AD-17 — Fallback Stratejileri, MRM ve Emniyetli Durum (MRC)

FACT — AD-16’da bir sistemin ODD sınırına yaklaştığında veya dışına çıktığında ne olması gerektiğini söylemiştik ama nasıl olduğunu işlememiştik. SAE J3016, bu “nasıl”ı DDT Fallback terimiyle tam olarak tanımlar: bir sürüş otomasyonu fonksiyonunda performansla ilgili bir sistem arızası meydana geldiğinde veya ODD dışına çıkıldığında, DDT’yi (Dinamik Sürüş Görevi) yürütmeye devam etmek ya da Minimum Risk Durumuna (MRC) ulaşmak için kullanıcı (sürücü) veya ADS (Otonom Sürüş Sistemi) tarafından gerçekleştirilen tepki. Bu ders, otonom sürüşün “son savunma hattını” — felaketi önleyen son mekanizmayı — mühendislik detayında ele alır.

Bu derste şunları öğreneceksin:

1. DDT Fallback’in SAE J3016 Tanımı ve Seviyelere Göre Sorumluluk Dağılımı
2. MRM (Minimum Risk Manevrası): Süreç Olarak Tanım ve L2/L3 Mimarisi
3. Neden Ani Değil Kademeli Şerit-İçi Yavaşlama: Arkadan Çarpma Riskinin Kinematiği
4. L4’te Tam Otonom MRM: Jenerik Acil Durumdan “Güvenli Kenara Çekilme”ye
5. MRC (Minimum Risk Durumu): Sonuç Olarak Tanım ve MRM’den Ayrımı
6. Kademeli Uyarı (Escalating Alert) HMI Tasarımı: Yanlış Alarm vs Gerçek Aciliyet
7. AD-18’e Köprü: Zamanlamanın Doğru Yapılması İçin Sürücü İzleme Neden Şart
8. Uçtan Uca Zaman Çizelgesi Örneği

---

1. DDT Fallback’in Tanımı ve Seviyelere Göre Sorumluluk

FACT — SAE J3016’nın DDT Fallback tanımı iki tetikleyiciyi birden kapsar: (a) performansla ilgili bir sistem arızası (donanım/yazılım hatası) ve (b) ODD dışına çıkış (AD-16). Her iki durumda da amaç aynıdır: aracı DDT’ye (sürüşe) devam ettirebilecek ya da bir Minimum Risk Durumuna (MRC) ulaştırabilecek bir tepki üretmek.

Bu sorumluluk, SAE seviyeleri arasında kökten farklı biçimde dağılır:

Seviye	Fallback Sorumlusu	Mekanizma
L1 / L2	%100 insan sürücü	Sistem herhangi bir anda sessizce (veya kısa bir uyarıyla) devre dışı kalabilir; sürücü sürekli “in-the-loop” olduğundan (AD-02) kontrolü kesintisiz üstlenir.
L3	Paylaşımlı — önce insan, sonra sistem	Sistem devralma talebi (Take-Over Request, TOR) gönderir; sürücü tanımlı bir pencere içinde (tipik birkaç saniye ile ~10 saniye arası) yanıt vermezse, sistem kendi MRM’ini otomatik yürütür.
L4	%100 sistem (ADS)	Kabinde fallback yapacak bir sürücü yoktur (ya da varsayılamaz) — sistem, herhangi bir arıza/ODD-çıkışında MRM’i tamamen kendi başına, insan müdahalesi beklemeden yürütür.
L5	%100 sistem (ADS)	ODD kısıtı yoktur (tüm koşullar), fallback her zaman sistemdedir.

CRITICAL — L3, bu tablodaki en kırılgan satırdır: sistem geçici olarak “sürücü DDT’nin gözlemcisi değil” (off-the-loop, AD-02) bir duruma izin verir, ama fallback anında aynı sürücünün saniyeler içinde tekrar tam kontrol alabilir hale gelmesini talep eder. Bu geçiş penceresinin ne kadar güvenilir yönetildiği, doğrudan AD-18’in konusu olan sürücü izleme sistemlerinin kalitesine bağlıdır.

