3. 功能安全与预期功能安全
在自动驾驶安全架构中，功能安全与预期功能安全是两条并行且互补的主线。功能安全关注的是由电子电气系统故障引发的危害，核心标准是 ISO 26262；预期功能安全关注的是系统在没有故障的情况下，由于性能局限、场景理解不足或可预见误用而引发的危害，核心标准是 ISO 21448。两者共同构成自动驾驶安全论证的完整拼图。
一、核心原理：故障安全与设计安全的分工
ISO 26262 的出发点是“故障”。它要求对电子电气系统进行危害分析与风险评估，确定 ASIL 等级，并据此设计安全机制，使系统在故障发生时进入安全状态或维持安全运行。ISO 21448 的出发点是“功能不足”。它承认即使所有部件都正常工作，感知算法仍可能因逆光、雨雾、异形障碍物等场景而漏检或误检，因此需要通过场景分析、性能边界定义和验证确认来降低风险。
一句话区分：ISO 26262 管“坏了怎么办”，ISO 21448 管“没坏但不会怎么办”。前者靠冗余、监控、降级；后者靠场景覆盖、性能提升、限制使用条件。
二、ASIL 等级与安全目标
ASIL 由危害事件的严重度（S）、暴露率（E）和可控性（C）三个参数共同决定，分为 A、B、C、D 四个等级，D 为最高。ASIL 等级直接决定安全目标的严格程度、开发流程的 rigor 以及验证确认的深度。安全目标是对危害事件的顶层安全需求，例如“避免非预期的紧急制动”或“避免转向系统非预期输出扭矩”。
| 参数 | 含义 | 典型取值 |
|---|---|---|
| S（Severity） | 危害对人员伤害的严重程度 | S0 无伤害 ~ S3 致命伤害 |
| E（Exposure） | 运行场景中危害发生概率 | E0 极低 ~ E4 高概率 |
| C（Controllability） | 驾驶员或其他人员避免伤害的可行性 | C0 可控 ~ C3 难以控制 |
| ASIL | 综合风险等级 | A（低）→ D（高） |
安全目标确定后，需要向下分解为功能安全需求（FSR）和技术安全需求（TSR），并分配到具体的架构元素。例如，一个 ASIL D 的“避免非预期加速”安全目标，可能分解为“扭矩监控独立于扭矩控制”“双通道传感器校验”“安全状态可在 100ms 内进入”等需求。
三、安全生命周期：从概念到退役
ISO 26262 定义了完整的安全生命周期，覆盖概念阶段、开发阶段、生产运行阶段和退役阶段。概念阶段输出相关项定义、危害分析与风险评估、安全目标；开发阶段进行系统、硬件、软件的分层设计与验证；运行阶段则通过现场监控、OTA 更新和事件响应维持安全状态。
四、方法流程：从 HARA 到安全需求分解
实际工程中，功能安全与预期功能安全通常并行开展，但输入和输出需要对齐。典型流程如下：
- 相关项定义：明确自动驾驶系统的边界、功能、运行条件和接口。
- HARA：识别危害事件，评估 S/E/C，确定 ASIL 等级和安全目标。
- SOTIF 场景分析：识别性能局限场景、可预见误用场景，定义已知不安全、未知不安全区域。
- 需求分解：将安全目标和 SOTIF 目标分解为 FSR、TSR 和 SOTIF 需求。
- 架构设计：分配需求到传感器、计算平台、执行器，设计冗余与监控机制。
- 验证确认：通过仿真、台架、实车测试验证安全目标达成，并持续更新场景库。
工程提示：ASIL D 并不等于“所有部件都要双冗余”。应优先通过架构隔离、安全机制和可控性设计降低对单一高成本冗余的依赖，同时确保安全目标在故障和性能局限两类风险下都可被论证。
五、案例场景：AEB 的 ASIL 与 SOTIF 联合分析
以自动紧急制动（AEB）为例。功能安全侧关注：雷达或摄像头故障导致误触发制动，或制动执行器失效导致无法制动。通过 HARA 可能得出“非预期制动”为 ASIL D，“漏制动”为 ASIL C。对应安全机制包括传感器交叉校验、制动扭矩监控、安全状态降级为驾驶员接管提示。
SOTIF 侧关注：白色货车横穿、隧道口逆光、雨雾中行人等场景下，感知系统未故障但漏检。此时需要定义性能边界，例如“在照度低于 10 lux 且目标对比度低于 5% 时，AEB 不承诺触发”，并通过场景库和影子模式持续评估漏检率。两者结合，才能形成完整的 AEB 安全论证。
六、常见误区与复盘
- 误区一：把 SOTIF 当成功能安全的子集。两者风险来源不同，不能互相替代，必须分别建立论证链条。
- 误区二：ASIL 等级越高越好。ASIL 由危害决定，过度拔高会导致成本失控，过低则无法覆盖真实风险。
- 误区三：安全目标只写在文档里。安全目标必须可追溯、可验证，并落实到架构、代码和测试用例中。
- 误区四：忽略运行阶段。安全生命周期不止于量产，现场监控、OTA 和事件响应同样是安全论证的一部分。
安全目标示例（AEB）：
SG-01：避免 AEB 非预期制动导致后车追尾 —— ASIL D
SG-02：在可避免碰撞场景中及时触发制动 —— ASIL C
SOTIF-01：在已知低照度场景下，漏检率不超过 1e-3
SOTIF-02：对可预见误用（如驾驶员持续踩油门）提供接管提示综上，ISO 26262 与 ISO 21448 分别从“故障”和“性能局限”两个维度构建安全屏障。ASIL 等级决定功能安全的严格度，安全目标提供顶层牵引，安全生命周期保证从概念到运行的全链路闭环。只有将功能安全与预期功能安全联合设计、联合验证，自动驾驶系统才能在复杂真实场景中具备可论证的安全置信度。