近日，馭勢而上，安全先行——新能源汽車智能安全創(chuàng)新論壇暨SASETECH2025年度峰會圓滿結束。磐時信息技術預期功能安全專家周堂瑞先生受邀并以《SOITF應用實踐：與開發(fā)及數(shù)據(jù)的結合》為題，在“駛向全場景安全：智駕系統(tǒng)的實踐探索與合規(guī)”環(huán)節(jié)展開演講，提出針對 SOTIF 落地脫節(jié)與數(shù)據(jù)支撐不足問題的解決方案。

峰會現(xiàn)場 /周堂瑞先生

SOTIF落地的核心困境

隨著 L2 強標《智能網(wǎng)聯(lián)汽車組合輔助駕駛系統(tǒng)安全要求》附錄 C 的發(fā)布，SOTIF 已從企業(yè)可選工作變?yōu)榉ǘㄒ?，涵蓋文檔合規(guī)、驗證確認、場地測試等多項硬性指標，推動行業(yè)從流程建設向?qū)嶋H落地轉(zhuǎn)型。但在與客戶的合作中，我們發(fā)現(xiàn)當前 SOTIF 實踐普遍面臨兩大核心痛點。

1

SOTIF 工作與開發(fā)流程嚴重脫節(jié)。很多企業(yè)的 SOTIF 介入時機過晚，往往在產(chǎn)品軟件、智駕方案基本確定后才啟動安全分析，導致提出的需求要么已被開發(fā)團隊解決（缺乏實際意義），要么因傳感器選型、算法方案固化而無法落地，反而成為效率開發(fā)的阻礙。同時，開發(fā)階段的改進、測試結果與 SOTIF 安全分析完全割裂，安全論證無法復用已有開發(fā)成功，形成 “兩張皮” 現(xiàn)象。

2

數(shù)據(jù)應用未能支撐 SOTIF 深度落地。開發(fā)測試中的數(shù)據(jù)采集、處理多以開發(fā)需求為驅(qū)動，未與 SOTIF 的風險評估、場景覆蓋相結合，既無法為危險場景庫擴展、風險量化提供有效輸入，也未能通過 SOTIF 分析指導數(shù)據(jù)回傳與處理策略，導致數(shù)據(jù)價值未能充分發(fā)揮。

SOTIF 與開發(fā)流程的體系化融合

要解決 SOTIF 與開發(fā)脫節(jié)的問題，核心是構建“以整車開發(fā)流程為基礎”的 SOTIF 實施體系，實現(xiàn)安全活動與開發(fā)活動的全周期協(xié)同。我們在項目中形成了“五維度融合方案”，讓 SOTIF 真正融入開發(fā)全流程。

階段匹配：全周期介入，而非事后補充

SOTIF 絕非產(chǎn)品規(guī)劃定型后的 “附加工作”，而應在產(chǎn)品規(guī)劃階段就同步介入，貫穿規(guī)范定義、設計開發(fā)、驗證確認全流程。我們會明確 SOTIF 活動在整車開發(fā)各階段的對應節(jié)點，確保安全要求從源頭嵌入，避免后期 “亡羊補牢”。

責任劃分：明確接口，避免權責模糊

SOTIF 涉及功能定義、系統(tǒng)開發(fā)、測試驗證等多個環(huán)節(jié)，需清晰界定各開發(fā)團隊的責任范圍與輸入輸出接口。例如在與OEM 客戶的體系項目中，在明確各部門在SOTIF 分析、測試、論證中的具體職責之外，我們會邀請各環(huán)節(jié)負責人都參與體系培訓，了解各自分工。

迭代適配：匹配智駕敏捷開發(fā)模式

針對智駕領域的敏捷開發(fā)特性，我們在 SOTIF 實施流程中明確了迭代觸發(fā)機制 —— 并非開發(fā)的微小變化都需啟動 SOTIF 重分析，而是結合版本更新節(jié)奏，定期開展針對性分析，既保障安全覆蓋，又不影響開發(fā)效率。

測試協(xié)同：打通測試結果與安全論證的鏈路

SOTIF 的核心不僅在概念階段，部件及系統(tǒng)級測試結果也是安全論據(jù)的重要組成。我們會幫助客戶建立測試節(jié)點與 SOTIF 驗證確認的對應關系，明確哪些測試結果可直接用于安全論證，實現(xiàn)測試資源的高效復用。

運行階段：建立全生命周期責任體系

在運行階段，我們重點破除“SOTIF 是新增工作”的認知誤區(qū)。實際上，SOTIF 無需單獨建設數(shù)據(jù)鏈路，而是通過結構化組織現(xiàn)有鏈路及數(shù)據(jù)資源，形成系統(tǒng)的安全論證體系。明確售后、整車、智駕等部門的責任，建立問題分類機制 —— 將運行中發(fā)現(xiàn)的問題精準界定為功能安全、信息安全或預期功能安全問題，確保高效閉環(huán)。

