1. SOTIF在Bosch驾驶辅助功能开发中的定位
在Bosch驾驶辅助系统（DAS，Driver Assistance Systems）的开发语境中，SOTIF（Safety of the Intended Functionality，预期功能安全）并不是一个独立于既有安全体系的“附加项”，而是与功能安全（FuSa）并列、共同构成系统安全（Safety of the System）的两大支柱之一。理解SOTIF的定位，首先要回到ISO 21448的核心思想：在没有任何电子电气故障的前提下，系统仍可能因为性能局限、场景理解不足或合理可预见的误用而产生不可接受的风险。SOTIF要处理的，正是这部分“无故障但危险”的风险。
ISO 21448的核心思想
ISO 21448把风险来源拆成两类：一类是功能不足（functional insufficiency），例如AEB的雷达在雨雾中探测距离下降、摄像头在逆光下漏检行人；另一类是合理可预见的误用（reasonably foreseeable misuse），例如驾驶员过度信任L2功能而双手离开方向盘。这两类风险都不属于ISO 26262定义的E/E故障，因此无法用故障率、ASIL等级或安全机制来覆盖。SOTIF的核心逻辑是：先定义预期功能及其运行设计域（ODD），再识别由性能局限和误用导致的危害行为，最后通过功能改进、场景限制、人机交互设计或验证确认把残余风险降到可接受水平。
ISO 21448将SOTIF活动划分为若干阶段：功能与系统规范定义、危害识别与风险评估、潜在危险场景识别、功能改进与验证策略、验证与确认。其最终目标不是“零风险”，而是证明已知不安全场景足够少、未知不安全场景足够小，使系统在目标ODD内的风险可接受。
与ISO 26262的功能安全边界
ISO 26262关注的是E/E系统故障引起的危害，其出发点是“系统本应正常工作，但发生了故障”。ISO 21448关注的是“系统按设计正常工作，但性能不够或场景超出能力”。两者在Bosch DAS开发中形成互补：
- ISO 26262：处理随机硬件失效、系统性失效，通过ASIL等级、安全机制、FMEA/FTA、硬件度量（SPFM、LFM）等手段控制故障风险。
- ISO 21448：处理性能局限、场景覆盖不足、算法泛化能力不足、人机交互误导等，通过场景分析、ODD定义、触发条件识别、验证确认等手段控制预期功能风险。
边界的关键判断是：如果危害的根因是“某个部件坏了”，归ISO 26262；如果根因是“系统没坏，但没看懂/没反应过来/被误用”，归ISO 21448。实际项目中两者常在同一危害事件上交叉，例如AEB误触发既可能由雷达故障引起（FuSa），也可能由静止金属板反射引起（SOTIF），需要分别分析并合并到系统安全论证中。
预期功能安全与系统安全的关系
系统安全（Safety of the System）是顶层目标，FuSa和SOTIF是两条实现路径。Bosch在DAS产品开发中通常建立统一的安全论证结构：顶层安全目标由系统安全负责分解，FuSa负责故障相关部分，SOTIF负责性能与场景相关部分。两者共享危害分析与风险评估（HARA）的部分输入，但SOTIF更强调场景驱动的危害识别，而不是单纯的故障树分析。
一个常见的误解是“做了FuSa就不需要SOTIF”。实际上，即使所有E/E部件都满足ASIL D，AEB仍可能因为摄像头在隧道出口的明暗突变中漏检前方车辆而失效——这不是故障，而是性能局限。SOTIF正是用来系统性地发现、评估并降低这类风险。
Bosch DAS产品线中的SOTIF适用场景
Bosch DAS产品线覆盖从L0到L2+的广泛功能，SOTIF的适用性随自动化程度和场景复杂度显著变化：
- 基础ADAS（L0-L1）：如FCW、LDW、AEB。SOTIF重点在传感器性能边界（雨雾、逆光、夜间）、目标分类置信度、误触发与漏触发场景。
- L2级功能：如ACC、LKA、TJA。SOTIF重点在ODD边界、驾驶员接管请求的及时性与可理解性、系统对cut-in/cut-out的处理能力。
- L2+ / 高速领航：如Bosch的高速公路辅助。SOTIF重点在复杂交通流、施工区、异形车辆、地图与感知一致性、人机共驾状态管理。
在这些场景中，SOTIF活动通常与场景库建设、仿真验证、实车测试、数据驱动分析紧密结合。Bosch工程实践中，SOTIF不是一次性文档，而是贯穿概念、开发、验证、量产的持续活动。
从工程落地角度看，SOTIF在Bosch DAS项目中的定位可以概括为三点：第一，它是系统安全论证中不可省略的一半，与FuSa共同覆盖“故障”和“非故障”两类风险；第二，它是场景驱动的，核心工作围绕ODD、触发条件、危险场景库展开；第三，它是持续迭代的，随着数据积累和场景覆盖提升，SOTIF论证不断更新，直到残余风险可接受。