanaz a hiba minden azonos verziót futtató autóban ott lehet. A hibának ehhez nem kell autóról autóra járnia: elég, ha becsúszik egy frissítésbe.

Ezt hívják közös okú vagy közös módú meghibásodásnak. Ha minden autó ugyanazt a rejtett szoftverhibát hordozza, egy megfelelő helyzet sok példányt is ugyanúgy téveszthet meg. Ettől a különböző utakon megtett mérföldek még nem válnak egyetlen megfigyeléssé, és nem veszítik el az értéküket. A bizonytalanság számításánál azonban számít, mennyire függnek össze az esetek, és találkozott-e már a flotta a hibát előhívó körülményekkel.

A közös hiba lehet nagyon konkrét:

1. egy ritka pótkocsi geometriájának téves előrejelzése;
2. egy napállás, amely minden azonos kamerát hasonlóan vakít el;
3. egy térképi vagy lokalizációs hiba;
4. egy forgalmi lámpa szokatlan elrendezése;
5. egy regresszió, amely az egyik helyzetet javítja, a másikat rontja;
6. vagy egy vezérlési feltétel, amely minden autót ugyanarra a rossz manőverre ösztönöz.

Ez nem elméleti rémtörténet. A közös szoftverhiba eleve ott lapul a rendszerben, várja a megfelelő helyzetet, aztán büszkén előugrik, mint a fickó a régi Sport szelet-reklámból. Ő is csak segíteni akart…

Az NHTSA 2023-as Tesla-visszahívása 362 758 FSD Beta-képes járművet érintett. A hatósági dokumentum szerint a rendszer bizonyos kereszteződésekben veszélyes módon működhetett: például kanyarodó sávból egyenesen haladhatott, nem állhatott meg teljesen stop táblánál, vagy nem megfelelően reagálhatott sebességkorlátozás-változásra. A javítás szoftverfrissítés volt.

Ez nem azt jelenti, hogy 362 758 autó ugyanazon a kedden egyszerre indult el rossz irányba. Azt jelenti, hogy ugyanaz a hibás működés már ott lehetett mindegyikük szoftverében, csak a megfelelően furcsa kereszteződésre várt. A Waymo 2024-es visszahívása 444 ötödik generációs automatizált vezetési rendszert érintett, miután a szoftver pontatlanul jósolta meg egy ferdén vontatott jármű mozgását. Ott is szoftverfrissítés lett a megoldás.

Itt látszik a szoftverflotta kettőssége: a hiba és a javítás egyaránt skálázódhat.

Egy hagyományos mechanikai visszahívásnál autókat kell szervizbe hívni, alkatrészt rendelni, szerelni. Egy autonóm rendszer szoftverhibája gyakran távolról javítható. De az over-the-air frissítés nem varázslat. A gyors terjesztés csak akkor előny, ha a javítás helyes, alaposan tesztelt és szükség esetén visszavonható.

Az OTA-frissítés olyan futár, aki ugyanolyan készségesen kézbesíti a javítást és a hibát: nem néz bele a csomagba, csak elviszi minden címre. Ezért az új verziót először csak kevés autó kapja meg, és csak akkor terítik a teljes flottára, ha ott nem okozott új problémát.

Először szimulációban és zárt pályán, majd belső flottán, kis földrajzi területen és kevés járművön érdemes próbálni, szoros megfigyeléssel, automatikus riasztással és visszahívási lehetőséggel.

A szoftvervilág ezt canary deploymentnek hívja: először néhány „kanári” kapja meg az új verziót. A név a bányák madarától származik, ami kissé komor örökség egy utasszállító termékhez, de a logika helyes: a bajt kis körben szeretnénk észrevenni, nem országos premierként.

A redundancia sem elég önmagában. Két számítógép nem véd meg, ha mindkettő ugyanazt a hibás modellt futtatja. Nyolc kamera sem jelent nyolc független nézőpontot, ha ugyanaz a képalkotási probléma egyszerre érinti őket. A biztonsági architektúrának nemcsak alkatrészhibára, hanem közös feltételezés hibájára is gondolnia kell.

