Niveles de automatización de la conducción SAE 0–5: el límite de responsabilidad detrás de los sistemas avanzados de asistencia al conductor (ADAS).

Las afirmaciones de que "Nivel 2 significa que el coche es semiautónomo" y "Nivel 3 es un Nivel 2 ligeramente más inteligente" son tentadoras, pero erróneas. La norma SAE J3016 no clasifica la cantidad de sensores, la precisión de la IA ni la cobertura vial. Clasifica, para una función mientras está activada, quién realiza la dirección, la aceleración, el frenado, la monitorización, la respuesta a eventos y el mecanismo de respaldo cuando la función alcanza su límite.

Un vehículo puede incorporar frenado automático de emergencia de Nivel 0, una función de asistencia en carretera de Nivel 2 y una función de asistencia en atascos de Nivel 3 bajo condiciones muy limitadas. No existe un nivel permanente para todo el vehículo. La pregunta clave siempre es: ¿qué función, en qué dominio de diseño operativo, con qué división de responsabilidades?

Ejemplo de un vehículo de producción con sensores ADAS

Imagen: Subaru WRX S4 2.0GT-S EyeSight (Tokumeigakarinoaoshima, CC BY-SA 4.0), Wikimedia Commons. La fotografía exterior por sí sola no identifica un nivel de automatización ni documenta la arquitectura interna del sistema.

Breve conclusión

• En los niveles 0 a 2, el conductor maneja y supervisa continuamente la función de asistencia. El nivel 2 permite controlar la dirección y la velocidad simultáneamente, pero no autoriza la parada del vehículo. Monitoreo.

• En los niveles 3 a 5, un sistema de conducción automatizada (ADS) realiza la tarea de conducción dinámica completa mientras está activado. En el nivel 3, puede solicitar la intervención humana; el nivel 4 debe alcanzar una condición de riesgo mínimo dentro de su ODD sin depender de la respuesta humana.

• La principal diferencia entre los niveles 4 y 5 es el ODD. El nivel 4 es limitado; el nivel 5 abarca conceptualmente todas las condiciones de la carretera y del entorno que un conductor humano puede gestionar.

• Un nivel superior no es un certificado de seguridad. La taxonomía especifica roles, no la tasa de accidentes, la precisión de la percepción, la redundancia ni la calidad del producto.

• El tiempo de toma de control incluye la detección, la decisión, la notificación, la reconstrucción de la situación humana y la actuación. Un tiempo medio de respuesta de los botones no es suficiente.

• La evidencia de seguridad combina la cobertura de escenarios, fallos y ataques, márgenes de casi colisión, intervenciones innecesarias, simulación, HIL, seguimientos y operación controlada en vías públicas.

Cuatro preguntas determinan un nivel

Figura 1: El límite central se encuentra entre los niveles 2 y 3

1. La distinción no radica en la magnitud de la dirección, sino en quién supervisa y completa la tarea de conducción dinámica.

La determinación del nivel se puede organizar en torno a cuatro preguntas:

1. ¿Quién realiza el control lateral sostenido y el control longitudinal?

2. ¿Quién realiza la detección y respuesta a objetos y eventos (OEDR)?

3. ¿Quién realiza la desactivación de la tarea de conducción dinámica cuando la función alcanza un límite?

4. ¿Está la operación restringida a un dominio de diseño operativo?

La tarea de conducción dinámica (DDT) incluye el trabajo operativo y táctico en tiempo real: dirección, frenado, aceleración, selección de carril, respuesta a señales y evasión de obstáculos. La selección estratégica de ruta normalmente queda fuera de este dominio. OEDR implica detectar y responder, no simplemente producir detecciones.

Un ODD es un conjunto de condiciones de carreteras, geografía, velocidades, clima, iluminación, superficie, tráfico, mapa y, a veces, conectividad en las que una función está diseñada para operar. Para el vector de condición x,

Si la condición requerida c_i se vuelve falsa, la función debe rechazar la activación o finalizar de forma segura. Un requisito que no se puede detectar, como «operar solo cuando la visibilidad sea buena» sin una estimación de visibilidad validada, aún no es un monitor ODD ejecutable.

