根据美国高速公路安全管理局(NHTSA)长期的统计显示，‍‍美国高速公路上每年死亡约2.5万人，且数据‍‍持续不降。其中，‍‍94%是由于驾驶员导致的驾驶功能不能奏效造成的。为了解决这个问题，汽车产业掀起了一场“‍‍方向盘革命”，‍‍即自动驾驶。‍‍而自动驾驶虽然在操控方面比较强大，但它‍‍在感知方面仍然存在着一定的功能局限，所以在其发展进程中又产生了非系统功能失效导致的安全问题与风险，这个问题就是预期功能安全(SOTIF)。

“基于此，寻找一条新的技术路线来解决上述问题，是实现智能网联汽车产业化的关键。”中国工程院院士、中国汽车工程学会理事长、清华大学教授李骏日前接受盖世汽车采访时说到。SOTIF的概念在“方向盘革命”的时代洪流下越发受到重视，加强对感知的误判和风险评估成为了智能网联汽车研究进一步的关注方向。清华大学汽车产业与技术战略研究院(TASRI)院长、世界汽车工程师学会联合会主席赵福全也对比表示赞同。

李骏在ISC 2020上发表演讲，图片来源：中国汽车工程学会

China SOTIF落地难，难在哪?

SOTIF关注功能不足、性能限制和合理的可预见的误用。在自动驾驶这块“无人区”，李骏表示，汽车行业对于SOTIF还没有找到一个完整的解决方案，甚至还没有一个完整的解决这个问题的基础理论。无论在研究方法、开发流程，还是测试规范上，国内外都还处于研究和探索阶段。

此前，国际标准化组织ISO曾于2019年1月提出过针对SOTIF的ISO/PAS 21448规范。但这个规范目前还处于草案阶段，未进行正式发布和大规模应用。

SOTIF方法论中，将所有场景划分为了四个部分，图片来源：ISO/PAS 21448

在ISO 21448规范中，将SOTIF定义的驾驶场景分为了已知安全、已知不安全、未知安全、未知不安全四个部分。其中，由于现下自动驾驶车辆的感知、定位、规划等技术还不足以克服未知不安全情境，该部分也成为了最难的部分。‍‍

从上述介绍可以看到，ISO 21448中对于SOTIF所有的安全分析目前还仅停留在定性分析，那么不可避免会有主观判定的差异导致分析结果偏差。“这样一来，没有数据支撑，OEM没有底气对供应商提要求，供应商没有底气反驳OEM，这将直接导致开发效率问题。”李骏表示。这意味着，SOTIF要想更好地落地，定义定量分析方法也必不可少。此外，由于SOTIF出现相对较新，目前也几乎还没有成型的、深入的公开项目应用。如何使其有效地落地也成为发展SOTIF面临的另一个重大问题。

评价SOTIF分析工作的准则，图片来源：ISO/PAS 21448

而对于中国来说，中外在SOTIF问题上也存在一些差异。自动驾驶汽车是基于场景的，场景在‍‍各个‍‍国家不一样，‍‍所以‍‍就有了“China SOTIF”。涉及场景，就意味着SOTIF带有很强的地理属性。李骏表示，“国内复杂的道路交通场景也让SOTIF在国内的发展受到了一定限制。”中国的汽车增量市场还在持续爆发中，新手还没有养成良好的驾驶习惯，这直接暴露出‍‍‍‍驾驶行为不规范的问题。在国内，像是右转弯不让直行就是一个非常大的问题‍‍。所以说，需要通过自动驾驶来规范中国人的驾驶习惯，‍‍这在国际上也叫“RSS”(‍Role ‍‍System‍‍ Safety)。

此外，李骏表示，城市布局不合理也让国内自动驾驶车辆的预期功能安全问题更为特殊。

一些典型的自动驾驶假设场景，图片来源：Taxonomy of Scenarios for Automated Driving

与此同时，在面对记者关于中国标准与国际化标准接轨方面的问题时，赵福全也解释道，“标准是有一定门槛的。‍‍为了让国内低技术含量的企业有生存空间，就降低标准，‍‍实际上是对消费者以及中国市场持续竞争力的不负责任。世界的标准组织的建立也是希望能够在同一个标准下来开发，让大家的产品有最大的互换性与适应性。我们也应该相信，中国能够凭借在网络信息方面的优势，开发出有特色的，同时又能引领世界的标准。”

