AstroForge nechce poslat do vesmíru chatbot s tlačítkem „řiď loď“. Startup vyvíjí model Solo, který má na palubě kosmické lodi sledovat její stav, rozpoznávat anomálie a koordinovat reakci bez čekání na pokyn ze Země. O plánované misi jsme psali v rychlé zprávě Radyzu.
Podstatná otázka proto není, jestli AI dokáže vykonat další sekvenci příkazů. Autonomní systémy to dělají už dlouho. Otázka zní, co se stane ve chvíli, kdy se objeví problém, který nikdo přesně nepopsal dopředu – a kdo za rozhodnutí ponese odpovědnost.
Nejdřív oprava jedné zkratky: první mise nemíří k asteroidu
AstroForge je firma zaměřená na těžbu zdrojů z asteroidů, ale její první plná demonstrace systému Solo podle aktuálně zveřejněných podkladů není asteroidová mise. Autonomy-1 má podle popisu firmy letět na prvním startu rakety Nova Pathfinder od Stoke Space a po oddělení dokončit misi bez jediného příkazu ze Země.
Na palubě má být také payload COMPASS od NASA Goddardova střediska pro heliofyziku. Firma ho popisuje jako vědecký náklad pro studium Slunce. Téma asteroidů tedy vysvětluje dlouhodobý obchodní cíl AstroForge, ne konkrétní cíl této demonstrace. To je důležité rozlišení: testovat autonomii na vědecké misi je něco jiného než nechat systém samostatně řídit setkání s asteroidem.
Další krok má přijít dřív. DeepSpace-2 má podle AstroForge letět v roce 2026 se systémem Solo ve stínovém režimu. Model bude zpracovávat skutečná data z lodi, ale jeho rozhodnutí se nemají vykonávat. Inženýři tak mohou porovnávat, co by Solo udělalo, s tím, co udělaly klasické řídicí algoritmy a lidé.
Proč vůbec přesouvat rozhodování na palubu
Kosmická loď v hlubším vesmíru není zařízení, kterému stačí rychlé připojení a vzdálená technická podpora. Komunikace má omezenou kapacitu, mezi odesláním dat a reakcí uplyne čas a pozemní stanice jsou drahé a vytížené. NASA například při misi OSIRIS-REx používala velké týmy letových operátorů. Pro startup, který chce jednou provozovat více lodí, se takový model rychle stává nákladovou i organizační překážkou.
AstroForge na své stránce o Solo uvádí, že pozemní provoz tvoří téměř třetinu celkových nákladů mise. Je to firemní údaj, nikoli nezávislý rozbor nákladů, ale motivace je srozumitelná: pokud loď dokáže reagovat sama, nemusí Země analyzovat každý detail telemetrie a posílat příkazy na každou změnu.
Problém se ukázal i prakticky. Podle reportáže TechCrunche AstroForge po vypuštění sondy Odin nedokázal získat dostatečnou kontrolu nad lodí. Právě tahle zkušenost podle vyjádření zakladatele Matthewa Gialicha posílila úvahu, zda by část řešení neměla být přímo na palubě.
Solo není chatbot, který dostal volant
AstroForge popisuje Solo jako inteligentní vrstvu nad existujícím deterministickým softwarem založeným na fyzice. Základní řízení, navigace a bezpečnostní meze tedy nemají zmizet. Solo má nad nimi sledovat stav systému, hledat odchylky a koordinovat reakci jednotlivých subsystémů.
TechCrunch uvádí, že jde o transformerový model vyvinutý interně a napojený na data z přibližně 2 500 senzorů kosmické lodi. Z veřejných materiálů ale nevíme, jak velký model je, na jakém hardwaru poběží, jak přesně jsou definovány jeho akční pravomoci ani jak se řeší konflikt mezi návrhem modelu a tvrdými limity řídicího systému.
To je rozdíl proti představě, že na palubě běží obecná umělá inteligence, která „rozumí vesmíru“. Solo má být úzce omezený systém pro konkrétní loď, konkrétní senzory a konkrétní provozní scénáře. Omezení je výhoda – zmenšuje prostor, ve kterém se může model mýlit. Zároveň ale neodstraňuje problém chování v situaci, která se do tréninku nebo testů nevešla.
Nejtěžší rozhodnutí přijde při anomálii
Normální provoz kosmické lodi lze do značné míry popsat pravidly. Systém ví, jak má reagovat na plánovaný manévr, jak hlídat napájení nebo jak udržovat orientaci. Hodnota Solo se má ukázat hlavně v situaci, kdy několik signálů dohromady naznačí, že se děje něco neplánovaného.
Armand Awad z AstroForge popsal pro TechCrunch příklad, ve kterém loď ztratí přehled o své poloze, Solo spojí problém s možnou chybou hvězdného senzoru a zkusí příslušný systém restartovat. To není jen klasifikace poruchy. Je to řetězec: rozpoznat odchylku, najít pravděpodobnou příčinu, vybrat zásah a ověřit, zda zásah stav zlepšil.
Právě tady se hranice mezi autonomií a odpovědností posouvá. Když systém pouze provede předem ověřený manévr, je jeho prostor pro rozhodování malý. Když sám propojuje více signálů a vybírá postup obnovy, už neplní jen příkaz. Vyhodnocuje situaci v rámci mantinelů, které mu někdo navrhl.
Stínový režim je důležitější než marketing o plné autonomii
Nejrozumnější část plánu AstroForge je proto právě DeepSpace-2 ve stínovém režimu. Solo bude mít přístup ke skutečným datům, ale loď nebude jeho rozhodnutí vykonávat. Tým může sledovat, jak by model reagoval na šum, ztrátu senzoru, nečekané změny napájení nebo kombinaci několika menších problémů.
