SAE 주행 자동화 레벨 0~5 — ADAS의 책임 범위

"레벨 2는 차량이 반쯤 자율 주행 상태라는 뜻입니다." 또는 "레벨 3은 레벨 2보다 약간 더 똑똑한 수준입니다."와 같은 표현은 그럴듯해 보이지만 잘못된 지름길입니다. SAE J3016은 센서 개수, AI 정확도, 도로 커버리지 등을 기준으로 순위를 매기지 않습니다. 이 표준은 특정 기능이 작동 중일 때 조향, 가속, 제동, 모니터링, 이벤트 대응, 그리고 해당 기능이 한계에 도달했을 때의 대체 기능을 누가 수행하는지를 분류합니다.

하나의 차량에 레벨 0 자동 긴급 제동 기능, 레벨 2 고속도로 주행 보조 기능, 그리고 제한적인 조건에서 작동하는 레벨 3 교통 체증 보조 기능이 모두 포함될 수 있습니다. 차량 전체에 고정된 레벨이 있는 것이 아닙니다. 항상 중요한 질문은 다음과 같습니다. 어떤 기능이 어떤 작동 설계 영역에서 어떤 책임 분담으로 작동하는가?

ADAS 감지 기능이 탑재된 양산 차량의 예시

이미지: 스바루 WRX S4 2.0GT-S EyeSight (Tokumeigakarinoaoshima, CC BY-SA 4.0), Wikimedia Commons. 외부 사진 자체만으로는 자동화 수준을 식별하거나 내부 시스템 아키텍처를 설명하지 않습니다.

간략한 결론

• 레벨 0~2에서는 운전자가 직접 운전하며 보조 기능을 지속적으로 감독합니다. 레벨 2에서는 조향과 속도를 동시에 제어할 수 있지만, 모니터링을 중지할 수는 없습니다.

• 레벨 3~4에서는 3~5단계에서 자동 주행 시스템(ADS)은 작동 중 완전한 동적 주행 작업을 수행합니다. 3단계에서는 인간의 개입을 요청할 수 있지만, 4단계에서는 인간의 반응에 의존하지 않고 자체적인 주행 가능 범위(ODD) 내에서 최소 위험 상태를 달성해야 합니다.

• 4단계와 5단계의 주요 차이점은 ODD입니다. 4단계는 제한적이지만, 5단계는 인간 운전자가 관리할 수 있는 모든 도로 및 환경 조건을 개념적으로 포괄합니다.

• 더 높은 단계가 안전 인증을 의미하는 것은 아닙니다. 이 분류 체계는 역할을 명시하는 것이지 충돌률, 인지 정확도, 중복성 또는 제품 품질을 의미하는 것은 아닙니다.

• 제어권 인계 시간은 감지, 결정, 알림, 인간 상황 재구성 및 작동을 포함합니다. 평균 버튼 응답 시간만으로는 충분하지 않습니다.

• 안전 증거는 시나리오 범위, 오류 및 공격, 충돌 직전 상황, 불필요한 개입, 시뮬레이션, HIL, 트랙 및 통제된 공공 도로 주행을 종합적으로 고려합니다.

네 가지 질문으로 단계 결정

그림 1 — 중앙 경계는 레벨 2와 3 사이입니다. 구분 기준은 조향 크기가 아니라 동적 주행 작업을 모니터링하고 완료하는 주체입니다.

레벨 결정은 다음 네 가지 질문을 중심으로 구성할 수 있습니다.

1. 지속적인 횡방향 제어 및 종방향 제어는 누가 수행하는가?

2. 물체 및 이벤트 감지 및 대응(OEDR)은 누가 수행하는가?

3. 기능이 한계에 도달했을 때 동적 주행 작업의 대체는 누가 수행하는가?

4. 작동이 운영 설계 영역으로 제한되는가?

동적 주행 작업(DDT)에는 실시간 운영 및 전술 작업(조향, 제동, 가속, 차선 선택, 신호 응답, 물체 회피)이 포함됩니다. 전략적 경로 선택은 일반적으로 이 영역에 속하지 않습니다. OEDR은 단순히 감지 결과를 생성하는 것이 아니라 감지하고 대응하는 것을 의미합니다.

ODD는 도로, 지형, 속도, 날씨, 조명, 노면 상태, 교통량, 지도, 그리고 경우에 따라 연결성 등의 조건을 포함하는 집합으로, 특정 기능이 작동하도록 설계된 환경입니다. 조건 벡터 x의 경우,

필수 조건 c_i가 거짓이 되면, 해당 기능은 작동을 중단하거나 안전하게 종료되어야 합니다. 검증된 가시성 추정치 없이 "가시성이 좋을 때만 작동"과 같이 감지할 수 없는 요구 사항은 아직 실행 가능한 ODD 모니터가 아닙니다.

