高职智能交通技术专业二年级《智能运输系统安全规范》教案

高职智能交通技术专业二年级《智能运输系统安全规范》教案

一、课程基本信息

授课对象为高职智能交通技术专业二年级学生，此时学生已完成《智能交通系统概论》《汽车构造与电气系统》《交通工程学基础》《C语言程序设计》《单片机应用技术》等前置课程学习，具备智能交通系统基本构成、传感器原理、简单嵌入式系统开发等知识储备，但缺乏系统工程思维与功能安全、信息安全等规范级认知。本课程为专业核心课，共计64学时，理论实践并重，此处选取“智能运输系统安全规范体系构建”模块的4个连续学时进行深度教学设计，对应教材第四章《智能运输系统安全保障技术》第二节内容，并结合ISO21434、ISO26262最新国际标准及中国智能网联汽车相关国家强制性标准进行重构。

二、教学内容分析

本节内容在智能交通技术专业课程体系中承担着从“技术实现”向“工程安全”跃迁的关键职能。内容横向跨越车辆工程、交通工程、网络空间安全三个一级学科，纵向贯通系统需求分析、风险评估、安全目标定义、安全机制设计与验证全流程。核心知识点包括：智能运输系统安全范畴界定、功能安全与信息安全（网络安全）的联系与区别、危害分析与风险评估方法（HARA与TARA）、ASIL与CAL等级确定、安全概念与安全需求分解、安全确认与确认度测量、国内外智能运输系统安全法规与标准体系图谱。这些内容既是后续“车路协同安全协议分析”“自动驾驶决策安全冗余设计”等专题的学习基础，也是学生进入智能网联汽车测试员、功能安全工程师助理等岗位必须掌握的职业技能点。

三、学情分析

高职二年级学生处于专业认同感快速形成期，对智能驾驶、车联网等新兴技术有浓厚兴趣，但普遍存在“重功能实现、轻安全约束”的认知偏差。学生已能在仿真环境中编写简单的传感器数据融合算法，却很少思考算法失效时可能引发的碰撞风险。同时，该阶段学生抽象建模能力尚在发展中，面对ISO26262中抽象的安全生命周期模型、ASIL等级量化计算等存在畏难情绪。因此教学设计必须从鲜活事故案例切入，将抽象标准还原为具体工程决策，并借助图形化建模工具（如MediniAnalyze教学版）将看不见的风险呈现为可视化的故障树，帮助学生在“做”中建构安全规范思维。

四、教学目标

知识层面：准确复述功能安全与网络安全的核心定义；辨析危害、风险、安全目标、安全状态等基础概念；绘制智能运输系统安全规范标准族谱图。能力层面：能够针对给定的智能运输系统场景（如自动紧急制动系统AEB、车路协同交叉口碰撞预警）独立完成初步的危害识别与风险等级评定；能够使用规范的格式撰写安全目标文档；能够利用开源工具完成简易故障树分析。素养层面：建立“安全是智能运输系统不可分割的属性”的工程伦理观；养成在系统设计早期介入安全分析的职业习惯；形成对标准条款的科学态度——既不盲从标准，也不随意偏离标准。

五、教学重难点与等级标注

【重中之重】【高频考点】智能运输系统中功能安全与信息安全（网络安全）的本质区别与协同关系。学生极易混淆二者边界，工程实践中二者也常由不同团队负责，但在系统层面必须统一建模。

【难点】【高阶思维】基于风险矩阵的ASIL（汽车安全完整性等级）与CAL（网络安全保证等级）量化评定。该过程涉及严重度、暴露率、可控性三维度判断，以及风险可接受原则的理解，需要从概率思维向工程决策思维转变。

【基础】【必会】ISO26262-3:2018概念阶段危害分析与风险评估（HARA）标准流程。这是所有后续工作的输入，必须做到步骤清晰、术语准确。

【热点】【职业衔接】GB7258《机动车运行安全技术条件》与ISO21434在营运车辆安全准入审查中的联合应用。这部分与当前国家智能网联汽车测试示范区的准入要求直接挂钩，学生就业时常被问及。

六、教学方法与资源

采用“标准溯源—工具拆解—案例实战”三阶递进模式。综合运用讲授法厘清标准框架，使用问题链驱动学生批判性阅读标准条款；采用分组对抗法进行风险评估竞赛；引入企业真实脱敏项目（某低速无人配送车安全概念开发）作为贯穿四课时的挑战任务。教学资源包括：国际标准ISO26262:2018、ISO21434:2021中文译稿节选，国标GB/T40429-2021《汽车驾驶自动化分级》，MediniAnalyze2022演示版，智慧树平台自建SPOC资源库，以及课题组积累的18个智能网联汽车安全事故深度调查案例（如Uber自动紧急制动功能关闭致人死亡事件、Waymo自动驾驶卡车变道逻辑缺陷事件等）。

