搜尋歷史
熱門搜尋
經銷商登入 / 註冊
預期功能安全（英文：Safety of the Intended Functionality，簡稱 SOTIF）係指唔存在因功能不足引發嘅危險行為而造成嘅唔合理風險。其核心標準為ISO 21448，旨在解決自動駕駛同高級輔助駕駛系統中，因系統本身嘅設計局限、性能不足或可預見嘅人為誤用而導致嘅安全風險——即便系統本身冇發生任何故障。SOTIF 與功能安全（ISO 26262）、網絡安全（ISO 21434）共同構成智能網聯汽車安全嘅「鐵三角」。
功能安全（ISO 26262）專注於處理電子電氣系統嘅隨機硬件失效同系统性失效。然而，行業喺實踐中发现，即便系統所有部件都正常運作，喺某些特殊場景下（如强光導致攝像頭誤判、傳感器被冰雪覆蓋、算法對罕見路況決策失誤），智能駕駛系統仍可能無法安全應對。隨著自動駕駛等級提升，呢類由「功能表現局限」引發嘅風險無法透過傳統功能安全手段解決，因此催生了預期功能安全呢一新方法論。
ISO 21448 用三圈模型闡釋 SOTIF 嘅本質：用戶對系統嘅期望行為（理想狀態）、開發人員嘅規定行為（工程定義）同系統嘅實際行為（真實表現）三者之間存在差異。SOTIF 嘅目標就係透過不斷迭代，讓呢三個圈盡量重疊，降低因差異觸發安全事件嘅概率。
標準將駕駛自動化系統需要面對嘅場景劃分為四個象限：
區域 1（已知安全場景）：系統可安全應對且已知嘅場景
區域 2（已知危險場景）：系統存在功能不足且已知嘅危險場景
區域 3（未知危險場景）：系統存在功能不足但未知情嘅危險場景
區域 4（未知安全場景）：系統可安全應對但未知情嘅場景
SOTIF 嘅最終目標係透過多輪迭代分析、驗證同改進，不斷擴大區域 1，將區域 2 同區域 3 壓縮至可接受嘅安全閾值內。
預期功能安全嘅風險主要源於以下兩類問題：
功能不足：包括傳感器感知局限（如攝像頭喺雨霧天氣性能下降）、決策算法缺陷（如訓練樣本不足導致泛化能力局限）、執行器功能偏差等。
合理可預見嘅人為誤用：包括駕駛員對系統能力邊界認知不足而錯誤使用、人機交互界面未充分傳達系統狀態信息、駕駛員狀態不佳唔具備接管條件等。
功能安全關注「系統是否按設計要求正常運作」，處理嘅係「故障」（faults）導致嘅風險；而 SOTIF 關注「系統是否被正確設計」，處理嘅係「功能不足」（functional insufficiencies）導致嘅風險。通俗咁講，功能安全好似「打工人思維」——按部就班完成既定任務；SOTIF 好似「CEO 思維」——站喺全局思考設計本身是否完善、是否遺漏咗某些場景。
兩者係互補而非替代關係：功能安全係 SOTIF 嘅前提，SOTIF 係對功能安全嘅補充。
ISO 21448 於 2016 年啟動研究工作，2018 年正式立項，2022 年正式發佈第一版。國際標準化組織（ISO）官網顯示，該標準目前處於「修訂中」狀態（Stage: 20.00），第二版正在制定。
喺國內，工信部《關於加強智能網聯汽車生產企業同產品准入管理嘅意見》已將預期功能安全納入企業准入強制性要求。此外，歐盟已出台全球首部 L3 級自動駕駛法規 UN-R157（ALKS），對預期功能安全提出明確技術要求。
預期功能安全嘅實施通常包括以下關鍵環節：相關項定義（參考 ISO 26262 方法）；危害分析與風險評估（採用 HAZOP 等方法，評價危害事件嘅嚴重性、暴露率、可控度，確定風險是否可接受）；潛在功能不足與觸發條件識別（運用 STPA 或 FTA 分析，識別導致危害嘅具體觸發條件）；安全措施制定同系統改進（透過提升硬件性能、優化算法、增加冗餘或限制運作設計域等方式降低風險）；驗證與確認（採用仿真測試、硬件喺環、實車測試等多層級手段）；發佈後運營監測（持續收集未知場景數據，進行迭代優化）。其中，「基於場景嘅測試方法」係實現 SOTIF 目標嘅關鍵路徑。
