[首發(fā)于智駕最前沿微信公眾號(hào)]在談及自動(dòng)駕駛技術(shù)時(shí)，常會(huì)陷入兩個(gè)極端，一方面是大家對(duì)“完全自動(dòng)駕駛”的美好愿景，另一方面是自動(dòng)駕駛技術(shù)飛速發(fā)展過(guò)程中對(duì)于“安全隱患”的擔(dān)憂。L3級(jí)自動(dòng)駕駛系統(tǒng)（ADS）恰好處在這兩者的張力中——它需要在特定條件下代替人類完成全部動(dòng)態(tài)駕駛?cè)蝿?wù)，同時(shí)又必須留出人與機(jī)器之間明確的責(zé)任與邊界。為了規(guī)范自動(dòng)駕駛系統(tǒng)技術(shù)要求、保障交通安全與合規(guī)性、推動(dòng)自動(dòng)駕駛行業(yè)健康發(fā)展，由中華人民共和國(guó)工業(yè)和信息化部主管，國(guó)家市場(chǎng)監(jiān)督管理總局、國(guó)家標(biāo)準(zhǔn)化管理委員會(huì)發(fā)布的《智能網(wǎng)聯(lián)汽車 自動(dòng)駕駛系統(tǒng)通用技術(shù)要求》（GB/T 44721-2024）應(yīng)運(yùn)而生（以下簡(jiǎn)稱：標(biāo)準(zhǔn)），并于2024年9月29日正式實(shí)施。那標(biāo)準(zhǔn)到底規(guī)定了啥？怎樣才算是達(dá)到L3級(jí)自動(dòng)駕駛標(biāo)準(zhǔn)？

標(biāo)準(zhǔn)的核心目標(biāo)，并不是空講技術(shù)方向，而是把自動(dòng)駕駛發(fā)展所涉及的“責(zé)任邊界”與“能力邊界”寫(xiě)成一套可驗(yàn)證、可執(zhí)行的工程規(guī)則，讓產(chǎn)品在能做的事上可靠做、在做不到的時(shí)候可控退出。整個(gè)標(biāo)準(zhǔn)從總體要求到感知、決策、人員監(jiān)測(cè)、接管邏輯、提示與驗(yàn)證方法，都圍繞“把風(fēng)險(xiǎn)保持在合理可接受的水平”來(lái)設(shè)計(jì)。

先從“設(shè)計(jì)運(yùn)行條件”（ODC/ODD的表述相關(guān)）談起。標(biāo)準(zhǔn)反復(fù)強(qiáng)調(diào)，ADS必須有明確的設(shè)計(jì)運(yùn)行條件，并且只能在這些條件下被激活。ODC是把系統(tǒng)能力與外界復(fù)雜性做映射的契約。它要把道路類型、車速區(qū)間、車道標(biāo)識(shí)清晰度、天氣光照、GNSS可用性或數(shù)字化路側(cè)信息等都寫(xiě)清楚。把這些條件聲明清楚有兩個(gè)直接效果，第一，對(duì)用戶而言，系統(tǒng)的能做與不能做一目了然，減少誤用；第二，對(duì)驗(yàn)證團(tuán)隊(duì)而言，試驗(yàn)范圍有據(jù)可依，仿真、場(chǎng)地與道路試驗(yàn)的場(chǎng)景選擇能更有針對(duì)性。換句話說(shuō)，把“能在哪些場(chǎng)景工作”寫(xiě)清楚，是把“不確定性”轉(zhuǎn)化為“可驗(yàn)證的假設(shè)”。標(biāo)準(zhǔn)對(duì)這一點(diǎn)的強(qiáng)調(diào)，正是把自動(dòng)駕駛從概念化的能力宣稱，變成工程化的聲明與承諾。

