ICS43.020

CCST40

DB4403

深圳市地方標準

DB4403/TXXX—XXXX

智能網聯汽車自動駕駛系統技術要求

第1部分：高速公路及快速路自動駕駛

Intelligentandconnectedvehicles—Technicalrequirementsfor

automateddrivingsystem—Highwayandexpresswayautomateddriving

(SSG

（送審稿）

XXXX-XX-XX發布XXXX-XX-XX實施

深圳市市場監督管理??發布

DB4403/TXXX—XXXX

智能網聯汽車自動駕駛系統技術要求

第1部分：高速公路及快速路自動駕駛

1范圍

本文件規定了高速公路及快速路自動駕駛系統的總體要求、動態駕駛任務執行要求、動態駕駛

任務后援要求、人機交互要求。

本文件適用于裝備自動駕駛系統的M類、N類汽車。

2規范性引用文件

下列文件中的內容通過文中的規范性引用而構成本文件必不可少的條款。其中，注日期的引用

文件，僅該日期對應的版本適用于本文件；不注日期的引用文件，其最新版本（包括所有的修改單）

適用于本文件。

GB/T40429—2021汽車駕駛自動化分級

DBXXXXX—XXXX智能網聯汽車自動駕駛系統設計運行條件

DBXXXXX—XXXX智能網聯汽車整車信息安全技術要求

DBXXXXX—XXXX智能網聯汽車自動駕駛數據記錄系統技術要求

DBXXXXX—XXXX智能網聯汽車軟件升級技術要求

GB/T41798—2022智能網聯汽車自動駕駛功能場地試驗方法及要求

GB/T34590.3—2017道路車輛功能安全第3部分：概念階段

GB5768（所有部分）道路交通標志和標線

GB/T24720交通錐

GB/T24973收費用電動欄桿

GB/T12534汽車道路試驗方法通則

GA/T115—2020道路交通擁堵度評價方法

ISO21448道路車輛—預期功能安全(Roadvehicles—Safetyoftheintendedfunctionality)

3術語和定義

下列術語和定義適用于本文件。

3.1

自動駕駛功能automateddrivingfeature

駕駛自動化系統在特定的設計運行條件下代替駕駛員持續自動地執行全部動態駕駛任務的功能。

3.2

自動駕駛系統automateddrivingsystem；ADS

實現自動駕駛功能的硬件和軟件所共同組成的系統。

3.3

設計運行范圍operationaldesigndomain；ODD

1

DB4403/TXXX—XXXX

駕駛自動化系統設計時確定的適用于其功能運行的外部環境條件。

注：典型的外部環境條件有道路、交通、天氣、光照等。

3.4

設計運行條件operationaldesigncondition；ODC

駕駛自動化系統設計時確定的適用于其功能運行的各類條件的總稱，包括設計運行范圍、車輛

狀態、駕乘人員狀態及其他必要條件。

3.5

動態駕駛任務dynamicdrivingtask；DDT

除策略性功能外的車輛駕駛所需的感知、決策和執行等行為，包括但不限于：

——車輛橫向運動控制；

——車輛縱向運動控制；

——目標和事件探測與響應；

——駕駛決策；

——車輛照明及信號裝置控制。

注：策略性功能如導航、行程規劃、目的地和路徑的選擇等。

3.6

目標和事件探測與響應objectandeventdetectionandresponse；OEDR

對目標和事件進行探測，并進行適當的響應。

3.7

最小風險狀態minimalriskcondition；MRC

車輛事故風險可接受的狀態。

[來源：GB/T40429—2021，2.8]

