Mga nadagdag:
- Kakayahang ipaliwanag ang ISO 26262 functional security at ISO 21448 (SOTIF) frameworks at ang mga epekto nito sa mga system na naglalaman ng artificial intelligence
- Kakayahang pamahalaan ang privacy ng data, data ng driver, cybersecurity (ISO/SAE 21434) at mga etikal na panganib sa konteksto ng automotive
- Kakayahang mapanatili ang responsibilidad ng tao para sa mga desisyong kritikal sa kaligtasan sa pamamagitan ng pag-unawa na ang output ng AI ay hindi kapalit ng karampatang pag-apruba ng engineer
Ikaw ay nasa pinakamahalagang yunit ng modyul na ito. Sa ngayon ay nakita natin ang AI bilang isang accelerator mula sa disenyo hanggang sa pagmamanupaktura, mula sa pagsubok hanggang sa supply chain. Ngunit ang mapagpasyang tanong sa automotive ay: makakapinsala ba ang sistemang ito sa sinuman at sino ang may pananagutan? Sinasaklaw ng unit na ito sa simpleng wika ang mga balangkas para sa responsableng paggamit ng AI sa isang industriyang kritikal sa kaligtasan—ang functional na kaligtasan, SOTIF, cybersecurity, privacy, at etika. Ang pangunahing prinsipyo ay nananatiling pare-pareho: Ang output ng AI ay hindi kailanman pinapalitan ang karampatang pag-apruba ng engineer; Ang desisyon at responsibilidad na kritikal sa seguridad ay pag-aari ng tao.
ISO 26262: kaligtasan sa pagganap
Ang ISO 26262 ay ang functional na pamantayan sa kaligtasan para sa mga electrical/electronic system ng mga sasakyan sa kalsada. Kaligtasan sa pagganap; Nababahala ito sa pagtiyak na kapag nabigo ang isang system (nasira ang isang sensor, nabigo ang isang software) hindi ito hahantong sa isang mapanganib na sitwasyon.
Sa gitna ng pamantayang ito ay ang ASIL (Automotive Safety Integrity Level). Ang isang panganib ay sinusuri sa tatlong dimensyon:
- Severity: Gaano kasama kung nangyari ito? (maliit na pinsala o kamatayan)
- Exposure: Gaano kadalas ito nangyayari?
- Controllability: Gaano kayang kontrolin ng driver ang sitwasyon?
Ang tatlong pinagsamang ito ay nagreresulta sa isang antas mula ASIL A (pinakamababa) hanggang ASIL D (pinakamataas, hal. pagpepreno, pagpipiloto). Habang tumataas ang antas, nagiging mas mahigpit ang mga kinakailangan sa pagbuo, pagsubok at dokumentasyon.
PANGUNAHING
sistema ng sample
Ang intensity ng kinakailangan
A.
Hindi gumagana ang panloob na ilaw
mababa
B.
ilaw sa likod
daluyan
C.
Ang ilang mga function ng ADAS
mataas
D.
Preno, manibela, airbag
pinakamataas
Tip: Ang pag-alam sa PANGUNAHING antas ng isang function ay nagsasabi sa iyo kung gaano karaming pansin ang kailangan gamit ang AI sa function na iyon. WALANG desisyon batay sa output ng AI sa isang function ang maaaring tanggapin nang walang independiyenteng pag-verify sa seguridad.
ISO 21448 (SOTIF): kaligtasan ng nilalayon na paggana
Nakatuon ang classical functional na kaligtasan (ISO 26262) sa tanong na "ano ang mangyayari kung nabigo ang system?" Ngunit mayroong isang bagong problema sa mga sistema ng pagtuklas ng artificial intelligence: kahit na hindi kailanman mag-malfunction ang system, maaaring hindi ito sapat. Ang camera ay gumagana nang maayos ngunit hindi makilala ang isang snowy slab; Ang radar ay solid, ngunit hindi nito pinapansin ang isang nakatigil na sasakyan bilang isang ghost signal. Walang hardware/software failure dito; Ang problema ay nasa limitasyon ng nilalayon na saklaw ng function.
