Coverage-Driven Verification for Safety-by-Design in AI-Based Collision Avoidance Systems
تقترح هذه الورقة عملية هندسية منظمة لتقييم تمثيل مجالات التصميم التشغيلي (ODDs) في أنظمة سلامة الطيران القائمة على الذكاء الاصطناعي، وذلك باستخدام تباعد كولباك-ليبلر ومعامل كرامر "V" لتقييم تغطية البيانات كمياً مقابل معايير السلامة الخاصة بالوكالة الأوروبية لسلامة الطيران (EASA)، كما هو موضح من خلال عمليات محاكاة تجنب الاصطدام الجوي.
المؤلفون الأصليون:Thomas Stefani, Johann Maximilian Christensen, Elena Hoemann, Frank Köster, Sven Hallerbach
في السماء فوقنا، يُكتب مستقبل الطيران بلغة الأكواد البرمجية. وبينما يعد الذكاء الاصطناعي بجعل الطائرات أكثر أماناً وكفاءة، يظل هناك سؤال جوهري قائم: كيف نعرف أن هذه الأنظمة الذكية ستتصرف بشكل صحيح عندما يحدث أمر غير متوقع؟ تكمن الإجابة ليس فقط في اختبار البرمجيات، بل في فهم العالم الذي صُممت هذه البرمجيات للتنقل فيه. كل نظام ذكي يعمل ضمن مجموعة محددة من الظروف، وهي مساحة معرفة من الاحتمالات تُعرف باسم "نطاق التصميم التشغيلي". بالنسبة لنظام تجنب الاصطدام، يشمل هذا النطاق كل شيء، بدءاً من سرعة الطائرة وصولاً إلى المسافة بينها وبين طائرة أخرى. وتتطلب الهيئات التنظيمية للسلامة دليلاً على أن البيانات المستخدمة لتدريب واختبار هذه الأنظمة تمثل العالم الحقيقي حقاً. فإذا كانت بيانات التدريب منحازة أو غير مكتملة، فقد يفشل النظام عندما يواجه موقفاً لم يره من قبل. ويتمثل التحدي الذي يواجه المهندسين في إثبات أن بياناتهم تغطي النطاق الكامل للسيناريوهات المحتملة، وأن تواتر تلك السيناريوهات يطابق الواقع، وهي مهمة تصبح صعبة للغاية عند التعامل مع ملايين النقاط البيانية والمساحات المعقدة عالية الأبعاد.
لقد طور فريق من الباحثين في مركز الفضاء الألماني طريقة جديدة لحل هذه المشكلة، وتحديداً لأنظمة تجنب الاصطدام القائمة على الذكاء الاصطناعي. وقد ركزوا على نظامين محددين: أحدهما يتعامل مع المناورات الأفقية لتجنب الاصطدام، والآخر يدير عمليات الصعود والهبوط الرأسي. تعتمد هذه الأنظمة على شبكات عصبية تتخذ قرارات في أجزاء من الثانية بناءً على مدخلات مثل السرعة النسبية، والمسافة، والوقت المتبقي لأقرب نقطة اقتراب. أخذ الباحثون ملايين سيناريوهات الطيران المحاكاتية المتولدة من تجارب سابقة وطرحوا سؤالاً بسيطاً ولكنه عميق: هل تبدو البيانات التي لدينا حقاً مثل العالم الذي نتوقع الطيران فيه؟ لم يكتفوا فقط بعدّ عدد المواقف المختلفة التي تم اختبارها؛ بل فحصوا الشكل الإحصائي للبيانات لمعرفة ما إذا كان يطابق التوزيع المنشود. وفي عمليات المحاكاة الخاصة بهم، وجدوا أنه بينما غطت بعض مجموعات البيانات النطاق الكامل للقيم الممكنة، إلا أن طريقة توزيع تلك القيم كانت غالباً خاطئة. فعلى سبيل المثال، في أحد الأنظمة، أظهرت البيانات أن الطائرات كانت تطير دائماً تقريباً على ارتفاع مستقر، في حين افترض نموذج السلامة تنوعاً أكبر بكثير في سلوكيات الصعود والهبوط. هذا التباين يعني أن النظام كان يتم اختباره على نسخة مشوهة من الواقع، مما قد يجعله غير مستعد للأحداث النادرة ولكن الخطيرة.
