2. SOTIF基础概念
SOTIF（Safety of the Intended Functionality，预期功能安全）是ISO 21448标准所定义的核心概念，它关注的是当系统在没有发生故障的情况下，由于功能不足或可合理预见的人员误用，导致系统无法完成预期功能而引发的安全风险。理解SOTIF，是构建场景测试闭环工程的理论起点。
一、SOTIF的定义与核心问题
SOTIF的定义可以概括为：不存在因预期功能不足或可合理预见的人员误用而导致的不合理风险。这里的关键词是"预期功能不足"和"可合理预见的人员误用"，它们共同指向一个核心问题——系统本身工作正常，但能力边界不足以应对真实世界的复杂性。
以自动紧急制动（AEB）为例：传感器、控制器、执行器均无故障，但面对逆光、雨雾、异形车辆或突然横穿的行人时，感知算法可能无法正确识别目标，导致制动失效。这类风险不属于功能安全范畴，而是典型的SOTIF问题。
SOTIF的核心问题可归纳为三类：
- 感知局限：传感器在特定环境条件下无法获取足够信息，如强光、隧道出入口、雨雪天气。
- 算法不足：决策规划算法在长尾场景中泛化能力不足，如罕见交通参与者、复杂交互博弈。
- 人员误用：驾驶员过度信任辅助驾驶、脱手脱眼、误操作等可合理预见的行为。
二、SOTIF与ISO 26262功能安全的区别
功能安全（ISO 26262）与预期功能安全（ISO 21448）是互补关系，而非替代关系。功能安全处理的是由故障引起的危害，而SOTIF处理的是无故障情况下由功能不足或误用引起的危害。
| 对比维度 | ISO 26262 功能安全 | ISO 21448 预期功能安全 |
|---|---|---|
| 风险来源 | 系统/硬件/软件故障 | 功能不足、性能局限、人员误用 |
| 核心问题 | 故障是否导致危害 | 无故障时是否仍存在不合理风险 |
| 关键手段 | 冗余、诊断、安全机制 | 场景覆盖、能力提升、误用抑制 |
| 验证方式 | 故障注入、FMEDA、安全分析 | 场景测试、仿真、实车验证 |
| 输出目标 | ASIL等级、安全目标 | 场景覆盖率、残余风险可接受 |
两者在开发流程中并行推进：功能安全确保系统"不出故障"，SOTIF确保系统"能力足够"。只有两者同时满足，才能实现整体安全。
三、SOTIF相关术语与标准体系
掌握SOTIF需要理解以下关键术语：
- ODD（运行设计域）：系统设计时确定的运行条件范围，包括道路类型、天气、光照、交通密度等。
- 场景（Scenario）：描述车辆行驶环境、道路结构、交通参与者及动态交互的抽象表达。
- 触发条件（Triggering Condition）：导致功能不足暴露的具体场景要素，如逆光、遮挡、异形目标。
- 危害行为（Hazardous Behavior）：车辆在无故障情况下表现出的不安全行为，如误制动、漏制动、误转向。
- 残余风险（Residual Risk）：采取所有合理措施后仍存在的风险，需评估其可接受性。
标准体系方面，ISO 21448:2022是SOTIF的核心标准，与ISO 26262形成互补。此外，ISO 34501（场景术语）、ISO 34502（场景测试方法）、UL 4600（自动驾驶安全评估）等标准共同构成了自动驾驶安全的标准生态。
四、SOTIF场景测试闭环的核心逻辑
SOTIF工程的核心在于识别功能不足与误用场景，并通过测试闭环持续降低残余风险。其基本流程为：定义ODD → 识别触发条件 → 构建场景库 → 仿真与实车测试 → 评估残余风险 → 迭代优化。
下面用一张信号链与数据流图展示SOTIF场景测试闭环的核心结构：
五、常见误区与复盘要点
误区一：认为SOTIF可以替代功能安全。两者是互补关系，SOTIF不处理故障，功能安全不处理性能局限，必须并行推进。
误区二：认为通过大量路测就能解决SOTIF问题。长尾场景的稀疏性决定了纯路测无法覆盖足够多的触发条件，必须结合仿真与场景库方法。
误区三：忽视人员误用的可预见性。驾驶员过度信任、脱手脱眼等行为属于可合理预见的误用，必须在设计中予以抑制或缓解。
复盘要点：SOTIF工程的核心不是追求零风险，而是将残余风险降低到可接受水平。场景测试闭环的价值在于：通过系统化的场景识别、测试验证与迭代优化，持续逼近这一目标。理解SOTIF与功能安全的边界，是构建完整安全论证体系的第一步。
综上所述，SOTIF关注的是无故障情况下的功能不足与误用风险，与ISO 26262形成互补。其核心问题包括感知局限、算法不足和人员误用三类，解决路径依赖于ODD定义、触发条件识别、场景库构建、测试验证与残余风险评估的闭环迭代。掌握这些基础概念，是后续开展场景测试闭环工程的前提。