3.8

最小風險策略minimalriskmaneuver；MRM

駕駛自動化系統無法繼續執行動態駕駛任務時，所采取的使車輛達到最小風險狀態的措施。

3.9

動態駕駛任務后援dynamicdrivingtaskfallback

當發生即將超出設計運行范圍、駕駛自動化系統失效或車輛其他系統失效等不滿足設計運行條

件的情況時，由用戶接管或由駕駛自動化系統執行最小風險策略的后備支援行為。

3.10

介入請求requesttointervene

駕駛自動化系統請求動態駕駛任務后援用戶執行接管的通知。

3.11

接管takeover

動態駕駛任務后援用戶響應介入請求，從駕駛自動化系統獲得車輛駕駛權的行為。

3.12

用戶user

與駕駛自動化相關的人類角色的統稱。

注：用戶的角色可以在特定的條件下進行轉換。

3.13

駕駛員driver

對于某個具體的車輛，實時執行部分或全部動態駕駛任務和/或接管的用戶。

3.14

2

DB4403/TXXX—XXXX

自動駕駛數據記錄系統datastoragesystemforautomateddriving；DSSAD

裝備在具備自動駕駛功能的車輛上、在自動駕駛系統激活期間具備監測、采集、記錄和存儲數

據功能并支持讀取記錄數據的系統。

3.15

數據記錄系統輔助存儲設備datastoragesystemsecondarystoragedevice

為應對DSSAD存儲能力或空間不足而接入的用于獨立存儲數據的設備。

3.16

未激活狀態deactivestate

ADS未執行車輛橫向運動控制或車輛縱向運動控制的狀態。

3.17

未就緒狀態notreadystate

ADS不可被激活的未激活狀態。

3.18

就緒狀態readystate

ADS可被激活的未被激活狀態。

3.19

激活狀態activestate

ADS執行車輛橫向運動控制和車輛縱向運動控制的狀態。

3.20

ADS嚴重失效severeADSfailure

針對ADS必要部件的一種發生概率非常低但影響ADS安全運行的失效。

注：單個傳感器失效，只有當影響系統安全運行時，才會被視為嚴重失效。

3.21

車輛嚴重失效severevehiclefailure

任何影響ADS執行DDT能力且影響車輛手動操作的車輛失效。

示例：電源掉電、制動系統失效、胎壓突然下降。

3.22

計劃接管事件plannedtakeoverevent

ADS預先知曉并需要發出介入請求的事件。

3.23

非計劃接管事件unplannedtakeoverevent

ADS非預先知曉但假設極有可能發生，并需要發出介入請求的事件。

示例：道路施工、車道標線消失等。

3.24

干預intervene

用戶主動通過系統已明確的有效方式影響駕駛自動化系統執行動態駕駛任務的行為。

3.25

安全目標safetygoal

由整車層面危害分析和風險評估得出的最高層面的安全要求。

3.26

安全措施safetymeasures

用以避免或控制系統性失效、探測隨機硬件失效，控制隨機硬件失效或減輕它們的有害影響的

活動或技術解決方案。

3

DB4403/TXXX—XXXX

3.27

接受準則acceptedcriteria

代表不存在不合理的安全風險的準則。

3.28

控制策略controlstrategy

針對一組特定的環境和/或運行條件，確保系統各種功能健壯、安全運行的策略。可包括自動關

閉功能，或者暫時的性能限制。

3.29

試驗車輛vehicleundertest；VUT

進行自動駕駛功能試驗的車輛。

3.30

目標物objecttarget

用于構建試驗場景的交通參與者及障礙物。

3.31

目標車輛vehicletarget；VT

用于構建試驗場景的量產乘用車。

3.32

自動駕駛模式automateddrivingmode

由自動駕駛系統執行全部動態駕駛任務的模式。

3.33

試驗場景testingscenario

車輛試驗過程中所處道路、交通標志標線及目標物等要素及其狀態的集合。

3.34

預計碰撞時間pre—collisiontime

試驗車輛在預設行駛軌跡中保持當前行駛速度到達與目標物的預碰撞點所需要的時間。

3.35

最高設計運行速度maximumdesignoperationalspeed

試驗車輛在其設計運行條件下自動駕駛模式可運行的最高速度。

3.36

試驗過程testingprocess

試驗車輛自第一個試驗項目開始至選取試驗項目全部完成。

3.37

引導車leadingvehicle

在試驗車輛前方，與其處于同一車道，用于滿足試驗車輛自動駕駛模式激活條件的車輛。

3.38

穩定跟隨stablefollowing

