自动驾驶安全第一，这是行业历来的共识。

毕竟，这是一个以保障驾驶安全、实现“方向盘革命”为初衷的行业，如果不能实现安全，那么自动驾驶的真正落地是无从谈起的。

虽然关于汽车功能安全的法规如ISO 26262等已经相对成熟，但是迈入自动驾驶时代，如何在自动驾驶系统复杂性成倍增长的情况下保证自动驾驶的安全，是一件极为棘手的事情。

10月29日，在与中国汽车工程学会年会（SAECCE）活动同期的一场关于智能安全的国际峰会ISC（Intelligent Safety Conference ）上，中国汽车工程学会理事长、清华大学教授李骏院士就发表了《China SOTIF： Challenge，Technical Route and Industrial Ecology》的主题演讲，针对国内的自动驾驶预期功能安全问题提出了相关的建议与解决措施。

他指出，城市布局不合理、驾驶行为不规范、交通场景过于复杂这三大因素，都让国内自动驾驶车辆的预期功能安全问题更为特殊。

针对这些情况，他认为，应当构建预期功能安全场景库、完善预期功能安全测试与评价体系规范，推进中国的测试验证体系和能力建设。

也就是说，要建立一套更加符合国内道路、真正能够促进自动驾驶产业化的汽车功能安全标准。

另外值得一提的是这场国际交流会议本身。

正如清华大学汽车产业与技术战略研究院（TASRI）院长，世界汽车工程师学会联合会主席赵福全教授所说：当下中国汽车产业无论是规模内容和技术，都已经跟国际前沿较一致，但中国的科研创新层面，还没和国际完全百分百接轨。

而这场由国际汽车工程学会联合会（FISITA）和中国汽车工程学会China SAE共同搭建的会议平台，让国内外专家学者的同台交流和碰撞有了机会。大会围绕智能驾驶安全的技术路线、电子电气架构、人工智能技术、HMI设计、仿真测试及评价、相关标准等热点主题展开。

此外，会议还得到了清华大学智能汽车设计与安全性研究中心、CAICV智能网联汽车预期功能安全工作组的大力支持。

SOTIF的中国属性

回归正题。

熟识自动驾驶的朋友可能有所了解，预期功能安全，是专门针对自动驾驶车辆提出来的一个概念。

在传统汽车领域中，车辆驾驶的安全风险往往来源于整车电子电器的硬件故障或失效。

但迈入自动驾驶时代，车辆感知、决策和执行的任务都交给了自动驾驶系统。即便整车硬件没有发生故障，自动驾驶车辆依旧可能会因为各种不确定因素导致车系统失效、功能偏离等。

比如在一些复杂场景下，车辆的传感器可能无法对目标物体进行准确识别等，都会导致安全风险的产生。

李骏院士也在会上表示，汽车感知的局限性、规则不够清晰、系统的复杂性、可靠性和耐久性等，都是自动驾驶车辆面临的挑战。

而预期功能安全（Safety of the intended function，简称“SOTIF”）要解决的问题，就是这类非系统功能失效导致安全风险的问题。

在自动驾驶这块“无人区”，李骏院士也表示，当下预期功能安全还没有一套完整的理论可以支撑，无论在研究方法、开发流程，还是测试规范上，国内外都还处于研究和探索阶段，区别相差不大。

此前，国际标准化组织ISO已经提出了针对预期功能安全的ISO 21448规范，但这个规范还处于草案阶段，还没正式发布和大规模应用。

正如李骏院士所说，“预期功能安全最难的点在于“未知”。

根据ISO21448，预期功能安全定义的驾驶的场景可以分为四个部分：已知安全、已知不安全、未知不安全、未知安全。

由于“已知安全”和“未知安全”两个场景都是安全的，因此预期功能安全的重点侧重于“已知不安全”、“未知不安全”两大场景。

涉及场景，就意味着自动驾驶预期功能安全带有很强的地理属性。李骏院士也表示，国内的道路交通情况让自动驾驶的预期功能安全变得更加特殊。

比如，国内不够合理的城市布局可能导致部分地区人口过于密集、交通拥堵；城市中的违规驾驶如非法转弯、非法逆行、驾车过程中打电话等更是随处可见；同时，复杂的交通场景也为预期功能安全问题带来更多挑战。