Nivel 0: la intervención momentánea aún es posible

En el Nivel 0, el operador humano realiza un control sostenido de la dirección y la velocidad. Aquí se incluyen la advertencia de colisión frontal, la advertencia de salida de carril, la advertencia de punto ciego y una intervención momentánea de frenado automático de emergencia. El movimiento automático por sí solo no implica el Nivel 1; la distinción radica en el control sostenido, en lugar de una advertencia o una breve acción de emergencia.

Los sistemas ADAS de producción suelen combinar la clasificación de la cámara con el alcance y la velocidad relativa del radar automotriz. Un tiempo de colisión a velocidad de aproximación simple es:

Se descompone en caso de cambios de dirección laterales y cambios de aceleración. La evaluación de seguridad debe medir tanto el frenado falso como el frenado omitido, ya que una parada brusca innecesaria puede generar riesgo de impacto por alcance.

Nivel 1: asistencia a la dirección o a la velocidad

El Nivel 1 ofrece asistencia continua a la dirección o a la aceleración/frenado. El control de crucero adaptativo es un ejemplo longitudinal; el centrado de carril es un ejemplo lateral. El conductor realiza el control restante y toda la monitorización.

Un objetivo común de distancia de seguimiento es:

donde d_0 es la distancia de seguridad en parado, T_h es el intervalo de tiempo entre vehículos y v es la velocidad propia. Si la distancia de frenado aumenta con la lluvia o en una pendiente descendente, T_h no debe permanecer fijo, sino que debe ajustarse a una estimación de la superficie de la carretera. Dos productos de Nivel 1 pueden tener límites de seguridad muy diferentes, aunque su etiqueta taxonómica sea idéntica.

Nivel 2: asistencia a la dirección y velocidad, mientras el conductor maneja.

El Nivel 2 puede centrar el vehículo y seguir el tráfico simultáneamente. En un diseño particular, "manos fuera" no significa automáticamente "ojos fuera". La SAE agrupa los Niveles 0-2 como asistencia al conductor: el conductor supervisa continuamente y debe corregir la función.

Algunos ejemplos actuales incluyen asistencia para el mantenimiento de carril y distancia en autopista, asistencia en atascos y cambios de carril guiados por navegación. Los nombres de los productos no son prueba suficiente del nivel. La región, el año del modelo, la versión del software, el tipo de carretera, la velocidad, las condiciones climáticas y el manual del propietario pueden modificar el contrato de la función.

Un sistema de monitorización del conductor podría combinar la mirada, la postura de la cabeza, el estado de los párpados y la interacción con el volante en una puntuación de atención simple:

Las gafas de sol, el deslumbramiento, la oclusión de la cámara, la discapacidad y el comportamiento individual hacen que cualquier umbral sea incompleto. El DMS debe verificar la suposición de supervisión y activar alertas escalonadas y una parada controlada. No transfiere la responsabilidad simplemente emitiendo una advertencia.

Nivel 3: el sistema conduce, pero puede solicitar la intervención humana

En el Nivel 3, el ADS realiza la DDT y la OEDR completas dentro de un ODD limitado. El usuario preparado para la intervención humana no necesita monitorear continuamente la carretera, pero debe responder a una solicitud de intervención. Esta transición es difícil porque una persona que regresa de otra tarea debe reconstruir la escena del tráfico antes de actuar.

El tiempo disponible T_{hazard} debe cumplir al menos

T_{human} no es un tiempo reflejo de pulsación de botón; incluye el retorno de la mirada, la comprensión de la situación, la toma de decisiones y la acción motora. Evalúe la cola de la distribución considerando la somnolencia, la edad, la noche y las tareas secundarias realistas.

Una solicitud de toma de control no implica un cambio de responsabilidad instantáneo. El conductor puede no oírla, malinterpretarla o no estar médicamente capacitado para responder. El sistema aún requiere una maniobra de reducción de riesgos —desaceleración controlada, mantenimiento de carril, luces de emergencia o parada en el arcén— cuya seguridad depende de la geometría de la carretera y del tráfico que le sigue.

