Żaden poziom nie nadaje.
Żaden nie kieruje się po łączu.

Brak radia i brak GPS na pokładzie floty, z jednym rozstrzygniętym wyjątkiem: dwie konfiguracje do oczyszczania z min, KAOS-MC Land i KMM-01, przenoszą GNSS i łącza dowodzenia, a KMM-01 przenosi dodatkowo radar morski i AIS, aby widzieć ruch i być widzianym. Wszędzie indziej — w powietrzu, na ziemi, w wodzie i pod ziemią — nic nie nadaje drogą radiową i nic nie kieruje się po łączu. Wykluczenie radia jest decyzją projektową podjętą przy deskach kreślarskich, a nie łatą nałożoną później, i reguła ta nie ugina się dla wygody: żaden nabywca nie musi ustalać, po której jej stronie znajduje się dany program. Prace związane z oczyszczaniem terenu mają wyposażenie nawigacyjne i łącznościowe z powodu samej pracy, a nie platformy — jednostka nawodna jest zobowiązana przepisami o zapobieganiu zderzeniom do tego, by być widzianą i odpowiadać, a obie maszyny pracują na terenie i na wodzie, których obwód klient kontroluje i zmierzył, pod nadzorem wskazanej osoby, która patrzy. Czego to wyposażenie nigdy nie robi, to niczego nie decyduje. Utrata łącza zawęża to, co maszynie wolno robić, i zatrzymuje ją, wstrzymuje albo zawraca, a zachowanie bezpieczeństwa nigdy nie leży za łączem.

Jedna filozofia projektowa daje trzy sposoby kierowania platformą i w żadnym z nich nie ma radia. Poziom 1, nastawa wstępna: trasa jest obliczana przed wystrzeleniem i nic nie kieruje pociskiem w locie. Na wiodącym pocisku Goose CS-110 jest to stwierdzenie dosłowne — brak akumulatora, brak silnika, brak odbiornika, brak serwomechanizmu, brak sensora, brak wskaźnika i brak inicjatora — więc niczego na pokładzie nie da się zakłócić ani sfałszować, ponieważ nie ma tam nic na pokładzie. Poziom 2, kierowanie po światłowodzie: platforma ciągnie za sobą włókno optyczne, a człowiek wydaje polecenia po tym przewodzie. Łącze fizyczne nie podlega zakłócaniu, fałszowaniu ani namierzaniu kierunkowemu i z samej konstrukcji utrzymuje człowieka w pętli. To jest poziom domyślny w całej flocie i norma dla uwięzi pod wodą. Poziom 3, optyczna AI: pasywne sensory pokładowe, optyczna AI w powietrzu i SLAM na ziemi. Platforma odbiera i nie nadaje, więc nie potrzebuje łącza i żadnego nie oferuje do namierzenia.

Ta drabina jest przede wszystkim drabiną wykonawczą. Poziom 1 ustawia swoje stateczniki raz, przy wystrzeleniu, bez jakiegokolwiek ruchu w locie i bez elektroniki, która musiałaby przeżyć impuls startowy. Poziomy 2 i 3 potrzebują napędzanych stateczników: siłowników, zasilania i elektroniki sterującej, które podnoszą koszt i muszą przetrwać wstrząs startowy. Zdolność do manewru kupuje się pieniędzmi i złożonością, po jednym poziomie naraz. Podział na poziomy jest też strategią produkcyjną: wszystkie trzy poziomy dzielą formowany płatowiec, rodzinę wyrzutni i linię produkcyjną, a różnice mieszczą się w komorze ładunku. Pod ziemią światłowód przenosi więcej niż polecenia — jest okruszkiem prowadzącym z powrotem na zewnątrz, a na linii wiertniczej jest tym produktem rurowym, który zostaje w otworze.