Ang ISO 21448 - SOTIF (Safety Of The Intended Functionality) ay eksaktong tumutugon sa puwang na ito: pamamahala sa mga panganib na nagmumula sa mga hindi nakikilalang sitwasyon, mga limitasyon sa pagtuklas at mga hindi inaasahang sitwasyon, kahit na gumagana ang system ayon sa disenyo. Sa AI-based ADAS/autonomous driving, ang SOTIF ay kasing kritikal ng ISO 26262.
Frame
Focus
halimbawa
ISO 26262
Panganib dahil sa kabiguan
Nasira ang sensor, nawawala ang signal
ISO 21448 (SOTIF)
Panganib ng kakulangan/hindi pagkilala
Hindi nakikilala ng masungit na camera ang snowy slab
ISO/SAE 21434
seguridad sa cyber
Pag-atake ng system, pagmamanipula ng data
Mag-ingat: Ang mga modelo ng AI ay istatistika; Hindi nila magagarantiya na "makikita nila nang tama ang bawat sitwasyon". Nilalayon ng SOTIF na paliitin ang hindi kilalang mga mapanganib na senaryo sa mga likas na limitadong sistemang ito at bawasan ang natitirang panganib sa isang katanggap-tanggap na antas. "Ang modelo ay 99.9% tumpak" ay hindi isang patunay ng seguridad.
ISO/SAE 21434: cyber security
Ang mga nakakonekta at software-defined na sasakyan ay mahina sa cyber attack. Maaaring baguhin ng remote attacker ang brake command, magnakaw ng telemetry, o manlinlang sa detection model (adversarial attack: ginagawang mali ang pagkakakilala ng modelo sa pamamagitan ng paglalagay ng maliit na sticker sa isang plato). Ang ISO/SAE 21434 ay ang engineering framework para sa cybersecurity ng sasakyan. Sa konteksto ng artificial intelligence, dalawang panganib ang namumukod-tangi: panlilinlang sa modelo (adversarial) at pagkalason sa data ng pagsasanay (data poisoning). Ang mga sistema ng AI na kritikal sa seguridad ay dapat na masuri laban sa mga pag-atakeng ito.
Pagkapribado at personal na data
Ang modernong sasakyan ay isang "data center on wheels": lokasyon, gawi sa pagmamaneho, audio, kahit na cabin camera. Karamihan sa mga ito ay personal na data at sakop ng KVKK (Türkiye) at GDPR (Europe). Maaaring makilala ng VIN (chassis number) ang isang sasakyan at hindi direktang may-ari nito. Mga pangunahing prinsipyo:
- Pag-minimize ng data: Kolektahin lamang ang kailangan.
- Limitasyon ng layunin: Huwag gumamit ng data para sa mga layunin maliban sa layunin kung saan ito nakolekta.
- Anonymization/pseudonymization: Alisin o i-encode ang personal na nagpapakilalang impormasyon.
- Tahasang pahintulot at transparency: Dapat alam ng driver kung ano ang kinokolekta.
- Ligtas na imbakan at paglilipat.
Babala: Ang pagpapadala ng hilaw na VIN, history ng lokasyon, o gawi sa pagmamaneho sa isang pampublikong cloud AI tool ay maaaring parehong paglabag sa privacy at isang kontraktwal na panganib. Kapag nagtatrabaho sa data na ito, i-anonymize ito at gumamit ng isang institusyonal, protektado ng data na kapaligiran.
Etika at responsibilidad ng inhinyero
Ang artificial intelligence ay nagdadala ng ilang etikal na panganib:
- Pagkiling: Kung nangingibabaw ang data ng pagsasanay sa ilang partikular na kundisyon (hal. araw, matingkad na balat, ilang rehiyonal na kalsada), ang modelo ay maaaring hindi gumanap nang hindi maganda sa mga kundisyong kulang sa representasyon (gabi, iba't ibang kundisyon). Ito ay isang kahinaan.
- Sobrang kumpiyansa (automation bias): Ang mga tao ay walang taros na nagtitiwala sa automation at nilalampasan ang kanilang sariling paghuhusga. Kung ang test engineer ay huminto sa pagtingin sa hilaw na data dahil lang sa sinabi ng AI na "pass," ito ay isang mapanganib na kalakaran.
