那么对于输入信号不确定，数学模型复杂且不确定的控制系统，如何进行相关设计呢？在智能化程度比较高的系统中可以采用分级递阶的智能控制方法进行设计。分级递阶智能控制（HierachicalIntelligentControl）是在人工智能、自适应控制以及运筹学等理论的基础上逐渐发展形成的，是智能控制最早的理论之一。
当系统由若干个可分的相互关联的子系统构成时，可将系统所有决策单元按照一定优先级和从属关系递阶排列，同一级各单元受到上一级的干预，同时又对下一级单元施加影响。若同一级各单元目标相互冲突，则由上一级单元协调。这是一种多级多目标的结构，各单元在不同级间递阶排列，形成金字塔形结构。
此类结构的优点是全局与局部控制性能都较高，灵活性与可靠性好，任何子过程的变化对决策的影响都是局部性的。从最低级执行级开始，智能要求逐步提高，越高的层次越需要高的智能，而精度则递减，此类结构具有以下特点：
1）越是处于高层的控制器，对系统的影响也越大；
2）越是处于高层，就有越多的不确定性信息，使问题的描述难于量化。
可见，递阶智能控制的智能主要体现在高层次上，在高层次遇到的问题往往具有不确定性。
映射到自动驾驶控制系统：
第三级执行级对应反应层（或功能层）：它负责执行上层要求的基本任务，执行较低级的操作和控制硬件执行器。该层的处理频率较高，可以满足实时性操作和反应的要求。
第二级协调级对应实施情况分类的主管层和反应导航：该层用来监督功能层，并使用从传感器派生的数据来识别车辆的情况，并产生轨迹，此层的处理频率居中。
第一级组织级对应规划层：此层生成高级计划（道路和交叉路口的预估），车辆从当前位置到目的地将遵循的路径等。此层的频率相对较低，不需要满足实时性的要求。
通过这样的分层设计，对于安全的设计也可以按照同样的逻辑，对于不同层级的特性和属性设计相应的安全机制。ConradJ.Pace和DerekW.Seward就在一个自动挖掘机的应用中使用了这种设计方法。对于最底层的功能层来说，由于时间响应实时性的要求和硬件架构的原因，通常功能和安全机制是不需要进行隔离设计的。那对于第一和第二层级，由于采用非确定性算法，机器学习等算法，其本身无法满足安全设计的要求，则需要单独设计相应的安全机制来满足其高安全等级的要求。
这两层的安全设计与PhillipKoopman在2016年提出的“Checker/Doer”是一样的机制，这里的“Doer”就是采用复杂算法的功能，“Checker”则是更传统的软件技术，用于执行安全要求。“Checker”只检查“Doer”做出的决策是否违法相应的安全规则和假设。例如，以路径规划举例，“Checker”则始终只检查被选择的规划方案是否会撞上任何已知的障碍物。通过通讯获取的反馈信号和信息交互是实现此方法的核心要素之一。
预期功能安全标准ISO/PAS21448中对于预期功能安全的定义为，不存在由于预期功能的性能不足引起的危害而导致不合理的风险。预期功能安全流程的最重要的目的之一就是不断地降低未知场景的可能性，而这些场景就是整个自动驾驶控制系统的重要输入之一。所以这个过程就是不断的让输入变成可预见的。
