La seguridad es una propiedad transversal cuya representación cambia según el nivel de abstracción, aunque su objetivo subyacente permanece intacto. Un marco unificado conecta el análisis sistemático de peligros con la aplicación de restricciones en tiempo de ejecución mediante envolventes de seguridad urbana informadas por peligros, que representan el conjunto de condiciones operativas en las que un robot o vehículo autónomo puede interactuar de forma segura con su entorno.
Introducción
La integración de la robótica en la movilidad urbana está pasando de entornos industriales controlados a espacios públicos. La robótica llega a las calles de las ciudades y transforma el modo en que se desplazan las personas, las mercancías y los servicios, dando lugar a tres casos de uso predominantes:
- Robots autónomos de reparto en aceras: Robots pequeños y eléctricos, del tamaño aproximado de una nevera portátil y equipados con cámaras, GPS y LiDAR, recorren las aceras a velocidad peatonal para entregar alimentos y comida preparada.
- Vehículos autónomos y robotaxis: Los vehículos destinados al transporte de pasajeros están pasando de las fases piloto a la operación a gran escala y continua.
- Robots autónomos de mantenimiento viario: Estos robots pueden patrullar las calles por la noche para detectar grietas en el asfalto y sellarlas de inmediato.
Desplegar estos sistemas robóticos heterogéneos junto a agentes humanos plantea graves retos de seguridad, operación y regulación. Cada ámbito ocupa una zona urbana distinta y emplea un paradigma de seguridad propio para evitar daños físicos y reducir los conflictos.
Los robots de acera operan en vías peatonales. Su seguridad se garantiza limitando la energía cinética mediante velocidades ultrabajas y recurriendo a árboles de comportamiento basados en la regla de “ceder el paso a todos”.
Las robotaxis son vehículos destinados al transporte de pasajeros que requieren estrictas redundancias de hardware y sensores en múltiples capas —incluidas cámaras, LiDAR y radar—, además de algoritmos deterministas de envolvente de seguridad. Estos sistemas deben cumplir rigurosos estándares de comportamiento.
Los robots de mantenimiento viario trabajan en zonas de obras de alto riesgo y sin estructura definida. Su seguridad depende de la geocerca en tiempo real, la comunicación vehículo-con-todo y mecanismos activos de limpieza de sensores para evitar colisiones con el tráfico que se aproxima o con los equipos humanos cercanos.
Sin embargo, la seguridad no es una propiedad estática de un único componente de software. Es, más bien, una característica del sistema completo que evoluciona a medida que la información y las decisiones atraviesan las distintas capas del diseño.
Por ejemplo, un peatón se representa como usuario vulnerable de la vía en la capa simbólica, como obstáculo dinámico durante la planificación de trayectorias y como objeto en movimiento con posición y velocidad en la capa de control. Aunque estas representaciones difieren, todas capturan el mismo objetivo de seguridad: evitar una interacción peligrosa con el peatón.
Envolvente de seguridad urbana
La movilidad urbana segura requiere un marco amplio y universal destinado a mantener márgenes de seguridad suficientes antes de que se desarrollen situaciones peligrosas.
La envolvente de seguridad urbana se aprende mediante un proceso informado por peligros. En lugar de recopilar únicamente datos de conducción normal, se generan escenarios sintéticos específicamente en torno a situaciones conocidas como críticas para la seguridad. Cada escenario se deriva de activos, modos de exposición y escenarios de peligro definidos explícitamente, lo que garantiza que los datos generados se concentren en condiciones en las que los márgenes de seguridad se reducen.
Por ejemplo, una intersección urbana puede incluir peatones, ciclistas, vehículos aparcados que provocan oclusiones visuales, condiciones meteorológicas adversas y distintas densidades de tráfico. Al variar sistemáticamente estos factores, la simulación genera escenarios que van desde situaciones completamente seguras hasta condiciones próximas a los límites de seguridad. Así, los modelos de aprendizaje automático pueden observar la transición gradual de la operación normal a las situaciones peligrosas, en lugar de aprender únicamente a partir de los escasos eventos de colisión.
