Livelli di automazione della guida SAE 0-5: il confine di responsabilità dietro i sistemi ADAS

"Il livello 2 significa che l'auto è parzialmente autonoma" e "il livello 3 è un livello 2 leggermente più sofisticato" sono semplificazioni allettanti ma errate. Lo standard SAE J3016 non classifica il numero di sensori, la precisione dell'IA o la copertura stradale. Classifica, per una determinata funzione quando è attiva, chi si occupa di sterzo, accelerazione, frenata, monitoraggio, risposta agli eventi e gestione del fallimento quando la funzione raggiunge il suo limite.

Un veicolo può essere dotato di frenata automatica d'emergenza di livello 0, di una funzione di assistenza alla guida in autostrada di livello 2 e di una funzione di gestione del traffico di livello 3, in condizioni ben definite. Un livello permanente non è assegnato all'intero veicolo. La domanda utile è sempre: quale funzione, attiva in quale ambito operativo, con quale divisione di responsabilità?

Esempio di un veicolo di produzione con sensori ADAS

Immagine: Subaru WRX S4 2.0GT-S EyeSight (Tokumeigakarinoaoshima, CC BY-SA 4.0), Wikimedia Commons. La fotografia esterna di per sé non identifica un livello di automazione né documenta l'architettura interna del sistema.

In breve

• Ai livelli 0-2, l'essere umano guida e supervisiona continuamente la funzione di assistenza. Il livello 2 può controllare sterzo e velocità contemporaneamente, ma non è Autorizzazione a interrompere il monitoraggio.

• Ai livelli 3-5, un sistema di guida automatizzata (ADS) esegue l'intero compito di guida dinamica quando è attivo. Al livello 3 può richiedere l'intervento umano; il livello 4 deve raggiungere una condizione di rischio minimo entro il suo ODD (Operational Driving Deployment, tempo di guida ottimale) senza dipendere dalla risposta umana.

• La principale differenza tra i livelli 4 e 5 è l'ODD. Il livello 4 è limitato; il livello 5 copre concettualmente tutte le condizioni stradali e ambientali che un conducente umano può gestire.

• Un livello superiore non è un certificato di sicurezza. La tassonomia specifica i ruoli, non il tasso di incidenti, l'accuratezza della percezione, la ridondanza o la qualità del prodotto.

• Il tempo di acquisizione del controllo include il rilevamento, la decisione, la notifica, la ricostruzione della situazione umana e l'attuazione. Un tempo medio di risposta al pulsante non è sufficiente.

Le prove di sicurezza combinano la copertura degli scenari, i guasti e gli attacchi, i margini di rischio di incidente imminente, gli interventi non necessari, la simulazione, l'HIL (Hardware-in-the-Loop), i test su pista e il funzionamento controllato su strade pubbliche.

Quattro domande determinano un livello

Figura 1 — Il confine centrale è tra i livelli 2 e 3. La distinzione non risiede nell'entità dello sterzo, bensì in chi monitora e completa l'attività di guida dinamica.

La determinazione del livello può essere organizzata attorno a quattro domande.

1. Chi esegue il controllo laterale e longitudinale continuo?

2. Chi esegue il rilevamento e la risposta a oggetti ed eventi (OEDR)?

3. Chi esegue il fallback dell'attività di guida dinamica quando la funzione raggiunge un limite?

4. Il funzionamento è limitato a un dominio di progettazione operativo?

Il compito di guida dinamica (DDT) include attività operative e tattiche in tempo reale: sterzata, frenata, accelerazione, selezione della corsia, risposta ai segnali e prevenzione degli ostacoli. La selezione strategica del percorso è normalmente esclusa da questo compito. OEDR significa rilevare e reagire, non semplicemente produrre rilevamenti.

Un ODD (Operational Driver's Domain) è un insieme di condizioni relative a strade, geografia, velocità, meteo, illuminazione, superficie, traffico, mappa e talvolta connettività, in cui una funzionalità è progettata per operare. Per il vettore di condizioni x,

Se una condizione richiesta c_i diventa falsa, la funzionalità deve rifiutare l'attivazione o raggiungere una terminazione sicura. Un requisito che non può essere rilevato, come ad esempio "operare solo in condizioni di buona visibilità" senza una stima validata della visibilità, non è ancora un monitor ODD eseguibile.

