2019年9月25～26日，“第七届道路车辆功能安全标准及应用国际研讨会（2019）”在上饶成功召开。本次会议由全国汽车标准化技术委员会（SAC/TC114）主办，中国汽车技术研究中心有限公司汽车标准化研究所承办。会议得到了上饶市人民政府、国家级上饶经济技术开发区、汉腾汽车有限公司的大力协助。来自国内外整车企业、零部件企业、检测机构、认证机构、科研院所等共140多家企业300余位代表参会。中国汽车技术研究中心有限公司党委副书记高和生、上饶市人民政府副市长王万征出席会议并致辞。

本届研讨会的主题是“功能安全和预期功能安全（SOTIF）助推自动驾驶”，共邀请28位来自国际标准化组织（ISO）、美国汽车工程学会（SAE）、德国汽车工程协会（VDA）等国际机构、全球知名整车和零部件企业的演讲嘉宾，从功能安全和预期功能安全（SOTIF）技术和标准的角度进行研讨。

会议分为主会场和分会场：

主会场：功能安全国际、国内标准和法规动态；

分会场1：自动驾驶功能安全及预期功能安全SOTIF；

分会场2：新能源汽车功能安全及共性技术。

中汽中心党委副书记高和生致辞

中汽中心党委副书记高和生先生提到，功能安全（Functional Safety）和预期功能安全（SOTIF）技术作为自动驾驶汽车实现量产及安全运行的关键技术，已成为当前国际汽车产业界的共识。国际上正在积极开展相关标准、法规的研究和制定工作。我国政府主管部门也高度重视功能安全技术在行业的落地应用，出台了一系列国家层面的重要规划和政策文件，明确要求加快构建包括整车及关键系统、部件功能安全和信息安全在内的智能网联汽车标准体系。为在行业切实有效实施功能安全和预期功能安全（SOTIF）技术，汽标委组织制定了我国在功能安全技术和标准领域的中长期规划（2016-2025），并将持续推进相关工作。他并预祝本次研讨会可以发挥好国际交流的平台作用，进一步推动技术和产业发展。

上饶市人民政府副市长王万征致辞

上饶市人民政府副市长王万征先生对上饶市在汽车产业的整体布局，以及未来规划进行了介绍。他提到上饶市政府、上饶市经济技术开发区将以积极、开放的态度，大力扶持上饶市的传统汽车、新能源汽车、智能网联汽车研发、制造、试验、测试，促进产业发展。

中汽中心标准所所长冯屹主持

本次会议由中国汽车技术研究中心有限公司标准化研究所所长冯屹先生主持，并邀请了多位企业高管、专家担任嘉宾主持。以下是各演讲议题介绍：

中汽中心标准所 李波

来自全国汽车标准化技术委员会（SAC/TC114）秘书处的李波博士围绕以下方面进行了介绍：

1. 国内外功能安全技术、标准、法规情况。国际标准化组织ISO/TC22/SC32/WG8功能安全工作组进展（ISO26262、ISO21448预期功能安全）、联合国欧洲经济委员会（UNECE）-世界车辆法规协调论坛（WP.29）-自动驾驶工作组（GRVA）下设非正式工作组FRAV和VMAD法规进展、中国道路车辆功能安全标准化工作进展、中国参与预期功能安全国际标准ISO 21448及中国提案情况、美国SAE功能安全委员会工作进展等内容。

2. 中国功能安全技术和标准领域的中长期规划（2016-2025）。功能安全的国内工作以“功能安全技术和标准领域的中长期规划（2016-2025）”为抓手，依托国家标准GB/T34590《道路车辆 功能安全》和《道路车辆 预期功能安全（SOTIF）》为指导和研究主线，开展传统汽车、新能源汽车、自动驾驶汽车整车和各关键电控系统功能安全、预期功能安全（SOTIF）技术和标准研究，涵盖标准配套的可操作性文件、关键电控系统功能安全基础数据、功能安全共性关键技术、功能安全测试评价、流程评估等研究内容。

3. 功能安全和预期功能安全（SOTIF）正向开发和测试评价。联合行业骨干企业，落实工信部于2016年下达的《整车及关键电控系统功能安全ASIL等级及测试评价规范研究》（工装函[2016]190）任务，支撑传统汽车、新能源汽车、自动驾驶汽车整车和电控系统的功能安全和预期功能安全（SOTIF）正向开发和测试评价工作。

该项工作的目标是：建立整车层面可量化、可实施、可评价的最高层面安全准则，即整车层面的安全性能目标（Vehicle level performance targets）、可量化的参数指标（Measurable parameters）、人机交互度量参数（HMI metrics），以指导功能安全和预期功能安全（SOTIF）的正向设计开发、测试评价：

