ISO21448 实战解析：从理论到落地的智能驾驶预期功能安全（SOTIF）攻略
日前，由SAE International 主办，上海国际汽车城与T?V北德协办的第七届SAE 2025 国际汽车安全大会在上海国际汽车城圆满闭幕。大会聚焦“智能化时代的汽车安全新挑战与新机遇”，汇聚了来自全国各地近400位行业专家、企业代表与科研学者，共同探讨汽车安全的技术前沿与未来趋势。IAE智行众维资深首席安全专家方成熏(Pang SungHoon)受邀出席“功能安全与SOTIF”分论坛，并进行《基于SOTIF标准的智能驾驶设计和VaHIL测试研究》主题演讲。以下为演讲实录：
IAE智行众维资深首席安全专家方成熏(Pang SungHoon)在演讲现场
各位领导，各位嘉宾，大家上午好！
今天和大家分享我们团队在辅助驾驶安全验证领域的最新实践——基于SOTIF标准的智能驾驶设计和VaHIL测试研究。
我们都知道，传统功能安全(ISO 26262)关注的是系统故障导致的风险，但自动驾驶的真正挑战往往在于：即使硬件和软件完全正常，系统仍可能因为功能设计的局限性而失效。这就是ISO 21448 SOTIF标准要解决的问题——比如传感器误判雨天积水为障碍物，或算法在复杂路口决策失误等”非故障类风险”。
我们先从技术演进的角度，系统梳理自动驾驶安全标准的发展脉络。该图展示了汽车及机器人等自主系统的功能安全与SOTIF(预期功能安全)相关国际标准的演进过程，其中我们先看时间轴的上方：
2002年发布的IEC 61508是所有工业领域的功能安全基石，它建立了安全完整性等级(SIL)的基础框架。对于汽车行业而言需要更具有针对性的标准，2011年ISO 26262诞生，第一版发布于2011年，第二版发布于2018年，第三版预计将在2026年进行发布。根据相关消息显示，第三版预计将纳入预期功能安全(SOTIF)的相关内容，这与接下来要介绍的SOTIF标准形成技术衔接。
2016年启动了ISO21448的制定，这也是大家熟知的SOTIF标准，2022年该标准正式发布，其技术定位是专门解决“无故障情况下的功能不足”这类新型风险，例如摄像头在强逆光下的误识别，或决策算法对罕见交通场景的误判等，这些都不属于传统功能安全的范畴。
预计将在2025年生效的ISO 23793-1(MRM)，则主要针对L3-L5级自动驾驶系统，规定了在系统检测到故障或异常时，如何执行安全降级操作以达到最小风险条件(Minimal Risk Condition, MRC)，与SOTIF形成技术互补。
ISO TS 5803和正在制定的ISO 8800则代表了面向自动驾驶法规合规的新型认证框架。
对应于时间轴的下方，则是应用于其他机械设备与机器人领域的功能安全标准，这些标准虽然与汽车标准同源，但存在重要差异。其中：
?ISO 15998:2008：工程机械安全
?ISO 12100:2010：通用机械安全基本原则
?ISO 13849-1:2015 / 2023：基于控制系统的安全设计方法
?ISO 25119:2018：农业机械功能安全
?ISO 19014:2022：工程设备安全控制系统的可靠性要求
综上，就标准的演进来讲，FUSA(ISO26262)，SOTIF(ISO 21448:2022) 和 MRM(ISO 23793-1) 是实现 L3 及以上自动驾驶功能过程中，可有效降低事故风险的关键安全标准。而未来的 DCAS、ISO 8800 等标准将成为自动驾驶法规认证的核心依据。
1.当车辆处于正常L3自动驾驶状态下，若检测到系统性能下降，则进入“降级模式”(Degradation Mode)；
2.当系统性能指标超出安全阈值时，触发MRM判定流程，此时系统会根据ISO 26262 & ISO 21448 的安全机制判定是否触发最低风险操作；
3.如果未触发MRM，则继续监控系统状态；
4.如果触发MRM，则启动内置的软件安全监控模块；
5.判断系统是否仍有可用模块(如传感器、定位、路径规划等)；
6.如果仍有可用模块，则继续以下动作：
a)判断当前行驶位置
b)检测周边交通流状态
c)决定停车方式与位置
7.如果没有可用模块，则立即执行紧急停车或系统故障处理逻辑。
材料中右侧展示了此过程中关联的相关国际标准，包括ISO 26262(功能安全)、ISO 21448(SOTIF)、ISO 23793(MRM)、DCAS R171(法规要求)，以及其他相关标准如 ISO 4804、ISO 5083、SAE 3061 等。
同时，MRM触发因素主要包括：交通参与者(如乘客、行人、远程观察者等)、系统相关(如车辆控制、感知、远程监控、V2X 通信等)、外部环境(紧急车辆、不可预见事件等)等。
基于多年项目实践经验，我将详细介绍基于ISO 21448 SOTIF标准的自动驾驶系统开发与验证全流程。图片展示了从计划、设计、测试到实际车辆运营阶段，全流程中SOTIF(预期功能安全)在自动驾驶系统(特别是 L3+ ADS)中的应用与验证方法。
1.在对标测试阶段(Benchmarking)，我们采用对比分析法，重点评估不同架构在ODD边界条件下的安全表现。该阶段需要建立符合SAE J3018的基准测试用例库，为后续开发提供数据支撑。
2.进入测试计划制定(Test Plan)阶段，OEM 与 Tier1 共同制定测试计划，同时两者的分工必须明确，例如Tier 1 主要承担设计与开发，OEM则主导制定覆盖全部RFM(可预见的人为误用)场景的测试矩阵。需特别强调的是，测试计划必须包含DDT(动态驾驶任务)性能退化情况的评估方法。
3.接下来进入危险评估与可控性测试(HARA & Controllability Test)阶段，该阶段主要包括系统设计规范、HARA 分析、接受准则设定等三方面，进行的测试包括可控性、危险指标、可测试性评估等。
