AD-15 — Robotaxi Mimarisi: Donanım Yedekliliği ve Filo Operasyonları

FACT — Bir Seviye 2 binek araçta direksiyon motoru arızalanırsa sürücü mekanik direksiyon bağlantısını tutarak aracı güvenli bir şekilde kenara çeker — insan hâlâ nihai yedektir. Ancak Seviye 4 bir Robotakside, tanım gereği (bkz. AD-02) kabinde bu rolü üstlenecek bir sürücü YOKTUR. Bu tek fark, robotaksi mühendisliğini binek araç ADAS mühendisliğinden kategorik olarak ayırır: her güvenlik-kritik alt sistem, insan yedeğinin yerini alacak bir donanımsal/yazılımsal yedekliliğe sahip olmak zorundadır.

Bu derste robotaksi mimarisinin “Sıfır Tek Hata Noktası” ilkesini, bu ilkenin sensör/hesaplama/aktüasyon/güç katmanlarındaki somut karşılıklarını, Minimal Risk Condition (MRC) kavramını ve tek araç mühendisliğinin ötesindeki filo operasyonları sorunlarını inceleyeceğiz:

1. Neden L4 Kategorik Olarak Farklıdır: İnsan Yedeğinin Yokluğu
2. Redundant Sensör Kapsaması: Örtüşen Görüş Alanları (Overlapping FOV)
3. Redundant Hesaplama: Birincil/İkincil Compute ve MRM Kontrolcüsü
4. Redundant Aktüasyon ve Güç: Direksiyon, Fren, Elektrik Yedekliliği
5. Minimal Risk Condition (MRC): Robotaksi Bağlamında Somut Bir Örnek
6. Filo Operasyonları I: Uzaktan Yardım (Teleoperasyon) — Gerçek Zamanlı Sürüş Değildir
7. Filo Operasyonları II: İzleme, Sevkiyat, Temizlik/Şarj/Bakım Lojistiği
8. Gerçek Dünya Örneği: Waymo’nun Yaklaşımı

---

1. Neden L4 Kategorik Olarak Farklıdır: İnsan Yedeğinin Yokluğu

SAE J3016 taksonomisinde Seviye 4’ün tanımlayıcı özelliği, sistemin tanımlı ODD içindeyken DDT-fallback’i (belirsizlik/arıza anında müdahale) de üstlenmesidir — Seviye 3’ün aksine, insan “her an devralmaya hazır” olmak zorunda değildir, çünkü çoğu robotaksi konfigürasyonunda kabinde devralacak bir sürücü koltuğu bile yoktur.

CRITICAL — Bu, mühendislik açısından şu anlama gelir: bir Seviye 2 aracın direksiyon motoru, fren pompası veya birincil işlemcisi arızalandığında sistem “sürücüye devret” diyebilir ve iş biter. Bir robotaksi de arızalanırsa devredecek kimse yoktur — sistemin KENDİSİ arızadan sonra da güvenli bir şekilde çalışmaya devam edebilmeli (fail-operational) veya en azından kendi başına güvenli bir şekilde durabilmelidir (fail-safe). Bu ayrım, “Sıfır Tek Hata Noktası” (No Single Point of Failure) ilkesini doğurur: hiçbir tek sensörün, tek kablonun, tek güç hattının, tek hesaplama biriminin veya tek aktüatörün arızası, aracı güvenli bir duruşa getirme yeteneğini ortadan kaldırmamalıdır.

Bu ilke, aşağıdaki dört katmanın her birinde ayrı ayrı uygulanır: sensör, hesaplama, aktüasyon, güç. Bir sonraki üç bölüm bu katmanları tek tek inceler.

---

2. Redundant Sensör Kapsaması: Örtüşen Görüş Alanları (Overlapping FOV)

AD-04’te incelediğimiz kamera/radar/LiDAR üçlüsü, bir robotaksi de dahil her AD sisteminde bulunur — ancak robotaksi mimarisinde bu sensörlerin yerleşimi tek bir ilkeye tabidir: hiçbir tek sensörün arızası bir kör nokta yaratmamalıdır.