레벨 0: 순간적인 개입 가능

레벨 0에서는 사람이 지속적으로 조향 및 속도 제어를 수행합니다. 전방 충돌 경고, 차선 이탈 경고, 사각지대 경고, 그리고 순간적인 자동 비상 제동 개입이 여기에 해당될 수 있습니다. 자동 움직임만으로는 레벨 1이 아닙니다. 레벨 1의 차이점은 경고나 짧은 비상 조치가 아닌 지속적인 제어를 수행한다는 점입니다.

양산형 ADAS는 일반적으로 카메라 분류와 자동차 레이더(AR) 감지 범위 및 상대 속도를 결합합니다. 간단한 접근 속도에 따른 충돌까지의 시간은 다음과 같습니다.

이 공식은 측면 끼어들기나 가속도 변화에는 적용되지 않습니다. 안전 평가에서는 불필요한 급정거가 후방 추돌 위험을 초래할 수 있으므로, 급제동 실패뿐 아니라 급제동 오류도 측정해야 합니다.

레벨 1: 조향 또는 속도 지원

레벨 1은 조향 또는 가속/제동 중 하나를 지속적으로 지원합니다. 어댑티브 크루즈 컨트롤은 종방향 지원의 예이고, 차선 유지 보조는 횡방향 지원의 예입니다. 나머지 제어 및 모든 모니터링은 운전자가 담당합니다.

일반적인 차간 거리 목표치는 다음과 같습니다.

여기서 d_0은 정지 상태 간격, T_h은 시간 간격, v은 자율 주행 속도입니다. 비가 오거나 내리막길에서 제동 거리가 늘어나는 경우, T_h은 고정된 값을 유지해서는 안 되며, 노면 상태를 추정하여 변화해야 합니다. 레벨 1 제품이라도 분류 명칭이 동일하더라도 안전 범위는 크게 다를 수 있습니다.

레벨 2: 운전자가 운전하는 동안 조향 및 속도 제어 지원

레벨 2는 차량의 중심을 유지하면서 동시에 교통 흐름을 따라갈 수 있습니다. 특정 설계에서 "핸즈프리"가 자동으로 "시야 확보"를 의미하는 것은 아닙니다. SAE는 레벨 0~2를 운전자 지원 기능으로 분류합니다. 이 경우 운전자는 지속적으로 차량을 감독하고 기능을 수정해야 합니다.

현재의 예로는 고속도로 차선 및 거리 유지 지원, 교통 체증 보조, 내비게이션 기반 차선 변경 등이 있습니다. 제품명만으로는 레벨을 판단하기에 충분하지 않습니다. 지역, 모델 연식, 소프트웨어 버전, 도로 등급, 속도, 날씨, 사용 설명서 등 다양한 요인이 실제 기능의 작동 범위를 변경할 수 있습니다.

운전자 모니터링 시스템(DMS)은 시선, 머리 자세, 눈꺼풀 상태, 스티어링 휠 조작 등을 결합하여 간단한 주의력 점수를 산출할 수 있습니다.

선글라스, 눈부심, 카메라 가림, 장애, 개인 행동 등의 요인으로 인해 단일 임계값만으로는 충분하지 않습니다. DMS는 감독 가정을 확인하고 단계별 경고 및 제어된 정지를 유발해야 합니다. 단순히 경고음을 울리는 것만으로는 책임을 전가할 수 없습니다.

레벨 3: 시스템이 운전하지만, 인간 개입을 요청할 수 있음

레벨 3에서는 ADS가 제한된 ODD 내에서 완전한 DDT(운전자 주도 절차) 및 OEDR(운전자 개입 절차)을 수행합니다. 개입 준비가 된 운전자는 도로를 지속적으로 모니터링할 필요는 없지만, 개입 요청에 응답해야 합니다. 다른 작업을 수행하다가 복귀한 운전자는 행동하기 전에 교통 상황을 재구성해야 하므로 이러한 전환은 어렵습니다.

가용 시간 T_{hazard}은 최소한 다음을 충족해야 합니다.

T_{human}은 반사적인 버튼 누름 시간이 아닙니다. 여기에는 시선 복귀, 상황 이해, 의사 결정 및 운동 동작이 포함됩니다. 졸음, 연령, 야간 및 현실적인 보조 작업 상황에서 분포의 꼬리 부분을 평가해야 합니다.

인수 요청이 즉시 책임 전환을 의미하는 것은 아닙니다. 운전자가 요청을 듣지 못하거나, 오해하거나, 의학적으로 응답할 수 없는 상황이 발생할 수 있습니다. 시스템은 여전히 도로 구조와 뒤따르는 차량에 따라 안전성이 결정되는 위험 감소 조치(제어된 감속, 차선 유지, 비상등 점등 또는 적절한 갓길 정차)를 필요로 합니다.

