Van stochastische modellen naar deterministische waarborging: een strategisch raamwerk voor veiligheidskritische kunstmatige intelligentie

Het hedendaagse landschap van kunstmatige intelligentie wordt momenteel doorsneden door een fundamenteel misverstand over technische diepgang. Aan de ene kant van deze kloof ligt de snelle proliferatie van generatieve interfacelagen—vaak gekarakteriseerd als Large Language Model (LLM)-"wrappers"—die snelle uitrol en conversationele vloeiendheid vooropstellen. Aan de tegenoverliggende kant staat de strikte discipline van deep AI-engineering, een vakgebied dat wordt gedefinieerd door de integratie van formele verificatie, veerkrachtige sensorfusie en deterministische veiligheidsarchitecturen. Voor enterprise-leiders die deze overgang navigeren, is het onderscheid niet langer louter academisch. Naarmate autonome systemen van digitale omgevingen naar risicovolle fysieke inzet verschuiven, zijn de beperkingen van probabilistische, "wrapper-gebaseerde" benaderingen blootgelegd door een reeks in het oog springende incidenten.

De incidenten rond Uber Advanced Technologies Group (ATG), GM Cruise, Tesla en Waymo dienen als cruciale empirische gegevens voor deze analyse. Deze gebeurtenissen zijn meer dan geïsoleerde ongevallen; ze zijn systemische indicatoren van architectonische kwetsbaarheid. De schikking van $8,5 miljoen rond Uber ATG na het fatale ongeval in Tempe in 2018, de intrekking van de Californische exploitatievergunning van GM Cruise in 2023, en de lopende onderzoeken van de National Highway Traffic Safety Administration (NHTSA) naar Tesla's Full Self-Driving (FSD)-systeem zijn allemaal symptomen van een "perceptie-logicakloof".¹ Dit rapport analyseert deze incidenten om een nieuw paradigma voor veiligheidskritische AI vast te stellen—een paradigma dat Veriprajna niet positioneert als facilitator van stochastische interfaces, maar als aanbieder van diepe, verifieerbare autonomie.

De architectonische kwetsbaarheid van stochastische perceptie: lessen van Uber ATG

De botsing van maart 2018 in Tempe, Arizona, waarbij een testvoertuig van Uber ATG betrokken was, blijft de fundamentele casestudy van classificatiebrosheid. Hoewel het narratief destijds zwaar leunde op de afleiding van de menselijke veiligheidsoperator, onthulden de bevindingen van de National Transportation Safety Board (NTSB) een veel diepgaander falen in het vermogen van de software om een stabiele representatie van de fysieke wereld te handhaven.³

Classificatie-oscillatie en het falen van objectpermanentie

Het Uber ATG-systeem registreerde de voetganger, Elaine Herzberg, voor het eerst ongeveer 5,6 seconden vóór de impact.⁵ Bij een snelheid van 43 mph was het voertuig bijna 378 voet verwijderd, wat een ruim venster bood voor een standaard Automatic Emergency Braking (AEB)-systeem om in te grijpen.⁷ De perceptielogica van het systeem werd echter gekenmerkt door "classificatie-oscillatie." In de seconden voorafgaand aan de crash classificeerde de software de voetganger herhaaldelijk opnieuw—eerst als een "onbekend object," vervolgens als een "voertuig," en ten slotte als een "fiets".⁶

Elke herclassificatie was niet louter een verandering van label; het was een reset van het voorspelde traject van het object. In probabilistische systemen zonder temporele consistentie behandelt de AI elk frame of cluster van frames als een nagenoeg onafhankelijke gebeurtenis. Omdat het systeem geen persistente identiteit voor het object kon vaststellen, kon het geen betrouwbare padvoorspelling berekenen tot het te laat was. Het systeem stelde pas 1,3 seconden vóór de impact vast dat noodremmen nodig was—een punt waarop de natuurwetten een botsing onvermijdelijk maakten.³

Technische schuld en het verwijderen van veiligheidsredundantie

Een cruciaal element van het Uber ATG-falen was de bewuste deactivering van de ingebouwde veiligheidssystemen van het voertuig. Om "grillig voertuiggedrag" te voorkomen en een soepelere rit voor het autonome systeem te bieden, had Uber de fabrieksmatig geïnstalleerde botsingspreventie- en AEB-functies van de Volvo XC90 uitgeschakeld.⁴ Het engineeringteam koos ervoor volledig te vertrouwen op een propriëtair systeem in ontwikkeling dat nog niet was geverifieerd voor interventie met hoge betrouwbaarheid.

