我前文写过L3/L4 自动驾驶必须上激光雷达吗？——《自动驾驶系统安全要求》强制国标报批,拟 2027 年 7 月 1 日实施,报批稿解读 为了进一步让读者加深对该标准的理解，本文主要聚焦附录B 应用于高速公路和/或城市快速路的 3 级自动驾驶功能具体技术要求解读。后续还会解读附录C。有兴趣的朋友可以先点关注，我会持续更新相关内容。

高速公路上，驾驶人启动 L3 自动驾驶功能。车辆开始独立完成车道保持、跟车、换道和风险响应，驾驶人不再持续承担全部驾驶任务。

这时，真正重要的问题并不是“手能不能离开方向盘”，而是：系统自己驾驶时要达到怎样的安全底线？遇到能力边界，接管请求应怎样发出？如果驾驶人没有接管，车辆又该怎样安全收场？

《智能网联汽车 自动驾驶系统安全要求》（报批稿）的附录 B，试图把这些问题转化为可以审查、验证和留存证据的技术要求。附录 B 是规范性附录，名称是“应用于高速公路和/或城市快速路的 3 级自动驾驶功能具体技术要求”，共覆盖动态驾驶任务执行、人机交互和感知系统三大部分。

这不是一份“功能菜单”，而是一条完整的安全链：正常时系统怎样开，风险出现时怎样避，超出能力时怎样请人接管，无人接管时怎样进入最小风险状态。

图 1：根据报批稿附录 B 整理。

读懂附录 B，先分清 L3 的责任边界

理解附录 B，首先要分清三个角色。

报批稿将自动驾驶系统（ADS）定义为能够持续执行全部动态驾驶任务（DDT）的车辆硬件和软件系统。动态驾驶任务包括感知、决策以及车辆运动、照明和信号装置等控制。L3 自动驾驶功能则是“有 ODD 限制且需要后援用户”的自动驾驶功能。

这句话包含两层边界。

第一，功能激活后，ADS 执行全部动态驾驶任务。它与需要驾驶人持续监督环境、随时控制车辆的驾驶辅助功能不是同一种责任结构。

第二，L3 仍然需要“后援用户”。当系统无法继续安全执行驾驶任务时，会发出介入请求；被指定的车内用户需要响应请求并接管。这又不同于在其设计运行范围内不需要后援用户的 L4。

因此，L3 的核心不是“驾驶人永远不用管”，而是把驾驶责任组织成两个阶段：正常激活阶段由系统承担全部动态驾驶任务；边界或失效出现后，通过明确的人机交互把控制权交给具备接管能力的后援用户。如果交接没有完成，系统还必须执行最小风险策略。

第一章 B.1 DDT 执行：系统如何驾驶、避险和安全收尾

附录 B.1 是篇幅最大的一章，覆盖一般驾驶要求、换道控制、紧急避撞、介入请求以及最小风险策略。它回答的核心问题是：L3 功能激活后，系统应怎样完成动态驾驶任务，并在无法继续安全驾驶时结束这一过程。

1.1 稳定行驶是基础，风险响应是底线

附录 B 对正常驾驶的第一要求很朴素：车辆应保持在车道内，不能无目的跨越车道边线；横向和纵向运动应保持稳定，避免干扰其他道路使用者。

但它并不要求车辆只是机械地“居中行驶”。面对前车减速、车辆切入、突然出现的障碍物，ADS 要能够探测碰撞风险并采取合理控制。对于前车切入、无遮挡行人横穿等场景，动态驾驶任务的执行能力至少要达到正在承担驾驶任务的合格且专注驾驶人将风险最小化的水平。遇到本车道内逆向行驶的车辆，系统也应以减轻潜在碰撞后果为目标进行响应。

这套表述强调的是风险基线，而不是追求某种统一的“驾驶风格”。企业仍可设计不同的跟车、换道和速度策略，但必须证明其行为稳定、可预期，不给车内用户和其他道路使用者带来不合理风险。

对于绕行障碍物，条款也没有把“压线”简单等同于违规或失效。若常规换道无法触发、相邻车道不可用等，系统可以在不造成不合理安全风险的前提下，部分驶入相邻车道绕开障碍物。不过，由此额外产生的横向加速度目标不大于 1 m/s²；如果车辆跨越车道边线超过 1 m，还要满足后向安全距离评估要求。