熵减系统，打造全方位测试体系

针对China SOTIF落地难的问题，李骏认为，首先要解决的是“Unknown”未知的问题，其中最关键的就是要把中国的“Unknown”场景库建立起来，特别是能够发生重大安全隐患的场景库，以便进行仿真试验。从技术角度来说，为了克服不安全因素，李骏建议进行系统熵减，‍‍也就是增加车内使能，引入车外赋能，将车内外的使能与赋能融合，共同克服“未知”情况，把风险控制在可以接受的范围内。

具体表现在通过采用最先进的传感器来增强单车的感知性能，如图像传感器和4D毫米波雷达;另一方面还需要建立使能赋能的能力，引入中国标准的智能路侧基础设施C-ISAD，实现路侧对智能汽车的支撑服务;此外，还少不了云控平台的建立，基于平台收集到的交通数据，实现实时汽车群体状态数据的收集以及智能协同和融合一体化;最后，还需要借助C-V2X通信系统，让汽车的感知能力与车内赋能结合，以解决自动驾驶场景不足的问题。

其次，还需要把中国的“Unsafety”不安全的场景案例建立起来，并加入到自动驾驶的开发流程、国家标准、国家汽车质量认证等环节去，进而形成软硬件在环测试体系，之后通过数据报告给前述环节提供反馈，对整个流程进行不断修正。‍‍就像当下的汽车产品一样，未来的自动驾驶车辆也需要经受质量检测，按照产品开发的流程，生产安全可靠的产品;其次道路交通管理部门也要形成一套自动驾驶车辆的质保体系;同时保险公司也需要对自动驾驶车辆形成保险方案。

组织推进中国测试及验证平台的建立，图片来源：ISC 2020，李骏演讲报告

政、产、学、研协作，加快SOTIF本土化发展

“SOTIF问题的解决也不能只依靠一所大学或一个企业，需要联合国内政、产、学、研各单位一起协同合作。”李骏指出，“到底有多少SOTIF场景呢?中国地域这么广，只有组成一个联盟，众人拾柴才能够推进SOTIF的发展，继而让全行业受益。”

因此，李骏牵头并挂帅，在2020年5月29日，中国智能网联汽车产业创新联盟(CAICV)成立了智能网联汽车SOTIF工作组，以推进智能网联汽车SOTIF认证评价体系的建设，填补国内外SOTIF评价体系的缺失，研究SOTIF测试评价方案，为OEM提供产品开发指导。

CAICV-SOTIF愿景，图片来源：ISC 2020，李骏演讲报告

从总体的工作计划来看，智能网联汽车SOTIF工作组成立了一个五年工作计划。李骏透露，国内第一份SOTIF场景库报告与《智能网联汽车预期功能安全前沿技术研究报告》将在年底发布，将全面涵盖SOTIF政策法规、技术现状、专利、场景库现状、测试评价等。《智能网联汽车预期功能安全白皮书》也将在2021年底完成，其中包含具有国内特色的SOTIF案例、评价、验证等内容。

不过，尽管目前国内在SOTIF的探索方面已经有所进展，李骏认为，“政、产、学、研对SOTIF的重视程度还远远不够。”从产品定义到CAE(计算机辅助工程)分析、仿真，再到系统测试，整个车辆产品的布局，都没有形成足够的认识。此前成立的SOTIF工作组目前只有30多个会员，已包括高校、科研院所、检测中心、汽车生产商、汽车零部件供应商、自动驾驶初创公司等，‍‍好多大的OEM还没有加入‍。

智能网联汽车SOTIF工作组成员，图片来源：ISC 2020，李骏演讲报告

“‍‍国外几乎所有的传统车企巨头都非常重视SOTIF，像宝马已经公布了它的‍‍安全白皮书，通用也在其安全报告中体现了对于SOTIF的重视‍。而国内大多企业到现在为止还没有自己的自动驾驶汽车安全白皮书，也就是说从企业的安全策略、技术，到安全的保障，整个体系还没有建立起来，甚至安全文化也还没有形成，这是我们需要追赶的，也是我们想要大声呼吁的。”李骏指出，这是一个以保障驾驶安全、实现“方向盘革命”为初衷的行业，如果不能实现最基本的安全，那么自动驾驶的落地更是无从谈起的。‍‍”