Faalcomponent	Technisch mechanisme	Strategische implicatie
Perceptiepijplijn	Classificatie-oscillatie (Onbekend -> Voertuig -> Fiets)	Verlies van objectpermanentie schakelt padvoorspelling uit.6
Logica-onderdrukking	Handmatige deactivering van Volvo-fabrieks-AEB	Verwijdering van hardgecodeerde veiligheidslagen ten gunste van experimentele code.4
HMI-interface	Overmatige afhankelijkheid van een onoplettende menselijke monitor	Falen om rekening te houden met "automatiseringszelfgenoegzaamheid".3
Voorspellingsengine	Statische trajectaanname voor dynamische actoren	Onvermogen om niet-standaard voetgangersoversteken te modelleren.5

Dit besluitvormingsproces illustreert een gevaarlijke trend in AI-ontwikkeling: het opofferen van deterministische veiligheidslagen ten behoeve van "soepele" prestaties in een stochastisch model. De schikking van $8,5 miljoen voor de crash van 2018 weerspiegelt niet alleen een juridische aansprakelijkheid, maar een falen om de "functionele beperkingen" van het geautomatiseerde rijsysteem te beheersen.⁴ Deep AI-engineering, zoals bepleit door Veriprajna, verzet zich tegen deze hiërarchie en pleit voor een "Safety-First"-architectuur waarin de perceptielaag wordt begrensd door formele constraints die niet door experimenteel beleid kunnen worden overschreven.

Misdiagnose en het falen van post-impactlogica: de Cruise-crisis van 2023

In oktober 2023 reed een GM Cruise-robotaxi in San Francisco een voetganger aan en sleepte haar 20 voet mee, wat leidde tot een volledige opschorting van de bestuurderloze operaties van het bedrijf in Californië.⁹ Dit incident ging verder dan het probleem van initiële botsingspreventie naar het terrein van "redeneren na impact"—een domein waarin typische LLM-wrappers en eenvoudige perceptie-API's volledig falen.

De drogreden van frontale overrijding versus zij-impact

Het Cruise-incident werd ingeleid door een derde partij: een door een mens bestuurde Nissan reed een voetganger aan en katapulteerde haar in het pad van het Cruise-voertuig.⁹ De Cruise-auto raakte de voetganger en stopte aanvankelijk. Omdat de "impactdetectie"-logica van het systeem onvoldoende granulair was, diagnoseerde het de botsing echter verkeerd. Ondanks dat de voetganger onder het voertuig vastzat, herkenden de sensoren van het systeem geen frontale overrijding en categoriseerden ze de gebeurtenis in plaats daarvan als een zijdelingse botsing.¹

Deze misdiagnose activeerde een voorgeprogrammeerde "Minimal Risk Condition" (MRC)-manoeuvre. Het systeem was ontworpen om na een zij-impact naar de kant van de weg te rijden om het verkeer niet te blokkeren.¹¹ Omdat de perceptielaag de voetganger na de impact had "vergeten," begon het voertuig naar de kant te rijden en sleepte het slachtoffer 20 voet mee met ongeveer 7 mph.⁹ Het slepen stopte pas toen het voertuig "overmatige wielslip" detecteerde, die het interpreteerde als een mechanisch defect in plaats van als een menselijke obstructie.¹¹

Transparantie als technische vereiste

Het Cruise-falen was evenzeer een organisatorisch falen als een technisch falen. Onderzoeken onthulden dat de senior leiding "gefixeerd was op het corrigeren van het onnauwkeurige medianarratief" en naliet transparant te zijn jegens toezichthouders over het slepen.⁹ Medewerkers van Cruise gaven toe de video "voor zichzelf te laten spreken" tijdens vergaderingen met de DMV, wetende dat problemen met internetconnectiviteit vaak verhinderden dat het "sleep"-gedeelte van de video werd afgespeeld.⁹