Livello 0: è ancora possibile un intervento momentaneo

Al Livello 0, l'essere umano esegue il controllo continuo dello sterzo e della velocità. In questa categoria rientrano l'avviso di collisione frontale, l'avviso di superamento involontario della corsia, l'avviso di angolo cieco e l'intervento momentaneo di frenata automatica di emergenza. Il solo movimento automatico non implica il Livello 1; la differenza sta nel controllo continuo, non in un semplice avviso o in una breve azione di emergenza.

I sistemi ADAS di produzione combinano comunemente la classificazione tramite telecamera con la portata e la velocità relativa del radar automotive. Un semplice indicatore del tempo di collisione in base alla velocità di avvicinamento è:

Questo indicatore non è valido per gli inserimenti laterali e le variazioni di accelerazione. La valutazione della sicurezza deve misurare sia le frenate involontarie che le frenate mancate, poiché una frenata brusca non necessaria può creare un rischio di tamponamento.

Livello 1: supporto allo sterzo o alla velocità

Il Livello 1 supporta continuamente lo sterzo o l'accelerazione/frenata. Il cruise control adattivo è un esempio di supporto longitudinale; il mantenimento della corsia è un esempio di supporto laterale. Il controllo umano rimane invariato e si occupa di tutto il monitoraggio.

Un obiettivo comune per la distanza di sicurezza è

dove d_0 è la distanza di sicurezza da fermo, T_h è l'intervallo di tempo tra veicoli e v è la velocità del veicolo. Se lo spazio di frenata aumenta in caso di pioggia o in discesa, T_h non deve rimanere fisso, ma deve seguire una stima delle condizioni del manto stradale. Due prodotti di Livello 1 possono avere inviluppi di sicurezza molto diversi, anche se la loro classificazione tassonomica è identica.

Livello 2: supporto alla sterzata e alla velocità, con il conducente alla guida

Il Livello 2 può contemporaneamente centrare il veicolo e seguire il traffico. "Mani libere" in una particolare configurazione non significa automaticamente "occhi distolti". La SAE classifica i Livelli 0-2 come sistemi di supporto alla guida: il conducente supervisiona continuamente e deve correggere il comportamento del sistema.

Esempi attuali includono il supporto alla corsia e alla distanza in autostrada, l'assistenza in caso di traffico intenso e i cambi di corsia guidati dalla navigazione. Il nome del prodotto non è sufficiente a determinare il livello. Regione, anno di produzione, versione del software, classe stradale, velocità, condizioni meteorologiche e manuale d'uso possono modificare il contratto effettivo relativo alle funzionalità.

Un sistema di monitoraggio del conducente potrebbe combinare sguardo, posizione della testa, stato delle palpebre e interazione con il volante in un semplice punteggio di attenzione:

Occhiali da sole, abbagliamento, ostruzione della telecamera, disabilità e comportamento individuale rendono incompleta qualsiasi singola soglia. Il sistema di monitoraggio del conducente (DMS) dovrebbe verificare l'ipotesi di supervisione e attivare avvisi sequenziali e un arresto controllato. Il semplice emettere un avviso non trasferisce la responsabilità.

Livello 3: il sistema guida, ma può richiedere l'intervento umano

Al Livello 3, il sistema di guida assistita (ADS) esegue la rilevazione completa del traffico (DDT) e la rilevazione della presenza umana (OEDR) entro un intervallo di tempo limitato. L'utente pronto a intervenire non deve monitorare continuamente la strada, ma deve rispondere a una richiesta di intervento. Questa transizione è complessa perché una persona che rientra da un'altra attività deve ricostruire la scena del traffico prima di agire.

Il tempo disponibile T_{hazard} deve soddisfare almeno

T_{human} non è un tempo di pressione del pulsante riflesso; include il ritorno dello sguardo, la comprensione della situazione, la decisione e l'azione motoria. Valutare la coda della distribuzione in condizioni di sonnolenza, età, notte e compiti secondari realistici.

Una richiesta di assunzione del controllo non comporta un cambio di responsabilità istantaneo. Il conducente potrebbe non sentirla, fraintenderla o essere impossibilitato a rispondere per motivi medici. Il sistema necessita comunque di una manovra di riduzione del rischio – decelerazione controllata, mantenimento della corsia, luci di emergenza o arresto sulla corsia di emergenza – la cui sicurezza dipende dalla geometria stradale e dal traffico che segue.

