SOTIF (ISO 21448, An toàn của chức năng dự định)
1. Tổng quan
A. Định nghĩa
SOTIF (Safety Of The Intended Functionality, An toàn của chức năng dự định) là một khái niệm an toàn ô tô đề cập đến sự tự do khỏi rủi ro bất hợp lý (unreasonable risk) phát sinh — ngay cả khi hệ thống không hề có bất kỳ trục trặc (malfunction) nào — từ giới hạn hiệu năng, nhận thức sai hoặc thiếu sót đặc tả của chính chức năng dự định, và tiêu chuẩn quốc tế hệ thống hóa nó là ISO 21448:2022. Nó đứng trên nhận thức vấn đề rằng "ngay cả khi không linh kiện nào hỏng, và ngay cả khi chức năng vận hành đúng trong các giới hạn đã thiết kế, kết quả vẫn có thể nguy hiểm".
Bối cảnh ra đời của SOTIF nằm ở sự dịch chuyển trọng tâm của an toàn ô tô từ "phòng ngừa trục trặc" sang "phòng ngừa giới hạn hiệu năng của nhận thức và phán đoán". Tiêu chuẩn an toàn chức năng truyền thống [[iso-26262]] ngăn "các trục trặc có thể xác định được nguyên nhân" — đứt mạch cảm biến, lật bit, lỗi phần mềm — lan thành rủi ro. Nhưng ở ADAS (hỗ trợ lái xe tiên tiến) và lái tự động vốn dựa vào camera, radar, lidar cùng các thuật toán nhận thức học sâu, xảy ra những tai nạn mà không linh kiện nào hỏng nhưng hệ thống vẫn bỏ sót người đi bộ trong ánh ngược sáng, hoặc nhầm một túi ni-lông trên đường thành chướng ngại vật và phanh gấp. Đây không phải "trục trặc" mà là "tình huống mà chức năng đã thiết kế không xử lý nổi (thiếu hụt hiệu năng)", nên không được giải thích hay kiểm soát trong khuôn khổ ISO 26262. Để lấp khoảng trống này, nó khởi đầu năm 2019 dưới dạng ISO/PAS 21448 (quy cách kỹ thuật) và được ban hành thành tiêu chuẩn quốc tế chính thức (ISO 21448:2022) vào tháng 6 năm 2022.
Điểm khởi đầu để hiểu SOTIF là nghịch lý "hệ thống có thể không an toàn ngay cả khi không có trục trặc". Trong khi ISO 26262 đề cập đến "khi hệ thống không vận hành đúng (malfunction)", thì SOTIF đề cập đến "khi kết quả nguy hiểm mặc dù hệ thống đã vận hành đúng theo đặc tả". Chẳng hạn, việc hệ thống phanh khẩn cấp (AEB) không nhận ra xe đang dừng phía trước là một giới hạn hiệu năng — radar không phân biệt được kết cấu kim loại với xe đang dừng trong "dải đặc tính phản xạ đã thiết kế" — chứ không phải trục trặc. Do đó câu hỏi cốt lõi của SOTIF không phải "làm sao phát hiện và ứng phó trục trặc" mà là "khám phá giới hạn của chức năng dự định đến đâu, và chứng minh thế nào rằng các giới hạn đó không trở thành rủi ro".
ISO 21448 trải rộng trên ADAS và các mức tự động hóa lái xe 1–5 (SAE J3016), lấy làm phạm vi đặc biệt các chức năng nhận thức tình huống qua cảm biến và thuật toán xử lý phức tạp, và cả việc sử dụng sai có thể dự đoán một cách hợp lý (reasonably foreseeable misuse). Nghĩa là, việc sử dụng sai như tài xế quá tin vào chức năng hỗ trợ mà buông tay lái cũng được xem là "điều kiện hệ thống phải xử lý" và đưa vào luận chứng an toàn — đó là một đặc điểm nổi bật.
Chính lộ trình phát triển của tiêu chuẩn cho thấy sự chín muồi của nhận thức vấn đề này. Ban đầu nó khởi đầu năm 2019 dưới dạng một "Quy cách công bố công khai (Publicly Available Specification)", ISO/PAS 21448 — tức một hướng dẫn tạm thời chưa đạt đồng thuận đầy đủ. Khi các vụ tai nạn lái tự động tích lũy và kinh nghiệm ngành dày lên, nó được nâng lên thành tiêu chuẩn quốc tế chính thức năm 2022, và lúc đó phạm vi áp dụng được mở rộng rõ ràng từ hỗ trợ lái mức 1–2 sang lái tự động mức 3–5. Điều này thể hiện cô đọng quá trình khái niệm "rủi ro không có trục trặc" vươn từ một mối quan tâm bên lề thành chương trình nghị sự trung tâm của an toàn ô tô.