1)  车辆侧向运动控制功能的最高层面安全准则。目标是指导电动助力转向EPS、后轮转向ARS、车道保持LKA、自动泊车APA、车辆稳定性控制ESC、ADAS等功能安全和预期功能安全（SOTIF）的正向设计开发、测试评价。目前已成立专项小组并开展了6次Demo测试，初步形成了测试方法、数据分析方法、目标度量参数、HMI参数，大规模试验今年10月份启动。

2)  车辆纵向运动控制功能的最高层面安全准则。目标是指导制动ABS、辅助制动AEBS、车辆稳定性控制ESC、动力PT、传动TCU、ADAS等功能安全和预期功能安全（SOTIF）的正向设计开发、测试评价。年内组建专项小组，讨论试验方案、数据分析方法、目标度量参数、HMI参数等。

4. 功能安全和预期功能安全（SOTIF）的技术评估和流程审核。开展国家标准GB/T《道路车辆 功能安全审核及评估方法》预研，为功能安全相关已发布标准和在研标准的落地实施提供支持，同时依托该标准开展国内功能安全技术评估人员、流程审核人员能力建设。

ISO/TC22/SC32主席 Susumu AKIYAMA

ISO/TC22/SC32（国际标准化组织/道路车辆技术委员会/电子电气分技术委员会）主席 Susumu AKIYAMA先生介绍了国际标准化组织ISO/TC22（道路车辆技术委员会）和TC204（智能交通技术委员会）目前正在开展的自动驾驶相关标准的制定进展情况，他提到功能安全和预期功能安全与自动驾驶车辆安全密切相关，也是国际上讨论和研究的热点。ISO/TC22（道路车辆技术委员会）和TC204（智能交通技术委员会）成立了自动驾驶标准化特别小组，联合开展相关标准制定工作。目前ISO 26262第二版已于2018年底发布，SO/TC22/SC32/WG8功能安全工作组正在积极开展ISO 21448《道路车辆 预期功能安全》标准制定工作，预计2022年初发布。ISO 26262、ISO 21448与其它标准如ISO 21434、ISO 24089（Software update process，软件升级）等都有一定接口和交互，后续将协调推进。

美国SAE功能安全委员会主席 Dave Hartfelder

美国SAE功能安全委员会主席Dave Hartfelder先生介绍了SAE正在开展的STPA标准研究进展情况。系统理论危害分析方法（STPA）作为广泛应用在航空航天、铁路等行业的方法论，目前已逐步应用在汽车特别是自动驾驶领域。STPA从控制的角度而不是可靠性的角度，将系统失效作为控制问题来处理。SAE目前正在开展制定SAE J3187《Applying System Theoretic Process Analysis (STPA) to Automotive Applications》标准，联合来自全球30多家企业和组织的50余名专家，分成3个小组，即Group 1：STPA基本方法、应用案例；Group 2：SOTIF 和STPA、 人机交互（HMI）和STPA、基于模型的系统工程（MBSE）和STPA；Group 3：STPA自动驾驶高等级应用和安全评估方法；示例：航空、汽车、HMI、MBSE、SOTIF；术语。预计2021年初发布。

德国汽车工业协会（VDA）功能安全委员会主席 Matthias Maihöfer

德国汽车工业协会（VDA）功能安全委员会主席 Matthias Maihöfer先生介绍了ISO 26262标准、SEOOC（独立于环境的安全要素）方法在供应链中的应用经验。以BMS、EPS等系统为例，介绍了如何开展危害分析和风险评估（HARA），并提出由于考虑到不同车型、不同目标市场等因素，分析得出的ASIL等级不同。

中汽中心工程院副院长 戎辉	中汽中心工程院 李艳文

中汽中心工程院副院长戎辉发布了“中国汽车功能安全测试库”的工作成果，重点介绍了测试库搭建目的及定位，现场展示了测试库的成果，就测试库未来的规划进行了介绍并邀请国内外各相关企业共同参与完善测试库内容。中汽中心工程院李艳文博士介绍了测试库包含的整车级、系统级以及软硬件级的三层级测试子库。其中整车级测试子库已经覆盖部分新能源、智能网联汽车；系统级测试子库已覆盖BMS、EPS、ADAS等关键电子电控系统；软硬件级测试子库已经覆盖英飞凌TC39x系列、TI的TDAx系列、NXP的MPC57x等主芯片。

通用汽车公司 Dave Hartfelder

通用汽车公司系统安全主管Dave Hartfelder先生提出，SOTIF对于高等级自动驾驶系统至关重要，其中STPA方法是一种有效的安全分析方法。结合示例介绍了如何应用STPA方法进行SOTIF安全分析，以及如何为OEDR构建可测试场景。

