2. SOTIF基础概念

SOTIF（Safety of the Intended Functionality，预期功能安全）关注的是当系统功能本身没有发生电子电气故障时，由于性能局限、外部环境或人员误用等原因，系统仍可能产生危害行为的问题。理解SOTIF，首先要建立一组彼此关联的核心术语：预期功能、性能局限、触发条件、危害行为、场景，以及已知/未知不安全场景。这些术语构成了SOTIF分析与论证的基本语言。

一、核心术语的定义与关系

预期功能（Intended Functionality）指系统按照设计意图应当实现的功能及其性能边界。例如自动紧急制动（AEB）的预期功能是"在碰撞风险出现时及时制动"，其设计意图包含可识别的目标类型、有效工作速度区间和可接受的响应时间。

性能局限（Performance Limitation）指系统在实现预期功能时，受传感器物理特性、算法能力、执行器能力等约束而无法达到理想性能的固有边界。例如摄像头在逆光、雨雾条件下识别距离下降，毫米波雷达对静止目标分类能力有限，这些都属于性能局限，而非故障。

触发条件（Triggering Condition）指能够激活或暴露性能局限，进而导致危害行为发生的具体场景条件或事件组合。触发条件可以是环境类（强光、隧道出入口、雨雪）、目标类（异形车辆、倒地行人、施工锥桶）、道路类（无标线、急弯、匝道）或人员类（驾驶员脱手、误操作）。

危害行为（Hazardous Behavior）指系统在整车层面表现出的、可能导致伤害的不安全输出或动作，例如AEB该制动时未制动、车道保持错误转向、自适应巡航异常加速。危害行为是SOTIF分析的核心对象，它不等同于部件故障，而是功能在特定条件下的不当表现。

场景（Scenario）是对系统运行环境的结构化描述，通常包含道路、交通参与者、环境条件和自车状态等要素。场景是连接触发条件与危害行为的载体，SOTIF分析本质上是在场景空间中寻找"性能局限被触发"的组合。

二、已知/未知与安全/不安全场景的四象限

SOTIF标准用两个维度划分场景空间：一是"已知/未知"，即分析者是否已经识别到该场景；二是"安全/不安全"，即该场景下系统是否会产生危害行为。由此形成四个区域，SOTIF活动的目标就是把不安全区域尽可能缩小。

三、从触发条件到危害行为的因果链

理解这些术语的关键，是看清它们之间的因果链条。性能局限是"内因"，触发条件是"外因"，两者相遇才会产生危害行为。可以用一个简化的因果链来描述：

性能局限（传感器/算法/执行器能力边界）
        +
触发条件（环境/目标/道路/人员）
        ↓
功能在特定场景下输出不当
        ↓
危害行为（该制动未制动、错误转向、异常加速）
        ↓
潜在伤害 → SOTIF 风险

这条链说明：单独看性能局限并不构成危害，单独看触发条件也不构成危害，只有二者在具体场景中叠加，才会产生危害行为。因此SOTIF分析必须"以场景为单位"进行，而不是孤立地评估某个部件或某个算法。

四、典型场景案例：AEB的逆光与异形目标

以AEB为例。其性能局限包括：摄像头动态范围有限、对异形目标（如侧翻车辆、动物）分类置信度低、雷达对静止目标过滤策略保守。触发条件包括：低角度强逆光、隧道出口明暗突变、前方出现非标准轮廓目标。当这些条件同时出现时，系统可能"该制动而未制动"，形成危害行为。

这个案例中，"逆光+异形目标"是触发条件，"摄像头动态范围与分类能力"是性能局限，"未制动"是危害行为，而"隧道出口遇到侧翻车辆"就是一个具体场景。若该场景在开发阶段已被识别并测试，它属于"已知不安全场景"，需要通过算法改进或策略调整来消除；若从未被想到，它属于"未知不安全场景"，是SOTIF最大的风险来源。

五、术语对照清单

术语	核心含义	AEB示例	在SOTIF中的角色
预期功能	设计意图及性能边界	碰撞风险时及时制动	分析起点
性能局限	能力固有边界，非故障	逆光识别距离下降	内因
触发条件	激活局限的场景条件	强逆光、异形目标	外因
危害行为	整车层面的不安全输出	该制动未制动	分析对象
场景	结构化运行环境描述	隧道出口遇侧翻车	分析载体
已知不安全场景	已识别且会产生危害	已测试的逆光工况	需改进消除
未知不安全场景	未识别且可能产生危害	未想到的极端组合	核心风险区

六、常见误区与复盘要点

掌握这些术语的准确定义与相互关系，是后续进行危害行为识别、场景分类、触发条件分析和SOTIF论证的基础。术语清晰，分析才不会失焦；边界明确，措施才能对症。