VisualPro 技术简报智能驾驶强制性国标已落地
只剩一年 —— Safety Case 该怎么建？
2026.09.04 上海「AutoSoft 对话」第 23 期 会前简报 | 含 VWAY 主题分享信息
GB 47955 · 2027.01.01 实施GB 44721 · 2027.07.01 实施预期功能安全 (ISO 21448)AI 驱动的 STPA9/4 上海
01概览（TL;DR）—— 法规时钟已经启动
GB 47955 实施 2027.01.01 组合驾驶辅助（L2） | GB 44721 实施 2027.07.01 自动驾驶（L3、L4） | 组合驾驶辅助渗透率 70% 2026 年中国乘用车新车 | VWAY 主题分享 9/4 14:20 上海国际汽车城 |
2026 年，中国智能驾驶安全监管从推荐性走向强制性。两项强制性国家标准（GB）在两个月内相继发布。GB 47955—2026《智能网联汽车 组合驾驶辅助系统安全要求》（L2 级）于 2026 年 6 月 27 日批准发布，2027 年 1 月 1 日起实施；GB 44721—2026《智能网联汽车 自动驾驶系统安全要求》（L3、L4 级）于 2026 年 7 月 30 日批准发布，2027 年 7 月 1 日起实施。
两者均为强制性国标（GB），而非推荐性标准（GB/T）。真正的分量不在功能要求，而在举证要求：标准要求企业建立覆盖研发、生产、运行全周期的安全保障体系，并通过仿真试验、场地试验、道路试验予以验证。
审核的提问方式变了 —— 从“这个功能安全吗”，变成“你用什么证据论证它是安全的”。
02为什么是现在 —— 三重压力
1法规 —— 功能早已普及，基线姗姗来迟法规压力
2026 年以来，中国搭载组合驾驶辅助功能的乘用车新车市场渗透率已达 70%，其中配备领航驾驶辅助（NOA）功能的车型渗透率超过 30%。功能已经普及，产品安全基线却始终空白，GB 47955—2026 首次填补了这一空白。这次监管针对的不是“将要推出的功能”，而是已经在路上跑的功能。
2方法 —— 部件失效解释不了的风险SOTIF
ISO 26262（功能安全）处理 E/E 系统失效引发的风险；而 ISO 21448（预期功能安全，SOTIF） 处理的是没有任何失效时仍然残留的风险 —— 传感器性能局限、感知错误、未被定义的场景，以及驾驶员的误用与滥用。GB 44721—2026 规范人机交互逻辑、明确系统激活与退出流程、要求向消费者清晰告知能力与边界，恰恰是在 SOTIF 领域立规。FMEA 与 FTA 擅长处理部件如何失效，却在结构上遗漏了控制器在错误时机发出形式上正确指令这一类风险。
3证据 —— Safety Case 不是一摞报告，而是可追溯的链条Safety Case
本次活动主办方的邀请函指出：新国标不仅对功能安全与预期功能安全的设计开发及验证确认提出了量化指标，更明确要求企业构建体系化的 Safety Case（安全论证），以完整、可追溯的证据链证明系统风险已被充分识别、评估与控制。当这条链条靠 Excel 文件之间的手工链接维系时，一次设计变更就足以让它断开。
03用数字看法规时钟
中国智能驾驶强制性国标 —— 从发布到实施
| 项目 | GB 47955—2026 | GB 44721—2026 |
|---|
| 对象 | 组合驾驶辅助系统（L2 级） | 自动驾驶系统（L3、L4 级） |
| 性质 | 强制性国家标准 | 强制性国家标准 |
| 发布 | 2026.06.27 | 2026.07.30 |
| 实施 | 2027.01.01 | 2027.07.01 |
| 适用范围 | 基础单车道 · 基础多车道 · 领航驾驶辅助 | M 类、N 类车辆（不含自动泊车） |
| 意义 | 首次规定组合驾驶辅助产品安全基线 | 代替推荐性标准 GB/T 44721—2024 |
剩余时间 截至 2026 年 8 月，距 GB 47955 实施约 4 个月，距 GB 44721 实施约 10 个月。从零开始搭建一套安全论证体系，这不是一个宽裕的窗口。对于已在开发中的项目而言，现实的任务不是重新开始分析，而是把既有分析重构成证据链。
