Câu hỏi khó nhất của AS-PM không phải "hệ thống có an toàn không?" mà là "an toàn tới mức nào thì đủ để ra mắt?". Trả lời câu đó đòi hỏi bạn chuyển rủi ro mơ hồ thành ngưỡng định lượng mà cả kỹ sư, ban lãnh đạo lẫn cơ quan quản lý cùng chấp nhận.
Vì sao phải định lượng
Nếu ngưỡng an toàn chỉ là cảm tính ("trông ổn rồi"), thì áp lực thương mại sẽ luôn thắng: sếp muốn ra mắt kịp Q4, đối thủ vừa ra bản mới. Con số là lá chắn khách quan giúp bạn nói "chưa" một cách không thể bác bỏ. Con số cũng giúp đo tiến bộ: tuần này tốt hơn tuần trước bao nhiêu?
Các chỉ số an toàn cốt lõi
- MTBF (Mean Time Between Failures) — thời gian/quãng đường trung bình giữa hai lỗi. Ví dụ: 1 disengagement mỗi 20.000 km.
- Disengagement rate — số lần con người phải can thiệp trên mỗi 1.000 km. Xu hướng giảm là dấu hiệu tốt, nhưng cẩn thận: giảm vì hệ thống ít gặp tình huống khó chứ không phải vì giỏi hơn.
- Severity-weighted incident rate — không phải lỗi nào cũng bằng nhau. Nhân số lỗi với mức nghiêm trọng (S0 không hại → S4 tử vong).
- Xác suất mục tiêu định lượng: ví dụ ngành ô tô dùng ASIL (ISO 26262). ASIL D yêu cầu xác suất lỗi phần cứng nguy hiểm < 10⁻⁸/giờ. Con số cụ thể tùy ngành, nhưng nguyên tắc: gắn xác suất mục tiêu cho từng mức nghiêm trọng.
Khung ALARP và "an toàn hơn con người"
Hai khung định ngưỡng phổ biến:
- ALARP (As Low As Reasonably Practicable): rủi ro phải được giảm tới mức thấp một cách hợp lý khả thi — tức chỉ chấp nhận rủi ro còn lại nếu chi phí giảm thêm là bất hợp lý so với lợi ích. Đây là chuẩn pháp lý ở nhiều nước.
- Positive Risk Balance / "tốt hơn tài xế người": hệ thống phải chứng minh gây ít tai nạn hơn con người trung bình trên cùng ODD. Nghe hợp lý nhưng cực khó chứng minh vì tai nạn nghiêm trọng rất hiếm — cần hàng trăm triệu km để có ý nghĩa thống kê.
Bài toán "bao nhiêu km mới đủ tin cậy?"
Đây là cạm bẫy thống kê kinh điển. Nếu tai nạn tử vong xảy ra trung bình mỗi ~150 triệu km ở người lái, thì để chứng minh (với độ tin cậy thống kê) rằng hệ thống của bạn an toàn ngang hoặc hơn, bạn cần hàng tỷ km thử nghiệm — điều bất khả thi bằng lái thật. Đó là lý do ngành dựa vào:
- Mô phỏng quy mô lớn (hàng triệu km ảo mỗi đêm) tập trung vào edge case.
- Scenario-based testing: thay vì lái ngẫu nhiên, xây kho tình huống nguy hiểm đã biết và test có hệ thống.
- Lập luận an toàn (Safety Case): kết hợp bằng chứng thống kê + phân tích kỹ thuật + kiểm thử có mục tiêu để lập luận rằng hệ thống đủ an toàn, thay vì dựa 100% vào số km.
Khung tư duy: từ mối nguy đến ngưỡng
- Xác định hazard (mối nguy): ví dụ "không phát hiện người đi bộ khi ngược nắng".
- Đánh giá S-E-C: Severity (nghiêm trọng), Exposure (tần suất gặp), Controllability (khả năng con người/hệ thống cứu vãn).
- Gán mức an toàn mục tiêu (ví dụ ASIL) từ ma trận S-E-C.
- Suy ra ngưỡng định lượng (xác suất lỗi tối đa cho phép).
- Thiết kế biện pháp giảm thiểu cho tới khi đạt ngưỡng.
Checklist ngưỡng an toàn trước khi ký duyệt ra mắt
- [ ] Mỗi hazard chính có xác suất mục tiêu định lượng chưa?
- [ ] Bằng chứng hiện tại (sim + đường thật) có đạt ngưỡng, có khoảng tin cậy không?
- [ ] Đã tính đến giới hạn thống kê (số km chưa đủ để kết luận)?
- [ ] Có Safety Case viết ra, được bên độc lập review chưa?
- [ ] Ngưỡng có được so với baseline con người trên cùng ODD không?
Sai lầm thường gặp
- Trung bình che giấu đuôi: disengagement rate trung bình đẹp nhưng dồn hết lỗi vào một loại tình huống hiểm — phải phân tách theo kịch bản.
- Nhầm "không thấy lỗi" với "an toàn": chưa gặp tai nạn trong 100.000 km không chứng minh gì nếu tai nạn xảy ra mỗi vài triệu km.
- So sai baseline: so hệ thống chạy cao tốc ban ngày với thống kê tai nạn con người gồm cả lái đêm, say rượu — táo so cam.
- Chọn ngưỡng theo lịch ra mắt thay vì theo rủi ro. Ngưỡng phải đặt trước, không sửa lùi cho vừa deadline.