Każdy ruch potrzebuje pokwitowania

Robot zahacza o regał. Nikomu nic się nie stało, kilka tysięcy euro towaru leży na podłodze, a pytanie, które wszyscy zadają, brzmi: czyja to wina. To złe pierwsze pytanie. Użyteczne brzmi: w co maszyna wtedy wierzyła, co wolno jej było zrobić i dlaczego uznała ten ruch za bezpieczny. Jeśli tę odpowiedź trzeba odtworzyć z fragmentów, dostaniesz opowieść, a nie przyczynę.

Co większość systemów faktycznie zapisuje

Trzy logi i żaden nie został zaprojektowany pod to pytanie.

Kontroler ma log ruchu: pozycje i prędkości osi z wysoką częstotliwością, przechowywane w krótkim oknie, nieczytelne bez narzędzi producenta. Zarządca floty ma historię zadań: ten robot dostał tamto zlecenie o tej godzinie. Stos percepcji być może zachował trochę klatek, jeśli starczyło miejsca na dysku.

Nic tego nie łączy. Moment, który Cię interesuje — co widziała, co wywnioskowała, co jej wolno było, co wybrała — trzeba złożyć z trzech źródeł o trzech zegarach, a składanie odbywa się pod presją, dni później, przez ludzi mających interes w tym, jaka będzie odpowiedź.

Co zawiera pokwitowanie

Pokwitowanie ruchu to pojedynczy rekord, zapisany w momencie decyzji, odpowiadający na całe pytanie bez łączenia źródeł.

Czego zażądano. Intencja: podnieś to, przewieź tam, z czyjego upoważnienia i w ramach jakiego zadania.

W co maszyna wierzyła. Lokalizacja i jej pewność, istotne wyjście percepcji i jego pewność, stan rzeczy, z którymi miała wejść w interakcję.

Która obwiednia obowiązywała. Wersja uprzęży w mocy i konkretne limity dotyczące tego ruchu. To pole prawie nikt nie zachowuje, a to ono zamienia „robot jechał za szybko” w „robot jechał w granicach limitu podniesionego czternastego”.

Co zdecydowano. Dozwolone, zmodyfikowane albo odrzucone — a jeśli zmodyfikowane lub odrzucone, to która reguła to zrobiła.

Co stało się potem. Wynik, łącznie z tym, czy człowiek coś nadpisał.

Zapisane raz, w momencie decyzji, według jednego zegara.

Dlaczego to nie jest zwykłe logowanie

Pokwitowanie od linijki loga oddzielają dwie właściwości.

Jest zapisywane w momencie decyzji, a nie odtwarzane później. Log zapisujący wyniki pozwala odtworzyć, co się stało; pokwitowanie zapisuje, w co maszyna wierzyła — a to jedyny sposób, żeby wyjaśnić dlaczego. Te dwie rzeczy rozjeżdżają się dokładnie w przypadkach, na których Ci zależy.

Jest kompletne dla własnego pytania. Nigdy nie powinieneś potrzebować drugiego systemu, żeby zinterpretować pokwitowanie. Gdy incydent jest badany pół roku później, zarządca floty został zaktualizowany, model percepcji wymieniony dwa razy, a narzędzie producenta nie otwiera już starego formatu — samowystarczalny rekord przeżywa całą trójkę.

Zastosowania poza incydentami

Odtwarzanie incydentów uzasadnia tę pracę i okazuje się jej najrzadszym zastosowaniem.

Analiza odmów. Każda odmowa to miejsce, w którym świat i obwiednia się nie zgodziły. Pogrupuj je według strefy, pory i zadania, a dostaniesz mapę tego, gdzie model zakładu jest nieaktualny — zwykle miesiące przed tym, zanim cokolwiek pójdzie źle.

Walidacja zmian. Odtwórz tydzień pokwitowań wobec proponowanej obwiedni i zobacz dokładnie, które ruchy zostałyby teraz odrzucone. Zmiany w bezpieczeństwie przestają być sporami, a stają się pomiarami.

Ubezpieczenia i zakupy. „Pokaż, że ta maszyna przez pół roku pracowała w swoich limitach” to pytanie z realną odpowiedzią, co ma wartość handlową — a będzie zadawane częściej, nie rzadziej.

Uczciwy koszt

Pokwitowania są większe niż linijki loga i zawierają wrażliwe szczegóły operacyjne, więc retencję i dostęp trzeba ustalić świadomie, a nie domyślnie.

Kompromis, na którym lądujemy: trzymaj pełne pokwitowania przez określone okno, pola decyzji i obwiedni znacznie dłużej, a ładunki percepcyjne tylko dla odmów i nadpisań — czyli rzeczy rzadkich i dokładnie tych, które warto mieć w komplecie.

Czego nie warto odpuszczać, to samo zapisywanie pokwitowania. Maszyna poruszająca się w świecie fizycznym bez zapisu, dlaczego to zrobiła, jest systemem, za który można tylko przepraszać — nigdy go wyjaśnić.