Dit belicht een cruciale les voor deep-AI-consultancy: de veiligheid van een autonoom systeem is onlosmakelijk verbonden met de transparantie ervan. De aanpak van Veriprajna benadrukt de ontwikkeling van "verklaarbare veiligheidsaudits," waarbij elke beslissing van de AI, vooral na impact, wordt gelogd in een fraudebestendig, deterministisch formaat dat in realtime door toezichthouders kan worden geaudit. De daaropvolgende strafrechtelijke boete van $500,000 voor het indienen van valse rapporten bij de NHTSA onderstreept de hoge kosten van het behandelen van AI-veiligheid als een marketingprobleem in plaats van een engineeringprobleem.¹

Het "vision-only"-dilemma en de grenzen van probabilistische waarneming: Tesla FSD

Tesla's Full Self-Driving (FSD)-systeem is het middelpunt geworden van een omvangrijk regelgevend onderzoek, waarbij de NHTSA tussen 2024 en 2025 meer dan 40 onderzoeken naar crashes opende.² Deze onderzoeken, in het bijzonder die geïdentificeerd als PE24-031 en PE25-012, richten zich op het falen van het systeem in "Capability Theater"—optimale prestaties onder heldere omstandigheden die instorten in het licht van omgevings-"edge cases".¹³

Omgevingssensitiviteit en signaalnon-compliance

De onderzoeken van de NHTSA hebben specifieke patronen geïdentificeerd waarin Tesla's vision-only-systeem niet voldoet aan elementaire verkeersveiligheidswetten:

1. Falen van verkeerslichten: In 18 afzonderlijke klachten bleven FSD-ingeschakelde voertuigen niet gestopt voor rode lichten of detecteerden ze de signaalstatus helemaal niet.¹²
2. Manoeuvres tegen de richting in: Het systeem is waargenomen terwijl het tegengestelde rijstroken op reed of afslagen uitvoerde vanaf doorgaande rijstroken, waarbij duidelijke wegmarkeringen en bewegwijzering werden genegeerd.²
3. Verzadiging bij laag zicht: Een significante fatale botsing in 2023 vond plaats tijdens een toestand van "zonverblinding op nat asfalt," waarbij het systeem een voetganger niet detecteerde.¹⁴

Tesla's afhankelijkheid van een "vision-only"-architectuur—waarbij LiDAR en radar worden geschuwd—creëert een fundamentele kwetsbaarheid voor "sensorverzadiging." Bij mist, stof of luchtgedragen puin daalt de optische signaal-ruisverhouding onder de drempel die vereist is voor veilige navigatie.¹³ Hoewel Tesla "occupancy-netwerken" gebruikt om de 3D-geometrie van de wereld uit 2D-beelden te voorspellen, suggereren de NHTSA-rapporten dat deze voorspellingen nog te probabilistisch zijn om als primaire veiligheidslaag te worden gebruikt.¹⁵

Het formaliseren van de rijomgeving

Om voorbij het faalmodel van Tesla te komen, gebruikt deep AI-engineering "gevaargestuurde enveloppen." In plaats van vage "features" moet het systeem expliciete Operational Design Domains (ODD) definiëren. Als het "verblindingsverzadigingspercentage" of de "mist-backscatterindex" een geverifieerde drempel overschrijdt, moet het systeem een fail-safe-overgang initiëren.¹⁴

Onderzochte faalmodus	Frequentie/impact	Technische oorzaak
Non-compliance bij rood licht	18+ klachten	Falen van signaalstatusdetectie in de vision-stack.12
Overtreding van rijstrookmarkering	4+ SGO-rapporten	Onvermogen om afslagstroken versus doorgaande rijstroken te onderscheiden.12
Crash bij laag zicht	Fataliteiten (2023-2024)	Optische sensorverzadiging (verblinding/mist/stof).13
Binnenrijden van tegengestelde rijstrook	2 SGO-rapporten	Falen in 3D-reconstructie van rijstrookgeometrie.12

De filosofie van Veriprajna is dat autonomie niet kan worden gebouwd op "best-effort"-software. De 2,9 miljoen voertuigen die worden geraakt door het NHTSA-onderzoek van 2025 vertegenwoordigen een vlootbreed risico dat alleen kan worden beperkt door de implementatie van "assurance-poorten"—softwarevergrendelingen die voorkomen dat de AI risicovolle beslissingen neemt wanneer het betrouwbaarheidsniveau van het perceptiesysteem onder een deterministisch punt daalt.²

Multi-agent-gridlock en sociotechnische veerkracht: de Waymo-ervaring

Waymo wordt vaak beschouwd als de maatstaf voor veiligheid, met meer dan 56 miljoen mijl gereden en significant lagere letselcijfers dan menselijke bestuurders.¹⁷ Naarmate het systeem schaalt, is het echter een nieuwe klasse van falen tegengekomen: "sociotechnische frictie." Dit betreft niet alleen hoe de AI rijdt, maar hoe die interacteert met de complexe, vaak vijandige, menselijke sociale omgeving.