- Pagkawala ng responsibilidad: "Ang modelo ay nagpasya" ay hindi isang pagtatanggol. Dapat palaging may taong pumipirma sa likod ng desisyon.
Mini case study
Case 1 - limitasyon ng SOTIF. Ang isang awtomatikong emergency braking system ay pumasa sa lahat ng mga pagsubok sa laboratoryo, nang walang mga malfunctions. Sa bukid, sa mababang araw, napagkamalan ng isang puting trak ang trailer nito para sa langit at nahuli ang preno. Hindi ito isang malfunction, ngunit isang kahinaan sa SOTIF: buo ang system ngunit ang senaryo ay nasa labas ng limitasyon sa pagtuklas. Idinagdag ng team ang senaryo na ito sa test library at pinalalakas ang radar fusion. Konklusyon: "Walang kabiguan" ay hindi patunay ng kaligtasan; Ang kakulangan ay isang panganib din.
Kaso 2 - May kinikilingang data. Ang isang modelo ng pagtuklas ng pedestrian ay pangunahing sinanay sa data sa araw; Ang night recall ay makabuluhang mas mababa. Ang koponan ay nagbabalanse at nagsasanay muli ng data sa gabi at mahinang liwanag at nag-uulat ng mga sitwasyon sa gabi nang hiwalay. Konklusyon: Lumilikha ang hindi balanseng data ng isang nakamamatay na kahinaan sa ilang partikular na sitwasyon.
Kaso 3 - Pag-iwas sa paglabag sa privacy. Ang isang analyst ay malapit nang mag-paste ng data ng fleet sa isang pampublikong AI tool nang mapansin niyang naglalaman ang data ng mga hilaw na lokasyon ng VIN at GPS. Gumagana ito sa isang corporate environment sa pamamagitan ng pag-anonymize ng data (vehicle_01..arac_50 sa halip na VIN, code ng rehiyon sa halip na lokasyon). Resulta: Napigilan ng sandaling atensyon ang isang seryosong paglabag sa KVKK.
agarang mga template
Template 1 - PRIOR/preliminary assessment (draft):
Tungkulin: Isa kang functional na consultant sa kaligtasan. Gawain: Naghahanda ng draft para tumulong sa pagsusuri ng panganib at panganib para sa isang function. Konteksto: Function: awtomatikong emergency braking; urban at intercity.Constraint: eksaktong pagtatalaga ng ASIL; Magbigay ng isang listahan ng mga tanong at mga punto ng atensyon sa mga sukat ng kalubhaan / pagkakalantad / pagkontrol; ipahiwatig na ang huling pagtatalaga ay nakasalalay sa awtorisadong security engineer.Output: Sukat | tanong sa pagsusuri | talaan ng pansin.
Template 2 - SOTIF scenario scan:
Tungkulin: Isa kang eksperto sa SOTIF. Gawain: Maglista ng mga sitwasyon kung saan ang function ng pagtukoy ay maaaring 'buo ang sistema ngunit hindi sapat'. Konteksto: Camera + radar; mababang araw, niyebe, labasan ng lagusan, mga hindi pangkaraniwang bagay.Output: Sitwasyon | bakit kakulangan | rekomendasyon sa pagbabawas.
Template 3 - Kontrol sa privacy:
Tungkulin: Isa kang consultant sa proteksyon ng data (KVKK/GDPR). Gawain: Magsagawa ng pag-audit sa privacy bago magbahagi ng set ng data. Konteksto: Fleet telemetry; Ang mga column ay naglalaman ng VIN, GPS, driving score. Constraint: Aling mga field ang personal na data, paano dapat i-anonymize ang mga ito, ano ang hindi ko dapat ibahagi; sort.Output: Field | panganib | inirerekomendang tsart ng transaksyon.
Template 4 - Pagsusuri ng bias:
Tungkulin: Isa kang ML safety and fairness auditor. Gawain: Sabihin sa akin kung paano maghanap ng panganib ng bias sa isang modelo ng pagtuklas. Konteksto: Pagtuklas ng pedestrian; data ng pagsasanay na may timbang na araw/lungsod.Output: Kundisyon upang suriin | pagsukat | tanda ng panganib.
