1. 课程导入
自动驾驶正在从实验室走向公开道路，从辅助驾驶走向有条件自动驾驶与高度自动驾驶。技术能力的提升并没有自动带来安全信任，相反，每一次涉及自动驾驶的交通事故都会迅速成为公众议题。行业逐渐形成一个共识：安全不是一句“系统足够可靠”的声明，而是一套可以被拆解、被论证、被审查、被追溯的工程证据体系。本课程围绕“安全案例（Safety Case）”与“论证工程（Argumentation Engineering）”展开，帮助学习者建立从安全目标到证据链的完整方法论。
一、学习目标：从“会做功能”到“会论证安全”
本课程不是单纯讲解传感器、算法或控制理论，而是聚焦安全论证工程能力。学完本课程，学习者应达到以下目标：
- 概念层：理解安全、风险、危害、可接受安全水平、安全案例、论证结构等核心术语的准确含义与相互关系。
- 标准层：掌握 ISO 26262、ISO 21448（SOTIF）、UL 4600、ISO 21434 等标准在自动驾驶安全论证中的定位与衔接方式。
- 方法层：能够使用 GSN（Goal Structuring Notation）、STPA、FMEA、HAZOP 等工具构建危害分析与安全论证结构。
- 证据层：理解测试、仿真、形式化验证、现场运行数据、安全监控等证据的类型、强度与局限。
- 工程层：能够把安全案例嵌入研发流程、变更管理和运营监控，形成可维护、可审计的论证资产。
二、核心概念：安全案例与论证工程
安全案例（Safety Case）是一份结构化、可审查的论证文档，它通过目标、策略、证据和上下文，说明系统在特定运行设计域（ODD）内达到了可接受的安全水平。它不是简单的测试报告汇总，而是“主张—论证—证据”的完整链条。
论证工程则是把安全案例的构建、维护、评审和演化当作一项工程活动来管理。它强调论证结构可复用、证据可追溯、假设可管理、变更可影响分析。换句话说，安全案例不是项目末期补写的文档，而是与系统架构、需求、测试同步演进的工程产物。
在自动驾驶中，安全论证面临三个特殊挑战：
- 开放环境：ODD 边界难以穷举，长尾场景无法仅靠道路测试覆盖。
- 人机共驾：驾驶员接管、系统降级、人机交互失效都会引入新的危害。
- 持续演化：OTA 升级、数据驱动模型迭代使“一次认证”难以覆盖全生命周期。
三、整体框架：从危害到证据的闭环
本课程采用“目标—分析—设计—验证—运行—论证”的闭环框架。下图展示了自动驾驶安全论证工程的整体结构：左侧是安全目标与标准约束，中间是危害分析与安全需求分解，右侧是证据生成与安全案例组装，底部是贯穿全生命周期的变更与监控。
四、行业背景：为什么现在必须学安全论证
过去十年，自动驾驶行业经历了从“技术演示”到“安全合规”的转向。早期企业倾向于用路测里程和接管次数证明能力，但监管机构和公众逐渐意识到：里程数不等于安全论证，接管率也不等于风险可控。多起事故调查显示，问题往往不在单一算法，而在危害识别不完整、安全需求遗漏、人机交互设计缺陷或运行监控缺失。
与此同时，标准体系快速演进。ISO 26262 关注功能安全，ISO 21448 关注预期功能安全（SOTIF），UL 4600 面向自动驾驶产品安全案例，ISO 21434 覆盖网络安全。这些标准共同指向一个趋势：安全需要被论证，而不是被声称。
| 标准/框架 | 关注重点 | 在安全案例中的作用 |
|---|---|---|
| ISO 26262 | 功能安全，E/E 系统失效风险 | 提供危害分析与 ASIL 分解方法，支撑安全目标 |
| ISO 21448 (SOTIF) | 预期功能安全，性能局限与可预见误用 | 补充非失效类危害场景，扩展 ODD 分析 |
| UL 4600 | 自动驾驶产品安全案例 | 定义安全案例结构、证据类型与评审要求 |
| ISO 21434 | 网络安全工程 | 覆盖攻击导致的危害，补充安全论证边界 |
| GSN | 论证结构表示法 | 把目标、策略、证据组织成可审查图形 |
五、常见误区与复盘提示
误区二：只关注失效，忽略性能局限。SOTIF 提醒我们，系统没有失效也可能因为感知局限、场景理解不足而产生危害。
误区三：证据越多越好。证据必须与主张匹配，低相关度的测试数据反而会稀释论证强度。
误区四：一次论证，终身有效。OTA、模型迭代和 ODD 扩展都会改变论证前提，必须建立变更影响分析机制。
本课程后续将沿着“概念—标准—方法—案例—工具—复盘”的路径展开。你将学习如何用 GSN 画出安全论证结构，如何用 STPA 识别不安全控制行为，如何把测试、仿真和运行数据组织成可审查的证据链，以及如何在真实项目中维护一份持续演进的安全案例。安全论证工程不是额外负担，而是自动驾驶从“能跑”走向“可信”的必经之路。