B. Hai nguồn gốc của rủi ro mà SOTIF đề cập
Rủi ro mà SOTIF nhắm tới bắt nguồn chủ yếu từ hai thiếu sót đặc tả. Thứ nhất là thiếu hụt đặc tả chức năng (functional insufficiency), một khoảng trống phát sinh khi định nghĩa chức năng dự định ở cấp xe mà chưa cân nhắc tới một tình huống nào đó. Thứ hai là giới hạn hiệu năng (performance limitation), các giới hạn mà cảm biến và thuật toán nhận thức/phán đoán tất yếu phải có về mặt vật lý và thống kê (độ phân giải cảm biến, suy hao trong thời tiết xấu, thiên lệch dữ liệu huấn luyện). Khi hai điều này gặp một điều kiện kích hoạt (triggering condition) cụ thể — các yếu tố môi trường và kịch bản như ngược sáng, sương mù, khu vực thi công, biển báo đường bất thường — chúng hiện thực hóa thành hành vi gây hại (hazardous behavior).
Khái niệm nhất thiết phải phân biệt ở đây là quan hệ giữa "điều kiện kích hoạt" và "thiếu hụt chức năng". Thiếu hụt chức năng là điểm yếu mà hệ thống vốn có bên trong, còn điều kiện kích hoạt là tình huống kích thích điểm yếu đó từ bên ngoài để nó bộc lộ. Chẳng hạn, dù có một thiếu hụt chức năng như "suy giảm tỷ lệ nhận diện người đi bộ mặc đồ đen trong ánh sáng yếu ban đêm", nếu không có điều kiện kích hoạt mà người đi bộ như vậy xuất hiện thì tai nạn không xảy ra. Do đó bản chất của hoạt động SOTIF tóm lại là ① tìm và giảm các thiếu hụt chức năng, ② phát hiện một cách hệ thống các điều kiện kích hoạt làm chúng bộc lộ, và ③ thiết kế và kiểm chứng sao cho ngay cả khi hai điều gặp nhau cũng không lan thành tổn hại. Trong bài làm, việc mô tả rõ cấu trúc nhân quả "giới hạn hiệu năng × điều kiện kích hoạt = kịch bản gây hại" là then chốt.
C. Việc sử dụng sai có thể dự đoán một cách hợp lý
Một điểm nữa phân biệt rõ SOTIF với ISO 26262 là nó bao hàm cả việc con người sử dụng sai như một điều kiện hệ thống phải xử lý. Hiểu nhầm chức năng hỗ trợ là "lái tự động" rồi buông tay lái, phớt lờ cảnh báo và trì hoãn tiếp quản, hay bật chức năng trên con đường nó không được thiết kế cho — tất cả đều thuộc "việc sử dụng sai có thể dự đoán một cách hợp lý (reasonably foreseeable misuse)". SOTIF không gạt bỏ các yếu tố con người này là "lỗi của người dùng" mà coi chúng là đầu vào thiết kế mà hệ thống phải dự đoán và giảm thiểu. Điều này phản ánh nhận thức rằng ở lái tự động, một phần đáng kể tai nạn bắt nguồn từ bài toán "tương tác người–máy (HMI)" nơi giới hạn kỹ thuật và sự quá tin/nhận định sai của con người đan xen.
Hàm ý thực tiễn của góc nhìn này rất lớn. Chỉ nâng hiệu năng nhận thức thôi không chứng minh được an toàn; một hệ thống giám sát tài xế (DMS, Driver Monitoring System), việc thông báo rõ giới hạn vận hành, cảnh báo tiếp quản theo từng bước, và thiết kế ngăn nhầm lẫn chế độ (mode confusion) trở thành các yếu tố thiết yếu của luận chứng an toàn SOTIF. Chẳng hạn phải nêu rõ "tình huống tài xế tưởng hệ thống đang bật nên không can thiệp" làm một điều kiện kích hoạt và thiết kế sao cho ngay trong tình huống đó hệ thống vẫn chuyển sang trạng thái rủi ro tối thiểu an toàn. Do vậy SOTIF vừa là bài toán kỹ thuật của cảm biến và thuật toán, vừa đồng thời là bài toán của công thái học và khoa học hành vi.
2. Bốn vùng kịch bản của SOTIF và các khái niệm cốt lõi
Khuôn khổ khái niệm được biết đến rộng rãi nhất của SOTIF là bốn vùng (Area 1–4) chia kịch bản theo hai trục: "đã biết/chưa biết (known/unknown)" × "an toàn/nguy hiểm (safe/unsafe)". Sơ đồ cấu trúc dưới đây cho thấy khuôn khổ 2×2 này và cách hoạt động SOTIF cố dịch chuyển mỗi vùng.
