4. 预期功能安全基础
在自动驾驶安全体系中，功能安全（ISO 26262）解决的是“系统故障导致的风险”，而预期功能安全（Safety of the Intended Functionality，SOTIF，ISO 21448）解决的是“系统没有故障、但功能或性能不足导致的风险”。这是两类本质不同的问题：前者问“东西坏了怎么办”，后者问“东西没坏，但它看不懂、看不远、判断错了怎么办”。对于量产自动驾驶而言，SOTIF 往往是更难、更隐蔽、也更贴近真实事故的一类风险。
一、SOTIF 的核心逻辑：从“故障”转向“局限”
ISO 21448 的核心思想可以概括为一句话：在没有任何故障的前提下，由于性能局限和可预见误用，系统仍可能进入危害行为，必须通过设计、验证和运行措施把这类风险降到可接受水平。它关注的不是硬件失效，而是感知能力边界、算法泛化能力、场景覆盖不足、人机交互误解等“非故障”因素。
SOTIF 把运行场景划分为四个区域，这是理解全章的关键模型：
- 已知安全场景：系统能正确处理，且已通过验证确认安全。
- 已知不安全场景：系统已知会出错，但尚未修复或无法完全修复。
- 未知不安全场景：系统可能出错，但当前尚未识别，是 SOTIF 最大的威胁。
- 未知安全场景：系统能正确处理，但尚未被充分验证。
SOTIF 活动的目标，就是不断把“未知不安全”转化为“已知不安全”，再通过改进把它转化为“已知安全”，同时扩大“已知安全”的覆盖范围。
二、性能局限：SOTIF 风险的根源
性能局限是指系统在无故障状态下，由于传感器物理特性、算法能力、算力约束等原因，无法在所有场景中达到预期性能。常见的性能局限包括：
- 感知局限：摄像头在逆光、雨雾、夜间低照度下对比度下降；毫米波雷达对静止物体和金属反射的误判；激光雷达在雨雪中的点云衰减。
- 算法局限：目标检测对异形障碍物、遮挡目标、罕见类别的泛化不足；预测模块对行人突然折返、车辆加塞的意图误判。
- 决策局限：对模糊交通规则、无保护左转、施工区临时标志的处理能力不足。
- 执行局限：制动距离、转向响应在低附着路面上的物理边界。
这些局限本身不是故障，但一旦与特定触发条件叠加，就可能产生危害行为。
三、触发条件与场景分类
触发条件是“激活”性能局限的外部或内部因素。SOTIF 强调把触发条件与性能局限组合起来分析，形成“触发条件—性能局限—危害行为”的因果链。常见触发条件可分为以下几类：
| 触发条件类别 | 典型示例 | 影响的性能局限 | 可能危害行为 |
|---|---|---|---|
| 环境光照 | 逆光、隧道出入口、夜间眩光 | 摄像头动态范围不足 | 漏检前车、误判车道线 |
| 天气与路面 | 大雨、浓雾、积雪、积水反光 | 激光雷达点云衰减、雷达杂波 | 误刹、跟车距离异常 |
| 交通参与者 | 异形障碍物、儿童突然横穿、加塞 | 目标检测与意图预测泛化不足 | 未及时制动或避让 |
| 道路结构 | 施工区、临时改道、无标线路口 | 地图与定位先验失效 | 路径规划错误、驶出道路 |
| 人机交互 | 驾驶员误解接管请求、过度信任 | HMI 提示不清晰 | 接管延迟、误操作 |
四、案例与复盘：逆光下的白色货车
某量产项目在夏季傍晚进行实车测试时，车辆在高速上以 100 km/h 行驶，前方一辆白色厢式货车在逆光背景下进入视野。摄像头因高光溢出导致目标对比度骤降，毫米波雷达对静止货车反射截面积判断偏弱，融合模块未能在足够距离内稳定输出目标。系统直到约 60 m 才触发制动，虽未碰撞，但已低于安全阈值。
复盘时，团队按 SOTIF 方法定位：这不是传感器故障，而是逆光 + 白色目标 + 高速接近这一触发条件组合，激活了感知性能局限。改进措施包括：增加逆光场景数据训练、优化雷达与视觉融合策略、在置信度不足时提前降级并提示驾驶员接管。该场景也从“未知不安全”转为“已知不安全”，再通过验证转为“已知安全”。
# SOTIF 场景分析记录示例（YAML 片段）
scenario_id: SOTIF-0427
trigger_conditions:
- 逆光
- 白色目标
- 高速接近
performance_limitation: 摄像头动态范围不足 + 雷达静止目标反射弱
hazardous_behavior: 制动触发过晚
risk_level: 高
mitigation:
- 增加逆光训练数据
- 融合置信度阈值调整
- 降级并提示接管
status: 已知不安全 -> 验证中
SOTIF 的本质，是承认“没有故障的系统依然可能不安全”，并用系统化方法把未知风险逐步变成已知、可控、可验证的工程对象。理解四象限、性能局限、触发条件与场景分类，是后续开展 SOTIF 验证与量产落地的起点。