自动驾驶预期功能安全(SOTIF)核心概念与工程实践

1. 自动驾驶安全的新挑战

1.1 传统安全方法的局限性

在汽车电子领域深耕多年，我见证了功能安全（ISO 26262）如何为传统车辆电子系统提供安全保障。这套标准主要针对电子电气系统的随机硬件故障和系统性失效，通过故障检测、安全机制和故障处理等手段确保系统安全。但随着自动驾驶技术的演进，我们遇到了全新的安全挑战。

记得去年参与的一个L3级自动驾驶项目，系统在99%的场景下表现完美，但就是那1%的边缘情况让我们夜不能寐。比如：

• 暴雨天气下摄像头被水花遮挡
• 低矮的塑料路障被激光雷达漏检
• 特殊角度的阳光导致传感器误判

这些都不是传统意义上的"故障"，而是系统在正常工作状态下由于能力局限导致的安全风险。ISO 26262就像一把精准的手术刀，但对这类"非故障性"安全问题却显得力不从心。

1.2 SOTIF的诞生背景

2019年，当我第一次接触到ISO/PAS 21448（SOTIF）草案时，立即意识到这正是行业急需的解决方案。SOTIF全称Safety Of The Intended Functionality，中文译为"预期功能安全"。它专门解决那些系统没有故障，但由于设计局限或性能不足导致的安全问题。

在实际工程中，我们常用这个简单的二分法来区分：

• 功能安全（FuSa）：系统"不应该做"的事情（如故障导致的危险）
• 预期功能安全（SOTIF）：系统"应该做但没做好"的事情

以自动紧急制动系统（AEB）为例：

• 雷达模块失效导致无法检测障碍物 → 功能安全问题
• 雷达正常工作但将高架桥阴影误判为障碍物 → SOTIF问题

2. SOTIF的核心概念解析

2.1 关键术语体系

在实施SOTIF过程中，有三个核心概念必须透彻理解：

1. 功能不足（Functional Insufficiencies）
   指系统由于设计局限或性能不足，无法在所有预期场景下正确执行预期功能。比如：

   • 视觉算法无法识别特殊形状的交通标志
   • 预测模块对行人突然变向反应迟缓

2. 触发条件（Triggering Conditions）
   导致功能不足显现的特定场景组合。我们团队维护的触发条件库中就包括：

   • 传感器受限场景（逆光、雨雾等）
   • 复杂交通场景（无保护左