레벨 4: 제한된 ODD 내에서의 완전한 작동

레벨 4에서 ADS는 인간의 반응에 의존하지 않고 ODD 내에서 완전한 DDT(운전 결정 및 복구)를 수행합니다. 저속 셔틀, 지오펜싱된 로보택시, 광산, 항만 및 물류 야드는 지리적 조건, 속도 및 상호 작용이 제한될 수 있으므로 적합한 배포 영역입니다.

원격 지원은 지속적인 운전 없이 경로를 제안하거나 상황을 명확히 할 수 있습니다. 원격 운전은 동작을 직접 제어합니다. 이 두 가지를 "원격 조작"으로 통합해서는 안 됩니다. 레벨 4 안전성 평가는 통신 두절, 서버 과부하, 운전자 대 차량 비율, 지연 시간, 인증, 그리고 지역적 최소 위험 상황을 포함해야 합니다. V2X 통신은 상황 인식을 확장할 수 있지만, 조용히 단일 장애 지점이 되어서는 안 됩니다.

레벨 5: 모든 조건 개념

레벨 5는 특정 ODD(Operational Data Device)에 국한되지 않고, 인간 운전자가 관리할 수 있는 도로 및 환경 조건을 포괄합니다. 지구상의 모든 지점을 의미하는 것은 아니지만, 가려진 도로 표시, 눈길, 임시 경찰 신호, 공사, 재난, 특이한 차량, 지역 도로 관습 등 광범위한 범위를 포괄합니다.

2026년 현재, 일반 도로에서 레벨 5 수준으로 작동하는 차량은 소비자가 구매할 수 없습니다. NHTSA(미국 도로교통안전국) 또한 현재 소비자가 이용할 수 있는 최고 수준의 자동화조차도 여전히 운전자의 개입을 필요로 한다고 설명합니다. 미래 연구 목표와 고객이 현재 활성화할 수 있는 기능을 구분해야 합니다.

더 높은 레벨이 더 높은 안전성을 보장하지 않는 이유

레벨은 역할을 명시합니다. 충돌 확률, 인지 재현성, 중복성, 사이버 보안 또는 검증 품질은 명시되어 있지 않습니다. 제한된 캠퍼스 내에서 잘 검증된 레벨 4 셔틀과 광범위한 고속도로 환경에서 작동하는 레벨 2 기능을 단순히 숫자만으로 순위를 매길 수는 없습니다. 안전성은 별도로 평가해야 합니다.

기능 안전 및 SOTIF

ISO 26262 기능 안전은 센서 연결 해제, CPU 또는 메모리 오류, 액추에이터 오류 및 전원 장애와 같은 E/E 시스템 오작동으로 인한 불합리한 위험을 다룹니다. ISO 21448 SOTIF는 구성 요소 고장 없이 기능적 불충분으로 인한 위험을 다룹니다. 예를 들어 카메라가 손상되지 않았지만 눈부심, 안개 또는 비정상적인 물체를 인식하지 못하는 경우입니다. 사이버 보안에는 GNSS, 지도, 차량 내 네트워크, V2X 및 소프트웨어 업데이트 시스템에 대한 악의적인 조작이 포함됩니다.

중복성은 단순히 무언가를 두 배로 늘리는 것이 아닙니다.

중복성은 공통 원인 분석도 필요로 합니다. 두 대의 카메라가 동일한 눈부심 상황에서 고장날 수 있습니다. 다양한 카메라, LiDAR 및 레이더의 물리적 특성은 도움이 될 수 있지만, 여전히 동일한 시계, 지도, 전원 또는 융합 소프트웨어를 공유할 수 있습니다.

안전 여유 정량화

단순한 주행 거리만으로는 드물게 발생하는 중요한 사건을 예측하는 데 비효율적입니다. 현장 데이터와 안전 분석을 기반으로 시나리오 카탈로그를 구축하고, 시뮬레이션에서 매개변수를 변경하고, 소프트웨어 루프, 하드웨어 루프, 시험장 및 통제된 도로에서의 증거를 상호 연관시켜야 합니다.

상대 거리 d 및 상대 속도 \Delta v>0에 대해 정지하는 데 필요한 일정한 감속도의 간소화된 추정치는 다음과 같습니다.

마찰 및 액추에이터 제한 a_{avail}와 비교하십시오. a_{req}/a_{avail} 비율은 여유 마진이 감소함을 보여주지만, 측면 탈출, 후방 차량 또는 보행자 반응을 설명하지는 않습니다. 시나리오 맥락을 유지하십시오.

기능적 시나리오에서 논리적 시나리오, 그리고 구체적인 시나리오로 발전시키십시오. "보행자가 가림막에서 나오는 상황"은 속도, 가림막 크기, 조명, 마찰력, 그리고 출현 시간의 범위로 세분화되고, 구체적인 샘플링 테스트로 이어집니다. 중요도 샘플링과 반증은 균일한 무작위 주행보다 경계 오류를 더 효율적으로 찾아냅니다.

