長年にわたり自動車業界は ISO 26262 に従い、ハードウェアの冗長化と徹底的な単体テストを行えば車は安全であると信じてきました。しかし機械学習による自動運転が始まると、すべてのセンサー、ECU、アクチュエータが 100% 正常に稼働していたにもかかわらず、致命的な事故が発生するようになりました。本稿では「故障起因の安全性」と「性能限界起因の安全性（SOTIF）」の決定的な違いを解き明かします。
ISO 26262 の危険は内部故障から発生します。マイコンの配線断線やスタックオーバーフローにより、部品が仕様通りに動かなくなる状態です。これに対し ISO 21448 の危険は、すべての部品がカタログ仕様通り完璧に稼働しているにもかかわらず発生します。カメラは光学規格を 100% 満たしていても、夜間の濡れたアスファルト上に落ちた黒いタイヤ片を光学的回折限界により認識できず衝突を招きます。この性能限界こそが SOTIF の戦場です。