《自动驾驶系统安全新规》L4 级自动驾驶功能具体技术要求

C.1 DDT 执行

C.1.1 一般要求

C.1.1.1 ADS 在激活状态下应使车辆保持在车道内行驶并确保不会无目的跨越任何车道边线（前轮外边缘到车道边线外边缘）。ADS 目标应使车辆在车道内保持稳定的横向和纵向运动以避免对 ORU 造成干扰。

C.1.1.2 ADS应具备采取合理控制策略应对道路因施工、交通管制等情况发生临时变更的能力。

C.1.1.3 ADS在激活状态下，应识别以下碰撞风险，并执行合理的控制策略，最小化对车内用户和 ORU的安全风险：

a) 前车减速、邻车切入、逆向行驶车辆以及突然出现的障碍物；

b) 行人、自行车骑行者等弱势道路使用者；

c) 无法识别类型的目标。

C.1.1.4 若车辆允许乘客站立或不佩戴乘客约束系统，除安全档案中描述的特殊情况外，ADS 发出的水平方向加速度和减速度指令均不应大于2.4 m/s²，水平方向加速度和减速度变化率均不应大于 5.0 m/s3。

注： 水平方向加速度和减速度指横向和纵向的综合计算值。

C.1.1.5 若 ADS 支持远程协助，ADS 应符合 C.2 的要求。

C.1.2 换道控制要求

ADS执行换道控制应符合B.1.2.1、B.1.2.2.1、B.1.2.2.3和B.1.2.2.4的要求。

C.1.3 紧急避撞控制要求

C.1.3.1 ADS 执行的紧急避撞控制应符合 B.1.3.1.1~B.1.3.1.3 和 B.1.3.2 的要求。

C.1.3.2 除急迫的碰撞风险已消失外，ADS 执行的紧急避撞控制不应被终止且应符合以下要求：

a) 由于急迫的碰撞风险消失导致紧急避撞控制终止后，ADS 仍保持激活状态；

b) 若由于执行紧急避撞控制造成车辆处于静止状态，ADS 开启危险警告信号。若车辆又重新起步，ADS 关闭危险警告信号。

C.1.4 MRM要求

C.1.4.1 在 ADS 执行 MRM 过程中，除安全档案中描述的特殊情况外，ADS 应以不大于 4.0 m/s²的减速度指令进行减速。

注：安全档案中描述的特殊情况如发生ADS严重失效、发生车辆严重失效、应对急迫的碰撞风险等。

C.1.4.2 在 ADS 执行 MRM 过程中，应开启并保持危险警告信号，对于执行 MRM 过程中的换道执行阶段，应符合以下要求：

a) 提前通过开启相应的转向信号灯来代替危险警告信号以对 ORU 进行提示；

b)一旦完成换道执行阶段，及时关闭转向信号灯并重新开启危险警告信号。

C.1.4.3 在未确认导致 ADS 执行 MRM 的原因消除前，ADS 不应使车辆脱离 MRC。

注：确认方式可能包括ADS自检、车内用户查验（如适用）或远程查验（如适用）等。

C.2 远程协助

C.2.1 一般要求

C.2.1.1 ADS 不应依赖远程协助执行 DDT。

C.2.1.2 远程协助过程中，ADS 应独立执行全部 DDT，且不对车内用户和 ORU 造成不合理的安全风险。

注：对于允许坐在驾驶位的车内用户干预的4级自动驾驶功能，车内用户对车辆横和/或纵向运动的控制可能优先于ADS。

C.2.1.3 ADS 应基于行驶环境安全响应远程协助信息。

C.2.1.4 除在安全档案中描述的情况外，ADS 不应触发远程协助。

注：触发远程协助的情况如车辆发生碰撞、车辆需要脱困、车辆和/或ADS失效等。

C.2.2 通信要求

C.2.2.1 ADS 应具备符合远程协助技术特性的车端安全策略。

示例：当远程平台服务器故障时，ADS 有安全策略保障车辆安全运行。

C.2.2.2 ADS 应能检测远程协助所需的通信状态（例如，信号强度、网络时延或网络时延抖动等）。当通信状态不符合需求导致 ADS 触发远程协助失败时，ADS 应执行合理的控制策略（例如，执行 MRM等），最小化对车内用户和 ORU 的安全风险。

