预期机能安全（SOTIF）：复杂智能系统的新型安全防线

想象这样一个场景：一辆配备L2+级自动驾驶的汽车在暴雨天的城市道路行驶，前方路口突然出现一名穿着深色雨衣的行人。系统的摄像头因雨水遮挡、光线不足未能识别目标，导致自动紧急制动（AEB）未触发，最终发生碰撞。此时车辆的传感器、算法均未出现硬件故障或软件失效，但因预期机能的场景覆盖不足引发了致命风险——这就是本文要深入探讨的「预期机能安全」（SOTIF，Safety of the Intended Functionality）所聚焦的核心问题。

随着自动驾驶、工业协作机器人等智能系统的普及，传统功能安全（针对故障失效的防护）已无法完全覆盖智能系统的风险。预期机能安全针对「系统正常运行但机能不足/不当执行」的风险，成为行业关注的新焦点。本文将从核心概念、标准框架、关键技术、最佳实践等维度，全面解析预期机能安全的落地路径。

目录#

  1. 预期机能安全（SOTIF）核心概念解析 1.1 定义与起源 1.2 与传统功能安全的区别 1.3 核心风险来源
  2. 预期机能安全的标准框架与生命周期 2.1 ISO/PAS 21448：SOTIF的核心标准 2.2 SOTIF生命周期全流程拆解
  3. 预期机能安全的关键技术与常见实践 3.1 危险场景识别与分析 3.2 机能不足风险评估 3.3 安全措施设计与验证 3.4 监控与降级策略
  4. 预期机能安全最佳实践与行业案例 4.1 最佳实践原则 4.2 自动驾驶场景下的SOTIF实施案例
  5. 挑战与未来发展趋势
  6. 结论
  7. 参考文献

1. 预期机能安全（SOTIF）核心概念解析#

1.1 定义与起源#

预期机能安全（SOTIF）的官方定义来自ISO/PAS 21448：针对系统在无故障状态下，因预期机能的不足、不当执行或超出边界使用所导致的不合理风险，进行识别、评估、缓解与验证的安全工程方法。

SOTIF的起源可追溯到2010年后自动驾驶技术的快速发展：传统功能安全（ISO 26262）主要解决硬件随机故障和系统性失效（如软件bug），但智能系统的风险越来越多地来自「机能覆盖不足」——比如AI模型未见过的极端场景、复杂环境下的感知偏差，这些问题不属于“故障”，但会直接导致安全事故。为此，ISO在2019年发布了PAS 21448，正式确立SOTIF为智能系统安全的核心标准之一。

1.2 与传统功能安全的区别#

为了更清晰理解SOTIF，我们通过表格对比其与传统功能安全（ISO 26262）的核心差异：

对比维度传统功能安全（ISO 26262）预期机能安全（SOTIF/ISO 21448）
核心风险来源随机硬件故障、系统性失效（如bug）机能不足/不当执行（场景覆盖不足、AI泛化能力弱）
系统状态前提系统处于失效状态系统处于正常运行状态
生命周期覆盖从开发到生产的阶段型管控从概念到退役的全生命周期闭环
风险缓解手段冗余设计、故障监控与诊断场景扩展、算法优化、降级策略
适用系统类型传统机电系统为主智能自动驾驶、协作机器人等复杂系统

1.3 核心风险来源#

SOTIF的风险主要来自三类场景：

  1. 机能覆盖不足：系统预期功能未包含某些真实场景，比如AEB系统未覆盖“逆光下的行人”；
  2. 机能不当执行：系统超出预期边界执行功能，比如L2自动驾驶在城市复杂路口错误激活；
  3. 人机交互偏差：用户对系统机能的误解或误操作，比如驾驶员过度信任L2自动驾驶，长期脱手导致无法及时接管。

2. 预期机能安全的标准框架与生命周期#

2.1 ISO/PAS 21448：SOTIF的核心标准#

ISO/PAS 21448是全球首个针对SOTIF的标准化框架，核心目标是确保智能系统的预期机能不会引发不合理风险。该标准明确了：

  • SOTIF的核心术语与定义；
  • 从概念到运行的全生命周期流程；
  • 危险场景识别、风险评估、安全措施验证的方法指南；
  • 运行阶段的监控与持续优化要求。

