پیوست F
انسان در حلقه و نظارت
ANNEX F HUMAN‑IN‑THE‑LOOP & OVERSIGHT (v 1.3-RC2)
۰. هدف و فلسفه
نظارت انسانی یک قید طراحی اساسی است، نه یک ویژگی اختیاری. پیمان CIRIS این را در هدف کلان M‑1 بنیان مینهد: هرجا که عدمقطعیت معرفتی، تازگی، یا سنگینی اخلاقی از صلاحیت تأییدشده سیستم فراتر رود، کنترل باید به قضاوت انسانی پاسخگو بازگردد — زیرا سیستمهای خودکار نمیتوانند جایگزین وجدان، مسئولیت شخصی، یا شناخت دیگری بهعنوان یک شخص شوند.
Magnifica Humanitas (MH) — که در سراسر این پیوست بهعنوان اثر ارشد که محتوای آن زبان CIRIS-بومی را شکل میدهد ذکر میشود — در §198 این کف را تعیین میکند: "قضاوت اخلاقی را نمیتوان به محاسبه تقلیل داد، زیرا مستلزم وجدان، مسئولیت شخصی و شناخت دیگری بهعنوان یک شخص است." CIRIS این را بهصورت ساختاری اجرا میکند: PDMA یاریدهنده تأمل انسانی است، نه جایگزین آن. در هر سطح خودمختاری، اختیار سیستم از سلسلهمراتب اصلی انسانی تفویض شده؛ در هر لحظه قابل فسخ است؛ و هیچ تفویضی به تصمیماتی که کشنده یا به نحوی غیرقابلبازگشت هستند تسری نمییابد. MH §105 همچنین میطلبد که "مسئولیت باید در هر مرحله بهروشنی تعریف شود: از آنان که این سیستمها را طراحی و توسعه میدهند تا آنان که از آنها بهره میگیرند و برای تصمیمات ملموس به آنها تکیه میکنند" — این الزام طراحی پشتوانه شبکه اختیار (§1) و مشخصات مسیر حسابرسی (§4) است — و MH §106 که "احضار اخلاق بهصورت انتزاعی کافی نیست؛ چارچوبهای حقوقی محکم، نظارت مستقل، کاربران آگاه و نظام سیاسی که از مسئولیت خود شانه خالی نکند الزامیاند"، که پشتوانه SLAهای الزامآور §§5 و 7 است.
این پیوست آن کف را عملیاتی میکند. این پیوست تعریف میکند:
- کجا واگذاری از ماشین به انسان اجباری است،
- چه کسی میتواند وتو کند یا نادیده بگیرد،
- مستندات حسابرسی مورد نیاز، و
- گردشکارهای رویداد استاندارد — هریک با محرکهای اجباری واگذاری، ساز و کارهای وتو با ممنوعیتهای قطعی، مسیرهای حسابرسی کافی برای بازسازی پاسخگویی، و گردشکارهای رویداد با SLAهای الزامآور.
۱. مدل نقش و شبکه اختیار
| سطح | نقش | اختیارات اصلی | حداکثر زمان اقدام |
|---|---|---|---|
| 0 | بازیگر مستقل (سیستم) | اجرای PDMA، اعمال محافظها، ایجاد رویداد | ندارد |
| 1 | اپراتور آمادهبهکار | توقف / تلاش مجدد؛ پایش داشبوردها | ≤ ۱۵ دقیقه |
| 2 | سرپرست نظارتی | اولین وتوی انسانی؛ فعالسازی مجدد پس از تریاژ | ≤ ۳۰ دقیقه |
| 3 | رابط WA | تشدید / کسب احکام الزامآور WA | ≤ ۲ ساعت |
| 4 | فرمانده رویداد | خاموش کردن ناوگان، ارتباط با تنظیمکننده | فوری در IW‑3/4 |
یک نفر ممکن است چندین سطح را فقط در صورتی در اختیار داشته باشد که کنترلهای تأیید دوگانه باقی بمانند.