---

2. MRM (Minimum Risk Manevrası): Süreç Olarak Tanım

Minimum Risk Manevrası (MRM — Minimal Risk Manoeuvre), fallback tetiklendikten sonra aracı bir Minimum Risk Durumuna (MRC, §5) taşımak için yürütülen dinamik, taktiksel sürüş eylemidir — yani MRM bir süreçtir, bir durum değildir.

2.1 L2/L3 Tipik MRM Mimarisi

Sürücünün hâlâ potansiyel bir fallback kaynağı olduğu L2/L3’te, MRM iki aşamalı bir yapı izler:

Aşama A — Kademeli Uyarı (Escalating Alert): Sistem önce sürücüyü devralmaya çağırır; bu çağrı zaman içinde şiddetlenir (§6’da detaylandırılacak): görsel ikaz → sesli ikaz → haptik ikaz (emniyet kemeri gerdirici titreşimi, fren pedalı darbesi, direksiyon titreşimi).

Aşama B — Otomatik Yavaşlama (yanıt yoksa): Tanımlı pencere içinde sürücüden yanıt gelmezse, sistem kademeli olarak, mevcut şeridini koruyarak yavaşlamaya başlar. Bu, “dur” değil “güvenli bir noktaya doğru kontrollü yaklaş” komutudur.

2.2 Neden Ani Değil Kademeli Şerit-İçi Yavaşlama?

CRITICAL — MRM’in en kritik tasarım kararı budur: canlı trafik akışı içinde ani/sert bir tam durma, kendi başına yeni bir çarpışma riski yaratır. Bunu nicel olarak gösterelim.

Aracın önündeki bir tehlikeye karşı acil fren yapması gereken senaryolardan (AD-06/AD-11’de işlenecek Otomatik Acil Fren, AEB) farklı olarak, MRM’in tetiklendiği anda önde acil bir tehlike yoktur — tetikleyici, sürücünün yanıt vermemesi veya bir sistem arızasıdır. Bu durumda aracın arkasında seyreden diğer sürücüler, beklenmedik bir tam-güç frenlemeyi öngöremez:

$d_{takip} = v \cdot t_{tepki} + \frac{v^2}{2a_{takip}}$

Burada $v$ araçların ortak hızı, $t_{tepki}$ arkadaki sürücünün fark edip tepki verme süresi (tipik 1–1.5 s, sürpriz bir olayda daha uzun) ve $a_{takip}$ arkadaki aracın frenleme ivmesidir. Öndeki araç (MRM yürüten araç) $a_{mrm}$ ile frenlerken, iki aracın kat ettiği mesafe farkı çarpışmayı belirler:

$\Delta d = \underbrace{v \cdot t_{tepki}}_{\text{tepki gecikmesi payı}} + \frac{v^2}{2}\left(\frac{1}{a_{takip}} - \frac{1}{a_{mrm}}\right)$

$a_{mrm}$ (öndeki aracın frenleme şiddeti) arttıkça, $\Delta d$ de büyür — yani öndeki araç ne kadar sert frenlerse, arkadaki sürpriz-yakalanmış sürücünün kapatması gereken mesafe farkı o kadar artar. Bu yüzden MRM tasarımında $a_{mrm}$ bilinçli olarak konfor/güvenlik dengeli bir ivme bandında ($\approx -2$ ile $-3\text{ m/s}^2$, tam acil frenin $-6$ ile $-9\text{ m/s}^2$‘lik bandının çok altında) tutulur — arkadan gelen trafiğin tepki verebileceği kadar öngörülebilir, ama aracı makul sürede güvenli bir duruşa götürecek kadar etkili bir değer.

Şeritte kalmak da aynı mantığın bir parçasıdır: ani bir şerit değiştirme, yan taraftaki bir aracın kör noktasında beklenmedik bir manevra olarak algılanabilir ve yeni bir çarpışma riski yaratır; bu yüzden ilk tepki her zaman mevcut şeridi koru + kademeli yavaşladır, ancak koşullar (yol omuzu/emniyet şeridi müsaitse ve trafik izin veriyorsa) uygunsa ikinci adımda kontrollü bir şerit değişimi denenir.