graph TD
subgraph KNOWN["Kịch bản đã biết"]
A1["Area 1: đã biết an toàn<br/>vùng vận hành bình thường"]
A2["Area 2: đã biết nguy hiểm<br/>kịch bản gây hại đã nhận diện"]
end
subgraph UNKNOWN["Kịch bản chưa biết"]
A4["Area 4: chưa biết an toàn"]
A3["Area 3: chưa biết nguy hiểm<br/>kịch bản gây hại chưa phát hiện"]
end
A3 -->|"khai thác kịch bản·tích lũy lái"| A2
A2 -->|"cải thiện thiết kế·sửa chức năng"| A1
A4 -.->|"xác nhận bằng phân tích"| A1
GOAL["Mục tiêu: tối thiểu hóa Area 2·3"]
A2 --> GOAL
A3 --> GOAL
Ý nghĩa của bốn vùng này triển khai như sau. Area 1 (đã biết an toàn) là vùng được xác nhận vận hành an toàn như dự định — trạng thái cuối cùng mà phát triển hướng tới. Area 2 (đã biết nguy hiểm) gồm các kịch bản gây hại đã nhận diện qua phân tích và thử nghiệm, phải được chuyển sang Area 1 bằng các biện pháp như cải thiện thiết kế, hạn chế chức năng hoặc cảnh báo tài xế. Area 3 (chưa biết nguy hiểm) gồm các kịch bản gây hại chưa phát hiện và là vùng SOTIF cảnh giác nhất — vì ngay cả sự tồn tại cũng chưa biết nên không thể loại bỏ trực tiếp, và chỉ có thể loại bỏ sau khi kéo vào vùng "đã biết" (Area 2) qua khai thác kịch bản và tích lũy dữ liệu lái quy mô lớn. Area 4 (chưa biết an toàn) gồm các kịch bản chưa biết nhưng thực tế an toàn. Do đó mục tiêu chiến lược của SOTIF là rõ ràng — giảm kích thước của Area 2 và Area 3 xuống mức chấp nhận được.
Khuôn khổ này quan trọng vì nó phơi bày khó khăn cốt lõi của an toàn lái tự động. Area 3 là vùng của "những cái chưa biết mà ta không biết là mình chưa biết (unknown unknowns)" nên không thể làm trống hoàn toàn, bởi không thể liệt kê trước mọi tình huống lái trên đời. Vì vậy SOTIF đặt một mục tiêu kiểm định (validation target) — "kiểm chứng đến đâu thì tuyên bố đủ an toàn" — và dựa vào phương thức chứng tỏ bằng luận chứng thống kê rằng rủi ro tồn dư là chấp nhận được. Chính điểm này khác về căn bản với ISO 26262 vốn truy vết các lối trục trặc một cách tất định.
| Vùng | Đã biết? | An toàn/nguy hiểm | Hoạt động cốt lõi |
|---|---|---|---|
| Area 1 | đã biết | an toàn | vận hành bình thường — duy trì·mở rộng |
| Area 2 | đã biết | nguy hiểm | biến thành Area 1 bằng cải thiện thiết kế |
| Area 3 | chưa biết | nguy hiểm | biến thành Area 2 bằng khai thác kịch bản |
| Area 4 | chưa biết | an toàn | xác nhận là Area 1 bằng phân tích |
Bảng sắp xếp bốn vùng, nhưng trong phát triển thực tế nỗ lực cốt lõi tập trung vào các ranh giới. Tức ranh giới Area 2↔Area 3 (làm sao phơi bày rủi ro còn chưa biết) và ranh giới Area 1↔Area 2 (bằng biện pháp nào làm an toàn rủi ro đã nhận diện) là hai mặt trận của kỹ thuật SOTIF. Trong thực tiễn, phân tích rủi ro một cách hệ thống (HAZOP, phân tích chức năng) mở rộng Area 2, còn mô phỏng, vận hành thực địa và khai thác ca biên (edge-case mining) kéo Area 3 vào Area 2.
Chồng mô hình bốn vùng này lên ODD thì sự hiểu biết càng sâu hơn. Đặt ODD hẹp thì không gian kịch bản hệ thống sẽ gặp nhỏ đi, nên Area 3 (rủi ro chưa biết) cũng nhỏ đi, nhưng phạm vi cung cấp chức năng bị giới hạn tương ứng. Ngược lại, mở rộng ODD thì hiệu dụng tăng nhưng các điều kiện kích hoạt chưa biết tăng vọt, nên Area 3 phình ra. Tức là ODD là "ranh giới của sân khấu" quy định tổng kích thước của bốn vùng, và hoạt động SOTIF là công việc chiếu sáng và thu nhỏ các vùng rủi ro trong sân khấu đó. Vì vậy "mở rộng ODD đến đâu, và phát hiện·cưỡng chế ranh giới đó thế nào" trở thành nút bấm đầu tiên của chiến lược SOTIF.
Cũng cần lưu ý rằng chuyển động giữa bốn vùng không một chiều mà mang tính lặp. Thay đổi thiết kế để chuyển Area 2 sang Area 1 có thể tạo ra những mối hại mới bất ngờ và sinh ra một Area 3 khác. Chẳng hạn, hạ độ nhạy nhận thức để giảm phanh dương tính giả (false positive) thì lần này rủi ro âm tính giả (false negative) bỏ sót chướng ngại thực lại tăng (một Area 3 mới). Vì rủi ro SOTIF như vậy mang "cấu trúc đánh đổi (trade-off)", một vòng lặp kiểm tra chéo xem biện pháp giảm một vùng có làm vùng khác to lên hay không là thiết yếu.