Los modelos resultantes estiman continuamente hasta qué punto la situación de conducción actual se aproxima a la vulneración de unas restricciones de seguridad predefinidas. Si el margen de seguridad estimado se vuelve demasiado pequeño, el sistema autónomo puede responder de forma preventiva:
- Reducir la velocidad
- Aumentar la distancia de seguimiento
- Elegir una trayectoria alternativa
- Transferir el control a un controlador de seguridad de nivel superior
A diferencia de la detección convencional de peligros, que reacciona cuando la situación peligrosa ya ha aparecido, el enfoque propuesto permite evaluar la seguridad de forma predictiva. El objetivo no es simplemente reconocer los peligros, sino identificar cuándo el vehículo se aproxima al límite de operación segura.
Otra ventaja del enfoque propuesto es su interpretabilidad. Como cada escenario se origina en un peligro definido explícitamente dentro del proceso de ingeniería de seguridad, el comportamiento aprendido por el modelo puede rastrearse hasta los activos, vulnerabilidades y escenarios de peligro concretos identificados durante el análisis de riesgos. Esto mejora la transparencia y aporta evidencias de ingeniería más sólidas para validar y certificar la seguridad.
La seguridad en modelos jerárquicos del mundo
La movilidad urbana autónoma exige razonar en múltiples niveles de abstracción. Ninguna representación individual del entorno basta para respaldar simultáneamente la toma de decisiones estratégicas, la planificación de trayectorias y el control del vehículo en tiempo real. Por ello, los sistemas autónomos emplean una jerarquía de modelos del mundo, en la que cada capa mantiene una representación especializada del entorno y recoge únicamente la información relevante para su función.
Desde la perspectiva de la seguridad, cada capa define su propia noción de operación segura. En consecuencia, la seguridad urbana no puede representarse mediante un único modelo, sino que surge de la interacción coherente entre múltiples abstracciones de seguridad a lo largo de la jerarquía de control.
Capa de seguridad simbólica
La capa superior representa el entorno mediante entidades simbólicas, relaciones y reglas operativas. En este nivel, el sistema razona sobre objetivos de misión, normas de tráfico, restricciones legales y requisitos éticos, en lugar de hacerlo sobre la geometría física.
La seguridad se expresa mediante restricciones simbólicas, como respetar la prioridad de los peatones, obedecer los semáforos, evitar las zonas restringidas y cumplir las políticas operativas. Por tanto, el entorno se concibe como una red estructurada de acciones permitidas y prohibidas, no como un espacio físico.
En esta representación, el peatón se considera un usuario vulnerable de la vía cuya presencia impone restricciones de comportamiento al sistema autónomo.
Las reglas de seguridad pueden visualizarse como relaciones dirigidas, como Ceder el paso y Detenerse, entre entidades.
Capa de seguridad espacial
La capa intermedia transforma los objetivos simbólicos en planes geométricos de movimiento. El entorno se representa como un mapa espacial que contiene espacio libre, obstáculos, costes de transitabilidad y el movimiento previsto de los participantes circundantes del tráfico.
La seguridad se expresa mediante relaciones espaciales, como la probabilidad de colisión, las distancias mínimas de despeje, las restricciones de visibilidad y la generación de trayectorias seguras. Los objetos dinámicos se representan según su ocupación prevista, no por su significado semántico.
En consecuencia, el peatón deja de verse como una entidad jurídica y pasa a representarse como un obstáculo dinámico cuyo movimiento futuro influye en la elección de una ruta segura.
El entorno continuo se discretiza en una cuadrícula para calcular una trayectoria geométrica segura.
Capa de seguridad dinámica
La capa inferior gobierna la interacción física entre el vehículo y su entorno. Aquí, el mundo se representa mediante dinámicas continuas, límites de los actuadores y restricciones físicas.
La seguridad se define manteniendo un comportamiento estable y respetando los límites de dirección, frenado, aceleración, fricción entre los neumáticos y la calzada, y capacidades de los actuadores. Al controlador no le preocupan las normas de tráfico ni los objetivos de navegación, sino garantizar que las trayectorias ordenadas sean físicamente realizables.
