智能網(wǎng)聯(lián)汽車 自動(dòng)駕駛系統(tǒng)技術(shù)要求

13智能網(wǎng)聯(lián)汽車自動(dòng)駕駛系統(tǒng)通用技術(shù)要求5本標(biāo)準(zhǔn)規(guī)定了自動(dòng)駕駛系統(tǒng)的總體要求、動(dòng)態(tài)駕駛?cè)蝿?wù)執(zhí)行要求、動(dòng)態(tài)駕駛?cè)蝿?wù)后援要求、人機(jī)9下列文件中的內(nèi)容通過(guò)文中的規(guī)范性引用而構(gòu)成本文件必不可少的條款。其中，注日期的引用文10件，僅該日期對(duì)應(yīng)的版本適用于本文件；不注日期的引用文件，其最新版本（包括所有的修改單）適12GB/T40429-2021汽車13GB/TXXXXX-XX15GB/TXXXXX-XXXX汽車軟件升級(jí)通用技術(shù)要求16GB/TXXXXX-XXXX汽車整車信息安全技術(shù)要求17GB/18GB/19GB/TXXX-XXXX智能網(wǎng)聯(lián)汽車操縱件、指示器及信號(hào)裝置的標(biāo)志21GB/T40429-2021、GB/TXXXXX-XXXX界定的以及下列術(shù)語(yǔ)和定義適用于本文件。24駕駛自動(dòng)化系統(tǒng)在特定的設(shè)計(jì)運(yùn)行條件下代替駕駛員持續(xù)自動(dòng)地執(zhí)行全部動(dòng)態(tài)駕駛?cè)蝿?wù)的功能。25注：GB/T40429-2021中規(guī)定的3級(jí)及以上駕駛自動(dòng)化功能的總稱，包括“有條件自動(dòng)駕駛”“高度自動(dòng)駕駛”和30實(shí)現(xiàn)自動(dòng)駕駛功能的硬件和軟件所共同組成的系統(tǒng)。34設(shè)計(jì)運(yùn)行范圍operationaldesigndomain；ODD35駕駛自動(dòng)化系統(tǒng)設(shè)計(jì)時(shí)確定的適用于其功能運(yùn)行的外部環(huán)境條件。239設(shè)計(jì)運(yùn)行條件operationaldesigncondition；ODC40駕駛自動(dòng)化系統(tǒng)設(shè)計(jì)時(shí)確定的適用于其功能運(yùn)行的各類條件的總稱，包括設(shè)計(jì)運(yùn)行范圍、車輛狀44動(dòng)態(tài)駕駛?cè)蝿?wù)dynamicdrivingtask；DDT46——車輛橫向運(yùn)動(dòng)控制；50——車輛照明及信號(hào)裝置控制。51注1：策略性52注2：動(dòng)態(tài)駕駛?cè)蝿?wù)一64駕駛自動(dòng)化系統(tǒng)無(wú)法繼續(xù)執(zhí)行動(dòng)態(tài)駕駛?cè)蝿?wù)時(shí)，所采取的使車輛達(dá)到最小風(fēng)險(xiǎn)狀態(tài)的措施。67動(dòng)態(tài)駕駛?cè)蝿?wù)后援dynamicdrivingtaskfall68當(dāng)發(fā)生即將超出設(shè)計(jì)運(yùn)行范圍、駕駛自動(dòng)化系統(tǒng)失效或車輛其他系統(tǒng)失效等不滿足設(shè)計(jì)運(yùn)行條件73駕駛自動(dòng)化系統(tǒng)請(qǐng)求動(dòng)態(tài)駕駛?cè)蝿?wù)后援用戶執(zhí)行接管的通知。77動(dòng)態(tài)駕駛?cè)蝿?wù)后援用戶響應(yīng)介入請(qǐng)求，從駕駛自動(dòng)化系統(tǒng)獲得車輛駕駛權(quán)的行為。381與駕駛自動(dòng)化相關(guān)的人類角色的統(tǒng)稱。86對(duì)于某個(gè)具體的車輛，實(shí)時(shí)執(zhí)行部分或全部動(dòng)態(tài)駕駛?cè)蝿?wù)和/或接管的用戶。89自動(dòng)駕駛數(shù)據(jù)記錄系統(tǒng)dat90裝備在具備自動(dòng)駕駛功能的車輛上、在自動(dòng)駕駛系統(tǒng)激活期間具備監(jiān)測(cè)、采集、記錄和存儲(chǔ)數(shù)據(jù)95ADS未執(zhí)行車輛橫向運(yùn)動(dòng)控制或車輛縱向運(yùn)動(dòng)控制的狀98ADS不可被激活的未激活狀態(tài)。