R1XX对自动驾驶系统ADS的要求6️⃣

自动驾驶上路前不可或缺的老司机模型

自动驾驶要达到怎样的事故率才能被社会接受？

5.2 ADS不应存在不合理的风险。

5.3 本法规的要求不影响管辖以下方面的适用法律：

(a) 数据访问；
(b) 数据可用性；
(c) 数据隐私；
(d) 数据保护；以及
(e) 向其他机构提供数据。

6. ADS要求

6.1 动态驾驶任务DDT的执行

6.2 ADS与其用户之间的交互

6.3 其他ADS要求

6.1 动态驾驶任务DDT的执行

6.1.1 ADS应能够在其功能运行设计域内执行整个动态驾驶任务。

6.1.2 常规情况下的ADS动态驾驶任务执行

6.1.2.1 ADS的驾驶行为不应导致碰撞。［大家公认，确定碰撞的因果关系是很复杂的，并不是在所有的情况下都能确定。然而，如果确定ADS的行为导致了碰撞，则不符合这一要求。］

6.1.2.2 ADS应根据安全风险调整其驾驶行为：这至少应包括：

(a) 预测驾驶环境中的风险，以减少遭遇危急情况的可能性；

(b) 根据安全风险调整其速度；以及
(c) 通过控制车辆的纵向和横向运动，与其他道路使用者保持适当距离。

6.1.2.3 ADS应根据安全风险避免对交通流造成不合理的中断。

6.1.2.4 ADS应检测并响应与其执行动态驾驶任务相关的物体和事件。

6.1.2.5 ADS应根据适用的交通法律检测并响应优先车辆。

6.1.2.6 ADS应遵守运行区域内相关法律适用的交通规则。

6.1.2.7 ADS应与其他道路使用者安全交互。

6.1.2.8 ADS应避免与安全相关物体发生碰撞。［"与安全相关的物体Safety-relevant object" 指如果与之碰撞，可能对车辆造成重大损坏，或可能对其他道路使用者、车辆乘员或基础设施构成安全风险的物体。（空纸箱不算安全相关物体，实心纸箱算安全相关物体）］

6.1.2.9 如果适用法律要求，ADS应发出其运行状态信号。

6.1.2.10 根据第6.2.3.1段乘客的请求，ADS应将车辆安全停下。

6.1.2.11 ADS应制定适当的策略来检测并响应道路安全人员的指令。

6.1.3 危急情况下的ADS动态驾驶任务执行

6.1.3.1 常规情况下的动态驾驶任务执行要求应在危急情况下继续适用，只要在特定情况下合理可行，旨在最大限度地降低整体安全风险。

6.1.3.2 当无法避免碰撞时，ADS应旨在减轻其严重程度。

6.1.3.3 在涉及ADS车辆的碰撞事件中，如果适用法律要求停车，ADS应回退至风险缓解状态或将车辆适当停稳。在此过程中，如果ADS设计允许，用户可以停用ADS。

6.1.3.3.1 除非满足以下条件，否则ADS不得恢复行驶：
(a) 已确认ADS车辆处于安全运行状态，并且
(b) 适用法律允许。

6.1.3.3.2 尽管有第6.1.3.3.1(a)段规定，如果在ADSF-2激活时发生碰撞，当道路安全人员指示时，除非ADS确定该操作存在不合理的安全风险或因损坏而在技术上不可能，否则ADS应移动车辆。或者，安全论证中应说明在此类情况下将如何遵守道路安全人员的指令。

6.1.4 故障情况下的ADS动态驾驶任务执行

6.1.4.1 常规情况下的动态驾驶任务执行要求应在故障情况下继续适用，只要在特定情况下合理可行，旨在最大限度地降低整体安全风险。

6.1.4.2 ADS应检测损害其在其运行设计域内执行动态驾驶任务能力的故障、失灵和异常。

6.1.4.3 响应故障时，ADS应：

(a) 如果故障导致ADS无法根据第6.1段的要求执行动态驾驶任务，则执行后备响应并禁止激活受影响的功能；或

(b) 根据故障的严重程度调整其动态驾驶任务的执行，前提是调整后的性能符合第6.1段的要求。

6.1.4.4 ADS应能够被远程终止。

6.1.4.4.1 对正在执行动态驾驶任务的ADS进行远程终止，应能够触发ADS后备响应。

6.1.4.4.2 对ADS或ADS功能的远程终止应使其无法被用户激活，直到该远程终止被解除。

6.1.5 在运行设计域边界处的ADS动态驾驶任务执行

6.1.5.1 ADS应识别其功能的运行设计域条件ODC和边界ODD。

6.1.5.2 ADS应能够判断何时满足每个功能feature的激活条件。

6.1.5.3 除非满足功能的运行设计域条件，否则ADS应阻止激活该功能。

6.1.5.4 当正在使用的功能的一个或多个运行设计域条件不再满足时，ADS应执行后备响应。

6.1.5.4.1 响应运行设计域退出时，ADSF-2应旨在将ADS车辆停放在符合交通规则（例如，停车位）的安全位置。（应急车道理论上不是符合交通规则的安全位置🙃🙃）

6.1.5.5 ADS应能够预测并安全响应每个功能运行设计域的可预见退出。

6.1.6 回退至风险缓解状态MRC

6.1.6.1 对于ADSF-2，ADS后备响应应将车辆置于风险缓解状态。ADS功能可允许用户启动停用以中断向风险缓解状态的回退。

6.1.6.2 对于ADSF-1，如果无法完成系统启动的停用程序，ADS应执行向风险缓解状态的回退。在向风险缓解状态回退期间，用户可以启动停用ADS。

6.1.6.3 ADS回退至风险缓解状态完成后，可允许用户接管车辆控制。