七、教学实施过程（核心主体，占本设计85%篇幅）

第一学时：安全规范认知破冰与标准图谱建构

【0分钟至5分钟】教师播放37秒智能客车路口左转与逆行车相撞的仿真动画，定格在碰撞前0.5秒。抛出问题链：“传感器识别到障碍物了吗？执行器响应时间是48毫秒，为什么没刹停？这是算法缺陷，还是规范缺失，或是测试未覆盖？”学生瞬间进入认知冲突状态。教师并不急于给出答案，而是邀请两位有过驾照被扣分经历的学生分享“你以为能通过，实际却剐蹭了”的经历，由此类比智能系统也存在“自以为是”的风险盲区。此环节标记【基础】——建立安全规范的现实意义。

【5分钟至20分钟】教师展示2016年至2024年全球智能网联汽车测试脱手脱眼阶段事故统计曲线，点明随着自动驾驶等级提升，由系统功能不足引发的碰撞事故占比从11%跃升至63%。进而引出核心命题：智能运输系统不能仅靠增加冗余传感器来提升安全，必须在系统开发最上游植入安全规范。【非常重要】教师此时板书核心定义：“智能运输系统安全规范——对系统在合理可预见的误用与故障条件下，不发生不合理风险的工程约束体系。”要求学生当场在笔记本上默写“不合理风险”五个字，并标注个人理解。随机抽选三名学生朗读自己的理解，教师进行概念校正，强调“绝对安全”不存在，工程追求的是“可接受的残余风险”。

【20分钟至45分钟】标准图谱拼图活动。每两人一组，领取包含15张标准卡片（含ISO、IEC、SAE、GB/T、JT/T等代号及标准名称节略）的信封。任务：按照“车辆功能安全”“车辆网络安全”“交通设施安全”“数据安全”“测试评价”五大类，在A3白纸上绘制标准相互关系图谱，并用箭头表示引用关系。教师在巡视中发现共性难点：ISO21434与ISO26262的关系；GB/T与ISO的转化状态。针对这些难点，教师在白板进行集中讲解：【高频考点】ISO26262主要针对电子电气系统功能异常表现（包括系统本身设计缺陷、硬件随机失效、软件系统性失效）；ISO21434主要针对针对车辆电子电气系统遭受恶意攻击的风险。二者共同作用于同一个物理系统，但威胁模型不同。教师进一步举例：制动踏板位置传感器失效导致无制动信号，属于功能安全范畴；黑客通过CAN总线注入虚假制动信号导致非预期制动，属于网络安全范畴。学生恍然大悟。

【45分钟至50分钟】教师发布贯穿四课时的挑战任务——为某园区低速无人物流配送车开发一份“安全概念初步方案”。车辆具备L4级自动驾驶功能，但未配备安全员。要求每小组在课程结束前完成：系统定义、HARA初筛、至少3条安全目标。并给出第一个子任务：课后以小组为单位，实地观察校园内现有无人配送车运行，记录一个你认为“存在潜在危险”的场景。

第二学时：功能安全方法论深度解构——从失效到安全目标

【0分钟至5分钟】各小组汇报课后观察到的校园无人配送车风险场景。有的组提出“车辆在雨天后沿磁条导航打滑偏离路径”，有的组提出“行人突然从车辆前方绿化带窜出”，还有组提出“车辆在路口无法识别交通协管员的手势”。教师将这些问题记录在白板左侧，并提炼出共同特征：这些风险均与系统功能表现异常或性能局限有关，属于功能安全关注范畴。