此外，ISO 26262的部分方法可与SOTIF互补，但SOTIF强调“非故障风险”的全流程管控，是对功能安全的重要补充。

2.2 SOTIF生命周期全流程拆解#

SOTIF要求在系统全生命周期的每个阶段嵌入安全活动，核心流程包括：

阶段1：概念与需求定义#

  • 机能范围界定：明确系统的预期功能边界，比如L2自动驾驶的边界是“高速公路+驾驶员随时接管”；
  • 初始危险场景识别：通过头脑风暴、场景库分析，初步识别超出机能范围的危险场景。

阶段2：开发与设计#

  • 风险评估与分级：对识别出的场景进行严重度、暴露度、可控性分析，确定风险优先级；
  • 安全措施设计：针对高风险场景，设计场景扩展、算法优化、多传感器融合等缓解方案；
  • 验证与确认：通过仿真、实车测试验证安全措施的有效性。

阶段3：生产与运行#

  • 配置验证：确保生产车辆的SOTIF相关配置与设计一致；
  • 运行监控：实时监控系统机能状态，收集未覆盖场景的数据；
  • 持续迭代：基于运行数据更新场景库与算法，优化SOTIF措施。

阶段4：退役#

  • 风险回顾：总结系统全生命周期的SOTIF经验，反馈给后续项目。

3. 预期机能安全的关键技术与常见实践#

3.1 危险场景识别与分析#

危险场景是SOTIF的核心管控对象，常见识别方法包括：

3.1.1 STPA（系统理论过程分析）#

STPA是基于系统理论的危害分析方法，适合复杂智能系统，步骤如下：

  1. 定义系统的层级结构（感知→决策→执行→人机交互）；
  2. 绘制系统控制结构，识别各层级的控制关系；
  3. 分析潜在的控制不当行为（如“感知层未识别静态障碍物”）；
  4. 推导控制不当导致的危险场景（如“车辆碰撞静态障碍物”）。

3.1.2 场景库驱动分析#

构建覆盖真实世界的场景库，包括：

  • 基础场景：正常道路、晴天等常规环境；
  • 极端场景：暴雨、大雾、逆光等特殊环境；
  • 边缘场景：行人突然窜出、施工区域等低概率但高风险场景。

行业常见做法是结合真实道路数据（如特斯拉的影子模式）与仿真工具（如CARLA、PreScan）生成场景库。

3.2 机能不足风险评估#

风险评估需量化场景的风险等级，常用风险矩阵法：

  1. 严重度（S）：1-5级，从“轻微损伤”到“致命碰撞”；
  2. 暴露度（E）：1-4级，从“极少发生”到“频繁发生”；
  3. 可控性（C）：1-3级，从“完全可控”到“不可控”；
  4. 风险优先级（RPN）：RPN = S × E × C，高RPN场景必须优先缓解。

示例：“逆光下行人碰撞”场景的S=5，E=2，C=2，RPN=20，属于高风险，需立即采取安全措施。

3.3 安全措施设计与验证#

针对高风险场景，常见缓解措施包括：

  • 算法优化：收集极端场景数据训练AI模型，用数据增强（如GAN生成雨天行人图像）补充数据集；
  • 多传感器融合：用毫米波雷达（不受光线影响）补充摄像头的感知不足，实现冗余覆盖；
  • 功能边界管控：设计地理围栏，限制L2自动驾驶仅在高速公路激活。

验证阶段需结合三种方式：

  1. 仿真测试：在虚拟环境中批量验证极端场景，降低实车测试成本；
  2. 实车场地测试：在封闭场地复现高风险场景，验证安全措施的有效性；
  3. 道路测试：在真实道路收集数据，验证系统在复杂环境下的机能表现。

3.4 监控与降级策略#

为了在运行阶段实时管控风险，需设计监控与降级机制：

  • 机能状态监控：
    • 传感器健康监控：如摄像头信噪比、激光雷达点云密度；
    • 算法输出监控：如目标检测置信度、轨迹预测误差；
    • 环境状态监控：如能见度、光照强度。
  • 分级降级策略：
    1. 预警阶段：当监控到机能不足时，发出视觉/听觉提醒（如“请接管车辆”）；
    2. 降级阶段：降低自动驾驶级别（如从L3到L2），限制车速；
    3. 紧急阶段：若驾驶员未接管，触发紧急停车。