Kruispuntblokkades en communicatiefalen

Tijdens een stroomstoring in 2025 in Los Angeles bleven tientallen Waymo-robotaxis vastzitten bij een reeks verduisterde kruispunten. De "Waymo Driver," geprogrammeerd om donkere seinen als vierrichtingsstops te behandelen, werd overweldigd door de geconcentreerde piek in verzoeken om "Remote Assistance".¹⁸ Omdat de voertuigen niet effectief met elkaar konden communiceren, belandden ze in een toestand van "multi-agent-gridlock," waarin robotaxis andere robotaxis blokkeerden en een achterstand creëerden die het centrale commandocentrum niet kon oplossen.¹⁸

Dit falen belicht de "onafhankelijkheidsval"—de aanname dat een autonoom voertuig veilig kan opereren als solitaire agent zonder een breder, gecoördineerd systeem.¹⁸ Deep AI-engineering moet rekening houden met het verlies van draadloze communicatie en de noodzaak van "V2V"- (Vehicle-to-Vehicle) en "V2I"- (Vehicle-to-Infrastructure) protocollen die de vloot in staat stellen deadlocks autonoom op te lossen.²⁰

De noodzaak van een "Danger Escape Mode"

Misschien wel de meest significante opkomende dreiging voor autonome operaties is publieke agressie. Begin 2025 werden verschillende Waymo-voertuigen aangevallen door menigten tijdens burgerlijke onrust in Los Angeles, waarbij demonstranten banden doorsneden en voertuigen in brand staken.²¹ De voertuigen, geprogrammeerd voor "passieve veiligheid," stopten eenvoudigweg wanneer ze door mensen werden omringd.

Dit heeft geleid tot het voorstel tot ontwikkeling van een "Danger Escape Mode." Een dergelijk systeem zou de 360-graden-sensorsuite gebruiken om "kwaadwillige menselijke agressie" te detecteren en de richtlijn van het voertuig te verschuiven van "passieve naleving" naar "actieve ontsnapping".²¹ Hoewel het voertuig nooit mag worden geprogrammeerd om schade te veroorzaken, stellen deep-AI-aanbieders dat het in staat moet zijn tot kleine verkeersovertredingen (zoals rijden op een stoep of door een rood licht) om de passagiers te beschermen en te ontsnappen uit een explosieve situatie.²¹ Dit vereist een radicale heroverweging van de "ethiekmotor" van de AI—een taak die ver voorbij de mogelijkheden van een LLM-wrapper reikt.

De technische oplossing: Bird's-Eye-View (BEV) en occupancy-netwerken

Om de trackingfouten uit de Uber- en Cruise-zaken aan te pakken, verschuift de industrie naar Bird's-Eye-View (BEV)-perceptie. Standaard per-camera-systemen verwerken individuele beelden, wat leidt tot gegevensverlies tijdens het "stitching." BEV-perceptie transformeert daarentegen multi-view camera- en LiDAR-gegevens tot een verenigd, van-bovenaf gezien 3D-raster.²²

Occupancy-netwerken versus standaard sensorfusie

Traditionele sensorfusie probeert 2D-pixels aan 3D-punten te "matchen," een proces dat computationeel duur is en gevoelig voor projectiefouten. Veriprajna pleit voor "occupancy-netwerken"—een architectuur die de "bezettingswaarschijnlijkheid" van elke voxel in een 3D-volume voorspelt.¹⁶

