ISO 21448，全稱為《道路車輛 預期功能安全》國際標準，通常簡稱為SOTIF。該標準於2022年正式發布，旨在解決智慧型駕駛與自動駕駛系統在無硬體或軟體故障的情況下，因系統功能定義不足、性能局限或可合理預見的人為誤用而引發的安全風險。它是ISO 26262功能安全標準的重要補充，共同構成智慧型駕駛系統的核心安全框架。標準適用於駕駛自動化等級為L1至L5的車輛系統，核心是通過系統化的設計、驗證、確認及運行監控流程，識別和管控由“功能不足”導致的潛在危險，從而將未知風險降至可接受水平，保障智慧型駕駛功能在全場景下的安全性與可靠性。
基本介紹
- 中文名：《道路車輛 預期功能安全》
- 外文名：ISO 21448
- 上市時間：2022年6月
- 別名：SOTIF
標準定義與目標,發展歷程,核心框架與主要內容,與ISO 26262的關係,套用與認證實踐,影響與意義,
標準定義與目標
ISO 21448，全稱為《Road vehicles — Safety of the intended functionality》（道路車輛 — 預期功能的安全性），簡稱SOTIF（Safety of the Intended Functionality）。該標準於2022年6月正式發布為國際標準（ISO 21448:2022）。該標準旨在解決因系統功能定義不足、性能局限或可預見的人員誤用（非硬體/軟體故障）導致的不合理風險，確保智慧型駕駛系統在複雜運行場景下能夠安全地實現預期功能。
ISO 21448適用於駕駛自動化級別為1到5的系統及緊急干預系統，特別是那些依賴複雜感測器和處理算法來實現態勢感知的功能。其適用範圍包括各種依賴於感測、複雜算法處理以及由電氣和/或電子系統實現的量產道路車輛。
該標準不適用於以下情況：ISO 26262已覆蓋的故障；網路安全威脅；由系統技術直接造成的危害（如雷射雷達光束對眼睛的傷害）；與電擊、火災、煙霧、熱、輻射、毒性、易燃性、反應性、能量釋放等相關的危害（除非直接由E/E系統的預期功能引起）；以及明顯違反系統預期用途的蓄意行為（功能濫用）。
發展歷程
ISO 21448標準的制定工作始於2016年2月，由ISO/TC22/SC32/WG8工作組啟動，包括中國在內的18個國家參與。2019年1月，以PAS（公開可用規範）形式發布了ISO/PAS 21448。隨後，標準草案在2019年12月形成CD版，並於2020年11月形成DIS版。中國在標準制定過程中積極參與，例如在CD草案階段提出了132項建議，其中96項被採納。最終，國際標準ISO 21448:2022於2022年6月正式發布。
核心框架與主要內容
ISO 21448《道路車輛—預期功能安全》(SOTIF)是ISO 26262的補充標準，專門針對因功能定義不足、性能局限或可合理預見誤用導致的非故障性風險。該標準適用於態勢感知對安全至關重要的預期功能，特別是駕駛自動化級別為1到5的系統。其範圍不包括ISO 26262涵蓋的故障、網路安全威脅、由系統技術直接造成的危害等。
ISO 21448標準引入了著名的“四區域”場景模型，將場景知識狀態分為已知安全場景、已知不安全場景、未知不安全場景和未知安全場景四類。SOTIF工作的核心目標是通過設計改進和驗證確認，最小化已知和未知的不安全區域，並最大化安全區域。
ISO 21448:2022標準的主體內容涵蓋第5章至第12章，呈現一個疊代的V模型開發流程。該流程始於功能與系統規範的定義。隨後進行SOTIF相關危害識別與風險評估。進而識別與評估潛在功能不足與觸發條件。通過功能修改或使用限制來減少SOTIF風險。之後定義驗證與確認策略。並對已知場景進行驗證，對未知場景進行確認。最終依據SOTIF發布的方法與準則進行評估。
該標準提出了SOTIF雙層安全接受準則：第一層（危害行為事件準則）基於可控性和SOTIF信心度；第二層（總體風險準則）對標人類駕駛員的安全水平設定總體風險控制目標。在量化評估方面，業界提出了基於自然駕駛數據分析和6σ理論的3σ風險接受準則等方法。
這是一個疊代的過程，從危害識別到驗證確認形成閉環，如果評估發現剩餘風險不可接受，則需要返回到功能改進階段進行最佳化。
與ISO 26262的關係