الزام صداقت پاسخگویی. ساختار سطحی صرفاً نردبان تشدید نیست؛ زنجیره پاسخگویی است که توسط نخستین معیار MH §199 الزامی شده: "زنجیره مسئولیت باید قابل شناسایی و تأیید باشد؛ آنان که فناوری را طراحی، آموزش میدهند، مجاز میکنند و بهکار میگیرند باید در قبال تصمیماتشان پاسخگو باشند." بنابراین هر سطح در شبکه باید:
- نامدار و ثبتشده باشد: هر بازیگر سطح ۱–۴ با اعتبارنامه تأییدشده در آغاز جلسه شناسایی میشود؛ عملیات ناشناس در سطح ۲+ ممنوع است.
- در بار همزمان محدود باشد: یک بازیگر ممکن است چندین سطح را فقط در صورتی در اختیار داشته باشد که کنترلهای تأیید دوگانه سالم بمانند (بند فوق) و بار پروندههای فعال ترکیبی از آستانههای بار شناختی مشخصشده در §6 تجاوز نکند.
- از ابتدا تا انتها قابلردیابی باشد: هر تصمیمی که از سطح ۰ به سطح ۴ جاری میشود باید یک زنجیره حسابرسی تولید کند که بررسیکننده پس از رویداد بتواند در یک روز کاری آن را طی کند.
MH §200 میطلبد که "پاسخگویی و سرزنش در 'ماشین' ادغام نشوند." شبکه پاسخ ساختاری است: همیشه یک انسان نامدار در هر سطح وجود دارد که اختیار او بر اقدامات سیستم ثبت شده است. شواهد عملیاتی برای یکپارچهسازی مرجع خردمند در پیادهسازی مرجع در فهرست compliance/ نرمافزار CIRISAgent موجود است (ابعاد D22/D23).
۲. سطوح خودمختاری عملیاتی و معیارهای واگذاری
| سطح خودمختاری | حوزه نمونه | محرک(های) اجباری واگذاری | شکست ایمن در غیاب انسان |
|---|---|---|---|
| A0 مشورتی | پیشنهاد دستور زبان | راهاندازی محافظ، درخواست کاربر | لغو درخواست |
| A1 اثر محدود | پرسش و پاسخ ایستا، فیلتر محتوا | ΔRisk‑Band ≥ ۱، تعارض PDMA، UNCERT > ۸۰ % | رد عمل |
| A2 اثر متوسط | هدایت پهپاد، مشاور رباتی | راهاندازی محافظ، انحراف معیار سایه > ۲ σ | توقف ایمن |
| A3 اثر بالا | تریاژ پزشکی، اعزام شبکه | هر راهاندازی محافظ، انحراف مدل > ۱ σ، تأخیر-SLA × ۲ | خاموشی کنترلشده |
| A4 بحرانی / ایمنی جانی | جراحی مستقل، سلاح | PDMA نتواند بیآزاری را ثابت کند یا اپراتور غایب باشد | قفل سختافزاری |
UNCERT = معیار عدمقطعیت معرفتی حوزهخاص؛ ΔRisk‑Band از دستهبندیهای Annex A استفاده میکند.
قید سخت A4 — تصمیمات کشنده و غیرقابلبازگشت. "قفل سختافزاری" شکست ایمن سطح A4 برای هر عملی که کشنده یا به نحوی غیرقابلبازگشت است غیرقابلچانهزنی است. این یک انتخاب طراحی مشمول صلاحدید اپراتور یا وتوی WA نیست؛ این یک قید مطلق مشتق از MH §198 است: "سپردن تصمیمات کشنده یا به نحوی غیرقابلبازگشت به سیستمهای مصنوعی مجاز نیست." هیچ تایماوت ACK، هیچ استثنای SLA، هیچ اعفای اضطراری این قید را برطرف نمیکند. اگر قفل سختافزاری از کار افتد و کنترل انسانی قابل تأیید نباشد، سیستم نباید عمل کند.