这反映了一种比较务实的安全思路：允许系统在特殊情况下做出必要的柔性处置，但每一项“破例”都必须附带更严格的风险约束。

1.2 换道的重点不是“过去了”，而是没有把风险甩给后车

附录 B 对换道给出了相当细的约束。系统规划的路径不能与其他道路使用者发生碰撞，换道行为应当可以被他人预期和安全响应；转向灯要合理开启和关闭；进入换道执行阶段后，横向运动目标应保持连续，额外横向加速度目标不大于 1 m/s²。

更关键的是，系统在进入换道执行阶段前要先确认一片区域，而不是只测量本车与某一辆后车之间的距离。B.1.2.2.3 要求：只有当目标车道相关区域——至少包括潜在车辆存在区域（PVPA）——预计在换道执行阶段不会被其他车辆占用时，ADS 才应使车辆进入换道执行阶段。

PVPA 是由 C、D、F、E 四条边界围成的二维区域：C 是本车前方安全距离对应的边界，D 是依据 B.1.2.3 评估得到的换道后向安全距离临界边界；F 是目标车道外侧的远端车道标线，E 则位于本车非目标车道一侧的车辆侧轮廓。图中的 C、D 位置会随车速和安全距离评估结果变化。

原文图 B.1（1）局部：目标车道外侧有车道的场景。保留原图中的 C、D、E、F 边界和换道轨迹。

原文图 B.1（2）局部：目标车道外侧无其他车道时，F 取目标车道自身的远端车道标线。图片截取自报批稿第 26 页。

在确认区域可用之后，系统还要继续评估对后车的影响。对于常规换道，目标是不导致后车减速。在因特定安全原因确需换道时，进入换道执行阶段不应导致后车以大于 3 m/s²的减速度制动。对于最小风险策略中的换道，这一目标阈值为 3.7 m/s²。两种换道的风险容忍度不同，是因为后者往往服务于尽快到达应急车道、硬路肩等目标停车区域，但它仍然不是“紧急情况下随便并线”。

后向安全评估还考虑了几种容易被忽视的情况：

• 常规换道时，与后向接近车辆的纵向时距应始终不小于 1 s；
• 如果系统没有探测到后车，不能直接把目标车道视为空，而应假设后车位于当前实际后向探测边界，并且车速比道路最高限速高 30 km/h；
• 如果后车与本车等速或更慢，换道期间本车车尾与后车车头的纵向距离，常规换道至少不小于后车 1 s 的行驶距离；MRM 换道对应为 0.7 s；
• 常规换道完成时若与后车安全距离不足，完成后的至少 2 s 内不应继续增加减速度，紧急避碰或为 MRM 抵达目标停车区域等例外情况除外。

这意味着，换道算法不能只看“当前有无车辆”，还要把探测边界、后车可能速度、本车换道过程中是否减速，以及换道完成后的动作连续性一并纳入。对企业而言，感知、预测、规划和控制之间不能各自满足局部指标，却在组合后把制动压力转移给后车。

1.3 紧急避撞可以跨线，但必须证明比单纯制动更安全

当出现急迫碰撞风险时，ADS 应执行紧急避撞控制。附录 B 的注释把“系统无法以低于 5 m/s²的减速度指令避免碰撞”作为急迫碰撞风险的判定描述之一，并指出，高于 5 m/s²的制动减速度指令可视为紧急避撞控制。

紧急避撞不仅包括制动，也可能包括紧急转向。但跨越车道线避撞受到严格限制。

如果碰撞风险尚未达到急迫程度，系统目标应避免跨线；只有在已经充分探测前、侧、后方交通情况，能够评估跨线风险，并能确保相邻车道车辆不会被迫不合理减速时，才可以通过跨线应对急迫碰撞风险。跨线轨迹上也不能与其他道路使用者发生碰撞，并应开启相应转向灯提示外界。

