1. 自动驾驶安全的新挑战
1.1 传统安全方法的局限性
在汽车电子领域深耕多年,我见证了功能安全(ISO 26262)如何为传统车辆电子系统提供安全保障。这套标准主要针对电子电气系统的随机硬件故障和系统性失效,通过故障检测、安全机制和故障处理等手段确保系统安全。但随着自动驾驶技术的演进,我们遇到了全新的安全挑战。
记得去年参与的一个L3级自动驾驶项目,系统在99%的场景下表现完美,但就是那1%的边缘情况让我们夜不能寐。比如:
- 暴雨天气下摄像头被水花遮挡
- 低矮的塑料路障被激光雷达漏检
- 特殊角度的阳光导致传感器误判
这些都不是传统意义上的"故障",而是系统在正常工作状态下由于能力局限导致的安全风险。ISO 26262就像一把精准的手术刀,但对这类"非故障性"安全问题却显得力不从心。
1.2 SOTIF的诞生背景
2019年,当我第一次接触到ISO/PAS 21448(SOTIF)草案时,立即意识到这正是行业急需的解决方案。SOTIF全称Safety Of The Intended Functionality,中文译为"预期功能安全"。它专门解决那些系统没有故障,但由于设计局限或性能不足导致的安全问题。
在实际工程中,我们常用这个简单的二分法来区分:
- 功能安全(FuSa):系统"不应该做"的事情(如故障导致的危险)
- 预期功能安全(SOTIF):系统"应该做但没做好"的事情
以自动紧急制动系统(AEB)为例:
- 雷达模块失效导致无法检测障碍物 → 功能安全问题
- 雷达正常工作但将高架桥阴影误判为障碍物 → SOTIF问题
2. SOTIF的核心概念解析
2.1 关键术语体系
在实施SOTIF过程中,有三个核心概念必须透彻理解:
-
功能不足(Functional Insufficiencies)
指系统由于设计局限或性能不足,无法在所有预期场景下正确执行预期功能。比如:- 视觉算法无法识别特殊形状的交通标志
- 预测模块对行人突然变向反应迟缓
-
触发条件(Triggering Conditions)
导致功能不足显现的特定场景组合。我们团队维护的触发条件库中就包括:- 传感器受限场景(逆光、雨雾等)
- 复杂交通场景(无保护左转、施工区等)
- 人机交互场景(不当接管、模式混淆等)
-
危害行为(Hazardous Behaviors)
由功能不足和触发条件共同导致的危险系统行为。典型的如:- 错误的车道保持
- 不合理的加速/制动
- 危险的变道决策
这三个要素的关联关系可以用"风险三角形"来描述:只有当三者同时存在时,才会形成实际的安全风险。
2.2 误用的特殊考量
在SOTIF语境下,"误用"(Misuse)有其特定含义:指用户以非预期但可预见的方式使用系统。常见的误用模式包括:
- 能力高估:在系统设计运行域(ODD)外使用功能,比如城市道路使用高速自动驾驶
- 注意力管理不当:过度依赖辅助驾驶系统导致反应延迟
- 操作错误:错误理解系统状态或操作逻辑
我们通过用户调研发现,约35%的SOTIF相关事故都涉及某种形式的误用。因此,良好的HMI设计和用户教育同样是SOTIF的重要组成。
3. SOTIF实施方法论
3.1 生命周期管理框架
ISO 21448标准定义了完整的SOTIF生命周期,包含13个关键活动。根据我的项目经验,可以归纳为四个主要阶段:
-
定义阶段(活动1-4)
- 确定功能和预期行为
- 定义验收准则
- 识别潜在功能不足
- 评估初始风险
这个阶段最容易被轻视,但我们发现投入足够时间进行充分的需求分析和场景定义,能减少后期60%以上的返工。
-
分析与验证阶段(活动5-11)
- 识别触发条件
- 评估风险可接受性
- 实施缓解措施
- 验证措施有效性
这个阶段通常占整个项目70%的工作量。我们采用"V模型"方法,从组件级到系统级逐层验证。
-
发布与运营阶段(活动12-13)
- 确认残余风险可接受
- 制定运营监测计划
在这个阶段,我们建立了完善的数据回传机制,持续收集真实场景数据用于迭代优化。
3.2 关键技术手段
在多个量产项目中,我们验证了几种有效的SOTIF实施方法:
-
场景库构建
- 基于自然驾驶数据构建基础场景库
- 使用边缘场景生成技术(如对抗生成网络)扩充 corner case
- 我们维护的场景库目前已包含10万+个标注场景
-
多传感器融合
- 异构传感器互补(摄像头+雷达+激光雷达)
- 前融合与后融合相结合
- 动态置信度评估算法
-
持续迭代机制
- OTA更新架构设计
- 影子模式数据收集
- 基于真实数据的闭环验证
4. 工程实践中的挑战与对策
4.1 典型问题排查
在实施SOTIF过程中,我们遇到过这些典型问题:
-
场景覆盖不全
- 现象:实验室测试通过,但路测出现未覆盖场景
- 解决方案:采用六层场景分类法(基础场景→逻辑场景→具体场景→边缘场景→极端场景→未知场景)
-
验证效率低下
- 现象:场景测试用例爆炸式增长
- 解决方案:基于重要度抽样和强化学习的智能测试用例生成
-
人机交互缺陷
- 现象:用户对系统状态理解错误
- 解决方案:采用多模态交互(视觉+听觉+触觉)和渐进式提示
4.2 经验心得分享
根据多个项目的经验教训,我总结出这些实操建议:
-
早期介入原则
- 在架构设计阶段就考虑SOTIF需求
- 与功能安全同步开展分析(FuSa与SOTIF的协同)
-
数据驱动迭代
- 建立完善的数据采集管道
- 实施持续集成/持续测试(CI/CT)流程
-
工具链建设
- 投资建设自动化场景生成工具
- 开发专用的SOTIF分析平台(我们内部称为SOTIF Studio)
在最近的一个L4园区自动驾驶项目中,通过系统化的SOTIF实施,我们将未知风险降低了82%,验证效率提升了3倍。这让我深刻体会到,SOTIF不是额外的负担,而是实现高阶自动驾驶的必由之路。