Resumen Técnico: Reimaginando la ISO 26262 en la Era de los Vehículos Autónomos

Planteamiento del Problema

El estándar ISO 26262 proporciona un marco integral para la seguridad funcional en vehículos de carretera, fundamentado esencialmente en un paradigma de conducción humana. Su modelo de evaluación de riesgos se basa en tres parámetros: Severidad (S), Exposición (E) y Controlabilidad (C). El parámetro de "Controlabilidad" estima específicamente la probabilidad de que un conductor humano pueda mitigar un evento peligroso mediante una reacción oportuna.

Esta suposición centrada en el conductor invalida para los vehículos autónomos (AV) de los niveles SAE 4 y 5, donde no hay un operador humano disponible para intervenir durante la tarea de conducción dinámica. En consecuencia, la métrica tradicional de Controlabilidad no puede aplicarse directamente a sistemas sin conductor. El documento identifica una brecha crítica: los estándares existentes carecen de un método sistemático para descomponer y cuantificar la "controlabilidad" en ausencia de un conductor humano, lo que requiere una reinterpretación de cómo se evalúan la mitigación de peligros y el control situacional para sistemas autónomos.

Metodología

Los autores proponen una extensión metodológica de la ISO 26262 que descompone el marcador de posición de la Controlabilidad en dos dimensiones subsidiarias auditables y medibles: Transferibilidad y Predictibilidad. Estas dimensiones están diseñadas para complementar, en lugar de reemplazar, los procesos existentes de la ISO 26262 y alinearse con la ISO/PAS 21448 (SOTIF).

1. Transferibilidad (Capacidad a Nivel de Sistema)

La Transferibilidad redefine la Controlabilidad de una reacción humana a una capacidad del sistema. Se define formalmente como la capacidad de un AV para ejecutar una transición segura y oportuna desde la autonomía primaria hacia un mecanismo de respaldo dedicado dentro del Intervalo de Tiempo de Tolerancia a Fallos (FTTI), logrando una condición de riesgo mínimo sin introducir nuevos peligros.

• Formalización: La Transferibilidad ($T$) se modela como una función del contexto operativo: $T = T(o, f, s, m, \tau_{FTTI})$, donde $o$ es una porción del Dominio de Diseño Operativo (ODD), $f$ es la familia de fallos, $s$ es el estado de la escena, $m$ es la clase de Maniobra de Riesgo Mínimo (MRM) y $\tau_{FTTI}$ es el intervalo de tiempo.
• Tupla de Evidencia ($E_T$): Las afirmaciones se sustentan mediante una tupla de evidencia específica que registra la latencia de detección, la latencia de iniciación, el tiempo de éxito de la MRM, el cumplimiento de la zona de parada y la probabilidad de éxito por demanda con intervalos de confianza.
• Brecha entre lo Diseñado y lo Lograble ($\Delta T$): El documento introduce una métrica para distinguir entre las afirmaciones de respaldo arquitectónico ($T_{diseñado}$) y la capacidad alcanzable condicionada por la escena ($T_{lograble}$). La brecha $\Delta T = T_{lograble} - T_{diseñado}$ se calcula en una escala ordinal ($T_0$ a $T_3$) para identificar dónde las limitaciones ambientales o contextuales degradan el rendimiento por debajo de las expectativas de diseño.
• Clasificación: La Transferibilidad se clasifica en cuatro niveles ($T_0$–$T_3$) basados en el límite inferior de confianza de la probabilidad de éxito de la MRM, condicionado a porciones específicas del ODD y familias de fallos.

2. Predictibilidad (Dimensión de Interacción Externa)

La Predictibilidad aborda la seguridad de las interacciones entre el AV y los usuarios de la vía externos (peatones, ciclistas, otros conductores). Cuantifica la medida en que estos agentes externos pueden anticipar el comportamiento futuro cercano del AV basándose en el movimiento observable, las señales y el contexto antes de que deban comprometerse con su propia respuesta.

• Formalización: La Predictibilidad se define mediante un modelo de referencia de movimiento esperado ($p_{ref}$) y un modelo de observador para la inferencia de objetivos ($p(g | \xi_{0:t}, c, a)$).
• Monitor de Vector ($M_P$): La Predictibilidad se evalúa a través de cuatro canales de diagnóstico:
  1. Conformidad Contextual ($Q_{conf}$): Mide qué tan bien la trayectoria se ajusta a la distribución de referencia declarada.
  2. Claridad de Intención ($S_{intent}$): Cuantifica la reducción de la ambigüedad en la inferencia de objetivos del observador (basado en la entropía de Shannon).
  3. Consistencia de Señales ($S_{signal}$): Evalúa la alineación entre las luces de giro, las luces de freno y el movimiento real.
  4. Sorpresa Cinemática ($S_{kin}$): Detecta sacudidas inexplicables, frenados bruscos o vacilaciones.
• Agregación: Estos canales se agregan en una clase ordinal ($P_0$–$P_3$) utilizando una regla de "peor canal", donde un solo fallo en un canal puede degradar la clase general.