其中最值得注意的一条是：如果跨线属于紧急避撞的一部分，系统必须确保它对车内用户和其他道路使用者的安全性，不低于通过制动来避免急迫碰撞风险的安全性。

换句话说，“转向能躲开眼前目标”并不足够。系统还要比较不同动作对整体交通环境造成的风险。这个要求把紧急避撞从单一目标的轨迹问题，提升为多主体的整体风险决策问题。

1.4 介入请求与 MRM 构成最后的安全兜底

L3 最受关注的人机交互问题，是系统怎样把驾驶任务交还给人。

附录 B 要求 ADS 明确介入请求的触发条件，并能识别所有需要发出请求的情况。对于计划接管事件，请求时机要留出足够时间，使得即使用户不接管，系统仍能在事件发生前通过最小风险策略使车辆静止；对于恶劣天气等非计划事件，以及影响系统安全执行驾驶任务的失效，则应在识别或检测到事件时及时发出请求。

请求发出后，提示不能长期停留在同一强度。最迟在 4 s 后，介入请求应升级并保持升级状态；车辆仍在运动时，升级请求还要增加持续或间歇的触觉提示。请求通常只有在 ADS 退出或开始执行最小风险策略时才能终止。从请求发出到因执行最小风险策略而终止，时长应不少于 10 s；发生 ADS 严重失效或车辆严重失效时，可以不经过介入请求而直接执行最小风险策略。

MRM 的目标不是“把车速降下来”这么简单，而是使车辆到达最小风险状态，即尽可能降低碰撞风险的稳定、静止状态。除安全档案描述的特殊情况外，MRM 的减速度指令不大于 4.0 m/s²；执行期间要开启并保持危险警告信号。若需要换道抵达目标停车区域，还要同时满足前述 MRM 换道规则。

由此可以看出，4 s 和 10 s 不是一套适用于所有情形的简单倒计时。4 s 对应介入请求的升级期限；不少于 10 s 对应请求发出到因执行 MRM 而终止的持续时间要求。实际接管时机仍取决于计划事件、非计划事件、系统失效、车辆状态和安全档案中的策略。

第二章 B.2 人机交互：什么时候能激活，怎样干预和提示

附录 B.2 将人机交互分为激活和退出、用户干预、系统状态提示三部分。其重点不是界面是否“好看”，而是确保驾驶权处于清晰、可识别且能够安全转换的状态。

2.1 激活和退出：道路合适只是前提之一

附录 B 列出了功能激活的前提。除驾驶人主动执行激活操作外，还要同时满足：驾驶人在驾驶位并系好安全带，具备执行动态驾驶任务的能力；不存在影响 ADS 运行的失效；自动驾驶数据记录系统（DSSAD）可用且存储区域未被锁定事件占满；天气、道路设施允许运行；系统完成自检；车辆没有进行影响 ADS 运行的软件升级；并满足安全档案中描述的其他设计运行条件。

这说明，ODD 不是唯一开关。道路、天气属于外部环境，驾驶人状态、车辆状态、记录系统和软件状态同样属于设计运行条件的一部分。

退出同样需要明确条件。后援用户可通过专用操纵方式退出 ADS，也可通过达到规定阈值的转向干预，或在手握转向盘的同时进行符合条件的制动、加速干预，使系统执行退出策略。紧急避撞正在执行、驾驶人注意力不集中或发生严重失效时，退出时机和策略还可能按照安全档案进行调整。

2.2 用户干预：人的有效输入必须得到明确响应

当后援用户对转向控制的干预超过为防止误操作而设定的力或力矩及持续时间阈值时，用户的转向输入应被执行；当用户制动产生的减速度大于 ADS 当前控制产生的减速度，或通过制动使车辆保持静止时，制动输入也应被执行。若加速干预被执行，则不能导致 ADS 违反本文件的其他要求。

在功能激活期间，ADS 还要检测后援用户是否注意力集中。报批稿列举的可接受依据包括注视前方道路、注视后视镜、头部主要朝向驾驶任务相关区域，或安全档案中能够证明具有同等安全性的其他情况。这里的“注意力集中”并不等同于持续手握方向盘，而是为了保证介入请求出现时，后援用户仍具有形成接管能力的条件。

2.3 状态提示：让用户始终知道系统正在做什么

在提示设计上，激活状态要有持续、专用且易察觉的光学信号；退出时至少要有光学和声学提示，因用户接管退出等情况存在条款列明的例外；介入请求和 MRM 则要使用直观明确的“双手+方向盘”图形，并配合说明和警告。MRM 开始时，提示特性还要发生变化，以强调接管紧迫性。