Nivel 4: Operación completa dentro de un ODD limitado

En el Nivel 4, el ADS realiza la DDT completa y la conmutación por error dentro de su ODD sin depender de la respuesta humana. Los autobuses de baja velocidad, los robotaxis geocercados, las minas, los puertos y los centros logísticos son entornos de implementación naturales, ya que la geografía, la velocidad y las interacciones pueden limitarse.

La asistencia remota puede sugerir una ruta o aclarar una escena sin necesidad de conducir continuamente. La conducción remota controla directamente el movimiento. No se deben confundir ambas funciones en «teleoperación». Un análisis de seguridad de Nivel 4 debe contemplar la pérdida de comunicación, la sobrecarga del servidor, la relación operador-vehículo, la latencia, la autenticación y una condición local de riesgo mínimo. La comunicación V2X puede ampliar la percepción del entorno, pero no debe convertirse silenciosamente en un único punto de fallo.

Nivel 5: el concepto para todas las condiciones

El Nivel 5 no se limita a un ODD (Dispositivo de Detección de Desastres) específico y abarca las condiciones de la carretera y del entorno que un conductor humano puede gestionar. No significa que abarque todos los puntos de la Tierra, pero sí un alcance enorme: señalización vial poco visible, nieve, intervenciones policiales temporales, obras, desastres, vehículos inusuales y costumbres viales regionales.

A partir de 2026, ningún consumidor podrá adquirir un vehículo que opere en el Nivel 5 en vías públicas generales. La NHTSA (Administración Nacional de Seguridad del Tráfico en las Carreteras) explica asimismo que la mayor automatización disponible actualmente para los consumidores aún requiere la intervención del conductor. Es importante diferenciar un objetivo de investigación futuro de la capacidad que un cliente puede activar hoy.

Por qué un nivel superior no garantiza mayor seguridad

El nivel indica las funciones. No indica la probabilidad de colisión, la capacidad de recuperación de la percepción, la redundancia, la ciberseguridad ni la calidad de la validación. Un servicio de transporte de Nivel 4 bien validado en un campus restringido y una función de autopista de Nivel 2 no pueden clasificarse únicamente por el número. La seguridad debe evaluarse por separado.

Seguridad funcional y SOTIF

La norma ISO 26262 sobre seguridad funcional aborda el riesgo irrazonable derivado del mal funcionamiento de los sistemas eléctricos/electrónicos: desconexión de sensores, fallos de CPU o memoria, fallos de actuadores y fallos de alimentación. La norma ISO 21448 sobre SOTIF aborda los riesgos derivados de la insuficiencia funcional sin fallo de componentes: una cámara que está intacta pero no puede interpretar el deslumbramiento, la niebla o un objeto inusual. La ciberseguridad añade la manipulación maliciosa de los sistemas GNSS, mapas, redes internas de vehículos, V2X y sistemas de actualización de software.

La redundancia no consiste simplemente en duplicar algo

La redundancia también requiere un análisis de causa común. Dos cámaras pueden fallar ante el mismo deslumbramiento. La diversidad de la física de la cámara, el LiDAR y el radar puede ayudar, pero aun así pueden compartir el mismo reloj, mapa, fuente de alimentación o software de fusión.

Cuantificación de los márgenes de seguridad

El kilometraje de la carretera por sí solo resulta ineficiente para eventos críticos poco frecuentes. Cree un catálogo de escenarios a partir de datos de campo y análisis de seguridad, varíe los parámetros en la simulación y correlacione la evidencia obtenida mediante simulación en bucle (software-in-the-loop), simulación en bucle (hardware-in-the-loop), pruebas en pista y pruebas en carretera controlada.

Para la distancia relativa d y la velocidad relativa \Delta v>0, una estimación simplificada de la desaceleración constante necesaria para detenerse es:

Compárela con la limitada por fricción y actuadores a_{avail}. La relación a_{req}/a_{avail} revela un margen decreciente, pero no describe la salida lateral, la respuesta de un vehículo que sigue o la de un peatón; mantenga el contexto del escenario.

