Durch die Antwort der Forschungsfrage „Welche Defizite besitzen diese Konzepte?“ aus Unterkapitel 1.2 ist zur weiteren Beantwortung der initiale Forschungsfrage „Welche Her-ausforderungen bestehen im Nachweis der Sicherheit von ML in FAS?“ die Analyse der ML-inhärenten Fehlerquellen bzw. Fehlerarten notwendig, um hierauf basierend weitere konkrete Forschungsfragen abzuleiten. Zur Identifikation der ML-inhärenten Fehlerquel-len, die nicht in konventionellen Algorithmen auftreten, werden die Unterschiede zwischen beiden Algorithmenarten untersucht. Es werden entsprechend des Lebenszyklus von Algo-rithmen in FAS Unterschiede in den Bereichen Entwicklung der Modelle, Implementie-rung im Fahrzeug und Interaktion mit dem Nutzer untersucht.
Konventionelle Algorithmen werden entsprechend der ISO 26262170 anforderungsbasiert entwickelt. Jede Funktionalität wird explizit vorgegeben und einprogrammiert. Dabei wer-den auch die Regeln, die zur Umsetzung der Funktionalität notwendig sind, als Anforde-rungen definiert und deren korrektes Verhalten im Anschluss überprüft. Diese Regeln wer-den im Vorfeld von Entwicklern basierend auf Messergebnissen, bestehenwer-den Untersu-chungen, analytischen Überlegungen etc. definiert und stellen für den gesamten Betriebs-bereich gültige Zusammenhänge dar. Eine beispielhafte Regel für die Umsetzung einer Fahrstilklassifizierung basierend auf Fahrdynamikgrößen ist, dass sportlichere Fahrer an-dere Bereiche von Quer- und Längsbeschleunigungen erreichen als vorsichtigere.171 Wie bereits im Rahmen des Entwicklungsprozesses maschinellen Lernens vorgestellt (siehe Abschnitt 2.2.1), wird das gelernte Modell im Gegensatz hierzu automatisiert durch das Induktionsprinzip erstellt.172 Die zur Aufgabenerfüllung erforderlichen Regeln werden aus den zur Verfügung stehenden Trainingsdaten gebildet, wobei angenommen wird, dass die generierten Regeln auch außerhalb der in den Trainingsdaten vorhandenen Werte Gültig-keit besitzen. Es gibt zahlreiche Ursachen, durch die es möglich ist, diese Annahme der Allgemeingültigkeit (bzw. der Gültigkeit auf den Wertebereich der Betriebsdaten) zu ver-letzen, wie der bereits erwähnte Fehler, dass statt makroskopischer Zusammenhänge mik-roskopische Beziehungen erlernt werden.173 Hierdurch ist die Gültigkeit der erlernten Zu-sammenhänge lediglich für die Werte der zur Entwicklung genutzten Datensätze gegeben.
Treten im späteren Betrieb Eingangsdaten auf, die außerhalb der Werte der dieser Datens-ätze liegen, ist es möglich, das Fehlverhalten auftritt, da die erlernten mikroskopischen Zusammenhänge ebenfalls, jedoch in einem veränderten makroskopischen Kontext, auftre-ten und hierdurch eine andere Ausgangsgröße besitzen als durch die mikroskopischen Zu-sammenhänge prädiziert. Im Fall des Leoparden-Beispiels eines Modells zur Identifikation
170 ISO: ISO 26262:2018. Road vehicles: Functional safety (2018).
171 Vgl. Winner, H.: Handbuch Fahrerassistenzsysteme (2015), S. 21.
172 Vgl. Bergadano, F.: The Problem of Induction and Machine Learning (1991), S. 1073.
173 Siehe Leopardenmuster-Beispiel in Unterkapitel 3.2.
von verschiedenen Objekten und Tieren aus Bilddateien hat das Modell die Fellstruktur als Merkmal zur Identifikation eines Leoparden erlernt und lässt dabei die Statur des Tieres zur Identifikation außer Betracht. Wird diesem Modell ein Sofa mit einer ähnlichen Fell-struktur gezeigt, prädiziert es mit hoher Zuverlässigkeit, dass es sich um einen Leoparden handelt.174 Dadurch, dass diesem gelernten Modell durch die gute Prädiktionsrate auf dem Testdatensatz, welcher kein Objekt mit einem Leopardenmuster enthielt, eine hohe Leis-tungsfähigkeit zugeschrieben wird, stellt die Problematik der nicht vorhandenen Allge-meingültigkeit einen kritischen Fall in der Erbringung des Sicherheitsnachweises dar.175 Die Eigenschaft, dass die Gültigkeit der Annahmen bzw. Regeln des gelernten Modells vollständig für den Einsatzbereich, d.h. insbesondere nicht nur für die in der Entwicklung genutzten Datensätze, ausreicht, wird im Folgenden mit dem Begriff Generalisierbarkeit beschrieben. Weitere, bereits bekannte ML-inhärente Fehlerursachen der Algorithmenar-ten, die in FAS eingesetzt werden, sind bei Faria176 im Rahmen der Ausführungen zu dem von ihm entwickelten Sicherheitsnachweis explizit aufgelistet (siehe Abschnitt 3.2.2.2).
