CARVE: Reparo Certificado e Acessível de Manobras Vetadas via Envelopes para Direção Interativa

Resumo

A condução interativa expõe um modo de falha fácil de ser negligenciado em pilhas autônomas conscientes de regras: uma margem de regra rígida pode ser negativa para um candidato ego, mesmo que uma pequena acomodação legal por parte de um agente não prioritário restaurasse a viabilidade. Livros de regras, escudos e filtros de alcançabilidade existentes são eficazes em vetar ações inseguras, enquanto planejadores baseados em previsão modelam respostas prováveis. Nenhum retorna um objeto de prova em tempo de execução que indique qual edição multiagente limitada repara a manobra, de quem é a edição, se a solicitação é acessível em termos de direito de passagem e qual fallback do ego permanece se a solicitação não for atendida. Formulamos esse objeto ausente como *certificação de reparo interativo* e introduzimos *CARVE*, uma camada de certificação livre de previsão sobre uma rede finita de operadores táticos de propriedade do ego e do agente. Solicitações de propriedade do agente são admissíveis apenas dentro de \(B_j(s) = β(π_j)α_j^{\max}(s)\), um envelope de cooperação que separa a alcançabilidade cinemática da prioridade normativa. O certificado resultante registra a regra vinculante, a categoria de reparo, o conjunto de reparos, a divisão de custos ponderada por responsabilidade e o fallback. Em 589 episódios de replay INTERACTION fundamentados na geometria Lanelet2, o CARVE-Greedy aceita 98,64% das manobras inicialmente vetadas e recupera 370/378 falsos vetos resolvidos por humanos, preservando 589/589 respeito ao direito de passagem, zero falsos positivos de agente prioritário e 400/400 vetos de estresse negativo. Provamos a solidez do certificado, o respeito estrutural ao direito de passagem, a minimalidade exata da rede finita, a contingência de fallback e as condições de consistência de culpa. O CARVE não prevê nem exige a conformidade de outro motorista; ele certifica se uma interação proposta é limitada, atribuível e normativamente admissível sob suposições declaradas.

English

Interactive driving exposes a failure mode that is easy to miss in rule-aware autonomous-driving stacks: a hard-rule margin can be negative for an ego candidate even though a small lawful accommodation by a non-priority agent would restore feasibility. Existing rulebooks, shields, and reachability filters are strong at vetoing unsafe actions, while prediction-based planners model likely responses. Neither returns a runtime proof object that states which bounded multi-agent edit repairs the maneuver, who owns the edit, whether the request is right-of-way affordable, and what ego fallback remains if the request is not observed. We formulate this missing object as *interactive repair certification* and introduce *CARVE*, a prediction-free certificate layer over a finite lattice of ego-owned and agent-owned tactical operators. Agent-owned requests are admissible only inside \(B_j(s) = β(π_j)α_j^{\max}(s)\), a cooperation envelope that separates kinematic reachability from normative priority. The resulting certificate records the binding rule, repair category, repair set, responsibility-weighted cost split, and fallback. On 589 Lanelet2-geometry-grounded INTERACTION replay episodes, CARVE-Greedy accepts 98.64% of initially vetoed maneuvers and recovers 370/378 human-resolved false vetoes, while preserving 589/589 right-of-way respect, zero priority-agent false positives, and 400/400 negative-stress vetoes. We prove certificate soundness, structural right-of-way respect, exact finite-lattice minimality, fallback contingency, and blame-consistency conditions. CARVE does not predict or require another driver's compliance; it certifies whether a proposed interaction is bounded, attributable, and normatively admissible under declared assumptions.