4.可测试性评估复审(Testable Review)是流程中的关键质量门控点。我们需要确认所有安全需求都具备可测性，测试覆盖率满足ISO 21448第9章要求，且测试环境能够复现ODD边界条件。
5.SOTIF 未知场景车队测试(SOTIF unknown Fleet Test)阶段，该阶段主要针对未知或非预期场景进行实车车队测试。在此阶段OEM主导进行黑盒测试，黑盒测试方法需符合ISO 21448第11章要求。
6.验证与确认策略制定(Verification & Validation Strategy)阶段，该阶段明确开发具体测试用例与测试方法，包括系统集成测试、软硬件测试、单元测试等。
7.设计验证(Design Verification)阶段，包括测试执行、测试结果验证、测试结果评估等环节，最终需进行硬件层面设计验证(DV)。
8.结果审查(Test Audit & Verification Review)阶段，汇总所有阶段测试结果，复核与审计，以确保系统安全达标。
9.实际运营阶段(Operation Phase)，需进行实地监测与未知场景数据记录（用于持续改进），以及进行包括SOTIF 安全性、里程接受标准、安全接纳程度等的评估。
在SOTIF 测试的整个生命周期内，(图中左侧)按传统的系统工程/功能安全方法流程划分，共分为九个阶段：
阶段1：对标测试与安全性测试(Benchmarking & Safety Test)。该阶段由OEM进行黑盒测试，测试方法需符合SAE J3018标准的相关要求，重点评估基准系统的SOTIF表现。这里特别强调，测试场景必须覆盖ODD边界条件。
阶段2：测试计划制定(Test Plan)。由OEM 与一级供应商(Tier 1)合作制定测试计划。
阶段3：可控性与风险评估测试(Controllability & Hazard Metric Test)，主机厂进行黑盒测试和检查。相关过程可基于标准开发量化评估模型，通过驾驶员接管成功率、系统降级过渡时间、最小风险状态达成率等关键指标来验证系统是否符合预期功能安全要求。
阶段4：可测试性审查(Testable Review)
阶段5：未知场景车队测试(SOTIF Unknown Fleet Test)
阶段6：开发测试用例与方法(Test Case & Method)
阶段7：测试执行与验证审查(Test Act & Verification)，包括设计验证(DV)过程
阶段8：结果复核与评估(Test Audit & Assessment)
阶段9：最终SOTIF未知场景车队测试(SOTIF Unknown Fleet Test)
从测试维度来讲，对应不同测试阶段，我们按照实际测试环境重构执行结构，(右侧图)从上至下看：
-Vehicle Test(实车测试)，直接关联 Benchmarking, Safety Test, Test Act 等阶段
-VaHIL(高级整车在环)测试，适用于中后期验证，如 Testable Review, Controllability Test。该测试是我们的核心创新点，可实现实时车辆动力学仿真、多传感器融合测试、整车级功能安全验证等不同层级的系统测试，该平台完美契合ISO 21448附录D的认证要求。
-HIL(硬件在环)测试，侧重于软件与物理硬件协同测试(人机交互、传感器接口等)
-SIL/MIL/PIL(软件/模型/处理器在环)，前期仿真阶段使用，用于快速验证算法与控制逻辑
通过左侧方法与右侧环境的相互映射与结合，我们可以实现：
1.测试阶段与测试环境的精准匹配
2.各验证平台的数据可追溯性
3.全生命周期的标准符合性证明等
体现在具体的测试流程时，将包括以下三个关键环节：
1. SOTIF设计与测试阶段。此阶段的核心目标是根据ISO 21448(SOTIF)标准要求，设计验证策略，制定测试规范，识别功能不足与已知/未知场景。对应的条款主要包括：
-第5条：功能相关的 SOTIF 场景
-第6条：危险行为与接受标准
-第7条：功能不足触发条件与可预见人为误用
-第8条：安全措施
-第9条：验证与确认策略制定(V&V Strategy)
-第10条：已知场景的评估
-第11条：未知场景的评估
而输出成果则包括Argument Report(争议报告)；风险评估表；已知与未知场景测试规范；验证报告、接收报告；ECU(控制器)级别、系统级别测试规范等。
2. SCANeR Studio 场景仿真阶段。此阶段的核心目标是在虚拟环境中构建 ADS(自动驾驶系统)测试场景。在SCANeR Studio 仿真工具中完成地形(Terrain)、车辆(Vehicle)、场景构建(Scenario)、仿真运行(Simulation)、结果分析(Analysis)等设置。SCANeR Studio是构建完整测试流程的关键软件支撑平台。
3. 建立并运行 VaHIL 测试系统阶段。该阶段核心目标是搭建高级整车在环(VaHIL)测试平台，连接实际 ECU/传感器/执行器等，实现真实环境下的 SOTIF 验证。具体工作包括控制台设置(Control Desk)、硬件连接配置(Interface, BOB)、仿真-实车联动测试(VaHIL Testing)、数据采集与测试结果(Test Result)等。
通过上述流程的测试验证，我们可以实现ISO 21448标准要求下的SOTIF场景评估与里程验证，实现复杂场景中未知风险识别效率的提升并缩短管控周期。
以上为我此次的分享，谢谢！
如需了解更多SOTIF咨询开发业务详情，欢迎扫码反馈需求，我们将在收到反馈后24小时内联系您！
