3. 功能安全与预期功能安全基础
在商用车智能驾驶系统中，安全降级工程并不是“出故障后再补救”的临时措施，而是从概念阶段就被定义、被验证、被持续维护的系统能力。要理解降级策略为何这样设计，必须先掌握两套基础标准：ISO 26262 关注由电子电气系统故障引发的功能安全，ISO 21448 关注在没有故障时，因性能局限或场景理解不足导致的预期功能安全。两者共同构成智能驾驶安全论证的底座。
一、两套标准的分工与互补
ISO 26262 的核心问题是：当系统发生随机硬件失效或系统性失效时，是否还能把风险控制在可接受范围内？ 它通过危害分析、安全目标、功能安全概念、技术安全需求、硬件与软件设计、验证确认等环节，形成一条可追溯的安全生命周期。
ISO 21448 的核心问题则是：系统没有坏，但传感器看不清、算法识别不准、场景超出设计运行范围时，是否仍能避免不合理风险？ 它强调 SOTIF（Safety of the Intended Functionality），关注触发条件、性能局限、场景覆盖与未知不安全场景的收敛。
一句话区分：ISO 26262 管“坏了怎么办”，ISO 21448 管“没坏但看不懂怎么办”。商用车自动紧急制动、车道保持、盲区监测等功能的降级策略，往往同时受这两套标准约束。
二、安全生命周期：从概念到退役的闭环
安全生命周期是 ISO 26262 的组织骨架，通常包括：相关项定义、危害分析与风险评估、安全目标设定、功能安全概念、技术安全概念、系统与软硬件开发、集成验证、安全确认、生产运行与退役。对商用车而言，生命周期还须覆盖车队运营、远程升级、维修保养和事故后数据回传。
在降级工程中，安全生命周期最重要的输出是安全目标和安全状态。例如，某 L2 级商用车车道保持功能的安全目标可定义为“避免非预期转向导致车辆偏离车道”，对应安全状态是“退出转向辅助并提示驾驶员接管”。降级策略就是通往安全状态的路径集合。
三、ASIL 等级与危害分析
ASIL（Automotive Safety Integrity Level）由三个维度决定：严重度 S、暴露率 E、可控性 C。三者组合后映射为 QM、ASIL A、B、C、D 五个等级，D 最高。商用车质量大、制动距离长、运营场景复杂，同一类危害往往比乘用车获得更高的 E 或 S 评级。
| 维度 | 含义 | 商用车示例 |
|---|---|---|
| S 严重度 | 伤害程度，S0～S3 | 高速追尾可能造成 S3 严重伤害 |
| E 暴露率 | 场景发生概率，E0～E4 | 高速公路巡航属于 E4 高频暴露 |
| C 可控性 | 驾驶员避免伤害的难易，C0～C3 | 满载重卡紧急避让可控性差，接近 C3 |
| ASIL | 由 S/E/C 查表得出 | 高 S + 高 E + 低 C 常导致 ASIL D |
危害分析常用 HAZOP、FMEA、FTA 等方法。以“自动紧急制动误触发”为例，HAZOP 引导词可帮助识别“无触发”“过晚触发”“过早触发”“错误方向触发”等偏差，再结合场景评估其 ASIL 等级。
四、降级策略中的安全状态与故障响应
当系统检测到传感器失效、算力过载、通信超时或驾驶员接管能力下降时，降级策略需要按时间与风险分层响应。常见的安全状态包括：功能降级、功能退出、请求接管、最小风险策略、靠边停车。商用车还需考虑挂车制动、缓速器、排气制动等执行器的协同。
故障检测 → 风险分类 → 降级等级判定 → 执行安全状态 → 驾驶员提示 → 事件记录
示例：
传感器置信度 < 0.6 → 降级为 L1 辅助 → 仪表提示“请接管” → 记录 DTC 与场景数据工程提示：ASIL 等级不是功能等级，也不是自动驾驶等级。ASIL D 表示该安全目标需要最高完整性的开发流程，而不是说车辆具备最高自动驾驶能力。
五、典型误区与复盘
- 误区一：只做 ISO 26262，忽略 SOTIF。 很多降级触发并非硬件故障，而是感知性能边界，例如逆光、雨雾、异形车辆。
- 误区二：把 ASIL 当作功能配置等级。 ASIL 是风险完整性等级，需通过危害分析逐条安全目标确定。
- 误区三：安全状态只有“停车”。 高速场景下急停可能更危险，降级应优先保证可控性与可预测性。
- 误区四：忽略驾驶员接管能力。 商用车驾驶员疲劳、分心、反应时间差异大，可控性评估必须纳入人因因素。
复盘时，应把每一次降级事件还原为“触发条件—系统响应—驾驶员行为—最终结果”的链条，并回填到危害分析与安全目标中，形成持续改进闭环。