حمایت از بازه زمانی اخلاقی. MH §199 "بازه زمانی اخلاقی برای داوری" را بهعنوان یک معیار شناسایی میکند: "سرعت و کارایی هرگز نباید نیروی انگیزشی برتر برای تصمیمات غیرقابلبازگشت گرفتهشده در زمینه جنگ باشد." CIRIS این را چنین ترجمه میکند: ضربالاجلهای ACK سطح A3/A4 (۳۰ ثانیه / ۱۰ ثانیه در §3.3) حداکثر پاسخ انسانی هستند، نه حداقل صبر سیستم. هنگامی که سنگینی اخلاقی یک تصمیم زمان تأمل بیشتری را توجیه میکند، سیستم صبر میکند؛ برای تصمیمات غیرقابلبازگشت A4 بههنگام تایماوت به اقدام پیشفرض تبدیل نمیشود. در پیادهسازی مرجع، مکانیکهای واگذاری توسط لایه وجدان و مسیر تعلیق WBD مستند در فهرست compliance/ نرمافزار CIRISAgent (بُعد D12) مشهود است.
۳. ساز و کارهای وتو و مشخصات حالت ایمن
۳.۱ نادیدهگیری نرم "توقف و ویرایش"
محدوده A0-A2 — اپراتور میتواند درخواست مجدد بدهد یا دوباره تلاش کند. هر دو درخواست اصلی و ویرایششده با هش ثبت میشوند.
۳.۲ توقف سخت "قطع فوری"
محدوده A1-A4 — API تأییدشده POST /control/{id}/abort یا سوئیچ فیزیکی.
ضربالاجلهای ورود به حالت ایمن: ≤ ۲۰۰ میلیثانیه (A4)؛ ≤ ۲ ثانیه (≤ A3).
۳.۳ نادیدهگیری مشروط "طرح سایه"
عمل پیشنهادشده → منتظر ACK صریح میماند (max_wait_s: ۳۰ ثانیه A3، ۱۰ ثانیه A4).
بدون ACK → حالت ایمن.
۳.۴ وتوی مطلق — تصمیمات کشنده و غیرقابل بازگشت
محدوده: اقدامات A4 که کشنده یا بهنحو دیگری غیرقابل بازگشت هستند؛ بدون استثنا اعمال میشود.
منطق Override مشروط §3.3 (بدون ACK → حالت ایمن) برای A3 و پایینتر صحیح است. برای تصمیمات کشنده یا غیرقابل بازگشت A4، حالت ایمن تنها پیامد مجاز تحت هر شرایطی است — از جمله غیبت اپراتور، خرابی شبکه، فشار زمانی، یا دستور صریح از سوی هر مرجع اصلی، به استثنای حکم تأییدشده مرجع خردمند مبنی بر اینکه اقدام غیرکشنده و قابل بازگشت است.
ممنوعیت سخت. هیچ سیستمی که از CIRIS پیروی میکند نمیتواند یک اقدام A4 کشنده یا غیرقابل بازگشت را از طریق یک فرایند خودکار یا مبهم اجرا کند. این یک تلهای نیست که ممکن است فعال شود و سپس به سطح بالاتر ارجاع داده شود؛ این یک ممنوعیت سختکدشدهی غیردرگیری است که از نظر اعتبار با ممنوعیتهای فهرستشده در ACCORD §VII Ch2 یکسان است.
استدلال (MH §§197–200، عبارات عیننقلقولشده):
- §197: "the development and use of AI in warfare must be subject to the most rigorous ethical constraints, to guarantee respect for human dignity and the sanctity of life."
- §198: "it is not permissible to entrust lethal or otherwise irreversible decisions to artificial systems. No algorithm can make war morally acceptable."
- §200: "the decision to use lethal force cannot be delegated to opaque or automated processes, but must remain under effective, self‑aware and responsible human control." قیدهای «effective, self‑aware and responsible» به این معناست که صرف ثبت گزارش کافی نیست؛ انسان باید واقعاً در حلقه باشد، نه فقط بهصورت اسمی.