Ta drabina jest doktryną rodziny, a nie jednolitą specyfikacją, i fizyka oraz zadanie wyginają ją program po programie. Goose CS-110 jest na poziomie 1 w konfiguracji pocisku wiodącego; zakres z napędem należy do CS-120, który jest przede wszystkim na poziomie 2, kierowany po światłowodzie z człowiekiem w pętli, z poziomem 1 jako trybem zdegradowanym. Na morzu nie ma poziomu balistycznego: w rodzinie wodnej końmi roboczymi są uwięzi światłowodowe, z ograniczoną autonomią na długich odcinkach. Rodzina podziemna jest domyślnie na poziomie 2 — kierowanie, łączność, okruszek prowadzący, a w serii głębokiej również zasilanie w jednej żyle — a poziom 3 jest tam wyłącznie autonomią kartowania, nigdy autonomią zwalczania. Tam, gdzie rozważa się powietrzną głowicę samonaprowadzającą na poziomie 3, najpierw zasięgana jest opinia prawna.

Jeden porządek władzy rządzi obiema połowami przedsiębiorstwa i jest konstytucją programu, a nie ustawieniem. Twarde bezpieczeństwo stoi wyżej niż człowiek na miejscu, ten stoi wyżej niż autoryzowany operator zdalny, ten wyżej niż deterministyczny sterownik, a planer stoi na końcu. Niezależne bezpieczeństwo odbiera energię ruchu własną ścieżką, dowodzi stanu bezpiecznego i ma ostateczne prawo weta, a w żadnym podstawowym działaniu bezpieczeństwa nie może zależeć od systemu operacyjnego ogólnego przeznaczenia, procesora graficznego ani planera. Człowiek posiadający wymagane kwalifikacje zatwierdza ograniczoną kopertę pracy, zadanie i reguły interwencji, i nie może obejść warunku niezależnego bezpieczeństwa. Deterministyczny układ ruchu sprawdza i wykonuje zatwierdzone elementy podstawowe w granicach samej maszyny i nie może wymyślić intencji misji. Inteligencja zadaniowa proponuje i porządkuje w czasie, nie zasilając żadnego siłownika. Uczenie w czasie pracy zbiera dowody, dryf i demonstracje operatora na rzecz następnego wydania i nie może samodzielnie wprowadzić nowego zachowania do eksploatacji.

Percepcja to sposób, w jaki platforma wie, gdzie jest i co ją otacza. Nic z niej nie jest łączem i nic z niej nie może uruchomić maszyny. We flocie poziom autonomiczny jest pasywnie optyczny: czyta światło, a nie kanał, więc nie daje żadnemu emiterowi niczego, co można by namierzyć w widmie. Na maszynie skonwertowanej zestaw percepcyjny jest lokalny i mieszany — kamery, lidar i czujniki zbliżeniowe, rozdzielające obiekty, wolną przestrzeń, zagrożenia i pewność przypisaną każdemu z nich — a stan przyrządów odczytywany jest kamerą patrzącą na własną tablicę maszyny, zamiast przez podłączenie do magistrali producenta. Autonomia ciężkiego sprzętu potrzebuje oszacowania stanu bliższego temu, co rzeczywiście postrzega doświadczony operator, więc zbiór stanów jest szerszy niż pozycja: układy odniesienia podwozia i narzędzia, nachylenie gruntu i lokalna płaszczyzna podparcia, poślizg i pewność przyczepności, obciążenie i interakcja narzędzia, stan techniczny sensorów oraz pewność w pyle, zaślepieniu światłem, opadach, ciemności i przy zasłonięciu. Stan nieznany jest stanem dopuszczalnym, a kiedy jakość stanu spada poniżej tego, czego wymaga dana umiejętność, system zadaniowy zwalnia, zatrzymuje się, prosi o ocenę człowieka albo zabrania tej umiejętności. Percepcja zewnętrzna może odebrać władzę. Nigdy nie może jej stworzyć.

Twierdzeniem nie jest odporność. Każda zależność, którą architektura usuwa, jest wymieniona z nazwy, a obok niej wymieniona jest funkcja, która działa dalej bez niej. Nie ma odbiornika GNSS, więc ograniczone zadanie lokalne działa na lokalizacji pokładowej i lokalnej, a nie na pozycji satelitarnej pozyskanej inną drogą. Nie ma radiowego łącza dowodzenia, a lokalne zadanie maszyny nie wymaga ciągłego dowodzenia. Nie ma chmury: środowisko wykonawcze misji i funkcje bezpieczeństwa wykonują się lokalnie, najpierw w trybie bez połączenia. Nie ma mapy zewnętrznej: percepcja lokalna buduje reprezentację terenu, na którym maszyna pracuje, istotną dla zadania. Nie ma obowiązkowej usługi zagranicznej: wspierane wydanie działa i odtwarza się lokalnie. Jednym łączem jest światłowód, wyłącznie na poziomie uwięzi, a jego utrata kończy się zdefiniowanym zatrzymaniem lub degradacją, nigdy niekontrolowaną kontynuacją.