4. 预期机能安全最佳实践与行业案例#

4.1 最佳实践原则#

行业总结的SOTIF最佳实践包括：

  1. 早期介入：在项目概念阶段启动SOTIF分析，与功能开发并行，避免后期返工；
  2. 场景驱动：建立统一的场景库，从识别到验证全生命周期复用；
  3. 数据与仿真结合：用真实数据训练模型，用仿真验证极端场景，平衡成本与覆盖度；
  4. 持续迭代：在运行阶段收集数据，定期更新场景库与算法，实现闭环优化；
  5. 透明化人机交互：清晰展示系统机能边界，避免用户过度信任。

4.2 自动驾驶场景下的SOTIF实施案例#

案例：某车企L2+自动驾驶系统的SOTIF优化#

问题背景：早期AEB系统在暴雨天对深色雨衣行人的识别率不足30%，存在致命风险。 SOTIF实施步骤：

  1. 场景识别：通过STPA分析识别“暴雨+深色雨衣行人”的危险场景，RPN=20（高风险）；
  2. 风险缓解：
    • 收集10万+暴雨天行人数据，用GAN生成5万+仿真数据训练模型；
    • 增加毫米波雷达与摄像头的融合算法，雷达负责检测目标，摄像头补充分类；
  3. 验证：在仿真环境中测试1万次场景，识别率提升至99%；实车场地测试200次，全部触发AEB；
  4. 运行监控：在车辆上部署“暴雨场景监控模块”，当检测到暴雨天气时，自动提高雷达的检测优先级，同时提醒驾驶员注意行人。

实施效果：该场景下的碰撞风险降低至可接受范围，用户投诉率下降80%。

5. 挑战与未来发展趋势#

5.1 当前挑战#

  1. 场景无限性：真实世界的场景是无限的，无法100%覆盖，如何评估未覆盖场景的风险是核心难题；
  2. AI可解释性：深度学习模型是“黑箱”，难以解释其机能不足的原因，增加了风险评估难度；
  3. 数据隐私合规：运行阶段收集场景数据需符合 GDPR、《数据安全法》等法规，限制了数据的共享与复用。

5.2 未来发展趋势#

  1. 生成式AI场景生成：用大语言模型（如GPT-4）、生成式视觉模型自动生成极端场景，提升场景覆盖效率；
  2. 数字孪生全场景验证：构建虚拟道路环境与真实世界实时映射，实现全场景动态验证；
  3. 联邦学习训练：在不共享原始数据的前提下，多企业联合训练模型，扩展数据覆盖范围；
  4. 标准化场景库：行业协同建立统一的SOTIF场景库，降低企业的重复开发成本。

6. 结论#

预期机能安全（SOTIF）是智能系统安全领域的核心方向，它填补了传统功能安全在“非故障风险”管控上的空白。对于自动驾驶、协作机器人等复杂智能系统，SOTIF不是可选的安全措施，而是必须嵌入全生命周期的核心工程流程。

未来，随着生成式AI、数字孪生等技术的发展，SOTIF的实施效率将不断提升，但场景无限性、AI可解释性等挑战仍需行业共同攻克。企业应遵循ISO/PAS 21448标准，结合最佳实践，从概念阶段启动SOTIF管控，实现智能系统的安全可靠运行。

7. 参考文献#

[1] ISO/PAS 21448:2019, Road vehicles — Safety of the intended functionality (SOTIF) [2] ISO 26262-1:2018, Road vehicles — Functional safety — Part 1: Vocabulary [3] Bosch White Paper: Safety of the Intended Functionality (SOTIF) – Challenges and Solutions, 2020 [4] 中国汽车工程学会. 自动驾驶汽车功能安全与预期功能安全技术路线图[R]. 2022 [5] Leveson N. G. Engineering a Safer World: Systems Thinking Applied to Safety[M]. MIT Press, 2011.

2026-03