2026《关于SOTIF预期功能安全的研究国内外文献综述》1700字.docxVIP

-PAGE1-

关于SOTIF预期功能安全的研究国内外文献综述

1.1ISO21448标准

SOTIF（SafetyOfTheIntendedFunctionality，预期功能安全）的定义是由于预期的功能导致的功能的不足导致的危害导致的不合理的风险。标准文档提供了实现SOTIF所需的适用设计、验证和验证措施的指南。

在SOTIF标准REF_Re\r\h[1]中，将车辆的运行场景分为四种，已知安全场景、已知不安全场景、未知不安全场景和未知的安全场景（图1.1）。SOTIF开发的主要目标是减小区域2和区域3的面积，使最终产生的剩余风险可以接受。

图STYLEREF1\s1.SEQ图\*ARABIC\s11SOTIF标准危害场景分类

1.2SOTIF研究现状

ISO21448给出了SOTIF开发流程图（图1.2），

图STYLEREF1\s1.SEQ图\*ARABIC\s12SOTIF开发流程图

根据SOTIF开发流程图，可以把SOTIF有关的研究分为“识别与评估预期功能导致的风险”、“识别与评估性能缺陷和潜在的触发条件”和“功能设计改进”几类。

（1）识别与评估预期功能导致的风险

功能不足造成的危险是在车辆水平上系统地确定的。风险评估有助于确定需要进一步分析的危险情况，在给定的情况下，考虑危险行为的严重性和可控性，以确定是否可能造成可能的损害。

ZF-TRW的OlegLurie,JosephMillerPAGEREF_Re\hREF_Re\r\h[2]提出了一种通过重新设计强调风险产生过程来降低HARA（HazardAnalysisandRiskAssessment，危害分析和风险评估）复杂性的方法。

图STYLEREF1\s1.SEQ图\*ARABIC\s13道路交通风险模型

使用了一种道路交通风险模型（图1.3）用于分析，在此模型中，把车辆的静止状态设置为初始的低风险态势，风险会随着驾驶态势的变化而变化。我们的目标是通过事故概率定量地估计风险，并确定可容忍风险，然后将其作为AD/ADAS验证的目标。使用道路交通风险模型可以得到用于HARA的半马尔可夫链的转换图（图1.4），对于图1.4所示的转换图，转换的数量为z。

z=

公式(STYLEREF1\s1SEQ公式\*ARABIC\s11)

N为正常的低风险态势的集合，D为驾驶态势的集合，A为事故集合。

图STYLEREF1\s1.SEQ图\*ARABIC\s14用于HARA的半马尔科夫链

此外，华东师范大学计算机科学与软件工程学院的ZhonglinHouREF_Re\r\h[3]等人建立了SOTIF的危险图和触发条件模型，并提出了针对SOTIF未知触发条件的安全评估方法。清华大学的张新钰REF_Re\r\h[4]等人提出了一种基于双目摄像机的场景安全性评价方法，用单个值表示场景的不确定性，该值可以对SOTIF进行定量评估。

（2）识别与评估性能缺陷和潜在的触发条件

触发条件是可以引发后续系统反应的一个态势的特定条件，触发条件可能导致危害的产生。

奥地利格拉茨虚拟车辆研究中心的HelmutMartinREF_Re\r\h[5]等人提出了一种基于系统的HAZOP（Hazardandoperabilitystudy，危害和可操作性研究）方法来识别触发条件的工作流程（如图1.5）。

图STYLEREF1\s1.SEQ图\*ARABIC\s15识别触发条件的工作流程图

泛亚汽车技术中心有限公司的尚世亮REF_Re\r\h[6]等人为探究导致SOTIF中人员操作误用的原因，提出了一种基于驾驶员信心度的SOTIF评价模型。

（3）功能设计改进

SOTIF开发的目标为通过功能改进将残余风险降低到可接受水平，实现预期功能安全。

泛亚汽车技术中心有限公司的MenggeGuoREF_Re\r\h[7],等人设计了一种基于考虑DOC（信心度）的MPC（模型预测控制）的路径规划来降低由于司机对自动驾驶系统不信任而导致的人为误用。

（4）总结

预期功能安全（SOTIF）是智能驾驶汽车的重要安全问题，但目前关于SOTIF的研究处于早期阶段。ISO21448标准文档提供了实现SOTIF所需的适用设计、验证和验证措施的指南。在此基础上，现有的研究提