4. 预期功能安全（SOTIF）
预期功能安全（Safety of the Intended Functionality，SOTIF）关注的是：系统本身没有发生随机硬件失效或软件故障，但由于性能局限或可合理预见的人员误用，在特定触发条件下仍可能引发危害。ISO 21448 正是为这一“无故障却危险”的问题域提供框架，它与 ISO 26262 形成互补：前者管“失效”，后者管“能力边界”。
一、核心原理：四象限与残余风险
ISO 21448 用四个区域描述系统在“是否已知”与“是否安全”两个维度上的状态：已知安全、已知不安全、未知不安全、未知安全。工程活动的本质是两条路径：一条通过场景分析与验证，把未知不安全暴露为已知不安全；另一条通过功能优化、限制策略或人机交互设计，把已知不安全收敛为已知安全。最终允许残留的，是经过评估可接受的残余风险。
与 ISO 26262 的 ASIL 不同，SOTIF 不直接分配完整性等级，而是围绕“危害行为”和“场景”展开。它强调：即使所有部件都符合规格，感知在逆光、雨雾、异形障碍物下仍可能漏检；决策在交互博弈中仍可能误判；执行在低附着路面仍可能不足。这些都不是“坏了”，而是“不够好”。
二、性能局限与触发条件
性能局限是 SOTIF 的根因。对自动驾驶系统而言，典型局限包括：摄像头动态范围不足、毫米波雷达对静止金属的虚警、激光雷达在雨雾中的点云衰减、融合算法对截断目标的特征缺失、预测模块对加塞意图的误判、控制模块在低附着下的跟踪误差。触发条件则是把这些局限“激活”的外部或内部条件，可分为环境触发、交通触发、车辆状态触发和人员触发。
- 环境触发：逆光、隧道出入口、雨雪雾、路面反光、施工区、无标线路口。
- 交通触发：异形车辆、货物超宽、行人突然折返、多车博弈、加塞与让行冲突。
- 车辆触发：传感器遮挡、标定漂移、轮胎磨损、载荷变化、制动热衰退。
- 人员触发：驾驶员脱手、误用辅助驾驶、接管延迟、对系统能力的高估。
识别触发条件的关键是建立“性能局限—触发条件—危害行为”的因果链。例如：摄像头动态范围不足（局限）＋隧道出口强光（触发）→ 前车目标丢失（危害行为）→ 追尾风险（危害）。只有把链条写清楚，后续的场景分析与验证才有靶点。
三、场景分析与验证策略
场景是 SOTIF 的工作语言。通常按抽象层级分为功能场景、逻辑场景和具体场景：功能场景用自然语言描述“高速公路上前车突然减速”；逻辑场景用参数范围描述“车速 60–120 km/h、相对距离 20–80 m、减速度 2–6 m/s²”；具体场景则给出确定参数用于仿真或测试。验证策略遵循“金字塔”思路：先以大规模仿真覆盖逻辑场景空间，再用封闭场地复现高风险具体场景，最后用实车道路验证真实交互与人员因素。
| 验证层级 | 主要手段 | 覆盖对象 | 典型指标 |
|---|---|---|---|
| 仿真验证 | 场景回放、参数扫描、蒙特卡洛 | 逻辑场景空间、边界条件 | 漏检率、误报率、碰撞率 |
| 封闭场地 | 目标物牵引、假人假车、光照模拟 | 高风险具体场景 | 制动距离、避撞成功率 |
| 实车道路 | 影子模式、接管记录、自然驾驶 | 真实交通与人员误用 | 接管率、误触发率、舒适度 |
| 在环测试 | HIL/SIL、驾驶员在环 | 控制与交互链路 | 响应时延、人机一致性 |
四、案例与误区复盘
以“隧道出口强光导致前车漏检”为例：性能局限是摄像头动态范围不足；触发条件是隧道出口亮度骤变与深色车辆；危害行为是 AEB 未触发或过晚触发。验证时，若只在白天均匀光照下测试，就会漏掉该场景。正确做法是在场景库中显式加入“隧道出口＋深色目标＋不同车速”的参数组合，并用光照模拟设备在封闭场地复现，再以仿真做大规模扫描，最终评估残余风险是否可接受。
场景参数示例（逻辑场景）：
road: highway
ego_speed: 60–120 km/h
lead_vehicle_color: dark
light_condition: tunnel_exit_glare
relative_distance: 20–80 m
lead_deceleration: 2–6 m/s²
acceptance: collision_rate < 1e-6 / scenario综上，ISO 21448 提供的是“能力边界管理”的方法论：以性能局限为起点，以触发条件为线索，以场景分析与验证为手段，把未知不安全逐步转化为已知安全，并对残余风险做出可辩护的接受判断。它与 ISO 26262 共同构成自动驾驶安全论证的两条腿，缺一不可。