ISO 21448 (SOTIF)——解读（预期功能安全）

最新推荐文章于 2025-05-31 21:01:19 发布

一点.点

最新推荐文章于 2025-05-31 21:01:19 发布

阅读量651

点赞数 20

分类专栏： # 自动驾驶相关标准法规文章标签：自动驾驶汽车

本文链接：https://blog.csdn.net/qq_54556560/article/details/148278554

版权

21 篇文章

订阅专栏

Road vehicles — Safety of the intended functionality(First edition: 2022-06)

标准名称：道路车辆 — 预期功能的安全性（Safety of the Intended Functionality, SOTIF）
版本：2022年第一版

核心目标：确保自动驾驶系统的预期功能不会因功能不足（如规范不完整或性能缺陷）引入不合理风险。
与ISO 26262的关系：
- ISO 26262：聚焦电子电气（E/E）系统故障导致的危害（功能安全）。
- ISO 21448：补充ISO 26262，解决功能不足或规范不完善导致的危害（预期功能安全）。
适用对象：
- 驾驶自动化级别1-5（L1-L5，涵盖部分自动驾驶至完全自动驾驶）。
- 紧急干预系统（如自动紧急制动）。
- 依赖复杂传感器和算法的功能（如环境感知、决策规划）。
排除范围：
- ISO 26262已覆盖的硬件/软件故障。
- 网络安全威胁（由ISO/SAE 21434覆盖）。
- 系统技术直接导致的物理危害（如激光雷达光束损伤眼睛）。

功能不足（Functional Insufficiency）：
- 规范不完整或性能缺陷，可能导致危险行为或无法应对合理可预见的误用。
- 示例：摄像头未覆盖特定光照条件导致误判。
触发条件（Triggering Conditions）：
- 激活功能不足的场景条件（如极端天气、传感器遮挡）。
危害（Hazard）：
- 由系统危险行为引发的潜在伤害来源（如车辆错误变道）。
误用（Misuse）：
- 直接误用：用户操作违反功能设计（如高速功能在市区激活）。
- 间接误用：用户行为加剧危险（如驾驶员在L2系统中分心）。

图1-3 描述了功能不足如何通过触发条件导致危险事件：
- 功能不足（系统级或元件级）→ 输出不足 → 危险行为或无法控制误用 → 危害事件 → 实际伤害。
- 关键路径：需同时分析直接触发条件和间接误用的叠加效应。

规范与设计（第5章）：
- 明确功能需求，设计时考虑性能不足的应对措施（如冗余传感器）。
- 示例：针对激光雷达在雨雾天气的性能限制，增加摄像头融合方案。
危害识别与评估（第6章）：
- 通过场景分析识别潜在危险事件（如车辆在弯道误识别车道线）。
- 评估风险等级，定义可接受标准（如事故率≤1次/百万公里）。
验证与确认策略（第9章）：
- 结合仿真（SIL/HIL）、实车测试和长期路测覆盖已知/未知场景。
- 示例：通过注入传感器噪声验证系统鲁棒性。

场景覆盖：需覆盖“四类场景区域”（标准4.2.2）：
1. 已知安全场景（已验证无风险）。
2. 已知不安全场景（需通过设计消除）。
3. 未知不安全场景（需通过测试探索）。
4. 未知安全场景（无需干预）。
人机交互（HMI）：确保用户清晰理解功能限制（如L3系统的接管提示）。
人工智能挑战：
- 机器学习算法的可解释性与边界条件验证（如对抗样本测试）。