04STPA —— 同时瞄准 SOTIF 与 Safety Case 的分析方法
STPA（System-Theoretic Process Analysis，系统理论过程分析）不把事故看作部件失效的连锁，而是看作控制的不充分。它分四步展开。
1定义损失与系统级危害什么是绝不能失去的
2建立控制结构模型谁、依据什么信息、控制什么
3识别不安全控制行为（UCA）提供 / 未提供 / 时机错误 / 持续时间错误
4推导损失场景该 UCA 实际发生的路径
按危害类型划分的安全分析方法覆盖范围
正面覆盖 SOTIF 领域ISO 21448
UCA 并不以失效为前提。即便传感器与控制器全部正常工作，只要感知结果与场景不匹配，其本身就是一次不安全控制行为。在工程实践中，能把“无失效风险”纳入分析范围的方法，STPA 几乎是唯一的。
人机交互与驾驶员误用进入分析范围GB 44721
在 STPA 中，驾驶员本身就是控制结构中的一个控制器。因此激活与退出逻辑、接管（Takeover）失败、对功能边界的误解，都会被识别为 UCA —— 与 GB 44721—2026 规定的人机交互要求直接对应。
证据链在分析过程中自然生成Safety Case
损失 ↔ 危害 ↔ UCA ↔ 损失场景 ↔ 安全需求 ↔ 验证项构成层级关系，因此“这条安全需求源自哪个危害”可以用链接回答，而不是靠记忆。Safety Case 要的正是这个答案。
05AI 进入 STPA 之后 —— 什么会改变，什么必须守住
STPA 的实践难点不在难度，而在体量。控制结构稍一扩大，UCA 就是数百条，损失场景则是数千条。在缺乏专职安全人员的组织里，STPA 总是停在第 3、4 步。
这恰恰是 AI 智能体收益最大的区间。VisualPro 通过 MCP（Model Context Protocol） 与 Claude 等 AI 智能体直接连接：智能体读取控制结构，以对话方式生成 UCA 候选与损失场景初稿。不过，对于必须通过认证审核的分析，使用 AI 有三个前提条件。
1AI 写初稿，人做判断评审记录
谁、在何时评审与批准，必须记录在分析数据本身之中。
2每一条目都能回溯到依据可追溯性
派生自哪个控制行为、哪个危害，链接必须保留。
3AI 生成条目与人工条目可区分可解释性
审核员须能自行界定评审范围。
守住这三点，AI 就不是审核风险，而是证据的产出速度。
06VisualPro 的位置 —— 把所有分析放到同一个结构之上
一棵结构树，五种分析集成分析
FMEA、FTA、HARA、TARA、STPA 共享同一个系统结构数据库。无需为每种方法重新建模，方法之间的术语与范围也不会漂移。
分析间可追溯性 = Safety Case 证据链数字主线
安全目标 ↔ FTA 顶事件 ↔ DFMEA 失效模式 ↔ STPA 损失场景 ↔ 安全需求在单一数据库中联动。设计变更会传导至相关分析，证据链不会因一次变更而断裂。
基于 MCP 的 AI 智能体集成AI 集成
Claude 等 AI 智能体与 VisualPro 直接通信，以对话方式完成 UCA、损失场景、失效模式、威胁识别乃至评分初稿。分析人力越薄弱的组织，体感越明显。
韩英双语标准交付物韩英报告
以标准格式输出 AIAG-VDA FMEA、ISO 26262 HARA（ASIL）、ISO/SAE 21434 TARA、FTA 与 STPA，并从同一数据库生成韩文、英文报告。
07常见问题（FAQ）
Q1STPA 会取代 ISO 26262 的 HARA 吗？
是补充，而不是取代。HARA 负责识别危害并通过 S、E、C 分配 ASIL；STPA 则推导这些危害由哪些控制交互产生。工程上最顺畅的做法，是先把 HARA 的危害清单与 STPA 的损失、危害定义对齐，再把 STPA 的损失场景作为安全需求的依据。当两种分析位于同一棵结构树上时，这项对齐工作本身就消失了。
Q2认证机构会接受由 AI 参与产出的分析结果吗？