C.2.3 信息交互要求

C.2.3.1 ADS 应能够及时发送和接收远程协助信息。

C.2.3.2 ADS 应至少具备上传以下信息的能力：

a) 车辆状态信息（例如，速度、车辆失效、碰撞等）；

b) ADS 状态信息（例如，ADS 运行状态、ADS 失效等）；

c) 车辆周围环境信息（例如，感知目标、道路情况等）；

d) 远程协助信息接收结果。

C.3 人机交互

C.3.1 一般要求

C.3.1.1 除用户执行激活操作且符合以下所有条件外，ADS 不应被激活：

a) 不存在影响 ADS 运行的失效；

b) 车辆配备的 DSSAD 处于可用状态，且存储区域未被锁定事件占满；

c) 天气环境和道路设施允许 ADS 运行；

d) ADS 自检确认；

e) 车辆未在执行影响 ADS 运行的软件升级；

f) 规划的路径不超出 ODD 的道路类型范围；

g) 除上述 a）~f）外，安全档案中描述的其他 ODC。

注1：路径为4级自动驾驶功能的出发地到目的地的路径。

注2：若允许自动泊车功能向4级自动驾驶功能（非自动泊车功能）切换，ADS可能在满足a）~g）条件下无需通过用户执行激活操作。

C.3.1.2 ADS 应向乘客提供请求停车的方法。

C.3.1.3 ADS 应向车内用户提供行程相关的信息。

C.3.2 允许行驶中退出至人工驾驶的自动驾驶功能

C.3.2.1 激活和退出

C.3.2.1.1 若在车辆驾驶区域外设置了自动驾驶功能激活操纵方式，在人工驾驶过程中，位于非驾驶位的用户操作该激活操纵方式，自动驾驶功能在激活前应获得驾驶人确认。

C.3.2.1.2 除以下情形外，若车辆未处于静止状态，4 级自动驾驶功能不应退出：

a) 将车辆控制权安全地移交给车内用户；

b) 安全切换至 3 级自动驾驶功能；

c) 安全切换至自动泊车功能。

注1：当紧急避撞控制正在执行时，ADS的退出可能暂缓至急迫的碰撞风险消失；

注2：在发生车辆严重失效或ADS严重失效的情况下，ADS可能执行车辆制造商声明的其他安全退出控制策略。

C.3.2.1.3 若在车辆驾驶区域外设置了自动驾驶功能退出操纵方式，对于非驾驶位的用户操作该退出操纵方式退出自动驾驶功能至人工驾驶，ADS 应获得坐在驾驶位的车内用户同意其担任驾驶人的确认。

C.3.2.1.4 任何退出应按照 C.3.2.3.2.4 提示用户。

C.3.2.2 干预

C.3.2.2.1 若 ADS 允许坐在驾驶位的车内用户干预转向控制，当该车内用户对转向控制的干预超过安全档案中描述的为防止误用而设计的合理阈值时，该车内用户输入的转向控制应被执行。该阈值应包括特定的力或力矩，以及相应的持续时间，且应与 C.3.2.2.2 确认的该车内用户注意力情况相关，并在安全档案中予以说明。

