預期功能安全

SOTIF，全稱為「預期功能安全」(Safety of the Intended Functionality)，是國際標準 ISO 21448 的核心概念。它專門處理在沒有系統性故障或隨機硬體故障的情況下，因預期功能本身（例如感測器性能限制、演算法決策不當或人機互動設計不良）在特定操作場景下可能引發的危害。SOTIF 補充了功能安全 (ISO 26262) 的不足。ISO 26262 關注因電子電氣系統故障導致的危害，而 SOTIF 則關注系統「依設計運行」卻仍可能不安全的情況。例如，攝影機在暴雨中無法準確辨識行人，這並非攝影機故障，而是其性能限制，這就是 SOTIF 的範疇。在汽車風險管理體系中，SOTIF 與功能安全、網路安全 (ISO/SAE 21434) 共同構成了保障現代汽車安全的三大支柱，缺一不可。

企業應用 SOTIF 的流程主要分為三步驟。第一步是「場景識別與危害分析」，系統性地識別所有可能觸發不安全行為的操作場景（如惡劣天氣、複雜路口），並根據 ISO 21448 進行危害分析與風險評估。第二步是「功能修改與驗證策略」，針對高風險場景修改功能設計或增加安全機制（如提升感測器融合演算法），並制定包含模擬、封閉場地及實際道路測試的綜合驗證計畫。第三步是「發布後監控」，建立數據回傳機制，持續監控 SOTIF 相關事件，將真實世界數據反饋至開發流程。例如，某歐洲一級供應商透過此流程，發現其 AEB 系統在隧道出口有誤觸發風險，經優化演算法後，誤觸發率降低了 15%，並順利通過 Euro NCAP 測試，提升了產品競爭力。

台灣企業導入 SOTIF 面臨三大挑戰。首先是「測試場景數據匱乏」，台灣獨特的混合車流（大量機車）與道路環境，缺乏標準化場景數據庫，難以進行全面驗證。其次是「跨領域人才整合困難」，SOTIF 需整合系統工程、AI 演算法與人因工程等多領域專家，企業常面臨人才斷層或部門壁壘。最後是「開發週期與成本壓力」，完整的 SOTIF 流程耗時且成本高昂，對中小企業構成壓力。克服之道為：與政府測試場域（如 ARTC）及學術單位合作，建構在地化測試案例資料庫；成立跨部門工作小組並尋求外部專家培訓，快速建立內部能量；在開發初期導入模型基礎系統工程 (MBSE) 工具，降低後期修改成本。優先行動是成立工作小組並接受專業培訓（預計3個月），同步收集在地化測試場景（預計6個月）。