EXAMPLE — $v = 100\text{ km/s}$ ($\approx 27.8\text{ m/s}$), $t_{tepki} = 1.2\text{ s}$, $a_{takip} = 5\text{ m/s}^2$ alalım. $a_{mrm} = 3\text{ m/s}^2$ (kademeli MRM) ile $a_{mrm} = 8\text{ m/s}^2$ (varsayımsal “ani tam fren MRM”) karşılaştırıldığında: birincisinde $\Delta d \approx 33.4 + 27.8^2/2 \cdot (0.2 - 0.333) \approx 33.4 - 51.5 \approx$ negatif (araçlar arası mesafenin kapanması yavaş, arkadaki sürücü rahatça yetişir); ikincisinde $\Delta d \approx 33.4 + 27.8^2/2 \cdot (0.2-0.125) \approx 33.4 + 29 \approx 62.4\text{ m}$‘lik ek bir kapanma payı oluşur — yani ani fren, arkadaki sürücünün asıl tepki mesafesinin üzerine onlarca metrelik ekstra bir kapanma ekler. Sayılar senaryoya göre değişir, ama yön nettir: frenleme ivmesi arttıkça arkadan çarpma riski keskin biçimde büyür.

---

3. L4’te Tam Otonom MRM Yürütme

L4’te (ve L5’te) kabinde güvenilir bir insan fallback kaynağı varsayılamaz — bu yüzden sistem, herhangi bir tetikleyicide MRM’i tamamen kendi başına, TOR/bekleme penceresi olmadan yürütür. Ama “MRM” tek bir sabit eylem değildir; arızanın/durumun aciliyetine göre farklılaşan bir davranış ailesidir:

Arıza/Durum Sınıfı	Tipik L4 MRM Tepkisi	Gerekçe
Jenerik acil durum (kritik sensör kaybı, ani engel)	Mevcut şeritte kontrollü, kademeli durma	Karar verme süresi yok; en hızlı güvenli seçenek şerit-içi durmaktır
Daha az acil arıza (örn. tek bir yedek alt-sistemde bozulma, ODD’nin planlı biçimde sona ermesi)	“Güvenli bir kenara çekilme noktası bul” (find a safe pull-over spot) — yol omuzu, otopark girişi, durak cebi	Zaman baskısı düşük; trafiği bloke etmeyen, yolcuların güvenli inebileceği bir MRC tercih edilir
Enerji/güç kesintisi riski (batarya kritik seviyede vb.)	Erken, planlı bir MRC arayışı	Aracın MRM’i tamamlayacak gücü kalmadan bir MRC’ye ulaşması gerekir

INTERPRETATION — Bu farklılaşma, L4 sistemlerinin neden basit bir “her arızada dur” mantığından çok daha karmaşık bir karar ağacına ihtiyaç duyduğunu gösterir: bir robotaksi filosu için sürekli şerit ortasında duran araçlar (trafiği bloke ederek) başlı başına bir güvenlik ve operasyonel risk yaratır — bu yüzden mümkün olduğunda “bul ve çek” (pull-over) stratejisi, mümkün olmadığında (aciliyet yüksekse) anlık şerit-içi durma tercih edilir.

---

4. MRC (Minimum Risk Durumu): Sonuç Olarak Tanım

FACT — Minimum Risk Durumu (MRC — Minimal Risk Condition), MRM’in (sürecin) sonunda aracın ulaştığı kararlı, hareketsiz ve güvenli nihai fiziksel durumdur. MRM eylemin kendisiyse, MRC o eylemin vardığı yerdir.

