Níveis de Automação de Condução da SAE 0–5 — Os Limites de Responsabilidade por Trás dos Sistemas Avançados de Assistência ao Condutor (ADAS)

“Nível 2 significa que o carro é parcialmente autônomo” e “Nível 3 é um Nível 2 um pouco mais inteligente” são atalhos tentadores, mas errados. A norma SAE J3016 não classifica a quantidade de sensores, a precisão da IA ou a cobertura da estrada. Ela classifica, para uma funcionalidade enquanto ativada, quem executa a direção, a aceleração, a frenagem, o monitoramento, a resposta a eventos e o controle de emergência quando a funcionalidade atinge seu limite.

Um veículo pode conter frenagem automática de emergência de Nível 0, um recurso de assistência em rodovias de Nível 2 e um recurso de congestionamento de Nível 3 sob condições bastante específicas. Um nível permanente não é atribuído a todo o veículo. A pergunta útil é sempre: qual funcionalidade, ativada em qual domínio de projeto operacional, com qual divisão de responsabilidade?

Exemplo de um veículo de produção com sensores ADAS

Imagem: Subaru WRX S4 2.0GT-S EyeSight (Tokumeigakarinoaoshima, CC BY-SA 4.0), Wikimedia Commons. A fotografia externa não identifica por si só um nível de automação nem documenta a arquitetura interna do sistema.

Breve conclusão

• Nos níveis 0 a 2, o condutor humano dirige e supervisiona continuamente o sistema de assistência. O nível 2 permite o controle simultâneo da direção e da velocidade, mas não é permitido... Interrompa o monitoramento.
• Nos níveis 3 a 5, um sistema de direção automatizada (ADS) executa a tarefa completa de direção dinâmica enquanto estiver ativado. No nível 3, ele pode solicitar intervenção humana; o nível 4 deve atingir uma condição de risco mínimo dentro de sua ODD (Optimal Dynamic Driver - Direção Dinâmica Operacional) sem depender da resposta humana.

• A principal diferença entre os níveis 4 e 5 é a ODD. O nível 4 é limitado; o nível 5 abrange conceitualmente todas as condições da via e do ambiente que um motorista humano pode gerenciar.

• Um nível mais alto não é um certificado de segurança. A taxonomia especifica funções, não taxa de acidentes, precisão da percepção, redundância ou qualidade do produto.

• O tempo de retomada do controle inclui detecção, decisão, notificação, reconstrução da situação humana e atuação. Um tempo médio de resposta ao botão não é suficiente.

• As evidências de segurança combinam cobertura de cenários, falhas e ataques, margens de quase acidentes, intervenções desnecessárias, simulação, HIL (Hardware-in-the-Loop - HIL), pistas e operação controlada em vias públicas.

Quatro perguntas determinam um nível

Figura 1 — O limite central está entre os Níveis 2 e 3. A distinção não é a magnitude da direção; é quem monitora e executa a tarefa de direção dinâmica.

A determinação do nível pode ser organizada em torno de quatro perguntas.

1. Quem realiza o controle lateral e longitudinal sustentado?

2. Quem realiza a detecção e resposta a objetos e eventos (OEDR)?

3. Quem realiza o fallback da tarefa de direção dinâmica quando o recurso atinge um limite?

4. A operação é restrita a um domínio de projeto operacional?

A tarefa de direção dinâmica (DDT) inclui trabalho operacional e tático em tempo real: direção, frenagem, aceleração, seleção de faixa, resposta a sinais e desvio de objetos. A seleção estratégica de viagem normalmente está fora disso. OEDR significa detectar e responder, não simplesmente produzir detecções.

Um ODD (Over-the-Domain Device) é um conjunto de condições de estradas, geografia, velocidades, clima, iluminação, superfície, tráfego, mapa e, às vezes, conectividade, nas quais um recurso é projetado para operar. Para o vetor de condição x,

Se uma condição obrigatória c_i se tornar falsa, o recurso deve rejeitar o engajamento ou atingir um término seguro. Um requisito que não pode ser detectado — como "operar somente quando a visibilidade for boa" sem uma estimativa de visibilidade validada — ainda não é um monitor ODD executável.

