1. 课程导入

自动驾驶系统把感知、定位、预测、决策、规划与控制等多个子系统耦合在一条实时闭环链路中，任何单点失效都可能被放大为整车级风险。因此，安全验证与故障工程不是“测试阶段的一项工作”，而是贯穿需求、设计、实现、集成、运行与迭代全生命周期的工程能力。本课程的目标，是帮助学习者建立一套可落地的安全验证思维：既能从标准与概念出发定义“什么是安全”，也能用工程方法回答“如何证明它安全”“失效后如何保持可控”。

一、学习目标：从概念到证据链

完成本课程后，学习者应能达成以下四类目标。第一，概念层：理解功能安全、预期功能安全、信息安全与运行安全之间的边界与交集，能区分“故障”“失效”“错误”“危害”等易混术语。第二，方法层：掌握危害分析与风险评估、安全目标分解、安全需求推导、故障树与失效模式分析等基本方法。第三，验证层：能够设计仿真、封闭场地、公开道路与硬件在环相结合的验证策略，并理解覆盖率、场景库、里程与置信度之间的关系。第四，工程层：能够针对典型失效设计降级策略、最小风险状态与冗余切换机制，并形成可追溯的安全证据链。

二、核心概念：四个必须分清的对象

自动驾驶安全领域最容易混淆的是“故障—错误—失效—危害”这条因果链。故障是部件或系统内部的异常状态；错误是由故障导致的不正确计算或数据；失效是系统对外表现出的功能偏离；危害则是在特定运行场景下可能造成的人员伤害或财产损失。安全工程的关键，是把危害反向追溯到可控制的故障与需求，而不是停留在“某个模块不准”的模糊描述上。

与之配套的还有几个高频概念：安全目标用于描述可接受的危害避免状态；ASIL用于刻画风险等级并决定开发 rigor；最小风险状态是系统无法继续正常行驶时应达到的可控状态；运行设计域则界定了系统被允许工作的条件边界。验证工作必须围绕这些对象建立可测量、可追溯的指标。

三、整体知识框架：三条主线交织

本课程的知识框架由三条主线构成。第一条是标准与概念线，回答“依据什么定义安全”，覆盖 ISO 26262 功能安全、ISO 21448 预期功能安全、ISO/SAE 21434 信息安全以及运行安全相关要求。第二条是分析与设计线，回答“如何把安全目标变成可实现的架构”，包括危害分析、风险评估、安全需求分解、冗余与监控设计。第三条是验证与运行线，回答“如何证明并持续保持安全”，包括仿真、场地、道路、HIL 测试，以及运行阶段的监控、降级与复盘。

三条主线并非线性排列，而是通过“证据链”相互咬合：标准给出目标，分析产出需求，验证产出证据，运行反馈又反过来修正危害假设与场景库。理解这种咬合关系，比记住单个标准条款更重要。

四、课程路线图：从概念到实战的六个阶段

五、案例场景：一次“误检”如何演化为风险

设想城市道路场景：摄像头在逆光下把白色货车尾部误判为天空，感知模块输出“前方无障碍”。若决策模块没有横向冗余校验，车辆可能继续加速；若此时雷达也因金属反射出现漏检，融合结果进一步确认错误。最终表现为失效——未及时制动。这个链条说明，安全验证不能只测“感知准不准”，而要验证“当感知不确定时，系统是否有独立通道发现异常，并进入可控状态”。这正是故障工程与预期功能安全交汇的典型问题。

六、常见误区与复盘要点

• 误区一：把里程当安全。 里程只说明暴露量，不说明边界场景覆盖。应关注场景覆盖率与危害覆盖度。
• 误区二：只做功能测试，不做故障注入。 正常路径通过不代表失效路径可控，必须主动注入传感器故障、通信延迟、算力过载等。
• 误区三：安全需求不可追溯。 若需求无法追溯到危害与测试用例，安全案例就缺乏说服力。
• 误区四：忽略运行阶段。 安全是持续过程，OTA 回归、运营监控与事故复盘同样属于验证体系。

安全证据链最小闭环示例：
危害 H-01：逆光下漏检前车 → 安全目标 SG-01：避免非预期碰撞
安全需求 SR-01：感知融合需具备独立横向校验通道
验证用例 TC-01：逆光 + 白车尾 + 雷达低反射，注入摄像头误检
判定准则：系统在 300ms 内识别不确定并触发降级或制动

本课程后续将沿着上述路线图逐层展开：先建立概念与标准底座，再进入危害分析、需求架构、验证方法与故障工程，最终落到安全案例与运行复盘。学习时建议始终带着“危害—需求—证据”这条主线，把每一节内容都挂到这条链上，形成可迁移的工程能力。