3. 相关标准与法规

在 SOTIF（预期功能安全）工程中，标准与法规是设计、验证与论证的“共同语言”。ISO 21448 是当前最核心的预期功能安全标准，它并不替代 ISO 26262，而是与其形成互补：ISO 26262 处理由 E/E 故障引起的功能安全风险，ISO 21448 处理“无故障但性能不足或可预见误用”导致的危害。理解两者的边界与接口，是构建完整安全论证的前提。

一、ISO 21448 的标准结构

ISO 21448 以“从危害到接受准则再到措施与论证”为主线，整体结构可概括为：范围与术语、功能与系统描述、危害识别与风险评估、触发条件分析、功能不足与性能局限识别、改进措施、验证与确认、运行阶段活动、论证与文档。其核心逻辑是：先明确 ODD（运行设计域）与功能定义，再识别可能引发危害的“触发条件”，进而分析功能不足与性能局限，最后通过设计改进、验证确认和运行监控形成闭环。

标准强调“已知不安全、未知不安全”的二分：已知不安全可通过设计措施消除或降低；未知不安全则需通过场景探索、现场监控与迭代更新来逐步收敛。因此，ISO 21448 不是一次性认证，而是贯穿概念、开发、验证、运行、更新的持续活动。

二、关键要求与工程落地

ISO 21448 的关键要求可归纳为以下清单：

• 功能与 ODD 定义：明确系统功能、边界、运行条件与设计域，避免“功能无限扩张”。
• 危害识别与风险评估：结合 HARA 思路，识别功能不足导致的危害事件，评估严重度、暴露度与可控性。
• 触发条件分析：识别环境、感知、决策、执行、人机交互等层面的触发条件，如逆光、雨雾、遮挡、误用、误操作。
• 功能不足与性能局限：区分“功能不足”与“性能局限”，前者可通过设计改进，后者需通过 ODD 限制或运行监控管理。
• 改进措施：包括功能增强、冗余、限制 ODD、人机交互优化、驾驶员监控、远程监控等。
• 验证与确认：通过仿真、封闭场地、实车测试、场景库覆盖、现场数据回灌等方式验证措施有效性。
• 运行阶段活动：现场监控、事件报告、OTA 更新、持续风险评估与再论证。
• 论证与文档：形成 SOTIF 论证报告，覆盖目标、假设、证据、残余风险与接受准则。

三、与 ISO 26262 的差异与协同

ISO 26262 与 ISO 21448 的差异主要体现在风险来源、分析对象与措施类型上。ISO 26262 关注 E/E 故障导致的随机硬件失效与系统性失效，强调 ASIL 等级、安全机制、故障容错与安全生命周期；ISO 21448 关注无故障情况下的功能不足、性能局限与可预见误用，强调 ODD、触发条件、场景覆盖与运行监控。两者在概念阶段就需要协同：HARA 识别出的危害事件，既可能由故障引发，也可能由功能不足引发，因此需要分别进入 ISO 26262 与 ISO 21448 的分析路径。

协同的关键接口包括：

• 危害事件与风险评估：共享 HARA 结果，避免重复与遗漏。
• 安全目标与接受准则：ISO 26262 的安全目标与 ISO 21448 的 SOTIF 目标需协调一致。
• 架构设计：故障容错架构与 SOTIF 改进措施需统一考虑，避免相互冲突。
• 验证与确认：故障注入测试与场景测试需在同一 V&V 框架下整合。
• 运行监控：故障监控与 SOTIF 现场监控可共用数据平台与事件管理流程。

四、行业应用现状与案例场景

当前 ISO 21448 在智能驾驶与 ADAS 领域的应用逐步深入。L2 级辅助驾驶普遍采用“功能不足分析 + ODD 限制 + 驾驶员监控”的组合措施；L3 级及以上则更强调运行监控、远程接管与 OTA 更新。行业实践中，场景库建设、仿真测试、影子模式与现场数据回灌成为 SOTIF 验证的四大支柱。

以自动紧急制动（AEB）为例：其功能不足可能表现为对横穿行人、异形车辆、低矮障碍物识别不足；触发条件包括逆光、雨雾、遮挡、传感器污染等。改进措施可包括多传感器融合、算法增强、ODD 限制（如夜间限速）、驾驶员提示与误用抑制。验证时需覆盖典型场景与边缘场景，并通过现场监控持续收集误触发与漏触发数据。

五、标准结构关系图

下图展示了 ISO 21448 的核心结构、与 ISO 26262 的协同关系，以及行业应用中的关键活动。

六、复盘与建议

在实际项目中，建议将 ISO 21448 的活动嵌入现有安全生命周期：概念阶段同步开展 HARA 与 SOTIF 分析；开发阶段将 SOTIF 改进措施纳入架构设计；验证阶段统一管理故障注入与场景测试；运行阶段建立现场监控与 OTA 更新机制。同时，避免两个常见误区：一是将 SOTIF 等同于“功能安全”，忽视无故障场景；二是将 SOTIF 视为“文档工作”，忽视其与设计、测试、运行的深度耦合。

总之，ISO 21448 提供了预期功能安全的系统化框架，ISO 26262 提供了功能安全的工程基础。两者协同，才能覆盖“故障”与“无故障”两类风险，支撑智能驾驶系统从设计到运行的全生命周期安全论证。