汉腾汽车有限公司 阎全忠

汉腾汽车有限公司副总裁阎全忠博士介绍了功能安全标准在新能源汽车技术和自动驾驶领域的应用，从整车企业的角度介绍了新能源汽车的电池包和高压安全的挑战、自动驾驶系统复杂性和安全性的要求，以及功能安全在面临这些挑战中如何发挥重要的作用。

MSC软件 Edward Schwalb

MSC软件的Edward Schwalb先生介绍了SOTIF分析方法，以及如何根据SOTIF分析中已知场景、未知场景的构建进行验证和确认。需通过完善的危害识别、可追溯的工作流程、以及实车测试和模拟仿真等手段，提升AI的可信度。

Panel discussion自由讨论环节

开放讨论环节由中汽中心标准所李波博士主持，并邀请了电装公司Susumu AKIYAMA、通用汽车公司Dave Hartfelder、舍弗勒集团Matthias Maihöfer、汉腾汽车有限公司阎全忠共4位嘉宾，就“预期功能安全SOTIF技术如何有效落地、预期功能安全SOTIF和功能安全Functional Safety技术的未来发展及交互、二者能否接管自动驾驶？或还存在哪些不足？”等热点话题进行了自由讨论和观众提问。

“分会场1：自动驾驶功能安全及预期功能安全SOTI”由广汽研究院郭继舜和汉腾汽车有限公司阎全忠分别主持，以下是各演讲议题介绍：

分会场1 - 嘉宾主持

广汽研究院郭继舜博士首先进行演讲，介绍了自动驾驶量产功能安全及系统设计。他提出广汽目前高度重视功能安全标准，特别是在自动驾驶研发领域，如传感器、AI芯片、控制器ECU、执行器的开发。运用功能安全和预期功能安全进行开发设计，是实现自动驾驶汽车量产的必要保证。

英飞凌集成电路（北京）有限公司 张祥

英飞凌集成电路（北京）有限公司张祥博士介绍了电动助力转向系统（EPS）失效运行（Fail Operational）设计方案。包括转向系统的发展趋势、EPS失效运行的设计架构，并介绍了英飞凌在EPS失效运行设计方面的解决方案。

UL公司 Bill Taylor

KVA联合创始人Bill Taylor先生介绍了如何综合考量ISO 26262，ISO/PAS 21448和UL 4600的安全要求。UL 4600作为自动驾驶车辆安全和评估标准，他介绍了UL 4600如何与ISO 26262、ISO/PAS 21448共同实施的经验分享。

dSPACE公司 Andreas Gau

dSPACE公司的Andreas Gau先生介绍了符合ISO 26262和SOTIF的安全确认方法，重点讲解了模拟仿真和硬件在环测试在SOTIF确认方面的应用，以及和真实测试之间的联系等内容。

博世汽车部件（苏州）有限公司 曲元宁

博世汽车部件（苏州）有限公司曲元宁介绍了博世公司在ADAS、AD系统开发中如何应用SOTIF标准，以及误用、功能局限的SOTIF分析方法，从零部件供应商的角度给出了SOTIF如何落地的建议。

奥迪汽车公司 Stefan Greiner

奥迪汽车公司的Stefan Greiner先生介绍了奥迪公司的功能安全组织架构，并重点介绍了在完成功能安全发布之前如何开展整车层面的功能安全测试，包括驾驶策略、传感器精度等考虑因素。

泛亚汽车技术中心有限公司 尚世亮

泛亚汽车技术中心有限公司尚世亮先生介绍了基于SOTIF信心度研究的STPA分析。该研究项目来源于全国汽车标准化技术委员会公益性开放课题-《功能安全系统理论危害分析方法（STPA）研究》，泛亚作为课题主要承担单位，介绍了项目研究背景，提出了智能驾驶SOTIF信心度的概念，以及基于信心度研究的STPA分析示例。

AVL公司 Christian Miedl

AVL公司的Christian Miedl先生介绍了如何通过使用框架方法和人工智能提高功能安全实施效率。提出了传统的功能安全开发方法可能效率不够高，清晰的架构定义对于提高开发效率是关键因素，可通过建模仿真的方式实现。

长城汽车股份有限公司 Stanislav Lincer

长城汽车股份有限公司的Stanislav Lincer先生介绍了驾驶辅助系统安全的量化评价方法，他认为ISO 26262第一版主要考虑如何避免失效，ISO 26262第二版提出了失效运行的概念，但是未提出量化的评价方法。在安全概念中，某些情况下应考虑失效运行的情况。并重点介绍了随机硬件失效概率度量等量化指标在失效安全和失效运行的不同考虑因素。

法雷奥汽车内部控制（深圳）有限公司 刘辉

法雷奥汽车内部控制（深圳）有限公司刘辉先生介绍了ISO 21448（SOTIF）开发中如何处理误用（misuse）实践经验，对误用的来源、识别方法及应对措施进行了介绍，并结合实例解释了误用对功能安全开发和预期功能安全开发的影响。