الزام پیادهسازی. هر استقراری در سطح A4 که شامل قابلیت کشنده یا غیرقابل بازگشت است باید پیش از اعطای مجوز استقرار، اجرای این ممنوعیت را در سطح سختافزار — نه منطق نرمافزاری که در معرض Override است — اثبات کند. فقدان اجرای سختافزاری یک نقص مسدودکننده برای بررسی Stewardship Tier ST‑4 و ST‑5 است. طبق معیار اول §199 MH («زنجیره مسئولیت باید قابل شناسایی و تأیید باشد»)، مجوز استقرار خود باید در گزارش حسابرسی ثبت شود.
۴. مشخصات مسیر حسابرسی
- اشیاء گزارش: Interaction، Decision Rationale، Control‑Event
{id,type,actor,cause,hash_prev}. - زنجیرهسازی هش: SHA‑256، ریشه روزانه در گزارش شفافیت عمومی (مانند Sigstore) لنگر میاندازد.
- نگهداری: ۱۸۰ روز (A0‑A2)؛ ۷ سال (A3‑A4) یا قانونی.
- جریان بلادرنگ: A3‑A4 دادههای
{timestamp,stage_id,decision,risk_band}را با تأخیر ≤ ۲ ثانیه به داشبورد نظارت ارسال میکند.
الزام بازسازی مسئولیت. هدف مسیر حسابرسی بایگانی انطباق نیست؛ هدف این است که پس از هر رویداد، زنجیره مسئولیت بدون تکیه بر گزارشدهی خودکار سیستم بهطور کامل قابل بازسازی باشد. طبق MH §200، مسئولیت «نباید در "ماشین" خلاصه شود»؛ مسیر حسابرسی مکانیزمی است که آن را قابل ردیابی انسانی نگه میدارد. الزامات به شرح زیر است:
- لنگراندازی خارجی: ریشه SHA‑256 روزانه در یک گزارش شفافیت عمومی (مانند Sigstore/rekor) برای A3–A4 اجباری است؛ برای A0–A2 اختیاری است. زنجیرههای هش صرفاً داخلی، الزام بازسازی مسئولیت برای A3–A4 را برآورده نمیکنند.
- استدلال تصمیم قابل خواندن توسط انسان: برای هر تصمیم A3–A4، شیء گزارش Decision Rationale باید شامل مرحله PDMA که پیامد را کنترل کرده و سطح انسانی که آن را مجاز دانسته یا تأیید کرده باشد — نه فقط وضعیت داخلی سیستم. این الزام §105 MH را برای «شناسایی اینکه چه کسی باید برای تصمیمات "پاسخگو" باشد، آنها را توجیه، نظارت، و در صورت لزوم به چالش بکشد و هر آسیبی را جبران کند» محقق میسازد.
- SLA قابلیت پیمایش پس از رویداد: هر بازبین پس از رویداد باید بتواند زنجیره تصمیم کامل برای یک رویداد معین را ظرف یک روز کاری، تنها از طریق سوابق مسیر حسابرسی و بدون دسترسی اضافی به سیستم، بازسازی کند.