ولقياس هذا التباين، قيم الفريق عدة أدوات إحصائية. جربوا أولاً طريقة تقليدية تُعرف باختبار "كا مربع" (chi-squared test)، والتي تُستخدم غالباً لمقارنة مجموعات البيانات. ومع ذلك، اكتشفوا أن هذه الأداة تنهار عند مواجهة الكميات الهائلة من البيانات الناتجة عن عمليات المحاكاة الحديثة. ولأن الاختبار حساس جداً لحجم العينة، فقد اعتبر حتى الاختلافات الضئيلة وغير الضارة أخطاءً جسيمة، وكأنه يصرخ بأن البيانات خاطئة بينما كانت في الواقع جيدة جداً. أدى هذا بالباحثين إلى رفض الاختبار التقليدي لهذا التطبيق المحدد. بدلاً من ذلك، اعتمدوا مقياسين أكثر قوة يمكنهما التعامل مع مجموعات البيانات الكبيرة دون أن يخدعهما حجمها الهائل. عملت هذه المقاييس مثل الميزان، حيث تزن الفرق بين البيانات المرصودة والتوزيع المستهدف المتوقع لمعرفة ما إذا كانت الفجوة كبيرة أم مجرد تقلب طفيف. وباستخدام هذه الأدوات، استطاعوا التمييز بين البيانات التي كانت مختلفة فحسب، والبيانات التي كانت غير ممثلة للواقع بشكل خطير.
كشفت نتائج تحليلهم عن انقسام واضح بين نوعين من التغطية. النوع الأول، الذي يسموا به "الاكتمال"، يسأل ببساطة عما إذا تم لمس كل سيناريو ممكن لمرة واحدة على الأقل. أما النوع الآخر، وهو "التمثيل"، فيسأل عما إذا كانت السيناريوهات تظهر بالنسب الصحيحة. وجد الباحثون أن مجموعة البيانات يمكن أن تكون كاملة —أي تغطي كل ركن من أركان المساحة التشغيلية— ومع ذلك تفشل في اختبار التمثيل لأن البيانات متمركزة في الأماكن الخاطئة. في حالة محددة تتعلق بالوقت المتبقي لاصطدام محتمل، طابقت البيانات تماماً التوزيع المنتظم المتوقع، مما منحها تقييماً ممتازاً. وفي حالة أخرى تتعلق بالسرعة الرأسية، كانت البيانات متمركزة بكثافة حول الصفر، مما يعني فشلها في تمثيل عمليات الصعود والهبوط القصوى التي يحتاج النظام إلى الاستعداد لها. هذا التمييز حيوي للغاية: فامتلاك بيانات لكل موقف ممكن ليس كافياً إذا كانت البيانات لا تعكس مدى تكرار حدوث تلك المواقف في العالم الحقيقي.
يخلص البحث إلى أن المقياس الواحد لا يكفي لضمان السلامة. بدلاً من ذلك، يتطلب الأمر عملية من خطوتين. أولاً، يجب على المهندسين التأكد من أن البيانات تملأ كامل المساحة التشغيلية، والتحقق من عدم وجود فجوات. ثياً، يجب عليهم التحقق من أن البيانات تتبع الشكل الإحصائي الصحيح، باستخدام المقاييس الجديدة للتأكد من أن التوزيع يطابق متطلبات السلامة. يوفر هذا النهج طريقة مهيكلة للتحقق من صحة أنظمة الذكاء الاصطناعي، والانتقال من مجرد الاختبار البسيط إلى ضمان إحصائي أعمق. ومن خلال تطبيق هذه الطريقة على محاكاة تجنب الاصطدام، أثبت الباحثون أنه من الممكن التقييم الكمي لما إذا كان نظام الذكاء الاصطناعي يتم تدريبه على صورة عادلة ودقيقة للسماء. يقدم عملهم مساراً للمنظمين والمهندسين لاعتماد أنظمة الذكاء الاصطناعي بثقة، وضمان أن التكنولوجيا التي تحمي رحلاتنا المستقبلية مبنية على أساس من البيانات التي تمثل حقاً العالم الذي ستحلق فيه.
