2、基础知识：预期功能安全的核心概念与关键术语

预期功能安全（SOTIF，Safety Of The Intended Functionality）关注的是当系统本身没有故障（即没有硬件随机失效、没有软件系统故障）时，由于功能性能局限、设计不足或可合理预见的误用所引发的危害。要深入理解ISO 21448，首先必须厘清其四大核心概念：功能不足、触发条件、场景与危害事件。这四个概念构成了SOTIF分析的逻辑链条：从“功能为什么不够好”到“什么情况下不够好”，再到“在什么环境中不够好”，最终落脚于“会造成什么伤害”。下图展示了这四者之间的递进关系与SOTIF分析的核心闭环。

上图清晰地展示了SOTIF分析的逻辑主线。功能不足是系统固有的“内因”，触发条件是使其暴露的“外因”，场景是分析问题所需的“环境画布”，而危害事件则是需要被避免的“最终后果”。下面我们将逐一深入剖析这些核心概念，并辨析与之相关的关键术语。

2.1 功能不足（Functional Insufficiency）

核心原理：功能不足的本质

在ISO 21448中，功能不足是指“实现的功能在特定条件下无法达到预期性能或行为，从而导致危害事件的可能性”。它并非指系统硬件损坏或软件代码执行错误（这些属于功能安全ISO 26262的范畴），而是指功能设计本身存在的局限。例如，一个自动驾驶系统的感知算法在雨雾天气下无法准确识别行人，这并非传感器硬件故障，而是算法模型在特定天气条件下的性能不足。

功能不足通常来源于以下三个方面：

• 规格不足：系统需求规格书对某些场景的描述不完整或错误，导致设计出来的功能无法覆盖真实世界的多样性。
• 性能局限：算法或传感器的物理极限，如摄像头动态范围有限、雷达角分辨率不足、机器学习模型对罕见场景的泛化能力弱。
• 逻辑缺陷：决策逻辑在特定组合输入下产生非预期输出，例如两车同时抢道时的博弈策略不合理。

判断方法：如何识别功能不足

识别功能不足需要系统性地分析“功能在哪些情况下可能不达标”。常用方法包括：

1. 基于场景的头脑风暴：由系统工程师、算法工程师、安全工程师共同列出功能可能失效的工况。
2. 数据驱动分析：从路测数据、仿真数据中挖掘边缘案例（Edge Case），分析系统在这些案例中的表现。
3. 对标分析：与同类成熟系统（如人类驾驶员行为）进行对比，找出性能差距。

案例拆解：自动紧急制动（AEB）的功能不足

某AEB系统在白天晴朗天气下对静止车辆的识别准确率高达99.5%，但在逆光环境下，由于摄像头传感器动态范围不足，系统对逆光中静止车辆的识别准确率骤降至82%。这并非摄像头硬件故障，而是传感器性能局限导致的功能不足。进一步分析发现，当车辆以60km/h行驶时，82%的识别率意味着系统有18%的概率无法触发制动，从而可能造成追尾事故。

常见误区

2.2 触发条件（Triggering Conditions）

核心原理：触发条件的定义

触发条件是指“导致功能不足被激活或显现的具体条件”。它是功能不足与危害事件之间的桥梁。一个功能不足可能长期存在，但只有在特定的触发条件下才会导致危害。例如，感知算法对“异形车辆”的识别能力不足（功能不足），但只有在道路上真正出现异形车辆（如装载超长货物的卡车）时，该不足才会被触发。

触发条件可以分为以下几类：

判断方法：触发条件的识别流程

识别触发条件需要结合功能不足的分析结果，反向推导“什么情况下该不足会显现”。推荐流程如下：

1. 列出所有已识别的功能不足清单。
2. 针对每个功能不足，分析其失效机理（如传感器物理极限、算法假设前提）。
3. 基于失效机理，枚举可能激活该机理的外部条件。
4. 将触发条件与具体场景结合，形成“场景-触发条件-功能不足”的映射关系。

案例拆解：车道保持辅助（LKA）的触发条件

某LKA系统在车道线清晰的高速公路上表现良好，但在以下触发条件下出现功能不足：

• 触发条件1：车道线磨损严重（道路条件），导致摄像头无法提取有效车道线特征。
• 触发条件2：强光直射摄像头（环境条件），造成图像过曝，车道线检测算法失效。
• 触发条件3：路面有积水反光（环境+道路条件），产生虚假车道线，系统误判。

