SAE J3016智能驾驶系统定义和分级

3.16 最小风险条件

一个稳定的，停止的状态，当一个特定的行程不能或不应该继续时，用户或ADS在执行接管DDT可以使车辆达到这个状态，以减少碰撞的风险。

注1：在L1级和L2级，车辆驾驶员应根据需要达到一个最小风险的状态。

注2: 在L3级系统中，鉴于ADS或车辆的DDT性能相关的系统故障，准备接管DDT的用户应该在他/她确定有必要时达到最小风险状态，或者在车辆可操作的情况下执行DDT。

注3：在L4级和L5级，ADS能够在必要时（即由于ODD退出，如果适用，或由于ADS或车辆中与DDT性能相关的系统故障）自动达到最小风险状态。在L4级和L5级自动实现最小风险条件的特点将根据系统故障的类型和程度、有关ADS功能的ODD（如果有）以及系统故障或ODD退出发生时的特定运行条件而有所不同。它可能需要自动将车辆停在其当前的行驶路线上，也可能需要一个更广泛的操作，旨在将车辆从交通活动车道上移开和/或将车辆自动返回到调度设施。

例子1: 一个被设计成在高速公路上高速运行的L4级ADS功能遇到了一个与DDT性能相关的系统故障，并在停车前自动将车辆从有效车道上移开。

例子2: 一辆安装了4级ADS的车辆在其主要电力系统中遇到了与DDT性能相关的系统故障。ADS使用了一个备用电源，以达到最小的风险条件。

3.17 [与DDT性能相关的]系统故障

驾驶自动化系统和/或其他车辆系统的故障，使驾驶自动化系统不能可靠地持续执行它的那部分DDT，包括完整的DDT，否则它将会被执行。 

注1：本定义适用于阻止驾驶自动化系统按照设计意图发挥全部能力的车辆故障条件和驾驶自动化系统故障。

注2：本术语不适用于L1级或2级驾驶员支持功能的瞬时失效，这种失效是由于固有的设计限制，并且不妨碍系统在持续的基础上执行其DDT的一部分。

例子1: 一个执行DDT横向车辆运动控制子任务的一级驾驶员支持功能，在它的一个摄像头中遇到DDT性能相关的系统故障，这使它不能可靠地检测到车道标线。该功能导致在中控台上显示一个故障指示信息，同时该功能自动退出，要求驾驶员立即恢复执行DDT的横向车辆运动控制子任务。

例子2：一个L3级ADS在它的一个雷达传感器中经历了一个与DDT性能相关的系统故障，这使它不能可靠地探测到车辆通道中的物体。ADS的反应是向DDT准备接管用户发出干预请求。ADS继续执行DDT，同时降低车速，持续几秒钟，以便有时间让DDT准备接管的用户以有序的方式恢复车辆的操作。

例子3：一辆有L3级ADS的车辆突然发生轮胎爆裂，导致车辆操控性很差，给回落准备的用户充分的运动反馈，表明车辆故障需要干预。准备接管的用户的反应是恢复DDT，打开危险灯，并将车辆开到最近的路肩上，从而达到最小风险的状态。

例子4。一个L4级ADS在其一个计算模块中经历了一个与DDT性能相关的系统故障。ADS通过使用一个或多个冗余的计算模块过渡到接管DDT，以达到最小的风险状态。

3.18 监测

一个描述一系列功能的通用术语，涉及实时的人类或机器感应和处理用于操作车辆或支持其运行的数据。

注1：当一般术语 "监测 "及其衍生物不够精确时，应使用以下描述监控类型的术语。

注2：以下四个术语（1-监测用户，2-监测驾驶环境，3-监测车辆性能，4-监测驾驶自动化系统性能）描述了监测的类别（见关于主要角色的范围）。

注3：L3级中假定的驾驶员对警示或其他与DDT性能相关的系统故障指标的接受状态或条件，不是一种监测形式。接受和监测之间的区别最好用例子来说明：一个意识到火警或电话铃声的人，不一定是在监控火警或电话。同样地，一个意识到拖车吊架脱落的用户也不一定是在监测拖车吊架。相比之下，在一辆有主动一级自适应巡航控制（ACC）系统的车辆中，驾驶员应该同时监测驾驶环境和ACC的性能，否则就不会等待警报来引起他/她对需要反应的情况的注意（见3.22）。

3.18.1 监测用户

旨在评估用户是否以及在多大程度上发挥了为其规定的作用的活动和/或自动程序。

注1：驾驶自动化背景下的用户监控最有可能被部署为针对误用或滥用（包括因自满而过度依赖）驾驶自动化系统的对策，但也可用于其他目的。

注2：用户监测主要对L2级和L3级有用，因为从现在使用L1级功能的证据中没有发现误用或滥用驾驶自动化技术的重大事件，而在这些级别以上，根据定义，ADS能够自动实现最小风险条件。

