从 ISO 26262 到 SOTIF 与 ISO/SAE 21434 的多维融合架构（工程化指南）

一、总体思路（一句话）

把“防故障、防误判、防攻击”三条防线整合为一个统一的Assurance Framework，用统一的需求/事件/证据追溯链（Requirement → Model → Code → Test → Evidence）来支撑三个标准的Claim–Argument–Evidence（CAE）。

---

二、为什么需要融合（必要性）

• 智能汽车风险来源多元：硬件故障、算法边界、恶意攻击都能导致同样的危害。

• 单独做 ISO 26262 无法覆盖“误判”与“攻击”场景；SOTIF/21434 各自覆盖不同来源但若无融合，会在接口处留下漏洞。

• OEM/评审方要求安全与安全性（safety & security）证据链能互相印证（Integrated Assurance）。

---

三、总体流程（高层工作流）

1. 联合风险识别（Unified Hazard & Threat Analysis）

   • 同时开展 HARA（ISO 26262）、SOTIF 场景识别（PUSC）与 TARA（Threat Analysis & Risk Assessment）。

   • 目标：得到统一的“危险/不安全场景/威胁”清单，并为每项分配总体暴露等级与可控性。

2. 风险合并与分级</