3. Quy trình hoạt động SOTIF và kiểm tra·xác nhận giá trị
ISO 21448 trình bày các hoạt động để đạt SOTIF như một quy trình lặp (iterative) trải suốt vòng đời. Sơ đồ chi tiết dưới đây mô tả dòng chảy khởi đầu từ định nghĩa chức năng và tuần hoàn qua đánh giá rủi ro, biện pháp thiết kế, kiểm tra·xác nhận giá trị, và phản hồi giai đoạn vận hành.
flowchart LR
F["định nghĩa chức năng dự định<br/>(đặc tả chức năng·ODD)"] --> H["nhận diện·đánh giá mối hại<br/>(HARA, phân tích hành vi gây hại)"]
H --> T["phân tích điều kiện kích hoạt<br/>(suy ra thiếu hụt·giới hạn hiệu năng)"]
T --> D["cải thiện thiết kế·sửa chức năng<br/>(giảm Area 2)"]
D --> V["Kiểm tra (Verification)<br/>xác nhận đã loại rủi ro đã biết"]
V --> VAL["Xác nhận giá trị (Validation)<br/>luận chứng thống kê rủi ro chưa biết"]
VAL --> ACC{"chấp nhận được?"}
ACC -->|"không"| T
ACC -->|"có"| REL["phát hành·triển khai"]
REL --> OP["giám sát giai đoạn vận hành<br/>(dữ liệu thực địa·cải thiện OTA)"]
OP -.->|"phát hiện kích hoạt mới"| T
Cần chỉ ra điểm mà quy trình này giống mà lại khác mô hình V của ISO 26262. Cả hai tiêu chuẩn đều chia sẻ bộ khung vòng đời "yêu cầu→thiết kế→kiểm tra" và tính truy vết, nhưng trong khi mô hình V của ISO 26262 là một "vòng lặp đóng" kiểm tra một cách tất định tính nhất quán của sản phẩm mỗi giai đoạn, thì quy trình SOTIF gần với một "vòng lặp mở" liên tục khai thác và phản hồi rủi ro chưa biết. Tức với SOTIF "thời điểm phát triển kết thúc" không rõ ràng; nó vẫn chạy cho tới khi thỏa tiêu chí chấp nhận và cả trong khi vận hành. Khác biệt cấu trúc này chia tách triết lý kiểm chứng của hai tiêu chuẩn.
Giải thích từng giai đoạn của quy trình bằng văn xuôi: trước hết, ở giai đoạn định nghĩa chức năng dự định, cùng với mục đích của chức năng, người ta đặc tả ODD (Operational Design Domain, vùng thiết kế vận hành) — dải điều kiện như loại đường, tốc độ, thời tiết, độ sáng mà hệ thống được thiết kế để vận hành an toàn. ODD vừa là điểm khởi đầu vừa là ranh giới của SOTIF, một cam kết rằng "trong dải này bảo đảm an toàn, và ra khỏi dải thì hạn chế·bàn giao chức năng một cách an toàn". Thu hẹp ODD làm việc chứng minh an toàn dễ hơn nhưng hiệu dụng giảm, còn mở rộng thì hiệu dụng tăng nhưng gánh nặng kiểm chứng tăng vọt — sự đánh đổi được quyết định ở đây.
Tiếp theo, nhận diện·đánh giá mối hại suy ra hành vi gây hại có thể xảy ra ngay cả khi chức năng vận hành như dự định, và phân tích điều kiện kích hoạt tìm một cách hệ thống các yếu tố môi trường·tình huống gây ra mối hại đó cùng những thiếu hụt chức năng·giới hạn hiệu năng đằng sau. Kế đến, cải thiện thiết kế giảm rủi ro đã nhận diện (Area 2) bằng các biện pháp như đa dự phòng cảm biến (hợp nhất camera+radar+lidar), tăng cường thuật toán nhận thức, hạn chế chức năng (chỉ hoạt động ở tốc độ thấp), và yêu cầu tài xế tiếp quản (takeover).
Điểm nhấn của hoạt động SOTIF là sự phân biệt giữa Kiểm tra (Verification) và Xác nhận giá trị (Validation). Kiểm tra là hoạt động xác nhận "liệu rủi ro đã biết đã nhận diện (Area 2) có thực sự được loại bỏ bằng các biện pháp hay không", thực hiện bằng thử nghiệm và mô phỏng đối với các kịch bản mục tiêu. Ngược lại, xác nhận giá trị là hoạt động luận chứng, qua phủ sóng thống kê và kịch bản, "liệu rủi ro tồn dư, bao gồm rủi ro chưa nhận diện (Area 3), có ở mức chấp nhận được hay không". Nếu cái trước là kiểm tra tất định thì cái sau là thuyết phục xác suất, và lý do lái tự động đòi hỏi hàng trăm triệu km dữ liệu lái thực và mô phỏng nằm chính ở gánh nặng xác nhận giá trị này. Chẳng hạn, để chứng tỏ về mặt thống kê rằng tai nạn chí mạng hiếm hơn so với tài xế con người, có một "approval trap (bẫy kiểm định)" đã biết, theo đó cần một quãng đường lái khổng lồ vì quãng đường trung bình giữa các tai nạn rất dài, và để giảm nhẹ nó người ta kết hợp kiểm chứng dựa trên kịch bản, mô phỏng và thử nghiệm gia tốc.