【5分钟至30分钟】【重中之重】教师系统讲授ISO26262-3概念阶段的HARA流程。不使用抽象PPT，而是采用板书逐层推进。第一步：项目定义——不仅定义功能，更要定义运行场景（包括运行环境、持续时间、交通场景组合）。第二步：危害识别——针对每一个功能失效表现（如“应制动而未制动”“非预期加速”“错误转向”），在具体场景下识别可能引发的人身伤害。教师以AEB系统“前向碰撞预警失效”为例，带领学生完成危害识别：在“城市低速跟车”场景下，失效导致车辆以10km/h追尾前车，可能造成驾乘人员颈部扭伤。第三步：风险评级（ASIL等级评定）。这是学生理解的第一个【难点】。教师引入三维度量化表：严重度S（S0无伤害~S3危及生命），暴露率E（E1极低~E4极高），可控性C（C0完全可控~C3难以控制）。现场计算案例：10km/h追尾——乘员轻度伤害，严重度S1；城市跟车发生频率极高，暴露率E4；驾驶员在跟车时注意力较集中，可控性C1（简单可控）。查表得ASILA。教师强调：ASIL评级不是数学计算，而是工程共识。分发十个小卡片，每个卡片描述一个不同失效场景，要求学生在三分钟内独立完成评级并小组内交换互评。教师选取三个典型案例进行全班辨析，暴露学生在“暴露率”与“可控性”维度上常犯的错误（例如将雨雪天气的偶然性与城市道路的必然性混淆）。

【30分钟至45分钟】从危害到安全目标。教师明确：【基础】安全目标不是技术方案，而是最高层级的、独立于技术实现的安全要求。例如针对“追尾”危害，安全目标可表述为“车辆在纵向行驶过程中，若前方目标存在碰撞风险，系统应发出预警并在必要时自动制动，避免或减轻碰撞”。安全目标必须包含：运行场景、规避或减轻伤害的具体陈述、验收准则。教师展示两份安全目标草稿，其中一份将技术方案写入了目标（如“通过毫米波雷达探测目标”），另一份是纯功能陈述。学生即刻识别出第一份草稿过度约束了设计。教师引出“独立于实现的安全要求”这一核心工程原则，并标记【高频考点】。

【45分钟至50分钟】各小组领回自己的物流配送车项目任务，尝试针对上一环节选定的一个失效场景，撰写一条安全目标草案。教师将优秀作业与典型错误拍照上传至SPOC讨论区，并在下节课前进行匿名评析。本学时结束前，教师布置必读文献：ISO26262-3:2018附录B——危害分析示例，并要求预习“网络安全威胁分析与风险评估（TARA）”。

第三学时：网络安全工程引入——当系统遭遇恶意逻辑

【0分钟至8分钟】情境反转导入。教师播放一段仿真视频：同一辆无人配送车，在完全相同的物理环境下，未出现任何传感器失效，却突然冲向行人。学生惊愕。教师揭示真相：这是一起模拟的车载T-Box被远程控制，通过OTA恶意固件升级关闭了紧急制动功能的网络攻击事件。学生瞬间理解：没有网络安全，功能安全将成为空中楼阁。

【8分钟至25分钟】教师搭建ISO21434核心概念脚手架。首先对比功能安全与网络安全方法论差异：功能安全假设“系统可能自己坏掉”，网络安全假设“系统在被坏人破坏的情况下依然要维持安全”。这导致风险评估方法的根本不同——功能安全使用HARA，网络空间使用TARA（威胁分析与风险评估）。【非常重要】教师详解TARA四步法：资产识别、威胁场景识别、影响评级、攻击可行性评级。以智能网联汽车典型的远程通信网关为资产，教师带领学生完成一次完整的TARA推演。资产：T-BoxOTA更新模块。威胁场景：攻击者伪造主机厂签名，推送恶意固件。影响评级：参照CAL（网络安全保证等级），从安全（人身伤害）、财务、隐私、法规遵从四维度评估，本例导致人身伤害，安全影响评级为高。攻击可行性：根据攻击所需时间、专业知识、资产暴露机会等综合判定为中等。最终确定该威胁需要CAL3级防护措施。此处标记【热点】——当前主机厂在车型开发中，网络安全审查重点正是CAL等级与设计措施的对应性。

【25分钟至40分钟】协同效应：功能安全与网络安全的统一建模。这是本学时的【难点】也是职业场景中最具挑战的部分。教师引入JASOTP14004标准中推荐的联合安全分析框架。以自动紧急制动系统为例，同一ECU既要应对内部随机硬件失效（功能安全），又要抵御外部CAN总线报文注入攻击（网络安全）。教师带领学生识别两类风险叠加效应：攻击行为可能会提高硬件失效率；硬件失效模式也可能为攻击提供后门。学生小组讨论，尝试为“制动请求信号篡改”与“制动控制器死机”这两种危害构建联合安全目标。教师展示业界先进实践：将功能安全监控机制（如看门狗）与网络安全入侵检测机制（如CAN消息身份验证）在同一安全控制器中统筹实现，共享诊断事件存储器，统一触发安全状态迁移。学生眼神明亮，纷纷表示这才是真实的工程问题。