標(biāo)準(zhǔn)部分截圖

關(guān)于系統(tǒng)必須做到的“目標(biāo)與事件探測(cè)與響應(yīng)”（OEDR），標(biāo)準(zhǔn)把感知能力的要求具體化為識(shí)別道路、道路設(shè)施、其他交通參與者、障礙物、天氣與光照等，并能測(cè)量位置和速度。從技術(shù)上探究，這要求一個(gè)融合多源傳感器的感知鏈路，從底層的傳感器標(biāo)定與安裝規(guī)范到上層的目標(biāo)檢測(cè)、軌跡預(yù)測(cè)與語(yǔ)義理解，都要形成閉環(huán)。標(biāo)準(zhǔn)不僅要求在正常狀態(tài)下的探測(cè)能力，而且明確了“當(dāng)感知性能衰退時(shí)要有合理的控制策略”。這條看似被動(dòng)的規(guī)定，實(shí)際上要求團(tuán)隊(duì)在傳感器選型、冗余設(shè)計(jì)與性能退化策略上做充分設(shè)計(jì)：要么通過(guò)冗余傳感器保持功能能力，要么在檢測(cè)到衰退時(shí)及時(shí)限制系統(tǒng)激活或執(zhí)行最小風(fēng)險(xiǎn)策略（MRM）。把感知退化放進(jìn)規(guī)范，實(shí)質(zhì)上是要求從“我能看到”到“我知道我在什么條件下能看見(jiàn)”這條鏈路都要被工程化。

標(biāo)準(zhǔn)部分截圖

說(shuō)到最小風(fēng)險(xiǎn)策略，這是標(biāo)準(zhǔn)的另一個(gè)核心。它不是簡(jiǎn)單的“車停下來(lái)”，而是一個(gè)有先有后的控制流程，當(dāng)系統(tǒng)檢測(cè)到ODC即將失效、駕駛員沒(méi)有在規(guī)定時(shí)間內(nèi)接管，或出現(xiàn)嚴(yán)重失效時(shí)，ADS要能判斷并執(zhí)行可使風(fēng)險(xiǎn)降至可接受水平的控制動(dòng)作。標(biāo)準(zhǔn)明確了兩個(gè)關(guān)鍵時(shí)間相關(guān)的設(shè)計(jì)點(diǎn)，一是介入請(qǐng)求必須留出足夠時(shí)間讓駕駛員接管；二是在駕駛員未響應(yīng)的情況下，介入請(qǐng)求從發(fā)出到升級(jí)并開(kāi)始執(zhí)行MRM的時(shí)間應(yīng)不少于10秒。這10秒并非隨意給出的數(shù)字，而是工程折衷的結(jié)果，最終目標(biāo)是既要給人類足夠時(shí)間理解并接手，也要保證在駕駛員沒(méi)有接手時(shí)系統(tǒng)有足夠的時(shí)間完成安全降速與靠邊停車等動(dòng)作。這個(gè)要求對(duì)HMI設(shè)計(jì)、駕駛員監(jiān)測(cè)和車輛動(dòng)力學(xué)控制提出了明確約束，提示必須快速、明確且可被感知，車輛控制必須能在提示升級(jí)到MRM前保持平穩(wěn)與安全。

標(biāo)準(zhǔn)部分截圖

與最小風(fēng)險(xiǎn)策略配套的，是對(duì)“發(fā)出介入請(qǐng)求”和“接管能力判定”的明確規(guī)范。對(duì)于需要傳統(tǒng)駕駛員接管的ADS，標(biāo)準(zhǔn)要求系統(tǒng)具備駕駛員在位監(jiān)測(cè)和駕駛員執(zhí)行動(dòng)態(tài)駕駛?cè)蝿?wù)能力的監(jiān)測(cè)，并且至少用兩種有效指標(biāo)來(lái)判定駕駛員是否具備接管能力，例如眼部狀態(tài)、頭部運(yùn)動(dòng)或特定的人機(jī)交互動(dòng)作。標(biāo)準(zhǔn)甚至給出了在位監(jiān)測(cè)的直接觸發(fā)條件，駕駛員不在駕駛位超過(guò)1秒或未系安全帶時(shí)，需要按規(guī)定發(fā)出介入請(qǐng)求或接管能力不足提示。這意味著車企不能僅靠“方向盤(pán)轉(zhuǎn)動(dòng)”的單一信號(hào)來(lái)判定人是否在位，而要設(shè)計(jì)融合攝像頭、力矩傳感器、座椅壓力傳感器等多模態(tài)判據(jù)，并設(shè)定判定周期與閾值，以確保在需要接管時(shí)真正有真人可以接手。

