Resumo Técnico: Reimaginando a ISO 26262 na Era dos Veículos Autônomos

Declaração do Problema

A norma ISO 26262 fornece uma estrutura abrangente para a segurança funcional em veículos de estrada, fundamentada essencialmente em um paradigma conduzido por humanos. Seu modelo de avaliação de risco baseia-se em três parâmetros: Severidade (S), Exposição (E) e Controlabilidade (C). O parâmetro "Controlabilidade" estima especificamente a probabilidade de um motorista humano mitigar um evento perigoso por meio de uma reação oportuna.

Essa premissa centrada no motorista torna-se inválida para veículos autônomos (AVs) de SAE Níveis 4 e 5, onde nenhum operador humano está disponível para intervir durante a tarefa de condução dinâmica. Consequentemente, a métrica tradicional de Controlabilidade não pode ser aplicada diretamente a sistemas sem motorista. O artigo identifica uma lacuna crítica: os padrões existentes carecem de um método sistemático para decompor e quantificar a "controlabilidade" na ausência de um motorista humano, necessitando de uma reinterpretação de como a mitigação de perigos e o controle situacional são avaliados para sistemas autônomos.

Metodologia

Os autores propõem uma extensão metodológica à ISO 26262 que decompõe o marcador de posição de Controlabilidade em duas subdimensões auditáveis e mensuráveis: Transferibilidade e Previsibilidade. Essas dimensões são projetadas para complementar, em vez de substituir, os processos existentes da ISO 26262 e alinhar-se com a ISO/PAS 21448 (SOTIF).

1. Transferibilidade (Capacidade do Sistema)

A Transferibilidade redefine a Controlabilidade de uma reação humana para uma capacidade do sistema. É formalmente definida como a capacidade de um AV executar uma transição segura e oportuna da autonomia primária para um mecanismo de fallback dedicado dentro do Intervalo de Tempo de Tolerância a Falhas (FTTI), alcançando uma condição de risco mínimo sem introduzir novos perigos.

• Formalização: A Transferibilidade ($T$) é modelada como uma função do contexto operacional: $T = T(o, f, s, m, \tau_{FTTI})$, onde $o$ é um recorte do Domínio de Operação (ODD), $f$ é a família de falhas, $s$ é o estado da cena, $m$ é a classe de Manobra de Risco Mínimo (MRM) e $\tau_{FTTI}$ é o intervalo de tempo.
• Tupla de Evidência ($E_T$): As alegações são sustentadas por uma tupla de evidência específica registrando latência de detecção, latência de iniciação, tempo de sucesso da MRM, conformidade com a zona de parada e a probabilidade de sucesso por demanda com intervalos de confiança.
• Lacuna entre Projetado vs. Alcançável ($\Delta T$): O artigo introduz uma métrica para distinguir entre alegações de fallback arquitetural ($T_{projetado}$) e capacidade alcançável condicionada à cena ($T_{alcançável}$). A lacuna $\Delta T = T_{alcançável} - T_{projetado}$ é calculada em uma escala ordinal ($T_0$ a $T_3$) para identificar onde as limitações ambientais ou contextuais degradam o desempenho abaixo das expectativas de projeto.
• Classificação: A Transferibilidade é classificada em quatro níveis ($T_0$–$T_3$) com base no limite inferior de confiança da probabilidade de sucesso da MRM, condicionado a recortes específicos de ODD e famílias de falhas.

2. Previsibilidade (Dimensão de Interação Externa)

A Previsibilidade aborda a segurança das interações entre o AV e usuários externos da via (pedestres, ciclistas, outros motoristas). Ela quantifica a extensão em que esses agentes externos podem antecipar o comportamento futuro próximo do AV com base em movimento observável, sinais e contexto antes que precisem se comprometer com sua própria resposta.

• Formalização: A Previsibilidade é definida via um modelo de referência de movimento esperado ($p_{ref}$) e um modelo de observador para inferência de objetivo ($p(g | \xi_{0:t}, c, a)$).
• Monitor de Vetor ($M_P$): A Previsibilidade é avaliada através de quatro canais de diagnóstico:
  1. Conformidade Contextual ($Q_{conf}$): Mede o quão bem a trajetória se ajusta à distribuição de referência declarada.
  2. Clareza de Intenção ($S_{intent}$): Quantifica a redução da ambiguidade na inferência de objetivo do observador (baseada em entropia de Shannon).
  3. Consistência de Sinal ($S_{signal}$): Avalia o alinhamento entre sinais de curva, luzes de freio e o movimento real.
  4. Surpresa Cinemática ($S_{kin}$): Detecta solavancos inexplicáveis, frenagens bruscas ou hesitação.
• Agregação: Esses canais são agregados em uma classe ordinal ($P_0$–$P_3$) usando uma regra de "pior canal", onde uma única falha em um canal pode degradar a classe geral.