1. Objectpermanentie: Omdat occupancy-netwerken volume volgen in plaats van slechts "labels," weet het systeem dat een ruimte bezet is, zelfs als het niet kan beslissen of het object een voetganger of een fiets is. Dit zou de classificatieflip van Uber ATG hebben voorkomen.¹⁶
2. Geometrische getrouwheid: Occupancy-netwerken vangen verticale structuren en wegvuil op die vaak worden genegeerd door 2D-BEV-kaarten. Dit zou het Cruise-voertuig in staat hebben gesteld de voetganger onder het chassis te "zien" tijdens de manoeuvre na impact.¹⁶
3. Spatiotemporele consistentie: Met "BEVFormer"-architecturen kan het systeem "temporele self-attention" gebruiken om te onthouden waar een object was, zelfs tijdens tijdelijke occlusies (bijv. een voetganger die achter een geparkeerde vrachtwagen loopt).²⁴

$$X_{BEV} = f_{transformer}(I_1, I_2, ..., I_n, L_{cloud})$$

In dit model dient de Transformer-architectuur niet als conversationeel gereedschap, maar als ruimtelijke redeneerengine die heterogene gegevens tot één enkel "gedeeld canvas" fuseert.²³ Dit is deep AI-engineering: het inzetten van frontier-architecturen om fundamentele natuurkundige problemen in navigatie op te lossen.

Formele verificatie: de Veriprajna-standaard voor high-assurance-AI

De meest significante onderscheidende factor tussen een "wrapper" en een "oplossing" is de toepassing van formele methoden. Traditioneel softwaretesten steunt op "black-box"-scenario's; als het systeem N tests doorstaat, wordt aangenomen dat het veilig is. In veiligheidskritische systemen vereisen we echter een wiskundig bewijs van correctheid.

SMT-solvers en redeneren op netwerkniveau

Tools zoals Marabou en α,β-CROWN stellen engineers in staat de eigenschappen van diepe neurale netwerken te verifiëren. Door het netwerk weer te geven als een verzameling stuksgewijs-lineaire constraints, kunnen we bepalen of er enig input bestaat dat tot een onveilige output zou kunnen leiden.²⁵

Een "veiligheidseigenschap" kan als volgt worden gedefinieerd:

Voor alle inputs x binnen het bereik van "laag zicht" mag de output y (remcommando) nooit kleiner zijn dan k.

$$\forall x \in X_{fog} \Rightarrow f(x) \geq Braking_{min}$$

Als een SMT-solver zoals Marabou een "tegenvoorbeeld" teruggeeft, heeft die een specifieke, vaak onmerkbare, perturbatie geïdentificeerd die de AI zou doen falen. Dit stelt Veriprajna in staat het model tijdens de trainingsfase te "harden," een proces dat bekendstaat als "verificatiebewuste training".²⁸

Pruning voor verifieerbaarheid

Een grote uitdaging in formele verificatie is de "vloek van de dimensionaliteit." Grote netwerken zijn te complex voor huidige solvers om exhaustief te analyseren. Veriprajna pakt dit aan via "neuronenpruning." Door redundante neuronen en non-lineariteiten te verwijderen die niet bijdragen aan de nauwkeurigheid van het model, produceren we een "gesnoeid model" dat wiskundig makkelijker te verifiëren is zonder prestaties op te offeren.²⁹

Verificatietechniek	Methodologie	Voordeel
Grensverscherping	Symbolische analyse van neuronactivatiebereiken	Verkleint de zoekruimte voor SMT-solvers.25
Bereikbaarheidsanalyse	Berekenen van de verzameling van alle bereikbare outputs voor een inputverzameling	Garandeert dat de AI binnen een "veilige polytoop" blijft.28
Stuksgewijs-lineaire benadering	Complexe activaties vervangen door ReLU-gebaseerde segmenten	Maakt deugdelijke en volledige verificatiebewijzen mogelijk.27
Formeel veiligheidsfilter	Runtime-monitoring van AI-commando's tegen een geverifieerde baseline	Biedt een "veilig herstel" als de hoofd-AI irrationeel gedrag vertoont.31

De regelgevingshorizon: SOTIF en ISO/PAS 8800

Voor enterprises is naleving van opkomende internationale standaarden niet langer optioneel. Het landschap is verschoven van "vrijwillige zelfbeoordeling" naar verplichte naleving van een gelaagd veiligheidsraamwerk.⁵

ISO 26262 versus ISO 21448 (SOTIF)

Terwijl ISO 26262 "functionele veiligheid" afhandelt (bijv. een falende sensor of een kortsluitende chip), kan die geen rekening houden met de inherente beperkingen van AI.³⁴ Dit gat wordt gevuld door ISO 21448, de standaard voor "Safety of the Intended Functionality" (SOTIF). SOTIF is specifiek ontworpen om gevaren aan te pakken die optreden wanneer het systeem precies werkt zoals geprogrammeerd, maar een "onbekende/onveilige" omgeving tegenkomt.³⁴