• Çoklu Modalite Örtüşmesi: Aracın her yönü (ön, arka, yan, köşe), en az iki farklı sensör modalitesi (örn. kamera + radar, veya kamera + LiDAR) tarafından eşzamanlı taranır. Bir kamera lensinin çamurla kaplanması veya bir radarın parazitlenmesi durumunda, o bölgenin algılama kapsamı tamamen kaybolmaz — diğer modalite devrede kalır.
• Fiziksel Konum Çeşitlendirmesi: Aynı modaliteden birden fazla sensör (örn. 2-4 LiDAR birimi), aracın farklı köşelerine yerleştirilir; bir tanesi fiziksel olarak hasar görse (taş sıçraması, çarpışma) bile diğerleri o bölgeyi kısmen kapsamaya devam eder.
• Aktif Temizleme Sistemleri: Yüksek basınçlı sıvı püskürtücüler ve basınçlı hava nozulları, lens/sensör yüzeylerindeki böcek, çamur ve yağmur birikintisini anlık temizler — bu, “arızayı önleme” (arızayı beklemeden kapsamı korumak) katmanıdır.

FACT — Redundant sensör kapsaması, aynı sensörden iki tane takmak (basit çoğaltma) DEĞİLDİR. Asıl mühendislik zorluğu, farklı fiziksel prensiplerle çalışan sensörlerin (kamera = pasif görünür ışık, radar = aktif elektromanyetik dalga, LiDAR = aktif lazer) görüş alanlarını öyle bir örtüştürmektir ki, bir modalitenin sistematik zayıflığı (kamera için yoğun sis, radar için ince metal nesneler, LiDAR için yüksek yansıtıcı yüzeyler) diğer modalite tarafından telafi edilsin.

---

3. Redundant Hesaplama: Birincil/İkincil Compute ve MRM Kontrolcüsü

Robotaksinin “beyni” tek bir hesaplama biriminde yaşamaz. Tipik mimari iki katmanlıdır:

1. Birincil Hesaplama (Primary Compute): Yüksek performanslı, genellikle GPU/ASIC hızlandırmalı bir işlemci kümesi; algılama (sensör füzyonu, nesne tespiti), tahmin (diğer araçların/yayaların niyeti) ve rota planlamasının tamamını gerçek zamanlı yürütür. Bu, sistemin “normal operasyon” beynidir — karmaşık, hesaplama açısından pahalı, ama tek bir donanım arızasına karşı kırılgan olabilir.
2. İkincil/Yedek Hesaplama (Safety/Backup Compute): Birincil sistemden bağımsız çalışan, genellikle çok daha basit ve daha az hesaplama gücü gerektiren bir denetleyici. Görevi karmaşık rota planlaması değil, tek bir soru: “birincil sistem beklenen şekilde davranıyor mu, davranmıyorsa aracı nasıl güvenle durdururum?” Birincil sistem yanıt vermeyi keserse (donma, çökme, tutarsız komut), yedek denetleyici devreye girer ve önceden tanımlanmış, muhafazakâr bir Minimal Risk Manevrası (MRM) icra ederek aracı güvenli bir duruşa (bkz. Bölüm 5) yönlendirir.

INTERPRETATION — Bu iki katman arasındaki fark kasıtlıdır: yedek denetleyici, birincil sistemin performansını eşlemeye çalışmaz — çok daha dar bir görevi (güvenli dur) çok daha yüksek güvenilirlikle yerine getirmeye odaklanır. Bu, AD-13’te ALKS bağlamında gördüğümüz MRM kavramının, insan sürücü yerine ikinci bir bilgisayar tarafından icra edildiği hâlidir — robotakside “devralacak insan” olmadığı için bu ikinci bilgisayar, insanın yerini alan mimari unsurdur.

Birincil ve yedek hesaplama üniteleri genellikle senkronizasyon için bir zaman protokolüyle (örn. PTP - Precision Time Protocol) birbirine bağlıdır, böylece yedek ünite ne zaman devreye girmesi gerektiğini gecikmesiz tespit edebilir.

---

4. Redundant Aktüasyon ve Güç: Direksiyon, Fren, Elektrik Yedekliliği

Hesaplama katmanı ne kadar yedekli olursa olsun, komutların fiziksel dünyaya aktarıldığı son halka (direksiyon, fren, güç) da aynı ilkeye tabi olmalıdır.