Nível 0: intervenção momentânea ainda é possível

No Nível 0, o humano realiza o controle contínuo da direção e da velocidade. Alerta de colisão frontal, alerta de saída de faixa, alerta de ponto cego e uma intervenção momentânea de frenagem automática de emergência podem se enquadrar aqui. O movimento automático por si só não implica o Nível 1; a distinção reside no controle contínuo, em vez de um alerta ou uma breve ação de emergência.

Os sistemas ADAS de produção geralmente combinam a classificação por câmera com o alcance do radar automotivo e a velocidade relativa. Um tempo de aproximação simples para colisão é:

Ele se torna menos preciso em mudanças de direção laterais e em aceleração variável. A avaliação de segurança deve medir frenagens falsas, bem como frenagens perdidas, pois uma parada brusca desnecessária pode criar risco de impacto traseiro.

Nível 1: assistência à direção ou à velocidade

O Nível 1 oferece suporte contínuo à direção ou à aceleração/frenagem. O controle de cruzeiro adaptativo é um exemplo longitudinal; a centralização na faixa é um exemplo lateral. O motorista realiza o restante do controle e todo o monitoramento.

Uma meta comum de distância de seguimento é:

onde d_0 é a distância de segurança em repouso, T_h é o intervalo de tempo e v é a velocidade do veículo da frente. Se a distância de frenagem aumentar na chuva ou em declives, o T_h não deve permanecer fixo — ele deve acompanhar uma estimativa da superfície da estrada. Dois produtos de Nível 1 podem ter níveis de segurança muito diferentes, mesmo que sua classificação seja idêntica.

Nível 2: assistência à direção e à velocidade, enquanto o motorista dirige

O Nível 2 pode centralizar o veículo e seguir o tráfego simultaneamente. "Sem as mãos" em um determinado projeto não significa automaticamente "sem olhares". A SAE agrupa os Níveis 0 a 2 como assistência ao motorista: o motorista supervisiona continuamente e deve corrigir o recurso.

Exemplos atuais incluem assistência de faixa e distância em rodovias, assistência em congestionamentos e mudanças de faixa guiadas por navegação. Os nomes dos produtos não são evidência suficiente do nível. Região, ano do modelo, versão do software, classe da estrada, velocidade, clima e o manual do proprietário podem alterar o escopo real do recurso.

Um sistema de monitoramento do motorista pode combinar o olhar, a posição da cabeça, o estado das pálpebras e a interação com o volante em uma pontuação de atenção simples:

Óculos de sol, brilho excessivo, obstrução da câmera, deficiência e comportamento individual tornam qualquer limiar incompleto. O DMS deve verificar a suposição de supervisão e acionar alertas em etapas e uma parada controlada. Ele não transfere a responsabilidade simplesmente emitindo um aviso sonoro.

Nível 3: o sistema dirige, mas pode solicitar intervenção humana

No Nível 3, o ADS executa o DDT e o OEDR completos dentro de um ODD limitado. O usuário pronto para intervenção não precisa monitorar a estrada continuamente, mas deve responder a uma solicitação para intervir. Essa transição é difícil porque uma pessoa que retorna de outra tarefa precisa reconstruir a cena do tráfego antes de agir.

O tempo disponível T_{hazard} deve satisfazer pelo menos

T_{human} não é um tempo de pressionamento de botão reflexo; Inclui retorno do olhar, compreensão da situação, tomada de decisão e ação motora. Avalie a cauda da distribuição sob sonolência, idade, noite e tarefas secundárias realistas.

Uma solicitação de retomada do controle não altera a responsabilidade instantaneamente. O motorista pode não ouvi-la, interpretá-la erroneamente ou estar clinicamente incapacitado de responder. O sistema ainda precisa de uma manobra de redução de risco — desaceleração controlada, manutenção da faixa, luzes de emergência ou uma parada viável no acostamento — cuja segurança depende da geometria da via e do tráfego subsequente.