Het doel van een Veriprajna-engagement is het maximaliseren van het kwadrant "bekend/veilig" van het AI-systeem van een klant. Dit omvat:

1. Hazard and Risk Analysis (HARA): Identificeren van risico's die geen componentfalen zijn, zoals verkeerde sensorinterpretatie bij zware regen.³⁶
2. Identificatie van triggercondities: Systematisch in kaart brengen van de omgevingsstaten die tot perceptiefouten leiden.³⁶
3. V&V (Verification and Validation): Gebruik van high-fidelity-simulaties om edge cases te "injecteren" die te gevaarlijk zouden zijn om op openbare wegen te testen.³⁶

ISO/PAS 8800: de toekomst van AI-integratie

Sinds eind 2024 is ISO/PAS 8800 de primaire standaard geworden voor "Functional Safety for AI in Road Vehicles".³⁷ De standaard biedt de eerste wereldwijde richtlijnen voor het beheren van de AI-levenscyclus, van "data-acquisitie" tot "monitoring na uitrol".³³ Veriprajna waarborgt dat de architecturen van onze klanten niet alleen compliant zijn, maar "toekomstbestendig" tegen de toenemende striktheid van wereldwijde AI-governancestandaarden zoals de EU AI Act en het NIST AI Risk Management Framework.³³

Het strategische pad vooruit: het Deep AI-mandaat van Veriprajna

De overgang van een "wrapper"-cultuur naar een "Deep AI"-cultuur is een reis van probabilistische hoop naar deterministische waarborging. De schikking van $8,5 miljoen van Uber, de opschorting van Cruise en de 40+ Tesla-onderzoeken zijn geen redenen om AI op te geven; het zijn redenen om die correct te engineeren.

Het consultingmodel van Veriprajna rust op drie pijlers die de specifieke faalmodi aanpakken die in dit rapport zijn geïdentificeerd:

1. Perceptieveerkracht: Klanten bewegen van per-camera 2D-perceptie naar Transformer-gebaseerde BEV-occupancy-netwerken om objectpermanentie en trackingstabiliteit te waarborgen.¹⁶
2. Geverifieerde besluitvorming: SMT-gebaseerde formele verificatie implementeren om te bewijzen dat AI-gestuurde besturingsarchitecturen nooit kernveiligheidseigenschappen zullen schenden.²⁵
3. Sociotechnische hardening: Geavanceerde "ontsnappingsmodi" en V2X-communicatiekaders ontwikkelen om de realiteit van burgerlijke onrust en multi-agent-gridlock te beheersen.¹⁸

Nu de wereldwijde kosten van één datalek $4,44 miljoen bereiken en de kosten van een autonome fatale afloop oplopen tot tientallen miljoenen in juridische en operationele schade, wordt de "goedkope" wrapper de duurste fout die een enterprise kan maken.¹⁴ Veriprajna levert de diepe engineeringexpertise die nodig is om AI te bouwen die niet alleen in het lab werkt—die houdt stand in de wereld.

De keuze voor de moderne enterprise is helder: blijf probabilistische black boxes wrappen en de onvermijdelijke nasleep managen, of werk samen met Veriprajna om een toekomst van verifieerbare high-assurance-autonomie te ontwerpen. Het tijdperk van stochastische AI loopt ten einde; het tijdperk van Deep AI Engineering is begonnen.