101ADS可被激活的未激活狀態(tài)。104ADS執(zhí)行車輛橫向運(yùn)動(dòng)控制和車輛縱向運(yùn)動(dòng)107針對(duì)ADS必要部件的一種發(fā)生概率非常低但影響ADS安全111任何影響ADS執(zhí)行DDT能力且影響車輛手動(dòng)操作的車輛失效。114計(jì)劃接管事件planne115ADS預(yù)先知曉并需要發(fā)出介入117非計(jì)劃接管事件unplanne118ADS非預(yù)先知曉但假設(shè)極有可能發(fā)生，并需要發(fā)出介入請(qǐng)求的事件。122用戶主動(dòng)通過(guò)系統(tǒng)已明確的有效方式影響駕駛自動(dòng)化系統(tǒng)執(zhí)行動(dòng)態(tài)駕駛?cè)蝿?wù)的行為。4129用以避免或控制系統(tǒng)性失效、探測(cè)隨機(jī)硬件失效，控制隨機(jī)硬件失效或減輕它們的有害影響的活134代表不存在不合理的安全風(fēng)險(xiǎn)的準(zhǔn)則。1434.2ADS應(yīng)僅允許在其設(shè)計(jì)運(yùn)行條件下被激活。1464.4ADS應(yīng)采取適當(dāng)?shù)目刂撇呗蕴幚砜珊侠眍A(yù)見的用戶誤用。1474.5ADS應(yīng)持續(xù)執(zhí)行自檢，以檢1484.6ADS在激活狀態(tài)下，應(yīng)執(zhí)行全部DDT，且不應(yīng)造成不合1494.7ADS在激活狀態(tài)下，執(zhí)行DDT應(yīng)符合道路交通規(guī)1504.8ADS在激活狀態(tài)下，執(zhí)行DDT應(yīng)符合其他道路使用者的預(yù)期。156靜止，且至少應(yīng)通過(guò)車輛制造商聲明的方式進(jìn)行安全檢測(cè)，才允許再次被激活。1584.14ADS在激活狀態(tài)下，ADS應(yīng)與其他道路使用者1604.15ADS在激活狀態(tài)下，ADS應(yīng)避免擾亂正常的交通流而導(dǎo)致整體通行效率下降。1614.16裝備ADS的車輛應(yīng)具備自動(dòng)駕駛數(shù)據(jù)記錄系統(tǒng)，自動(dòng)駕駛數(shù)據(jù)記錄系統(tǒng)應(yīng)符合GBXXXX-XXXX1634.17裝備ADS的車51644.18若ADS1674.20ADS應(yīng)不存在由預(yù)期功能不足或合理誤用引起的危害而導(dǎo)致的不合理風(fēng)險(xiǎn)，應(yīng)符合附錄A。1684.21應(yīng)通過(guò)合理方式證明ADS符合本文件要求，包括但不限于審核、仿真試驗(yàn)、場(chǎng)地試驗(yàn)和道路試171法及要求》開展；若開展仿真試驗(yàn)，應(yīng)先對(duì)仿真工具鏈和模型進(jìn)行可信度評(píng)估。證明方式選擇可參考1745.1ADS應(yīng)具備充分的OEDR能力1755.2ADS的感知能力應(yīng)1775.4ADS應(yīng)以合理的控制策略應(yīng)對(duì)傳感系統(tǒng)的性能衰退。1845.6ADS應(yīng)能探測(cè)目標(biāo)的位置以及動(dòng)態(tài)目標(biāo)的移動(dòng)速度。1855.7ADS應(yīng)以合理的控制策略應(yīng)對(duì)探測(cè)到但無(wú)法識(shí)別類型的目標(biāo)物。1865.8ADS應(yīng)以合理的控制策略應(yīng)對(duì)無(wú)法探測(cè)區(qū)域內(nèi)存在的安全風(fēng)險(xiǎn)。187注：無(wú)法探測(cè)區(qū)域如傳感器布置及感知范圍造成的盲區(qū)、由其他交通參與者或障礙物遮擋造成的盲區(qū)、道路拓?fù)?895.9ADS應(yīng)合理規(guī)劃和控制車輛行駛路徑與行駛速度，以適應(yīng)道路、道路設(shè)施、目標(biāo)物、天1915.10ADS應(yīng)以合理控制策略應(yīng)對(duì)靜止的其他道1945.12ADS應(yīng)至少探測(cè)由于前方車輛減速、車輛切入或突然出現(xiàn)的障礙物而導(dǎo)致碰撞的風(fēng)險(xiǎn)，并應(yīng)自195動(dòng)執(zhí)行適當(dāng)?shù)目刂撇呗砸宰畲笙薅鹊販p少對(duì)車輛駕乘人員和其他道路使用者的安全風(fēng)險(xiǎn)。