Mahinang prompt / Malakas na prompt
Mahinang prompt:
Ligtas ba itong autonomous braking system, kumpirmahin.
Ang pagsisikap na makakuha ng AI security clearance ay mapanganib; Ang pag-apruba ay pagmamay-ari ng awtorisadong engineer.
Napakahusay na prompt:
Tungkulin: Isa kang functional na kaligtasan at consultant ng SOTIF. Gawain: Ilista kung anong mga tanong ang dapat kong itanong at anong ebidensya ang dapat kong kolektahin sa pagtatasa ng kaligtasan ng aking awtomatikong pag-andar ng pagpepreno. Konteksto: AI-based detection; camera+radar; Maaaring mataas ang ASIL.Pagpigil: 'Aprubahan' ang sistema; Magbigay ng magkakahiwalay na listahan ng mga tanong at ebidensya sa mga tuntunin ng ISO 26262 (depekto) at SOTIF (kakulangan); Bigyang-diin na ang huling pag-apruba ay nakasalalay sa awtorisadong security engineer.Output: Framework | tanong | kinakailangang talahanayan ng ebidensya.
Mga karaniwang pagkakamali
- Nakalilito ang "walang malfunction" sa "safe". Ang kakulangan sa SOTIF ay maaaring pumatay nang hindi umaandar.
- Pagkuha ng AI security clearance. Ang pag-apruba at responsibilidad ay nakasalalay sa awtorisadong engineer.
- Napagkakamalang katumpakan ng modelo bilang patunay ng seguridad. Ang 99.9% na katumpakan ay hindi nagpapahiwatig na ang natitirang panganib ay pinamamahalaan.
- Hindi pinoprotektahan ang personal na data. Ang VIN/lokasyon/gawi sa pagmamaneho ay nasa saklaw ng KVKK/GDPR.
- Hindi pinapansin ang bias at sobrang kumpiyansa. Ang hindi balanseng data at bulag na pagtitiwala sa automation ay mga kahinaan.
Sa buod
- Ang ISO 26262 ay namamahala sa panganib dahil sa pagkabigo (na may ASIL), habang ang ISO 21448/SOTIF ay namamahala sa panganib ng pagkabigo nang walang kabiguan; Parehong kritikal sa AI detection.
- ISO/SAE 21434 cyber security; Ang mga adversarial at data poisoning attack ay mga banta na partikular sa AI.
- Ang pag-minimize ng data, limitasyon sa layunin at pag-anonymize ay sapilitan sa loob ng saklaw ng KVKK/GDPR; Ang VIN/lokasyon ay personal na data.
- Ang pagkiling, labis na kumpiyansa at pagkawala ng responsibilidad ang mga pangunahing panganib sa etika.
- Ang output ng AI ay hindi kapalit para sa pag-apruba ng kwalipikadong engineer; Ang desisyon at lagda na kritikal sa seguridad ay palaging pagmamay-ari ng tao.
Gawain ng aplikasyon
Pumili ng function na nauugnay sa kaligtasan (hal. pag-iingat ng lane). (1) Talakayin kung bakit ang antas ng ASIL ng function na ito ay maaaring mataas/mababa sa mga sukat ng kalubhaan/pagkakalantad/pagkontrol. (2) Bumuo ng 5 "system solid ngunit hindi sapat" na mga sitwasyon na may Template 2. (3) Pag-audit ng pagiging kumpidensyal ng isang nauugnay na dataset na may Template 3. (4) Ipaliwanag kung bakit hindi isang depensa ang pagsasabi ng "Nakumpirma ang modelo".
checklist
- [ ] Sinuri ko ang ACTUAL na sukat ng function (Iniwan ko ang eksaktong pagtatalaga sa awtoridad).
- [ ] Ginawa ko ang pagkakaiba sa pagitan ng ISO 26262 (malfunction) at SOTIF (insufficiency).
- [ ] Isinasaalang-alang ko ang panganib sa cyber security (adversarial/poisoning).
- [ ] Nag-anonymize at minimize ko ang personal na data.
- [ ] Sinuri ko ang mga panganib ng bias at labis na kumpiyansa.
- [ ] Kinumpirma ko na ang security clearance ay nasa kwalipikadong engineer.