“分会场2：新能源汽车功能安全及共性技术”由泛亚汽车技术中心有限公司童菲和舍弗勒贸易（上海）有限公司薛剑波分别主持，以下是各演讲议题介绍：

分会场2 - 嘉宾主持	吉利汽车研究院（宁波）有限公司 李刚

广汽吉利汽车研究院（宁波）有限公司的李刚先生介绍了新能源域功能安全开发的挑战，从新能源整车功能安全角度出发提出了需要面对的挑战，如失效安全和失效运行概念、电池包安全边界、如何开展安全分析、数据积累和测试、人员能力的培养等。

宁德时代新能源科技股份有限公司 赵金富

宁德时代新能源科技股份有限公司的赵金富先生介绍了电池系统设计中安全性与可用性间的均衡。从电池系统供应商的角度出发，提出了在电池产品开发中如何平衡安全性和可用性，并以热失控安全阈值的设定为例，给出了安全性和可用性如何综合考量的说明。

汉腾汽车有限公司 王长江

汉腾汽车有限公司王长江博士介绍了增程式汽车APU功能安全开发。他认为增程式汽车在国内有一定的市场前景，其中APU系统的功能安全设计尤为关键，并给出了APU系统的相关项定义、危害分析和风险评估、功能安全概念的示例。

苏州汇川联合动力系统有限公司 余建业

苏州汇川联合动力系统有限公司余建业先生介绍了如何用有限的资源做实用且有效的功能安全。他以自身企业导入功能安全的实际经验和体会，介绍了如何构建功能安全组织架构、完善功能安全流程体系以及如何实现功能安全设计开发。

中汽中心试验所 王斌

中汽中心试验所王斌博士介绍了基于X—HIL的新能源电驱动系统功能安全测试验证。目前中汽中心试验所拥有动力电池、燃料电池、电驱动和充电等4大测试平台，具备新能源整车、系统、总成全面的测试能力。在电驱动系统功能安全测试方面，已搭建了信号级、功率级硬件在环HIL测试台架。并结合实际的测试用例，给出了MCU系统功能安全验证测试的测试方法介绍。

Validas公司 Oscar Slotosch

Validas公司联合创始人Oscar Slotosch先生介绍了软件工具的鉴定和管理。软件工具对于提高功能安全开发效率和减少人力成本都有很大帮助，如何对这些软件工具进行鉴定，使其满足功能安全标准中对应的要求，Oscar先生给出了经验分享，介绍了软件工具鉴定的流程和注意事项、软件置信度水平等内容。

德州仪器半导体技术（上海）有限公司 姚志成

德州仪器半导体技术（上海）有限公司的姚志成先生介绍了EV/HEV功能安全解决方案。TI作为半导体供应商，在行业具有丰富的半导体产品开发经验和庞大的客户群体。姚志成先生重点介绍了满足ASIL-D等级要求的BQ79606A-Q1芯片的性能、应用场景，并结合实例进行了详细说明。

瑞萨电子 Takashi Yasumasu

瑞萨电子的Takashi Yasumasu先生介绍了ISO26262第2版Part11（半导体）关键内容带来的挑战及与其它部分的关系。ISO 26262第2版已正式发布，与第一版相比，增加了Part 11半导体部分。Takashi Yasumasu先生从半导体供应商的角度，解读了Part 11的重点内容，以及与Part5、Part8、Part9的联系。

采埃孚汽车科技（上海）有限公司 李欣然

采埃孚汽车科技（上海）有限公司的李欣然女士介绍了认可措施的相关内容，分别介绍了认可措施中认可评审、审核和评估的区别和联系，解读了ISO 26262第二版中关于认可措施的要求和变化，如独立性的要求等。并介绍了采埃孚公司如何实施认可措施的经验。

贝腾软件科技（上海）有限公司 刘春晓

贝腾软件科技（上海）有限公司的刘春晓先生介绍了BMS功能安全落地一站式最佳落地方法。他提到ASPICE流程作为QM的基础，对于构建企业标准流程有帮助作用。需求工程是保证项目成功的关键因素，而测试工程的自动化、采用优秀的工具链是实现需求的关键手段。

本届功能安全国际研讨会的成功召开，为各相关方共同探讨功能安全和预期功能安全（SOTIF）技术、标准、法规及汽车产业发展趋势等热点话题构建了国际化的沟通交流平台，为继续完善我国功能安全标准体系奠定了基础。汽标委将依托工作组制定的“中国功能安全技术和标准领域的中长期规划（2016-2025）”为抓手，以国家标准GB/T34590《道路车辆 功能安全》和《道路车辆 预期功能安全（SOTIF）》为指导和研究主线，深化功能安全技术和标准在国内落地实施，提升国内企业功能安全正向开发能力，推动汽车产业高质量发展。