Bu ayrım kavramsal olarak küçük görünebilir ama mühendislik/regülasyon açısından hayatidir: bir güvenlik gereksinimi “sistem X saniye içinde MRC’ye ulaşmalıdır” diye yazıldığında, bu hem MRM’in (sürecin) süresini hem de MRC’nin (varılan durumun) kabul kriterlerini (araç tamamen durmuş mu, park freni devrede mi, tehlike ışıkları yanıyor mu, yolcular güvenle inebiliyor mu) ayrı ayrı doğrulamayı gerektirir. Tipik bir MRC şu unsurları içerir:

• Araç tam olarak durmuş (sıfır hız, kalıcı olarak).
• Elektronik park freni (EPB) devrede — araç yalnızca ayak frenine güvenmez.
• Dörtlü flaşörler (hazard lights) aktif.
• Mümkünse kapı kilitleri açık, acil durum bildirimi (örn. e-Call) gönderilmiş.
• Konum, mümkün olan en düşük trafik-bloke riski taşıyan yerde (şerit ortası yerine omuz/emniyet şeridi tercih edilir).

---

5. Kademeli Uyarı (Escalating Alert) HMI Tasarımı

Sürücüye devralma çağrısının nasıl iletildiği, MRM’in ilk aşamasının (§2.1, Aşama A) doğrudan mühendislik problemidir ve klasik bir ödünleşim içerir:

WARNING — Uyarı çok erken/çok sık tetiklenirse (aşırı hassas eşikler), sürücüler zamanla uyarıları görmezden gelmeyi öğrenir (alarm yorgunluğu / “cry wolf” etkisi) — bu, gerçek bir acil durumda tepki süresini uzatır. Uyarı çok geç/çok nadir tetiklenirse, sürücüye yeterli devralma süresi kalmaz. Doğru eşik, ikisi arasında veri odaklı bir denge noktasıdır, sabit/keyfi bir sayı değil.

Üretim sistemleri bu dengeyi, modaliteleri zaman içinde şiddetlendiren (escalating) çok aşamalı bir yapıyla çözer:

Aşama	Modalite	Tipik Zamanlama	Fizyolojik Gerekçe
1	Görsel (gösterge paneli/HUD simgesi, renk değişimi)	t = 0 s	En az müdahaleci; dikkat zaten yol/gösterge eksenindeyse hemen fark edilir
2	Sesli (uyarı sesi/sözlü komut)	t ≈ 2–4 s	Görsel kanal gözden kaçırılmış olabilir (gözler kapalı/başka yöne bakıyor); işitsel kanal yön bağımsızdır
3	Haptik (emniyet kemeri gerdirici darbesi, fren pedalı titreşimi, direksiyon titreşimi)	t ≈ 4–7 s	Görsel+sesli kanal ikisi de gözden kaçmışsa (örn. sürücü uykuda), dokunsal uyarı fizyolojik olarak en zor görmezden gelinen kanaldır
4	MRM Başlangıcı (otomatik kademeli yavaşlama)	t ≈ 8–10 s (yanıt yoksa)	Tüm HMI eskalasyonu tükendi; artık aracın kendisi harekete geçmelidir

INTERPRETATION — Bu dört aşamalı yapı rastgele değildir — her aşama bir öncekinin başarısız olduğu varsayımı üzerine kuruludur ve bir sonraki, insan dikkatinin daha da az kaldığı bir senaryoyu hedefler. Sıralama (görsel → sesli → haptik) bilinçlidir: en az müdahaleciden en zor görmezden gelinene doğru ilerler, böylece hafif dikkat dağınıklığı olan bir sürücü daha ilk aşamada tepki verip sistemi “sakinleştirebilir”, sadece gerçekten ciddi durumlarda (uyku, bilinç kaybı) eskalasyon sona kadar ilerler.

---

6. AD-18’e Köprü: Zamanlamanın Doğru Yapılması İçin Sürücü İzleme Şart

Yukarıdaki tablo bir varsayımı gizler: sistem, sürücünün her aşamada gerçekten yanıt verip vermediğini nasıl bilir? Basit bir sistem yalnızca doğrudan eylem kanıtına bakabilir (direksiyona dokunma, pedala basma) — ama bu, sürücünün bilişsel olarak devralmaya hazır olduğunu garanti etmez (gözleri hâlâ telefonda olabilir, elleri refleks olarak direksiyonda olsa bile).