Livello 4: funzionamento completo entro un ODD limitato

Al Livello 4, il sistema ADS esegue il DDT completo e il fallback entro il suo ODD senza dipendere dalla risposta umana. Navette a bassa velocità, robotaxi con geofencing, miniere, porti e aree logistiche sono domini di implementazione naturali perché geografia, velocità e interazioni possono essere limitate.

L'assistenza remota può suggerire un percorso o chiarire una scena senza guidare continuamente. La guida remota controlla direttamente il movimento. Non bisogna confondere i due concetti nella "teleoperazione". Un caso di sicurezza di Livello 4 deve coprire la perdita di comunicazione, il sovraccarico del server, il rapporto operatore-veicolo, la latenza, l'autenticazione e una condizione locale di rischio minimo. La comunicazione V2X può estendere la consapevolezza, ma non deve diventare silenziosamente un singolo punto di guasto.

Livello 5: il concetto di tutte le condizioni

Il Livello 5 non è limitato a un particolare ODD e copre le condizioni stradali e ambientali che un conducente umano può gestire. Non significa ogni luogo sulla Terra, ma rimane un ambito enorme: segnaletica oscurata, neve, manovre di polizia temporanee, lavori in corso, disastri, veicoli insoliti e consuetudini stradali regionali.

A partire dal 2026, un consumatore non potrà acquistare un veicolo che operi al Livello 5 su strade pubbliche. La NHTSA spiega inoltre che il livello di automazione più elevato attualmente disponibile per i consumatori richiede comunque l'intervento del conducente. È importante distinguere un obiettivo di ricerca futuro dalla funzionalità che un cliente può attivare oggi.

Perché un livello più elevato non garantisce una maggiore sicurezza

Il livello definisce i ruoli. Non indica la probabilità di collisione, la capacità di memorizzazione, la ridondanza, la sicurezza informatica o la qualità della validazione. Un sistema di navetta di Livello 4 ben validato in un campus con accesso limitato e una funzionalità autostradale di Livello 2 su larga scala non possono essere classificati solo in base al numero. La sicurezza deve essere valutata separatamente.

Sicurezza funzionale e SOTIF

La norma ISO 26262 sulla sicurezza funzionale affronta il rischio irragionevole derivante da malfunzionamenti dei sistemi elettrici/elettronici: disconnessione dei sensori, guasti alla CPU o alla memoria, guasti agli attuatori e interruzione di corrente. La norma ISO 21448 SOTIF affronta i pericoli derivanti da insufficienze funzionali senza guasti ai componenti: una telecamera integra ma incapace di interpretare riflessi, nebbia o oggetti insoliti. La sicurezza informatica include la manipolazione da parte di malintenzionati di GNSS, mappe, reti di bordo, V2X e sistemi di aggiornamento software.

La ridondanza non significa semplicemente raddoppiare qualcosa

La ridondanza richiede anche un'analisi delle cause comuni. Due telecamere possono guastarsi a causa dello stesso riflesso. Diverse telecamere, LiDAR e principi fisici del radar possono essere d'aiuto, ma potrebbero comunque condividere lo stesso clock, la stessa mappa, la stessa fonte di alimentazione o lo stesso software di fusione.

Quantificazione dei margini di sicurezza

Il solo chilometraggio su strada è insufficiente per eventi critici rari. È necessario creare un catalogo di scenari a partire da dati sul campo e analisi di sicurezza, variare i parametri in simulazione e correlare i dati provenienti da sistemi software-in-the-loop, hardware-in-the-loop, campi prova e strade controllate.

Per una distanza relativa d e una velocità relativa \Delta v>0, una stima semplificata della decelerazione costante necessaria per l'arresto è:

Confrontatela con a_{avail}, limitata dall'attrito e dall'attuatore. Il rapporto a_{req}/a_{avail} rivela un margine decrescente, ma non descrive la fuga laterale, la presenza di un veicolo che segue o la reazione di un pedone; mantenete il contesto dello scenario.

Sviluppate gli scenari partendo da quelli funzionali, passando a quelli logici e infine a quelli concreti. "Un pedone emerge da un'occlusione" diventa un insieme di intervalli di velocità, dimensioni dell'occludente, illuminazione, attrito e tempo di emersione, quindi test concreti basati su campioni. Il campionamento per importanza e la falsificazione individuano i guasti ai limiti in modo più efficiente rispetto alla guida casuale uniforme.