前后車輛速度差在±2km/h以內并保持3s以上。

3.39

起動startmoving

試驗車輛行駛速度由0km/h加速至2km/h的行駛過程。

3.40

換道lanechanging

車輛車輪首次觸碰車道邊線到車輛全部車輪進入相鄰車道。

4

DB4403/TXXX—XXXX

3.41

有效試驗時長總和totaleffectivetestduration

在自動駕駛功能處于激活狀態下針對某種特定道路類型進行試驗的總時長。

3.42

單次連續試驗singlecontinuoustest

試驗車輛在特定時間段內不間斷進行的一次試驗。

3.43

試驗人員teststaff

參與場地或道路試驗的人員，包括試驗操作人員和隨車試驗人員。

3.43.1

試驗操作人員testoperationstaff

試驗過程中，為配合試驗進行，執行必要的動態駕駛任務和/或動態駕駛任務接管的人員。

3.43.2

隨車試驗人員on—boardteststaff

試驗過程中，記錄試驗數據和事件的人員。

3.44

Ⅰ型道路roadtypeI

高速公路以及快速路的集合。

注：在不引起混淆的情況下，本文件中的“Ⅰ型道路”簡稱為“Ⅰ型”。

3.45

自動駕駛系統標志燈（以下簡稱“ADS標志燈”）autonomousdrivingsystemmarkerlamp

向其他道路使用者表明自動駕駛系統正在控制車輛運行的燈具。

4符號和縮略

下列符號適用于本文件。

Vmax最高設計運行速度，單位為km/h。

5總體要求

5.1企業應通過合理方式證明ADS符合本文件要求，包括但不限于仿真試驗、場地試驗和道路試驗，

尤其是附錄C和附錄D未測試的內容，其中附錄C和附錄D由第三方檢測機構開展，企業應在此基

礎上增加試驗場景，充分證明ADS符合本文件要求。企業應基于附錄A要求進行系統功能安全和預

期功能安全評估并輸出評估報告，并出具仿真試驗報告、場地試驗報告以及道路試驗報告，供審核。

其中，仿真試驗，應按照附錄B對仿真工具鏈和模型進行可信度評估。

5.2ADS應具有明確的設計運行條件，設計運行條件可參考DBXXXXX—XXXX《智能網聯汽車自動

駕駛系統設計運行條件》。

5.3ADS應僅允許在其設計運行條件下被激活。

5.4ADS應及時響應用戶的有效操作，若用戶的操作將導致緊迫的碰撞風險，ADS可根據企業聲明

的方式暫緩響應用戶的操作。

5.5若ADS具備暫緩響應功能，應具有明確的暫緩響應的條件。

5.6ADS應采取適當的控制策略處理合理可預見的用戶誤用。

5

DB4403/TXXX—XXXX

5.7ADS應持續執行自檢，以檢測ADS失效并確認系統可執行全部DDT。

5.8ADS在激活狀態下，應執行全部DDT，且不應造成不合理的安全風險。

5.9ADS在激活狀態下，執行DDT應符合道路交通規定。

5.10ADS在激活狀態下，執行DDT應符合其他道路使用者的預期。

5.11ADS在激活狀態下，應確認支持駕駛員恢復人工駕駛所需的裝置或系統處于適當狀態。

5.12所需的裝置或系統如除霧裝置、擋風玻璃雨刷器、照明裝置。

5.13ADS在激活狀態下，針對可合理預見且可預防的場景，應避免導致碰撞事故。

5.14ADS在激活狀態下，當碰撞事故不可避免時，ADS應采取合理策略降低事故傷害或損失。

5.15ADS在激活狀態下，當ADS檢測到車輛發生碰撞事故后，除企業聲明的情況外，應使車輛靜

止，且至少應通過企業聲明的方式進行安全檢測，才允許再次被激活。

5.16ADS在激活狀態下，當設計運行條件即將不滿足或已經不滿足時，ADS應執行合理的策略。

5.17ADS在激活狀態下，ADS應與道路使用者道路使用者進行有效的信息交互。

5.18信息交互方式如轉向信號燈、制動燈等。

5.19ADS在激活狀態下，ADS應避免擾亂正常的交通流而導致整體通行效率下降。

5.20裝備ADS的車輛應具備自動駕駛數據記錄系統，自動駕駛數據記錄系統應符合DBXXX—XXX

《智能網聯汽車自動駕駛數據記錄系統技術要求》。

5.21車輛應記錄和存儲發生碰撞事故前90s的位置、運行狀態、駕駛模式和車內外監控視頻數據，

且該數據至少應存儲30日不被刪除或覆蓋。

注：運行狀態信息包括DBXXXX—XXX《智能網聯汽車自動駕駛數據記錄系統技術要求》4.4.2章節表2的數據。

5.22自動駕駛數據記錄系統若能滿足5.19條要求，則車輛不需要增加其它輔助存儲設備。若車輛

自動駕駛數據記錄系統系統不能滿足5.19條要求，則應增加輔助存儲設備記錄5.19條要求的數據，

輔助存儲設備數據記錄格式和精度要求應符合DBXXXX—XXX《智能網聯汽車自動駕駛數據記錄系

統技術要求》4.4小節要求。數據讀取方式應符合DBXXXX—XXX《智能網聯汽車自動駕駛數據記

