道路车辆 预期功能安全编辑说明

《道路车辆预期功能安全》（征求意见稿）编制说明

《道路车辆预期功能安全》

（征求意见稿）编制说明

一、工作简况

1、任务来源

根据国标委发【2020】48号文《国家标准化管理委员会关于下达2020年第三批推荐性

国家标准计划的通知》，制定推荐性国家标准《道路车辆预期功能安全》（计划项目编

号：20203970-T-339）。

2、目的和意义

自动驾驶汽车上日趋高度集成的电控系统因故障、功能局限、人机交互（HMI）误用

而引发的人员伤亡等安全事故日益受到各方关注，其安全性依赖于电控系统对环境的正确

感知、复杂算法的正确处理及精确的执行，随着自动驾驶车辆中先进功能的数量大幅增

加，电控系统的集成度、复杂度越来越高，安全风险也日益凸显。

多起车辆在处于自动驾驶模式下发生的事故表明，车辆安全问题不仅源于系统故障，

也来源于诸如感知系统不能正确识别目标场景，无法对环境做出正确响应；控制决策中功

能逻辑仲裁机制、算法不合理，导致决策出现问题；执行过程中执行机构的输出与理想输

出发生偏差，未做出正确控制。

GB/T34590-2017《道路车辆功能安全》为避免车辆电控系统因故障而导致车辆失

控、人员伤亡等事故风险，提出了电控系统在全生命周期（设计、开发、生产、运行、报

废）内的功能安全要求，以避免或减轻这些风险。

对于自动驾驶车辆，除了需要避免GB/T34590-2017《道路车辆功能安全》中提到的

因系统故障而引起的安全风险，还应避免感知、决策、执行过程中的功能不足、性能局

限，以及驾乘人员的误用带来的安全风险，这类非故障情况下因系统功能不满足预期而导

致的安全风险就需要预期功能安全技术来解决题。制定预期功能安全标准对于解决和提升

自动驾驶车辆的安全性具有重要意义。

国家标准《道路车辆预期功能安全》在参考借鉴国际标准化组织ISO于2022年2月形成

的ISO21448的FDIS版本基础上，基于我国国情和技术发展水平而制定的。与ISO21448的

FDIS版本相比：

1.完善了术语3.1。

2.新增了术语3.35。优先度子集PrioritySubset。

3.新增了5.2章节中的注3。

4.新增了6.4章中的注5和注6。

5.新增了9.3章节的注3。

6.修改了9.3章节的表6。

1

《道路车辆预期功能安全》（征求意见稿）编制说明

7.新增了13.4章节的注释6。

8.新增了13.5.2。

9.新增了附录A.4。

10.新增了表B.6。

11.新增了D.5。

12.新增了D.6。

13.新增了附录E。

3、主要工作过程

本项目任务下达后，全国汽车标准化技术委员会组织行业相关单位成立标准起草组，

确定中国汽车技术研究中心有限公司为牵头单位。其他参与单位包括：一汽集团、华为、

商汤科技、一汽大众、吉利汽车、法雷奥、泛亚、大众中国、地平线、蔚来汽车、上汽商

用车、长城汽车、知行科技、东软集团、上海机动车检测、海拉、维宁尔、嘀嘀汽车、中

汽创智、大疆、集度汽车、联电、广汽、北汽新能源、恒润、博世、理想汽车、襄阳达

安、苏州耐世特等30余家企业。主要工作过程如下：

2019年12月，项目启动预研，来自国内整车企业、系统供应商、软硬件等20家企业的

32名代表参加会议，主要针对标准制定思路和框架进行了讨论。

2020年3月-5月期间，召开起草组多次网络会议，来自国内整车企业、系统供应商、软

硬件等30余家企业的40名代表参加会议。

2020年5月28日，召开“道路车辆功能安全标准研究制定工作组第十三次会议”网络会

议，会议介绍了本标准的起草进展情况及标准初步草案。

2020年5月28日，召开“道路车辆功能安全标准研究制定工作组第十三次会议”网络会

议，会议介绍了本标准的起草进展情况及标准初步草案。

2021年12月21日，在天津市召开“道路车辆功能安全标准研究制定工作组第十四次会

议”，会议介绍了草案框架及主要内容，会议之后起草组将进一步完善草案，尽快形成起

草组草案并在工作组范围内征求意见。

2022年1月-2月，起草组召开多次网络会议，讨论形成工作组草案，并在功能安全工作

组内征求意见。其中收到来自22家单位的62条修改意见，起草组召开了4次网络会议进行了

逐条讨论，其中采纳32条，不采15条，部分采纳15条，起草组按照以上修改意见，以及

