SAE驾驶自动化等级0-5——ADAS背后的责任边界

Contents — find the section you need

“L2 级意味着车辆具备半自动驾驶能力”和“L3 级是比 L2 级略微智能一些的”这种说法虽然诱人，但却是错误的。SAE J3016 标准并不对传感器数量、人工智能精度或道路覆盖范围进行排名。它针对的是功能启用时，由谁来执行转向、加速、制动、监控、事件响应以及在功能达到极限时进行备用。

一辆车可以在严格限定的条件下同时具备 L0 级自动紧急制动、L2 级高速公路辅助功能和 L3 级交通拥堵辅助功能。车辆本身并没有固定的自动驾驶级别。真正重要的问题始终是：哪个功能在哪个运行设计领域中启用，以及由谁负责？

配备 ADAS 感知功能的量产车示例

图片：斯巴鲁 WRX S4 2.0GT-S EyeSight (Tokumeigakarinoaoshima, CC BY-SA 4.0), Wikimedia Commons。此外观照片本身并不代表自动化级别，也不说明内部系统架构。

简要结论

在 0-2 级，驾驶员持续监控辅助功能。2 级可以同时控制转向和速度，但不能停止监控。
在 3 级3-5级自动驾驶系统（ADS）在启用状态下能够完成完整的动态驾驶任务。3级系统可以请求人工干预；4级系统必须在其可操作驾驶数据（ODD）范围内实现最小风险，且无需依赖人工响应。
4级和5级的主要区别在于ODD。4级系统具有局限性；5级系统在概念上涵盖了人类驾驶员能够应对的所有道路和环境条件。
更高的级别并非安全认证。该分类标准规定了系统的角色，而非事故率、感知精度、冗余度或产品质量。
接管时间包括检测、决策、通知、人机情境重建和执行。平均按钮响应时间不足以作为衡量标准。
安全证据综合考虑了场景覆盖率、故障和攻击、接近碰撞的裕度、不必要的干预、模拟、硬件在环（HIL）、测试路段以及受控的公共道路运行情况。

四个问题决定一个级别

图 1 — 中心边界位于级别 2 和级别 3 之间。区别不在于转向幅度，而在于谁负责监控和完成动态驾驶任务。

级别确定可以围绕以下四个问题展开：

谁负责持续的横向控制和纵向控制？
谁负责目标和事件检测与响应 (OEDR)？
当功能达到极限时，谁负责执行动态驾驶任务回退？
操作是否仅限于操作设计域？

动态驾驶任务 (DDT) 包括实时操作和战术工作：转向、制动、加速、车道选择、响应信号以及避障。策略性行程选择通常不在此范围内。OEDR 指的是检测和响应，而不仅仅是生成检测结果。运行条件定义 (ODD) 是一组道路、地理、速度、天气、光照、路面、交通、地图以及有时包括连通性等条件，功能设计用于在这些条件下运行。对于条件向量 $x$ ，

ODD(x)=\bigwedge_i c_i(x)

如果必需条件 $c_i$ 变为假，则功能必须拒绝启动或安全终止。无法感知的要求（例如“仅在能见度良好时运行”，且没有经过验证的能见度估计）尚不能作为可执行的 ODD 监控器。

0 级：仍可进行瞬时干预

在 0 级，人机交互持续控制方向盘和车速。前碰撞预警、车道偏离预警、盲点预警以及瞬时自动紧急制动干预均属于此级别。仅自动移动并不意味着达到 1 级；区别在于持续控制，而非警告或短暂的紧急制动。

量产型高级驾驶辅助系统 (ADAS) 通常结合摄像头分类、汽车雷达测距和相对速度。一个简单的碰撞接近速度时间计算公式为：

TTC=\frac{d}{v_{ego}-v_{target}}

该公式会因横向切入和加速度变化而失效。安全评估必须同时测量误刹车和漏刹车，因为不必要的急刹车可能会造成追尾风险。

1 级：转向或速度辅助

1 级系统持续辅助转向或加速/制动。自适应巡航控制是纵向辅助的例子；车道居中保持是横向辅助的例子。其余的控制和监控工作均由驾驶员完成。

一个常见的跟车距离目标公式为：

d_{des}=d_0+T_hv

其中， $d_0$ 为静止间隙， $T_h$ 为车头时距， $v$ 为自身速度。如果雨天或下坡时制动距离增加， $T_h$ 不应保持固定，而应根据路面状况进行调整。即使分类标签相同，两款 1 级产品的安全性能也可能截然不同。

2 级：转向和速度辅助，驾驶员仍需操作

2 级系统可以同时保持车辆居中并跟随车流。“双手离开”的设计并不意味着“视线离开”。SAE 将 0-2 级系统归为驾驶员辅助：驾驶员需要持续监控并纠正车辆状况。

目前的示例包括高速公路车道和距离辅助、交通拥堵辅助以及导航引导的变道辅助。产品名称不足以作为级别依据。地区、车型年份、软件版本、道路等级、车速、天气以及车主手册都可能影响实际的功能。

