安全預期功能 (SOTIF)

SOTIF（Safety of the Intended Functionality，安全預期功能）是補充功能安全（ISO 26262）的重要概念。ISO 26262主要處理電子系統故障導致的危害，但SOTIF專注於處理在「沒有系統故障」的情況下，因功能本身規格不完整、性能限制或可預見的人為誤用所引發的風險。例如，自動緊急煞車系統（AEB）的攝影機在暴雨中因性能限制而未能識別行人，這便屬於SOTIF範疇。其核心國際標準為 ISO 21448:2022 "Road vehicles — Safety of the intended functionality"。在汽車風險管理體系中，SOTIF與功能安全（ISO 26262）及網路安全（ISO/SAE 21434）並列為三大支柱，共同確保先進駕駛輔助系統（ADAS）與自動駕駛系統的整體安全性，是現代汽車開發不可或缺的一環。

企業導入SOTIF的實務應用遵循ISO 21448的流程框架，主要包含三個步驟： 1. **場景識別與危害分析**：系統性地識別所有可能觸發不安全行為的操作場景，包含已知的安全場景、已知的危險場景與未知的危險場景。例如，分析自動輔助駕駛系統在隧道出口遭遇強光、或在夜間雨天道路標線不清時的潛在危害。 2. **風險評估與功能修改**：針對識別出的每個危險場景進行風險評估，若風險等級超出可接受範圍，則必須進行功能設計修改、提升感測器規格或增加駕駛員警示機制。例如，為應對惡劣天氣，可增加雷達感測器與攝影機進行數據融合，以提高目標偵測的穩健性。 3. **驗證與確認**：透過大量的模擬測試（Simulation）、封閉場域測試及實際道路測試，來驗證修改後的系統是否已將風險降低至可接受水平。一家歐洲一級供應商導入此流程後，其ADAS產品的場景驗證覆蓋率提升了40%，並成功通過車廠的SOTIF審核，確保了產品的市場准入資格。

台灣企業導入SOTIF主要面臨三大挑戰： 1. **缺乏本地化場景資料庫**：台灣獨特的混合車流（如大量機車穿梭）與複雜路況，在國際標準的通用場景庫中涵蓋不足，導致驗證的完整性受到挑戰。對策是與法人研究單位（如ARTC）合作，利用其測試場域與數據，並優先建構基於模擬的虛擬測試平台，以低成本方式擴大測試覆蓋率，預計6個月內可建立初步驗證能力。 2. **跨領域專業人才整合困難**：SOTIF要求整合系統工程、AI演算法、人因工程與安全分析等多領域專家。對策是成立由高階主管支持的跨部門任務小組，並與外部顧問合作，導入成熟方法論與工具鏈，進行內部培訓以加速知識轉移。 3. **開發流程整合複雜**：將SOTIF分析活動無縫嵌入現有的V-Model或Agile開發流程，對專案管理與工具鏈是一大挑戰。解決方案是採用模型基礎系統工程（MBSE）工具，將SOTIF分析與系統設計模型連結，確保需求到驗證的追溯性，並優先在新專案中試行，逐步推廣。