標(biāo)準(zhǔn)部分截圖

在人機(jī)交互（HMI）方面，標(biāo)準(zhǔn)把“提示的清晰度與層級(jí)”寫(xiě)得非常具體。ADS的每一種狀態(tài)——未激活、就緒、激活、介入請(qǐng)求、介入請(qǐng)求升級(jí)、MRM、失效、退出等——都應(yīng)以直觀且可區(qū)分的方式提示用戶，且介入請(qǐng)求至少要在光學(xué)提示基礎(chǔ)上附加聲學(xué)或觸覺(jué)提示，升級(jí)后還要增加持續(xù)或間歇性觸覺(jué)提示。這樣的規(guī)定源于對(duì)人感知與響應(yīng)能力的實(shí)際考量，視覺(jué)提示在駕駛員分心或光照條件差時(shí)可能失效，聲學(xué)提示在噪聲環(huán)境中也可能被淹沒(méi)，觸覺(jué)（方向盤(pán)振動(dòng)、座椅振動(dòng)）則作為可靠的最后手段。這一要求的挑戰(zhàn)在于，提示的語(yǔ)義需要與駕駛員心理模型一致，不同提示不能互相混淆，也不能過(guò)度打擾以至于造成焦慮或驚嚇。標(biāo)準(zhǔn)把提示形式列入強(qiáng)約束，是為了強(qiáng)制廠商把HMI的研究從“好看”變?yōu)椤坝行铱沈?yàn)證”。

標(biāo)準(zhǔn)部分截圖

標(biāo)準(zhǔn)對(duì)“激活與退出”的約束也反映了對(duì)誤用風(fēng)險(xiǎn)的關(guān)注。要求ADS必須有專用的激活與退出操縱方式，并防止可合理預(yù)見(jiàn)的用戶誤用；且在需要傳統(tǒng)駕駛員接管的系統(tǒng)中，只有在滿足一系列條件（例如駕駛員在位并系好安全帶、駕駛員具備DDT執(zhí)行能力、沒(méi)有影響ADS的失效、DSSAD可記錄、車輛未在執(zhí)行影響ADS的軟件升級(jí)等）時(shí)ADS才能被激活。這樣的規(guī)定看似繁瑣，但其防御目標(biāo)明確：在系統(tǒng)被錯(cuò)誤激活后發(fā)生事故會(huì)引發(fā)法律與倫理風(fēng)險(xiǎn)，而把激活條件做成“多門檻合格”是降低這種風(fēng)險(xiǎn)的工程手段。同時(shí)，退出邏輯同樣被嚴(yán)格限定，系統(tǒng)退出不得導(dǎo)致應(yīng)急輔助功能或其他輔助功能的異常開(kāi)關(guān)，退出也不應(yīng)在非必要情形下觸發(fā)，除非用戶明確操作或系統(tǒng)執(zhí)行MRM。換言之，標(biāo)準(zhǔn)在人的行為與系統(tǒng)能力之間建立了嚴(yán)謹(jǐn)?shù)摹拔帐謪f(xié)議”，保證離開(kāi)自動(dòng)駕駛狀態(tài)的過(guò)程受到可控管理。