1965.13ADS應(yīng)控制車輛與其他道路使用者保持足夠的安全距離，若其他道路使用者的行為導(dǎo)致當(dāng)前距197離無(wú)法滿足安全距離要求，則應(yīng)執(zhí)行適當(dāng)?shù)目刂撇呗砸越档桶踩L(fēng)險(xiǎn)，在后續(xù)合適時(shí)機(jī)調(diào)整保持安全1995.14ADS不應(yīng)導(dǎo)致車輛失去2005.15ADS應(yīng)合理控制車輛的照明和光信號(hào)裝置，包括但不限于轉(zhuǎn)向信號(hào)燈、危險(xiǎn)警告信號(hào)、制動(dòng)燈。62046.1.1.1對(duì)于需要駕駛員執(zhí)行接管的ADS，應(yīng)具備駕駛員接管能力監(jiān)測(cè)系統(tǒng)。2056.1.1.2駕駛員接管能力監(jiān)測(cè)系統(tǒng)至少應(yīng)具備在位監(jiān)測(cè)和執(zhí)行DDT能力監(jiān)測(cè)。2116.1.3.1駕駛員接管能力監(jiān)測(cè)系統(tǒng)應(yīng)至少通過(guò)3種不同的指標(biāo)（例如特定的人機(jī)交互動(dòng)作、眨眼、閉2136.1.3.2駕駛員接管能力監(jiān)測(cè)系統(tǒng)判定駕駛員是否具備執(zhí)行DDT能力的周期應(yīng)不超2146.1.3.3當(dāng)AD215測(cè)系統(tǒng)應(yīng)立即發(fā)出明確的接管能力不足提示信號(hào)，每次發(fā)出的能力不足提示信號(hào)應(yīng)在滿足以下任一條2216.1.3.4接管能力不足提示信號(hào)應(yīng)明顯區(qū)別于車輛其他提示信號(hào)。225對(duì)于需要駕駛員執(zhí)行接管的ADS，應(yīng)具備安全、可靠、有效的接管策略，并應(yīng)能夠檢測(cè)駕駛員是否2286.2.2.1對(duì)于需要駕駛員執(zhí)行接管的ADS，應(yīng)具備明確的介入請(qǐng)求觸發(fā)條件，且ADS應(yīng)能識(shí)別需要發(fā)2316.2.2.2介入請(qǐng)求的發(fā)出時(shí)機(jī)應(yīng)保證駕駛員有足夠的時(shí)間安全接管車輛，至少應(yīng)滿足以下要求：232a)對(duì)于計(jì)劃接管事件，ADS應(yīng)在適當(dāng)?shù)臅r(shí)刻發(fā)出介入請(qǐng)求，以確保即使駕駛員未接管，最小風(fēng)233234b)對(duì)于非計(jì)劃接管事件，ADS應(yīng)在檢測(cè)到該事件時(shí)及時(shí)發(fā)出介入請(qǐng)求；236嚴(yán)重失效或車輛嚴(yán)重失效，則ADS可不發(fā)出介入7239請(qǐng)求發(fā)出過(guò)程中，除車輛制造商聲明的特殊情況，ADS不應(yīng)使車輛靜止。若因特殊情況使車輛達(dá)到靜2426.2.4.1僅當(dāng)ADS被用戶退出或執(zhí)行MRM，才能終止介入請(qǐng)求。2436.2.4.2介入請(qǐng)求從發(fā)出到因執(zhí)行MR244管車輛。若發(fā)生車輛制造商所聲明的無(wú)法保障駕駛員有充足的時(shí)間接管車輛的危險(xiǎn)情況，可立即執(zhí)行249a)對(duì)于需要駕駛員執(zhí)行接管的ADS，駕駛員未在車輛制造商聲明的時(shí)間內(nèi)響應(yīng)介入請(qǐng)求，所聲251b)253c)對(duì)于不需要駕駛員執(zhí)2556.3.1.2當(dāng)ADS執(zhí)行MRM時(shí)，ADS2586.3.1.4除非ADS2606.3.2.1僅當(dāng)ADS被用戶退出或ADS使車輛靜止后，才應(yīng)終止MRM。