Geraadpleegde bronnen

1. Cruise Admits To Submitting A False Report To Influence A Federal Investigation And Agrees To Pay $500000 - Department of Justice, geraadpleegd op 9 februari 2026, https://www.justice.gov/usao-ndca/pr/cruise-admits-submitting-false-report-influence-federal-investigation-and-agrees-pay
2. NHTSA Opens Probe into 2.9M Teslas Over FSD Violations - Autobody News, geraadpleegd op 9 februari 2026, https://www.autobodynews.com/news/nhtsa-opens-probe-into-2-9m-teslas-over-fsd-violations
3. HWY18MH010.aspx - NTSB, geraadpleegd op 9 februari 2026, https://www.ntsb.gov/investigations/Pages/HWY18MH010.aspx
4. NTSB Shares Investigation Findings and Recommendations Regarding March 2018 Uber ATG Fatality | Eckert Seamans, geraadpleegd op 9 februari 2026, https://www.eckertseamans.com/legal-updates/ntsb-shares-investigation-findings-and-recommendations-regarding-march-2018-uber-atg-fatality
5. H-19-047 - Accident Data - NTSB, geraadpleegd op 9 februari 2026, https://data.ntsb.gov/carol-main-public/sr-details/H-19-047
6. NTSB releases preliminary report on fatal Uber self-driving car crash - Metro Magazine, geraadpleegd op 9 februari 2026, https://www.metro-magazine.com/news/ntsb-releases-preliminary-report-on-fatal-uber-self-driving-car-crash
7. Death of Elaine Herzberg - Wikipedia, geraadpleegd op 9 februari 2026, https://en.wikipedia.org/wiki/Death_of_Elaine_Herzberg
8. New Details Emerge Regarding Uber Self-Driving Vehicle Accident in Tempe, Arizona, geraadpleegd op 9 februari 2026, https://schwedlawfirm.com/blog/new-details-emerge-regarding-uber-self-driving-vehicle-accident/
9. A Root Cause Analysis of a Self-Driving Car Dragging a Pedestrian, geraadpleegd op 9 februari 2026, https://www.computer.org/csdl/magazine/co/2024/11/10720344/215PD0vqgTe
10. Notes on Cruise's pedestrian accident - Dan Luu, geraadpleegd op 9 februari 2026, https://danluu.com/cruise-report/
11. Lessons from the Cruise Robotaxi Pedestrian Dragging Mishap, geraadpleegd op 9 februari 2026, http://users.ece.cmu.edu/~koopman/pubs/Koopman2024_CruiseMishap_IEEEReliabilityMagazine.pdf
12. Office of Defects Investigation (ODI) Resume - nhtsa, geraadpleegd op 9 februari 2026, https://static.nhtsa.gov/odi/inv/2025/INOA-PE25012-19171.pdf
13. US regulators launch investigation into self-driving Teslas after series of crashes, geraadpleegd op 9 februari 2026, https://www.theguardian.com/technology/2025/oct/09/tesla-cars-self-driving-us-regulators-investigation
14. Tesla FSD Safety Issues: NHTSA Probes & AI Driving Future (Part 6) - PRIZ Guru, geraadpleegd op 9 februari 2026, https://www.priz.guru/tesla-fsd-safety-issues-nhtsa-probes-ai-driving-future-part-6/
15. AI & Robotics | Tesla, geraadpleegd op 9 februari 2026, https://www.tesla.com/AI
16. A Survey on Occupancy Perception for Autonomous Driving: The Information Fusion Perspective - arXiv, geraadpleegd op 9 februari 2026, https://arxiv.org/html/2405.05173v2
17. New Study: Waymo is reducing serious crashes and making streets safer for those most at risk, geraadpleegd op 9 februari 2026, https://waymo.com/blog/2025/05/waymo-making-streets-safer-for-vru
18. On Waymo's Traffic Jams - Stanford Center for Internet and Society, geraadpleegd op 9 februari 2026, https://cyberlaw.stanford.edu/blog/2025/12/on-waymos-traffic-jams/
19. Self-driving cars may create more traffic congestion than they solve, expert says - KJZZ, geraadpleegd op 9 februari 2026, https://www.kjzz.org/the-show/2026-01-07/self-driving-cars-may-create-more-traffic-congestion-than-they-solve-expert-says
20. A Systematic Literature Review on Vehicular Collaborative Perception – A Computer Vision Perspective - arXiv, geraadpleegd op 9 februari 2026, https://arxiv.org/html/2504.04631v2
21. When Robotaxis Get Attacked: Do Waymo Cars Need a 'Danger Escape Mode'?, geraadpleegd op 9 februari 2026, https://aragonresearch.com/robotaxis-attack-waymo-cars-danger-escape-mode/
