Làm sao người lái ưu tiên hơn lệnh AI?

• Nguồn yêu cầu tự động
• Can thiệp của người lái
• Cổng phân quyền điều khiển

Một kiến trúc ưu tiên có thể hoạt động ra sao?

Luồng sau là kiến trúc đề xuất để minh họa trong mô phỏng, không phải cấu hình mặc định của PX4 hay quy trình bay:

Ví dụ: trong simulator, người dùng nói “tiếp cận vật màu đỏ”. AI trả về một kết quả mơ hồ nên bộ điều phối hỏi chọn mục tiêu; chưa có chuyển động nào được tạo. Nếu người lái kích hoạt override trong lúc nhiệm vụ đang chạy, thiết kế chuyển sang quyền điều khiển RC, gửi yêu cầu hủy, chờ trạng thái xác nhận rồi ghi cả lệnh gốc lẫn kết quả chuyển quyền. Nếu phản hồi không tới, giao diện báo chưa xác nhận và giữ quyền quyết định tiếp theo ở người vận hành theo cấu hình hệ thống. Đây là luồng logic giả định, cần được kiểm định riêng trước khi tích hợp.

Điều gì xảy ra nếu các lệnh đến cùng lúc?

Trong một ứng dụng nhiều tiến trình, yêu cầu giọng nói cũ có thể đang nằm trong hàng đợi đúng lúc người lái override. Thiết kế đề xuất gắn mỗi phiên điều khiển một mã thế hệ: khi quyền chuyển sang RC, bộ điều phối đánh dấu yêu cầu AI đang chạy là hủy chờ xác nhận, loại các yêu cầu AI chưa gửi thuộc phiên cũ và từ chối thông điệp đến muộn. Nếu không làm vậy, lệnh cũ có thể được phát lại sau khi giao diện đã báo đổi quyền.

Giao diện cũng nên dùng trạng thái riêng như “đã đề xuất”, “đã chấp nhận”, “đang chạy”, “đang chờ hủy”, “đã xác nhận hủy” và “không rõ kết quả”. Những trạng thái này là thiết kế phần mềm, không phải trạng thái chuẩn của mọi autopilot. Khi kết nối bị đứt trong lúc chờ xác nhận, hệ thống không tự bật lại AI; nó báo mất phản hồi và để người vận hành xử lý theo cấu hình đã đánh giá. Điều này giúp phân biệt quyền điều khiển, trạng thái tác vụ và trạng thái liên lạc.

Dừng động cơ khác Return như thế nào?

Tài liệu an toàn PX4 mô tả công tắc từ xa có thể dùng để dừng động cơ ngay hoặc cho phương tiện quay về khi gặp sự cố. Dừng động cơ là hành động kết thúc lực đẩy; đây là lệnh khác với yêu cầu tiếp tục điều khiển theo một đường về. Return yêu cầu autopilot tiếp tục điều khiển để đi tới vị trí an toàn theo cấu hình, nên chỉ có ý nghĩa khi trạng thái, định vị và đường về phù hợp. Không thể coi Return là một nút dừng khẩn cấp, cũng không thể coi dừng động cơ là một cách hạ cánh.

Vì thế, thiết kế cần phân biệt hủy tác vụ AI, chuyển quyền điều khiển, Return và dừng động cơ. Mỗi hành động cần chủ thể được phép gọi, điều kiện, phản hồi hiển thị và kết quả nếu liên lạc bị mất. Người đọc không nên suy ra thứ tự an toàn phổ quát từ một sơ đồ: cách bố trí công tắc và tác động thực tế phụ thuộc phương tiện, firmware, cấu hình và tình huống.

Con người giám sát ở những điểm nào?

NIST AI RMF gọi đây là giám sát của con người (human oversight) và yêu cầu tổ chức xác định, đánh giá, ghi lại quy trình; đồng thời phân công trách nhiệm và có cơ chế để thay thế, ngắt hoặc vô hiệu hóa hệ thống AI có kết quả không phù hợp mục đích. Khung này không tự quy định một kiến trúc drone. Trong thiết kế ở trên, các yêu cầu được chuyển thành câu hỏi cụ thể: ai được quyền override, hệ thống báo đã nhận lệnh bằng tín hiệu nào, và người vận hành làm gì khi xác nhận không tới?

Một lỗi quan trọng là chỉ tắt giao diện giọng nói nhưng để nhiệm vụ đã gửi tiếp tục chạy. Hệ thống cần theo dõi trạng thái tác vụ và trạng thái autopilot riêng; dừng nhận câu mới không chứng minh tác vụ cũ đã bị hủy. Ghi log cả yêu cầu, quyết định kiểm tra, sự kiện RC và phản hồi giúp nhóm phân biệt “đã yêu cầu hủy” với “đã xác nhận hủy”.

Tóm tắt

Ưu tiên của con người cần một đường RC độc lập, điểm kiểm tra trước khi phát lệnh và phản hồi xác nhận sau khi hủy hoặc chuyển chế độ. Return và dừng động cơ có mục đích, hậu quả khác nhau; kiến trúc phải nói rõ từng hành động thay vì gom chúng thành một lệnh “dừng”.