錄系統技術要求》4.6小節要求，實施日期符合DBXXXX—XXX《智能網聯汽車自動駕駛數據記錄

系統技術要求》第8章節要求。

5.23裝備ADS系統的車輛應符合DBXXXX—XXX《智能網聯汽車整車信息安全技術要求》。

5.24若ADS具備軟件升級功能，裝備ADS系統的車輛應符合DBXXXX—XXX《智能網聯汽車軟件

升級技術要求》。

5.25ADS應不存在由于功能異常表現引起的危害而導致的不合理風險，應符合附錄A。

5.26ADS應不存在由預期功能不足和合理誤用引起的危害而導致的不合理的風險，應符合附錄A。

5.27ADS在激活狀態下，自車應開啟外部ADS標志燈，向道路上的其他道路使用者發出明顯的安

全提示。ADS退出后，應關閉ADS指示燈。用于道路運輸經營活動的自動駕駛車輛，應以顯著的車

身標識進行安全提示。用于公交客運的自動駕駛車輛，應在車內播放語音提示。車輛應至少安裝1

只或2只朝前、1只或2只朝后的ADS標志燈，顏色為藍綠色，色度應符合下表1的要求；在基準

軸線方向上的視表面面積應不小于12.5cm2（不包括任何不透光的回復反射器發光面）。

表1ADS標志燈的色度

顏色色度區域邊界邊界交點

xy

T12趨綠極限：y=0.500T10.0120.494

T23趨白極限：x=0.200T20.2000.400

藍綠色

T34趨藍極限：y=0.320T30.2000.320

T41光譜軌跡T40.0400.320

6

DB4403/TXXX—XXXX

6動態駕駛任務執行

6.1ADS應具備充分的OEDR能力，支持其安全且合理地執行全部DDT。

6.2ADS的感知能力應覆蓋足夠的范圍和距離。

6.3ADS應能持續識別ODC是否滿足。

6.4ADS應以合理的控制策略應對傳感系統的性能衰退。

6.5ADS至少應能確定自車位置、探測周圍環境中的目標和事件，例如：

a)道路，含道路類型、道路表面條件、道路幾何、車道特征、道路邊緣等；

b)道路設施，含交通標志、交通信號燈等；

c)目標物，含機動車、非機動車、行人、障礙物等；

d)天氣環境，含天氣、光照條件等；

e)數字信息環境，含無線通信、位置信號等。

6.6ADS應能探測目標的位置以及動態目標的移動速度。

6.7ADS應以合理的控制策略應對探測到但無法識別類型的目標物。

6.8ADS應以合理的控制策略應對無法探測區域內存在的安全風險。

注：無法探測區域如傳感器布置及感知范圍造成的盲區、由其他交通參與者或障礙物遮擋造成的盲區、道路拓

撲或形狀造成的盲區等。

6.9ADS應合理規劃和控制車輛行駛路徑與行駛速度，以適應道路、道路設施、目標物、天氣環境、

數字信息環境等。

6.10ADS應以合理控制策略應對靜止的其他道路使用者。

6.11ADS應避免與車輛前方無遮擋的行人發生碰撞，若因行人行為導致無法避免碰撞，ADS應盡可

能減緩碰撞。

6.12ADS應至少探測由于前方車輛減速、車輛切入或突然出現的障礙物而導致碰撞的風險，并應

自動執行適當的策略以最大限度地減少對車輛駕乘人員和其他交通使用者的安全風險。

6.13ADS應控制車輛與其他道路使用者保持足夠的安全距離，若其他道路使用者的行為導致當前

距離無法滿足安全距離要求，則應執行適當的控制策略以降低安全風險，在后續合適時機調整保持

安全距離。

6.14ADS不應導致車輛失去控制出現傾覆等。

6.15ADS應合理控制車輛的照明和信號裝置，包括但不限于轉向信號燈、危險警告信號、制動燈。

7動態駕駛任務后援

7.1駕駛員接管能力監測系統

7.1.1一般要求

7.1.1.1對于需要駕駛員執行接管的ADS，應具備駕駛員執行接管監測系統。

7.1.1.2駕駛員接管能力監測系統至少應具備在位監測和執行DDT能力監測。

7.1.2駕駛員在位監測

ADS在激活狀態下，系統應通過以下a)或b)方式進行駕駛員在位監測，并在滿足條件時，ADS

應按照7.2發出介入請求：

a)駕駛員不在駕駛位超過1s；

b)駕駛員未系安全帶。

7

DB4403/TXXX—XXXX

7.1.3駕駛員執行DDT能力監測

7.1.3.1駕駛員接管能力監測系統應至少通過3種不同的指標（例如特定的人機交互動作、眨眼、

閉眼、有意識的頭部或身體運動等）對駕駛員狀態進行監測和判定。

7.1.3.2駕駛員接管能力監測系統判定駕駛員是否具備執行DDT能力的周期應不超過30s。

7.1.3.3當ADS處于激活狀態，若駕駛員被判定為不具備執行DDT的能力時，駕駛員執行DDT能力

監測系統應立即發出明確的接管能力不足提示信號，每次發出的能力不足提示信號應在滿足以下任

一條件時關閉：

a)監測到駕駛員恢復接管能力；

b)ADS發出介入請求；

c)ADS執行MRM；

d)ADS退出。