Một giai đoạn dễ bị bỏ qua trong luận chứng SOTIF là thiết lập tiêu chí chấp nhận (acceptance criteria). Vì không thể loại bỏ hoàn toàn rủi ro chưa biết, chỉ khi định nghĩa trước "ở mức rủi ro tồn dư nào thì xã hội chấp nhận được" thì tuyên bố "đã kiểm chứng đủ" mới khả thi. Trong thực tiễn, các mục tiêu định lượng được đặt với tham chiếu tới các nguyên lý chấp nhận rủi ro như GAMAB (Globally At Least As Good, an toàn ít nhất bằng phương tiện hiện có), MEM (Minimum Endogenous Mortality, hạn chế rủi ro thêm so với tỷ lệ tử vong tự nhiên) và ALARP (As Low As Reasonably Practicable, thấp đến mức khả thi một cách hợp lý). Chẳng hạn lấy "bằng hoặc dưới tỷ lệ tai nạn của tài xế con người tương đương" làm mục tiêu thì quãng đường lái·phủ sóng kịch bản cần để chứng minh thống kê được tính ngược lại. Nếu tiêu chí chấp nhận này mơ hồ, kiểm chứng hoặc phình ra vô tận hoặc kết thúc tùy tiện, nên tính minh bạch và sự đồng thuận xã hội của tiêu chí chi phối độ tin cậy của SOTIF.
Một yếu tố thiết kế cốt lõi khác là trạng thái rủi ro tối thiểu (MRM/MRC, Minimal Risk Maneuver/Condition). Khi hệ thống ra khỏi ranh giới ODD hoặc nhận biết giới hạn hiệu năng của chính mình, nó phải chuyển sang một trạng thái không làm tăng rủi ro — chẳng hạn giảm tốc an toàn để dừng vào lề hoặc bàn giao điều khiển cho tài xế. Điều quan trọng ở đây là "năng lực tự biết giới hạn của mình". Không có thiết kế phát hiện trong thời gian chạy các tình huống làm độ bất định nhận thức tăng lên (thời tiết xấu, đầu vào OOD) để suy giảm một cách nhẹ nhàng (graceful degradation) chức năng, hệ thống sẽ đưa ra quyết định nguy hiểm mà không hề biết mình đang sai. Do đó định lượng độ bất định và giám sát ODD nằm ở trái tim của kiến trúc SOTIF.
Cuối cùng, giám sát giai đoạn vận hành là trục biến SOTIF không phải một chứng nhận một lần mà thành bảo đảm an toàn liên tục. Ngay sau khi phát hành, khi một điều kiện kích hoạt mới được tìm thấy trong dữ liệu thực địa thì nó được phản ánh dưới dạng Area 3→Area 2, và các mô hình nhận thức·logic điều khiển được cải thiện qua OTA (cập nhật qua sóng) để duy trì và nâng mức an toàn. Vòng phản hồi này là mô hình vận hành cốt lõi của an toàn lái tự động.
4. So sánh — quan hệ với ISO 26262 và các ca áp dụng
Để dùng SOTIF chính xác, phải làm rõ sự phân vai với ISO 26262. Hai tiêu chuẩn không phải đối thủ mà ở trong quan hệ bổ sung lẫn nhau. Cái ISO 26262 đề cập là rủi ro do "trục trặc E/E (fault)" tạo ra, tức "không gian trục trặc (fault space)", còn cái SOTIF đề cập là rủi ro phát sinh do hiệu năng thiếu hụt ngay cả khi không có trục trặc, tức "không gian thiếu hụt (insufficiency space)". Lý do căn bản của khác biệt nằm ở nguồn gốc rủi ro và phương thức chứng minh. Trục trặc có thể xác định theo nguyên nhân và định lượng theo xác suất, nên được truy vết bằng FTA·FMEA và rủi ro tồn dư được số hóa bằng các chỉ số phần cứng. Trái lại, thiếu hụt hiệu năng không thể liệt kê trọn vẹn "khi nào và trong tình huống nào sẽ nhận thức sai", nên dựa vào phủ sóng kịch bản và luận chứng thống kê. Điều thú vị là ISO 21448 ban đầu được bàn như một phần (part) của ISO 26262, nhưng bản chất "rủi ro không có trục trặc" khác biệt căn bản đến mức nó được tách thành một tiêu chuẩn riêng.
| Phương diện | ISO 26262 | ISO 21448 (SOTIF) |
|---|---|---|
| Rủi ro mục tiêu | trục trặc E/E (malfunction) | giới hạn hiệu năng·nhận thức sai (không trục trặc) |
| Không gian | không gian trục trặc (fault) | không gian thiếu hụt (insufficiency) |
| Hệ cấp bậc | ASIL A~D(+QM) | không cấp bậc (luận chứng kịch bản) |
| Kỹ thuật cốt lõi | HARA·FTA·FMEA·chỉ số HW | khai thác kịch bản·V&V·luận chứng thống kê |
| Triết lý chứng minh | bằng chứng tất định | luận chứng xác suất·kịch bản |
Hàm ý quan trọng về mặt thực tiễn của phép so sánh này là, để làm một hệ thống lái tự động an toàn thì phải áp dụng cả hai tiêu chuẩn đồng thời. Hãy xét phanh khẩn cấp tự động (AEB). Việc một ECU radar trục trặc do lật bit mà bỏ sót lệnh phanh thuộc địa hạt ISO 26262, còn việc radar không hề trục trặc mà nhầm một nắp cống kim loại thành xe đang dừng rồi phanh gấp không cần thiết (false positive) thuộc địa hạt SOTIF. Thực tế, một số vụ tai nạn lái tự động·hỗ trợ lái giai đoạn 2016–2018 được phân tích là bắt nguồn không từ hỏng linh kiện mà từ giới hạn của thuật toán nhận thức (nhầm rơ-moóc đang dừng·kết cấu thi công), và điều này trở thành động lực trực tiếp cho việc nâng SOTIF thành tiêu chuẩn chính thức.
