Многие годы инженеры следовали ISO 26262: устраняй сбои, покрывай код тестами, и машина будет безопасна. Но с приходом ИИ произошли трагедии, когда каждый чип и датчик работали на 100% идеально. В статье разобран фундаментальный разрыв между безопасностью при поломках и безопасностью при функциональных ограничениях.
Опасность по ISO 26262 вызвана внутренней поломкой: перегоранием дорожки или переполнением стека. Опасность по ISO 21448 возникает, когда все узлы работают строго по спецификации: камера исправна, но законы дифракции света не позволяют ей различить кусок черной покрышки на мокром асфальте на скорости 100 км/ч.