7.1.3.4接管能力不足提示信號應明顯區別于車輛其他提示信號。

7.1.3.5接管能力不足提示信號發出15s內，ADS應按照7.2發出介入請求。

7.2接管

7.2.1一般要求

對于需要駕駛員執行接管的ADS，應具備安全、可靠、有效的接管策略，并應能夠檢測駕駛員

是否在執行接管操作。

7.2.2發出介入請求

7.2.2.1對于需要駕駛員執行接管的ADS，應具備明確的介入請求觸發條件，且ADS應能識別需要

發出介入請求的所有情況，當不滿足8.1.2.1中任一條件時，除本文件規定的特殊條款，ADS應發

出介入請求。

7.2.2.2介入請求的發出時機應保證駕駛員有足夠的時間安全接管車輛，至少應滿足以下要求：

a)對于計劃接管事件，ADS應在適當的時刻發出介入請求，以確保即使駕駛員未接管，最小

風險策略仍能使車輛在計劃接管事件發生前停止；

b)對于非計劃接管事件，ADS應在檢測到該事件時及時發出介入請求；

c)對于影響ADS運行的失效，ADS應在檢測到該失效時立即發出介入請求。若該失效為ADS

嚴重失效或車輛嚴重失效，則ADS可不發出介入請求，直接執行MRM。

7.2.3介入請求階段

7.2.3.1在介入請求發出過程中，ADS應持續執行全部DDT。

7.2.3.2在介入請求發出過程中，除企業聲明的特殊情況下，ADS不應使車輛靜止。若因特殊情況

使車輛達到靜止，應在靜止5s內激活危險警告信號。

7.2.4終止介入請求

7.2.4.1僅當ADS被用戶退出或執行MRM，才能終止介入請求。

7.2.4.2介入請求從發出到因執行MRM而終止的時間應至少保持10s，以確保駕駛員有充足的時

間接管車輛。若無法保障駕駛員有充足的時間接管車輛，可立即執行MRM。

7.3最小風險策略

7.3.1執行MRM

8

DB4403/TXXX—XXXX

7.3.1.1ADS應有明確的執行MRM的條件，且ADS應能識別需要執行MRM的所有情況，至少應包括：

a)對于需要駕駛員執行接管的ADS，駕駛員未在企業聲明的時間內響應介入請求，所聲明時

間應不小于10s。

b)對于不需要駕駛員執行接管的ADS，當ODC即將不再滿足，ADS及時執行MRM并確保車輛在

不滿足ODC之前達到靜止。

c)對于不需要駕駛員執行接管的ADS，當ODC已經不再滿足，ADS立即執行MRM并確保車輛達

到靜止。

7.3.1.2當ADS執行MRM時，ADS應將用戶和其他道路使用者的安全風險降至最低。

注：在執行MRM期間，ADS可能不再有能力滿足本文件第5和6章的要求，但其目標是使安全風險降至最低。

7.3.1.3當ADS執行MRM時，ADS應開啟并保持危險警告信號，在車輛換道期間應暫停危險警告信

號。

7.3.1.4除非ADS在執行MRM期間被退出，否則MRM應使車輛停止。

7.3.2終止MRM

7.3.2.1僅當ADS被用戶退出或ADS使車輛停止后，才應終止MRM。

7.3.2.2當終止MRM后，ADS應退出。

7.3.2.3當因車輛靜止而終止MRM后，不應因ADS退出導致關閉危險警告信號。

8人機交互

8.1激活和退出

8.1.1一般要求

8.1.1.1ADS應配備供用戶激活和退出ADS的專用操縱方式，該方式應防止用戶可合理預見的誤用。

8.1.1.2當ADS處于激活狀態時，至少一種退出ADS的操縱方式對用戶應總是可見的。

8.1.1.3車輛每次點火（上電）后，ADS應處于未激活狀態。

注1：專用操縱方式如專用的操縱件或對操縱件的專用操縱方式等。

注2：車輛每次點火不包括發動機自動啟停。

8.1.2激活

8.1.2.1對于需要駕駛員執行接管的ADS，僅當駕駛員執行激活操作且滿足以下所有條件時，ADS

才應被激活：

a)駕駛員坐在駕駛位置上，且系好安全帶；

b)駕駛員具備執行DDT能力；

c)ADS通過自檢確認，且不存在影響ADS運行的失效；

d)DSSAD處于工作狀態；

e)車輛未執行影響ADS運行的軟件升級；

f)企業聲明的其他設計運行條件。

8.1.2.2對于不需要駕駛員執行接管的ADS，僅當用戶執行激活操作且滿足以下所有條件時，ADS

才應被激活：

a)ADS通過自檢確認，且不存在影響ADS運行的失效；

b)DSSAD處于工作狀態；

c)車輛未執行影響ADS運行的軟件升級；

9

DB4403/TXXX—XXXX

d)企業聲明的其他設計運行條件。

8.1.3退出

8.1.3.1當用戶通過專用操縱方式退出ADS時，ADS應及時退出。僅當用戶執行的退出操縱將產生

碰撞風險時，系統可暫緩退出。

8.1.3.2除8.1.3.1外，至少滿足如下任一條件時，ADS才應退出：

a)駕駛員按照8.2.2干預橫向控制；

b)駕駛員按照8.2.3.1干預縱向控制，且車輛橫向運動被駕駛員控制；