3. Controlabilidade Unificada Aprimorada ($C_u$)

O artigo propõe um cálculo unificado para a Controlabilidade em contextos sem motorista ($C_u$) combinando Transferibilidade ($T$) e Previsibilidade ($P$).

• Regra de Composição: Os autores sugerem uma regra de penalidade aditiva: $C_u = \min(3, T + \Delta P)$, onde $\Delta P$ é uma penalidade derivada da classe de Previsibilidade.
• Integração: Esta classe unificada $C_u$ é reportada junto aos parâmetros padrão de Severidade e Exposição na Análise de Perigos e Avaliação de Risco (HARA) como evidência suplementar. Ela não substitui a determinação normativa de ASIL, mas a informa com dados auditáveis e condicionados a cenários.

Principais Contribuições

O artigo apresenta três contribuições metodológicas principais:

1. Formalização da Transferibilidade: Estende o construto de Controlabilidade para contextos sem motorista ao avaliar o desempenho da Manobra de Risco Mínimo (MRM) contra os Intervalos de Tempo de Tolerância a Falhas, introduzindo a lacuna "Projetado vs. Alcançável" ($\Delta T$) para tornar as alegações de fallback falsificáveis e rastreáveis.
2. Estabelecimento da Previsibilidade: Define a Previsibilidade como uma dimensão quantificável da segurança dos usuários da via externos, capturando tanto a conformidade com padrões de movimento esperado quanto a clareza da comunicação de intenção, apoiada por um monitor de vetor de quatro canais.
3. Metodologias de Validação: Propõe critérios de aceitação e métodos de validação específicos, incluindo testes de injeção de falhas para Transferibilidade e estudos de observadores humanos (ou modelos de observadores calibrados) para Previsibilidade, permitindo sua adoção como métricas falsificáveis dentro dos ciclos de vida de segurança ISO 26262 e SOTIF.

Resultados e Estrutura Proposta

O artigo não apresenta resultados experimentais empíricos de uma implantação específica em veículos, mas estabelece uma estrutura teórica e procedimental. Os "resultados" são as definições propostas, formulações matemáticas e pontos de integração:

• Tabelas de Classificação: O artigo define classes de reporte não normativas para Transferibilidade ($T_0$–$T_3$) e Previsibilidade ($P_0$–$P_3$) com critérios de aceitação qualitativos (ex: $T_0$ requer transições seamlessly fail-operational; $P_0$ requer que todos os canais permaneçam dentro dos limites calibrados).
• Mapeamento Unificado: Uma tabela de mapeamento (Tabela IV) demonstra como combinações de classes de Transferibilidade e Previsibilidade resultam em uma classe de Controlabilidade unificada ($C_0$–$C_3$), preservando a escala ordinal da ISO 26262.
• Emendas à ISO 26262: Os autores delineiam emendas específicas e concisas em todas as Partes 1–10 da ISO 26262. Isso inclui adicionar definições para Transferibilidade e Previsibilidade, atualizar o HARA para registrar classificações de $T$ e $P$, e exigir monitores independentes para o design do planejador para evitar dependências circulares entre sinais de treinamento e evidência de segurança.

Significância e Alegações

O artigo afirma que seu framework fornece um caminho escalável e baseado em evidências para certificar a segurança de sistemas altamente automatizados (L4) e totalmente autônomos (L5). Sua significância reside em:

• Preservação de Padrões: Mantém a estrutura e a intenção da ISO 26262 enquanto estende sua aplicabilidade para sistemas sem motorista, evitando a necessidade de um novo padrão completo.
• Ponte entre Disciplinas: Harmoniza a segurança funcional (ISO 26262) com a SOTIF (ISO 21448) ao quantificar tanto o controle intrínseco do sistema (Transferibilidade) quanto a compreensão humana externa (Previsibilidade).
• Falsificabilidade: Ao introduzir métricas mensuráveis como $\Delta T$ e o monitor de vetor $M_P$, o framework torna as alegações de fallback e interação falsificáveis e rastreáveis através de recortes específicos de ODD, afastando-se de alegações de segurança agregadas e opacas.
• Independência: O artigo enfatiza que o design do planejador e a evidência de segurança devem permanecer independentes; usar métricas de Previsibilidade como recompensas de treinamento não deve comprometer a validade da evidência do caso de segurança.

Os autores declaram explicitamente que estas propostas são recomendações de pesquisa para órgãos de padronização e não constituem requisitos normativos ou refletem a postura de conformidade de seus empregadores. Eles reconhecem limitações, observando que os alvos numéricos são específicos de cada cenário e exigem recalibração, e que o framework não propõe relaxar os requisitos de ASIL com base em altas pontuações de Transferibilidade ou Previsibilidade.