通过分析这些触发条件，工程师可以针对性地改进算法（如增加车道线预测模型）或限制功能使用范围（如仅在ODD内启用）。

常见误区

2.3 场景（Scenario）

核心原理：场景的构成要素

在SOTIF语境下，场景是“对一段特定时间内，车辆、交通参与者、道路、环境等要素的状态及相互作用的描述”。场景是SOTIF分析的“画布”，所有功能不足和触发条件都必须放在具体场景中才有意义。ISO 21448将场景分为三个层级：

• 场景（Scenario）：描述一段连续时间内的动态过程，包含起始状态、目标状态及中间事件。
• 动态场景（Dynamic Scenario）：在场景基础上，加入时间维度的变化，如车辆轨迹、速度变化。
• 功能场景（Functional Scenario）：用自然语言或结构化语言描述的抽象场景，用于需求分析。

判断方法：场景构建的步骤

构建场景是SOTIF验证的基础。推荐采用以下步骤：

1. 定义场景要素：包括道路结构（直道、弯道、交叉口）、交通设施（信号灯、标志）、交通参与者（车辆、行人、自行车）、环境条件（天气、光照）、自车状态（速度、位置）。
2. 确定场景类型：分为正常场景（符合交通规则）、临界场景（接近事故但可避免）、事故场景（已发生碰撞）。
3. 场景参数化：将场景中的关键变量（如相对速度、距离、角度）参数化，便于批量仿真。
4. 场景库构建：将大量场景组织成库，用于后续的仿真测试和实车验证。

案例拆解：十字路口左转场景

以“自动驾驶车辆在无信号灯十字路口左转”为例，该场景包含以下要素：

• 道路：双向四车道，中央无隔离带。
• 交通参与者：对向直行车辆（速度60km/h）、同向右侧非机动车（速度15km/h）、人行横道行人。
• 环境：白天、干燥路面、能见度良好。
• 自车：以20km/h速度进入路口，准备左转。

在该场景中，如果自车的感知系统无法准确预测对向直行车辆的意图（功能不足），且对向车辆突然加速（触发条件），则可能导致碰撞危害。通过构建该场景的参数化模型，工程师可以仿真测试不同速度、距离组合下的系统表现。

常见误区

2.4 危害事件（Hazardous Event）

核心原理：危害事件的定义与评估

危害事件是指“由系统功能不足和触发条件共同作用，导致人员受伤或财产损失的事件”。在SOTIF中，危害事件的评估采用与ISO 26262类似的风险矩阵，但侧重点不同。SOTIF更关注“非故障情况下”的风险，因此其风险参数（严重度S、暴露率E、可控性C）的评估需要结合场景发生的概率和系统行为的可预测性。

判断方法：危害事件的风险评估

评估危害事件的风险，需要完成以下步骤：

1. 定义危害事件：明确“什么情况下会发生什么伤害”。例如，“车辆在高速公路上以120km/h行驶时，由于前车识别延迟，导致追尾，乘员受伤”。
2. 评估严重度（S）：根据伤害程度分级（S0-S3），参考ISO 26262的ASIL分级标准。
3. 评估暴露率（E）：评估该场景在真实交通中出现的概率（E0-E4）。
4. 评估可控性（C）：评估驾驶员或其他交通参与者能否避免伤害（C0-C3）。
5. 确定风险等级：综合S、E、C，确定风险是否可接受。若不可接受，则需要采取措施降低风险。

案例拆解：高速巡航系统的危害事件分析

某高速公路巡航系统在雨天场景下（触发条件），由于传感器对积水路面的误判（功能不足），导致车辆突然制动（非预期行为）。此时，后方车辆距离较近（场景），驾驶员来不及反应（可控性低），造成追尾事故（危害事件）。

在该案例中：

• 严重度：S2（可能造成重伤）
• 暴露率：E3（雨天高速行驶较常见）
• 可控性：C2（驾驶员反应时间不足，但部分情况下可避免）

综合评估，该风险等级较高，必须通过改进功能（如雨天禁用ACC）或增加警告机制来降低风险。

常见误区

2.5 关键术语辨析与总结

在SOTIF领域，以下术语容易混淆，需要重点辨析：