自动驾驶技术投入巨大却迟迟未能落地，核心瓶颈在于缺乏可证明的安全性。本文深入剖析了这一问题，并基于系统工程原则，提出了一套适应不同自动化等级（L0-L5）的AI系统安全生命周期模型，为解决高级别自动驾驶的安全论证难题提供了全新的方法论框架。
智能速览
安全性是自动驾驶商业化的最大障碍
现有敏捷开发模式难以满足安全档案的构建需求
L4-L5级自动驾驶需要应对行为复杂性和接管能力等新挑战
功能安全、预期功能安全和网络安全构成自动驾驶的三大安全支柱
应用面向模型的系统工程（MBSE）是构建有效安全档案的关键
提出的生命周期模型可根据自动化级别动态调整安全流程
精华内容
如何为日益复杂的自动驾驶系统构建一个可信的安全保障体系？答案或许就藏在将系统工程方法与安全生命周期管理的深度融合之中。
安全困境之源
近年来，多家知名自动驾驶公司宣布缩减或关闭业务，尽管过去十年吸引了数百亿美元投资，但至今仍未有一款具备商业可行性且安全可信的自动驾驶汽车问世。根本原因在于开发方法的缺陷。当前主流的敏捷开发方法大多缺乏清晰的流程描述，导致无法创建完整的系统描述，这使得进行结构化的安全分析和构建有力的安全论证成为不可能，最终阻碍了系统的商业化落地。
安全维度的演变
随着自动驾驶级别的提升，安全责任的主体发生了根本性转变。在L0-L2级别，人类驾驶员承担主要安全责任，系统仅在紧急情况下辅助干预。但从L3级别开始，尤其是在L4-L5级别，自动驾驶系统需在任何条件下保证安全，责任完全转移到系统。这带来了新的挑战，如行为复杂性（需分析的场景呈指数级增长）、接管请求的评估，以及机器学习组件的非确定性行为，这些都要求采用全新的安全验证方法。
系统工程的解法
为解决上述难题，文章提出将系统工程和生命周期管理原则应用于自动驾驶系统的创建。现有标准如ISO 26262（功能安全）主要针对L0-L2级别，而ISO 21448（预期功能安全）虽适用于所有级别，但对L3-L4的描述仍不完整。因此，核心思路是采用面向模型的系统工程（MBSE）方法，例如利用ARCADIA和Capella等工具，在操作分析、系统需求、逻辑架构等多个层级对系统进行建模，从而精确地定义、分解和验证安全需求。
模型驱动的验证
通过MBSE方法，可以在虚拟环境中构建和分析海量的道路场景，包括已知和未知的边缘场景。这为安全档案提供了基于统计估计的验证基础，以证明系统在运行设计域（ODD）内的安全性。对于基于神经网络的机器视觉等“黑盒”组件，这种大规模的虚拟测试是验证其鲁棒性的关键途径，能够有效支持对复杂系统安全性的置信度评估，为最终获得社会信任和上路许可提供科学依据。
通过构建一个与自动化等级相匹配的安全生命周期模型，为高度自动驾驶的安全保障指明了方向。未来，随着模型驱动方法的成熟，我们距离真正可信赖的无人驾驶或许更近了一步，但这仍需全行业在标准与实践上的持续努力。