• Redundant Direksiyon Aktüasyonu: Modern steer-by-wire mimarilerde direksiyon motoru, tek bir milde çalışan ancak iki bağımsız stator sargısına ve iki ayrı sürücü ECU’suna sahip olabilir. Bir sargı veya sürücü devresi arızalanırsa, diğeri aracı yönlendirmeye devam eder (belki azaltılmış performansla, ama tam kayıp olmadan).
• Redundant Fren Aktüasyonu: Birincil elektronik fren sistemine (örn. bir iBooster tipi üniteye) ek olarak, bağımsız bir ikincil fren yolu (örn. ESP/ESC ünitesinin kendi hidrolik kontrol yeteneği) bulunur. Birincil fren gücünü kaybederse, ikincil yol aracı yine de yavaşlatıp durdurabilir.
• Redundant Güç Dağıtımı: Aracın elektrik mimarisi, birbirinden bağımsız iki güç ağına (örn. ayrı aküler, ayrı sigorta kutuları, hatta bazı tasarımlarda ayrı DC-DC dönüştürücüler) bölünür. Bir güç hattında kısa devre veya akü arızası olsa dahi, diğer hat kritik hesaplama ünitelerini ve aktüatörleri beslemeye devam eder.

CRITICAL — Bu üçlü (direksiyon, fren, güç), fail-operational tasarımın somutlaştığı yerdir: her biri için soru “arıza olursa ne olur?” değil, “arıza olduğunda araç GÜVENLİ BİR ŞEKİLDE DURABİLİR Mİ?” sorusudur. Yedeklilik, arızayı önlemek için değil, arıza gerçekleştiğinde bile bir Minimal Risk Condition’a ulaşma yeteneğini garanti altına almak için vardır.

---

5. Minimal Risk Condition (MRC): Robotaksi Bağlamında Somut Bir Örnek

AD-17 bu kavramı tam kapsamıyla ele alacak; burada robotaksi bağlamında somut bir örnekle tanıtıyoruz.

Minimal Risk Condition (MRC), aracın kendisinin veya çevresinin bir arıza/belirsizlik durumunda ulaşabileceği, riskin makul ölçüde azaltıldığı bir durma durumudur (örn. yol kenarına çekilip dörtlü flaşörleri yakıp durmak). Minimal Risk Manevrası (MRM) ise bu duruma ulaşmak için icra edilen manevranın kendisidir (fren + direksiyon + sinyalizasyon dizisi).

EXAMPLE — Bir robotaksinin birincil hesaplama ünitesi, yoğun trafikte bir yazılım istisnası nedeniyle yanıt vermeyi keser. Yedek denetleyici (Bölüm 3) bunu 100 milisaniye içinde algılar ve devreye girer:

1. Aracı mevcut şeridinde yavaşça yavaşlatır (ani fren değil — arkadan çarpma riskini azaltmak için kademeli).
2. Dörtlü flaşörleri yakar ve mümkünse en yakın güvenli şeride (banket, sağ şerit) geçer.
3. Aracı tamamen durdurur, kapıları kilitli tutar (yolcu güvenliği) ve filo operasyon merkezine (bkz. Bölüm 6-7) otomatik bir arıza bildirimi gönderir.
4. Bir uzaktan operatör veya yerinde bir teknisyen müdahale edene kadar araç bu güvenli, düşük-riskli durumda kalır.

FACT — MRC her zaman “yol kenarında dur” anlamına gelmez — bağlama göre değişir. Otoyolda banket varsa oraya çekilmek MRC olabilir; şehir içi bir kavşakta ise “mevcut şeritte, kavşağın dışında güvenli bir noktada dur” daha uygun olabilir. Kritik olan, MRC’nin önceden tanımlanmış, ODD’ye özgü bir hedef durum olması ve arıza anında karmaşık bir karar verme sürecine girmeden hızla ulaşılabilmesidir.

---

6. Filo Operasyonları I: Uzaktan Yardım (Teleoperasyon) — Gerçek Zamanlı Sürüş Değildir

Tek araç mühendisliğinin (Bölüm 2-5) ötesinde, robotaksi işletmek ayrı bir mühendislik disiplini gerektirir: filo operasyonları. Bunun en çok yanlış anlaşılan parçası uzaktan yardımdır (remote assistance / teleoperasyon).