Nhìn cách hai tiêu chuẩn cùng tồn tại trong cùng một ECU thì sự phân vai còn rõ hơn. Bộ điều khiển lái tự động, dưới góc nhìn ISO 26262, bảo đảm "tính toán không trục trặc" bằng lõi lockstep, ECC và watchdog, đồng thời dưới góc nhìn SOTIF, định lượng độ bất định của kết quả nhận thức và suy giảm chức năng một cách an toàn khi không thể tin cậy. Cái trước hỏi "tính toán có sai không", cái sau hỏi "tính toán đúng, nhưng có được tin kết quả đó không". Do đó trong một kiến trúc an toàn duy nhất, một cơ chế an toàn trục trặc tất định và một cơ chế an toàn hiệu năng xác suất cùng tồn tại theo lớp, và nếu thiếu một trong hai thì luận chứng an toàn lái tự động không thành lập. Trong bài làm, triển khai sự phân vai "26262 = phòng ngừa trục trặc, SOTIF = phòng ngừa giới hạn hiệu năng, hai cái bổ sung nhau" bằng các ca cụ thể sẽ làm phép so sánh thêm chiều sâu.
Một ca áp dụng khác có thể kể là hỗ trợ giữ làn (LKAS). Dưới một điều kiện kích hoạt khi vạch kẻ đường bị mờ, hoặc ở khu vực thi công khi làn tạm chồng lên làn hiện hữu, việc LKAS đánh lái theo làn sai là một rủi ro SOTIF điển hình. Điều này được giảm nhẹ bằng đặc tả ODD (hạn chế hoạt động trên các đường có chất lượng vạch kẻ trên một mức nhất định), yêu cầu tài xế tiếp quản, và hợp nhất đa cảm biến. Như vậy SOTIF là hoạt động thiết kế, giữa hiệu dụng của chức năng và an toàn, việc vẽ ODD thế nào và phát hiện các tình huống giới hạn ra sao để bàn giao an toàn.
Trọng lượng mà hợp nhất cảm biến chiếm giữ trong SOTIF cũng được các ca này cùng phơi bày. Camera mạnh ở nhận diện màu·hình dạng nhưng yếu trong ánh sáng thấp và ngược sáng; radar mạnh ở khoảng cách·tốc độ nhưng yếu ở phân biệt vật đứng yên·hình dạng; lidar mạnh ở hình dạng 3 chiều nhưng yếu trong thời tiết xấu và về chi phí. Bằng cách hợp nhất các cảm biến khác loại (redundancy·diversity) sao cho giới hạn hiệu năng của chúng không chồng lên nhau, dù một cảm biến thất bại dưới một điều kiện kích hoạt nào đó thì cảm biến khác bù lại, giảm Area 3 một cách có cấu trúc. Tuy nhiên, bản thân việc hợp nhất có thể sinh ra các thiếu hụt chức năng mới (lỗi căn chỉnh không–thời gian giữa các cảm biến, phân xử xung đột), nên không được quên rằng logic hợp nhất cũng trở thành đối tượng của phân tích SOTIF.
5. Chuyên sâu — mở rộng sang các tiêu chuẩn an toàn AI và xu hướng mới nhất
Thay đổi lớn nhất trong địa hình SOTIF gần đây là thách thức chứng minh an toàn của nhận thức dựa trên AI/học máy. Các mô hình nhận thức học sâu thất bại khó lường trên đầu vào ngoài phân phối (out-of-distribution) không có trong dữ liệu huấn luyện và mang đặc tính hộp đen mà quá trình quyết định bên trong khó giải thích. Đây là một nguyên mẫu của "thiếu hụt chức năng" mà SOTIF nói tới, nhưng chỉ riêng phân tích kịch bản truyền thống thì khó phơi bày đầy đủ giới hạn của mô hình. Để lấp khoảng trống này, ISO/PAS 8800 (Road vehicles — Safety and artificial intelligence) được ban hành năm 2024, trình bày một hệ thống liên kết vòng đời an toàn·chất lượng tập dữ liệu·bảo đảm hiệu năng mô hình của AI ô tô với SOTIF và ISO 26262. Cùng với đó, UL 4600 (tiêu chuẩn hồ sơ an toàn xe tự lái) đòi hỏi một hồ sơ an toàn (safety case) cho hệ thống hoàn chỉnh, và các tiêu chuẩn này kết hợp theo lớp để hình thành một hệ thống ba chiều gồm "an toàn trục trặc (26262) + an toàn hiệu năng (21448) + an toàn AI (8800) + hồ sơ an toàn tổng thể (UL 4600)".