En esta representación, el peatón se abstrae como un objeto en movimiento caracterizado por su posición, velocidad y movimiento relativo, lo que permite al controlador calcular acciones de control seguras en tiempo real.
Transformación de la seguridad entre capas
Los tres modelos del mundo descritos en la sección anterior representan el mismo entorno físico, pero en distintos niveles de abstracción. A medida que la información desciende por la jerarquía, la seguridad se refina progresivamente: pasa de objetivos simbólicos de alto nivel a órdenes físicas de bajo nivel. A la inversa, la información del mundo real asciende y actualiza las representaciones de cada capa, lo que permite una adaptación en bucle cerrado.
Este flujo bidireccional garantiza que la envolvente de seguridad urbana no quede confinada a una sola capa, sino que surja de la intersección coherente de las restricciones de seguridad simbólicas, espaciales y dinámicas.
Transformación hacia delante: de las reglas a las acciones
En la capa simbólica, la seguridad se codifica como un conjunto de objetivos de misión, normas de tráfico, principios éticos y políticas operativas. Algunos ejemplos son ceder el paso a los peatones en los pasos de cebra, respetar los límites de velocidad y evitar las zonas restringidas. Estas reglas definen comportamientos permitidos de alto nivel, pero no especifican cómo ejecutarlos geométrica o físicamente.
La capa espacial traduce estas restricciones simbólicas en márgenes geométricos de seguridad y trayectorias sin colisiones. Razona sobre el entorno en términos de ocupación, distancias de despeje y movimiento previsto de otros agentes.
Por ejemplo, la regla “ceder el paso al peatón” se transforma en la obligación de mantener una distancia lateral mínima de 0,5 metros y detenerse antes del paso de cebra si faltan menos de 2 segundos para que el peatón llegue. El planificador calcula una ruta que cumple estos márgenes espaciales y, al mismo tiempo, optimiza la eficiencia y el confort.
A continuación, la capa dinámica convierte la trayectoria planificada en órdenes de control físicamente realizables —dirección, frenado y aceleración— que respetan los límites de los actuadores, la fricción entre los neumáticos y la calzada, y la dinámica del vehículo. En esta fase, la seguridad se expresa como el mantenimiento de la estabilidad y el seguimiento de la trayectoria de referencia dentro de los límites establecidos.
Transformación mediante realimentación: de la ejecución a la consciencia
Las mediciones de los sensores actualizan el modelo dinámico con información sobre el comportamiento real del vehículo, las perturbaciones ambientales y los obstáculos inesperados. Este modelo físico actualizado informa al planificador espacial de las desviaciones respecto a la ruta prevista y de los cambios en la escena circundante.
Si el planificador detecta que la trayectoria original ya no está libre de colisiones —por ejemplo, porque un vehículo ha frenado de repente—, revisa el plan geométrico en consecuencia. A su vez, las desviaciones persistentes o importantes pueden activar una revisión de las decisiones simbólicas; por ejemplo, abortar un cambio de carril y volver a una maniobra segura de apartamiento.
Este bucle cerrado de realimentación garantiza que la seguridad siga respondiendo a la evolución de la situación real.
Aparición de la envolvente de seguridad urbana
Por tanto, la envolvente de seguridad urbana es la intersección de las restricciones propagadas a través de las tres capas. Un estado solo es seguro si satisface simultáneamente las reglas simbólicas, los criterios espaciales de ausencia de colisiones y los límites de viabilidad dinámica.
Aprender esta envolvente a partir de escenarios sintéticos informados por peligros permite al sistema autónomo anticipar cuándo se aproxima al límite de operación segura. Como los datos de entrenamiento se generan sistemáticamente en torno a tipos de peligro conocidos, el modelo aprendido captura el deterioro gradual de los márgenes de seguridad y permite intervenir de forma preventiva antes de que se produzca una vulneración.
Consideremos un robot de reparto en acera que se aproxima a una intersección con un peatón. Desde el punto de vista simbólico, el robot debe ceder el paso a cualquier peatón que cruce. Espacialmente, el planificador calcula una ruta que se detiene antes de la esquina ciega y mantiene una zona de seguridad. Dinámicamente, el controlador aplica una desaceleración suave dentro de los límites de par del motor.