3.18.2 监测驾驶环境

完成实时道路环境目标物和事件检测、识别、分类和响应准备（不包括实际响应）的活动和/或自动程序，这是操作车辆的需要。

注意：当操作没有配备ADS的传统车辆时，驾驶员在视觉上对路况进行充分的采样，以胜任DDT的工作，同时也执行需要短时间离开道路的次要任务（例如，调整车厢舒适度设置，扫描路标，调整无线电等）。因此，对驾驶环境的监测不一定需要驾驶员持续地盯着道路。

3.18.3 监测车辆性能[针对与DDT性能相关的系统故障］

完成对车辆性能的实时评估的活动和/或自动程序，并根据操作车辆的需要进行响应准备。

注：在执行DDT时，L4级和L5级ADS监控车辆性能。然而，对于L3级ADS，以及1级和2级驾驶自动化系统来说，人类驾驶员被认为能够接受对DDT性能有不利影响的车辆状况（见3.22）。

例子1: 当L2级驾驶支持功能在走走停停的交通中，一个故障的制动钳导致车辆在刹车时略微向左拉。人类驾驶员观察到车辆偏离了它的车道，要么纠正车辆的横向位置，要么完全解除该功能。

例子2：当L4级ADS在走走停停的交通中，一个故障的刹车钳导致车辆在刹车时向左拉。ADS认识到这一偏差，纠正了车辆的横向位置，并过渡到跛行模式，直到达到最小的风险条件。

3.18.4 监测驾驶自动化系统的性能

评估驾驶自动化系统是否适当地执行部分或全部DDT的活动和/或自动程序。

注1：术语监测驾驶自动化系统的性能不应取代监督，监督包括监测和执行DDT所需的反应，因此更全面。

注2：识别由驾驶自动化系统发出的干预请求不是监控驾驶自动化系统性能的一种形式，而是一种接受的形式。

注3：在L1级和L2级，驾驶员监测驾驶支持功能的性能是监测的一部分。

注4。在更高的驾驶自动化水平上（L3-5级），ADS监测它自己的完整DDT的性能。

例子1：一个车内驾驶员监测一个启动的ACC功能，以验证它在弯道中跟随前面的车辆时保持适当的间隙。

例子2：一个远程驾驶员使用L2级自动停车功能监控车辆的路径，以验证该功能对行人和障碍物的反应。

3.19 目标物和事件检测与响应（OEDR）

DDT的子任务，包括监测驾驶环境（检测、识别和分类物体和事件，并准备在需要时作出反应），并对这些目标物和事件执行适当的反应（即，根据需要完成监测和/或监测接管）。

3.20 操纵[机动车辆］

总的来说，由（人类）驾驶员（有或没有一个或多个L1级或L2级驾驶自动化功能的支持）或由ADS（L3级至L5级）执行的活动，以执行特定车辆的整个DDT。

注1：本文件中没有使用 "驾驶 "一词，但是，在许多情况下，它可以正确地代替 "操纵"使用。

注2：尽管使用操纵/运行/操作这一术语意味着存在一个车辆 "操作者"，但这一术语在本文件中没有定义或使用，否则本文件为各种类型的装有ADS的车辆用户提供了非常具体的术语和定义（见3.32）。

注3：诸如 "驾驶"、"操作"、"驾驶员 "和"操作员 "等术语的法律含义可能与本文件中的技术含义不同。

3.21 运行设计域（ODD）

一个特定的驾驶自动化系统或其功能被专门设计为发挥作用的操作条件，包括但不限于环境、地理和时间限制，和/或某些交通或道路特征的必要存在或缺失。

注1：虽然L3级和L4级ADS功能/车辆被设计为完全在其各自的ODD内运行，但一些ODD条件在道路运行期间会迅速变化(例如，恶劣天气、车道线被遮挡)。操作环境的这种瞬时变化不一定代表 "ODD退出"，因为ADS决定这种条件变化何时需要后退性能（无论是由准备后退的用户还是ADS）。 

注2：第6节讨论了ODD在驾驶自动化水平方面的意义。

例子1: L1级ACC驾驶员支持功能被设计为向驾驶员提供纵向的车辆运动控制支持。在天气良好的情况下，在完全受控的高速公路上为驾驶员提供纵向车辆运动控制支持。

例2：一个ADS功能被设计为只在低速交通的完全控制的高速公路上，在良好的天气条件和最佳的道路维护条件下（例如，良好的车道标记和不在施工中）操纵车辆。

例3：一辆ADS专用车被设计成只在一个地理上确定的军事基地内运行，并且只在白天以不超过25英里/小时的速度运行。

例子4：一辆ADS专用商业卡车被设计为从一个有地理围栏的海港提取零件，并通过特定的路线将其运送到30英里外的配送中心。该车的ODD仅限于在指定的海港和构成海港与配送中心之间规定路线的特定道路内的白天运行。

例子5: 一个L3级ADS公路功能，其ODD要求是清晰可见的车道线，遇到了一小段车道线不明显的道路。ADS功能能够通过其他方式（例如，传感器融合、数字地图、引导车辆跟踪）补偿短暂的车道标记褪色或缺失，并在车道线再次变得清晰可见之前继续操作车辆。过了一会儿，车道线再次变得模糊不清，并保持较长的时间，导致ADS功能向准备接管的用户发出干预请求。