Nível 4: operação completa dentro de um ODD limitado

No Nível 4, o ADS executa o DDT completo e o fallback dentro de seu ODD sem depender da resposta humana. Ônibus de baixa velocidade, robotáxis com geofencing, minas, portos e pátios logísticos são domínios de implantação naturais, pois a geografia, a velocidade e as interações podem ser restringidas.

A assistência remota pode sugerir um caminho ou esclarecer uma cena sem dirigir continuamente. A direção remota controla diretamente o movimento. Não confunda os dois em “teleoperação”. Um caso de segurança de Nível 4 deve abranger perda de comunicação, sobrecarga do servidor, proporção operador-veículo, latência, autenticação e uma condição local de risco mínimo. A comunicação V2X pode ampliar a percepção, mas não deve se tornar silenciosamente um ponto único de falha.

Nível 5: o conceito de todas as condições

O Nível 5 não se restringe a um ODD específico e abrange as condições da via e do ambiente que um motorista humano pode gerenciar. Não significa todos os lugares da Terra, mas ainda assim é um escopo enorme: sinalização obscurecida, neve, sinais temporários da polícia, obras, desastres, veículos incomuns e costumes rodoviários regionais.

A partir de 2026, um consumidor não poderá comprar um veículo que opere no Nível 5 em vias públicas comuns. A NHTSA também explica que o nível mais alto de automação atualmente disponível para os consumidores ainda requer a intervenção do motorista. Separe um objetivo de pesquisa futuro da capacidade que um cliente pode ativar hoje.

Por que um nível mais alto não garante maior segurança

O nível define funções. Não especifica probabilidade de colisão, recuperação de percepção, redundância, cibersegurança ou qualidade de validação. Um sistema de transporte de Nível 4 bem validado em um campus restrito e um sistema de transporte de Nível 2 em uma rodovia ampla não podem ser classificados apenas pelo número. A segurança deve ser avaliada separadamente.

Segurança funcional e SOTIF

A norma ISO 26262 de segurança funcional aborda o risco irrazoável de sistemas elétricos/eletrônicos com mau funcionamento: desconexão de sensores, falhas na CPU ou na memória, falhas nos atuadores e falha de energia. A norma ISO 21448 de SOTIF aborda os riscos decorrentes de insuficiência funcional sem falha de componentes: uma câmera intacta, mas incapaz de interpretar reflexos, neblina ou um objeto incomum. A cibersegurança adiciona a manipulação maliciosa de GNSS, mapas, redes veiculares, V2X e sistemas de atualização de software.

Redundância não é simplesmente duplicar algo

A redundância também requer análise de causa comum. Duas câmeras podem falhar no mesmo reflexo. Diversas câmeras, LiDAR e física de radar podem ajudar, mas ainda podem compartilhar o mesmo relógio, mapa, fonte de energia ou software de fusão.

Quantificando margens de segurança

A quilometragem rodoviária por si só é ineficiente para eventos críticos raros. Construa um catálogo de cenários a partir de dados de campo e análise de segurança, varie os parâmetros na simulação e correlacione evidências de software em loop, hardware em loop, pista de testes e estrada controlada.

Para distância relativa d e velocidade relativa \Delta v>0, uma estimativa simplificada da desaceleração constante necessária para parar é

Compare-a com a desaceleração limitada por atrito e atuador a_{avail}. A razão a_{req}/a_{avail} revela uma margem decrescente, mas não descreve a fuga lateral, um veículo seguindo atrás ou a resposta do pedestre; mantenha o contexto do cenário.

Desenvolva cenários do funcional para o lógico e, finalmente, para o concreto. "Um pedestre emerge de uma oclusão" se transforma em faixas de velocidade, tamanho do oclusor, iluminação, atrito e tempo de emergência, e então em testes concretos amostrados. A amostragem por importância e a falsificação visam falhas de limite com mais eficiência do que a condução aleatória uniforme.

