ISO 21448:2022 預期功能安全（SOTIF）內部評估員培訓課程

ISO 21448 是道路車輛預期功能安全標準，處理功能規格不足或性能限制所造成的不合理風險。即使系統沒有發生故障，感知或判斷能力不足仍可能導致危險；這正是 SOTIF（Safety of the Intended Functionality）關注的問題。

本課程適合先進駕駛輔助系統（ADAS）、自動駕駛系統及相關感測器、軟體供應鏈的研發、安全、測試與品質人員。課程協助學員審查情境分析、測試證據與剩餘風險論證，支持企業內部設計審查及放行決策。

ISO 21448:2022 還是現行版本嗎？

截至本文更新日，2022 版仍是正式發布版本，第二版正在修訂。課程以 2022 版為主要依據，並追蹤新版進度，不將草案內容當成已正式發布的要求。

標準適用於依賴複雜感測器與處理演算法進行情境感知、且該能力攸關安全的功能，特別是緊急介入及第 1 至第 5 級駕駛自動化相關功能。它並非所有汽車零組件通用的產品認證標準。

SOTIF 與功能安全、車輛網路安全有何不同？

三者處理的風險來源不同，開發團隊應協同分析。下表以簡化情境說明，實際事件可能同時涉及多個領域。

SOTIF 亦涵蓋合理可預見的誤用，例如使用者對功能能力的合理可預見誤解。明顯違反預期用途的蓄意濫用，則不屬於同一範圍。

內部評估員要評估什麼，與內部稽核有何不同？

本課程所稱的內部評估員，是協助企業判讀 SOTIF 工程證據與安全論證的人員角色。重點是確認評估結論是否有足夠依據，並辨識仍待解決的安全問題。

ISO 21448 第 12 章涉及 SOTIF 達成情況的評估及放行建議，第 13 章涵蓋運行階段活動。內部評估因此不能只檢查文件是否齊全，還需判斷內容能否支持工程結論。

哪些人適合參加，需要具備哪些基礎？

適合參與功能定義、感知與決策設計、驗證確認或安全審查的人員。包括系統工程師、功能安全工程師、演算法與測試工程師，以及具有相關產品背景的品質及專案人員。

建議學員了解產品功能、基本風險分析與測試流程。只有一般 ISO 稽核經驗者，可先補足車用電子、功能安全及情境分析基礎，再進行工程證據評估。

供應商應依實際開發責任參與評估，清楚交付性能限制、使用假設及驗證資料。單一感測器或軟體模組的評估結論，仍須在整車或系統整合情境中確認。

課程會學到哪些 SOTIF 評估重點？

課程將標準架構連結到實際審查問題，練習辨識「有資料，但不足以支持結論」的情況。下列為建議課綱，會依產品及學員基礎調整。

如何確認功能邊界與使用條件？

評估首先要釐清功能打算在哪些條件下運作。對設有設計運行範圍（ODD）的系統，可檢查道路、環境及其他運行條件是否定義清楚；ODD 描述可參考 ISO 34503。

例如，功能宣稱可在特定天候使用，評估時就應追查相應測試與限制說明。規格、測試條件及使用者資訊彼此不一致時，應列為需要澄清的缺口。

如何從觸發條件設計評估案例？

課程可使用「逆光造成目標漏辨識」的模擬案例，讓學員追查感知限制、可能造成的危害、改善措施及測試結果，判斷證據能否支持功能宣稱。

情境變化可透過分析與模擬逐步探索，再依風險選擇需要補充的實體測試。相關情境工具亦可協助重現道路觀察到的關鍵情境，找出原先未考慮的限制。

如何判讀測試結果與剩餘風險？

建議練習同時檢查測試目的、情境代表性、判定準則、結果及未結問題。單看測試通過率或累積里程，無法充分說明哪些風險已被涵蓋。

對於無法完全消除的不確定性，評估報告應說明論證依據、適用限制及後續監控安排。不能將「尚未發現問題」直接寫成「不存在風險」。

課程如何安排，建議需要多少時間？

已有車用開發與安全基礎的團隊，可規劃三天、共 21 小時的內訓。以下為建議方案，並非 ISO 規定的統一資格時數。

課程以證據判讀與評估方法為主。完整建立情境資料庫、執行大量模擬或實車驗證，需依產品另行規劃專案及資源。

學員如何完成演練，能產出哪些成果？

建議使用同一組模擬專案資料完成評估，讓學員練習從功能宣稱追查支持證據。企業亦可提供經授權及去識別化的資料，客製化案例。

評量可結合知識測驗、案例討論與報告審查。企業正式指派評估任務前，仍應確認人員的技術專長、實務經驗與客觀性安排。

報名前，費用、資格與實施風險有哪些常見疑問？

課程費用如何計算？

依人數、時數、授課方式、語言及案例深度評估。建議先確認交付範圍，再比較培訓方案。

結業後就取得 ISO 認可的評估員資格嗎？

課程結業證明不等同第三方人員認證，也不是 ISO 頒發的評估員資格。如安排發證，應依約定的出席與評量條件辦理；客戶或特定方案的資格要求需另外確認。

沒有實車或模擬工具，可以上課嗎？

可以使用準備好的案例及測試紀錄進行評估演練。若目標包含自行建模、執行測試或建立企業驗證能力，則須另行配置工具、設備與專業人員。

已完成 ISO 26262，還需要 SOTIF 嗎？

應依功能特性判定。若風險涉及感知或判斷能力的限制，即使已有功能安全活動，仍須評估相關功能不足；兩者的工程成果可以協同使用，但不能直接互相取代。

要測試多少里程或情境，才能證明符合 SOTIF？

不能用單一固定數字回答。所需證據取決於功能、使用條件、風險及接受準則；評估應同時檢查情境代表性、測試方法的適用性與剩餘風險論證。

完成課程或內部評估，就能取得車輛型式認證嗎？

不能直接取得。ISO 21448 的工程評估與車輛法規核准屬於不同工作；例如適用 UN R157 的自動車道保持系統（ALKS），仍須依目標市場、功能及適用法規版本辦理核准。

還有哪些主題值得延伸閱讀？

可依團隊負責的設計或驗證工作，搭配以下主題：

ISO 26262 功能安全：理解故障風險與 SOTIF 活動之間的協作。

ISO/SAE 21434 車輛網路安全工程：掌握惡意威脅與安全設計的介面。

ISO 34503 設計運行範圍：建立可供開發與測試使用的 ODD 描述。

ISO 34502 情境式安全評估：依其適用範圍，深化自動駕駛系統的情境評估方法。

下一步如何執行，ODI MORGAN 能提供哪些服務？

先提供產品功能、使用條件、供應鏈角色、開發階段與參訓人員背景。如已有功能規格、危害分析、測試報告或客戶缺失清單，可提供經授權資料，協助確認課程深度。

ODI MORGAN 可依需求整合 SOTIF 內部評估員培訓、功能邊界與情境分析課程、文件差距分析、模擬評估及改善追蹤，並協助釐清與功能安全、網路安全及驗證活動的介面。

聯繫 ODI MORGAN，先選定一項功能與評估目標，再安排課程、案例實作及專案輔導，讓評估報告能清楚呈現證據、限制與下一步改善工作。