Praca bez połączenia jest właściwością projektu, a nie opcją wdrożenia. Dla wspieranych wersji polowych utrzymywane są lokalne artefakty kompilacji, podpisane obrazy, kopie zależności i nośniki odtworzeniowe, a obraz odtworzeniowy i jego procedura są objęte kontrolą. Systemy zewnętrzne rozmawiają z bramą misji, która przekłada tylko dozwolone typy żądań na zatwierdzone lokalne słownictwo zadaniowe, sieci sterowania maszyną i bezpieczeństwa pozostają oddzielone od sieci serwisowych i misyjnych, a łącze zewnętrzne nie może stworzyć władzy nad siłownikiem. Dyscyplina wydawania jest zapisana: bezpieczny i mierzony rozruch tam, gdzie sprzęt to umożliwia, podpisane oprogramowanie wbudowane, oprogramowanie, modele i paczki kalibracyjne, dostęp serwisowy oparty na rolach, oddzielony od uprawnień programistycznych, wykaz składników oprogramowania dla każdego wspieranego wydania, aktualizacja bez połączenia z kontrolą autentyczności, zgodności i wycofania, chronione dzienniki zdarzeń i obsługi oraz rozdzielone podpisywanie dla prac rozwojowych, testów i produkcji.

Po stronie CDNS Autonomy granica sprzętowa jest całym sednem sprawy. Jednostka przyjmuje pracę na jeden z trzech sposobów: wczytaną i zaplombowaną w stacji dokującej, po uwięzi światłowodowej od człowieka na stanowisku oddalonym albo z własnej percepcji, w tych samych regułach. Zestaw projektuje się wokół sześciu rodzin interfejsów, a nie wokół maszyny: sterowanie ręczne dwuosiowe, sterowanie obrotowe, sterowanie liniowe stopą, sterowanie dyskretne, obserwacja przyrządów i percepcja stanu dynamicznego. Regułą nadrzędną jest zachowanie sterowania producenta: kierownica jest napędzana od środka przez płytę adaptacyjną, koła się nie nawierca, obręcz pozostaje wolna dla ludzkich rąk, a napęd jest odwracalny, ograniczony momentem i niezależnie mierzony. Reguły są dostarczane zaplombowane i podpisane kluczami przechowywanymi w Kanadzie, autoryzacja jest dzierżawą na określony czas, odwoływalną po przewodzie lub w stacji dokującej, a fizyczne zatrzymanie i ręczne zwolnienie na każdym siłowniku zawsze pozostają.

Szczegóły techniczne udostępniane są stopniowo. Publiczne są zdolności i architektura po oczyszczeniu. Opisy programów i oczyszczone dokumenty kontroli interfejsu, potem zapisy konfiguracji oraz dokumentacja integracji, cyberbezpieczeństwa i wsparcia, a następnie rysunki, wykazy materiałowe i zastrzeżone dane techniczne otwierają się w czterech stopniach, pod kontrolą umów o zachowaniu poufności oraz przepisów eksportowych i bezpieczeństwa. Dla integratora granicą jest kontrolowany dokument interfejsu zewnętrznego po połączeniu przewodowym lub w stacji dokującej, przenoszący obiekty misji, status, stan techniczny i zdarzenia, z chronioną implementacją wewnętrzną: system zewnętrzny zamawia pracę w tym słownictwie i nie otrzymuje żadnej władzy nad siłownikami. Każde zapytanie jest weryfikowane, dostawy wymagają kanadyjskich zezwoleń eksportowych wydawanych dla każdej przesyłki, a w sprawach eksportowych w pierwszej kolejności zasięgamy opinii prawnej. Projekty są objęte zgłoszeniami patentowymi w toku. Nic w tej witrynie nie jest ofertą i nie pojawiają się w niej żadne ceny.