GB/T1.1-2020的要求对标准草案进行了完善，于4月30日更新并形成了社会公开征求意见

稿。

二、国家标准编制原则和国家标准主要内容

1、编制原则

标准文本依据GB/T1.1-2020给出的规则起草。

2、主要技术内容

2

《道路车辆预期功能安全》（征求意见稿）编制说明

1)范围

本标准提供了用于确保预期功能安全（SOTIF）的措施的通用论证框架和指南。预期功

能安全指不存在因预期功能不足引起的危害而导致不合理的风险，功能不足包括：

a.整车层面预期功能规范定义的不足，或

b.系统中电气/电子要素实现的规范定义不足或性能局限。

本标准为实现和保持SOTIF所需的相关设计、验证和确认措施以及在运行阶段的活动提

供指导。

本标准适用于依靠复杂传感器和处理算法进行态势感知且感知的正确性会对安全产生

重要影响的预期功能，特别是紧急干预系统的功能和驾驶自动化等级为L1-L5的系统的相

关功能。

本标准适用于安装在除轻便摩托车外的量产道路车辆上的包含一个或多个电气/电子系

统的预期功能。

合理可预见的误用属于本标准的范围。此外，如果远程用户对车辆的操作或协助、或与

可影响车辆决策的后台间的通信，可能导致安全危害，也属于本标准的范围。

本标准不适用于：

—GB/T34590涵盖的故障；

—信息安全威胁；

—因系统技术直接导致的危害（例如，激光雷达光束对眼睛造成的伤害）；

—与触电、火灾、烟雾、热、辐射、毒性、易燃性、反应性、能量释放等相关的危害

和类似的危害，除非危害是直接由电气/电子系统的预期功能引起的；

—被视为功能滥用的、明显违反系统预期用途的故意行为。

对于已具备成熟且可靠的设计及验证和确认（V&V）措施的现有系统（例如，动态稳定

性控制系统、安全气囊）的功能，不在本标准的预期使用范围。

2)预期功能安全活动概述和组织

b)关于预期功能安全活动的工作流程和使用本标准的指南；

c)关于预期功能安全活动管理和支持过程管理的指南。

3)规范定义和设计

a)规范定义和设计应包含充分的信息以开展SOTIF相关活动；

b)在SOTIF相关活动的每次迭代后，应根据要求对规范定义和设计进行更新。

4)危害的识别和评估

a)应系统地识别整车层面定义的预期功能所导致的危害。

b)应系统地识别和评估由预期功能的危害行为导致的风险，及危害行为可能导致危害

的相应场景。应定义预期功能的行为被视为不安全的情况下的参数。

c)应定义残余风险的接受准则。

5)潜在功能不足和潜在触发条件的识别与评估

a)应识别出潜在规范定义不足、潜在性能局限和包括合理可预见的直接误用在内的潜

在触发条件，并确定导致危害行为的来源。

3

《道路车辆预期功能安全》（征求意见稿）编制说明

b)应对系统的响应进行SOTIF可接受性评估。

6)修改功能以解决SOTIF相关风险

a)应确定并实施解决SOTIF相关风险的措施；

b)应更新“规范定义和设计”的输入信息。

7)定义验证和确认策略

a）应定义SOTIF的验证和确认策略，包括确认目标，并应考虑：

1）对潜在危害场景的必要的评估；

2）对相关场景空间的充分覆盖；

3）必要的证据（例如，分析结果、测试报告、专门调查）；

4）生成证据的过程。

b）应提供所选验证和确认方法和确认目标的适用性理由。

8)已知场景的评估

a)对已识别出的潜在危害场景应评估其是否具有危害性；

b)对于已知危害场景和合理可预见的误用，系统及其要素的功能表现应符合其定义

的方式；

c)对于由已定义的整车层面行为导致的潜在危害行为，应评估其可接受度；

d)根据验证和确认策略，已知场景应被充分覆盖；及

e)验证结果应证明确认目标得到了满足；

9)未知场景的评估

确认结果应证明来自未知危害场景的残余风险满足接受准则并具有足够的置信度。

10)SOTIF成果的评估

a）应对SOTIF活动产生的工作成果的完整性、正确性和一致性进行评审。

b)应根据本标准各章的目的及相应工作成果的完成情况，为SOTIF的实现情况提供论

证；及

c）应对SOTIF的成果的论证进行评估，并提出批准或拒绝SOTIF发布的建议。

11)运行阶段的活动

1)应在发布之前定义现场监控流程，以确保运行期间的SOTIF；及

2)应执行现场监控流程，以保持运行阶段的预期功能安全的实现。

