Ce qu'un DER peut réexécuter : un moyen de conformité candidat pour l'apprentissage automatique en certification aéronautique
Toute discipline d'assurance de conception en aéronautique repose sur une propriété : une preuve qu'un tiers peut vérifier de façon indépendante, et non une preuve qu'une première partie atteste. La norme DO-178C ne demandait pas à un fournisseur de promettre que son code avait été testé. Elle exigeait une analyse de couverture structurelle, des cas de vérification et une traçabilité qu'une autorité de certification ou un représentant technique désigné (DER) pouvait réexécuter et confirmer par lui-même.
Ce qui se passe quand l'artefact est un modèle entraîné
Un DER peut réexécuter un rapport de couverture structurelle. Un DER ne peut pas réexécuter un modèle entraîné comme il réexécute un cas de test, et l'affirmation d'un fournisseur selon laquelle sa composante d'apprentissage automatique s'est comportée correctement sur une entrée donnée n'est pas, en soi, quelque chose qu'une autorité de certification peut vérifier de façon indépendante. Cet écart est précisément ce sur quoi travaillent en ce moment EUROCAE WG-114 et SAE G-34, conjointement, ainsi que le projet MLEAP de l'EASA. La question ouverte pour quiconque bâtit vers une base de certification qui inclut une composante d'apprentissage automatique : qu'est-ce qui constitue un moyen de conformité acceptable pour les objectifs d'enregistrement des données et de maintien de la navigabilité, une fois que l'artefact examiné est un modèle plutôt qu'un programme déterministe.
Une réponse candidate, empruntée à un principe que l'assurance de conception suit déjà
L'assurance de conception a toujours séparé la partie qui produit un artefact de la partie qui le vérifie. Appliquée à l'inférence d'apprentissage automatique, cette séparation signifie que le système qui a fait passer une entrée donnée à travers un modèle donné est architecturalement distinct du système qui vérifie le résultat. Un reçu cryptographique, généré par inférence vérifiée mathématiquement, permet à une autorité de certification ou à un DER de re-dériver de façon indépendante qu'une sortie précise provient d'un modèle précis sur une entrée précise. C'est une propriété structurelle de la façon dont l'inférence a été exécutée et vérifiée, et non une approbation procédurale ajoutée par-dessus.
Ce qui est réellement en service, nommé honnêtement
Aujourd'hui, cette capacité s'applique aux charges de travail de plongement (embedding) et aux modèles exportables en ONNX, vérifiés au moyen d'un téléversement « apportez votre propre ONNX ». Cela vaut la peine d'être nommé précisément parce qu'une part importante de l'apprentissage automatique qui entre déjà dans les bases de certification de l'avionique et de l'autonomie, la perception et la fusion de capteurs en particulier, est livrée sous forme de modèles exportables en ONNX. Pour cette tranche de ce que construisent aujourd'hui les fournisseurs d'autonomie UAS, d'eVTOL, d'ATM et d'autonomie de défense, un reçu cryptographique par inférence vérifiée mathématiquement est quelque chose que vous pouvez générer et remettre à un DER dès maintenant, pas un élément de feuille de route.
Une conversation distincte, gardée distincte
Certaines piles d'autonomie évoluent vers des architectures de modèles plus complexes qu'un seul graphe exportable. Là où c'est le cas, la preuve que ces composantes devraient produire pour une base de certification est une conversation de partenaire de conception au sujet d'un futur moyen de conformité candidat. Ce n'est pas une affirmation sur ce qui tourne en production aujourd'hui, et nous n'en faisons pas une. C'est une conversation qui vaut la peine d'être tenue tôt, pendant que WG-114 et MLEAP écrivent encore les règles qui définiront la preuve acceptable, plutôt qu'après qu'une base de certification est déjà fixée.
À qui nous parlons
Nous gardons une veille étroite sur WG-114, SAE G-34 et MLEAP, et nous voulons parler avec les responsables de l'ingénierie et de la certification chez les fournisseurs d'autonomie UAS, d'eVTOL, d'ATM et d'autonomie de défense, ainsi qu'avec les cabinets-conseils DO-178C, DO-330 et ARP4754A qui accompagnent ces fournisseurs à travers la certification. Si vous siégez à l'un de ces groupes de travail, ou si vous essayez de déterminer quelle preuve un DER acceptera réellement pour la composante d'apprentissage automatique de votre prochaine base de certification, c'est la conversation qui vaut la peine d'être amorcée maintenant.