R171.01对DCAS的要求⑤

1.背景

2.范围和定义

3.申请批准

4.批准

5.一般要求

6.DCAS功能的附加要求

7.DCAS运行监控

8.系统验证

9.系统信息数据

10.软件识别要求

11.系统安全要求

12.物理测试要求

13.模拟仿真要求

5.4 检测到故障时系统的安全响应

5.4.1 激活的DCAS系统应能够检测和响应影响系统或其功能安全运行的电气和非电气（例如，传感器遮挡、错位）故障。

5.4.2 在检测到影响特定功能或整个系统的安全运行的故障时，应根据制造商的安全概念以安全方式终止受影响功能或整个系统的控制辅助。

如果是安全的，系统应逐渐减少受影响的功能或系统提供的控制辅助，并根据第5.5.4.1段的要求通知驾驶员。

5.4.2.1 如果故障影响整个DCAS系统，系统应在辅助终止时切换到“关闭”模式，并在适当的时间内向驾驶员提供至少一个光学故障警告信号。

5.4.2.2 除非DCAS系统处于“关闭”模式，否则影响系统的故障应至少用光信号向驾驶员指示（开启模式下故障指示需要一直存在，关闭后可不再显示故障）。

5.4.3 制造商应采取适当措施（根据第5.3.6段），以确保故障模式下DCAS系统对驾驶员而言仍是可控的。

5.4.4 如果故障仅影响某些功能，则允许系统继续运行，前提是其余功能能够按照本法规运行。（例如只影响换道功能，单车道还可以继续运行）

5.4.4.1 应以易于理解的方式向驾驶员直观地指示剩余可用功能或由于故障导致缺失的功能。

5.4.4.2 如果DCAS系统能够在禁用给定功能的故障下持续提供辅助，制造商应描述哪些功能能够相互独立运行。这应根据附件3进行评估。

5.4.5 当驾驶员试图将系统或因故障而不可用的功能切换到“开启”模式时，系统应向驾驶员发出关于故障和（系统或给定功能）不可用的通知。

5.5 人机交互界面（HMI）

5.5.1 操作方法

根据本法规定义的DCAS操作模式示意图：

5.5.2 一般要求

5.5.2.1 当系统切换到“开启”模式时，特定系统功能应处于“激活”模式（生成控制输出）或“待机”模式（当前不生成控制输出），而某些其他系统功能可能仍处于“关闭”模式，并由不同的方式命令。

5.5.2.2 当驾驶员将DCAS系统切换到“关闭”模式时，DCAS不得自动转换到提供车辆连续纵向（ACC）或连续横向（LKA）控制的任何系统。

5.5.2.3 当DCAS系统处于“激活”模式时，除DCAS外，任何其他系统不得提供持续的纵向和横向控制辅助，除非根据段落5.2的规定认为需要紧急安全系统的干预。

5.5.2.4 HMI的设计不应与车辆上配备的其他系统造成模式混淆。

5.5.2.4.1 在不影响UN ECE R121法规的情况下，专用于DCAS的车辆控制装置应明确识别和可区分（例如，通过尺寸、形式、颜色、类型、动作、行间距或控制形状）的，以适应适当的交互。该规定旨在促进正确使用，而不是禁止多功能控制装置。（允许为各个子功能设置开关）

5.5.3 激活、停用和驾驶员超控

5.5.3.1 在每次新发动机启动（或运行周期，视情况而定）开始时，DCAS系统应处于“关闭”模式，而不管驾驶员先前选择了什么模式（DCAS系统默认关闭）。

发动机自动启停时，此要求不适用。

5.5.3.2 激活 activation

5.5.3.2.1 最迟在动力总成启动后，DCAS系统首次进入“激活”模式时，系统应向驾驶员提供视觉信息，要求驾驶员在使用DCAS系统时继续参与驾驶任务。（新增要求）

5.5.3.2.2 只有在驾驶员有意识地采取行动时，系统才应将其模式从“关闭”变为“开启”。

5.5.3.2.3 系统或其功能只有在满足以下所有条件时才能进入“激活”模式：

（a）驾驶员坐在驾驶座上，系好驾驶员安全带；

（b）DCAS系统能够监控驾驶员对驾驶任务的潜在脱离；（即驾驶员监控系统正常工作）

（c）未检测出影响系统安全运行的故障；

（d）未检测到系统或功能超出其系统边界；

（e）根据段落5.2要求的其他安全系统（AEB、LDP等）是能起作用的。

制造商应在留档中指定使系统或其功能进入“激活”模式的其他类型的先决条件（如果适用）。

5.5.3.3 停用 deactivation

5.5.3.3.1 驾驶员应可随时将DCAS系统切换到“关闭”模式。

5.5.3.3.2 当驾驶员关闭DCAS系统或某个功能时，系统或该功能应分别进入“关闭”模式。

5.5.3.3.3 当DCAS系统或其功能评估出不再满足保持在“激活”模式的先决条件时，DCAS系统或功能应通过转换到“待机”模式或通过将系统或功能切换到“关闭”模式来安全及时地终止控制输出，除非本法规另有明确规定。