驾驶员监控系统可能会将视线、头部姿态、眼睑状态和方向盘交互情况结合起来，形成一个简单的注意力评分：

S=w_gG+w_hH+w_eE+w_tT

太阳镜、眩光、摄像头遮挡、残疾以及个人行为都会导致任何单一阈值不完整。驾驶员监控系统 (DMS) 应验证监控假设，并触发分阶段警报和受控停车。它不会仅仅通过发出警告就转移责任。

级别 3：系统驾驶，但可能需要人工干预

在级别 3，自动驾驶系统 (ADS) 在有限的 ODD 内执行完整的 DDT 和 OEDR。随时准备干预的用户无需持续监控道路，但必须响应干预请求。这种转换比较困难，因为从其他任务返回的人员必须在采取行动之前重建交通场景。

可用时间 $T_{hazard}$ 应至少满足以下条件：

T_{hazard} > L_{detect}+L_{decide}+L_{notify}+T_{human}+T_{actuate}+T_{margin}

$T_{human}$ 不是反射性按键时间；它包括目光回望、情境理解、决策和运动操作。评估在困倦、年龄、夜间以及实际次要任务等因素下分布的尾部。

接管请求不会立即改变责任。驾驶员可能听不到、误解了请求，或者因医疗原因无法做出反应。系统仍然需要采取降低风险的措施——例如控制减速、保持车道、开启危险警示灯或在路肩停车——这些措施的安全性取决于道路几何形状和后方交通状况。

4级：在有限的ODD（目标交付区）内完全运行

在4级，自动驾驶系统（ADS）在其ODD内执行完整的DDT（目标交付区）和备用方案，无需依赖人为操作。低速穿梭巴士、地理围栏内的无人驾驶出租车、矿山、港口和物流场是理想的部署领域，因为这些场所的地理位置、速度和交互方式都可以受到限制。

远程协助可以在不持续驾驶的情况下建议路径或阐明场景。远程驾驶则直接控制车辆运动。不要将两者混淆为“远程操作”。 4 级安全案例必须涵盖通信中断、服务器过载、驾驶员与车辆比例、延迟、身份验证以及本地最低风险条件。V2X 通信可以扩展感知能力，但绝不能悄然成为单点故障。

5 级：全环境概念

5 级不局限于特定的 ODD（驾驶员可控的驾驶模式），涵盖人类驾驶员能够应对的道路和环境条件。它并非指地球上的每个地点，但其范围仍然非常广泛：包括被遮挡的标线、积雪、临时警示标志、道路施工、灾害、特殊车辆以及区域道路习惯等。

截至 2026 年，消费者无法购买在普通公共道路上以 5 级自动驾驶模式运行的车辆。美国国家公路交通安全管理局 (NHTSA) 也解释说，目前消费者可获得的最高自动化程度仍然需要驾驶员参与。将未来的研究目标与客户今天可能启用的功能区分开来。

为什么更高的安全级别并不意味着更高的安全性

安全级别仅规定了角色，并不代表碰撞概率、感知回忆、冗余、网络安全或验证质量。一个经过充分验证的4级校园穿梭巴士和一个覆盖范围广的2级高速公路设施，不能仅凭级别数字来评判。安全性必须单独评估。

功能安全和SOTIF

ISO 26262 功能安全标准针对电子电气系统故障带来的不合理风险，例如传感器断开、CPU或内存故障、执行器故障和电源故障。ISO 21448 SOTIF 针对组件未发生故障但功能不足带来的危险，例如摄像头完好无损但无法识别眩光、雾气或异常物体。网络安全标准则增加了对GNSS、地图、车载网络、V2X和软件更新系统的恶意篡改。

冗余并非简单地重复配置

冗余还需要进行共因分析。两个摄像头可能在同一眩光条件下同时发生故障。不同的相机、激光雷达和雷达物理特性可以提供帮助，但它们可能仍然共享相同的时钟、地图、电源或融合软件。

量化安全裕度

仅凭道路里程不足以应对罕见的突发事件。应基于现场数据和安全分析构建场景目录，在仿真中改变参数，并将软件在环、硬件在环、试验场和受控道路数据进行关联。

对于相对距离 $d$ 和相对速度 $\Delta v>0$ ，所需的恒定减速力的简化估计值为：

a_{req}=\frac{(\Delta v)^2}{2d}

将其与受摩擦力和执行器限制的 $a_{avail}$ 进行比较。比率 $a_{req}/a_{avail}$ 显示出安全裕度递减，但它并未描述横向逃逸、后方车辆或行人反应；请保留场景背景。