ISO 21448（預期功能安全，SOTIF）與ISO 26262（功能安全）是構成智慧型駕駛系統完整安全體系的兩個關鍵國際標準，兩者相輔相成，共同確保系統安全。ISO 21448是ISO 26262的重要補充，共同套用於智慧型駕駛系統的開發與驗證中。
ISO 26262主要關注因電子電氣系統故障（包括硬體隨機失效和系統性失效）引發的安全問題。ISO 21448則專注於解決系統在無故障情況下，因功能定義不足、性能局限、環境複雜性或合理可預見的人員誤用所引發的安全問題。前者解決“系統壞了”的風險，後者解決“系統能力不夠或用錯了”的風險。
儘管關注點不同，但ISO 21448與ISO 26262在開發流程上存在緊密的互動與映射關係，常被要求聯合實施。例如，ISO 21448中的危害分析與風險評估（HARA）與ISO 26262的類似流程相關聯但側重點不同；其驗證與確認（V&V）活動也與ISO 26262的相應環節存在映射。這種協同工作旨在形成“功能安全”與“預期功能安全”的雙重保障，共同覆蓋故障與非故障兩類風險源。
ISO 21448與ISO 26262的協同工作具體體現在多個層面：ISO 21448特別關注系統在非故障情況下的行為安全性，例如應對不可預見的道路條件或感測器識別錯誤；強調對自動駕駛系統在真實或仿真環境中進行更全面的驗證，覆蓋不同道路、天氣、交通狀況等場景；並要求在設計中充分考慮感知系統（如攝像頭、雷達）的魯棒性以及決策與控制算法的安全性。隨著技術發展，兩者的融合套用未來可能進一步擴展到車與車、車與基礎設施通信（V2X）等多領域安全框架，並加強對人工智慧與機器學習算法安全性的驗證要求。
隨著智慧型駕駛系統複雜度的提升，僅靠防範硬體軟體故障（ISO 26262）已不足以應對所有安全挑戰。ISO 21448的引入，正是為了系統性應對功能不足、性能局限等非故障風險。兩者的結合對於L1-L5級別的駕駛自動化系統和緊急干預系統至關重要，是構建可信賴智慧型駕駛產品的基石。
此外，在汽車行業內已形成普遍共識，即功能安全（ISO 26262）、預期功能安全（ISO 21448）和信息安全共同構成了保障汽車智慧型化安全的“三駕馬車”。
套用與認證實踐
ISO 21448(SOTIF)作為智慧型駕駛安全領域的國際標準，聚焦於系統設計局限、性能不足或環境誤判等非故障原因引發的安全風險，其核心是確保智慧型駕駛系統在無電子電氣故障的情況下，規避因預期功能不足或合理可預見誤用導致的風險。通過ISO 21448認證，表明企業在智慧型駕駛系統的風險分析、場景驗證、安全設計等全流程能力獲得了認可。
自標準發布以來，國內外多家汽車製造商、零部件供應商及科技公司已陸續獲得認證。例如：長城汽車於2022年8月獲得全球首張ISO 21448認證證書；一汽集團、廣汽研究院分別於2022年9月、11月獲證；2023年，長安汽車（2月）、經緯恆潤與地平線（4月）、商湯絕影與華為（11月）、德賽西威與DeepWay深向（12月）等企業相繼通過認證；2024年3月，導遠電子獲證；2024年9月，禾賽科技獲得ISO 21448認證；2025年，福瑞泰克（7月）、蔚來（2月）和一汽-大眾獲證；至2026年3月，豪恩汽電亦宣布獲得該認證。
實施並通過該標準認證，有助於企業系統化地管控因功能定義不足或性能局限導致的風險，從而降低產品因此類問題導致的召迴風險，提升產品安全水平。此外，實施該標準還有助於在達到最新技術要求後，可能免除相關法律責任。
影響與意義
ISO 21448旨在將因規範或性能不足所導致的不合理風險降低到可接受水平，它彌補了傳統功能安全（ISO 26262）對非故障性風險覆蓋的不足，並與功能安全、信息安全共同構成智慧型汽車安全的“三駕馬車”。
中國智慧型網聯汽車產業創新聯盟於2020年5月發起成立了“智慧型網聯汽車預期功能安全工作組”，推動相關技術研究、解決方案和標準體系構建。多家企業已通過ISO 21448流程體系認證，例如地平線通過了該認證，禾賽科技獲得了認證，福瑞泰克也獲得了認證。中國汽研推出了整車級預期功能安全百題測評挑戰體系——SOTIF·100，旨在通過真實道路上的高速臨界場景檢驗車輛輔助駕駛系統的預期功能安全水平，推動高階輔助駕駛系統更安全地推廣落地。
