Por anos, a regra de ouro foi a ISO 26262: testar MC/DC, duplicar sensores e o carro estava seguro. Mas quando a IA assumiu o volante, acidentes fatais ocorreram com todas as peças 100% perfeitas, sem nenhuma falha elétrica. Analisamos a separação essencial entre segurança de falha e segurança de performance.
Um perigo ISO 26262 decorre de falha interna: um fio se rompe ou um estouro de pilha corrompe a memória. Já o perigo ISO 21448 ocorre com tudo funcionando segundo a especificação: a câmera de 1,3 MP atende a todos os índices de ruído, mas a física da luz a impede de ver um pneu preto no asfalto molhado a 100 km/h.