南昌智能网联汽车，预期功能安全SOTIF
在传统汽车安全框架中，车辆系统的故障往往是分析焦点。然而，当智能网联汽车在复杂的真实环境中行驶时，即使其所有硬件与软件均无故障，也可能因性能局限、环境误判或人机交互问题而导致危险。这引出了一个超出传统“功能安全”范畴的新课题：预期功能安全。它主要关注的是，在没有发生系统性故障的情况下，由功能不足或可预见误用带来的风险。
理解这一概念，可以将其与传统功能安全进行比对。传统功能安全的核心是管控“失效”，确保系统在发生随机硬件故障或系统性软件故障时，能进入或维持安全状态。其标准如ISO 26262，是汽车电子电气系统开发的基石。而预期功能安全，关注的是“性能局限”。例如，一个设计完善的自动驾驶感知系统，在暴雨、逆光或遇到罕见交通场景时，其识别能力可能下降，这并非故障，而是功能的固有局限。国际标准ISO 21448（SOTIF）正是为此而生，旨在通过识别和减少由这些非故障因素引发的风险。
那么，智能网联技术如何加剧了预期功能安全的挑战？网联化意味着车辆不再是信息孤岛，它需要与云端、路侧设施及其他车辆实时交互。这带来了新的不确定性维度：通信延迟、数据包丢失、甚至是被恶意篡改的虚假信息。这些网联环节的“非故障”性能波动，都可能成为整车预期功能安全的触发条件。例如，依赖云端下发的动态高精地图更新，如果因网络延迟未能及时获取道路临时封闭信息，车辆就可能规划出危险路径。
针对这些风险，技术上的应对策略是多层次的。在感知层面，通过多传感器冗余融合（如摄像头、毫米波雷达、激光雷达互补），可以提升环境感知的鲁棒性，降低单一传感器受环境干扰的影响。在决策规划层面，引入“最小风险策略”是关键，当系统识别到自身性能已无法安全处理当前场景时，应能执行温和的减速、靠边停车等动作，并将控制权安全地移交驾驶员。通过海量的仿真测试、封闭场地及真实道路测试，不断发现和覆盖“未知的不安全场景”，是完善系统性能边界认知的核心手段。
聚焦于南昌在相关领域的实践，可以观察到其作为测试与应用区域的特定价值。该地区具备多样的城市道路、桥梁及天气条件，为验证智能网联汽车在不同环境下的预期功能安全提供了丰富的测试场景。相关工作通常遵循“场景识别-风险评估-措施实施-效果验证”的闭环流程。例如，针对本地常见的潮湿路面反光对摄像头的影响，可以专项设计测试用例，评估其对车道线识别功能的干扰程度，并据此优化算法或提出传感器清洗等缓解措施。
最终，推动预期功能安全工作的价值，并不在于追求知名的“零风险”，这在技术上是不可实现的。其核心目标在于，通过系统性的工程方法，将智能网联汽车在复杂现实世界中运行的残余风险，降低到社会可接受的合理水平。这是一个持续迭代的过程，依赖于技术方案的不断成熟、标准法规的持续完善以及社会公众认知的逐步深化。每一轮测试与优化，都在使系统的能力边界更为清晰，应对未知场景的准备更为充分。
