[論文レビュー] Using Machine Learning Safely in Automotive Software: An Assessment and Adaption of Software Process Requirements in ISO 26262

Rick Salay, Krzysztof Czarnecki|arXiv (Cornell University)|Aug 5, 2018

Adversarial Robustness in Machine Learning参考文献 73被引用数 38

ひとこと要約

この論文は、自動車システムにおける機械学習（ML）に適応するため、ISO 26262のソフトウェアプロセス要件を評価・改変し、ADASおよび自動運転における教師あり学習に焦点を当てている。標準のMLへの適用可能性に課題が生じることを特定し、安全性、トレーサビリティ、検証を確保するための新たな、特化した要件を提案しており、安全で重要な自動車ソフトウェア開発へのML統合に実用的なフレームワークを提供する。

ABSTRACT

The use of machine learning (ML) is on the rise in many sectors of software development, and automotive software development is no different. In particular, Advanced Driver Assistance Systems (ADAS) and Automated Driving Systems (ADS) are two areas where ML plays a significant role. In automotive development, safety is a critical objective, and the emergence of standards such as ISO 26262 has helped focus industry practices to address safety in a systematic and consistent way. Unfortunately, these standards were not designed to accommodate technologies such as ML or the type of functionality that is provided by an ADS and this has created a conflict between the need to innovate and the need to improve safety. In this report, we take steps to address this conflict by doing a detailed assessment and adaption of ISO 26262 for ML, specifically in the context of supervised learning. First we analyze the key factors that are the source of the conflict. Then we assess each software development process requirement (Part 6 of ISO 26262) for applicability to ML. Where there are gaps, we propose new requirements to address the gaps. Finally we discuss the application of this adapted and extended variant of Part 6 to ML development scenarios.

研究の動機と目的

• MLベースの自動車システムにおけるイノベーションの拡大と、安全性適合の必要性との間の対立を是正すること。
• 既存のISO 26262ソフトウェアプロセス要件とML開発実務との間の不適合性を特定すること。
• ISO 26262第6部の各要件が、自動車分野における教師あり機械学習にどの程度適用可能かを評価すること。
• 特定のギャップを埋めるために、安全性、検証、トレーサビリティの分野で新たな、的を射たソフトウェアプロセス要件を提案すること。
• ML開発に特化した、実用的で拡張されたISO 26262第6部のバージョンを提供すること。

提案手法

• MLとISO 26262の間の対立要因（非決定的性、データ依存性、形式的仕様の欠如など）を詳細に分析する。
• ISO 26262第6部のソフトウェアプロセス要件を、教師あり学習ワークフローに適用可能かどうかを体系的に評価する。
• ML固有の課題（例：モデル学習、データドリフト、ブラックボックス行動）が現在の基準でカバーされていない具体的なギャップを同定する。
• データ管理、モデル検証、データから意思決定へのトレーサビリティ、継続的検証に焦点を当てた新たな要件を提案する。
• 提案された要件を、自動車分野におけるML開発に特化した一貫性のある拡張版ISO 26262第6部に統合する。
• ADASおよび自動運転分野の具体的なシナリオを通じて、適応フレームワークの適用を説明する。

実験結果

リサーチクエスチョン

• RQ1 ISO 26262第6部のどの特定の側面が、MLベースの自動車ソフトウェアにおける安全性を確保するために不適切または不十分であるか？
• RQ2 ISO 26262のソフトウェアプロセス要件は、安全で重要なシステムにおける教師あり機械学習の独自の課題に対処するために、どのように適応可能か？
• RQ3 自動車アプリケーションにおけるMLモデルのトレーサビリティ、検証、検査を確保するために、どのような新たなプロセス要件が必要か？
• RQ4 適応されたフレームワークは、実際のADASおよび自動運転開発シナリオにどのように実用的に適用できるか？
• RQ5 現在のISO 26262の実務では十分に緩和されていない、MLによって引き起こされる主な安全性リスクは何か？

主な発見

• ISO 26262第6部は、教師あり機械学習モデルの非決定的性、データ依存性、ブラックボックス性に対処する上で顕著なギャップを有している。
• 形式的なデータ品質管理手順、モデル一般化テスト、学習データから推論意思決定へのエンドツーエンドのトレーサビリティが、主に欠落している。
• 著者らは、データラインレージ、モデルバージョニング、継続的検証に焦点を当てた新たな要件を提案しており、安全性と適合性の向上を図る。
• 適応されたフレームワークは、ISO 26262の安全性の目的を維持したまま、MLを安全で重要な自動車開発に体系的に統合可能である。
• 提案された拡張は、実際のADASおよび自動運転ユースケースに適用可能であることが実証されており、規制機関および産業界の採用への道筋を提供する。
• 本研究は、特にデータおよびモデルライフサイクル管理における強化されたプロセス制御が適用されれば、MLを自動車ソフトウェアに安全に統合可能であることを確立している。