从ISO 21448到工程实践：构建自动驾驶预期功能安全的“场景-验证”闭环

1. 从标准到实践：SOTIF为何成为自动驾驶的安全基石

第一次听说SOTIF这个概念时，我正在参与一个L3级自动驾驶项目。当时团队遇到一个棘手问题：在暴雨天气下，毫米波雷达的误报率突然飙升，导致车辆频繁误刹车。这个案例让我深刻理解了ISO 21448标准的价值——它解决的正是这种"系统没坏但就是不好用"的安全隐患。

**SOTIF（预期功能安全）**与传统功能安全有着本质区别。打个比方，功能安全关注的是"手机不会突然爆炸"，而SOTIF解决的是"微信视频通话时为什么总是卡顿"。在自动驾驶领域，这种区别尤为关键：

• 功能安全（ISO 26262）：确保电子电气系统故障时仍能安全运行
• 预期功能安全（ISO 21448）：处理传感器误判、算法缺陷等非故障类问题

去年某车企的自动泊车系统在识别斜向车位时频繁失误，就是典型的SOTIF问题。系统硬件完全正常，但车位检测算法在特定角度下会产生误判。这类场景正是ISO 21448标准重点关注的领域。

2. 场景分类：构建自动驾驶的"风险地图"

在工程实践中，我们采用标准提出的"四象限"场景分类法。这个方法就像给自动驾驶系统绘制一张风险地图：

2.1 已知安全场景（已验证无风险）

这类场景就像考驾照时的"科目二"——所有情况都在可控范围内。例如：

• 晴天日间高速公路跟车
• 结构化道路上的车道保持

处理这类场景的关键是建立基准测试集。我们团队会记录传感器原始数据、控制指令等完整信息，作为后续迭代的参照基准。

2.2 已知不安全场景（需设计消除）

这里藏着自动驾驶开发的"明雷"。比如：

• 隧道出入口的光照突变
• 低矮三角锥的识别
• 暴雨天气下的水花干扰

对于这些场景，我们采用"设计消除+专项验证"的策略。最近一个项目就在毫米波雷达上增加了多普勒滤波算法，有效解决了路面积水反射的误判问题。

2.3 未知不安全场景（需测试探索）

这才是真正的挑战所在。去年我们遇到一个典型案例：某款激光雷达在特定角度的冰晶反射下会产生"幽灵障碍物"。这种场景在实验室根本想象不到，直到在黑龙江冬季测试时才暴露出来。

应对这类场景，我们建立了异常场景挖掘流程：

1. 通过影子模式收集corner case
2. 使用对抗生成网络(GAN)创造极端场