场景的开发应遵循从功能性到逻辑性再到具体的原则。“行人从遮挡物中出现”这一场景可以分解为速度、遮挡物尺寸、光照强度、摩擦力和出现时间等一系列参数，然后进行具体的抽样测试。重要性抽样和反例测试比均匀随机驾驶更能有效地识别边界故障。

至少应报告碰撞及其严重程度、最小距离和碰撞时间 (TTC)、驾驶员干预及其原因、系统引起的急刹车或急转向、ODD 监控错误、达到最小风险状态的时间、故障检测延迟以及模拟与车辆的差异。

正确比较当前的 ADAS

领域	需要记录的内容
ODD	道路等级、地理位置、速度、天气、光照、施工区域
人为因素	持续监控、视线注视、双手操作、接管响应
控制范围	车道保持、跟随、变道、并道、信号灯、泊车
传感	摄像头、雷达、激光雷达、超声波、地图、V2X
备用方案	人工操作、车道内停车、路肩停车、远程协助
更新	软件版本、地图版本、ODD 和指令的变更

同时进行的自适应巡航控制 (ACC) 和车道居中控制通常属于 2 级，因为驾驶员会进行监控。执行完整 DDT 并请求备用方案的有限功能可能属于 3 级。在地理围栏内完成备用方案的无人驾驶服务可能属于 4 级。请阅读已批准的功能和指令，而不是市场名称。

揭示逻辑的边界情况

自动泊车可以达到 4 级吗？

如果自动泊车功能的 ODD 是一个有限的停车场，并且无需人工监控环境，系统也能在极低速度下安全停车，则该功能可以达到 4 级。这表明，分类取决于角色划分，而不是速度或技术炫技。

为什么强大的自动紧急制动系统 (AEB) 仍被归为 0 级？

AEB 可以在碰撞发生前立即施加强力制动，但它不会持续执行常规驾驶操作。瞬时干预的强度与自动化级别是两个不同的维度。

如果双手可以在 2 级自动驾驶中离开方向盘，为什么它仍然被称为人机交互？

分类并非取决于手的位置，而是取决于谁在监控周围环境并弥补故障。虽然可以通过视线监控实现 2 级自动驾驶的双手脱离功能，但发现功能无法感知的情况并采取相应措施的责任仍然落在人身上。

开发清单

为每项功能，用通俗易懂的语言描述持续控制、OEDR（异常情况检测）和备用方案。
将 ODD（异常情况检测）转化为可测量的条件，并识别车辆无法直接观察到的情况。
定义 ODD 错误决策的边界警告时间、安全脱离和最小风险行为。
在 2 级自动驾驶中验证监控和 DMS（驾驶员管理系统）。在第 3 级验证实际的接管分布。
分别分析硬件故障、性能不足和攻击，然后查找共同原因。
通过仿真、硬件在环 (HIL)、跟踪和道路测试验证相同的场景 ID。
在 OTA 更新后，核对安全案例、ODD、手册、模型、地图和存储的证据。

总结

SAE 0-5 级并非智能等级的阶梯。它们描述了谁执行持续控制、OEDR 和回退，以及该功能可以在哪些情况下运行。最重要的边界是第 2 级和第 3 级：在第 2 级，由人驾驶和监督；在第 3 级，自动驾驶系统 (ADS) 在启用状态下执行 DDT。

在询问等级之前，请先询问 ODD、边界检测、转换时间、最小风险条件和验证证据。这可以将模糊的“自动驾驶”概念转化为涵盖感知、控制、人为因素、连接和监管等方面的可测试职责。

检查你的理解

更高的自动化水平是否意味着所有地方都能运行？

请将驾驶职责的分配与运行条件分开阅读。

仅凭等级本身并不能具体说明道路或天气状况是否可用。

参考资料

SAE International — J3016 驾驶自动化等级可视化图表
SAE Mobilus — J3016 分类和定义
NHTSA — 自动驾驶车辆安全和自动化等级
NHTSA — 关于 ADS 和 2 级 ADAS 碰撞报告的常设通用命令
ISO — ISO 26262 道路车辆 — 功能安全
ISO — ISO 21448 道路车辆 — 预期功能的安全性
[UNECE — 联合国第 157 号条例自动车道保持]系统](https://unece.org/transport/documents/2021/03/standards/un-regulation-no-157-automated-lane-keeping-systems-alks)

What to read next

Continue the series占用栅格地图绘制——将激光雷达和摄像头数据转化为可通行性 Explore another aspect of this field行为规划入门：有限状态机、行为树和部分可预测模型决策过程如何选择自动驾驶车辆的下一步操作。

#SAE J3016 #driving automation levels #ADAS #ODD #DDT #fallback #functional safety #SOTIF