1. 课程导入
在智能驾驶与自动驾驶系统快速演进的今天，行业对“安全”的理解正在从“不要因为故障而出事”，扩展到“即使没有故障，也不能因为能力不足或场景理解偏差而出事”。前者主要由功能安全（Functional Safety, FuSa）覆盖，后者则落在预期功能安全（Safety of the Intended Functionality, SOTIF）的范畴。ISO 21448 正是为这一目标而制定的国际标准，它关注的不是系统失效，而是系统在无故障状态下，由于性能局限、场景复杂性或可预见误用而引发的危害。
一、SOTIF 的定义与核心内涵
SOTIF 指“预期功能安全”，其核心问题是：当系统所有部件都按设计正常工作，仍然可能因为传感器感知能力不足、算法对边缘场景理解不充分、执行器响应受限，或驾驶员/用户以可预见方式误用系统，而导致危害行为。SOTIF 的目标是把这类风险降低到可接受的残余水平。
与功能安全相比，SOTIF 的出发点不是“失效”，而是“局限”。例如，摄像头在强逆光下无法识别白色货车，毫米波雷达对静止金属物体误判，这些都不是硬件故障，而是感知链在特定场景下的性能边界。SOTIF 要求我们识别这些边界，并通过设计、验证与论证，证明系统在已知危险场景中足够安全，同时持续探索未知危险场景。
一句话理解：功能安全防“坏掉”，SOTIF 防“看不懂”和“用错”。
二、发展背景：为什么需要 SOTIF
传统汽车安全体系以 E/E 架构的失效分析为中心，ISO 26262 建立了从 ASIL 等级到安全生命周期的完整方法。然而，自动驾驶系统引入了大量基于机器学习的感知与决策模块，其行为具有概率性、场景依赖性和不可解释性。即使没有硬件故障，系统也可能在“长尾场景”中做出错误判断。
2018 年以来，多起自动驾驶事故调查显示，问题往往不在零部件损坏，而在系统对特殊场景的识别与响应不足。这促使 ISO 组织在 2022 年正式发布 ISO 21448:2022，将 SOTIF 从概念推向工程实践。它强调“场景驱动”的安全分析，要求企业建立从场景识别、危害分析、功能改进到验证确认的闭环。
三、SOTIF 与功能安全的关系
两者不是替代关系，而是互补关系。功能安全处理由故障引起的危害，SOTIF 处理由性能局限和可预见误用引起的危害。在实际项目中，二者共享危害分析与风险评估的输入，但分析路径不同：FuSa 关注失效模式与诊断覆盖率，SOTIF 关注场景覆盖度与性能边界。
| 维度 | 功能安全（FuSa） | 预期功能安全（SOTIF） |
|---|---|---|
| 触发原因 | 系统/硬件/软件失效 | 性能局限、场景复杂、可预见误用 |
| 核心标准 | ISO 26262 | ISO 21448 |
| 分析对象 | 失效模式与故障传播 | 场景、性能边界与危害行为 |
| 典型手段 | 冗余、诊断、安全机制 | 场景库、ODD 定义、验证确认 |
| 目标 | 降低失效风险 | 降低残余风险至可接受水平 |
四、课程知识框架与学习目标
本课程围绕“安全措施”与“论证工程”两条主线展开，共 30 章。整体知识框架可分为四个层次：
- 基础层：SOTIF 定义、标准体系、与 FuSa 及网络安全的关系。
- 分析层：场景分类、危害识别、触发条件分析、已知/未知危险场景划分。
- 措施层：功能改进、性能提升、限制策略、人机交互与误用防护。
- 论证层：验证确认策略、场景库构建、仿真与实车测试、安全案例编写。
学习目标包括：能够独立完成 SOTIF 相关危害分析；能够设计覆盖 ODD 的场景库；能够制定验证确认计划；能够编写符合 ISO 21448 的安全论证文档。课程强调“可落地”，每章都会结合真实工程案例与可操作模板。
五、常见误区与学习建议
误区一：认为 SOTIF 只是“补充文档”，实际它是与 FuSa 并列的安全论证支柱。
误区二：把 SOTIF 等同于“多跑仿真”，忽视场景库的科学分类与 ODD 边界定义。
误区三：只关注已知危险场景，忽略未知危险场景的探索与残余风险声明。
建议学习时始终带着三个问题：这个场景是否在 ODD 内？系统在该场景下的性能边界在哪里？如果性能不足，措施是改进功能、限制使用，还是通过交互提醒用户？把这三个问题贯穿 30 章，就能逐步建立起完整的 SOTIF 工程思维。
学习提示：每学完一章，尝试用一页纸画出该章的“场景—危害—措施—验证”链条，长期积累会形成自己的安全论证素材库。