ملخص تقني: التحقق القائم على التغطية من أجل التصميم الآمن في أنظمة تجنب الاصطدام القائمة على الذكاء الاصطناائي
بيان المشكلة يواجه دمج الذكاء الاصطناعي (AI) وتعلم الآلة (ML) في الأنظمة الجوية الحرجة للسلامة، مثل أنظمة تجنب الاصطدام، عقبات تنظيمية كبيرة. تفرض الوكالة الأوروبية لسلامة الطيران (EASA) على المطورين إثبات "اكتمال وتمثيلية" نطاق التصميم التشغيلي (ODD) وتوزيعات البيانات المستخدمة في عملية التحقق. وبينما تناولت الأبحاث السابقة "اكتمال" تغطية نطاق التصميم التشغيلي (ضمان اختبار جميع مجموعات المعلمات)، إلا أن هناك نقصاً في العمليات الهندسية المنظمة لتقييم "التمثيلية" (ضمان اتباع البيانات للتوزيعات التشغيلية المقررة). تعتمد الطرق الحالية غالباً على مقاييس التغطية الهندسية أو الاختبارات الإحصائية التي تعاني من مشكلات تتعلق بقابلية التوسع في المساحات عالية الأبعاد، أو تفشل في التمييز بين مجرد وجود البيانات وبين دقة التوزيع. وتحديداً، فإن اختبارات جودة المطابقة القياسية مثل اختبار "كا مربع" (Chi-squared) عرضة لمشكلة "تضخم العينات الكبيرة"، حيث ترفض الفرضيات الصفرية لوجود انحرافات طفيفة فقط بسبب أحجام مجموعات البيانات الضخمة، مما يجعلها غير مناسبة لعمليات التحقق القائمة على المحاكاة الحديثة.
المنهجية يقترح المؤلفون حلقة تقييم تغطية مكونة من خطوتين ومنظمة تتماشى مع إطار ضمان التعلم الخاص بـ EASA (تحديداً MOC DM-07-2 وDM-08). تعمل هذه العملية بشكل تسلسلي:
تعريف التوزيع المستهدف: يجب على المهندسين أولاً تحديد توزيع مستهدف لكل معلمة من معلمات نطاق التصميم التشغيلي (ODD). ويتم اشتقاق هذا التوزيع من بيانات العالم الحقيقي، أو بيانات المحاكاة التمثيلية، أو الافتراضات الإحصائية المدفوعة بالفيزياء (مثل التوزيعات المنتظمة أو الطبيعية)، أو الخبرة البشرية. ويتم توثيق مصدر ومنطق كل توزيع لضمان إمكانية التتبع.
تقييم التمثيلية: تتم مقارنة مجموعة بيانات التحقق المتاحة مع هذه التوزيعات المستهدفة باستخدام بوابة من مرحلتين:
المرحلة الأولى: بوابة تغطية الفئات (Bin-Coverage Gate): تضمن احتواء كل فئة في تقسيم المعلمة على عينة واحدة على الأقل (تغطية فئات بنسبة 100%). إذا فشلت هذه المرحلة، يتم إيقاف التحليل التوزيعي لأن التقسيم ليس ممتلئاً بالكامل.
المرحلة الثانية: تقييم التباعد (Divergence Evaluation): إذا كانت تغطية الفئات كافية، تتم مقارنة توزيع مجموعة البيانات مع التوزيع المستهدف باستخدام مقياسين متكاملين:
تباعد كولباك - ليبلر (KL Divergence): وهو مقياس معلوماتي يحدد كمية فقدان المعلومات عند تقريب التوزيع المستهدف باستخدام البيانات المرصودة. وهو حساس لاختلافات الشكل والذيل.
معامل كرامر (Cramér's V): وهو مقياس لحجم الأثر مشتق من إحصائية "كا مربع" ولكن يتم تطبيعه بالنسبة لحجم العينة ودرجات الحرية. يعالج هذا المقياس مشكلة "تضخم العينات الكبيرة"، حيث يوفر مقياساً محدوداً لمقدار الانحراف بشكل مستقل عن حجم مجموعة البيانات.
يرفض المؤلفون صراحةً اختبار "كا مربع" الخام كمعيار لاتخاذ القرار في مجموعات البيانات الكبيرة لأن قيم p الخاصة به تصبح غير ذات أهمية مع زيادة حجم العينة (n)، مما يجعلها غير قادرة على التمييز بين الانحرافات الطفية. وبدلاً من ذلك، يستخدمون معامل كرامر لتقييم مقدار الانحراف.
دراسة الحالة والنتائج طُبقت المنهجية على بيانات تجريبية من نظامين لتجنب الاصطدام يعتمدان على الذكاء الاصطناعي: نظام تجنب الاصطدام الأفقي (HCAS) ونظام تجنب الاصطدام الرأسي (VCAS)، باستخدام 1.97 مليون صف من سيناريوهات المحاكاة.
التحقق من المقياس: أكد تحليل الحساسية لمعلمة "الوقت حتى أقرب نقطة اقتراب" (τ) أن اختبار "كا مربع" أعطى قيم p قريبة من الصفر بغض النظر عن عدد الفئات، مما أدى للفشل في التمييز بين المطابقات الجيدة والسيئة. في المقابل، ظل معامل كرامر مستقراً وأقل من عتبة "اللا مبالاة"، مما حدد بدقة جودة المطابقة الممتازة.