No mínimo, relate colisões e gravidade, distância mínima e TTC (Tempo até a Colisão), intervenções do motorista e suas causas, frenagem ou direção bruscas induzidas pelo sistema, erros do monitor ODD (Dispositivo de Controle de Obstáculos), tempo até a condição de risco mínimo, latência de detecção de falhas e discrepância entre a simulação e o veículo.

Comparando os ADAS atuais corretamente

O ACC simultâneo e o alinhamento na faixa são geralmente de Nível 2 porque o motorista monitora. Um recurso limitado que executa o DDT completo e solicita o recurso alternativo pode ser de Nível 3. Um serviço autônomo que executa o recurso alternativo dentro de uma cerca geográfica pode ser de Nível 4. Leia o recurso aprovado e as instruções, não o nome comercial.

Casos limite que expõem a lógica

O estacionamento automatizado pode ser de Nível 4?

Um recurso de estacionamento automatizado pode ser de Nível 4 em velocidades muito baixas se o seu ODD for um estacionamento limitado, o humano não monitorar o ambiente e o sistema puder parar com segurança sem intervenção humana. Isso demonstra que a classificação depende da divisão de funções, e não da velocidade ou da sofisticação tecnológica.

Por que um AEB potente ainda é considerado Nível 0?

O AEB pode aplicar uma frenagem forte imediatamente antes de uma colisão, mas não realiza a condução normal de forma contínua. A intensidade de uma intervenção momentânea é um fator independente do nível de automação.

Se as mãos podem sair do volante no Nível 2, por que ainda é considerado um sistema de condução humana?

A classificação não depende da posição das mãos, mas sim de quem monitora o ambiente ao redor e compensa as falhas. Um recurso de Nível 2 com monitoramento por olhar e sem as mãos no volante é possível, mas a responsabilidade de identificar o que o recurso não consegue perceber e agir de acordo ainda recai sobre o ser humano.

Lista de verificação de desenvolvimento

1. Para cada recurso, defina o controle contínuo, o OEDR (Controle de Emergência Operacional) e o fallback em linguagem clara.

2. Transforme o ODD (Desafio de Direção Operacional) em condições mensuráveis e identifique as condições que o veículo não consegue observar diretamente.

3. Defina o tempo de aviso de limite, o desengate seguro e o comportamento de risco mínimo para decisões falsas de ODD.

4. No Nível 2, valide a supervisão e o DMS; no Nível 3, valide as distribuições realistas de retomada de controle.
5. Analise falhas de hardware, insuficiência de desempenho e ataques separadamente e, em seguida, procure causas comuns.
6. Mantenha o mesmo ID de cenário em simulação, HIL, rastreamento e evidências em estrada.
7. Após atualizações OTA, reconcilie o caso de segurança, ODD, manual, modelo, mapas e evidências armazenadas.

Resumo

Os Níveis SAE 0–5 não são uma escada de inteligência. Eles descrevem quem realiza o controle sustentado, OEDR e fallback, e onde o recurso pode operar. O limite mais importante é o Nível 2 versus o Nível 3: no Nível 2, o humano dirige e supervisiona; no Nível 3, o ADS realiza o DDT enquanto engajado.

Pergunte sobre o ODD, a detecção de limite, o tempo de transição, a condição de risco mínimo e as evidências de validação antes de perguntar o número do nível. Isso transforma a expressão vaga "direção autônoma" em responsabilidades testáveis em sensoriamento, controle, fatores humanos, conectividade e regulação.

Referências

• SAE International — Gráfico visual dos Níveis de Automação da Condução J3016
• SAE Mobilus — Taxonomia e definições J3016
• NHTSA — Segurança de Veículos Automatizados e Níveis de Automação
• NHTSA — Ordem Geral Permanente sobre Relatórios de Acidentes com ADS e ADAS Nível 2
• ISO — ISO 26262 Veículos rodoviários — Segurança funcional
• ISO — ISO 21448 Veículos rodoviários — Segurança da funcionalidade pretendida
• UNECE — Regulamento da ONU N° 157 Sistemas Automatizados de Manutenção de Faixa