1. 课程导入与ADAS安全全景
ADAS（Advanced Driver Assistance System，高级驾驶辅助系统）是当前智能汽车量产落地的核心战场。Bosch在这一领域的业务版图覆盖了从感知、决策到执行的完整链路：毫米波雷达、超声波传感器、多功能摄像头、域控制器、制动与转向执行器，以及配套的软件与标定服务。理解这套体系，不能只看功能清单，更要看它如何在“安全”这条主线下被组织起来。
本课程围绕Bosch ADAS的功能安全（Functional Safety, FuSa）与预期功能安全（Safety of the Intended Functionality, SOTIF）展开，并落到系统验证体系上。第一节课的目标不是讲透某个具体算法，而是建立一张“安全全景图”：知道Bosch ADAS有哪些典型产品、FuSa与SOTIF各自解决什么问题、系统验证在V模型中处于什么位置，以及后续30节课程将如何用一条工程案例主线贯穿始终。
Bosch ADAS业务版图：从传感器到执行器
Bosch ADAS的产品可以按“感知—决策—执行”三层来理解。感知层包括：前向毫米波雷达（如MRR，中距雷达）、角雷达（SRR，短距雷达）、超声波泊车传感器（USS）、前视多功能摄像头（MPC）、环视摄像头等。决策层以域控制器（如ADCU、座舱与智驾融合控制器）为核心，运行融合、规划与控制算法。执行层则包括ESP（电子稳定程序）、iBooster、IPB（集成式制动系统）以及电动助力转向EPS等。
这些部件并非孤立工作。例如AEB（自动紧急制动）功能，需要雷达与摄像头融合识别前方目标，域控制器计算TTC（碰撞时间），再通过iBooster或ESP施加制动。任何一个环节失效，都可能影响安全目标的达成。因此，功能安全不是某一个ECU的事，而是贯穿整条信号链的系统属性。
FuSa与SOTIF：两类安全问题的分工
功能安全（FuSa）依据ISO 26262，关注的是“系统故障”导致的风险。比如传感器信号漂移、MCU运算错误、通信丢帧、执行器卡滞等。它的核心问题是：当系统发生故障时，如何避免不合理的风险？典型手段包括ASIL等级划分、安全机制（如看门狗、CRC校验、双核锁步）、故障响应时间（FTTI）分析等。
预期功能安全（SOTIF）依据ISO 21448，关注的是“没有故障但功能不足”导致的风险。比如摄像头在逆光下漏检、雷达对静止金属物体误识别、算法对异形车辆识别率低等。它的核心问题是：在系统正常工作的情况下，如何避免因性能局限或可预见误用带来的风险？典型手段包括场景库建设、边界场景测试、触发条件分析、功能限制与驾驶员接管策略等。
两者不是替代关系，而是互补关系。FuSa处理“坏了怎么办”，SOTIF处理“没坏但不够好怎么办”。在Bosch ADAS开发中，二者通常并行推进，并在系统验证阶段统一收敛。
系统验证在V模型中的位置
V模型是汽车电子开发的经典框架。左侧是设计分解：从整车需求到系统需求，再到子系统与组件设计。右侧是集成验证：从组件测试、子系统集成，到系统集成，最后到整车验证。系统验证处于V模型右半侧的核心位置，它要回答的问题是：我们设计出来的系统，是否真的满足了左侧提出的安全需求？
在Bosch ADAS项目中，系统验证通常包括几个层次。第一层是组件级验证，比如雷达的探测距离、摄像头的识别率、执行器的响应时间。第二层是子系统级验证，比如感知融合模块的输出一致性、域控制器的安全机制触发逻辑。第三层是系统级验证，比如AEB功能在不同车速、不同目标类型下的触发时机与制动减速度。第四层是整车级验证，包括实车场地测试与道路测试。
每一层验证都需要明确的通过准则。以AEB为例，一个典型的系统级验证用例可能是：目标为静止车辆，自车车速50 km/h，要求TTC小于1.6 s时发出制动请求，减速度不低于6 m/s²，且不产生误触发。这个用例同时涉及FuSa（制动请求信号是否正确传递）和SOTIF（静止车辆是否被正确识别）。
课程学习地图与工程案例贯穿方式
后续29节课将围绕一条主线展开：以AEB（自动紧急制动）功能为工程案例，从需求分析、危害分析、安全目标定义，到安全机制设计、SOTIF场景分析、测试用例设计、实车验证与问题闭环。每一节都会在这条主线上增加一个具体的知识点或实践环节。
课程大致分为四个阶段。第一阶段（第2～8节）建立安全基础：ISO 26262与ISO 21448的核心概念、ASIL等级、安全生命周期、危害分析与风险评估。第二阶段（第9～16节）深入FuSa设计：安全需求分解、安全机制、FTTI计算、硬件与软件安全分析。第三阶段（第17～24节）聚焦SOTIF：场景分类、触发条件、边界场景识别、功能限制与驾驶员接管。第四阶段（第25～30节）落到系统验证：测试策略、用例设计、仿真与实车测试、问题管理与闭环。
需要强调的是，功能安全与预期功能安全并非彼此独立。在实际项目中，二者共享同一套系统架构、同一套测试资源、同一套问题管理流程。区别在于分析视角不同：FuSa从故障出发，SOTIF从性能局限出发。最终，它们都要在系统验证阶段被统一验证和确认。这也是本课程将二者放在同一框架下讲解的原因。