2667.1.1.1ADS應(yīng)配備供用戶激活和退出ADS的2687.1.1.2當(dāng)ADS處于激活狀態(tài)時(shí)，至少一種退出ADS的操2717.1.2.1對(duì)于需要駕駛員執(zhí)行接管的ADS，僅當(dāng)駕駛員執(zhí)行激活操作且滿足以下所有條件時(shí)，ADS才8277e)車輛未正在執(zhí)行影響ADS運(yùn)行的軟件升級(jí)；278f)車輛制造商聲明的其他設(shè)計(jì)運(yùn)行條件。2797.1.2.2對(duì)于不需要駕駛員執(zhí)行接管的ADS，僅當(dāng)用戶執(zhí)行激活操作且滿足以下所有條件時(shí)，ADS才283c)車輛未正在執(zhí)行影響ADS運(yùn)行的軟件升級(jí)；284d)車輛制造商聲明的其他設(shè)計(jì)運(yùn)行條件。297b)任何部分駕駛輔助功能或組合駕駛輔助功能自動(dòng)激活。300ADS應(yīng)具備安全、可靠、有效的干預(yù)策略，并應(yīng)能檢測(cè)駕駛員是否執(zhí)行干預(yù)操作。302當(dāng)駕駛員對(duì)轉(zhuǎn)向控制的干預(yù)超過(guò)車輛制造商聲明的為防止誤用而設(shè)計(jì)的合理閾值時(shí)，且確認(rèn)駕駛306靜止時(shí)，ADS應(yīng)執(zhí)行駕駛員輸入的制動(dòng)控制。3087.2.3.2對(duì)于需要駕駛員執(zhí)行接管的ADS，當(dāng)駕駛員對(duì)制動(dòng)或加速控制的干預(yù)超過(guò)為防止誤用而設(shè)計(jì)3107.2.3.3對(duì)于不需要駕駛員執(zhí)行接管的ADS，當(dāng)駕駛員對(duì)制動(dòng)或加速控制的干預(yù)超過(guò)為防止誤用而設(shè)311計(jì)的合理閾值時(shí)，ADS應(yīng)具備合理的控制策略。9313若駕駛員的干預(yù)將導(dǎo)致緊迫的碰撞風(fēng)險(xiǎn)，ADS可根據(jù)車輛制造商聲明的方式減弱或抑制駕駛員的干3187.2.5.2若駕駛員操縱車輛其他干預(yù)裝置，ADS應(yīng)對(duì)駕駛員進(jìn)行提示，并按照車輛制造商聲明的控制324ADS應(yīng)及時(shí)向用戶提供必要的提示信息。326若由于ADS未就緒而導(dǎo)致用戶激活系統(tǒng)失敗，則應(yīng)向用戶直觀地提示。3327.3.4.2ADS處于激活狀態(tài)時(shí)，應(yīng)通過(guò)光學(xué)信號(hào)向用戶進(jìn)行持續(xù)提示。334ADS由激活狀態(tài)退出至未激活狀態(tài)時(shí)，應(yīng)通過(guò)兩種以上的方式向用戶提示ADS已退出，至少包括光3377.3.6.1介入請(qǐng)求應(yīng)至少包含光學(xué)和聲學(xué)提示信號(hào)。342級(jí)的介入請(qǐng)求應(yīng)增加持續(xù)或間歇性的觸覺提示。3477.3.7.3對(duì)于需要接管的ADS，MRM的提示信號(hào)應(yīng)與介入請(qǐng)求不同。351對(duì)于裝備ADS的車輛，其產(chǎn)品說(shuō)明書至少應(yīng)包含：353b)A358g)若ADS需要接管，“本車ADS361j)364m)ADS執(zhí)行MRM期間的提示信號(hào)的說(shuō)明；367p)發(fā)生碰撞事故后，對(duì)用戶的建議。370372本附錄旨在確保車輛制造商在自動(dòng)駕駛系統(tǒng)設(shè)計(jì)和開發(fā)過(guò)程中對(duì)功能安全和預(yù)期功能安全進(jìn)行了373充分的考慮，并貫穿整個(gè)車輛的生命周期過(guò)程（設(shè)計(jì)、開發(fā)、生產(chǎn)、在用、報(bào)廢以避免因自動(dòng)駕374駛系統(tǒng)故障、預(yù)期功能不足以及合理誤用導(dǎo)致的對(duì)駕駛員、乘客和其他道路使用者造成不合理的風(fēng)險(xiǎn)，376本附錄規(guī)定了自動(dòng)駕駛系統(tǒng)在功能安全和預(yù)期功能安全方面的特殊要求。