工业界有两种验证自动驾驶车辆安全的方法论。
一种是：大家比较熟悉的ISO26262功能安全（FuSa），这种方法论旨在预防由汽车电子电气系统产生故障导致的意外风险隐患。
另一种是：ISO21448 预期功能安全（SOTIF），这种方法论旨在解决自动驾驶系统本身由于算法或者传感器（摄像头、激光雷达等）本身缺陷导致致命伤害事故的问题。这也是今天分享的重点。
从开发流程上来说，无论是 FuSa 还是 SOTIF，都要经历从需求定义到软硬件开发再到系统验证的过程，但相对来说，SOTIF 需要解决的问题难度更大。
就像长尾理论一样，容易造成事故的场景基本上出现在长尾的尾部，因此，我们很难预测这些问题将会在什么时候发生，而 SOTIF 就旨在去发现这些罕见的场景。
也就是说，SOTIF 可以发挥指导性的意义，把这种潜在的风险进行量化评估，从而评估车辆抵御风险的能力。
我们可以看一下这张图：
我们将所有场景分为4个区域，包括已知的安全场景、已知的不安全场景、未知的不安全场景以及未知的安全场景。
前面两个场景相对好理解，已知的不安全场景可以通过对 ODD 进行分析来解决相关的风险。由于最后一个场景的安全的场景，因此我们对它的关注度也不是很大。
最需要关注的是区域3，即未知的不安全场景，由于该场景中存在着巨大的风险，如果我们对其一直处于无法悉知的状态，我们就无法评估其中的风险会对无人驾驶带来多大的影响。
所以，在SOTIF 的开发流程中，针对已知的安全场景，我们可以通过概念定义阶段来对这些场景进行足够多的分析；针对已知的不安全场景，我们在验证阶段会去构建一些不安全的场景，然后对这些场景进行验证，确保无人驾驶算法可以安全地解决这些问题；对于为安全的未知安全场景，我们需要一些辅助的手段来帮助我们发现场景，了解场景。
也就是说，我们的最终目标就是把未知的不安全场景逐渐转化成已知的不安全场景，甚至是转化成已知的安全场景。
不过，从客观上来讲，未知的不安全场景肯定不会完全消失，但它最终会小到我们足以保证无人驾驶算法出现安全事故的概率会比真人驾驶要更小，也就是说，我们可以证明无人驾驶比真人驾驶要更安全。
