预期功能的安全性(SOTIF, Safety of the Intended Functionality)

然而，ISO26262:2018标准中仍缺少关于自动驾驶车辆开发的细节规定。在第二版ISO 26262发布后，这项遗漏的主题将出现在国际标准化组织公共适用规范标准ISO/PAS 21448之中。这项新标准通常被称为SOTIF，即“预期功能安全”。

ISO 26262标准和SOTIF所最终解决的问题，将涉及汽车供应链的所有部分。例如，设计自动化软件将用于解决汽车产品环境中部件的质量和可靠性问题SOTIF是与功能安全非常接近的概念，

ISO 26262标准对风险评估软件的功能要求进行了规定，并对使用此类软件具有信心。ISO2626标准2第8部分第11条对此进行了说明。对于适用于汽车设计、制造和系统操作中使用的所有软件，标准规定了软件工具合格证书的具体要求。

 下图展现了SOTIF相比功能安全的定义，可以看出，在两种情况下，都涉及多功能行为及其风险，而其差异主要体现在多功能的起因。

对于功能安全，通常着重考察电子电气系统失效及故障，如软件中的电容器短路或缓冲区溢出；而SOTIF更加注重技术的缺陷及系统相关定义，如图像识别的精度，雷达的抗干扰性，在SOTIF案例中，没有故障及失效。

 预期功能的安全性与功能安全侧重点

随着智能驾驶汽车的发展，SOTIF的重要性也凸显出来，为了能够确保这些系统的安全，必须对安全进行全局考虑，而 SOTIF正是基于这点考虑。PAS拓展了ISO 26262的V流程，包括SOTIF危害分析与风险评估，SOTIF概念及SOTIF相关验证活动，这些过程将在PAS的条款及附录中进一步详细说明及阐述，由于该工作仍在进展中，更多的细节暂不能透漏。

自动驾驶和预期功能安全标准的进步

2014年，国际汽车工程师学会（SAE International）在J3016标准中确立了自动驾驶的通用术语。它描述了六个等级的自动驾驶，参考下图。更高程度的自动驾驶（AD）这一概念，也称为无人驾驶或自动驾驶，正从第2级开始逐步引入。

目前，汽车工业现在刚刚迈出了三级自动驾驶汽车商业化的第一步。尽管三级车辆已成为现实，但仍然面临着来自阻碍其实施的法律和监管的挑战。未来还将出现能够满足“高度”自动驾驶和“完全”自动驾驶—4级和5级的自动驾驶车辆。

ISO 26262标准仍是提供安全系统、安全硬件和安全软件的基础。其目的是确保在发生故障时车辆能够独立、安全地运行。ISO26262标准建立了最先进的流程和体系结构，明确规定了保障系统安全的规则。

目前仍处于讨论阶段的预期功能安全标准将为0级、1级和2级自动驾驶（AD）车辆提供指南。即便如此，全球的自动驾驶专家仍在努力制定如何使系统安全的规定。

他们面临一个难题：即使没有故障，自动驾驶汽车也必须是安全的。因此，正在起草指导性的预期功能安全标准，以确保自动驾驶车辆在正常运行期间的功能和安全。

因此，预期功能安全涵盖的主题将包括：

·       自动驾驶设计高级概念的细节；

·       如何评估预期功能安全和ISDO 26262标准对危害的不同规定；

·       如何识别和评估场景和触发事件；

·       如何降低预期功能安全的相关风险；

·       如何检查和验证预期功能安全的相关风险；

·       以及在向市场投放自动驾驶车辆之前要满足的标准。

这将构成自动驾驶方法的基础。接下来是具体实施。自动检查和验证必须满足从模拟到整车的多项测试，其中包括涵盖整个四维环境的因素，如天气、道路状况、周围景观、产品质地和可能存在的驾驶员误用。

对于环境场景的前期概念分析和后期验证，预期功能安全将提供许多方法和指南。预期功能安全委员会希望通过不同的场景资料、这些场景的安全分析、安全场景验证、触发事件验证、以及在环境中验证车辆搭载的安全系统，来指导广大用户。这些因素对于遵守即将发布的自动驾驶标准至关重要。

这些高级概念、评估和测试将远超以往的开发过程。有鉴于此，我们对测试平台、软件工具、数字双模拟或硬件环的依赖将比以往任何时候更重要。

因此，在开发自动驾驶系统时，您必须确信您的团队能够使用一流的软件工具。

ISO 26262  2018新版本变化总结：

相比于第一版ISO 26262，第二版 ISO 26262 :2018有较大变化。其变化的主要原因来源于第一版的实施经验、适用范围的拓展、改进的过程方法及工具、自动驾驶汽车带来的挑战，标准中的各部分都做出了相应的调整，并新增了两个部分，由于汽车领域科学技术的发展，在功能安全及SOTIF领域正面临较大的挑战，在第二版中将涉及到这些方面，并给出相应的指导。

然而，在下一个5-10年内，汽车行业将发生革命性的变化，这就意味着第三版 ISO 26262更新的是非常必要的。在未来5年内，The SOTIF PAS将被转化为国际标准，可能作为ISO26262的一部分，也可能独立地作为一部分标准。

因此，相关标准的发展仍然是一个持续发展的任务，为工业领域提供持续的引导是一项巨大的挑战。