【40分钟至50分钟】回到物流配送车项目。各小组识别出一个本组车辆可能面临的网络安全威胁场景，并尝试给出初步的威胁评级。教师发现大部分小组仅关注了外部无线攻击，忽略了物理接口攻击（如OBD-II接口调试工具读取密钥）和供应链攻击（如预装的第三方地图应用存在漏洞）。教师集中点拨，强调网络安全必须考虑完整攻击面，并引用ISO21434中对“通道、接口、物理交互”的定义。本学时结束前，教师要求学生课后查找一则针对低速自动驾驶车辆的实际攻击案例（文献或新闻报道），并撰写100字案例摘要上传平台。

第四学时：集成应用——从安全目标到安全概念与工具实战

【0分钟至12分钟】案例分享与概念升维。随机选取四组学生分享搜集到的低速车攻击案例：某品牌无人快递车被小学生用反光镜干扰激光雷达导致停驶；国外攻击者使用无线电干扰GPS信号使园区摆渡车迷航；更有小组发现学术论文中描述的针对视觉识别系统的“补丁攻击”（在停止标志贴小贴纸使模型误识别为限速标志）。教师对这些案例进行分类：物理干扰、信号干扰、机器学习对抗攻击。随即引出本节核心命题：安全目标如何转化为具体的安全机制？答案就是——安全概念。

【12分钟至30分钟】【重中之重】教师讲授安全概念的定义与构成。安全概念是实现安全目标的技术策略集合，分为功能安全概念与网络安全概念，以及二者的集成。功能安全概念包括：故障检测机制、容错机制、降级模式、安全状态迁移路径。网络安全概念包括：安全架构、加密认证机制、入侵监测与响应、安全固件更新机制。教师以ISO26262中经典的“双通道比较”架构为例，讲解如何在系统层面检测CPU计算错误并进入安全状态。同时以ISO21434中的“安全网关”架构为例，讲解如何通过域控制器隔离非可信网络流量。在此基础上，【高频考点】教师提出“安全状态”这一极易被忽略的关键概念：安全状态并非系统关闭，而是将系统置于无风险或风险可控的状态。例如，配送车在感知不可信时，靠边停车、双闪、请求远程协助，这就是安全状态。而不是直接高压断电。

【30分钟至45分钟】工具实战——MediniAnalyze入门。此环节打破教师一言堂，学生在教师引导下，打开虚拟机中预装的MediniAnalyze教学版（已配置校园许可）。教师带领学生完成项目建立、车辆层级定义、功能定义、HARA表格录入。教师将全班分为六个项目组，每组完成一条HARA分析记录，从危害描述、场景细化、ASIL评级到安全目标生成，完整体验规范驱动的工程工具流。这是本节【实践突破】环节，学生虽然操作笨拙，但在拖拽故障树节点、自动计算ASIL等级时，真切感受到了“标准条款变成软件逻辑”的过程。教师巡回指导，发现绝大多数小组在定义“危害事件”时，仍然习惯于描述功能故障，而非描述“功能故障与场景组合导致的人身伤害事件”。教师立刻叫停，集中纠正这一认知偏差，再次强调【基础】HARA分析对象是“危害事件（hazardousevent）”而非单纯的“危害（hazard）”。

【45分钟至50分钟】课程大收口与作业发布。教师通过四个学时所构建的知识体系，在白板绘制出完整的“智能运输系统安全规范核心工作流”全图：从系统定义→HARA/TARA→安全目标→安全概念→技术安全要求→集成与验证。强调所有环节不是单向瀑布流，而是迭代演进。随后发布大作业：各小组在接下来两周内，使用MediniAnalyze或其他工具（允许Visio手绘逻辑），完成校园无人配送车安全概念草案，包含5条以上安全目标、至少1个功能安全机制概念方案、1个网络安全机制概念方案，并撰写1000字设计说明。此作业作为形成性评价核心依据，并邀请合作企业功能安全工程师进行线上点评。

八、学习评价设计

本教学设计彻底摒弃一卷定分，采用全流程追踪式评价。课堂表现（20%）：依据HARA练习、TARA分组对抗、Medini工具操作的完成度与准确度进行量化，采用SPOC平台赋分。课后作业（30%）：包括标准图谱、案例摘要、安全目标撰写作业，评价维度为术语规范性、逻辑完整性、与现实工程场景的关联度。项目大作业（50%）：从五个维度打分——危