CRITICAL — Bu, AD-17’yi AD-18’e bağlayan tam kavramsal köprüdür: eskalasyonun doğru zamanlanması — yani bir sonraki, daha müdahaleci aşamaya ne zaman geçileceği — sistemin sürücünün gerçek dikkat/uyanıklık durumunu bilmesini gerektirir. Yalnızca “10 saniye geçti, otomatik olarak bir sonraki aşamaya geç” gibi kör bir zamanlayıcı, hem gereksiz yere erken eskalasyon (sürücü aslında dikkatliyken) hem de tehlikeli derecede geç eskalasyon (sürücü aslında uykudayken sabit bir pencere boyunca beklemek) riskini taşır. Sürücü İzleme Sistemleri (DMS, AD-18’in konusu), göz kapanma süresi ve bakış yönü gibi sinyallerle bu zamanlamayı sürücünün gerçek durumuna göre dinamik olarak ayarlamayı mümkün kılar.

---

7. Uçtan Uca Zaman Çizelgesi Örneği (L3 Sistem)

ASSUMPTION — Aşağıdaki zaman çizelgesindeki saniye değerleri (aşama süreleri, TOR zaman aşımı penceresi, MRM ivmesi) kavramsal bir örnek amaçlıdır; gerçek üretim sistemlerinde bu değerler UNECE R157 gibi düzenleyici çerçevelere, üreticinin kendi güvenlik mühendisliği kararlarına ve pazar/yargı alanına göre değişir — kesin güncel değerler için ilgili düzenleyici metin veya üretici dokümantasyonu doğrulanmalıdır.

Yukarıdaki tüm kavramları tek bir gerçekçi senaryoda birleştirelim — bir L3 otoyol pilotu, ani bir yoğun dolu fırtınasıyla ODD dışına çıkıyor:

Zaman Çizelgesi — L3 ODD-Çıkışı → TOR → MRM → MRC:

t=0s      ODD Monitörü dolu fırtınasını tespit eder (AD-16 §7).
          │
t=0-2s    AŞAMA 1: Görsel ikaz ("Lütfen Devralın", gösterge paneli).
          │
t=2-4s    AŞAMA 2: Sesli ikaz eklenir (sözlü/işitsel komut).
          │
t=4-7s    AŞAMA 3: Haptik ikaz eklenir (kemer gerdirici, fren titreşimi).
          │         DMS (AD-18) sürücünün bakışını/göz durumunu izler.
          │
          ├── Sürücü yanıt verirse ──▶ Kontrol insana devredilir, DDT devam eder.
          │
t=8-10s   Yanıt YOK (TOR Timeout onaylanır).
          │
t=10-18s  MRM İcrası: Dörtlü flaşörler yakılır; radar arka trafiği tarar;
          mevcut şeritte a ≈ -2.5 m/s² ile kademeli yavaşlama başlar
          (mümkünse emniyet şeridine kontrollü geçiş denenir).
          │
t=20s     MRC ELDE EDİLDİ: Araç tam durur, EPB kilitlenir, dörtlüler
          yanık kalır, kapı kilitleri açılır, e-Call ile konum bildirilir.

---

Sıkça Sorulan Sorular (FAQ)

S: MRM her zaman aracı tamamen durdurur mu?

INTERPRETATION — Hayır. MRM’in amacı bir MRC’ye ulaşmaktır, ama bazı L4 senaryolarında (örn. düşük aciliyetli bir arıza) MRC “tamamen durmuş” değil, “güvenli bir kenara çekilmiş ve orada bekleyen” bir durum olabilir — kritik olan, aracın artık aktif olarak canlı trafik akışının riskine maruz kalmamasıdır, illa sıfır hareketlilik değil (bkz. §3).

S: Kademeli yavaşlama ivmesi ($a_{mrm}$) neden sabit bir sayı değil?