Stínový provoz ale není totéž co důkaz bezpečnosti. Model může v testu vypadat dobře proto, že se loď nedostala do dostatečně neobvyklých stavů. Pozemní simulace zase nemusí zachytit všechny vlastnosti hardwaru, časování a degradace, které se objeví až ve skutečném prostředí.
Ještě ostřejší je plán pro Autonomy-1. AstroForge ve svém oznámení píše, že po oddělení od nosiče nechce lodi poslat jediný příkaz. Gialich v rozhovoru pro TechCrunch dokonce uvedl, že v danou chvíli neplánuje použít rádio schopné přijímat příkazy ze Země, i když tým ho do změny tohoto plánu může ještě přesvědčit. To znamená, že nejde jen o autonomii jako záložní režim. Jde o záměrné omezení možnosti zásahu.
Kde končí autonomie a začíná odpovědnost
AI samozřejmě nemůže být nositelem odpovědnosti v právním ani provozním smyslu. Pokud Solo udělá špatné rozhodnutí, odpovědnost se neztratí uvnitř transformeru. Zůstane u lidí a organizací, které model navrhly, integrovaly, otestovaly, schválily a vyslaly do vesmíru.
To ale neznamená, že je snadné ukázat na jednu osobu. Rozhodnutí vznikne v řetězci: někdo vybere tréninková data, jiný nastaví limity, další propojí model se senzory a akčními členy, jiný schválí scénáře, ve kterých smí systém jednat bez potvrzení. Když se něco pokazí, technická chyba může být v modelu, senzoru, mapování stavu nebo v pravidle, které dovolilo pokračovat.
Podobný problém jsme na Radyzu rozebírali u autonomního dronu, který sám hledal a napadl cíl. Kosmická loď samozřejmě není zbraň a následky chyby jsou jiné. Společné je ale to, že člověk může zůstat formálně „v obraze“, zatímco software už rozhoduje rychleji a samostatněji, než může člověk reálně zasáhnout.
U Autonomy-1 bude navíc chybět alespoň podle současného plánu běžná možnost okamžitého schválení nebo zamítnutí konkrétního kroku. Proto je zásadní, aby bylo předem jasné, co Solo nikdy nesmí udělat, jaké stavy vedou k bezpečnému vypnutí a jak se zaznamená důvod každého významného rozhodnutí.
Deterministické základy nejsou kouzelná pojistka
AstroForge zdůrazňuje, že Solo nenahrazuje fyzikální modely a deterministické algoritmy. To je důležitá architektonická pojistka, ale ne úplné řešení. I když spodní vrstva odmítne příkaz mimo bezpečné limity, model může opakovaně vybírat špatné, ale formálně povolené kroky. Chyba nemusí vypadat jako katastrofální povel. Může vzniknout sérií plausibilních zásahů.
Stejně tak nestačí měřit pouze to, zda model správně rozpoznal známou poruchu. Testy by měly sledovat, co udělá při nejednoznačných datech, při současném výpadku více senzorů, při poruše komunikace nebo při stavu, který se podobá několika různým problémům. Důležité je také umět zpětně rekonstruovat vstupy, zvolenou reakci a její důvod.
To je podobná lekce, jakou přinášejí i jiné AI systémy pracující s fyzickým světem. V článku o lunárním modelu NASA a IBM jsme psali, že dobrý výsledek na vybrané úloze ještě neznamená spolehlivost v každém prostředí. U kosmické lodi je cena za přenos z testu do reality ještě vyšší.
Úspěch nebude znamenat, že AI „řídila loď sama“
Pokud Autonomy-1 odstartuje podle plánu, bude lákavé popsat výsledek jednoduchou větou: AI převzala řízení kosmické lodi. Technicky přesnější otázky jsou méně efektní, ale podstatnější. Kolik rozhodnutí Solo skutečně udělalo? Kolikrát narazilo na neznámý stav? Jak často jeho zásah zabránil problému a jak často jen následoval správné rozhodnutí deterministických systémů?
A hlavně: co se stalo ve chvíli, kdy si model nebyl jistý? Bez možnosti lidského zásahu je schopnost přiznat nejistotu stejně důležitá jako schopnost jednat. Bezpečný autonomní systém nemusí vždy najít nejlepší řešení. Musí ale umět přejít do předvídatelného stavu, nepřekročit své pravomoci a zanechat dost dat pro pozdější kontrolu.
AstroForge tím otevírá zajímavou cestu pro hluboký vesmír. Pokud se podaří přenést část rozhodování z pozemních týmů na palubu, může to zlevnit provoz a umožnit větší počet misí. Zároveň ale vzniká nový druh závislosti: místo čekání na člověka se spoléháme na model, jehož chybu už během mise nemusí být možné opravit.
Kde tedy končí autonomie? Ne ve chvíli, kdy software udělá první rozhodnutí. Končí tam, kde už lidé předem neurčili hranice, bezpečný návratový stav a způsob, jak zjistit, proč se systém rozhodl právě takto. A odpovědnost začíná přesně na opačné straně – u lidí, kteří tyto hranice nastavili nebo je nenastavili.
Zdroje a kontext
Oznámení AstroForge k misi Autonomy-1 a systému Solo · Popis systému Solo od AstroForge · TechCrunch: AstroForge is putting AI in command of its next spacecraft · ArXiv: LeLaR, demonstrace AI řízení orientace satelitu na oběžné dráze