审核看的是依据、评审记录与可追溯性，而不是文字由谁产出。若 AI 起草、人工批准，且每一条目都能回溯至上位危害，那么它与人工成果按同一标准评价。反之，没有依据链接的分析，即便出自人手同样会被开具意见。关键不在于是否使用 AI，而在于你的工具能否记录你使用了 AI。
Q3我们要应对的是中国 GB 标准，可以使用基于 ISO 的工具链吗？
新国标是在功能安全（ISO 26262）与预期功能安全（ISO 21448）的设计开发及验证确认流程之上，叠加量化指标与试验要求。因此分析方法本身 —— HARA、FMEA、FTA、TARA、STPA —— 是共通的，并不存在需要重新学习的新方法论。真正需要的，是把你已经在做的分析，整理并连接成 GB 所要求的证据形态的那套体系。
08欢迎到上海现场确认（Next Step）
上海智能汽车软件园「AutoSoft 对话」第 23 期 —— 「安全驭行」
| 主题 | L2/L3/L4 法规框架下的智驾功能安全与预期功能安全 AI 分析实践交流 |
| 时间 | 2026 年 9 月 4 日（周五）13:00 – 17:00 |
| 地点 | 上海国际汽车城 · 云上智行会客厅 |
| 主办 | 上海智能汽车软件园 |
VWAY 主题分享| 时间 | 14:20 – 14:50（主题分享 2） |
| 题目 | AI 驱动的 STPA 安全分析新范式 —— 高效满足 L2/L3 法规与 Safety Case 要求 |
| 讲者 | Dave Kim —— 韩国 VWAY，VisualPro 产品专家 |
同场议题
从标准到实战、从理论到现实 —— ADS L3 级自动驾驶开发平台与商用案例解读 （IAE 智行众维 首席安全专家）
L3/L4 国标的 AI 安全分析与量化安全要求 （一汽红旗 功能安全专家）
迈向高阶智驾的安全基线 —— ISO/PAS 8800 标准全面解读 （DEKRA 德凯 中国汽车安全审核专家）
分组研讨 —— OEM 与 Tier1 安全分析的权责边界 / AI 介入分析后的可解释性与认证接受度 / Safety Case 证据链的常见缺失与规避策略
法规时间表已经确定，留给行业的准备时间不足一年。与其各自摸索，不如与产业链同行面对面交流，带走一条经过验证的实践路径。
你买的不是一份分析，而是一份可以用来论证的分析资产 —— 请与 VisualPro 一同开始。
资料来源：国家市场监督管理总局、国家标准化管理委员会 GB 47955—2026 / GB 44721—2026 发布公告，工业和信息化部标准解读，新华网报道，「AutoSoft 对话」第 23 期官方邀请函。
2026 年，中国智能驾驶安全监管从推荐性走向强制性。两项强制性国家标准（GB）在两个月内相继发布。GB 47955—2026《智能网联汽车 组合驾驶辅助系统安全要求》（L2 级）于 2026 年 6 月 27 日批准发布，2027 年 1 月 1 日起实施；GB 44721—2026《智能网联汽车 自动驾驶系统安全要求》（L3、L4 级）于 2026 年 7 月 30 日批准发布，2027 年 7 月 1 日起实施。
两者均为强制性国标（GB），而非推荐性标准（GB/T）。真正的分量不在功能要求，而在举证要求：标准要求企业建立覆盖研发、生产、运行全周期的安全保障体系，并通过仿真试验、场地试验、道路试验予以验证。
STPA（System-Theoretic Process Analysis，系统理论过程分析）不把事故看作部件失效的连锁，而是看作控制的不充分。它分四步展开。
STPA 的实践难点不在难度，而在体量。控制结构稍一扩大，UCA 就是数百条，损失场景则是数千条。在缺乏专职安全人员的组织里，STPA 总是停在第 3、4 步。
这恰恰是 AI 智能体收益最大的区间。VisualPro 通过 MCP（Model Context Protocol） 与 Claude 等 AI 智能体直接连接：智能体读取控制结构，以对话方式生成 UCA 候选与损失场景初稿。不过，对于必须通过认证审核的分析，使用 AI 有三个前提条件。
法规时间表已经确定，留给行业的准备时间不足一年。与其各自摸索，不如与产业链同行面对面交流，带走一条经过验证的实践路径。