Ermittlungsberichte: Wie die Uber-Software den tödlichen Unfall begünstigte
Falsche Objekterkennung und unzureichende Trajektorienplanung der Software sowie die Unaufmerksamkeit der Testfahrerin haben im Wesentlichen zu dem tödlichen Unfall mit einem selbstfahrenden Uber-Auto beigetragen. Das geht aus Berichten hervor, die die US-Verkehrssicherheitsbehörde NTSB am 5. November 2019 veröffentlicht hat(öffnet im neuen Fenster) . Die 400-seitigen Unterlagen bestätigen die Ergebnisse des vorläufigen Untersuchungsberichts vom Mai 2018 , wonach die Notbremsfunktion so programmiert war, trotz einer zu erwartenden Kollision zunächst nicht einzugreifen. Die NTSB will sich erst am 19. November 2019 final zu der Unfallursache äußern.
Bei dem Unfall im März 2018 in Phoenix (Arizona) war ein Testfahrzeug vom Typ Volvo XC90 im nächtlichen Verkehr mit einer 49 Jahre alten Frau kollidiert , die mit ihrem Fahrrad in der Dunkelheit eine vierspurige Straße überquerte. Anschließend hatte das Unternehmen sein Testprogramm mit autonomen Autos dauerhaft gestoppt , der Gouverneur von Arizona hatte die Testautos in seinem Bundesstaat stillgelegt.
Nicht als Fußgängerin erkannt
Ein 16-seitiger Bericht(öffnet im neuen Fenster) zur damals eingesetzten Automatisierungstechnik bestätigt nun bisherige Ergebnisse, wonach die Radar- und Lidarsensoren des Autos die Frau schon 5,6 beziehungsweise 5,2 Sekunden vor der Kollision wahrgenommen hatten. Allerdings zeigt die Auswertung der Fahrzeugdaten, dass beide Sensorsysteme aufgrund der besonderen Silhouette der Frau mit ihrem Fahrrad nicht in der Lage waren, ihr ein konstantes Objekt zuzuweisen und sie als Fußgängerin zu erkennen.
Dem Bericht zufolge unterscheidet die Software zwischen den vier Objekttypen Fahrzeug, Fahrradfahrer, Fußgänger und andere (unbekannt). Aus den Daten geht hervor, dass das Radar die Frau anfangs als Fahrzeug identifizierte. Der Lidar klassifizierte sie zunächst als "andere" , schwankte dann zwischen Fahrzeug und "andere" , um sie dann 2,6 Sekunden vor der Kollision als Fahrradfahrer zu identifizieren. Die Objektklassifizierung hat entscheidenden Einfluss auf den zu erwartenden Pfad, den das System für das Objekt berechnet.
Positionen wurden wieder verworfen
So geht das System nicht davon aus, dass Fußgänger die Fahrbahn außerhalb von Fußgängerüberwegen und Zebrastreifen kreuzen können ( Jaywalking(öffnet im neuen Fenster) ). Eine an sich sinnvolle Annahme, da sonst bei jedem Passanten, der an der Straße steht, gebremst werden müsste. Von Fußgängern kann jedoch eine Trajektorie berechnet werden, wenn diese kontinuierlich als Fußgänger erkannt wurden. Von Fahrradfahrern oder Fahrzeugen wiederum erwartet die Software, dass diese sich in Fahrtrichtung des eigenen Fahrzeugs bewegen, wenn diese auf der eigenen Spur erkannt werden.
Bei der Pfadplanung spielen allerdings die vorher registrierten Positionen des Objekts eine Rolle. Daher sollte das System eigentlich erkennen können, wenn sich jemand quer zur Fahrbahn in Richtung der eigenen Fahrspur bewegt. Das Problem in diesem Fall: Jedes Mal, wenn die Software dem Objekt eine neue Klasse zuwies, wurde der Positionsverlauf des Objekts bei der Pfadplanung nicht mehr berücksichtigt. Unbekannte Objekte ( "andere" ) wurden zudem als unbeweglich eingestuft. Befand sich deren Position nicht auf dem eigenen Pfad, werden sie nicht als Hindernis eingeschätzt.