Alle von Faria identifizierten Ursachen äußern sich ebenfalls in fehlender Generalisierbar-keit. Auch die durch Burton et al.177 aufgelisteten Ursachen von funktionalem Fehlverhal-ten (siehe Abschnitt 3.2.2.1) resultieren in fehlender Generalisierbarkeit.
Zur Implementierung im Fahrzeug benötigen leistungsfähige gelernte Modelle, wie Tiefe Neuronale Netze, andere Hardware als die bisherigen konventionellen Algorithmen. Der-zeit wird beispielsweise vor allem auf Grafikkarten für den Betrieb Tiefer Neuronaler Net-ze zurückgegriffen.178 In diesem Bereich ist es möglich, dass neue hardwarespezifische Fehler auftreten, die mit der Nutzung der gelernten Algorithmen zusammenhängen. Diese Problematik wurde bereits von einem Grafikkartenhersteller aufgegriffen und als, in Ein-klang mit der ISO 26262, gelöst postuliert.179 Daher wird kein Fokus auf diese Art der Fehler in der vorliegenden Betrachtung gelegt.
Salay et al.180 stellte neben fehlender Generalisierbarkeit auch Gefahren durch eine verän-derte Nutzer-System-Interaktion als ML-inhärente Fehler heraus, da es möglich ist, dass gelernte Modelle durch ihre hohe Leistungsfähigkeit und die hierdurch möglichen neuen Funktionalitäten als „intelligenter“ als konventionelle Algorithmen wahrgenommen wer-den. Hierdurch ist es möglich, dass Nutzer dem System zu sehr vertrauen, so dass sie bei-spielsweise bei ACC trotz Warnungen des Erreichens der Systemgrenzen keine
174 Vgl. Khurshudov, A.: Suddenly, a leopard print sofa appears (2015).
175 Vgl. Koopman, P.; Wagner, M.: Autonomous Vehicle Safety (2017), S. 94.
176 Faria, J. M.: Non-determinism and Failure Modes in Machine Learning (2017).
177 Burton, S. et al.: Case for Safety of Machine Learning (2017).
178 Vgl. DeAmbroggi, L.: Artificial intelligence in automotive (2016), S. 2ff.
179 Vgl. nvidia: NVIDIA Announces World’s First Functionally Safe AI Self-Driving Platform (2018).
180 Salay, R. et al.: An Analysis of ISO 26262 (2017).
me tätigen und hieraus ein Unfall resultiert. Da diese Wahrnehmung eines „intelligenten“
Systems und die hiervon abhängigen Gefahren und Fehler jedoch bereits durch die ISO/
PAS 21448 adressiert werden, werden diese aus der folgenden Betrachtung ausgeklam-mert.
Aufgrund dieser Analyse wird der Bereich der fehlenden Generalisierbarkeit weiter fokus-siert, wodurch sich die folgende weitere Forschungsfrage ergibt: „Wie ist es möglich, feh-lender Generalisierbarkeit systematisch zu begegnen?“. Für ein systematisches Vorgehen werden zunächst die Ursachen fehlender Generalisierbarkeit analysiert, um nach Ansätzen zu forschen, mit denen das Vorliegen der Ursachen zu identifizieren bzw. zu vermeiden ist.
Daher lauten weitere, der obigen Frage untergeordnete Fragestellungen: „Auf welche Ursa-chen ist fehlende Generalisierbarkeit zurückzuführen?“ und „Wie ist es möglich, diesen Ursachen strukturiert zu begegnen?“ Diese werden jeweils einzeln in Kapitel 4 und 5 be-antwortet.
4 Analyse der Generalisierbarkeit
Wie bereits in Unterkapitel 3.3 diskutiert, resultiert die Problematik der möglichen fehlen-den Generalisierbarkeit aus der Nutzung des Induktionsprinzips zur automatisierten Gene-rierung gelernter Modelle. Jedoch fehlt bisher eine systematische Auflistung konkreter Ursachen, die dazu führen, dass eine ausreichende oder mangelhafte Generalisierbarkeit für den Anwendungsfall des Modells erreicht wird. Um der Frage „Auf welche Ursachen ist fehlende Generalisierbarkeit zurückzuführen?“ nachzugehen, wird in Unterkapitel 4.1 eine Fehlerbaumanalyse durchgeführt. Für diese Fehler werden anschließend in Unterkapi-tel 4.2 mögliche Identifikations- und Vermeidungsmöglichkeiten analysiert und hinsicht-lich dieser kategorisiert. Diese Kategorisierung wird in Unterkapitel 4.3 übersichthinsicht-lich zu-sammengefasst.