Két diák attól még nem tudja a választ, hogy ugyanarról a hibás puskáról másolt. Ezért nem elég megszámolni, hány kamera és számítógép van az autóban; azt is meg kell nézni, mi történik, amikor valamelyik vezetés közben kiesik.

Mert eddig úgy beszéltünk a biztonsági statisztikáról, mintha a baleset pillanatáig minden rendszer sértetlenül működne. De egy robotaxinak akkor is vezetnie kell, amikor valami meghibásodik benne. Elsötétülhet egy kamera, újraindulhat az egyik számítógép, megszakadhat az energiaellátás, vagy hibát jelezhet a kormányszervó.

Ideális esetben az utastérben ebből semmit sem vesznek észre: a zene tovább szól, miközben az autó már a tartalék rendszerre bízta az utat.

A jelenlegi nyilvános bizonyíték alapján a Waymo ad erősebb választ a vezető nélküli biztonság kérdésére. Ez a válasz rövid változata. A hosszú változat természetesen tartalmaz három lábjegyzetet, négy működési korlátot és egy statisztikust, aki a folyosón még utánunk kiabálja, hogy „bizonytalansági sáv”.

Saját, 220 millió mérföldes elemzése nagy és statisztikailag szignifikáns csökkenést mutat sérüléses, súlyos sérüléses és légzsáknyílásos balesetekben a működési területhez igazított emberi benchmarkhoz képest. Biztosítási káradatok és az IIHS eltérő módszerű, függetlenebb elemzése ugyanabba az irányba mutatnak. Ez nem bizonyítja, hogy a Waymo bárhol jobb sofőr lenne az embernél.

Azt bizonyítja egyre meggyőzőbben, hogy a vizsgált területeken és időszakokban, a gép már biztonságosabban közlekedik a megfelelő emberi összehasonlításnál. A Tesla jelentése közben komoly és értékes jel arra, hogy az FSD (Supervised) mellett az ember–gép páros ritkábban kerül a telemetria által definiált ütközésbe, mint a manuális vagy becsült amerikai összehasonlítások. Külön erénye, hogy az FSD-t akkor is aktívnak számolja, ha az ütközés előtti öt másodpercben kikapcsolták; így nehezebb statisztikailag kimosni az utolsó pillanatos átvételeket.

De ez nem egy magára hagyott Level 4 rendszer próbája. Az ember ott van, figyelnie kell, és menthet. És ha nem ment, osztozik a rendszerrel a kudarcban. Milliárdnyi mérföldnyi oktatóvezetés rendkívül értékes. Ettől még nem ugyanaz, mint amikor az oktató kiszáll, elviszi a saját kormányát, meg a pedáljait, és jó utat kíván.

A felügyelt mérföldek ezért nem közvetlen bizonyítékai a Cybercab önálló biztonságának. A Tesla robotaxi-szolgáltatása már működik; most annak külön megtett útjára, baleseti súlyossági adataira és ellenőrizhető módszertanára van szükség. A nagy fogyasztói flotta tanulási előny, de a sofőr nélkül működő szolgáltatás eredményét a saját működési területén kell megmérni.

A biztonsági küszöb nem a tökéletesség. Az ember sem tökéletes, és különösen péntek éjjel nem érdemes arany standardként kezelni őt. A védhető küszöb az, hogy a rendszer a vállalt működési tartományban bizonyíthatóan jobb legyen a megfelelő emberi benchmarknál, a súlyos kimeneteket csökkentse, a bizonytalanságát feltárja, és ne csak a megtett mérföldeket, hanem a módszert is oda merje tenni az asztalra.

A pontos válasz tehát nem rövid, és többnyire úgy kezdődik: attól függ. Óriásplakátra alkalmatlan, biztonsági elemzésnek viszont kiváló kiindulópont.