WARNING — Teleoperasyon, aracın bir video oyunu gibi uzaktan joystick ile gerçek zamanlı sürülmesi DEĞİLDİR. Hücresel ağ üzerinden saniyenin onda birlik gecikmeler bile (latency + jitter), yüksek hızda hareket eden bir aracın gerçek zamanlı uzaktan kontrolünü güvenlik açısından kabul edilemez hâle getirir — sinyal kesintisi anında araç kontrolsüz kalabilir.

Bunun yerine gerçek dünya uygulamaları tele-guidance (uzaktan yönlendirme/rehberlik) modelini kullanır:

1. Araç, yerel algılama/planlama yığınıyla çözemediği bir belirsizlik durumuyla karşılaşır (örn. yolu kısmen kapatan bir çöp kamyonu, elle trafik yöneten bir polis memuru, haritada olmayan bir şerit kapatma).
2. Araç önce kendi kararıyla durur — bu, belirsizlik anında varsayılan güvenli davranıştır.
3. Kamera görüntüleri ve aracın önerdiği alternatif yörünge seçenekleri, filo operasyon merkezindeki bir insan operatöre gönderilir.
4. Operatör, aracı sürmez — yalnızca yüksek seviyeli bir onay/red verir: “engeli soldan geçebilirsin” veya “bu şerit değişimini onaylıyorum.”
5. Araç, kendi yerel algılama ve çarpışmadan kaçınma sistemleri tam yetkiyle devrede kalırken, yalnızca onaylanan planı kendi kontrolcüsüyle icra eder — operatör hiçbir zaman direksiyon/gaz/frene doğrudan komut göndermez.

CRITICAL — Bu ayrım hayatidir: operatörün rolü anlamsal belirsizliği çözmek (bu bir çöp kamyonu mu yoksa terk edilmiş bir araç mı, bu manevra trafik kurallarına uygun mu), aracın rolü ise gerçek zamanlı güvenlik yürütmesini her zaman kendi üzerinde tutmaktır. Gecikme, düşük bant genişliği veya bağlantı kaybı olsa dahi araç kendi başına güvenli kalabilir çünkü çarpışmadan kaçınma yerel olarak, ağ bağlantısından bağımsız çalışır.

---

7. Filo Operasyonları II: İzleme, Sevkiyat, Temizlik/Şarj/Bakım Lojistiği

Teleoperasyonun ötesinde, bir robotaksi filosunu işletmek, tek araç mühendisliğinde hiç karşılaşılmayan gerçek operasyonel mühendislik problemleri doğurur:

• Filo Çapında İzleme (Fleet-Wide Monitoring): Bir Ağ Operasyon Merkezi (NOC benzeri bir yapı), yüzlerce/binlerce aracın konumunu, sağlık durumunu (sensör/batarya/hesaplama birimi teşhis verisi), aktif yolculuklarını ve her aracın MRC’ye düşüp düşmediğini gerçek zamanlı izler. Bu, tek bir aracın “arızası” ile filonun tamamını etkileyebilecek sistemik bir sorunu (örn. belirli bir yazılım sürümünde ortaya çıkan bir hata) ayırt edebilmek için gereklidir.
• Sevkiyat (Dispatch): Hangi aracın hangi yolculuk talebine atanacağı yalnızca en yakın aracı bulmak değildir — bataryanın/yakıtın yeterliliği, aracın bir sonraki planlı bakım/temizlik zamanına ne kadar kaldığı, ODD sınırları (örn. bazı araçlar belirli mahallelerde henüz sertifikalı olmayabilir) gibi kısıtları eşzamanlı optimize eden bir problemdir.
• Temizlik Lojistiği: İnsan sürücüsü olmayan bir araçta kabin temizliği (yolcu tarafından bırakılan çöp, kusma, kirlilik) kimin sorumluluğundadır? Filo operatörleri bunun için ya özel bir “temizlik ekibi + depo” ağı kurar ya da kirlilik algılayan iç kamera/sensörlerle sorunlu araçları otomatik olarak servis dışına alır.
• Şarj Lojistiği: Elektrikli bir robotaksi filosunda, araçların ne zaman/nerede şarj olacağı, talep yoğun saatlerde (rush hour) filo kapasitesini düşürmeyecek şekilde planlanmalıdır — bu, bir yolcu taşımacılığı optimizasyon problemi ile bir enerji yönetimi probleminin kesişimidir.
• Bakım Lojistiği: Sensörlerin (özellikle LiDAR ve kameraların) periyodik kalibrasyonu, aşınan parçaların (fren balataları, lastikler) değişimi ve yazılım güncellemelerinin filoya kademeli/güvenli dağıtımı (bir güncellemenin tüm filoya aynı anda değil, önce küçük bir alt kümeye verilip doğrulanması) sürekli bir operasyonel yüktür.