FACT — Gerçek üretim sistemlerinde $a_{mrm}$ genellikle yol/trafik yoğunluğu, arkadaki araçların radar ile ölçülen mesafesi/hızı ve acil durumun ciddiyetine göre dinamik olarak ayarlanır — sabit bir tek değer yerine, §2.2’de gösterilen ödünleşimi gerçek zamanlı optimize eden bir bant kullanılır.

S: L2 sistemlerde de resmi bir MRM/MRC var mı?

WARNING — L2’de fallback sorumluluğu tamamen insandadır (§1), dolayısıyla “sistemin yürüttüğü resmi bir MRM” kavramı SAE J3016 anlamında L3/L4’teki kadar net değildir. Ama modern L2 sistemlerin çoğu, güvenlik marjı olarak benzer bir kademeli-yavaşlama davranışını (sürücü tamamen tepkisiz kalırsa) uygulamayı tercih eder — bu, düzenleyici bir zorunluluktan çok üreticinin kendi güvenlik mühendisliği kararıdır.

---

Özet

• DDT Fallback, SAE J3016’ya göre bir sistem arızası veya ODD dışına çıkış sonrası DDT’yi sürdürmek ya da MRC’ye ulaşmak için insan veya sistem tarafından yürütülen tepkidir; sorumluluk L1/L2’de insanda, L3’te paylaşımlı, L4/L5’te tamamen sistemdedir.
• MRM (Minimum Risk Manevrası) bir süreçtir — L2/L3’te kademeli uyarı + yanıt yoksa kontrollü şerit-içi yavaşlama, L4’te arızanın aciliyetine göre (jenerik acil durumda anlık şerit-içi durma, daha az acil durumda “güvenli kenar bul”) farklılaşan tam otonom yürütmedir.
• Ani/sert frenleme yerine kademeli şerit-içi yavaşlama tercih edilir çünkü canlı trafikte beklenmedik bir tam-güç fren, arkadaki sürücülerin tepki verebileceği mesafeyi aşarak kendi başına yeni bir arkadan-çarpma riski yaratır — bu ödünleşim kinematik olarak nicelleştirilebilir.
• MRC (Minimum Risk Durumu) MRM’in sonucudur — aracın ulaştığı kararlı, güvenli, nihai fiziksel durum; MRM eylem, MRC varış noktasıdır.
• Kademeli uyarı (escalating alert) HMI tasarımı görsel→sesli→haptik sırasıyla ilerler; bu, yanlış-alarm yorgunluğu ile gerçek aciliyeti dengeleyen kasıtlı bir mühendislik seçimidir.
• Eskalasyonun doğru zamanlanması, sürücünün gerçekten yanıt verip vermediğinin bilinmesini gerektirir — bu da AD-18’in konusu olan Sürücü İzleme Sistemlerine (DMS) doğrudan bağımlıdır.

Kaynaklar ve Doğrulama Notu

Bu derste sunulan DDT Fallback, MRM ve MRC tanımları SAE J3016 terminolojisine dayanmaktadır. UNECE R157 (Automated Lane Keeping Systems), L3 sistemlerdeki devralma süresi ve MRM yürütme gereksinimlerine ilişkin düzenleyici referans olarak kullanılmıştır. ISO 26262 fail-operational mimari gereksinimlerine, ISO 21448 (SOTIF) ise ODD-çıkışı senaryolarının doğrulama kapsamına ilişkin çerçeveyi sağlar. §2.2’deki kinematik örnek kavramsal bir gösterim amaçlıdır; gerçek üretim sistemlerindeki tam ivme profilleri üretici/model bazında değişir.

Sıradaki Ders

• AD-18 — Driver Monitoring Systems (DMS) ve Sürücü Dikkat Takibi: Bu derste “sürücü yanıt veriyor mu?” sorusunun teknik olarak nasıl yanıtlandığını — kızılötesi kamera tabanlı bakış/göz kapanma takibi, PERCLOS metriği ve eskalasyon zamanlamasını gerçek zamanlı süren DMS mimarisini — inceleyeceğiz.