c)在介入請求發出或執行MRM過程中，駕駛員手握轉向盤，且ADS確認駕駛員專注于DDT；

d)終止MRM。

8.1.3.3在發生車輛嚴重失效或ADS嚴重失效的情況下，ADS可采用企業聲明的其他安全退出策略。

8.1.3.4ADS的退出不應導致：

a)任何應急輔助功能自動關閉；

b)任何部分駕駛輔助功能或組合駕駛輔助功能自動激活。

8.2干預

8.2.1一般要求

ADS應具備安全、可靠、有效的干預策略，并應能檢測駕駛員是否在執行干預操作。

8.2.2橫向控制干預

8.2.2.1當駕駛員對轉向控制的干預超過為防止誤用而設計的合理閾值且確認駕駛員專注于DDT

時，車輛應執行駕駛員輸入的橫向控制。

8.2.3縱向控制干預

8.2.3.1當駕駛員對制動控制的干預產生比ADS引起的減速度更大，或通過任何制動系統使車輛保

持靜止時，車輛應執行駕駛員輸入的制動控制。

注：駕駛員對加速控制的輸入也可能干預ADS的縱向控制。

8.2.3.2對于需要駕駛員執行接管的ADS，當駕駛員對制動或加速控制的干預超過為防止誤用而設

計的合理閾值時，ADS應發出介入請求或執行MRM。

8.2.3.3對于不需要駕駛員執行接管的ADS，若車輛具備駕駛員可控制的制動或加速裝置，當駕駛

員對制動或加速控制的干預超過為防止誤用而設計的合理閾值時，ADS應具備合理的控制策略。

8.2.4干預抑制

若駕駛員的干預將導致緊迫的碰撞風險，ADS可根據企業聲明的方式減弱或抑制駕駛員的干預

對任何控制的影響。

8.2.5其他干預策略

8.2.5.1在發生車輛嚴重失效或ADS嚴重失效的情況下，ADS可采用企業聲明的其他安全干預策略。

8.2.5.2若駕駛員操縱車輛其他干預裝置，ADS應對駕駛員進行提示，并按照企業聲明的策略執行。

注：其他干預裝置如急停裝置。

8.3系統狀態提示

10

DB4403/TXXX—XXXX

8.3.1一般要求

ADS應持續向用戶提示明確、充分的ADS狀態信息，不應對用戶造成干擾。當ADS狀態發生變

化時，ADS應及時向用戶提供必要的提示信息。

8.3.2未就緒狀態提示

若由于ADS未就緒而導致用戶激活系統失敗，則應向用戶直觀地提示。

8.3.3就緒狀態提示

當ADS處于就緒狀態時，應至少通過光學信號向用戶提示系統可被激活。

8.3.4激活狀態提示

8.3.4.1ADS由未激活狀態進入激活狀態時，應通過專用的光學信號向用戶提示ADS已激活。

8.3.4.2ADS處于激活狀態時，應通過光學信號向用戶進行持續提示。

8.3.5退出提示

8.3.5.1ADS由激活狀態退出至未激活狀態時，應通過兩種以上的方式向用戶提示ADS已退出，至

少包括光學信號。由于駕駛員接管導致ADS退出，可僅用光學信號提示。

8.3.6介入請求

8.3.6.1介入請求應至少包含光學和聲學提示信號。

8.3.6.2介入請求的光學提示信號應直觀和明確地提示駕駛員介入請求的響應方式，應至少包括手

和方向盤的信息，應至少包括表示手部和方向盤的基本構成要素。

8.3.6.3在介入請求發出過程中，介入請求應在發出4s內升級并保持升級狀態至介入請求結束，

升級的介入請求應增加持續或間歇性的觸覺提示。

8.3.7MRM提示

8.3.7.1在ADS執行MRM過程中，應對用戶給出明顯提示，提示方式應至少包括光學信號，并附加

聲學或觸覺信號。

8.3.7.2ADS處于MRC時，應至少以光學、聲學或觸覺中的兩種信號提示用戶直至ADS退出。

8.3.7.3對于需要接管的ADS，MRM的提示信號應與介入請求不同。

8.3.8失效提示

在ADS激活狀態下，若檢測到ADS失效，應對用戶給出明顯提示，應至少包括光學提示信號。

9說明書

對于裝備ADS的車輛，其產品說明書應包含以下說明：

a)“本車具備ADS”等內容的說明；

b)ADS允許被激活的設計運行條件的說明；

c)激活ADS的方法及條件的說明；

d)ADS就緒狀態提示信號的說明；

e)ADS激活狀態提示信號的說明；

11

DB4403/TXXX—XXXX

f)ADS是否需要接管的說明；

g)若ADS需要接管，“本車ADS在特定條件下需要被駕駛員接管”等內容的說明；

h)若ADS需要接管，介入請求的說明；

i)若ADS需要接管，接管ADS的方法；

j)駕駛員接管能力不足提示信號的說明；

k)干預ADS的方法及結果的說明；

l)ADS執行MRM的條件的說明；

m)ADS執行MRM期間的提示信號的說明；

n)ADS執行MRM的狀態及結果的說明；

o)退出ADS的方法及條件的說明；

p)發生碰撞事故后，對用戶的建議。

12

DB4403/TXXX—XXXX

附錄A

（規范性）

適用于ADS的安全性的特殊要求

A.1總則