INTERPRETATION — Bu problemlerin hiçbiri “otonom sürüş algoritması” değildir — hepsi klasik filo/lojistik yönetimi problemleridir. Ancak bir robotaksi filosunda insan sürücü olmadığından, geleneksel taksi/ride-hailing filolarında sürücünün kendiliğinden çözdüğü işler (arabayı temizlemek, şarj/yakıt doldurmak, bir sorunu fark edip bildirmek) artık merkezi bir mühendislik sistemi tarafından açıkça tasarlanmak zorundadır. Bu, robotaksi işletmeciliğinin neden yalnızca bir “otonom sürüş şirketi” değil, aynı zamanda bir “filo lojistiği şirketi” olmayı gerektirdiğini açıklar.

---

8. Gerçek Dünya Örneği: Waymo’nun Yaklaşımı

Waymo, kabininde güvenlik sürücüsü bulunmayan, kamuya açık yollarda ticari yolcu taşımacılığı yapan, dünyada en uzun süredir ve en geniş kapsamda kamuya açık şekilde belgelenmiş Seviye 4 robotaksi operasyonudur. Yayımladığı güvenlik raporları ve teknik dokümantasyon, bu derste ele aldığımız ilkelerin gerçek dünyadaki karşılığını gösterir:

• Redundant sensör paketi: Çatı sensör kulesinde çoklu LiDAR birimleri (uzun menzilli + çevresel kısa menzilli), yüksek çözünürlüklü kamera dizisi ve radar; örtüşen görüş alanlarıyla 360° kesintisiz kapsama.
• Redundant hesaplama ve aktüasyon: Birincil sürüş bilgisayarına ek olarak, arıza anında aracı MRC’ye yönlendirebilen bağımsız bir yedek sistem; direksiyon ve fren için yedekli aktüasyon yolları.
• Uzaktan yardım modeli: Waymo’nun kamuya açık açıklamaları, uzaktan operatörlerin aracı gerçek zamanlı SÜRMEDİĞİNİ, aracın kendi kararıyla durduğu belirsizlik anlarında yüksek seviyeli rehberlik/onay sağladığını vurgular (Bölüm 6’daki tele-guidance modeliyle tutarlı).
• Filo operasyon merkezi: Araç sağlığını, yolculukları ve bakım/temizlik/şarj döngüsünü merkezi olarak yöneten bir operasyon yapısı.

ASSUMPTION — Cruise (GM iştiraki), geçmişte San Francisco gibi şehirlerde kamuya açık robotaksi hizmeti işletmiş, kamuya açık bir başka Seviye 4 operasyon örneğiydi. Ancak robotaksi şirketlerinin operasyonel durumu (aktif filo büyüklüğü, hizmet verdiği şehirler, hatta bir servisin tamamen durdurulup durdurulmadığı) zaman içinde hızla değişebildiğinden, bu derste Cruise’un veya herhangi bir operatörün güncel operasyonel durumu kesin bir olgu olarak sunulmamıştır — okuyucu güncel duruma ilişkin resmi kaynakları (şirket duyuruları, düzenleyici kurum raporları) ayrıca doğrulamalıdır.

---

Sık Sorulan Sorular

S1: Redundant compute, aynı yazılımı iki kez çalıştırmak mıdır? Hayır. Yaygın yaklaşım, birincil sistemin karmaşık algılama/planlama yığınını çalıştırdığı, yedek sistemin ise çok daha basit ve bağımsız yazılınmış bir “güvenli dur” denetleyicisi olduğu çeşitlendirilmiş (diverse) yedekliliktir. Amaç aynı hesaplamayı iki kez doğrulamak değil, birincil sistem tamamen yanıt vermez hâle geldiğinde bile aracı güvenle durdurabilecek bağımsız bir yol sağlamaktır.