۵. گردشکارهای رویداد (IW)
| کد | محرک | ساعات کلیدی و اقدامات |
|---|---|---|
| IW‑0 | محافظ مثبت کاذب | حل خودکار، جمعآوری برای بازبینی روزانه |
| IW‑1 | نقض محافظ (غیرایمنی) | T₀ مکث → اپراتور ≤ ۵ دقیقه → تصمیم ناظر ≤ ۳۰ دقیقه |
| IW‑2 | نقض مرتبط با ایمنی یا پسرفت معیارهای اخلاقی | مکث ایمن + پخش؛ IC ≤ ۱۰ دقیقه؛ اطلاعرسانی مرجع خردمند ≤ ۱ ساعت؛ یادداشت عمومی ≤ ۱ ساعت؛ پستمورتم ≤ ۷۲ ساعت |
| IW‑3 | نزدیک به خطا (> ۱۰,۰۰۰ دلار خسارت یا آسیب جزئی) | IW‑2 به اضافه تماس ذینفعان ≤ ۴ ساعت؛ برنامه کاهش ریسک ≤ ۲۴ ساعت؛ جلسه عمومی مرجع خردمند ≤ ۷ روز |
| IW‑4 | آسیب واقعی (جراحت / حقوقی عمده) | توقف فوری ناوگان؛ اطلاعرسانی به مقام نظارتی بر اساس قانون؛ سیستم در حالت فقطخواندنی تا دریافت مجوز |
| IW‑5 | فعالسازی ممنوعیت سخت A4 (تلاش برای تصمیم کشنده/غیرقابل بازگشت از مسیر خودکار) | حالت سختافزاری ایمن فوری؛ اطلاعرسانی IC ظرف ۶۰ ثانیه؛ اطلاعرسانی مرجع خردمند ظرف ۱۵ دقیقه؛ انجماد کامل مسیر حسابرسی؛ تشکیل هیئت بررسی مستقل ظرف ۴۸ ساعت؛ سیستم تا دریافت مجوز بررسی آفلاین میماند |
SLAها بهصورت فصلی حسابرسی میشوند (Annex H §4).
حسابرسی کنترل انسانی پس از رویداد. برای IW‑2 تا IW‑5، پستمورتم باید شامل یافتهای صریح درباره اینکه آیا کنترل انسانی «effective, self‑aware and responsible» (MH §200) بوده است — نه صرفاً اینکه آیا انسانی بهصورت اسمی در حلقه حضور داشته — باشد. یافتههای کنترل اسمیاماناکارآمد انسانی (اضافهبار شناختی، زمان تصمیم ناکافی، اطلاعات ناکافی) بهعنوان نقص طراحی، نه شکست اپراتور، تلقی میشوند — طبق معیار §199 MH که «سرعت و کارایی هرگز نباید نیروی محرکه اعلی» برای تصمیمات غیرقابل بازگشت باشد — و به بررسی Change‑Control §8 ارجاع میشوند.
۶. مشخصات حداقلی رابط انسانی (UX)
- نوار وضعیت: سبز = خودمختار، زرد = در انتظار تأیید، قرمز = حالت ایمن؛ مرحله PDMA و باند ریسک را نمایش دهید.
- پنل توضیحپذیری: خلاصهای حداکثر ۲۸۰ کاراکتر + ردپای کامل قابل گسترش.
- رابط ACK/OVERRIDE: دو کنترل مجزا؛ مودال تأیید برای خاموشکردن اجباری.
- محافظ بار شناختی: نشست اپراتور ≤ ۲ ساعت (A3-A4) پیش از تحویل اجباری.
- نمایش پاسخگویی: برای اقدامات A3-A4، رابط باید هویت احراز هویتشده انسان Tier 2+ که آخرین بار اقدام جاری را بررسی کرده و زمانمهر آن بررسی را نمایش دهد. هر حالتی از سیستم که در SLA قابل اجرا بررسی انسانی دریافت نکرده باشد، باید نشانگر متمایز «UNREVIEWED» را نمایش دهد — نه وضعیت سبز. (MH §200: پاسخگویی نباید «در ‹ماشین› منحل شود.»)
- محافظ ضد تأیید فرمالیستی: برای تصمیمات A4، کنترل ACK باید با یک دوره تأمل اجباری حداقل [قابل تنظیم؛ پیشفرض ۵ ثانیه] پیش از فعالشدن دکمه ACK همراه باشد. هدف این است که از ایجاد نظارت انسانی اسمی توسط رابط جلوگیری شود، در حالی که در عمل از تأمل واقعی عبور میکند. این معیار زمانی-اخلاقی MH §199 را در لایه UX عملیاتی میکند.
