Ingen nivåer sender.
Ingen nivåer styrer over en lenke.

Ingen radio og ingen GPS om bord i flåten, med det ene fastsatte unntaket: de to konfigurasjonene for minerydding, KAOS-MC Land og KMM-01, bærer GNSS og kommandolenker, og KMM-01 bærer i tillegg en maritim radar og AIS for å se trafikk og bli sett. Alle andre steder, i luften, på bakken, i vann eller under bakken, sender ingenting over radio og ingenting styrer over en lenke. Å utelukke radioen er en designavgjørelse tatt ved tegnebrettet snarere enn et plaster satt på i ettertid, og regelen bøyer seg ikke for bekvemmelighet: ingen kjøper skal måtte regne ut hvilken side av den et program ligger på. Ryddearbeid bærer en navigasjons- og kommunikasjonsutrustning på grunn av arbeidet snarere enn plattformen — et overflatefartøy er etter sjøveisreglene pålagt å bli sett og å svare, og begge maskinene arbeider på grunn og vann hvis perimeter kunden kontrollerer og har kartlagt, under en navngitt leder som ser på. Det den utrustningen aldri gjør, er å avgjøre noe. En tapt lenke innsnevrer hva maskinen får gjøre og stopper, holder eller returnerer den, og sikkerhetsatferden ligger aldri nedstrøms av lenken.

Én designfilosofi gir tre måter å styre en plattform på, og ingen radio er i noen av dem. Nivå 1, forhåndsinnstilt: banen beregnes før utskytning og ingenting styrer under flukt. På hovedprosjektilet Goose CS-110 er det bokstavelig — ingen batteri, ingen motor, ingen mottaker, ingen servo, ingen sensor, ingen indikator og ingen initiator — så ingenting om bord kan jammes eller forfalskes, fordi ingenting er om bord. Nivå 2, fiberstyrt: plattformen trekker en optisk fiber etter seg og en person kommanderer den ned gjennom kabelen. En fysisk lenke kan ikke jammes, forfalskes eller retningsbestemmes, og den holder et menneske i sløyfen av konstruksjon. Dette er standardnivået på tvers av flåten og normen for tjor under vann. Nivå 3, optisk KI: passiv sensing om bord, optisk KI i luften og SLAM på bakken. Plattformen mottar og sender ikke, så den trenger ingen lenke og tilbyr ingen å finne.

Stigen er en aktueringsstige før den er noe annet. Nivå 1 setter finnene sine én gang, ved utskytning, uten aktuering under flukt og uten elektronikk som må overleve utskytningspulsen. Nivå 2 og 3 trenger drevne finner: aktuatorer, strøm og styreelektronikk som legger på kostnad og må leve gjennom utskytningssjokket. Manøverautoritet kjøpes med penger og kompleksitet, ett nivå om gangen. Nivådelingen er også en produksjonsstrategi: alle tre nivåer deler den støpte flyrammen, utskytningsfamilien og produksjonslinjen, og forskjellene lever i nyttelastrommet. Under bakken bærer fiberen mer enn kommandoer — den er brødsmulesporet tilbake ut, og på borelinjen er den selve kanalproduktet som etterlates i borehullet.

Stigen er familiedoktrine snarere enn en enhetlig spesifikasjon, og fysikk og oppdrag bøyer den program for program. Goose CS-110 er Nivå 1 i hovedprosjektilkonfigurasjonen; motorisert rekkevidde ligger hos CS-120, som primært er Nivå 2 fiberstyrt med et menneske i sløyfen og Nivå 1 som degradert modus. Det finnes ingen ballistisk nivå til sjøs: fibertjoret er arbeidshesten i Vann-familien, med avgrenset autonomi for lange etapper. Undergrunnsfamilien er Nivå 2 som standard — styring, kommunikasjon, brødsmulespor og, på den dype serien, strøm i én tråd — og Nivå 3 der er kun kartleggingsautonomi, aldri engasjementsautonomi. Der en Nivå 3-søker i luften vurderes, kommer juridisk vurdering først.

Én autoritetsrekkefølge styrer begge halvdeler av virksomheten, og den er en programkonstitusjon snarere enn en innstilling. Hard sikkerhet rangerer over det lokale mennesket, som rangerer over en autorisert fjernoperatør, som rangerer over den deterministiske styringen, og planleggeren står sist. Uavhengig sikkerhet fjerner bevegelsesenergi på sin egen vei, påviser den sikre tilstanden og holder det endelige vetoet, og den får ikke være avhengig av det generelle operativsystemet, grafikkprosessoren eller planleggeren for en kjernesikkerhetshandling. Et kvalifisert menneske godkjenner det avgrensede driftsområdet, oppgaven og reglene for inngripen, og kan ikke omgå en uavhengig sikkerhetsbetingelse. Deterministisk bevegelseskontroll kontrollerer og utfører godkjente primitiver innenfor maskinens egne grenser og kan ikke finne opp oppdragsintensjon. Oppgaveintelligens foreslår og sekvenserer uten å sette spenning på en aktuator. Læring under drift samler bevis, avdrift og operatørdemonstrasjoner til neste utgivelse, og kan ikke selv sette en ny atferd i tjeneste.

