【SOTIF公开课回顾(一)】SOTIF标准及相关标准的历史与概念

预期功能安全技术(SOTIF)是自动驾驶汽车安全落地的关键保障，它确保了自动驾驶系统在各种正常操作下安全执行其预期功能，以提高系统的安全性和可靠性。SOTIF涵盖了复杂场景理解、决策系统合理性与可靠性，及高风险情况处理等，使自动驾驶技术可真正应用于实际交通环境中，推动其商业化与大规模应用。传统的功能安全标准ISO 26262主要关注因系统失效导致的安全风险，但随着自动驾驶系统的普及，即使系统按设计运行，也可能因功能不足或性能局限和人为误用而引发风险。因此，国际标准化组织(ISO)于2016年启动了SOTIF标准的制定工作，旨在补充ISO 26262，解决由非系统/硬件/软件的随机失效引起的安全风险。

依托在智能驾驶预期功能安全开发测试领域的多年实践经验，IAE智行众维推出SOTIF系列公开课，以“建立SOTIF最佳实践和工作框架”为目标，从预期功能安全(SOTIF)标准的历史和概念出发，探讨L2+、L3级及以上自动驾驶系统SOTIF设计的关键方法论；从整车级Use Case的设计出发，说明如何定义触发条件和SOTIF的风险可接受准则，并通过此准则计算出测试里程数。

直播讲师

IAE智行众维 资深首席安全专家

Mr. Pang SungHoon（方成熏）

以下为培训实录

2002年，大家较为熟知的IEC 61508电气和电子部件行业相关标准正式发布；2011年，ISO 26262《道路车辆功能安全》第一版标准正式发布，其第二版已于2018年更新发布，第三版原计划于2024年发出；2022年，ISO 21448预期功能安全标准正式发布，其第二版预计在2026年发布；预计到2025年或2026年，与AI算法安全性相关的ISO 8800标准也将会发布。

除上述标准外，在其他领域也有功能安全相关的标准，例如土木工程、农业，以及机器人领域等。

如果要实现L4及以上级别的自动驾驶，需要结合功能安全第二版、第三版标准，以及SOTIF和AI相关标准中有关L4及以上级别功能的标准要求进行相应的研发和测试工作。

本次介绍主要针对ISO 21448：2022这版展开。

关于上述这些标准的生成，多年前我们主要关注机械和材料方面的问题，例如座椅安全带等，从2018年开始，我们转向关注汽车架构、功能安全方面的问题，如气囊、软硬件部分等；到2021年，与网络安全ISO 21434标准相关的问题开始得到关注，到2022年，随着SOTIF 21448的标准发布，我们逐渐关注于预期功能安全问题。

对于功能安全、网络安全及预期功能安全领域，都关注已知不安全场景，例如对于功能安全要考虑软件/软硬件的随机失效等，并生成相应的安全机制，以提高安全性。而对于网络安全和预期功能安全而言，除了关注已知不安全场景外，还需关注未知不安全场景。

上图展示了根据汽车工程学会(SAE)所定义的自动驾驶等级与相应标准之间的关系：

L0级别，即无自动驾驶，由IEC 61508及TS 16949标准覆盖相关功能；L1级别，辅助驾驶部分，涉及到如AEB等功能，在ISO 26262第一版中覆盖相关功能；L2-L3级别，部分自动驾驶和有条件自动驾驶，涉及到ISO 21448、ISO 21434以及ISO 26262第二版标准；L4及L5级别，高度自动驾驶或完全自动驾驶，需要涉及到SOTIF标准第二版和ISO 26262第二版以及AI算法安全性ISO 8800等相关标准。

上图是SOTIF标准修订的历史沿革。2014年进行了关于ISO 26262功能安全标准的讨论；2016年决定进行关于ISO 21448标准的讨论并成立相关工作组；从2017年以来，在SOTIF标准开发的过程中，经历了两次重大变化，主要涉及SOTIF关注点。基于市场及OEM客户的需求，2019-2020年在L1、L2级别自动驾驶系统SOTIF的关注点的基础上，增加了关于L3-L5级别自动驾驶的关注点，所以SOTIF开发不仅仅是针对L3级别以上的自动驾驶要关注，对于L1-L2阶段也同样需要关注。

饼图所示的是来自美国国家公路交通安全管理局(NHTSA)的数据，红色部分数据显示的0.7%的事故率是与功能安全相关，其他蓝色部分则均与预期功能安全相关。

在开发自动驾驶系统时，需要将其与人类驾驶行为进行对比。NHTSA的数据表明，94%的事故都是由人类错误引起的，其中，41%是与感知有关，33%来自于决策错误，11%则是与执行及相关层面的错误有关。所以自动驾驶系统SOTIF开发的关键在于通过关注感知、决策、执行各个层面，来帮助提高自动驾驶系统的安全性能。

自动驾驶系统的安全性不仅依赖于主动安全系统，还需要持续关注被动安全系统。如上左图所示，黑色虚线代表被动安全，如与安全气囊、座椅安全带等相关；绿色的线代表主动安全，如ACC、ABC等；红色虚线代表的是融合式安全。上图右边所示为传感器架构，目前市场上L2+级别的自动驾驶车辆都布置了大量传感器，如摄像头、毫米波雷达、激光波雷达、超声波雷达等，但在实际应用中，传感器也存在一定的性能局限，这都归属于SOTIF的研究范畴。如特斯拉和Uber等交通事故的案例，均是因为没有关注SOTIF开发而导致的。所以，如想进一步提升自动驾驶的安全性，首先要考虑SOTIF开发。

自动驾驶的安全需要同时考虑功能安全与预期功能安全两个方面。其中，功能安全要考虑系统功能失效等的情况，如随机硬件失效和系统性失效等。除此之外，我们还需考虑预期功能安全。预期功能安全则考虑的是在系统软硬件均处于理想状态时，系统仍可能发生的事故，这些事故统称为预期功能安全事故。所以，预期功能安全的范畴涵盖了人为误用、不稳定的算法或技术，以及与感知技术相关的问题等等。

这里举例介绍一下功能安全和预期功能安全标准之间的区别。上左图所示的是因为功能失效而引发的不安全行为，这类行为在功能安全层面需要进行风险等级评定，即ASIL(Automotive Safety Integrity Level)等级划分，目的是通过开发测试将风险降至可接受范围。而上右图则聚焦于预期功能安全，涉及非预期行为所导致的后果，例如 “鬼影”现象、系统无法识别或错误识别目标引发的安全问题以及人为误用等，这类危害行为都归属于预期功能安全开发测试的范畴。

下期回顾主题：L3级自动驾驶系统SOTIF设计的关键方法。

敬请期待！

苏州智行众维智能科技有限公司（简称：IAE智行众维）

IAE 智行众维是智能新能源汽车仿真测试领域的专业服务商。公司从满足行业共性需求出发，打造了工具链和数据相结合的新型解决方案。IAE X-In-Loop仿真测试工具链产品、水木灵境场景数据工场，以及软件和安全测评服务，已广泛服务于国内外主机厂、零部件企业、科技创新企业、研究院所、第三方检测机构和各地智能网联测试示范区等数百家客户。