Come minimo, segnalare collisioni e gravità, distanza minima e TTC (Time To Control), interventi del conducente e relative cause, frenate o sterzate brusche indotte dal sistema, errori del monitor ODD (Operational Driver-Driven), tempo per raggiungere la condizione di rischio minimo, latenza di rilevamento dei guasti e discrepanza tra simulazione e veicolo.

Confrontare correttamente gli ADAS attuali

Il controllo adattivo della velocità (ACC) e il mantenimento della corsia simultanei sono generalmente di Livello 2 perché il conducente monitora la situazione. Una funzionalità limitata che esegue il DDT completo e richiede il fallback può essere di Livello 3. Un servizio di guida autonoma che completa il fallback all'interno di un geofence può essere di Livello 4. Leggete la funzionalità approvata e le relative istruzioni, non il nome commerciale.

Casi limite che chiariscono la logica

Il parcheggio automatico può essere di Livello 4?

Una funzionalità di parcheggio automatico può essere di Livello 4 a velocità molto basse se il suo ODD è un parcheggio limitato, l'operatore umano non monitora l'ambiente circostante e il sistema può arrestarsi in sicurezza senza intervento umano. Questo dimostra che la classificazione dipende dalla divisione dei ruoli, non dalla velocità o dalla spettacolarità tecnologica.

Perché un AEB potente è ancora di Livello 0?

L'AEB può applicare una frenata forte immediatamente prima di una collisione, ma non esegue continuamente la guida ordinaria. L'intensità di un intervento momentaneo è un aspetto distinto dal livello di automazione.

Se le mani possono lasciare il volante al Livello 2, perché viene ancora definito "guida umana"?

La classificazione non dipende dalla posizione della mano, ma da chi monitora l'ambiente circostante e compensa eventuali guasti. È possibile implementare una funzionalità di Livello 2 con monitoraggio dello sguardo e senza intervento manuale, ma la responsabilità di individuare ciò che la funzionalità non può percepire e di agire di conseguenza rimane comunque in capo all'operatore umano.

Lista di controllo per lo sviluppo

1. Per ogni funzionalità, assegnare, in termini semplici, il controllo continuo, l'OEDR (Overall Equipment Detection and Response) e il fallback.

2. Trasformare l'ODD (Operational Design Data) in condizioni misurabili e identificare le condizioni che il veicolo non può osservare direttamente.

3. Definire il tempo di avviso al limite, il disimpegno sicuro e il comportamento a rischio minimo per le decisioni ODD errate.

4. Al Livello 2, validare la supervisione e il DMS (Demand Management System); al Livello 3, validare distribuzioni realistiche di acquisizione del controllo.

5. Analizzare separatamente i guasti hardware, le prestazioni insufficienti e gli attacchi, quindi ricercare le cause comuni.

6. Mantenere lo stesso ID di scenario attraverso simulazioni, HIL (Hardware-in-the-Loop), prove in pista e su strada.

7. Dopo gli aggiornamenti OTA, verificare la conformità del dossier di sicurezza, del documento operativo (ODD), del manuale, del modello, delle mappe e delle prove archiviate.

Riepilogo

I livelli SAE da 0 a 5 non rappresentano una scala di intelligenza. Descrivono chi esegue il controllo continuo, l'OEDR (Operational Emergency Response Detection) e il fallback, e dove la funzionalità può operare. Il confine più importante è tra il Livello 2 e il Livello 3: al Livello 2 l'essere umano guida e supervisiona; al Livello 3 il sistema di guida autonoma (ADS) esegue il DDT (Driver Development Test) quando è attivo.

Prima di chiedere il numero del livello, è necessario informarsi sul documento operativo (ODD), sul rilevamento dei limiti, sul tempo di transizione, sulle condizioni di rischio minimo e sulle prove di validazione. Questo trasforma la vaga espressione "guida autonoma" in responsabilità verificabili in ambito di rilevamento, controllo, fattori umani, connettività e regolamentazione.

Riferimenti

• SAE International — Tabella visiva dei livelli di automazione della guida J3016
• SAE Mobilus — Tassonomia e definizioni J3016
• NHTSA — Sicurezza dei veicoli automatizzati e livelli di automazione
• NHTSA — Ordine generale permanente sulla segnalazione di incidenti ADS e ADAS di livello 2
• ISO — ISO 26262 Veicoli stradali — Sicurezza funzionale
• ISO — ISO 21448 Veicoli stradali — Sicurezza della funzionalità prevista
• UNECE — Regolamento ONU n. 157 Sistemi automatizzati di mantenimento della corsia