System verhindert Notbremsung
Noch 2,5 Sekunden vor dem Unfall identifizierte der Lidar die Frau als Fahrradfahrerin. Das System ging davon aus, dass sie ihren Weg auf der linken Geradeausspur fortsetzen und daher nicht mit dem Uber-Fahrzeug auf der rechten Geradeausspur kollidieren würde. Eine Sekunde später wurde aus dem Fahrrad wieder ein unbekanntes und damit statisches Objekt, der bisherige Positionsverlauf damit verworfen. Das System ging erstmals davon aus, dass sich dieses Objekt auf dem eigenen Pfad befinden würde und berechnete ein leichtes Ausweichmanöver.
Die letzte Objektänderung erfolgte 1,2 Sekunden vor der Kollision: Der Lidar erkannte die Frau wieder als Fahrrad und berechnete einen Pfad, der zum Zusammenstoß führe würde. Das Ausweichmanöver wurde als zu gefährlich eingeschätzt. Doch anstatt eine Notbremsung einzuleiten, setzte nun eine "Aktionsunterdrückung" ( "action suppression" ) von einer Sekunde Dauer ein. In dieser Sekunde soll entweder das System den Notfall genauer analysieren und einen alternativen Pfad berechnen oder der Fahrer die Kontrolle übernehmen. Damit soll verhindert werden, dass es im Falle fehlerhaft erkannter Gefahrensituationen zu gefährlichen Fahr- und Bremsmanövern kommt.
Volvo-System war deaktiviert
Erst eine Sekunde nach der "Aktionsunterdrückung" startet das System eine Notbremsung mit der maximal erlaubten Verzögerung von 7 m/s(hoch 2), wenn dadurch eine Kollision noch verhindert werden kann. Falls nicht, wie im vorliegenden Fall, gibt es lediglich eine akustische Warnung an den Fahrer, während das Fahrzeug langsam gebremst wird. Erst 20 Millisekunden vor der Kollision übernahm die Testfahrerin bei einer Geschwindigkeit von 63 Kilometern pro Stunde das Steuer. Erst 0,7 Sekunden später trat die Fahrerin auf die Bremse.
Möglicherweise hätte auch das serienmäßige Notbremssystem von Volvo den Unfall verhindern könne. Doch das wurde in Absprache mit dem Fahrzeughersteller deaktiviert, wenn sich das Testauto im autonomen Modus befand. Ein Grund dafür war, dass die Bremsaktoren nicht darauf ausgelegt waren, eines der beiden Steuerungssysteme priorisieren zu können. Zudem sollten sich die Radarsignale der beiden Systeme nicht gegenseitig stören.
Software bereits angepasst
Der Bericht macht deutlich, dass das autonome Testsystem von Uber darauf ausgelegt war, ständig von einem Sicherheitsfahrer überwacht zu werden. Gerade in tatsächlichen oder vermeintlichen Gefahrensituationen sollte der menschliche Fahrer noch eingreifen können, bevor das System möglicherweise eine falsche Entscheidung trifft und dadurch den Verkehr gefährdet. Die Testfahrerin gab jedoch in einem vorläufigen Bericht(öffnet im neuen Fenster) an, dass sie in den Sekunden vor dem Unfall den Monitor des autonomen Systems beobachtet habe. Ihre privaten und beruflichen Mobiltelefone habe sie nicht genutzt.
Dem Bericht zufolge hat die Uber-Tochter ATG inzwischen die Software angepasst. So wurde die "Aktionsunterdrückung" deaktiviert. Die Fahrzeuge können nun Notbremsungen mit einem Ruck (öffnet im neuen Fenster) von bis zu 20 m/s(hoch3) einleiten. Die Pfadplanung berücksichtige jetzt den Positionsverlauf von Objekten auch dann, wenn sie anders klassifiziert würden. Auf Basis der Software-Änderungen habe eine Simulation im September 2018 ergeben, dass die Frau bereits 4,5 Sekunden vor der ursprünglichen Kollision korrekt als Fußgängerin erkannt und ein Pfad berechnet worden sei, der den des Testfahrzeugs kreuzen würde. Daher hätte das Auto bereits vier Sekunden vor dem möglichen Zusammenstoß eine kontrollierte Bremsung eingeleitet.
Uber hatte mehrere Monate nach dem Unfall wieder seine Testfahrten aufgenommen , allerdings nicht in Arizona, sondern unter modifizierten Bedingungen in Pittsburgh im US-Bundesstaat Pennsylvania. Für den Unfall muss das Unternehmen jedoch nicht strafrechtlich haften . Allerdings könnte die Testfahrerin noch belangt werden.