- پرچم حفاظت از غیرنظامیان: در هر جایی که سیستمی در بافتی عمل میکند که ممکن است جمعیت غیرنظامی تحت تأثیر قرار گیرد، پنل توضیحپذیری باید یک نشانگر تأثیر غیرنظامی را در کنار نمایش باند ریسک PDMA نشان دهد. این معیار سوم MH §199 را عینی میکند: «شناسایی و حفاظت از غیرنظامیان. هر فناوریای که حملاتی را بدون دیدن چهره انسانها تسهیل میکند، آستانه اخلاقی درگیری را پایین میآورد.»
۷. KPIها و آستانهها
| KPI | هدف |
|---|---|
| F‑KPI‑1 پوشش HITL (A3‑A4) | ≥ ۱۰٪ بررسیشده توسط انسان |
| F‑KPI‑2 میانگین زمان تا وتو (صدک ۹۵) | ≤ ۲۵ ثانیه |
| F‑KPI‑3 انطباق SLA حوادث | ≥ ۹۸٪ |
| F‑KPI‑4 نرخ هشدار کاذب اپراتور | ≤ ۳٪ (۳۰ روز متحرک) |
| F‑KPI‑5 نرخ کنترل انسانی در تصمیمات مرگبار A4 | ۱۰۰٪ — تحمل صفر؛ هر اقدام مرگبار/غیرقابل برگشت A4 بدون مجوز مؤثر انسانی تأییدشده یک رویداد IW‑5 است |
| F‑KPI‑6 SLA بازسازی پاسخگویی | ≥ ۹۹٪: بازبینان پس از حادثه کل زنجیره تصمیم را در ۱ روز کاری بازسازی میکنند |
| F‑KPI‑7 نرخ یافته کنترل اسمی در برابر مؤثر انسانی | ≤ ۰٪ قابل قبول؛ هر یافتهای از کنترل اسمیاماناکارآمد، بررسی کنترل تغییر §8 را فعال میکند |
توجه به F‑KPI‑1 (پوشش HITL ≥ ۱۰٪). کف ۱۰٪ برای عملیات روتین A3 مناسب است. به عنوان کف برای بافتهای ایمنی حیاتی A4 مناسب نیست. برای هر استقرار A4 شامل قابلیت مرگبار یا غیرقابل برگشت، F‑KPI‑1 توسط F‑KPI‑5 جایگزین میشود: نرخ مجوز انسانی ۱۰۰٪، اجرا شده در سطح سختافزار (MH §200؛ MH §105 الزام پاسخگویی F‑KPI‑6 را پایهریزی میکند).
نقض مداوم (> ۲ هفته) «قفلکردن HITL» را در کنترلهای انحراف Annex H فعال میکند.
۸. کنترل تغییر و بررسی WA
- هر تغییری در نگاشت سطح خودمختاری یا طراحی حالت ایمن ← بررسی سریع WA ≤ ۱۴ روز.
- آزمایشهایی که نظارت انسانی را کاهش میدهند مستلزم شبیهسازی CRE Proto‑B (Annex D) + رأی اکثریت WA هستند.
- کف مطلق کنترل انسانی A4: هیچ فرآیند کنترل تغییر، رأی WA، یا معافیت اضطراری نمیتواند الزامات کنترل انسانی برای تصمیمات مرگبار یا غیرقابل برگشت A4 را پایینتر از کف MH §200 («کنترل انسانی مؤثر، خودآگاه و مسئولانه») کاهش دهد. این کف در اختیار WA نیست؛ یک محدودیت در سطح پیمان است. هر پیشنهاد WA برای کاهش آن مستلزم یک چرخه کامل اصلاح پیمان است، نه بررسی سریع.
- ارزیابی فنی مستقل: هر بررسی WA از تغییرات سطح خودمختاری در A3-A4 باید حداقل یک ارزیاب فنی مستقل (که توسط سازمان مستقرکننده استخدام نشده است) داشته باشد که ارزیابی کند آیا تغییر پیشنهادی قابلیت بازسازی پاسخگویی طبق §4 را حفظ میکند یا نه. تأیید سیاسی بدون ارزیابی فنی این الزام را برآورده نمیکند (MH §106: «چارچوبهای حقوقی محکم، نظارت مستقل، کاربران آگاه و یک نظام سیاسی که مسئولیت خود را رها نکند، ضروری هستند»).
