A ISO 21448 existe porque a ISO 26262 não era suficiente. Isso não é uma crítica — é uma realidade técnica que toda organização que desenvolve sistemas avançados de assistência ao condutor ou funções de condução automatizada precisa entender com clareza antes de iniciar seu próximo programa.
A segurança funcional tradicional cobre o que acontece quando o hardware ou o software falha. A Segurança da Funcionalidade Pretendida — SOTIF — cobre um desafio diferente: garantir que o sistema opere com segurança mesmo quando cada componente funciona exatamente como projetado. Um sistema de frenagem automática que confunde uma marcação de solo com um obstáculo não é uma falha. É um problema de SOTIF. E a ISO 21448 é o padrão que oferece às equipes de engenharia uma forma estruturada de identificar e corrigir essas lacunas antes que os veículos cheguem às ruas.
Entender quem precisa desse padrão — e por quê — é o primeiro passo para construir um processo de desenvolvimento em conformidade e defensável.
A lacuna que a ISO 26262 não cobre
A ISO 26262 e a ISO 21448 regem duas categorias de risco de segurança distintas e igualmente importantes. A ISO 26262 aborda os riscos causados por mau funcionamento: falhas de hardware, defeitos de software e erros sistemáticos. A ISO 21448 aborda os riscos que surgem mesmo quando todos os componentes funcionam corretamente, porque a própria funcionalidade pretendida do sistema é insuficiente para lidar com todos os cenários do mundo real de forma segura.
O SOTIF se aplica a funcionalidades que exigem uma percepção situacional adequada para serem seguras. Sua preocupação é garantir a segurança na ausência de uma falha. Um sensor de câmera que funciona corretamente, mas não consegue detectar um pedestre sob chuva forte. Um sistema de piloto automático adaptativo que segue corretamente sua lógica programada, mas não consegue prever um veículo que faz uma fechada a curta distância. Em ambos os casos, nenhum componente falhou. O perigo surge da lacuna entre aquilo que o sistema foi projetado para lidar e o que o mundo real realmente apresenta.
A ISO 21448 foi originalmente concebida para ser a Parte 14 da ISO 26262, mas o escopo do problema cresceu o suficiente para exigir um padrão independente. Publicada em 2022, ela cobre atualmente os Níveis de automação SAE 0 a 2, com diretrizes aplicáveis também a níveis de automação superiores.
Quem precisa da ISO 21448
O padrão não é igualmente relevante para todas as organizações da cadeia de suprimentos automotiva. Seu escopo é preciso. Estas são as quatro categorias de organização para as quais ele não é opcional.
Montadoras que desenvolvem recursos de ADAS e de condução automatizada. As montadoras automotivas e os fornecedores Tier 1 que projetam sistemas elétricos e eletrônicos e funções de condução automatizada são o principal alvo da ISO 21448. Qualquer organização que lance funcionalidades baseadas em percepção, fusão de sensores ou algoritmos de planejamento complexos — piloto automático adaptativo, assistência de manutenção de faixa, frenagem de emergência automática ou níveis de automação superiores — está dentro do escopo. As montadoras estão utilizando as diretrizes do SOTIF para estabelecer frameworks de segurança robustos, realizando avaliações de risco abrangentes, definindo domínios de projeto operacional claros e implementando processos de validação rigorosos.
Fornecedores Tier 1 e Tier 2 que desenvolvem componentes de percepção ou de tomada de decisão. A colaboração entre montadoras e fornecedores é essencial para garantir a integração perfeita dos princípios do SOTIF ao longo de todo o ciclo de desenvolvimento do veículo. Um fornecedor que desenvolve um módulo de radar, uma unidade de processamento de câmera ou um algoritmo de fusão de sensores está contribuindo diretamente para a cadeia de percepção regida pela ISO 21448. As montadoras exigem cada vez mais que seus parceiros Tier 1 demonstrem alinhamento com o SOTIF como condição de participação em seus programas, exigência que se propaga em cascata pela cadeia de suprimentos.
Desenvolvedores de software e sistemas de IA. A ISO/PAS 8800, publicada em dezembro de 2024, complementa a ISO 21448 com diretrizes de segurança específicas para sistemas baseados em IA. À medida que os componentes de aprendizado de máquina se tornam centrais para a percepção e a tomada de decisão nos sistemas ADAS, a fronteira entre desenvolvimento de software e engenharia de segurança deixou de existir. As organizações que desenvolvem funções automotivas baseadas em IA não podem depender apenas da ISO 26262 — a natureza probabilística dos resultados do aprendizado de máquina se enquadra exatamente no território que a ISO 21448 foi criada para tratar.
Organizações responsáveis pelo monitoramento pós-comercialização. A ISO 21448 exige monitoramento operacional: processos para observar o comportamento em campo, detectar novos problemas de SOTIF e gerenciar atualizações ou mitigações após o lançamento. Isso significa que as obrigações do padrão não terminam no momento da homologação. As organizações que gerenciam atualizações de software, implantações remotas (OTA) ou programas de coleta de dados em campo estão dentro do escopo dos requisitos da fase operacional do padrão.
O que a conformidade realmente exige
O SOTIF se concentra nos perigos que surgem do comportamento pretendido dos sistemas automotivos, mesmo quando não há falha de hardware ou software. Diferentemente dos padrões de segurança tradicionais, focados na detecção e mitigação de falhas, o SOTIF examina como limitações funcionais, imprecisões de sensores e incertezas do ambiente podem levar a resultados inseguros.
Na prática, isso se traduz em quatro frentes de trabalho interligadas: identificação de perigos em nível de sistema para cenários em que um comportamento correto produz resultados inseguros; definição e documentação do Domínio de Projeto Operacional; programas estruturados de verificação e validação, incluindo simulação, testes em pista fechada e bibliotecas de cenários do mundo real; e processos de monitoramento pós-comercialização capazes de detectar novos problemas de SOTIF após a implantação do sistema.
Ao implementar a ISO 21448 em conjunto com a ISO 26262, os desenvolvedores automotivos alcançam uma cobertura de segurança ampliada para um leque maior de cenários, uma validação aprimorada das funções de percepção e tomada de decisão, uma avaliação de risco ao longo de todo o ciclo de vida, do conceito à produção, e a conformidade regulatória e setorial exigida pelos futuros sistemas de mobilidade. Os dois padrões não são alternativas. São camadas complementares de um framework de segurança completo.
Onde a Ariol Automotive atua
Na Ariol Automotive, trabalhamos com montadoras, fornecedores Tier 1 e Tier 2, e desenvolvedores de software em mercados internacionais na implementação de padrões automotivos de segurança e gestão da qualidade, incluindo a ISO 21448, a ISO 26262 e a IATF 16949. Nosso trabalho abrange análise de lacunas, design de processos, documentação e preparação para auditorias ao longo de todo o ciclo de desenvolvimento.
As organizações com as quais trabalhamos vão desde fornecedores automotivos consolidados que ampliam seu programa de segurança até novos entrantes que levam ao mercado, pela primeira vez, funções de ADAS ou de veículo definido por software. O ponto de partida varia. O resultado exigido é o mesmo: um processo de segurança que atenda aos padrões automotivos internacionais e resista a um escrutínio técnico independente.
Se sua organização desenvolve sistemas cuja operação segura depende da leitura correta do ambiente por sensores e algoritmos, a ISO 21448 se aplica a você. Quanto mais cedo ela for integrada ao processo de desenvolvimento, menor será o custo e o risco envolvidos.