Desarrolle escenarios desde lo funcional a lo lógico y, finalmente, a lo concreto. "Un peatón emerge de una oclusión" se convierte en rangos de velocidad, tamaño del oclusor, iluminación, fricción y tiempo de emergencia, y luego en pruebas concretas muestreadas. El muestreo por importancia y la falsificación detectan fallos en los límites de forma más eficiente que la conducción aleatoria uniforme.

Como mínimo, se deben registrar las colisiones y su gravedad, la distancia mínima y el tiempo hasta el control del vehículo (TTC), las intervenciones del conductor y sus causas, las frenadas o giros bruscos inducidos por el sistema, los errores del monitor ODD, el tiempo hasta alcanzar la condición de riesgo mínimo, la latencia en la detección de fallos y la discrepancia entre la simulación y el vehículo.

Comparación correcta de los sistemas ADAS actuales

El control de crucero adaptativo (ACC) y el centrado de carril simultáneos suelen ser de Nivel 2, ya que el conductor supervisa la conducción. Una función limitada que realiza la prueba de conducción autónoma completa (DDT) y solicita la reprogramación podría ser de Nivel 3. Un servicio de conducción autónoma que completa la reprogramación dentro de una geocerca podría ser de Nivel 4. Lea la función y las instrucciones aprobadas, no el nombre comercial.

Casos límite que revelan la lógica

¿Puede el estacionamiento automático ser de Nivel 4?

Una función de estacionamiento automático puede ser de Nivel 4 a muy baja velocidad si su entorno de conducción es un estacionamiento limitado, el conductor no supervisa el entorno y el sistema puede detenerse de forma segura sin intervención humana. Esto demuestra que la clasificación depende de la división de roles, no de la velocidad ni de la sofisticación técnica.

¿Por qué un sistema de frenado automático de emergencia (AEB) potente sigue siendo de Nivel 0?

El AEB puede aplicar un frenado intenso justo antes de una colisión, pero no realiza la conducción normal de forma continua. La intensidad de una intervención momentánea es un aspecto independiente del nivel de automatización.

Si las manos pueden soltar el volante en el Nivel 2, ¿por qué se sigue denominando conducción humana? La clasificación no depende de la posición de la mano, sino de quién supervisa el entorno y compensa los fallos. Es posible una función de Nivel 2 sin intervención manual con monitorización ocular, pero la responsabilidad de detectar lo que la función no puede percibir y actuar en consecuencia sigue recayendo en el usuario.

Lista de verificación de desarrollo

1. Para cada función, asigne el control sostenido, el OEDR y el mecanismo de reserva en lenguaje sencillo.

2. Convierta la ODD en condiciones medibles e identifique las condiciones que el vehículo no puede observar directamente.

3. Defina el tiempo de advertencia de límite, la desconexión segura y el comportamiento de riesgo mínimo para decisiones erróneas de ODD.

4. En el Nivel 2, valide la supervisión y el DMS; en el Nivel 3, valide distribuciones de toma de control realistas.

5. Analice por separado los fallos de hardware, la insuficiencia de rendimiento y los ataques, y luego busque causas comunes.

6. Mantenga el mismo ID de escenario en la simulación, HIL, la pista y la evidencia en carretera.

7. Tras las actualizaciones OTA, concilie el caso de seguridad, el ODD, el manual, el modelo, los mapas y la evidencia almacenada.

Resumen

Los niveles SAE 0-5 no representan una escala de inteligencia. Describen quién realiza el control sostenido, el OEDR y el respaldo, y dónde puede operar la función. El límite más importante es el Nivel 2 frente al Nivel 3: en el Nivel 2, el conductor humano conduce y supervisa; en el Nivel 3, el ADS realiza el DDT mientras está activado.

Pregunte sobre el ODD, la detección de límites, el tiempo de transición, la condición de riesgo mínimo y la evidencia de validación antes de solicitar el número de nivel. Esto transforma la vaga frase «conducción autónoma» en responsabilidades comprobables en materia de detección, control, factores humanos, conectividad y regulación.