Sintesi Tecnica: Reimmaginare l'ISO 26262 nell'Era dei Veicoli Autonomi

Definizione del Problema

Lo standard ISO 26262 fornisce un quadro completo per la sicurezza funzionale nei veicoli stradali, fondamentalmente basato su un paradigma guidato dall'uomo. Il suo modello di valutazione del rischio si basa su tre parametri: Severità (S), Esposizione (E) e Controllabilità (C). Il parametro "Controllabilità" stima specificamente la probabilità che un conducente umano possa mitigare un evento pericoloso attraverso una reazione tempestiva.

Questa assunzione centrata sul conducente diventa invalida per i veicoli autonomi (AV) di livello SAE 4 e 5, dove non è disponibile alcun operatore umano per intervenire durante il compito di guida dinamica. Di conseguenza, la tradizionale metrica di Controllabilità non può essere applicata direttamente ai sistemi senza conducente. Il documento identifica una lacuna critica: gli standard esistenti mancano di un metodo sistematico per scomporre e quantificare la "controllabilità" in assenza di un conducente umano, rendendo necessaria una reinterpretazione di come la mitigazione del pericolo e il controllo situazionale vengano valutati per i sistemi autonomi.

Metodologia

Gli autori propongono un'estensione metodologica dell'ISO 26262 che scompone il segnaposto della Controllabilità in due sottodimensioni auditabili e misurabili: Trasferibilità e Prevedibilità. Queste dimensioni sono progettate per completare, piuttosto che sostituire, i processi esistenti dell'ISO 26262 e allinearsi con l'ISO/PAS 21448 (SOTIF).

1. Trasferibilità (Capacità a livello di sistema)

La Trasferibilità ridefinisce la Controllabilità da una reazione umana a una capacità di sistema. È formalmente definita come la capacità di un AV di eseguire una transizione sicura e tempestiva dalla guida autonoma primaria a un meccanismo di fallback dedicato entro l'Intervallo di Tempo Tollerabile al Guasto (FTTI), raggiungendo una condizione di rischio minimo senza introdurre nuovi pericoli.

• Formalizzazione: La Trasferibilità ($T$) è modellata come una funzione del contesto operativo: $T = T(o, f, s, m, \tau_{FTTI})$, dove $o$ è la fetta di Dominio Operativo (ODD), $f$ è la famiglia di guasti, $s$ è lo stato della scena, $m$ è la classe di Manovra a Rischio Minimo (MRM) e $\tau_{FTTI}$ è l'intervallo temporale.
• Tupla di Evidenza ($E_T$): Le affermazioni sono supportate da una specifica tupla di evidenza che registra la latenza di rilevamento, la latenza di inizio, il tempo di successo della MRM, la conformità alla zona di arresto e la probabilità di successo per singola richiesta con intervalli di confidenza.
• Gap tra Progettato e Raggiungibile ($\Delta T$): Il documento introduce una metrica per distinguere tra le affermazioni di fallback architettonico ($T_{designed}$) e la capacità raggiungibile condizionata dalla scena ($T_{achievable}$). Il gap $\Delta T = T_{achievable} - T_{designed}$ è calcolato su una scala ordinale ($T_0$ a $T_3$) per identificare dove i limiti ambientali o contestuali degradano le prestazioni al di sotto delle aspettative di progettazione.
• Classificazione: La Trasferibilità è classificata in quattro livelli ($T_0$–$T_3$) in base al limite inferiore di confidenza della probabilità di successo della MRM, condizionato a specifiche fette di ODD e famiglie di guasti.

2. Prevedibilità (Dimensione di Interazione Esterna)

La Prevedibilità affronta la sicurezza delle interazioni tra l'AV e gli utenti della strada esterni (pedoni, ciclisti, altri conducenti). Quantifica l'estensione in cui questi agenti esterni possono anticipare il comportamento futuro prossimo dell'AV basandosi su moto osservabile, segnali e contesto prima di dover impegnare la propria risposta.

• Formalizzazione: La Prevedibilità è definita tramite un modello di riferimento del moto atteso ($p_{ref}$) e un modello di osservatore per l'inferenza degli obiettivi ($p(g | \xi_{0:t}, c, a)$).
• Vettore Monitor ($M_P$): La Prevedibilità è valutata attraverso quattro canali diagnostici:
  1. Conformità Contestuale ($Q_{conf}$): Misura quanto bene la traiettoria si adatta alla distribuzione di riferimento dichiarata.
  2. Chiarezza dell'Intento ($S_{intent}$): Quantifica la riduzione dell'ambiguità nell'inferenza dell'obiettivo dell'osservatore (basata sull'entropia di Shannon).
  3. Consistenza del Segnale ($S_{signal}$): Valuta l'allineamento tra indicatori di direzione, luci dei freni e moto effettivo.
  4. Sorpresa Cinetica ($S_{kin}$): Rileva scatti inspiegabili, frenate brusche o esitazioni.
• Aggregazione: Questi canali sono aggregati in una classe ordinale ($P_0$–$P_3$) utilizzando una regola del "canale peggiore", in cui un singolo fallimento in un canale può degradare la classe complessiva.

