SAE J3016智能驾驶系统定义和分级

8.3 级别分配是名义上的，而不是顺序上的，也不是分数上的 

虽然按顺序编号为0到5，但驾驶自动化的级别并没有规定或暗示相对优点、技术先进性或部署顺序的级别。因此，这个分类法没有规定或暗示，例如，L4级比L3级或L2级 "更好"。 

另外，虽然有可能有一个相对高功能的ADS功能，如L3级功能，能够在其ODD内的大多数但不是所有可预见的条件下自动实现最小风险条件，但将这种功能称为 "低功能 "或"部分 "L4级ADS功能是违反定义的。同样，使用分数级别，如2.5或4.7来描述驾驶自动化功能也是不正确的。有条件的或零碎的级别会使级别的含义变得模糊，因为它消除了用户和驾驶自动化系统在执行DDT和特定车辆的接管方面的严格角色分配所提供的明确性。

8.4 级别是相互排斥的 

本分类法中的级别是有意离散的，并且是相互排斥的。因此，从逻辑上讲，一个特定的功能不可能被分配到一个以上的级别。例如，一个被制造商描述为能够在交通密集的完全控制的高速公路上执行完整的DDT的低速自动驾驶功能不可能既是L3级又是L4级，因为它要么能够自动执行DDT接管并在需要时达到最小风险状态，要么（至少有时）依赖于驾驶员对干预请求的反应，要么执行DDT或自己达到最小风险状态。

然而，驾驶自动化系统很有可能根据使用规范和/或用户偏好，在不同级别提供多种功能。例如，一辆车可以配备一个驾驶自动化系统，能够在不同的条件下提供L1级ACC功能、L2级高速公路驾驶辅助功能、L3级高速公路交通堵塞功能和L4级自动代客泊车功能，此外还允许用户在没有驾驶自动化功能的情况下在L0级操纵车辆。从用户的角度来看，这些不同的功能是按顺序进行的，而不是同时进行的，即使驾驶自动化系统使用了很多相同的基础硬件和软件技术来提供所有四个驾驶自动化功能。

8.5 DDT性能，接管性能和最小风险条件的实现是独立的功能 

在讨论L3级、L4级或L5级ADS的系统故障或超出设计运行域（Out-of-ODD）条件的处理时，本文区分了以下三个独立的功能。(i)DDT性能，(ii)DDT接管性能，和(iii)最小风险条件的实现。 

i.     DDT性能发生在ADS功能的常规/正常操作条件下。也就是说，该功能在正常运作和在其ODD（如果有）范围内执行完整的DDT。 

ii.     当ADS不能继续执行完整的DDT时（即，在常规/正常操作下），DDT接管发生。对于L3级ADS功能，一个可接管的人类用户（车内或远程）预计将对干预请求或从肉眼可见的车辆故障做出反应，如果车辆仍然可操作，则恢复DDT性能，如果车辆不可操作，则达到最小风险状态。对于L4级或L5级ADS，该功能或系统通过自动实现最小风险条件来执行接管，例如，停在路肩上，打开危险灯，关闭推进系统，并召唤路边援助。(注意：一些L3级功能可能被设计成在某些情况下自动执行后退并达到最小风险条件，例如当无障碍物、相邻的路肩存在时，但在其他情况下，例如没有这样的路肩时，就不能自动执行接管）。当ADS执行接管时，它操纵车辆进入最小风险状态，这就结束了接管响应。然而，当准备接管的用户执行接管时，他/她可能只是继续手动操纵车辆，而不是在车辆可操纵的情况下实现最小风险状态。 

iii.    L4级和L5级的接管性能和最小风险条件的实现要求ADS在发生DDT性能相关的系统故障或ODD外的情况下仍能发挥作用。如果ADS不能正常工作，可以采用故障降级策略（见3.11和8.6）。最小的风险条件取决于触发接管时的车辆状况和操作环境，并且可以遵循降级模式策略，考虑与继续运行、驶离道路或停在原地相关的相对风险。

8.6 DDT接管与故障降级策略 

装有ADS的车辆可能有一个额外的故障降级策略，旨在使车辆在任何地方都能控制地停下来。例如，如果L3级子行程交通拥堵功能的车内接管准备用户未能响应交通清理后的干预请求（ODD外的条件），车辆可能有一个故障降级策略，旨在使车辆在其目前的行车道上受控停车并打开危险灯。图13显示了一个用例序列样本。 

L4级和L5级配备ADS的车辆也可以有一个故障降级策略，即在某些罕见的、灾难性的故障条件下就地停车，这些故障条件使ADS无法工作，例如，在初始电源故障后失去备用电源或ADS的计算能力丧失，使其无法执行接管和实现最小风险条件。图14显示了一个用例序列样本。 

车辆执行的故障降级不同于最小风险条件的实现，也不是分配给L4级或L5级ADS的接管功能的一部分，因为它发生在ADS退出或因罕见的灾难性事件而丧失能力之后，因此，它也不属于本分类法的范围。                         

图13- 第3级功能的用例序列，显示ADS参与

发生故障或ODD外的情况，以及接管准备好的用户进行接管，或者，如果接管准备好的用户未能这样做，则采用故障降级策略，如在车道上停车。(注：虚线代表故障降级策略。)

图14- L4级的用例序列显示ADS的参与。

灾难性事件（例如，完全断电）和系统达到最小风险状态

(注：虚线代表故障降级策略。)