對(duì)“干預(yù)”規(guī)則的細(xì)化，也體現(xiàn)標(biāo)準(zhǔn)的現(xiàn)實(shí)主義。駕駛員干預(yù)分為橫向（轉(zhuǎn)向）與縱向（制動(dòng)與加速）兩類，標(biāo)準(zhǔn)明確當(dāng)駕駛員的輸入超過(guò)防止誤用所設(shè)的合理閾值時(shí)，應(yīng)執(zhí)行人的輸入；同時(shí)系統(tǒng)還要能檢測(cè)駕駛員是否專注于DDT，某些閾值與駕駛員專注情況相關(guān)。這就要求轉(zhuǎn)向/制動(dòng)輸入由高頻采樣的力矩/踏板傳感器、方向盤(pán)角度傳感器和駕駛員狀態(tài)監(jiān)測(cè)共同決策，確保當(dāng)人做出有力且明確的干預(yù)時(shí)，機(jī)器讓位，從而避免人機(jī)“拉鋸”導(dǎo)致的控制沖突。并且，標(biāo)準(zhǔn)允許在極端情況下基于廠商聲明對(duì)駕駛員干預(yù)進(jìn)行暫緩或抑制，但要求明確說(shuō)明適用場(chǎng)景和合理性，這為那些在極低概率但高危后果的情形里采取非直覺(jué)控制策略提供了合規(guī)路徑，同時(shí)也要求廠商承擔(dān)透明性責(zé)任。

標(biāo)準(zhǔn)部分截圖

技術(shù)體系與文件化管理同樣被強(qiáng)調(diào)。標(biāo)準(zhǔn)要求車輛制造商提供完整的系統(tǒng)描述、組件清單、布局與原理圖、單元功能說(shuō)明和安裝規(guī)范，尤其對(duì)感知部件的安裝細(xì)節(jié)作出說(shuō)明，位置、外表材料、尺寸形狀、光潔度以及可能影響ADS性能的安裝規(guī)范都要記錄在案。這些看似“紙上工作”的條款，實(shí)際上直接關(guān)系到量產(chǎn)一致性與后市場(chǎng)維護(hù)。感知性能不僅取決于算法，更取決于硬件安裝工藝與車身電磁兼容、線束走向、傳感器遮擋策略等。把這些要求放進(jìn)標(biāo)準(zhǔn)，是為了解決在研發(fā)階段很容易控制，但在規(guī)?；a(chǎn)時(shí)容易變差的“從試驗(yàn)車到量產(chǎn)車”的性能遷移問(wèn)題。

標(biāo)準(zhǔn)部分截圖

安全管理與驗(yàn)證鏈路是標(biāo)準(zhǔn)另一組重量級(jí)章節(jié)。標(biāo)準(zhǔn)要求制造商建立覆蓋開(kāi)發(fā)、生產(chǎn)、運(yùn)行、服務(wù)到報(bào)廢的安全管理體系，進(jìn)行功能安全（ISO26262風(fēng)格）與預(yù)期功能安全（SOTIF風(fēng)格）層面的危害與風(fēng)險(xiǎn)評(píng)估，并在驗(yàn)證與確認(rèn)階段采用“多支柱”方法——仿真、場(chǎng)地試驗(yàn)、道路試驗(yàn)與審核評(píng)估共同形成證明鏈。這主要是因?yàn)樵谀承O端場(chǎng)景在道路試驗(yàn)中不可窮盡，仿真能擴(kuò)展樣本空間；場(chǎng)地試驗(yàn)?zāi)茉谑芸貤l件下復(fù)現(xiàn)危險(xiǎn)場(chǎng)景；道路試驗(yàn)則驗(yàn)證系統(tǒng)與真實(shí)交通主體的互動(dòng)。把這些方法論上升為標(biāo)準(zhǔn)，是為了規(guī)范驗(yàn)證策略，避免廠商只靠“路測(cè)里程”作證，而忽視了系統(tǒng)在邊界場(chǎng)景或罕見(jiàn)組合下的表現(xiàn)。除此之外，標(biāo)準(zhǔn)還要求運(yùn)行階段的監(jiān)控機(jī)制，比如自動(dòng)駕駛數(shù)據(jù)記錄系統(tǒng)（DSSAD）與遠(yuǎn)程安全監(jiān)控，以便把線上的安全事件回傳并形成閉環(huán)改進(jìn)。這就把產(chǎn)品的安全保障從單次出廠的靜態(tài)合格，擴(kuò)展為“在場(chǎng)運(yùn)行中持續(xù)可監(jiān)控與可改進(jìn)”的動(dòng)態(tài)合格。