注1：若车内用户对转向控制的干预将导致急迫的碰撞风险，ADS可能根据安全档案中描述的方式减弱或抑制车内用户的干预对任何控制的影响。

注2：在发生车辆严重失效或ADS严重失效的情况下，ADS可能执行安全档案中描述的其他安全响应转向控制的干预策略。

C.3.2.2.2 若 ADS 允许被坐在驾驶位的车内用户干预转向控制，ADS 应检测该车内用户是否注意力集中。当以下情况均不符合时，不应视为注意力集中：

a) 确认该车内用户注视前方道路；

b) 确认该车内用户注视后视镜；

c) 确认该车内用户头部运动主要朝向驾驶任务相关区域；

d) 安全档案中与 a）~c）同等安全的其他情况。

注：ADS检测车内用户是否注意力集中可能包括a）~d）的行为和持续时间。

C.3.2.2.3 若 ADS 允许被坐在驾驶位的车内用户干预制动控制，且当车内用户对制动控制的干预产生比 ADS 引起的减速度更大或通过任何制动使车辆保持静止时，车内用户输入的制动控制应被执行。

注1：若坐在驾驶位的车内用户对制动控制的干预将导致急迫的碰撞风险，ADS可能根据安全档案中描述的方式减弱或抑制车内用户的干预对任何控制的影响。

注2：在发生车辆严重失效或ADS严重失效的情况下，ADS可能执行安全档案中描述的其他安全响应制动控制的干预策略。

C.3.2.2.4 若坐在驾驶位的车内用户对加速控制的干预被执行，不应导致 ADS 不符合本文件的要求。

C.3.2.3 系统状态提示

C.3.2.3.1 一般要求

ADS应向车内用户提示以下信息，其中光学信号应具备适当尺寸和对比度，声学信号应响亮、清晰：

a) C.3.2.3.2 要求的 ADS 状态；

b) ADS 激活状态下，任何影响 ADS 执行 DDT 的故障，至少通过光学信号提示。

注： 若允许4级自动泊车功能与4级自动驾驶功能（非自动泊车功能）之间切换，切换时状态提示可能相同。

C.3.2.3.2 系统状态

C.3.2.3.2.1 当自动驾驶功能处于激活状态时，应至少通过专用光学信号持续向车内用户提示自动驾驶功能处于激活状态。

注1：光学信号提示可能包括带有“A”或“AUTO”的转向盘或车辆标志。

注2：在执行MRM过程中，可能根据注1中的提示替换为MRM的提示。

C.3.2.3.2.2自动驾驶功能激活状态的光学信号应持续到自动驾驶功能退出。

C.3.2.3.2.3 自动驾驶功能由激活状态退出至未激活状态时，应至少通过光学信号和声学信号向车内用户提示自动驾驶功能已退出。

注：若允许4级自动泊车功能与4级自动驾驶功能（非自动泊车功能）之间切换，切换时可能不发出退出提示。

C.3.2.3.2.4 在执行 MRM 和处于 MRC 时，ADS 应至少发出明确的光学提示信息。

C.3.3 不允许行驶中退出至人工驾驶的自动驾驶功能

C.3.3.1 激活和退出

C.3.3.1.1 对于支持行驶过程中激活的自动驾驶功能，若在车辆驾驶区域外设置了自动驾驶功能激活操纵方式，在人工驾驶过程中，位于非驾驶位的用户操作该激活操纵方式，ADS 在激活前应获得驾驶人确认。

C.3.3.1.2 除安全切换至 4 级自动泊车功能外，若车辆未处于静止状态，4 级自动驾驶功能（非自动泊车功能）不应退出。

C.3.3.1.3 ADS 如具备为人工驾驶或维修等模式提供的退出操作装置，该装置应仅在车辆静止状态下被响应。

C.3.3.2 系统状态提示

ADS应向车内用户提示以下信息，其中光学信号应具备适当尺寸和对比度，声学信号应响亮、清晰：

a) 提示 C.3.2.3.2 要求的 ADS 状态；

b) 允许车内用户激活的自动驾驶功能，若 ADS 因不可用而不能响应车内用户的激活操作，则应及时直观的向车内用户发出提示。

注： 若允许4级自动泊车功能与4级自动驾驶功能（非自动泊车功能）之间切换，切换时状态提示可能相同。