Si el peatón aparece de repente más cerca de lo previsto, la realimentación de los sensores actualiza el estado dinámico, lo que lleva al planificador espacial a recalcular una trayectoria de detención más ajustada; el controlador adapta entonces la fuerza de frenado. Esta interacción continua ejemplifica la transformación de la seguridad entre capas.
En resumen, la jerarquía permite que cada capa razone utilizando la abstracción más adecuada para su función computacional, mientras que la propagación coherente de la información de seguridad garantiza que el sistema en su conjunto se mantenga seguro en todo momento.
Aplicación de la seguridad en tiempo de ejecución mediante Physical AI Harness
Las secciones anteriores describen cómo se representa la seguridad y cómo se transforma progresivamente entre múltiples capas de abstracción. Sin embargo, preservar el significado de la seguridad durante la ejecución exige algo más que una percepción, una planificación y un control correctos. Cuando los modelos de aprendizaje automático empiezan a generar decisiones en tiempo real, se necesita un mecanismo adicional que garantice que sus salidas sigan siendo coherentes con las restricciones de seguridad establecidas durante el diseño del sistema.
Physical AI Harness es una capa de software en tiempo de ejecución responsable de gobernar la ejecución de modelos de IA dentro de sistemas robóticos. A diferencia del middleware robótico convencional, que coordina principalmente la comunicación entre componentes de software, Physical AI Harness supervisa continuamente las decisiones generadas por la IA para garantizar que sigan siendo compatibles con las capacidades físicas del robot y con los requisitos operativos de su entorno.
El arnés se basa en tres mecanismos complementarios: Proyección, Aislamiento y Transferencia, o PIT. Cada uno aborda un aspecto diferente de la seguridad en tiempo de ejecución.
Proyección
La proyección restringe las salidas generadas por los modelos de aprendizaje automático antes de que el sistema robótico las ejecute. En lugar de permitir acciones arbitrarias, el arnés proyecta las órdenes previstas sobre una región predefinida de comportamiento aceptable.
En el marco de seguridad urbana propuesto, esta región aceptable corresponde de forma natural a la envolvente de seguridad urbana. Las órdenes de dirección, la velocidad del vehículo, los cambios de carril y las modificaciones de trayectoria solo se aceptan si permanecen dentro de los márgenes de seguridad derivados del análisis de peligros y del aprendizaje de la envolvente de seguridad.
Las órdenes que vulneran estas restricciones se modifican o rechazan antes de llegar al controlador.
Por tanto, la proyección representa el paso final de validación entre la toma de decisiones aprendida y la ejecución física.
Aislamiento
Los vehículos autónomos modernos ejecutan simultáneamente numerosos componentes de software, entre ellos percepción, localización, planificación, comunicación y control. Los modelos de aprendizaje automático compiten con frecuencia con estos componentes por los recursos computacionales, lo que puede degradar el rendimiento de las funciones críticas para la seguridad.
El aislamiento evita que las cargas de trabajo de IA interfieran con las funciones esenciales del vehículo mediante la asignación de recursos computacionales dedicados y la aplicación de presupuestos de ejecución. Esta separación preserva el comportamiento determinista
Preguntas frecuentes
¿Qué es una envolvente de seguridad urbana?
Representa el conjunto de condiciones operativas en las que un robot o vehículo autónomo puede interactuar de forma segura con su entorno.
¿Por qué se aprenden las envolventes de seguridad a partir de escenarios sintéticos de peligro?
Los escenarios informados por peligros concentran el entrenamiento en situaciones críticas para la seguridad y muestran a los modelos cómo se deterioran gradualmente los márgenes de seguridad antes de que se produzca una vulneración o una colisión.
¿En qué se diferencia la seguridad entre las tres capas del modelo del mundo?
La capa simbólica gestiona las reglas y restricciones legales; la capa espacial, la geometría y las rutas sin colisiones; y la capa dinámica, la viabilidad física y los límites de control.
¿Qué función desempeña Physical AI Harness?
Supervisa las decisiones generadas por la IA durante la ejecución para garantizar que sigan siendo compatibles con las capacidades físicas del robot y con los requisitos de seguridad del entorno.