Standar Otomasi Mengemudi SAE Level 0–5 — Batasan Tanggung Jawab di Balik ADAS

“Level 2 berarti mobil tersebut setengah otonom” dan “Level 3 adalah Level 2 yang sedikit lebih pintar” adalah jalan pintas yang menggoda tetapi salah. SAE J3016 tidak memberi peringkat jumlah sensor, akurasi AI, atau cakupan jalan. Standar ini mengklasifikasikan, untuk suatu fitur saat diaktifkan, siapa yang melakukan kemudi, akselerasi, pengereman, pemantauan, respons kejadian, dan cadangan ketika fitur tersebut mencapai batasnya.

Satu kendaraan dapat memiliki pengereman darurat otomatis Level 0, fitur bantuan jalan raya Level 2, dan fitur kemacetan Level 3 dalam kondisi yang sangat terbatas. Level permanen tidak melekat pada seluruh kendaraan. Pertanyaan yang berguna selalu: fitur mana, yang diaktifkan dalam domain desain operasional mana, dengan pembagian tanggung jawab mana?

Contoh kendaraan produksi dengan sensor ADAS

Gambar: Subaru WRX S4 2.0GT-S EyeSight (Tokumeigakarinoaoshima, CC BY-SA 4.0), Wikimedia Commons. Foto eksterior itu sendiri tidak mengidentifikasi tingkat otomatisasi atau mendokumentasikan arsitektur sistem internal.

Kesimpulan singkat

• Pada Level 0–2, manusia mengemudi dan terus mengawasi fitur pendukung. Level 2 dapat mengontrol kemudi dan kecepatan secara bersamaan, tetapi tidak diizinkan untuk berhenti memantau.
• Pada Level 3–5, sistem pengemudian otomatis (ADS) melakukan tugas pengemudian dinamis lengkap saat diaktifkan. Pada Level 3, sistem dapat meminta bantuan manusia; Level 4 harus mencapai kondisi risiko minimal dalam ODD-nya tanpa bergantung pada respons manusia.
• Perbedaan utama antara Level 4 dan 5 adalah ODD. Level 4 terbatas; Level 5 secara konseptual mencakup semua kondisi jalan dan lingkungan yang dapat dikelola oleh pengemudi manusia.
• Level yang lebih tinggi bukanlah sertifikat keselamatan. Taksonomi menentukan peran, bukan tingkat kecelakaan, akurasi persepsi, redundansi, atau kualitas produk.
• Waktu pengambilalihan mencakup deteksi, pengambilan keputusan, pemberitahuan, rekonstruksi situasi manusia, dan aktuasi. Waktu respons tombol rata-rata tidak cukup.
• Bukti keselamatan menggabungkan cakupan skenario, kesalahan dan serangan, margin hampir kecelakaan, intervensi yang tidak perlu, simulasi, HIL, trek, dan operasi jalan umum yang terkontrol.

Empat pertanyaan menentukan suatu level

Gambar 1 — Batasan utamanya terletak antara Level 2 dan 3. Perbedaannya bukan pada besarnya kemudi; melainkan pada siapa yang memantau dan menyelesaikan tugas mengemudi dinamis.

Penentuan level dapat diorganisasikan berdasarkan empat pertanyaan.

1. Siapa yang melakukan kontrol lateral dan kontrol longitudinal berkelanjutan?

2. Siapa yang melakukan deteksi dan respons objek dan kejadian (OEDR)?

3. Siapa yang melakukan fallback tugas mengemudi dinamis ketika fitur mencapai batasnya?

4. Apakah operasi dibatasi pada domain desain operasional?

Tugas mengemudi dinamis (DDT) mencakup pekerjaan operasional dan taktis waktu nyata: kemudi, pengereman, akselerasi, pemilihan jalur, menanggapi sinyal, dan menghindari objek. Pemilihan perjalanan strategis biasanya berada di luarnya. OEDR berarti mendeteksi dan menanggapi, bukan hanya menghasilkan deteksi.

ODD adalah serangkaian kondisi jalan, geografi, kecepatan, cuaca, penerangan, permukaan, lalu lintas, peta, dan terkadang konektivitas di mana suatu fitur dirancang untuk beroperasi. Untuk vektor kondisi x,

Jika kondisi yang diperlukan c_i menjadi salah, fitur tersebut harus menolak pengaktifan atau mencapai penghentian yang aman. Persyaratan yang tidak dapat dideteksi—seperti “beroperasi hanya ketika jarak pandang baik” tanpa perkiraan jarak pandang yang divalidasi—belum menjadi monitor ODD yang dapat dieksekusi.

