[論文レビュー] An Analysis of ISO 26262: Using Machine Learning Safely in Automotive Software

Rick Salay, Rodrigo Queiroz+1 more|arXiv (Cornell University)|Sep 7, 2017

Adversarial Robustness in Machine Learning参考文献 20被引用数 106

ひとこと要約

本論文は、MLベースのソフトウェアがISO 26262に与える影響を分析し、自動車システムにおける安全な機械学習のために標準を適応させる提言を行う。

ABSTRACT

Machine learning (ML) plays an ever-increasing role in advanced automotive functionality for driver assistance and autonomous operation; however, its adequacy from the perspective of safety certification remains controversial. In this paper, we analyze the impacts that the use of ML as an implementation approach has on ISO 26262 safety lifecycle and ask what could be done to address them. We then provide a set of recommendations on how to adapt the standard to accommodate ML.

研究の動機と目的

• MLベースのソフトウェアが危険予防分析およびソフトウェア開発段階においてISO 26262にどのように影響するかを特定する。
• 非透明性、誤差率、学習データ、安定性など、ML固有の課題を強調する。
• ML技術を取り入れるためにISO 26262を適応させる具体的な提言を行う。
• 危険識別、故障分析、学習データ要件、ソフトウェア技術に関する影響を議論する。

提案手法

• MLコンポーネントに関連してISO 26262 Part 3およびPart 6をレビューおよび分析する。
• 安全性評価に影響を及ぼすMLの特性を特徴付ける（非透明性、誤差率、学習ベースの開発、不安定性）。
• MLの影響をISO 26262のプロセスにマッピングし、影響の5領域を特定する。
• 危険識別、故障分析、学習データ、MLの使用範囲、ソフトウェア技術に関するターゲットを絞った提言を行う。

実験結果

リサーチクエスチョン

• RQ1 ISO 26262が完全には対応できていないML固有の危険と安全上の懸念は何か？
• RQ2 ISO 26262の下でMLの使用が危険分析とソフトウェア開発ライフサイクルにどのように影響するか？
• RQ3 自動車ソフトウェアにおいてMLを安全に組み込むために標準のどの適応が推奨されるか？
• RQ4 MLを使用する際の学習データ、故障検出、アーキテクチャ設計への影響は何か？

主な発見

• MLは人間–機械の相互作用や複雑な挙動の相互作用から生じる新たな危険を生み出す可能性があり、単なる故障だけではない。
• MLコンポーネントには従来のソフトウェアとは異なる故障タイプと故障モードがあり、ML固有の故障検出ツールを必要とする。
• 学習データとMLライフサイクルはVモデルにおける完全に仕様された挙動という前提を破り、機能性に基づく異なる安全要件を必要とする。
• エンドツーエンドMLアプローチはモジュラ階層構造に関するISO 26262の前提に挑戦し、現在の指針の下では適さない可能性がある。
• Part 6の多くのユニットレベル技術はMLにも適用可能であるが、かなりの部分は直接適用できず、適用には適応が必要である。
• 標準が命令型プログラミング言語に偏っており、MLコンポーネントにはギャップを生み出しているため、技術目的ベースの要件への移行が示唆される。