3. Controllabilità Potenziata Unificata ($C_u$)

Il documento propone un calcolo unificato per la Controllabilità in contesti senza conducente ($C_u$) componendo la Trasferibilità ($T$) e la Prevedibilità ($P$).

• Regola di Composizione: Gli autori suggeriscono una regola di penalità additiva: $C_u = \min(3, T + \Delta P)$, dove $\Delta P$ è una penalità derivata dalla classe di Prevedibilità.
• Integrazione: Questa classe unificata $C_u$ viene riportata insieme ai parametri standard di Severità ed Esposizione nella Hazard Analysis and Risk Assessment (HARA) come evidenza supplementare. Non sostituisce la determinazione normativa dell'ASIL, ma la informa con dati condizionati allo scenario e auditabili.

Principali Contributi

Il documento apporta tre contributi metodologici principali:

1. Formalizzazione della Trasferibilità: Estende il costrutto della Controllabilità per i contesti senza conducente valutando le prestazioni della Manovra a Rischio Minimo (MRM) rispetto agli Intervalli di Tempo Tollerabili al Guasto, introducendo il gap tra "Progettato e Raggiungibile" ($\Delta T$) per rendere le affermazioni di fallback falsificabili e tracciabili.
2. Stabilimento della Prevedibilità: Definisce la Prevedibilità come una dimensione quantificabile della sicurezza degli utenti della strada esterni, catturando sia la conformità ai modelli di moto attesi sia la chiarezza della comunicazione dell'intento, supportata da un vettore monitor a quattro canali.
3. Metodologie di Validazione: Propone criteri di accettazione e metodi di validazione specifici, inclusi i test di iniezione di guasti per la Trasferibilità e studi sugli osservatori umani (o modelli di osservatori calibrati) per la Prevedibilità, consentendo il loro utilizzo come metriche falsificabili all'interno dei cicli di vita della sicurezza ISO 26262 e SOTIF.

Risultati e Framework Proposto

Il documento non presenta risultati sperimentali empirici da un deployment specifico su un veicolo, bensì stabilisce un framework teorico e procedurale. I "risultati" sono le definizioni proposte, le formulazioni matematiche e i punti di integrazione:

• Tabelle di Classificazione: Il documento definisce classi di reporting non normative per la Trasferibilità ($T_0$–$T_3$) e la Prevedibilità ($P_0$–$P_3$) con criteri di accettazione qualitativi (ad es., $T_0$ richiede transizioni seamless e fail-operational; $P_0$ richiede che tutti i canali rimangano entro i limiti calibrati).
• Mappatura Unificata: Una tabella di mappatura (Tabella IV) dimostra come le combinazioni di classi di Trasferibilità e Prevedibilità portino a una classe di Controllabilità unificata ($C_0$–$C_3$), preservando la scala ordinale dell'ISO 26262.
• Emendamenti all'ISO 26262: Gli autori delineano emendamenti specifici e concisi attraverso le Parti 1–10 dell'ISO 26262. Questi includono l'aggiunta di definizioni per Trasferibilità e Prevedibilità, l'aggiornamento della HARA per registrare le valutazioni $T$ e $P$, e la richiesta di monitor indipendenti per il design del planner per evitare dipendenze circolari tra segnali di addestramento ed evidenza di sicurezza.

Significato e Rivendicazioni

Il documento sostiene che il proprio framework fornisca un percorso scalabile e basato su evidenze per certificare la sicurezza di sistemi altamente automatizzati (L4) e completamente autonomi (L5). La sua importanza risiede nel:

• Preservare gli Standard: Mantiene la struttura e l'intento dell'ISO 26262 estendendone l'applicabilità ai sistemi senza conducente, evitando la necessità di uno standard completamente nuovo.
• Unire le Discipline: Armonizza la sicurezza funzionale (ISO 26262) con la SOTIF (ISO 21448) quantificando sia il controllo intrinseco del sistema (Trasferibilità) che la comprensione esterna umana (Prevedibilità).
• Falsificabilità: Introducendo metriche misurabili come $\Delta T$ e il vettore monitor $M_P$, il framework rende le affermazioni di fallback e di interazione falsificabili e tracciabili attraverso specifiche fette di ODD, allontanandosi da affermazioni di sicurezza opache e aggregate.
• Indipendenza: Il documento sottolinea che il design del planner e l'evidenza di sicurezza devono rimanere indipendenti; l'uso delle metriche di Prevedibilità come ricompense per l'addestramento non deve compromettere la validità dell'evidenza del caso di sicurezza.

Gli autori dichiarano esplicitamente che queste proposte sono raccomandazioni di ricerca per gli organismi di standardizzazione e non costituiscono requisiti normativi né riflettono la posizione di conformità dei loro datori di lavoro. Riconoscono i limiti, notando che i target numerici sono specifici per scenario e richiedono ricalibrazione, e che il framework non propone di rilassare i requisiti ASIL sulla base di alti punteggi di Trasferibilità o Prevedibilità.