رفع نقطه کور خودروهای خودران: استاندارد ISO 21448 چگونه خودروهای سالم اما با تصمیمات اشتباه را قانون‌مند می‌کند

وقتی ستون فرمان یک خودروی معمولی می‌شکند یا لوله ترمز آن پاره می‌شود، علت یک نقص مکانیکی است؛ حوزه‌ای که سال‌هاست توسط استاندارد ایمنی عملکردی ISO 26262 اداره می‌شود تا اطمینان حاصل شود قطعات خراب نمی‌شوند. اما برای خریداری که در حال تصمیم‌گیری برای اعتماد به نسل جدید سیستم‌های همیار بزرگراه است، یک سنسور خراب دیگر تهدید اصلی نیست.

خطر بسیار بزرگ‌تر سنسوری است که دقیقاً همان‌طور که مهندسی شده کار می‌کند، اما تصویر کاملاً واضحی از یک تریلی سفید که در یک بزرگراه روشن در حال عبور است را به کامپیوتر خودرو می‌فرستد و الگوریتم آن را به اشتباه به عنوان آسمان خالی تفسیر می‌کند.

این تفاوت — بین سیستمی که خراب می‌شود و سیستمی که بی‌نقص کار می‌کند اما درک اشتباهی از دنیای اطراف دارد — دقیقاً همان شکافی است که استاندارد ISO 21448، معروف به ایمنی عملکرد مورد انتظار (SOTIF)، برای پر کردن آن نوشته شده است.[1][9]

برای مصرف‌کننده‌ای که در حال سبک‌سنگین کردن پرداخت ۵۰۰۰ تا ۸۰۰۰ دلار هزینه اضافی برای پکیج رانندگی خودران سطح ۳ یا ۴ است، این تغییر قانونی تعیین می‌کند که آیا ماشین برای عابری که لباس هالووین پوشیده ترمز خواهد کرد یا خیر. در چارچوب قدیمی‌تر ISO 26262، مهندسان فقط باید ثابت می‌کردند که رادار و دوربین‌ها اتصالی نمی‌کنند یا برقشان قطع نمی‌شود.

تا زمانی که سخت‌افزار سیگنالی ارسال می‌کرد، الزامات ایمنی عملکردی برآورده شده بود. اما استاندارد ISO 21448 فرض را بر این می‌گذارد که سخت‌افزار ۱۰۰ درصد سالم است. در عوض، می‌پرسد که آیا منطق خودرو می‌تواند از پس محدودیت‌های عملکردی — مانند دوربینی که با نور خورشید کور شده — یا سوءاستفاده‌های قابل پیش‌بینی انسانی، مانند خوابیدن راننده با قرار دادن یک وزنه فریب‌دهنده روی فرمان، برآید یا خیر.[2][5][9]

این استاندارد خودروسازان را مجبور می‌کند تا هرج‌ومرج بی‌نهایت دنیای واقعی را در یک چارچوب ریاضی سفت‌وسخت ترسیم کنند. SOTIF تمام سناریوهای رانندگی را بر اساس دو محور به چهار بخش مجزا تقسیم می‌کند: اینکه آیا یک سناریو برای توسعه‌دهندگان شناخته شده است یا ناشناخته، و اینکه آیا اجرای آن برای خودرو ایمن است یا ناایمن.

بخش اول، «ایمن شناخته‌شده»، نشان‌دهنده رانندگی معمول است، مانند حرکت با سرعت ۶۵ مایل در ساعت در یک آزادراه خشک و خط‌کشی‌شده. بخش دوم، «ناایمن شناخته‌شده»، خطرات قابل پیش‌بینی را پوشش می‌دهد، مانند خودرویی که ناگهان وارد لاین می‌شود. مهندسان می‌توانند واکنش‌های خاصی را برای این موارد برنامه‌ریزی کنند زیرا می‌دانند که وجود دارند.[2][6]

قدرت اجرایی استاندارد ISO 21448 در نحوه برخورد آن با دو بخش باقی‌مانده نهفته است. سناریوهای «ایمن ناشناخته» غافلگیری‌های بی‌ضرری هستند — شاید دسته پرندگانی که موازی با ماشین پرواز می‌کنند و سیستم بینایی هرگز آن‌ها را ندیده اما با خیال راحت نادیده می‌گیرد.

اما میدان نبرد واقعی بخش چهارم است: «ناایمن ناشناخته». این‌ها موارد حاشیه‌ای هستند که توسعه‌دهندگان هرگز پیش‌بینی نکرده‌اند و منجر به نتایج فاجعه‌باری می‌شوند. عابری که یک شیشه بزرگ رفلکس حمل می‌کند، یا تابلوی ایستی که توسط طوفان کج شده است، مستقیماً در این دسته قرار می‌گیرند.[2][7]

استاندارد SOTIF تولیدکنندگان را موظف می‌کند تا پیش از آنکه خودرویی به پارکینگ خانه مصرف‌کننده برسد، این منطقه ناایمن ناشناخته را به طور سیستماتیک کوچک کنند. از آنجا که از نظر فیزیکی غیرممکن است که آن‌قدر مایل‌های آزمایشی رانندگی کرد تا با هر ناهنجاری عجیبی در جاده‌های عمومی روبرو شد، صنعت به شبیه‌سازی‌های مصنوعی عظیم روی آورده است.

