ISO PAS 21448 SOTIF（预期功能安全）笔记（九）

（ISO PAS 21448中第11章节内容）

11 SOTIF确认（区域3）

11.1 目标

系统和组件(传感器、决策算法和执行器)的功能应经过确认，以证明它们不会在真实的用例中造成不合理的风险(参见图9的区域3)。

为了支持这一目标的实现，可以考虑下列资料:

• 验证策略，如第9章节中定义
• 在定义的用例中验证结果，如第10章节中定义
• 功能概念，包括传感器，执行器和决策算法规范
• 系统设计规范
• 验证目标，如第6章节中定义
• 车辆设计(例如：传感器安装位置)
• 触发事件的分析结果，如7.2章节所述

11.2 剩余风险评估

如表9所示，这些是可用于评估真实情景产生的剩余风险的方法，这些所谓的风险可能会在车辆完成系统集成后触发。

11.3 确认测试参数

对于表9中描述的每一种应用方法，都选择适当的累积测试长度。场景的数量和分布提供了选择测试长度的基本原理。一般来说，对于所有选定的测试方法，都提供了一个基本原理，即，系统输入的结果分布可以代表一般的运行环境，特定的用例、情景或场景。车辆测试长度的确定(长期测试、车队测试)可以考虑先前车辆规划的经验，司机可控制性，或所选测试路线的危急程度。在使用随机输入测试的情况下，注入错误模式的模拟场景的数量与代表目标市场的测试长度和测试内容相关。
附件B、C和D提供了验证SOTIF相关系统的例子。

例如：在对图像识别算法进行仿真评估时，选择X小时的累积测试长度，同时选择Y种不同的场景。根据具有挑战性的场景和交通数据中的驾驶用例分布，调整场景的分布。通过对算法及其决策路径的分析，确定了算法对现实触发器的敏感性。具有最敏感算法特征的场景被包含在一个强调挑战性场景并表示其统计相关性的分布中。在真实的用例中，也可以考虑影响参数出现的概率来确定适当的测试长度。

参考文档：
ISO PAS 21448 Road vehicles — Safety of the intended functionality

我将进一步翻译并总结整个标准，请继续关注后续内容。。。