標(biāo)準(zhǔn)部分截圖

把標(biāo)準(zhǔn)落到工程實(shí)踐上，會(huì)遇到若干現(xiàn)實(shí)問(wèn)題和設(shè)計(jì)權(quán)衡。首先是感知冗余與成本的權(quán)衡，滿足OEDR的探測(cè)范圍和退化策略，通常需要多傳感器融合與冗余設(shè)計(jì)；這既增加硬件成本，也提出了傳感器間時(shí)間同步、坐標(biāo)對(duì)齊與故障隔離的工程難題。其次是駕駛員監(jiān)測(cè)的隱私與可靠性問(wèn)題，基于攝像頭的眼動(dòng)/面部監(jiān)測(cè)效果好，但涉及隱私與復(fù)雜光照適應(yīng)；基于方向盤(pán)力矩與手勢(shì)識(shí)別可能更隱私友好，但對(duì)判定“注意力”可能不夠敏感。再有是HMI的語(yǔ)義一致性，提示設(shè)計(jì)要兼顧不同用戶對(duì)提示語(yǔ)義的認(rèn)知模型，避免因詞句、顏色或振動(dòng)強(qiáng)度不同而引起誤讀。標(biāo)準(zhǔn)并沒(méi)有直接告訴廠商該如何在每一處做選擇，而是把邊界和驗(yàn)證要求明確下來(lái)，真正的工程工作就是在這些邊界下做折衷并形成可證明的驗(yàn)證證據(jù)。

這部標(biāo)準(zhǔn)的發(fā)布其實(shí)具有雙重意義。一方面，它為國(guó)內(nèi)企業(yè)提供了與國(guó)際接軌的技術(shù)框架，尤其是在驗(yàn)證方法與安全管理方面與國(guó)際“多支柱”共識(shí)保持一致，從而降低了合規(guī)不確定性。另一方面，標(biāo)準(zhǔn)通過(guò)把文件化、試驗(yàn)與運(yùn)行監(jiān)控變?yōu)楸仨殫l件，強(qiáng)化了廠商對(duì)“持續(xù)責(zé)任”的認(rèn)識(shí)，自動(dòng)駕駛不是交付軟件就完事的單次事件，而是需要在全生命周期里對(duì)設(shè)計(jì)假設(shè)、場(chǎng)景覆蓋與在線表現(xiàn)負(fù)責(zé)的長(zhǎng)期工程實(shí)踐。對(duì)于廠家而言，遵循標(biāo)準(zhǔn)意味著不僅要做出能跑的算法和能穩(wěn)的控制器，更要能產(chǎn)出可追溯的文檔、可再現(xiàn)的驗(yàn)證結(jié)果以及面向現(xiàn)場(chǎng)數(shù)據(jù)的監(jiān)控改進(jìn)機(jī)制。

總之，標(biāo)準(zhǔn)把L3及以上自動(dòng)駕駛系統(tǒng)的若干關(guān)鍵點(diǎn)制度化，明確設(shè)計(jì)運(yùn)行條件、細(xì)化感知與OEDR要求、規(guī)定接管與MRM的時(shí)間與提示機(jī)制、約束激活/退出與干預(yù)邏輯，并把功能安全與SOTIF式的預(yù)期功能安全貫穿開(kāi)發(fā)到運(yùn)行的全過(guò)程。對(duì)工程實(shí)踐而言，這些規(guī)定不是“要你做文書(shū)”，而是要把那些本應(yīng)就做的工程活動(dòng)——場(chǎng)景定義、冗余設(shè)計(jì)、人機(jī)交互試驗(yàn)、故障注入驗(yàn)證、運(yùn)行監(jiān)控與數(shù)據(jù)閉環(huán)——都放在可驗(yàn)證與有證據(jù)的框架下執(zhí)行。對(duì)于目標(biāo)是把自動(dòng)駕駛推向規(guī)?；渴鸬膱F(tuán)隊(duì)，這個(gè)標(biāo)準(zhǔn)給出的不是一張簡(jiǎn)單的合格單，而是一整套能支撐產(chǎn)品安全可信賴落地的方法論。

審核編輯 黃宇