پلتفرم‌های ارائه‌دهندگان شبیه‌سازی، میلیون‌ها مایل مجازی را در طول یک شب تولید می‌کنند. آن‌ها به طور سیستماتیک متغیرها را تغییر می‌دهند — زاویه خورشید، میزان بازتاب نور از آسفالت، و مسیر حرکت یک دوچرخه‌سوار — تا سیستم خودران را به حالت‌های شکستی وادار کنند که هرگز با آن‌ها روبرو نشده است.[5][8]

چارچوب Simcenter شرکت زیمنس با استفاده از ایجاد سناریوهای بحرانی ثبت‌شده، این موضوع را یک قدم جلوتر می‌برد. این نرم‌افزار به جای تولید تصادفی محیط‌ها به امید برخورد با یک مورد حاشیه‌ای، فعالانه به دنبال ترکیب‌های دقیقی از آب‌وهوا، سرعت و افت کیفیت سنسور می‌گردد که باعث فروپاشی الگوریتم‌های ادراکی خاص خودرو می‌شود. با یافتن مرزهای دقیق توانایی سیستم، مهندسان می‌توانند پیش از استقرار نرم‌افزار در خودروهای فیزیکی، منطق آن را اصلاح کنند.[3]

برای استانداردسازی این آزمایش‌های مجازی در سراسر زنجیره تامین جهانی، انجمن استانداردسازی سیستم‌های اتوماسیون و اندازه‌گیری (ASAM) مجموعه استانداردهای OpenX را توسعه داد. فرمت‌هایی مانند OpenSCENARIO به خودروسازان اجازه می‌دهند تا مانورهای ترافیکی پیچیده و چندعاملی را به یک زبان جهانی توصیف کنند. این امر تضمین می‌کند که یک مورد حاشیه‌ای کشف‌شده در یک شبیه‌ساز در آلمان، می‌تواند به طور یکپارچه در برابر پشته نرم‌افزاری یک خودرو در کالیفرنیا آزمایش شود و یک کتابخانه مشترک از خطرات شناخته‌شده ایجاد کند.[4]

شرکت BTC Embedded Systems اصول SOTIF را با پر کردن شکاف بین این سناریوهای سطح بالا و کد واقعی در حال اجرا بر روی واحدهای کنترل الکترونیکی خودرو اعمال می‌کند. آن‌ها از آزمایش‌های مبتنی بر سناریو استفاده می‌کنند تا تأیید کنند عملکرد مورد انتظار خودرو حتی زمانی که سنسورها داده‌های متناقضی به واحد کنترل می‌فرستند، دست‌نخورده باقی می‌ماند.

اگر رادار مانعی را تشخیص دهد اما دوربین جاده‌ای باز را ببیند، منطق سازگار با SOTIF باید بداند چگونه بدون خاموش شدن ساده در سرعت‌های بزرگراهی، این تناقض را با ایمنی برطرف کند.[7]

با این حال، جامعه دانشگاهی هشدار می‌دهد که تولید سناریوها یک مسئله ریاضی کاملاً حل‌شده نیست. یک بررسی سیستماتیک متون که توسط موسسه فناوری کارلسروهه (KIT) انجام شد، نشان داد که اگرچه تکنیک‌های فعلی تولید سناریو می‌توانند تغییرات بی‌پایانی از خطرات شناخته‌شده را تولید کنند، اما برای تولید رویه‌ای رویدادهای «ناایمن ناشناخته» واقعاً جدید بدون هدایت پارامترها توسط شهود انسانی، با مشکل مواجه هستند. الگوریتم‌ها در تغییر دادن آنچه می‌دانند عالی هستند، اما ابداع هرج‌ومرج بی‌سابقه همچنان یک چالش است.[8]

از آنجا که این اسناد و استانداردهای مهندسی پایه به عنوان مشخصات رسمی نوشته شده‌اند، حاوی نقل‌قول‌های مستقیم انسانی نیستند؛ با این حال، اجماع ریاضی آن‌ها دیکته می‌کند که کل صنعت چگونه باید پیش برود. وقتی یک بازرس مستقل انطباق یک تولیدکننده با SOTIF را ارزیابی می‌کند، آن‌ها فقط خطوط کد را بررسی نمی‌کنند. آن‌ها در حال تأیید کل روش‌شناسی تولیدکننده برای کشف چیزهایی هستند که نمی‌دانند، و اطمینان حاصل می‌کنند که پرونده ایمنی به جای تست درایوهای حکایتی، بر اساس اثبات آماری دقیق بنا شده است.[6][10]

برای کاربر نهایی، این بدان معناست که خودرویی که می‌خرند دائماً در برابر یک کتابخانه جهانی در حال رشد از موارد حاشیه‌ای ارزیابی می‌شود. این استاندارد یک حقیقت تلخ درباره هوش مصنوعی فعال در دنیای فیزیکی را می‌پذیرد: کمال مطلق غیرممکن است. استاندارد ISO 21448 با الزام خودروسازان به اثبات ریاضی اینکه احتمال خطرات ناشناخته را به سطح قابل‌قبولی کاهش داده‌اند، اولین چارچوب واقعی را برای اعتماد کردن جان یک انسان به یک ماشین فراهم می‌کند.[1][9]

مرحله بعدی استقرار خودروهای خودران کاملاً به این بستگی دارد که شرکت‌ها با چه دقتی به این چارچوب پایبند باشند. با گسترش روبوتاکسی‌های سطح ۴ به محیط‌های شهری متراکم‌تر، حجم عظیم رفتارهای غیرقابل پیش‌بینی انسانی، محدودیت‌های مدل‌های شبیه‌سازی فعلی را آزمایش خواهد کرد. خودروهایی که موفق می‌شوند لزوماً آن‌هایی نخواهند بود که گران‌ترین سنسورها را دارند، بلکه آن‌هایی هستند که منطق زیربنایی‌شان به طور کامل در برابر ناشناخته‌ها مقاوم شده است.[5][10]