5.5.3.3.4 如果车辆在紧急安全系统（例如AEBS）的干预下停止，则DCAS系统不得在没有驾驶员输入的情况下恢复纵向控制。

5.5.3.4 驾驶员超控 override

5.5.3.4.1 DCAS系统可以保持在“激活”模式，前提是在超控期间优先响应驾驶员输入。

5.5.3.4.1.1 驾驶员对制动控制的输入导致比DCAS系统引起的减速更高的减速，应在超控期间超控并暂停DCAS系统提供的纵向控制辅助。

5.5.3.4.1.1.1 在驾驶员未采取有意操作的情况下，系统不应恢复纵向控制辅助，但是，系统可以提供纵向控制辅助以避免与其他道路使用者保持不适当的距离。（可以提供辅助，避免碰撞）

如果驾驶员输入导致2s内速度降低不超过30km/h，DCAS系统可以在驾驶员不采取单独行动的情况下恢复纵向控制。

5.5.3.4.1.1.2 恢复纵向控制辅助后，系统可加速至当前最大速度。加速度的增加率应是渐进的（即低急动度），并可根据第5.3.6段进行控制。

5.5.3.4.1.2 为了保持车辆静止，驾驶员对任何制动系统（例如行车制动器、驻车制动器）的控制输入应覆盖DCAS系统执行的纵向控制。

5.5.3.4.1.3 驾驶员输入的加速度高于DCAS系统控制的加速度时，应覆盖DCAS系统提供的纵向控制辅助。DCAS系统应根据当前最高大速度恢复纵向控制辅助。

5.5.3.4.1.4 驾驶员的转向输入应覆盖系统执行的任何横向控制辅助。超控所需的转向控制力不应超过50N。系统可以允许驾驶员执行轻微的横向校正（例如，避免碾压坑洼）。

5.5.3.4.1.4.1 当系统执行操纵时发生驾驶员超控，系统应终止操纵，除非驾驶员转向输入支持预期的操纵和/或提供轻微的横向校正。

5.5.3.4.1.5 如果根据第5.3.7.4.4段，不再允许DCAS系统响应驾驶员超控而提供纵向或横向辅助，则制造商应实施策略以确保这些操作阶段的可控性（例如，在检测到驾驶员脱离时不终止横向控制）。「驾驶员超出道路最高限速时，系统理论上要退出，系统的设计又要尽可能地保障安全」

5.5.4 驾驶员信息、驾驶员脱离和警告策略

5.5.4.1 驾驶员信息

5.5.4.1.1 以下场景，DCAS系统应通知或警告驾驶员：

（a）DCAS系统或功能的状态：“待机”模式（如适用）、“激活”模式；

（b）正在进行的操纵的状态（例如，启动、取消。或者在操纵过程中车辆被迫停止后是否会恢复行驶）；

（c）驾驶员需要执行的特定操作（例如接管请求、检查间接视觉设备）；

（d）如果在“激活”模式下，DCAS系统检测到已经到达当前相关的系统边界，除非已经由（a）指示；

（e）检测到即将到来的系统边界；

（f）检测到影响系统或其功能的故障，除非系统处于“关闭”模式；

（g）需要驾驶员确认或系统自动启动的操纵。

5.5.4.1.2 DCAS系统信息和信号应明确、及时且不会导致混淆。

5.5.4.1.3 针对特定情况，系统的信息和信号应使用单独或适当的视觉、听觉、触觉警告组合。

5.5.4.1.4 在多个信息或信号并行提供的情况下，它们应按紧急程度进行优先排序。与安全相关的信息和信号应被赋予最大的紧迫性。制造商应在留档中列出并解释所有系统信息和信号。

5.5.4.1.5 DCAS系统的信息和信号应设计为积极鼓励驾驶员了解系统的状态、功能以及驾驶员的任务和责任。

5.5.4.1.6 DCAS系统的信息和信号应鼓励驾驶员了解系统的预期控制输出。

5.5.4.1.7 DCAS系统的整体状态指示应与车辆上配备的任何自动驾驶系统ADS的状态指示明确区分。

5.5.4.1.8 驾驶员确认变道机动的系统信息和信号

5.5.4.1.8.1 DCAS系统应直观地通知驾驶员建议的操纵。如果告知有关一系列操作的信息，则应是驾驶员可理解的组合和连续的系列。制造商应向型式认证机构解释提供此信息的时间，以确保驾驶员做出适当的响应。

5.5.4.1.8.2 方向指示器不应被视为满足此要求。［新增］

5.5.4.1.8.3 DCAS系统信号和信息的设计应避免驾驶员过度依赖或误用。

5.5.4.1.9 DCAS系统自动启动的变道机动的系统信息和信号

5.5.4.1.9.1 第5.5.4.1.8的规定同样适用。

［新增］

5.5.4.1.9.2 考虑到操纵的复杂性和其他道路使用者的数量，该系统应旨在在相关预期操纵开始之前提供信息，并给予足够的通知，使驾驶员能够理解操纵和交通状况。如果存在即将发生碰撞的风险或与正在进行的操纵信息相冲突，则可以缩短时间，系统应尽可能提前直观地通知驾驶员。

此外，除非系统评估驾驶员己经观察到视觉信息，否则应通过另一种方式宣布车道变换程序的启动。

5.5.4.1.9.3 如果系统能够执行系统启动的操纵，系统应向驾驶员指示在当前操作模式下，操纵是否可以自动启动，或者只有在驾驶员启动或确认后才能启动。