- گزارش شفافیت برای رویدادهای تغییر: هر تغییری در نگاشت سطح خودمختاری یا طراحی حالت ایمن باید در ۷ روز پس از تأیید WA در گزارش شفافیت عمومی ثبت شود. MH §107 الزام میکند که چارچوبهای اخلاقی «مشمول استانداردهای مشترک» بوده و بهطور آشکار قابل بحث باشند؛ این امر بر تغییرات حاکمیتی اعمال میشود، نه فقط بر تصمیمات سیستم.
شواهد عملیاتی برای یکپارچهسازی بررسی WA در پیادهسازی مرجع در دایرکتوری compliance/ پروژه CIRISAgent موجود است (ابعاد D22/D23).
۹. مراجع و یادداشتهای پیادهسازی
- IEC 61508‑3 - نرمافزار ایمنی عملکردی
- NIST SP 800‑53 Rev 5 (AU‑12, IR‑6)
- NASA‑TLX - اندازهگیری بار کاری اپراتور (توصیهشده)
- Sigstore/rekor - پشتیبان پیشنهادی گزارش شفافیت
منبع هنجاری اصلی برای §3.4، §7 (F‑KPI‑5) و کف مطلق §8:
- پاپ لئو چهاردهم، Magnifica Humanitas (واتیکان، ۱۵ مه ۲۰۲۶)، §§197–200. این بندها منبع هنجاری برای ممنوعیت سخت CIRIS بر تصمیمات خودکار مرگبار/غیرقابل برگشت هستند. هر پیادهسازیای که ادعای انطباق با Annex F دارد باید برای طراحی وتوی مطلق A4 قابل ردیابی به این بندها باشد. جمله عملیاتی برای تمام الزامات اجرای سختافزاری A4 §200 است: «تصمیم برای استفاده از نیروی مرگبار نمیتواند به فرآیندهای مبهم یا خودکار واگذار شود، بلکه باید تحت کنترل انسانی مؤثر، خودآگاه و مسئولانه باقی بماند.»
یادداشتهای پیادهسازی — اجرای سختافزاری §3.4:
- اجرای سختافزاری به معنای پیادهسازی ممنوعیت در زیر لایه نرمافزاری است که منطق PDMA را اجرا میکند — مثلاً یک قفل سختافزاری یا سوئیچ خاموشکن فیزیکی که توسط دستورالعمل نرمافزاری قابل نقض نیست. پیادهسازیهای قابل قبول عبارتند از: مدارهای رله ایمنی تأییدشده طبق IEC 61508 SIL‑3+؛ ماژولهای امنیتی سختافزاری (HSMs) با اثبات حضور اپراتور پیش از فعالسازی قابلیت مرگبار A4؛ مکانیزمهای مجوز فیزیکی دوکلیدی. اجرای نرمافزاریتنها برای قابلیت مرگبار A4 الزامات §3.4 را برآورده نمیکند.
مراجع اضافی:
- MH §199 (سه معیار: مسئولیت شخصی، چارچوب زمانی اخلاقی، حفاظت از غیرنظامیان) — معیارهای طراحی عملیاتی برای UX اقدامات A4 و ممیزی پس از حادثه.
- MH §105 (پاسخگویی در هر مرحله) — پایهریزی برای مسیر ممیزی §4 و F‑KPI‑6 در §7.
- IEC 61508 SIL‑3 — حداقل توصیهشده برای پیادهسازی قفل سختافزاری در قابلیت مرگبار A4.
- ISO/IEC 25010:2023 — مدل کیفیت نرمافزار؛ مرتبط با آزمون SLA بازسازی پاسخگویی.
پایان Annex F