Level 0: intervensi sesaat masih dimungkinkan

Pada Level 0, manusia melakukan pengendalian kemudi dan kecepatan secara berkelanjutan. Peringatan tabrakan depan, peringatan keluar jalur, peringatan titik buta, dan intervensi pengereman darurat otomatis sesaat dapat masuk di sini. Pergerakan otomatis saja tidak berarti Level 1; perbedaannya adalah pengendalian berkelanjutan daripada peringatan atau tindakan darurat singkat.

ADAS produksi umumnya menggabungkan klasifikasi kamera dengan jangkauan dan kecepatan relatif [radar otomotif]. Waktu tabrakan dengan kecepatan mendekat yang sederhana adalah

Ini tidak berlaku untuk manuver memotong jalur dari samping dan perubahan akselerasi. Evaluasi keselamatan harus mengukur pengereman palsu serta pengereman yang terlewat karena pengereman mendadak yang tidak perlu dapat menciptakan risiko tabrakan dari belakang.

Level 1: dukungan kemudi atau kecepatan

Level 1 secara terus menerus mendukung kemudi atau akselerasi/pengereman. Kontrol jelajah adaptif adalah contoh longitudinal; pemusatan jalur adalah contoh lateral. Manusia melakukan kontrol yang tersisa dan semua pemantauan.

Target jarak aman yang umum adalah

di mana d_0 adalah jarak bebas saat berhenti, T_h adalah jarak waktu antar kendaraan, dan v adalah kecepatan kendaraan sendiri. Jika jarak pengereman bertambah saat hujan atau di jalan menurun, T_h tidak boleh tetap—harus mengikuti perkiraan permukaan jalan. Dua produk Level 1 dapat memiliki batasan keselamatan yang sangat berbeda meskipun label taksonominya identik.

Level 2: dukungan kemudi dan kecepatan, sementara pengemudi tetap mengendalikan kendaraan

Level 2 dapat secara bersamaan memusatkan kendaraan dan mengikuti lalu lintas. “Tidak perlu memegang kemudi” dalam desain tertentu tidak secara otomatis berarti “tidak perlu melihat ke luar”. SAE mengelompokkan Level 0–2 sebagai dukungan pengemudi: pengemudi terus mengawasi dan harus mengoreksi fitur tersebut.

Contoh saat ini termasuk dukungan lajur dan jarak di jalan raya, bantuan kemacetan lalu lintas, dan perubahan lajur yang dipandu navigasi. Nama produk saja tidak cukup sebagai bukti level. Wilayah, tahun model, rilis perangkat lunak, kelas jalan, kecepatan, cuaca, dan buku panduan pemilik dapat mengubah kontrak fitur yang sebenarnya.

Sistem pemantauan pengemudi dapat menggabungkan pandangan mata, posisi kepala, kondisi kelopak mata, dan interaksi roda kemudi menjadi skor perhatian sederhana:

Kacamata hitam, silau, oklusi kamera, disabilitas, dan perilaku individu membuat ambang batas apa pun menjadi tidak lengkap. DMS harus memverifikasi asumsi pengawasan dan memicu peringatan bertahap serta penghentian terkontrol. Sistem ini tidak mentransfer tanggung jawab hanya dengan membunyikan peringatan.

Level 3: sistem mengemudi, tetapi dapat meminta bantuan manusia

Pada Level 3, ADS melakukan DDT dan OEDR lengkap dalam ODD terbatas. Pengguna yang siap siaga tidak perlu terus memantau jalan tetapi harus menanggapi permintaan untuk campur tangan. Transisi ini sulit karena seseorang yang kembali dari tugas lain harus merekonstruksi situasi lalu lintas sebelum bertindak.

Waktu yang tersedia T_{hazard} harus memenuhi setidaknya

T_{human} bukanlah waktu penekanan tombol refleksif; ini mencakup pengembalian pandangan, pemahaman situasi, pengambilan keputusan, dan tindakan motorik. Evaluasi ujung distribusi di bawah pengaruh kantuk, usia, malam hari, dan tugas sekunder yang realistis.

Permintaan pengambilalihan tidak membuat perubahan tanggung jawab secara instan. Pengemudi mungkin gagal mendengarnya, salah memahaminya, atau secara medis tidak mampu merespons. Sistem ini masih memerlukan manuver pengurangan risiko—perlambatan terkontrol, mempertahankan lajur, lampu hazard, atau berhenti di bahu jalan yang memungkinkan—yang keamanannya bergantung pada geometri jalan dan lalu lintas di belakangnya.

