L3 Fusa Sotif — China Standard

L3 有条件自动驾驶系统 功能安全和预期功能安全技术要求

标准信息

| 属性 | 值 | |------|-----| | 标准编号 | 待定（GB/T） | | 名称 | 智能网联汽车 有条件自动驾驶系统 功能安全和预期功能安全技术要求 | | 状态 | 工作组草案（2025.01.18 正式版） | | 推荐等级 | P2-推荐入选 | | 特殊价值 | 中国独有标准，全球首个将FuSa+SOTIF联合要求系统化的标准 | | 总页数 | 132页 |

标准定位

L3 FuSa+SOTIF联合标准的独特性
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
国际标准现状:
  ISO 26262 (FuSa) ← 独立标准
  ISO 21448 (SOTIF) ← 独立标准
  → 两者如何在L3系统中协同？缺少指导

中国创新:
  本标准首次将FuSa+SOTIF联合要求系统化
  ├── 统一的安全目标体系
  ├── 联合的风险分析方法
  ├── 集成的V模型开发流程
  └── 综合的安全论证框架

引用基础标准:
  GB/T 34590-2022 (功能安全)
  GB/T 43267-2023 (预期功能安全)
  GB/T 40429-2021 (驾驶自动化分级)
  GB/T 44721-2024 (自动驾驶系统通用技术要求)
  ISO PAS 8800 (AI安全)
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

标准结构（9章+6附录，132页）

标准目录结构
├── 第1章 范围
├── 第2章 规范性引用文件
├── 第3章 术语和定义
│   ├── 安全度量指标 (Safety Metric)
│   ├── SOFIL (Safety of Functionality Integrity Level)
│   ├── 主控权 (Override)
│   ├── 影子模式 (Shadow Mode)
│   └── 回退策略 (Regression Strategy)
├── 第4章 通用要求
│   ├── 4.1 概述
│   ├── 4.2 L3功能安全和SOTIF集成要求
│   ├── 4.3 分布式开发管理
│   └── V模型集成框架
├── 第5章 系统规范定义
│   ├── 5.1 功能规范
│   ├── 5.2 运行设计条件 (ODC)
│   ├── 5.3 系统架构
│   ├── 5.4 外部交互
│   └── 5.5 安全策略
├── 第6章 安全目标与接受准则
│   ├── 6.1 车辆级危害清单（11项，含ASIL等级）
│   ├── 6.2 残余风险接受准则
│   └── 6.3 SOFIL等级要求
├── 第7章 风险场景与安全要求
│   ├── 7.1 高速/快速路危险场景（10类）
│   ├── 7.2 城市道路危险场景（10类）
│   ├── 7.3 误用预防
│   ├── 7.4 驾驶员可控性
│   ├── 7.5 功能安全分析要求
│   └── 7.6 MRM安全要求
├── 第8章 测试验证要求
├── 第9章 运行与维护
└── 附录A-F

核心技术内容

车辆级危害清单与ASIL等级

Table 2: L3系统车辆级危害清单（摘要）
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
危害编号  描述                        ASIL
H-01     非预期横向运动              ASIL D
H-02     丧失减速能力                ASIL D
H-03     非预期加速                  ASIL D
H-04     非预期减速                  ASIL C
H-05     非预期激活                  ASIL B
H-06     丧失MRM能力                 ASIL B
H-07     视野丧失                    ASIL A
H-08     误报接管请求                ASIL A
H-09     驾驶员状态误判              ASIL B
H-10     通信安全失效                ASIL B
H-11     数据记录失效                ASIL A
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

残余风险接受准则

残余风险接受准则
├── 碰撞频率：不超过 10⁻⁴/小时
├── SOFIL等级：最低 4E 级
├── 与人类驾驶员安全水平对比
│   ├── 不低于合格谨慎驾驶员水平
│   └── 基于自然驾驶数据的统计论证
└── 持续安全监控义务

高速/快速路危险场景（10类）

Table 3: 高速/快速路关键安全场景
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
1. 前方车辆急制动
2. 前方车辆切出暴露静止障碍物
3. 侧方车辆切入
4. 前方慢速车辆逼近
5. 隧道出入口光照突变
6. 施工区域车道变化
7. 雨雪雾等恶劣天气
8. 传感器性能退化
9. 匝道合流/分流
10. 收费站区域
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

城市道路危险场景（10类）

Table 4: 城市道路关键安全场景
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
1. 行人横穿（含闯红灯）
2. 非机动车突然切入
3. 交叉路口冲突
4. 路侧停放车辆遮挡
5. 公交车站行人出入
6. 学校/医院区域
7. 施工围挡/临时占道
8. 信号灯识别错误/遮挡
9. 逆光/暗光视觉受限
10. GPS信号遮挡/多径
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

MRM（最小风险操作）安全要求

MRM安全要求
├── 触发条件
│   ├── 系统故障检测
│   ├── ODD退出检测
│   ├── 驾驶员持续无响应
│   └── 传感器严重退化
├── 执行要求
│   ├── MRM启动延迟 < 500ms
│   ├── 减速度限制（舒适性兼顾）
│   ├── 优先选择安全停车位置
│   └── 全程保持碰撞避免
├── 安全停车
│   ├── 开启双闪警示
│   ├── 驻车制动激活
│   ├── 解锁车门
│   └── 触发eCall（如严重情况）
└── 验证要求
    ├── 仿真测试覆盖所有MRM场景
    ├── 场地测试验证物理执行
    └── 道路测试验证真实工况

相关技能

• skills/china-standards/functional-safety/ — GB/T 34590 功能安全
• skills/china-standards/sotif/ — SOTIF标准集
• skills/china-standards/ads-safety/ — ADS强制安全要求
• skills/china-standards/ai-safety/ — AI安全标准