Sensing er hvordan en plattform vet hvor den er og hva som er rundt den. Ingenting av det er en lenke, og ingenting av det kan starte en maskin. På flåten er det autonome nivået passivt optisk: det leser lys snarere enn en kanal, så det gir en sender ingenting i spekteret å finne. På en konvertert maskin er persepsjonssettet lokalt og sammensatt — kameraer, lidar og nærhetssensorer som oppløser objekter, fri plass, farer og den tilliten som hører til hver av dem — og et kamera som leser maskinens eget instrumentpanel er måten instrumenttilstand tas, i stedet for en avtapping av produsentens buss. Autonomi for tungt utstyr trenger et tilstandsanslag nærmere det en erfaren operatør faktisk oppfatter, så tilstandssettet er bredere enn en posisjon: chassis- og verktøyreferanser, bakkehelling og det lokale bæreplanet, slipp og friksjonstillit, last og verktøysamvirke, sensorhelse, og tillit i støv, gjenskinn, nedbør, mørke og tildekking. Ukjent tilstand er en gyldig tilstand, og når tilstandskvaliteten faller under hva en ferdighet krever, senker oppgavesystemet farten, stopper, ber om menneskelig vurdering, eller forbyr ferdigheten. Ekstern sensing kan fjerne autoritet. Den kan aldri skape den.

Påstanden er ikke immunitet. Hver avhengighet arkitekturen fjerner, er navngitt, og funksjonen som fortsetter uten den, er navngitt ved siden av. Det finnes ingen GNSS-mottaker, så en avgrenset lokal oppgave kjører på lokalisering om bord og lokalt snarere enn på en satellittposisjon hentet langs en annen vei. Det finnes ingen radiokommandolenke, og den lokale maskinoppgaven krever ikke kontinuerlig kommando. Det finnes ingen sky: oppdragskjøretid og sikkerhetsfunksjoner utføres lokalt, offline først. Det finnes ingen ekstern kartkilde: lokal persepsjon bygger en oppgaverelevant fremstilling av den grunnen maskinen arbeider på. Det finnes ingen obligatorisk utenlandsk tjeneste: en støttet utgivelse opererer og gjenoppretter lokalt. Den ene lenken er en fiber, kun under tjornivået, og å miste den ender i en definert stopp eller degradering, aldri i ukontrollert fortsettelse.

Offline-først er en designegenskap snarere enn et utrullingsvalg. Offline byggeartefakter, signerte diskbilder, avhengighetsspeil og gjenopprettingsmedier vedlikeholdes for støttede feltversjoner, og gjenopprettingsbildet og prosedyren for det er kontrollert. Eksterne systemer snakker med en oppdragsportal som oversetter kun tillatte forespørselstyper til det godkjente lokale oppgavevokabularet, maskinstyrings- og sikkerhetsnett holdes atskilt fra service- og oppdragsnett, og en ekstern lenke kan ikke skape aktuatorautoritet. Utgivelsesdisiplinen er nedskrevet: sikker og målt oppstart der maskinvaren støtter det, signert fastvare, programvare, modeller og kalibreringspakker, rollebasert servicetilgang skilt fra utviklerprivilegier, en programvarestykkliste per støttet utgivelse, offline oppdatering med kontroll av autentisitet, kompatibilitet og tilbakerulling, beskyttede hendelses- og vedlikeholdslogger, og utvikling, test og produksjonssignering holdt fra hverandre.

På CDNS Autonomy-siden er maskinvaregrensen hele poenget. Enheten tar imot arbeidet sitt på én av tre måter — lastet og plombert ved dokken, et fibertjor til en person på en stasjon på avstand, eller sin egen persepsjon innenfor de samme reglene. Seks grensesnittfamilier er det et sett konstrueres rundt snarere enn en maskin: toakset håndkontroll, dreiekontroll, lineær fotkontroll, diskret kontroll, instrumentobservasjon og sensing av dynamisk tilstand. Å bevare produsentens egen kontroll er den styrende regelen: styringen drives fra senteret av rattet gjennom en adapterplate, rattet bores ikke, kransen holdes fri for menneskehender, og drivverket er tilbakedrivbart, momentbegrenset og uavhengig sensert. Regler leveres plombert og signert med nøkler som holdes i Canada, autorisasjon er en tidsbegrenset leie som kan trekkes tilbake over kabel eller ved dokken, og den fysiske stoppen og den manuelle utkoblingen på hver aktuator blir alltid stående.

Tekniske detaljer frigis i trinn. Det som er offentlig, er kapasitet og sanert arkitektur. Programbriefer og sanerte grensesnittkontrolldokumenter, deretter konfigurasjonsregistre, integrasjons-, cyber- og støttedokumentasjon, deretter tegninger, stykklister og begrensede tekniske data, åpnes i fire nivåer under taushetserklæring, eksport- og sikkerhetskontroll. For en integrator er grensen et kontrollert eksternt grensesnittdokument over en kablet forbindelse eller en forbindelse ved dokken, som bærer oppdragsobjekter, status, helse og hendelser, med den interne implementeringen beskyttet: et eksternt system ber om arbeid i det vokabularet og mottar ingen aktuatorautoritet. Hver forespørsel forhåndsvurderes, leveranser er underlagt kanadiske eksporttillatelser utstedt per forsendelse, og i eksportspørsmål kommer juridisk vurdering først. Design er patentsøkt. Ingenting på dette nettstedet er et tilbud, og ingen priser finnes på det.