Thu hút chú ý như các công nghệ nền tảng chống đỡ dòng chảy này là định lượng độ bất định (uncertainty quantification) và giám sát thời gian chạy. Đó là các thiết kế làm cho mô hình học sâu cũng xuất ra mức đáng tin cậy của dự đoán của chính nó (ví dụ: mạng nơ-ron Bayes, ensemble, phát hiện OOD) và, khi độ tin cậy thấp, kiểm tra chéo bằng cảm biến khác hoặc suy giảm chức năng. Bắt được khoảnh khắc mô hình "sai một cách đầy tự tin (confidently wrong)" chính là năng lực cốt lõi mà SOTIF đòi hỏi ở nhận thức AI, và là điểm tiếp xúc nơi AI giải thích được (XAI) gặp kiến trúc an toàn.
Xu hướng thứ hai là sự trỗi dậy của kiểm chứng dựa trên kịch bản (scenario-based validation) và mô phỏng. Vì "bẫy kiểm định" nói trên (quãng đường lái thực khổng lồ), ngành mô tả kịch bản lái bằng các định dạng chuẩn như OpenSCENARIO·OpenDRIVE và thăm dò Area 3 bằng cách tự động tạo ra và chạy hàng triệu kịch bản biến thể trong mô phỏng độ trung thực cao và song sinh số. Đặc biệt, khai thác ca biên (edge-case mining) (trích xuất các tình huống hiếm và nguy hiểm từ dữ liệu lái thực·tai nạn) kết hợp với tạo kịch bản đối kháng (adversarial scenario generation) (tổng hợp các tình huống cố ý nhiễu loạn nhận thức) đã trở thành một đề tài nghiên cứu cốt lõi nhằm nâng phủ sóng rủi ro chưa biết với chi phí hạn chế.
Thứ ba là nhận thức rằng chất lượng tập dữ liệu trở thành một thuộc tính an toàn. Vì giới hạn hiệu năng của nhận thức học sâu rốt cuộc bắt nguồn từ phân phối của dữ liệu huấn luyện và kiểm chứng, ISO/PAS 8800 nâng tính đầy đủ·tính đại diện·tính cân bằng·tính chính xác của một tập dữ liệu lên thành các yêu cầu an toàn. Nếu một chủng tộc, vóc dáng, thời tiết xấu hay con đường vùng miền cụ thể bị lấy mẫu dưới mức trong dữ liệu, nó ở lại trực tiếp như rủi ro chưa biết của Area 3. Theo đó, kỹ thuật yêu cầu dữ liệu, vốn thiết kế ngược "cần phân phối dữ liệu nào và bao nhiêu để phủ ODD nào", và quản trị dữ liệu, vốn truy vết xuất xứ·chất lượng nhãn·thiên lệch của dữ liệu, đã nổi lên như các trục mới của thực tiễn SOTIF. Đây là điểm mà năng lực chất lượng dữ liệu·MLOps của lĩnh vực AI·dữ liệu ăn khớp trực tiếp với kỹ thuật an toàn.
Thứ tư là sự hội tụ với an ninh. Trong môi trường xe kết nối·lái tự động, một cuộc tấn công đối kháng (adversarial attack) — chẳng hạn dán một miếng dán lên biển báo giao thông để mô hình nhận thức phân loại sai — là một "điều kiện kích hoạt bị gây ra một cách ác ý", nằm ở ranh giới giữa SOTIF (giới hạn hiệu năng) và tiêu chuẩn an ninh mạng ISO/SAE 21434. Do đó cần một cách tiếp cận tích hợp an toàn và an ninh vào một mô hình mối đe dọa duy nhất. Hướng ra đề có khả năng là một đề bài kiểu hội tụ như "hãy bàn về quy trình an toàn tích hợp của ISO 26262·SOTIF·ISO/PAS 8800 bằng một ca nhận thức lái tự động", hoặc một đề bài kiểu kiến trúc như "hãy thiết kế một chiến lược kiểm chứng dựa trên kịch bản·mô phỏng để giảm Area 3 (rủi ro chưa biết) của SOTIF".
6. Cân nhắc và hàm ý
Chiến lược áp dụng — thiết kế lấy ODD làm trung tâm và thu hẹp theo từng bước: Thành bại của hoạt động SOTIF phụ thuộc vào việc vẽ ODD rõ ràng đến đâu và hạn chế·bàn giao chức năng an toàn đến đâu bằng cách phát hiện ranh giới của nó theo thời gian thực. Một chiến lược triển khai theo từng bước thực tế là đặt ODD hẹp một cách thận trọng lúc đầu để chứng minh an toàn chắc chắn, rồi dần mở rộng ODD trong khi giảm rủi ro chưa biết (Area 3) bằng dữ liệu thực địa·mô phỏng. Phát hiện các tình huống ra khỏi ODD (ODD monitoring) và thiết kế một trạng thái rủi ro tối thiểu an toàn (MRM, Minimal Risk Maneuver) là các năng lực cốt lõi.
Đánh đổi — hiệu dụng vs gánh nặng kiểm chứng vs chi phí: Càng mở rộng ODD và nâng mức tự động hóa thì hiệu dụng chức năng càng lớn, nhưng không gian kịch bản phải chứng minh bùng nổ và chi phí·thời gian kiểm chứng tăng phi tuyến. Ngược lại, một thiết kế quá thận trọng (phanh dương tính giả thường xuyên, yêu cầu tiếp quản thường xuyên) thì an toàn nhưng làm hại tính thương mại. Dưới góc nhìn Kỹ sư chuyên nghiệp, với tiền đề "an toàn là không thể thỏa hiệp", cần một cảm quan cân bằng tìm ra điểm tối ưu tỷ lệ với rủi ro giữa ODD·cấu hình cảm biến·mục tiêu kiểm chứng.