第三章 B.3 感知系统：探测范围如何约束速度和能力边界

附录 B.3 将感知要求分为一般要求、前向探测、侧向探测和后向探测。这里关注的不是传感器标称的最远探测距离，而是 ADS 能够可靠识别目标并据此生成控制信号的有效范围。

3.1 前、侧、后方共同构成换道感知区域

附录 B 要求，具备换道能力的 ADS 至少要感知从前向探测边界到后向探测边界之间的道路环境和交通动态，并从车辆中心线向左右两侧各覆盖至少 9 m。这里的“探测范围”不是传感器在理想条件下偶尔看到目标的最远距离，而是考虑使用寿命内性能衰退后，仍能可靠探测目标并据此生成控制信号的距离。

3.2 前向探测距离与最高运行速度直接绑定

对于最高设计运行速度不大于 60 km/h 的 ADS，前向探测范围至少为 50 m。速度高于 60 km/h 时，车辆还要具备不小于 5 m/s²的减速能力，并达到表 B.1 对应的最小前向探测范围：70 km/h 为 50 m、80 km/h 为 60 m、90 km/h 为 75 m、100 km/h 为 100 m、110 km/h 为 110 m、120 km/h 为 130 m；未列出的速度采用线性插值。

图 2：根据报批稿表 B.1 绘制。60 km/h 档对应“不大于 60 km/h”的最低要求。

3.3 环境变差时，系统必须降速或限制运行

表格并不是一次性准入参数。湿滑路面导致车辆达不到 5 m/s²减速能力，或低能见度等因素导致实际探测范围下降时，ADS 应根据实际探测能力和制动能力降低最高运行速度，确保能够在前方静止道路使用者或阻断车道的目标前完全停车。

这把感知性能、制动能力和运行速度绑定在一起：能看多远、能多快停住，决定当下能开多快。对用户而言，系统在雨雾中主动降速或退出，未必表示功能“退化得不够聪明”，也可能正是安全控制策略按设计工作。

三个章节合起来，指向“可证明的系统安全”

如果未来正式标准延续报批稿的总体结构，企业要面对的就不只是把某个功能做出来，而是证明一整套安全逻辑能够持续成立。

首先，单点性能要变成闭环能力。换道是否安全，会同时依赖后向探测、目标预测、横向控制、本车纵向动作和完成换道后的行为；接管是否安全，则依赖事件识别、提示升级、驾驶人状态监测和 MRM 兜底。

其次，系统能力与安全档案深度绑定。多处条款允许制造商提出自己的阈值、策略或特殊情形，但需要在安全档案中说明合理性、安全性及验证证据。灵活性没有消失，只是从“企业自行定义”转变为“企业定义并承担举证责任”。

再次，产品宣传需要更严格地区分概念。功能进入报批稿描述的技术路径，不等于车辆已经完成型式批准，也不等于某一在售车型自动获得开放资格。硬件、软件版本、设计运行条件、人机交互、接管策略、最小风险策略、检验检测和最终管理要求仍需共同满足。

对用户来说，也需要形成三个基本认识：L3 激活时，系统承担全部动态驾驶任务；L3 仍有明确边界，后援用户必须具备响应介入请求的能力；功能主动降速、限制激活或执行最小风险策略，本身可能是安全设计的一部分，而不是简单的体验缺陷。

结语：L3 的成熟，不取决于“多久不碰方向盘”

附录 B 描绘的 L3，不是一辆只在理想道路上展示自动变道的车，而是一套能够处理正常驾驶、交通扰动、紧急避撞、能力边界、驾驶权交接以及交接失败的完整系统。

它最重要的信号，是把行业关注点从“功能有没有”进一步推向“边界是否清楚、行为是否可预期、风险是否有闭环、证据是否充分”。

真正成熟的 L3，也不应以驾驶人能够多长时间不碰方向盘来衡量。更可靠的尺度是：系统接手时能否独立而稳健地完成驾驶任务，需要交还时能否给人清楚且足够的机会，而在最坏情况下，它是否仍能把车辆带到一个尽可能安全的停止位置。