如何解决国内的SOTIF问题？

“预期功能安全问题的解决不能只依靠一所大学或一个企业，需要联合国内政、产、学、研各单位一起协同合作。”李骏院士如此指出。

因此，在2020年5月29日，中国智能网联汽车产业创新联盟（CAICV）成立了智能网联汽车预期功能安全工作组，由李骏院士担任小组组长。

工作组的任务就是，推进智能网联汽车预期功能安全认证评价体系的建设，填补国内外预期功能安全评价体系的缺失，研究预期功能安全测试评价方案，为OEM提供产品开发指导。

据李骏院士介绍，目前工作组中有来自30家不同机构的单位成员，包括高校、科研院所、检测中心、汽车生产商、汽车零部件供应商、自动驾驶初创公司等。

那么，基于国内的预期功能安全挑战，工作组应该朝哪个方向努力？

正如上文所说，中国的预期功能安全挑战来源于城市布局不合理、驾驶行为不规范、交通场景过于复杂三大因素。

为了克服这些不安全因素，李骏院士建议，增加自动驾驶车辆的车载使能，引入车外赋能，将车内车外的赋能融合，共同克服“未知”情况，把风险控制在可以接受的范围内。

增强车载使能、增强车辆的感知性能、采用最先进的感知器、如图像传感器和4D毫米波雷达；通过数据的收集和持续学习的技术来增强车载的使能，让车辆在真实场景中持续学习和升级；建立中国标准的智能路侧基础设施C-ISAD，实现路侧对智能汽车的支撑，包括车路协同的高精度定位等，组成具有中国特色的自动驾驶设施来支持预期功能安全的实现；建立云控平台，基于云控平台获得大量的交通数据；借助V2X通信系统，让汽车的感知能力与车内赋能结合，由此解决自动驾驶场景不足的问题；

中国SOTIF当下进展与未来图景

从总体的工作计划来看，智能网联汽车预期功能安全工作组成立了一个五年工作计划。

2020年的三大工作重点是：构建SOTIF场景数据库、发布《智能网联汽车预期功能安全前沿技术研究报告》和《智能网联汽车预期功能安全白皮书》。

以SOTIF场景数据库的构建为例。

李骏院士认为，首先可以通过学界、OEM、Tier1、Tier2的开发经验，结合政府部门的交通事故数据来分析预期功能安全的局限性；

然后建立场景库架构，进而形成测试场景，形成软件在环、硬件在环等测试体系、之后通过数据报告给前述环节提供反馈，对整个流程进行不断修正。

“前期最主要的工作是SOTIF的局限性分析，SOTIF的场景库报告将在年底发布，这将成为国内第一份SOTIF场景库报告。”李骏院士说道。

同时，工作小组还会在今年发布《智能网联汽车预期功能安全前沿技术研究报告》，全面涵盖SOTIF政策法规、技术现状、专利、场景库现状、测试评价等。

此外，工作小组还会推进《智能网联汽车预期功能安全白皮书》，其中包含具有国内特色的预期功能安全案例、评价、验证等内容。该报告将在2021年底发布。

李骏院士在会后的交流环节中也表示：总体而言，目前国内外智能网联汽车的安全相关标准法规体系还处在发展初期，尤其是预期功能安全方向各国水平相近。

具体来看，尽管去年来自国内外的汽车及出行领域的11家企业联合发布了《自动驾驶安全第一白皮书》，但就国内而言，国内自动驾驶企业对预期工作安全的重视程度还远远不够。

“很多企业还没有把预期功能安全的认识提上去，也没有布局。”李骏院士如此说道。

他认为，未来预期功能安全应当加入自动驾驶车辆的开发流程、国家标准、国家汽车质量认证布局等环节中去。但当下“国内还没有一家检测中心，能做这种（预期功能安全）认证。”

就像当下的汽车产品一样，未来的自动驾驶车辆也经受质量检测，按照产品开发的流程，生产安全可靠的产品；其次道路交通管理部门也要形成一套自动驾驶车辆的质保体系；同时保险公司也需要对自动驾驶车辆形成保险方案。

总结：

李骏院士此前指出，功能安全、信息安全、预期功能安全成为智能驾驶快速发展的三大障碍，其中又以预期功能安全最甚。

但从以上可以看到，国内相关联盟在参与国际标准制定的同时，也在逐渐结合国内的交通道路场景，推进与自身符合的预期功能安全标准建立。这对国内自动驾驶的落地来说，无疑是一大益处。

另外值得关注的是，车路协同也被视为国内自动驾驶预期功能安全的解决方案之一。而国家政策对车路协同的大力支持，也将成为国内玩家们的优势之一。

只有预期功能安全这道安全防线的逐步建立，自动驾驶才会真正迎来商业化落地，迎接颠覆性革命的到来。