GB 44721‑2026 要求自动驾驶系统在架构层面实现安全约束落地，对功能隔离、故障容错、接口安全、AI 模型模块管控均给出明确要求。很多企业架构设计仅关注功能实现，安全约束后置补充，造成后期改造成本高。已导入 ASPICE 的项目，可复用 SYS.3 系统架构设计过程域，将 GB 44721‑2026 安全要求前置融入架构方案。

ASPICE SYS.3 核心输出系统架构方案、组件划分、接口定义，要求架构必须承接上游系统需求与安全需求。开展架构设计时，将前期拆解完成的系统安全需求作为首要输入，划分安全相关组件与非安全组件，实现故障隔离，防止单点失效蔓延至整个自动驾驶系统。

针对传感器、决策模块、执行器之间接口，架构层面定义接口防护机制，对异常数据、超限信号做拦截处理。对于搭载机器学习模型的模块，联动 ASPICE MLE 过程域，在架构中独立划分 AI 模型推理单元，设置输入校验、输出监控、模型异常降级通道，规避模型异常输出带来的安全风险。

架构方案初稿完成后组织跨职能评审，系统、安全、软件、测试团队共同参与，重点核查架构是否满足 GB 44721‑2026 故障容错、降级机制、数据安全相关条款。评审记录留存归档，作为 ASPICE 评估和国标审核证据。

架构定稿之后纳入 SUP.8 配置管理形成基线。架构不允许随意改动，若后续需求变更、场景迭代需要调整架构，必须走 SUP.10 变更管理流程，重新开展安全影响分析与架构评审。同时建立架构组件与安全需求之间的追溯关系，每一项安全约束都可以定位到对应的架构实现，为后续软件设计、测试提供依据。

安全架构不是一次性输出成果，在项目迭代中持续维护，保障架构设计始终匹配 GB 44721‑2026 安全目标与 ASPICE 过程管控要求。