3. Controlabilidad Mejorada Unificada ($C_u$)

El documento propone un cálculo unificado para la Controlabilidad en contextos sin conductor ($C_u$) mediante la composición de la Transferibilidad ($T$) y la Predictibilidad ($P$).

• Regla de Composición: Los autores sugieren una regla de penalización aditiva: $C_u = \min(3, T + \Delta P)$, donde $\Delta P$ es una penalización derivada de la clase de Predictibilidad.
• Integración: Esta clase unificada $C_u$ se reporta junto con los parámetros estándar de Severidad y Exposición en el Análisis de Peligros y Evaluación de Riesgos (HARA) como evidencia suplementaria. No reemplaza la determinación normativa del ASIL, sino que lo informa con datos auditables y condicionados por escenarios.

Principales Contribuciones

El documento realiza tres contribuciones metodológicas principales:

1. Formalización de la Transferibilidad: Extiende el constructo de Controlabilidad para contextos sin conductor evaluando el rendimiento de la Maniobra de Riesgo Mínimo (MRM) frente a los Intervalos de Tiempo de Tolerancia a Fallos, introduciendo la brecha entre "lo Diseñado y lo Lograble" ($\Delta T$) para hacer que las afirmaciones de respaldo sean falsables y trazables.
2. Establecimiento de la Predictibilidad: Define la Predictibilidad como una dimensión cuantificable de la seguridad de los usuarios de la vía externos, capturando tanto la conformidad con los patrones de movimiento esperados como la claridad de la comunicación de intención, respaldada por un monitor de vector de cuatro canales.
3. Metodologías de Validación: Propone criterios de aceptación y métodos de validación específicos, incluyendo pruebas de inyección de fallos para la Transferibilidad y estudios de observadores humanos (o modelos de observadores calibrados) para la Predictibilidad, permitiendo su adopción como métricas falsables dentro de los ciclos de vida de seguridad de ISO 26262 y SOTIF.

Resultados y Marco Propuesto

El documento no presenta resultados experimentales empíricos de un despliegue específico en un vehículo, sino que establece un marco teórico y procedimental. Los "resultados" son las definiciones propuestas, las formulaciones matemáticas y los puntos de integración:

• Tablas de Clasificación: El documento define clases de reporte no normativas para la Transferibilidad ($T_0$–$T_3$) y la Predictibilidad ($P_0$–$P_3$) con criterios de aceptación cualitativos (por ejemplo, $T_0$ requiere transiciones sin fallos y operativas; $P_0$ requiere que todos los canales permanezcan dentro de los límites calibrados).
• Mapeo Unificado: Una tabla de mapeo (Tabla IV) demuestra cómo las combinaciones de clases de Transferibilidad ($T$) y Predictibilidad ($P$) resultan en una clase de Controlabilidad unificada ($C_0$–$C_3$), preservando la escala ordinal de la ISO 26262.
• Enmiendas a la ISO 26262: Los autores esbozan enmiendas específicas y concisas a través de las Partes 1 a 10 de la ISO 26262. Estas incluyen la adición de definiciones para Transferibilidad y Predictibilidad, la actualización del HARA para registrar las calificaciones de $T$ y $P$, y el requerimiento de monitores independientes para el diseño del planificador para evitar dependencias circulares entre las señales de entrenamiento y la evidencia de seguridad.

Significado y Reivindicaciones

El documento sostiene que su marco proporciona una vía escalable y basada en evidencia para certificar la seguridad de los sistemas altamente automatizados (L4) y totalmente autónomos (L5). Su importancia radica en:

• Preservación de Estándares: Mantiene la estructura e intención de la ISO 26262 mientras extiende su aplicabilidad a sistemas sin conductor, evitando la necesidad de un estándar completamente nuevo.
• Puente entre Disciplinas: Armoniza la seguridad funcional (ISO 26262) con SOTIF (ISO 21448) al cuantificar tanto el control intrínseco del sistema (Transferibilidad) como la comprensión humana externa (Predictibilidad).
• Falsabilidad: Al introducir métricas medibles como $\Delta T$ y el monitor de vector $M_P$, el marco hace que las afirmaciones de respaldo e interacción sean falsables y trazables a través de porciones específicas del ODD, alejándose de las afirmaciones de seguridad agregadas y opacas.
• Independencia: El documento enfatiza que el diseño del planificador y la evidencia de seguridad deben permanecer independientes; utilizar las métricas de Predictibilidad como recompensas de entrenamiento no debe comprometer la validez de la evidencia del caso de seguridad.

Los autores declaran explícitamente que estas propuestas son recomendaciones de investigación para organismos de estandarización y no constituyen requisitos normativos ni reflejan la postura de cumplimiento de sus empleadores. Reconocen limitaciones, señalando que los objetivos numéricos son específicos de cada escenario y requieren recalibración, y que el marco no propone relajar los requisitos ASIL basándose en puntuaciones altas de Transferibilidad o Predictibilidad.