本附錄旨在確保企業在自動駕駛系統設計和開發過程中對功能安全和預期功能安全進行了充分

的考慮，并貫穿整個車輛的生命周期過程（設計、開發、生產、在用、報廢），以避免因自動駕駛

系統故障、預期功能不足以及合理誤用導致的對駕駛員、乘客和其他道路使用者造成不合理的風險，

確保自動駕駛系統的運行安全。

A.1.1本附錄規定了自動駕駛系統在功能安全和預期功能安全方面的特殊要求。

A.1.2本附錄不針對自動駕駛系統的標稱性能，也不作為自動駕駛系統功能安全和預期功能安全開

發的具體指導，而是規定自動駕駛系統設計、驗證和確認過程中應遵循的方法和應具備的信息，作

為滿足功能安全和預期功能安全的依據。

A.2文檔

A.2.1總體要求

A.2.1.1企業應建立覆蓋車輛全生命周期的功能安全和預期功能安全流程。

注：功能安全流程與預期功能安全流程可合一。

A.2.1.2企業應具有相應的文檔以證明自動駕駛系統在聲明的ODC內（包括邊界）不會對駕駛員、

乘客和其他道路使用者造成不合理的風險。

A.2.1.3企業應確保文檔和分析數據在該車型確定停產后的10年內保持可用。

A.2.2系統功能描述

A.2.2.1企業應具有相應的文檔，用來對自動駕駛系統的功能（包括其對應的駕駛控制策略）進行

描述。

A.2.2.2企業應具有相應的文檔，用來對在設計運行條件內執行動態駕駛任務所采取的方法以及對

應的系統設計運行條件進行描述。

A.2.2.3企業應具有相應的文檔，用來對自動駕駛系統與駕駛員、乘員和其他道路使用者預期的交

互以及人機界面進行描述，包括當達到系統運行邊界時的人機交互（HMI）和系統向駕駛員發出接管

請求的各種情況。

A.2.2.4企業應具有相應的文檔，用來對系統激活、干預（包括干預的閾值，例如力矩、角度、持

續時間）、最小風險策略和系統退出進行描述，包括如何防止非預期的系統退出策略。此外，如適

用，還包括系統如何確認駕駛員狀態（例如，是否具備動態駕駛任務接管能力）的相關說明。

A.2.2.5企業應具有相應的文檔，用來對感知系統的輸入、輸出，以及感知系統正常工作范圍（包

括應對傳感器的衰退）以及感知系統對ADS行為的影響進行描述。

A.2.2.6企業應具有相應的文檔，用來對決策系統的輸出，以及對車輛運動控制的影響進行描述。

A.2.2.7如果包含連續學習算法，企業應具有相應的文檔，用來對數據處理過程進行描述。

A.2.3系統布局和原理圖

A.2.3.1系統組件清單

13

DB4403/TXXX—XXXX

A.2.3.1.1企業應具有組件清單，該清單應包含自動駕駛系統的所有單元，同時也應列出為實現相

關自動駕駛功能所需的車輛其它系統。

A.2.3.1.2企業應具有自動駕駛系統布局及原理圖，該圖應能夠清晰地展示組件分布和相互連接。

A.2.3.1.3布局及原理圖應包括：

a）感知系統（包含地圖和定位系統，如適用）；

b）決策系統；

c）由遠程后臺提供的遠程監管或遠程監控（如果適用）。

A.2.3.2單元功能

企業應具有相應的文檔，用來概述系統各單元的功能，并展示該單元與其它單元或車輛其它系

統間的連接。可使用帶標記的框圖或其它示意圖說明。

A.2.3.3單元的識別

A.2.3.3.1企業應具有相應的文檔，文檔中應能清晰明確地識別每個單元（例如，硬件單元、軟件

單元）并提供相應的說明。

A.2.3.3.2企業應明確標識硬件和軟件的版本。

A.2.3.4感知系統組件的安裝說明

企業應具有相應的文檔，用來說明感知系統中單個組件的安裝信息。這些信息應包括但不限于：

a)部件在車輛上的位置；

b)部件外表面的材料；

c)部件外表面的尺寸和形狀；

d)部件外表面的光潔度；

e)對ADS性能影響大的安裝規范。

A.2.4危害分析和風險評估

A.2.4.1企業應根據系統控制下的車輛目標使用場景及目標用戶，在整車層面開展面向功能安全的

危害分析和風險評估，并定義相應的汽車安全完整性等級(ASIL)和安全目標，符合GB/T34590.3—

—2017第6章的要求。

A.2.4.2企業應根據系統控制下的車輛目標使用場景及目標用戶，在整車層面開展面向預期功能安

全的危害分析和風險評估，并確定風險接受準則，符合ISO21448第6章的要求。

A.2.5面向功能安全的安全概念

A.2.5.1企業應至少在系統層面進行面向功能安全的安全概念活動，以保障系統在故障條件下，對

駕駛員、乘客和其他道路使用者不存在不合理的風險。

注：安全概念包括功能安全概念和技術安全概念。

A.2.5.2企業應進行安全分析活動，并制訂對應的安全措施，以說明系統一旦發生失效該系統如何

避免或減輕可能對駕駛員、乘客和其他道路使用者的安全產生影響的危害。安全分析至少包括：

a）系統層面的安全分析，可采用潛在失效模式與影響分析(FMEA)、故障樹分析(FTA)、系統理