Level 4: operasi lengkap dalam ODD terbatas

Pada Level 4, ADS melakukan DDT lengkap dan fallback dalam ODD-nya tanpa bergantung pada respons manusia. Angkutan cepat, robotaxi yang dibatasi secara geografis, tambang, pelabuhan, dan tempat penyimpanan logistik adalah domain penyebaran alami karena geografi, kecepatan, dan interaksi dapat dibatasi.

Bantuan jarak jauh dapat menyarankan jalur atau memperjelas suatu adegan tanpa terus menerus mengemudi. Mengemudi jarak jauh secara langsung mengontrol gerakan. Jangan menggabungkan keduanya menjadi "teleoperasi". Kasus keselamatan Level 4 harus mencakup hilangnya komunikasi, kelebihan beban server, rasio operator-ke-kendaraan, latensi, otentikasi, dan kondisi risiko minimal lokal. Komunikasi V2X dapat memperluas kesadaran, tetapi tidak boleh secara diam-diam menjadi titik kegagalan tunggal.

Level 5: Konsep Semua Kondisi

Level 5 tidak terbatas pada ODD tertentu dan mencakup kondisi jalan dan lingkungan yang dapat dikelola oleh pengemudi manusia. Ini tidak berarti setiap titik di Bumi, tetapi tetap merupakan cakupan yang sangat luas: marka jalan yang kabur, salju, rambu polisi sementara, konstruksi, bencana, kendaraan yang tidak biasa, dan kebiasaan jalan regional.

Mulai tahun 2026, konsumen tidak dapat membeli kendaraan yang beroperasi pada Level 5 di jalan umum. NHTSA juga menjelaskan bahwa otomatisasi tertinggi yang saat ini tersedia bagi konsumen masih membutuhkan keterlibatan pengemudi. Pisahkan target penelitian masa depan dari kemampuan yang dapat diaktifkan pelanggan saat ini.

Mengapa level yang lebih tinggi tidak membuktikan keamanan yang lebih besar

Level tersebut menyatakan peran. Level tersebut tidak menyatakan probabilitas tabrakan, daya ingat persepsi, redundansi, keamanan siber, atau kualitas validasi. Kendaraan antar-jemput Level 4 yang tervalidasi dengan baik di kampus terbatas dan fitur jalan raya Level 2 yang luas tidak dapat diberi peringkat hanya berdasarkan angka saja. Keamanan harus dievaluasi secara terpisah.

Keselamatan Fungsional dan SOTIF

Standar keselamatan fungsional ISO 26262 membahas risiko yang tidak wajar akibat kerusakan sistem E/E: pemutusan sensor, kerusakan CPU atau memori, kerusakan aktuator, dan kegagalan daya. Standar SOTIF ISO 21448 membahas bahaya akibat insufisiensi fungsional tanpa kegagalan komponen: kamera yang utuh tetapi tidak dapat menginterpretasikan silau, kabut, atau objek yang tidak biasa. Keamanan siber menambahkan manipulasi musuh terhadap GNSS, peta, jaringan dalam kendaraan, V2X, dan sistem pembaruan perangkat lunak.

Redundansi bukan sekadar menggandakan sesuatu

Redundansi juga membutuhkan analisis penyebab umum. Dua kamera mungkin gagal dalam silau yang sama. Fisika kamera, LiDAR, dan radar yang beragam dapat membantu, tetapi mereka mungkin masih berbagi jam, peta, sumber daya, atau perangkat lunak fusi yang sama.

Mengkuantifikasi margin keselamatan

Jarak tempuh jalan saja tidak efisien untuk kejadian kritis yang jarang terjadi. Buat katalog skenario dari data lapangan dan analisis keselamatan, variasikan parameter dalam simulasi, dan korelasikan perangkat lunak dalam loop, perangkat keras dalam loop, lapangan uji, dan bukti jalan terkontrol.

Untuk jarak relatif d dan kecepatan relatif \Delta v>0, perkiraan sederhana dari deselerasi konstan yang dibutuhkan untuk berhenti adalah

Bandingkan dengan yang dibatasi gesekan dan aktuator a_{avail}. Rasio a_{req}/a_{avail} menunjukkan margin yang semakin berkurang, tetapi tidak menggambarkan pelarian lateral, kendaraan yang mengikuti, atau respons pejalan kaki; pertahankan konteks skenario.

Kembangkan skenario dari fungsional ke logis hingga konkret. “Seorang pejalan kaki muncul dari penghalang” menjadi rentang kecepatan, ukuran penghalang, iluminasi, gesekan, dan waktu kemunculan, kemudian uji sampel konkret. Pengambilan sampel penting dan pemalsuan menargetkan kegagalan batas secara lebih efisien daripada mengemudi acak seragam.