Triển vọng — chuyển sang bảo đảm an toàn liên tục dựa trên dữ liệu: SOTIF dịch chuyển mô hình từ chứng nhận một lần tại thời điểm xuất xưởng sang bảo đảm an toàn liên tục (continuous safety assurance) qua dữ liệu thực địa, OTA và mô phỏng trong khi vận hành. Một "hồ sơ an toàn sống (living safety case)" cập nhật hồ sơ an toàn mỗi khi tìm thấy một điều kiện kích hoạt mới sẽ trở thành trung tâm của thực tiễn tiêu chuẩn, và điều này gắn trực tiếp với năng lực song sinh số·DB kịch bản·khai thác ca biên.
Công nghệ liên đới — tích hợp an toàn chức năng·an toàn AI·an ninh: SOTIF không phải một hoạt động độc lập mà phải kết hợp hữu cơ với [[iso-26262]] (an toàn trục trặc), ISO/PAS 8800 (an toàn AI), ISO/SAE 21434 (an ninh mạng), FMEA·FTA của [[software-safety-analysis]], và tính thời gian thực của [[rtos]]. Đặc biệt, vì tính mờ đục·phụ thuộc dữ liệu của nhận thức học sâu không thể xử lý chỉ bằng các kỹ thuật phân tích an toàn truyền thống, năng lực thiết kế tích hợp các công nghệ mới như AI giải thích được, định lượng độ bất định và giám sát thời gian chạy vào kiến trúc an toàn trở nên thiết yếu.
Góc nhìn trong nước·thể chế — sự ăn khớp với quy định và chứng nhận: Ở Hàn Quốc cũng vậy, khi giấy phép vận hành tạm thời cho lái tự động và các tiêu chuẩn an toàn mức 3 được thiết lập, SOTIF ảnh hưởng trực tiếp đến thực tiễn phê duyệt kiểu loại·đánh giá an toàn của ngành hoàn thiện xe·linh kiện. Trong dòng chảy mà các quy định liên quan lái tự động của UNECE WP.29 cùng ISO 21448·ISO/PAS 8800 bén rễ như các căn cứ chứng nhận, Kỹ sư chuyên nghiệp phải bao quát không chỉ nội dung kỹ thuật của tiêu chuẩn mà cả cách nó ăn khớp với hệ thống quy định·chứng nhận·trách nhiệm (trách nhiệm sản phẩm). Cuộc tranh luận pháp lý về việc trách nhiệm cho một tai nạn do giới hạn hiệu năng thuộc về ai trong số nhà sản xuất·bên vận hành·tài xế cũng gắn trực tiếp với mức độ chứng minh SOTIF.
Tổ chức·quản trị — tài sản kịch bản và văn hóa an toàn: Năng lực cạnh tranh của SOTIF rốt cuộc quy về "đã tích lũy được bộ tài sản kịch bản·dữ liệu lái phong phú và hệ thống đến đâu". Không có sự chống đỡ của quản lý cấu hình·phiên bản của DB kịch bản, quản trị chất lượng dữ liệu, và một quy trình tổ chức liên tục khai thác·phản ánh rủi ro chưa biết, thì dù thuật toán có xuất sắc đến đâu cũng chỉ dừng ở "an toàn chưa được chứng minh". Kỹ sư chuyên nghiệp phải có góc nhìn quản trị thiết kế và vận hành SOTIF không như hoạt động kiểm chứng của một dự án đơn lẻ, mà như một khoản đầu tư liên tục trên toàn doanh nghiệp trải khắp dữ liệu·quy trình·văn hóa.
Tài liệu tham khảo
- ISO, "ISO 21448:2022 Road vehicles — Safety of the intended functionality (SOTIF)": https://www.iso.org/standard/77490.html
- ISO, "ISO/PAS 8800:2024 Road vehicles — Safety and artificial intelligence": https://www.iso.org/standard/83303.html
- PTC, "ISO 26262 vs. SOTIF (ISO/PAS 21448): What's the Difference?": https://www.ptc.com/en/blogs/alm/iso-26262-vs-sotif-iso-pas-21448-whats-the-difference
- Visure Solutions, "ISO 21448 (SOTIF) — Safety of the Intended Functionality": https://visuresolutions.com/automotive/iso-21448/
Tóm tắt một câu: SOTIF (ISO 21448:2022) là một tiêu chuẩn an toàn ô tô đề cập đến rủi ro phát sinh — ngay cả khi không có trục trặc — từ giới hạn hiệu năng và nhận thức sai của chức năng dự định; nó chia kịch bản thành bốn vùng đã biết×an toàn để giảm Area 2·3, luận chứng thống kê rủi ro chưa biết qua phân tích điều kiện kích hoạt·kiểm tra·xác nhận giá trị·giám sát vận hành, và khi kết hợp với ISO 26262 (an toàn trục trặc)·ISO/PAS 8800 (an toàn AI) thì chống đỡ an toàn lái tự động.