此外，體系融合已成為行業(yè)趨勢。我們以 ASPICE 為基礎，構建了功能安全、預期功能安全、ASPICE三體系融合方案：包含ASPICE 除機器學習外的全部過程，功能安全除生產(chǎn)、運營等外的核心內(nèi)容，SOTIF 全部過程，通過管理手冊、操作指南、模板檢查單等工具，實現(xiàn)融合流程的落地。

SOTIF 與數(shù)據(jù)閉環(huán)的雙向驅(qū)動

數(shù)據(jù)是 SOTIF 落地的核心支撐，二者構成“雙向驅(qū)動”關系 ——數(shù)據(jù)閉環(huán)為 SOTIF 提供基礎輸入，SOTIF為數(shù)據(jù)閉環(huán)提供方向指導，形成高效迭代的良性循環(huán)。

1

數(shù)據(jù)閉環(huán)賦能 SOTIF 深度落地：車端采集的感知數(shù)據(jù)、車輛狀態(tài)數(shù)據(jù)、地圖數(shù)據(jù)等，經(jīng)清洗預處理后，通過場景語義標簽生成、參數(shù)提取等環(huán)節(jié)，為 SOTIF 分析提供三大核心支撐：一是擴展觸發(fā)條件庫與危險場景庫，二是為風險量化評估提供數(shù)據(jù)依據(jù)，三是驗證安全接受準則的合理性。我們通過自主開發(fā)的場景提取工具、未知場景挖掘工具等，實現(xiàn)靜態(tài) 及動態(tài)語義信息、駕駛狀態(tài)信息的精準提取，快速定位 SOTIF 相關的實測數(shù)據(jù)。

2

SOTIF 指導數(shù)據(jù)閉環(huán)精準發(fā)力：SOTIF 分析為數(shù)據(jù)閉環(huán)提供明確的方向指引?；陲L險評估結果制定安全導向的數(shù)據(jù)回傳策略，明確哪些場景需要優(yōu)先回傳數(shù)據(jù)；將安全接受準則作為測試驗證的核心評價指標；通過觸發(fā)條件與危險場景定義，提升場景庫覆蓋度。例如，我們會將感知目標丟失、多車復雜交互、特殊天氣路況等場景設為數(shù)據(jù)回傳觸發(fā)點，確保采集的數(shù)據(jù)精準服務于安全驗證。

3

工具鏈支撐全流程高效運轉(zhuǎn)：我們構建了覆蓋“數(shù)據(jù)獲取 - 處理 - 管理 - 應用”的全流程工具鏈：車端采集與航拍數(shù)據(jù)互補，通過場景庫管理工具實現(xiàn)場景分類編碼與篩選，借助安全評估模型開展風險量化，利用仿真加速測試工具替代部分實車里程測試。同時打通數(shù)據(jù)管理平臺、標注平臺、訓練平臺、仿真平臺與實車平臺，實現(xiàn)從場景挖掘、算法訓練到測試驗證的閉環(huán)運轉(zhuǎn)。

4

場景泛化與觸發(fā)條件積累：基于實車數(shù)據(jù)，我們應用多種參數(shù)概率分布模型，批量生成符合真實規(guī)律的測試場景，有效降低實車測試成本；通過智能背景車模型構建復雜交通環(huán)境，實現(xiàn)未知場景的高效挖掘。同時，我們已積累豐富的觸發(fā)條件庫，通過組合分析擴展新場景，并基于實車數(shù)據(jù)統(tǒng)計觸發(fā)條件暴露率，為殘余風險接受準則的制定提供科學依據(jù)。

安全從 “口號” 到 “可驗證結論”

總結來看，SOTIF 在企業(yè)的落地核心實現(xiàn)了三大價值。

滿足法規(guī)底線要求

這是最基礎的目標，通過文檔合規(guī)、場景測試、驗證確認等工作，確保產(chǎn)品符合 L2 強標等法規(guī)要求，順利通過審核。

構建系統(tǒng)化安全論據(jù)

SOTIF 并非新增額外工作，而是將開發(fā)過程中已有的測試數(shù)據(jù)、策略輸出、問題記錄等結構化組織起來，形成完整的安全論據(jù)體系，讓開發(fā)團隊清晰看到安全要求的落地情況，實現(xiàn)“查漏補缺” 與 “成果沉淀”。

實現(xiàn)安全的迭代繼承

讓數(shù)據(jù)不僅服務于當下開發(fā)，更成為不斷積累的安全支柱。通過持續(xù)挖掘未知場景、更新觸發(fā)條件庫，讓安全能力隨產(chǎn)品迭代不斷繼承復用，真正實現(xiàn)“安全與開發(fā)同步進化”。

智能網(wǎng)聯(lián)汽車的安全之路，需要流程與實踐的深度融合，更需要數(shù)據(jù)與技術的持續(xù)賦能。我們希望通過 SOTIF 與開發(fā)、數(shù)據(jù)的閉環(huán)融合，讓安全不再成為智能出行的束縛，真正實現(xiàn)“讓智能時代不受安全所困”的愿景。