4. 预期功能安全与场景安全高频问题
第4章 · SOTIF与场景安全高频问题
预期功能安全 · 场景识别 · 性能局限 · 回答框架 · 公司侧重点
SOTIF（ISO 21448）是自动驾驶安全面试的必考领域，面试官重点考察你对“性能局限”与“场景识别”的体系化理解。本章通过3个高频问答卡片与1个真实项目模板，帮你建立从概念到落地的回答框架。
Q1
请解释SOTIF与功能安全（FuSa）的核心区别，以及在自动驾驶中如何协同？
📌 回答框架
- 定义切入：FuSa 解决“系统故障”导致的危害；SOTIF 解决“功能不足或可预见误用”导致的危害。
- 核心差异：FuSa 关注随机硬件失效与系统性失效；SOTIF 关注性能局限与场景覆盖。
- 协同关系：两者互补，共同构成自动驾驶安全论证。FuSa 保证“不出错”，SOTIF 保证“够聪明”。
- 落地实践：在 HARA 中同时识别 FuSa 与 SOTIF 相关危害，统一安全目标。
💬 示例回答（约80字）
FuSa 针对系统故障，如传感器失效；SOTIF 针对功能局限，如摄像头逆光误识别。两者互补：FuSa 确保系统在故障下进入安全状态，SOTIF 确保系统在无故障时也能应对复杂场景。协同方式是统一 HARA 分析，同时输出安全目标和 SOTIF 性能指标。
🔁 可能追问
• SOTIF 的触发条件有哪些典型例子？
• 如何证明 SOTIF 达到了可接受的残余风险？
• 在你们的项目中，SOTIF 和 FuSa 团队如何协作？
• 如何证明 SOTIF 达到了可接受的残余风险？
• 在你们的项目中，SOTIF 和 FuSa 团队如何协作？
⚠️ 避坑提醒
不要将 SOTIF 简单等同于“场景库测试”，它是一套完整的预期功能安全开发流程。避免只谈概念不谈协同，面试官更看重你如何在实际项目中整合两者。
Q2
在自动驾驶场景识别中，如何系统性地发现“未知的不安全场景”？
📌 回答框架
- 场景分类：已知安全、已知不安全、未知不安全、未知安全（SOTIF 四象限）。
- 发现手段：基于场景库的覆盖分析、基于里程的触发事件挖掘、基于仿真的对抗生成。
- 量化方法：定义场景参数空间，使用组合测试与贝叶斯优化寻找边界。
- 闭环迭代：将新发现场景加入场景库，更新 SOTIF 验证与确认计划。
💬 示例回答（约90字）
首先建立场景四象限模型，重点攻克“未知不安全”区域。通过实车触发事件、仿真对抗生成、以及场景参数空间搜索来挖掘。例如用贝叶斯优化在雨天+逆光+异形车辆组合中寻找感知失效边界。发现后纳入场景库，并更新 SOTIF 验证用例，形成闭环。
🔁 可能追问
• 如何评估场景库的覆盖率？
• 仿真场景的真实性如何保证？
• 你们用什么工具做场景挖掘？
• 仿真场景的真实性如何保证？
• 你们用什么工具做场景挖掘？
⚠️ 避坑提醒
避免只谈“多跑里程”或“多建场景”，要体现系统性的方法论。不要忽略“未知安全”象限，它同样需要关注，因为可能转化为不安全。
Q3
请举例说明自动驾驶中的性能局限，以及如何通过设计缓解？
📌 回答框架
- 典型局限：传感器物理限制（如摄像头动态范围）、算法能力边界（如长尾目标检测）、执行器响应延迟。
- 缓解策略：多传感器冗余、算法降级策略、ODD 限制、人机共驾接管。
- 验证方法：通过故障注入、边界场景测试、以及 SOTIF 验证确认。
- 权衡取舍：性能与安全、成本与冗余之间的平衡。
💬 示例回答（约85字）
例如摄像头在隧道出口逆光时动态范围不足，导致目标漏检。缓解措施包括：融合毫米波雷达提供冗余感知、设计降级策略（如限速+提示接管）、以及在 ODD 中限制极端光照条件。同时通过注入逆光场景进行 SOTIF 验证，确保残余风险可接受。
🔁 可能追问
• 如何确定降级策略的触发阈值？
• 多传感器融合如何解决性能局限？
• 你们如何量化性能局限带来的风险？
• 多传感器融合如何解决性能局限？
• 你们如何量化性能局限带来的风险？
⚠️ 避坑提醒
不要只罗列局限而不谈缓解，面试官更关注你如何系统性地解决问题。避免给出“加传感器”这种单一答案，要体现多维度权衡。
📁 真实项目模板 · SOTIF 场景安全分析 可迁移
项目名称
L2+ 城市领航辅助系统 SOTIF 场景安全分析
业务背景
为满足 ISO 21448 要求，对城市 NOA 功能进行预期功能安全分析，识别性能局限与未知场景。
规模指标
覆盖 200+ 场景，挖掘 15 类未知不安全场景，感知误报率降低 32%
技术栈
Python · CARLA · 场景库管理平台 · 贝叶斯优化 · 故障注入工具链
🔧 核心难点
- 城市道路场景组合爆炸，难以穷举；需结合实车触发与仿真对抗生成。
- 感知性能局限的量化缺乏统一标准，需自定义边界指标。
- 跨团队协作：感知、规控、安全团队对 SOTIF 理解不一致。
❓ 面试高频追问
- 你们如何定义“未知不安全场景”的发现流程？
- 贝叶斯优化在场景搜索中的具体应用？
- 如何验证缓解措施的有效性？
- 这个项目对后续车型的 SOTIF 开发有什么沉淀？
🗣️ 可迁移回答话术：“在这个项目中，我主导了 SOTIF 场景分析模块。我们通过四象限模型定位未知不安全区域，利用贝叶斯优化在仿真中高效搜索边界场景，并将发现的问题闭环到感知和规控团队。最终不仅满足了 ISO 21448 要求，还沉淀了一套可复用的场景挖掘流程，将同类问题的分析效率提升了 40%。”
📘 本章小结：SOTIF 面试的核心是“体系化思维”——从概念辨析到场景识别，再到性能局限与缓解措施，最后用项目案例证明落地能力。记住四步拆解法：定义问题 → 场景识别 → 性能局限 → 缓解措施。