4. 预期功能安全基础
在L3自动驾驶系统中，功能安全（ISO 26262）解决的是“系统故障导致危害”的问题，而预期功能安全（SOTIF，ISO 21448）解决的是另一类更隐蔽的风险：系统没有故障，却因为性能局限或场景理解不足而做出错误决策。例如摄像头在逆光下漏检横穿行人、毫米波雷达把井盖误判为静止车辆、规划模块对施工锥桶的语义理解不足，这些都不是硬件失效，而是“预期功能”在特定条件下无法满足安全要求。
一、核心思想：从“故障安全”转向“场景安全”
ISO 21448将安全论证的焦点从“组件是否失效”转移到“功能在真实场景中是否足够好”。它承认一个事实：即使所有部件都正常工作，感知、决策、控制仍存在能力边界。SOTIF的目标不是消除所有局限，而是识别、评估并控制这些局限带来的风险，使其降到可接受水平。
其核心逻辑围绕四个区域展开：
- 已知安全场景：系统已充分验证、风险可接受。
- 已知不安全场景：已识别但尚未完全解决，需要缓解措施。
- 未知不安全场景：尚未识别，是SOTIF最大的威胁。
- 未知安全场景：无需特别关注。
SOTIF活动本质上就是不断把“未知不安全”转化为“已知不安全”，再通过设计改进将其转化为“已知安全”。
二、性能局限与触发条件
性能局限来自传感器物理特性、算法泛化能力、执行器响应边界以及人机交互设计。触发条件则是把这些局限“激活”为危害的外部或内部因素。二者结合，才构成SOTIF风险。
| 类别 | 典型性能局限 | 典型触发条件 | 可能后果 |
|---|---|---|---|
| 感知 | 摄像头动态范围不足、雷达角分辨率低 | 逆光、隧道出口、雨雾、金属井盖 | 漏检、误检、目标分类错误 |
| 定位 | GNSS多径、地图鲜度不足 | 城市峡谷、高架桥下、施工改道 | 横向偏移、误入非行驶区域 |
| 预测 | 对行人意图建模不足 | 行人突然折返、儿童追逐 | 碰撞风险、急刹 |
| 规划 | 对异形障碍物语义理解弱 | 锥桶、掉落物、动物 | 无法生成合理避让轨迹 |
| 人机交互 | 接管请求时机不合理 | 驾驶员分神、接管时间不足 | 接管失败、事故 |
三、场景分析与SOTIF安全论证流程
SOTIF不是一次性测试，而是一个迭代闭环。典型流程包括：定义功能与运行设计域（ODD）、识别危害与触发条件、评估风险、设计缓解措施、验证与确认、持续监控。下图展示了从场景分析到安全论证的核心关系。
图中左侧是输入与目标，中部是场景分析核心，右侧是措施与验证，底部强调迭代。SOTIF安全论证需要证明：在ODD内，已知不安全场景的残余风险已降至可接受水平，且未知不安全场景的探索已足够充分。
四、案例：逆光行人漏检的SOTIF分析
某L3系统在傍晚逆光条件下，摄像头对横穿行人的检测置信度从0.92降至0.35，导致AEB未触发。按SOTIF流程分析：
- 性能局限：摄像头动态范围不足，高光区域细节丢失。
- 触发条件：太阳高度角低于15°、行人位于逆光方向、穿着深色衣物。
- 风险：漏检导致碰撞，严重度高、暴露度中、可控性低。
- 缓解措施：多传感器融合（毫米波雷达补充）、HDR曝光策略、ODD限制（逆光条件下降级或限速）、驾驶员提示。
- 验证：在仿真中参数化扫描太阳角度、行人位置、衣着反射率，并在封闭场地复现。
五、常见误区与复盘
误区一：把SOTIF当成ISO 26262的补充。两者关注点不同，SOTIF需要独立的危害分析和场景库，不能仅靠FMEA覆盖。
误区二：只做实车测试，不做场景参数化。实车里程无法穷举长尾场景，必须结合仿真进行组合覆盖。
误区三：忽视人机交互的触发条件。接管请求过早或过晚都是性能局限，属于SOTIF范畴。
误区四：认为通过测试就等于安全论证完成。SOTIF要求形成论证结构：目标、假设、证据、残余风险结论，并持续监控现场数据。
SOTIF安全论证最小结构示例：
目标：在ODD内，因感知性能局限导致的碰撞风险 ≤ 可接受水平
假设：ODD定义完整；触发条件参数化覆盖充分
证据：仿真覆盖率 ≥ 95%；场地测试通过；实车影子模式无新增高危场景
结论：残余风险可接受，进入现场监控阶段
总结来看，ISO 21448的核心不是“消灭所有未知”，而是建立一套可迭代、可论证、可监控的工程闭环。对于L3冗余与安全架构而言，SOTIF与功能安全必须并行推进：功能安全保证“故障时不失控”，SOTIF保证“正常时不出错”。两者共同构成自动驾驶安全论证的完整底座。