نتائج التغطية:
المطابقة الممتازة: أظهرت معلمات مثل τ (في VCAS) والمدى (ρ)، وسرعة الجسم المتداخل (vint)، وτ (في HCAS) تباعد كولباك - ليبلر منخفض وقيم كرامر منخفضة، مما يشير إلى تمثيلية قوية.
رؤية رئيسية: سلطت الدراسة الضوء على أن "استغلال المدى" العالي (على سبيل المثال 92.96% للمعلمة h) و"تغطية الفئات" العالية (89.65%) لا يضمنان التمثيلية. فعلى سبيل المثال، غطت المعلمة h كامل نطاق الـ ODD تقريباً، لكنها كانت مركزة بشدة بالقرب من الصفر، مما أدى لانحراف حاد عن التوزيع الطبيعي المفترض. نتج عن ذلك تصنيف "فشل" لتباعد كولباك - ليبلر (1.0382) رغم ارتفاع مقاييس التغطية، مما يثبت أن التغطية والتمثيلية صفتان متمايزتان.
التباين في المقاييس: بالنسبة للمعلمات ذات الفئات الشحيحة (مثل ψ)، تضخم تباعد كولباك - ليبلر بسبب مساهمات الفئات الفارغة، مما أدى لتصنيفها كـ "فشل"، بينما صنفها معامل كرامر أيضاً كـ "فشل"، مما أكد وجود عدم تطابق جوهري. أما بالنسبة لمعلمات أخرى (مثل h)، فقد صنف تباعد كولباك - ليبلر الحالة كـ "فشل" بسبب الحساسية للفئات الفارغة، بينما صنفها معامل كرامر كـ "جيد" أو "متوسط"، مما يوضح الطبيعة التكاملية لهذين المقياسين.
المساهمات الرئيسية والأهمية يدعي البحث أنه يقدم منهجية عامة وقابلة لإعادة الاستخدام لتقييم تمثيلية نطاق التصميم التشغيلي (ODD) بما يتماشى مع توجيهات EASA الناشئة للسلامة. وتتمثل مساهماته الرئيسية في:
تدفق العمليات: تدفق هندسي محدد (الشكل 2) لاشتقاق التوزيعات المستهدفة من مصادر متنوعة (البيانات، المحاكاة، الافتراضات، الخبرة) لدعم إمكانية التتبع.
اختيار المقاييس: تحديد عدم ملاءمة اختبار "كا مربع" للتحقق من الذكاء الاصطناعي واسع النطاق، واقتراح نهج مزدلي المقاييس (تباعد كولباك - ليبلر ومعامل كرامر) لتقييم التمثيلية التوزيعية بقوة.
معيار المرحلتين: إنشاء حلقة تقييم تسلسلية حيث يجب إرساء تغطية الفئات قبل تقييم التباعد التوزيعي، لضمان الموثوقية الإحصائية.
التوافق مع "التصميم الآمن": تعمل المنهجية على تفعيل مبادئ EASA لـ "السلامة بالتصميم" من خلال توفير آلية كمية للتحقق من أن بيانات التحقق تعكس البيئة التشغيلية المقصودة بشكل كافٍ، متجاوزةً مجرد التغطية التوافقية البسيطة.
القصور والعمل المستقبلي حافظ المؤلفون على موقف متواضع، مشيرين إلى أن المنهية الحالية تعالج فقط ركيزة "التمثيلية"، بينما تُعامل "الاكتمال التوافقي" بشكل منفصل. كما أقروا بأن بوابة تغطية الفئات الحالية تتطلب فقط حداً أدنى من الإشغال، وهو ما قد لا يضمن الموثوقية الإحصائية لتقديرات التكرار. علاوة على ذلك، فإن عتبات القبول لتباعد كولباك - ليبلر ومعامل كرامر هي حالياً استدلالية ونوعية؛ ويجب في العمل المستقبلي ربطها بمستويات محددة ذات صلة بالسلامة من أجل الاعتماد الرسمي. وأخيراً، فإن الاعتماد على التوزيعات المستهدفة المفترضة (مثل التوزيع الطبيعي أو المنتظم) يعد قيداً؛ حيث يقترح المؤلفون أن النسخ المستقبلية يجب أن تستخدم توزيعات تجريبية مشتقة من بيانات المراقبة الفعلية لتعزيز ادعاء التمثيلية.