S2: Teleoperasyon olmadan bir robotaksi filosu işletilebilir mi? Teorik olarak evet — araç her belirsizlik durumunda kendi başına MRC’ye çekilebilir. Ancak pratikte bu, çözülebilir küçük belirsizlikler (örn. bir polis memurunun trafik yönlendirmesi) yüzünden gereksiz yere sık “dur ve bekle” olaylarına yol açar; tele-guidance bu olayların çoğunu dakikalar içinde çözerek hizmet sürekliliğini artırır.

S3: Bir robotaksinin MRC’si her zaman “yolun kenarına çekilmek” midir? Hayır — MRC, ODD’ye ve arızanın türüne göre değişir (bkz. Bölüm 5). Kavşak ortasında bir arıza, “kavşağı temizleyip güvenli bir noktada dur” gerektirebilir; otoyolda banket varsa oraya çekilmek daha uygun olabilir. MRC her zaman önceden tanımlanmış bir hedef durumdur, arıza anında rastgele seçilmez.

---

Özet

• Seviye 4 robotaksilerde insan DDT-fallback yedeği bulunmadığından, tüm güvenlik-kritik alt sistemler “Sıfır Tek Hata Noktası” ilkesiyle tasarlanmak zorundadır.
• Redundant sensör kapsaması, farklı fiziksel prensiplerle çalışan sensörlerin (kamera, radar, LiDAR) görüş alanlarını örtüştürerek tek bir modalitenin zayıflığını diğerleriyle telafi eder.
• Redundant hesaplama, karmaşık bir birincil sistem ile çok daha basit, bağımsız bir yedek “güvenli dur” denetleyicisinden oluşur; yedek, birincilin performansını eşlemez, yalnızca güvenli duruşu garanti eder.
• Redundant direksiyon/fren/güç, arıza gerçekleştiğinde bile aracın bir Minimal Risk Condition’a ulaşabilmesini garanti eden fail-operational tasarımın somutlaşmasıdır.
• MRC, arıza/belirsizlik anında ulaşılan, riski makul ölçüde azaltan önceden tanımlı bir durma durumudur; MRM bu duruma ulaşmak için icra edilen manevradır (AD-17’de tam kapsamıyla işlenir).
• Teleoperasyon gerçek zamanlı uzaktan sürüş değildir — uzaktan operatörler yüksek seviyeli anlamsal onay/rehberlik sağlar, aracın kendi yerel güvenlik sistemleri her zaman tam yetkili kalır.
• Filo operasyonları (izleme, sevkiyat, temizlik, şarj, bakım) tek araç mühendisliğinin ötesinde, robotaksi işletmeciliğinin ayrı ve gerçek bir operasyonel mühendislik disiplinidir.
• Waymo, bu ilkelerin kamuya açık şekilde belgelenmiş başlıca gerçek dünya örneğidir.

Kaynaklar ve Doğrulama Notu

• ISO 26262 (Fonksiyonel Güvenlik — Yol Araçları)
• ISO 21448 (SOTIF — Amaçlanan İşlevin Güvenliği)
• SAE J3016:2021 (Sürüş Otomasyonu Seviyeleri Taksonomisi)
• UL 4600 (Standard for Evaluation of Autonomous Products)
• Waymo Safety Reports (kamuya açık güvenlik ve mimari dokümantasyonu)
• UNECE Regulation No. 157 (ALKS — MRM/TOR kavramsal karşılaştırması için)

ASSUMPTION — Robotaksi operatörlerinin (Waymo, Cruise, Baidu Apollo ve diğerleri) güncel filo büyüklüğü, hizmet verdiği şehirler ve donanım mimarisinin tam teknik detayları sık güncellendiğinden ve kısmen ticari sır kapsamında olduğundan, bu derste mimari ilkeler esas alınmış, kesin/güncel rakamlar verilmemiştir; güncel durum için ilgili şirketlerin resmi güvenlik raporlarına ve düzenleyici kurum başvurularına bakılmalıdır.

Sıradaki Ders

• AD-16 — Operational Design Domain (ODD): Tanım, Taksonomi ve Sınırlar: Bu dersler boyunca sürekli referans verdiğimiz ODD kavramının resmi taksonomisi, sınır tanımlama yöntemleri ve bir sistemin ODD’sinin nasıl doğrulandığı.