377本附錄不針對(duì)自動(dòng)駕駛系統(tǒng)的標(biāo)稱性能，也不作為自動(dòng)駕駛系統(tǒng)功能安全和預(yù)期功能安全開發(fā)的378具體指導(dǎo)，而是規(guī)定自動(dòng)駕駛系統(tǒng)設(shè)計(jì)、驗(yàn)證和確認(rèn)過(guò)程中應(yīng)遵循的方法和應(yīng)具備的信息，作為滿足382A.2.1.1車輛制造商應(yīng)建立覆蓋車輛全生命周期的功能安全和預(yù)期功能安383注：功能安全流程與預(yù)期功能安全流程可合一。384A.2.1.2車輛制造商應(yīng)具有相應(yīng)的文386A.2.1.3車輛制造商應(yīng)確保文檔和分析數(shù)據(jù)在該車型確定停產(chǎn)后的10年內(nèi)保持391及對(duì)應(yīng)的系統(tǒng)設(shè)計(jì)運(yùn)行條件進(jìn)行描述。404A.2.3.1系統(tǒng)組件清單405A.2.3.1.1車輛制造商應(yīng)具有組件清單，該清單應(yīng)包含自動(dòng)駕駛系統(tǒng)的所有單元，同時(shí)也應(yīng)列出為實(shí)406現(xiàn)相關(guān)自動(dòng)駕駛功能所需的車輛其它系統(tǒng)。407A.2.3.1.2車輛制造商應(yīng)具有自動(dòng)駕駛系統(tǒng)布局及原理圖，該圖應(yīng)能夠清晰地展示組件分布和相互連409A.2.3.1.3布局及原理圖應(yīng)包括：410a)感知系統(tǒng)（包含地圖和定位系統(tǒng)，如適用412c)由遠(yuǎn)程后臺(tái)提供的遠(yuǎn)程監(jiān)管或遠(yuǎn)程監(jiān)控（如413A.2.3.2單元功能414車輛制造商應(yīng)具有相應(yīng)的文檔，用來(lái)概述系統(tǒng)各單元的功能，并展示該單元與其它單元或車輛其415它系統(tǒng)間的連接?？墒褂脦?biāo)記的框圖或其它示意圖說(shuō)明。416A.2.3.3單元的識(shí)別419A.2.3.3.2車輛制造商應(yīng)明確標(biāo)識(shí)硬件和軟件的版本。420A.2.3.4感知系統(tǒng)組件的安裝說(shuō)明421車輛制造商應(yīng)具有相應(yīng)的文檔，用來(lái)說(shuō)明感知系統(tǒng)中單個(gè)組件的安裝信息。這些信息應(yīng)包括但不435A.2.5面向功能安全的安全436A.2.5.1車輛制造商應(yīng)至少在系統(tǒng)層面進(jìn)行面向功能安全的安全概念活動(dòng)，以保障437對(duì)駕駛員、乘客和其他道路使用者不存在不合理的風(fēng)險(xiǎn)。439A.2.5.2車輛制造商應(yīng)進(jìn)行安全分析活動(dòng)，并制訂對(duì)應(yīng)的安全措施，以說(shuō)明系統(tǒng)一旦發(fā)生失效該系統(tǒng)440如何避免或減輕可能對(duì)駕駛員、乘客和其他道路使用者的安全產(chǎn)生影響的危害。安全分析至少包括：441a)系統(tǒng)層面的安全分析，可采用潛在失效模式與影響分析(FMEA)、故障樹分析(FTA)、系統(tǒng)理442論過(guò)程分析（STPA）或任何適合系統(tǒng)安全分析的其他類似過(guò)程。443b)應(yīng)至少考慮如下因素可能導(dǎo)致的危害以開展安全分析：445449A.2.5.4車輛制造商應(yīng)進(jìn)行安全措施制訂，以確保安全概念實(shí)現(xiàn)。系統(tǒng)可采取如下安全策略：450a)使用部分系統(tǒng)維持運(yùn)行。在某些故障條件下（例如：探測(cè)相鄰車道的傳感器故障）維持部分451性能（例如，維持452b)切換到備用系統(tǒng)。如選擇備用系統(tǒng)實(shí)現(xiàn)動(dòng)態(tài)駕駛?cè)蝿?wù)，應(yīng)對(duì)切換機(jī)制的原理、冗余的邏輯和453層級(jí)、備用系統(tǒng)的狀態(tài)檢查機(jī)制進(jìn)行說(shuō)明并界定備用系統(tǒng)的效果；455A.2.6面向預(yù)期功能安全的安全措施制定456A.2.6.1車輛制造商應(yīng)制定面向預(yù)期功能安全的安全措施，以保障對(duì)于功能不足和合理誤用，系統(tǒng)不457會(huì)對(duì)駕駛員、乘客和其他道路使用者造成不合理的風(fēng)險(xiǎn)。458A.2.6.2