최소한 충돌 및 심각도, 최소 거리 및 TTC(Time to Control), 운전자 개입 및 그 원인, 시스템으로 인한 급제동 또는 급조향, ODD 모니터 오류, 최소 위험 상태 도달 시간, 오류 감지 지연 시간, 시뮬레이션과 차량 간의 차이를 보고해야 합니다.

현재 ADAS를 올바르게 비교하기

동시 ACC 및 차선 중앙 유지 기능은 운전자가 모니터링하기 때문에 일반적으로 레벨 2입니다. 완전한 DDT를 수행하고 대체 수단을 요청하는 제한적인 기능은 레벨 3일 수 있습니다. 지오펜스 내에서 대체 수단을 완료하는 무인 서비스는 레벨 4일 수 있습니다. 마케팅 이름이 아닌 승인된 기능 및 지침을 참조하십시오.

논리를 드러내는 경계 사례

자동 주차는 레벨 4일 수 있습니까?

자동 주차 기능은 ODD가 제한된 주차 공간이고, 운전자가 주변 환경을 모니터링하지 않으며, 시스템이 운전자의 반응 없이 안전하게 정지할 수 있는 경우 매우 낮은 속도에서 레벨 4가 될 수 있습니다. 이는 분류 기준이 속도나 기술적 화려함이 아니라 역할 분담에 따라 결정됨을 보여줍니다.

강력한 AEB 기능이 왜 여전히 레벨 0일까요?

AEB는 충돌 직전에 강력한 제동을 걸 수 있지만, 일반적인 주행을 지속적으로 수행하지는 않습니다. 순간적인 개입의 강도는 자동화 수준과는 별개의 요소입니다.

레벨 2에서 운전자가 핸들에서 손을 뗄 수 있다면 왜 여전히 인간 운전이라고 부를까요?

분류는 손의 위치가 아니라 주변 상황을 감시하고 오류를 보완하는 주체에 따라 결정됩니다. 시선 추적을 통한 핸들 미조종 레벨 2 기능은 가능하지만, 기능이 인지하지 못하는 것을 찾아내고 그에 따라 행동하는 책임은 여전히 운전자에게 있습니다.

개발 체크리스트

1. 모든 기능에 대해 지속 제어, OEDR(사고 감지 및 복구), 그리고 대체 방안을 명확한 언어로 정의합니다.

2. ODD(사고 감지 오류)를 측정 가능한 조건으로 변환하고 차량이 직접 감지할 수 없는 조건을 식별합니다.

3. 경계 경고 시간, 안전한 해제 시점, 그리고 ODD 오류 발생 시 최소 위험 행동을 정의합니다. 4. 레벨 2에서는 감독 및 DMS를 검증하고, 레벨 3에서는 현실적인 인수 분배를 검증합니다.

4. 하드웨어 결함, 성능 부족 및 공격을 각각 분석한 후 공통 원인을 찾습니다.

5. 시뮬레이션, HIL, 트랙 및 도로 증거 전반에 걸쳐 동일한 시나리오 ID를 사용합니다.

6. OTA 업데이트 후 안전성 평가, ODD, 매뉴얼, 모델, 지도 및 저장된 증거를 종합적으로 검토합니다.

요약

SAE 레벨 0~5는 지능 수준의 단계적 체계가 아닙니다. 이는 지속적인 제어, OEDR 및 폴백을 누가 수행하는지, 그리고 해당 기능이 어디에서 작동할 수 있는지를 설명합니다. 가장 중요한 경계는 레벨 2와 레벨 3의 차이입니다. 레벨 2에서는 사람이 운전하고 감독하지만, 레벨 3에서는 ADS가 작동 중에 DDT를 수행합니다.

레벨 번호를 묻기 전에 ODD, 경계 감지, 전환 시간, 최소 위험 조건 및 검증 증거에 대해 먼저 문의하십시오. 이는 모호한 "자율주행"이라는 표현을 감지, 제어, 인간 요소, 연결성 및 규제 전반에 걸쳐 검증 가능한 책임 영역으로 전환합니다.

참고 자료

• SAE International — J3016 주행 자동화 레벨 시각화 차트
• SAE Mobilus — J3016 분류 체계 및 정의
• NHTSA — 자율주행 차량 안전 및 자동화 레벨
• NHTSA — ADS 및 레벨 2 ADAS 충돌 보고에 관한 일반 지침
• ISO — ISO 26262 도로 차량 — 기능 안전
• ISO — ISO 21448 도로 차량 — 의도된 기능의 안전
• [UNECE — UN 규정 제157호 자동 차선] 유지 시스템](https://unece.org/transport/documents/2021/03/standards/un-regulation-no-157-automated-lane-keeping-systems-alks)