Minimal, laporkan tabrakan dan tingkat keparahannya, jarak minimum dan TTC, intervensi pengemudi dan penyebabnya, pengereman atau kemudi keras yang disebabkan sistem, kesalahan monitor ODD, waktu hingga kondisi risiko minimal, latensi deteksi kesalahan, dan perbedaan simulasi-ke-kendaraan.

Membandingkan ADAS saat ini dengan benar

ACC dan pemusatan jalur secara bersamaan umumnya berada di Level 2 karena pengemudi memantau. Fitur terbatas yang melakukan DDT lengkap dan meminta fallback mungkin berada di Level 3. Layanan tanpa pengemudi yang menyelesaikan fallback di dalam geofence mungkin berada di Level 4. Bacalah fitur dan instruksi yang disetujui, bukan nama pemasarannya.

Kasus batas yang mengungkap logika

Bisakah parkir otomatis berada di Level 4?

Fitur parkir otomatis dapat berada di Level 4 pada kecepatan sangat rendah jika ODD-nya adalah tempat parkir terbatas, manusia tidak memantau lingkungan, dan sistem dapat berhenti dengan aman tanpa respons manusia. Ini menunjukkan bahwa klasifikasi bergantung pada pembagian peran, bukan pada kecepatan atau kecanggihan teknis.

Mengapa AEB yang kuat masih berada di Level 0?

AEB dapat menerapkan pengereman kuat tepat sebelum tabrakan, tetapi tidak terus menerus melakukan pengemudian biasa. Kekuatan intervensi sesaat adalah sumbu terpisah dari tingkat otomatisasi.

Jika tangan dapat meninggalkan kemudi pada Level 2, mengapa masih disebut dikendalikan manusia?

Klasifikasi tersebut tidak bergantung pada posisi tangan, tetapi pada siapa yang memantau lingkungan sekitar dan mengkompensasi kegagalan. Fitur Level 2 yang dipantau tatapan mata dan tanpa campur tangan manusia dimungkinkan, tetapi tanggung jawab untuk menemukan apa yang tidak dapat dirasakan oleh fitur tersebut, dan bertindak berdasarkan hal itu, masih berada di tangan manusia.

Daftar periksa pengembangan

1. Untuk setiap fitur, tetapkan kontrol berkelanjutan, OEDR, dan cadangan dalam bahasa yang mudah dipahami.

2. Ubah ODD menjadi kondisi yang terukur dan identifikasi kondisi yang tidak dapat diamati langsung oleh kendaraan.

3. Tentukan waktu peringatan batas, pelepasan yang aman, dan perilaku risiko minimal untuk keputusan ODD yang salah.

4. Pada Level 2, validasi pengawasan dan DMS; pada Level 3, validasi distribusi pengambilalihan yang realistis.

5. Analisis kesalahan perangkat keras, kekurangan kinerja, dan serangan secara terpisah, lalu cari penyebab umum.

6. Gunakan ID skenario yang sama melalui simulasi, HIL, pelacakan, dan bukti di jalan. 7. Setelah pembaruan OTA, selaraskan kasus keselamatan, ODD, manual, model, peta, dan bukti yang tersimpan.

Ringkasan

Level SAE 0–5 bukanlah tangga kecerdasan. Level tersebut menjelaskan siapa yang melakukan kontrol berkelanjutan, OEDR, dan fallback, serta di mana fitur tersebut dapat beroperasi. Batasan terpenting adalah Level 2 versus Level 3: pada Level 2 manusia mengemudi dan mengawasi; pada Level 3 ADS melakukan DDT saat diaktifkan.

Tanyakan tentang ODD, deteksi batas, waktu transisi, kondisi risiko minimal, dan bukti validasi sebelum menanyakan nomor level. Hal itu mengubah frasa yang samar "pengemudian otomatis" menjadi tanggung jawab yang dapat diuji di seluruh penginderaan, kontrol, faktor manusia, konektivitas, dan regulasi.

Referensi

• SAE International — Bagan visual Tingkat Otomatisasi Mengemudi J3016
• SAE Mobilus — Taksonomi dan definisi J3016
• NHTSA — Keselamatan Kendaraan Otomatis dan Tingkat Otomatisasi
• NHTSA — Peraturan Umum Tetap tentang Pelaporan Kecelakaan ADS dan ADAS Level 2
• ISO — ISO 26262 Kendaraan Jalan Raya — Keselamatan Fungsional
• ISO — ISO 21448 Kendaraan Jalan Raya — Keselamatan Fungsi yang Dimaksudkan
• [UNECE — Peraturan PBB No. 157 Penjagaan Jalur Otomatis] Sistem](https://unece.org/transport/documents/2021/03/standards/un-regulation-no-157-automated-lane-keeping-systems-alks)