22. MIC-BEV: Multi-Infrastructure Camera Bird's-Eye-View Transformer with Relation-Aware Fusion for 3D Object Detection - arXiv, geraadpleegd op 9 februari 2026, https://arxiv.org/html/2510.24688v1
23. [AV Vol.3] BEVFusion: Unifying Vision in Autonomous Driving Systems - Medium, geraadpleegd op 9 februari 2026, https://medium.com/demistify/av-vol-3-bevfusion-unifying-vision-in-autonomous-driving-systems-b2190f877c9b
24. A Transformer-based Temporal Feature Fusion Approach for Autonomous Driving BEV Perception | Request PDF - ResearchGate, geraadpleegd op 9 februari 2026, https://www.researchgate.net/publication/395804054_A_Transformer-based_Temporal_Feature_Fusion_Approach_for_Autonomous_Driving_BEV_Perception
25. The Marabou Framework for Verification and Analysis of Deep Neural Networks - Stanford Center for AI Safety, geraadpleegd op 9 februari 2026, https://aisafety.stanford.edu/marabou/MarabouCAV2019.pdf
26. Marabou 2.0: A Versatile Formal Analyzer of Neural Networks - arXiv, geraadpleegd op 9 februari 2026, https://arxiv.org/html/2401.14461v1
27. Marabou 2.0: A Versatile Formal Analyzer of Neural Networks - Stanford CS Theory, geraadpleegd op 9 februari 2026, https://theory.stanford.edu/~barrett/pubs/WIZ+24.pdf
28. Creating a Formally Verified Neural Network for Autonomous Navigation: An Experience Report - CSE CGI Server, geraadpleegd op 9 februari 2026, https://cgi.cse.unsw.edu.au/~eptcs/paper.cgi?FMAS2024.12.pdf
29. Verification of Neural Networks for Safety and Security-critical Domains - CEUR-WS.org, geraadpleegd op 9 februari 2026, https://ceur-ws.org/Vol-3345/paper10_RiCeRCa3.pdf
30. Formal Verification of Neural Networks for Safety-Critical Tasks in Deep Reinforcement Learning, geraadpleegd op 9 februari 2026, https://proceedings.mlr.press/v161/corsi21a/corsi21a.pdf
31. Formal Methods for Trustworthy AI-based Autonomous Systems - NII Shonan Meeting, geraadpleegd op 9 februari 2026, https://shonan.nii.ac.jp/docs/No.178.pdf
32. Formal Verification of Neural Networks-Based Control Architecture for Safety-Critical Autonomous Systems - Frontiers, geraadpleegd op 9 februari 2026, https://www.frontiersin.org/research-topics/74336/formal-verification-of-neural-networks-based-control-architecture-for-safety-critical-autonomous-systems
33. Implementing Responsible AI for Automotive Vehicle Safety - LHP Engineering Solutions, geraadpleegd op 9 februari 2026, https://www.lhpes.com/blog/implementing-responsible-ai-for-automotive-vehicle-safety
34. Functional Safety vs. SOTIF: What Is the Difference and Where Do They Overlap? - MES, geraadpleegd op 9 februari 2026, https://model-engineers.com/en/blog/functional-safety-vs-sotif-differences-overlaps/
35. The Necessity of a Holistic Safety Evaluation Framework for AI-Based Automation Features, geraadpleegd op 9 februari 2026, https://arxiv.org/html/2602.05157v1
36. What is SOTIF? (ISO 21448) - Visure Solutions, geraadpleegd op 9 februari 2026, https://visuresolutions.com/automotive/iso-21448/
37. Safety-Related Systems in Road Vehicles with Artificial Intelligence Are Addressed in ISO/PAS 8800:2024 | UL Solutions, geraadpleegd op 9 februari 2026, https://www.ul.com/sis/blog/safety-related-systems-road-vehicles-artificial-intelligence-are-addressed-isopas-88002024
38. ISO 26262, SOTIF and simulation | Applied Intuition, geraadpleegd op 9 februari 2026, https://www.appliedintuition.com/blog/iso26262-sotif-simulation
39. Introducing ISO/PAS 8800 – Functional Safety for AI in Road Vehicles | SGS Georgia, geraadpleegd op 9 februari 2026, https://www.sgs.com/en-ge/news/2025/04/safeguards-04625-introducing-iso-pas-8800-functional-safety-for-ai-in-road-vehicles
40. NIST vs ISO - Compare AI Frameworks - ModelOp, geraadpleegd op 9 februari 2026, https://www.modelop.com/ai-governance/ai-regulations-standards/nist-vs-iso
41. AI Safety vs AI Security in LLM Applications: What Teams Must Know - Promptfoo, geraadpleegd op 9 februari 2026, https://www.promptfoo.dev/blog/ai-safety-vs-security/