12)附录A给出了预期功能安全的通用指南

13)附录B给出了场景和系统分析指南

4

《道路车辆预期功能安全》（征求意见稿）编制说明

14)附录C给出了验证和确认策略目的

15)附录D给出了关于SOTIF特定方面的指南

D.1驾驶策略规范指导

D.2对机器学习的建议

D.3地图预期功能安全的考虑

D.4V2X功能安全的考虑

D.5感知系统性能目标量化与常见传感器性能局限举例

D.6OTA更新的SOTIF考虑

16)附录E风险接受准则示例。

三、主要试验（或验证）情况分析

本标准的技术内容在分析ISO21448FDIS、GB/T34590-XXXX等标准实际应用的基础

上，根据我国汽车行业的特点和实际情况，制定本文件。为了做好此项工作，道路车辆功

能安全标准研究制定工作组广泛地收集了国内、外有关标准及资料，调研国内外整车和系

统零部件企业、软硬件企业以及通过开展起草组会议、工作组会议、研讨交流的形式吸取

有益建议和意见，逐步完善标准草案。

四、标准中涉及专利的情况

本标准内容不涉及相关专利。

五、预期达到的社会效益等情况

针对依靠复杂传感器和处理算法进行态势感知且感知的正确性会对安全产生重要影响

的预期功能，特别是紧急干预系统的功能和驾驶自动化等级为L1-L5的系统的相关功能。

本标准提供了用于确保预期功能安全（SOTIF）的措施的通用论证框架和指南。为实现和保

持SOTIF所需的相关设计、验证和确认措施以及在运行阶段的活动提供指导。对于解决和提

升自动驾驶车辆的安全性具有重要意义。

六、采用国际标准和国外先进标准的情况

无。

七、与现行相关法律、法规、规章及相关标准的协调性

无。

八、重大分歧意见的处理经过和依据

无。

九、标准性质的建议说明

本标准为推荐性国家标准。

十、贯彻标准的要求和措施建议

5

《道路车辆预期功能安全》（征求意见稿）编制说明

无。

十一、废止现行相关标准的建议

无。

十二、其他应予说明的事项

无。

6

《道路车辆预期功能安全》（征求意见稿）编制说明

目次

一、工作简况.........................................................................................................................1

二、国家标准编制原则和国家标准主要内容.....................................................................1

三、主要试验（或验证）情况分析.....................................................................................2

四、标准中涉及专利的情况.................................................................................................5

五、预期达到的社会效益等情况.........................................................................................5

六、采用国际标准和国外先进标准的情况.........................................................................5

七、与现行相关法律、法规、规章及相关标准的协调性.................................................5

八、重大分歧意见的处理经过和依据.................................................................................5

九、标准性质的建议说明.....................................................................................................5

十、贯彻标准的要求和措施建议...................................