論過程分析（STPA）或任何適合系統安全分析的其他類似過程；

b）應至少考慮如下因素可能導致的危害以開展安全分析：

1)感知系統故障；

2)決策系統故障；

14

DB4403/TXXX—XXXX

3)應描述對應的安全措施，確保功能安全需求和目標的達成。

A.2.5.3企業應具備文檔，用來對ADS的提示信號優先級以及在典型故障情況下向駕駛員提供警告

信號進行描述。

A.2.5.4企業應進行安全措施制訂，以確保安全概念實現。系統可采取如下安全策略：

a）使用部分系統維持運行。在某些故障條件下維持部分性能的運行模式，應說明這些故障條

件并確定其效果；

示例1：故障條件為探測相鄰車道的傳感器故障；

示例2：維持部分性能為維持在本車道，不支持換道。

b）切換到備用系統。如選擇備用系統實現動態駕駛任務，應對切換機制的原理、冗余的邏輯

和層級、備用系統的狀態檢查機制進行說明并界定備用系統的效果；

c）退出自動駕駛功能。如果選擇退出，過程應符合本文件要求。

A.2.6面向預期功能安全的安全措施制定

A.2.6.1企業應制定面向預期功能安全的安全措施，以保障對于功能不足和合理誤用，系統不會對

駕駛員、乘客和其他道路使用者造成不合理的風險。

A.2.6.2企業應進行安全分析活動，以挖掘系統潛在功能不足和潛在觸發條件，并制訂對應的安全

措施，以說明在對應的場景下，該系統如何避免或減輕可能對駕駛員、乘客和其他道路使用者的安

全產生影響的危害。安全分析至少包括：

a）系統層面的安全分析，可參考ISO21448《Roadvehicles—Safetyoftheintended

functionality》表4和附錄B.3，或任何適合系統安全分析的其他類似過程。

b）應至少考慮如下因素可能導致的危害以開展安全分析：

1)感知系統和決策系統常見功能不足；

2)未能充分考慮或未遵守交通規則；

3)駕駛員可合理預見的誤用；

4)ODC邊界場景識別不足。

c）應描述對應的安全措施，確保預期功能安全風險可接受。

A.2.6.3企業應制訂面向預期功能安全的安全策略。系統可采取如下安全策略：限制系統激活、向

駕駛員發出警告、請求駕駛員接管、降級或降速運行、最小風險策略等。

A.3驗證和確認

A.3.1功能安全驗證和確認

A.3.1.1企業應執行驗證和確認活動，并對驗證/確認計劃和結果進行檢查，以證明滿足面向功能

安全的安全概念。驗證和確認應基于仿真測試、場地測試、道路測試或其它適當的方法。

A.3.1.2企業應通過向自動駕駛系統相關的電子電氣組件施加相應的輸入，來模擬組件內部典型故

障的影響，以檢查系統組件發生失效的情況。

A.3.2預期功能安全的驗證和確認

A.3.2.1企業應執行驗證和確認活動，并對驗證/確認計劃和結果進行檢查，以證明滿足面向預期

功能安全的接受準則。驗證和確認應基于仿真測試、場地測試、道路測試或其它適當的方法。

a）企業應檢查在關鍵典型場景下系統的目標與事件探測和響應（OEDR）、系統決策和人機交

互（HMI）等是否符合本文件的要求；

15

DB4403/TXXX—XXXX

b）企業應對自動駕駛系統ODC內典型的可合理預見場景進行充分確認，包括難于利用場地測

試和實際道路測試的場景。

注：面向功能安全的驗證和確認與面向預期功能安全的驗證和確認可能是同時進行的。

A.4系統評估報告

企業應基于附錄A要求進行系統評估并輸出評估報告。評估報告應具有可追溯性。

16

DB4403/TXXX—XXXX

附錄B

（規范性）

自動駕駛功能仿真試驗方法及要求

B.1總則

本附錄規定了智能網聯汽車自動駕駛功能仿真試驗方法以及仿真試驗可信度評估要求。

B.2仿真試驗方法

B.2.1仿真試驗的場景應充分覆蓋自動駕駛系統的設計運行條件，至少應包括《附錄C智能網聯

汽車自動駕駛功能場地試驗方法及要求》的所有項目。

B.2.2仿真試驗場景的設計可基于如下因素：

a）分析自然駕駛數據，包括駕駛員行為、自動駕駛系統傳感器收集的數據、專門配置的測量

設備收集的各種交通數據；

b）分析碰撞事故數據，如執法機構和保險公司的碰撞事故數據庫；

c）分析特定設計運行范圍內的交通特點；

d）自動駕駛系統開發過程中的經驗；

e）關鍵參數變化綜合生成的場景；

f）基于功能安全需求和預期功能安全設計的場景；

g）在合理可預見的情況下，其他道路使用者的不安全行為

示例：不安全行為為在錯誤車道上行駛、突然橫穿。

B.2.3仿真試驗結果應具備可信度，通過仿真試驗和實車對比試驗結果驗證，應按照第B3～B8章

開展仿真試驗可信度評估。

B.2.4應按照第B3～B8章開展仿真試驗可信度評估。

B.3仿真試驗可信度評估框架

仿真試驗的可信度評估框架與流程如圖B.1所示，由管理、分析、驗證與確認四大因素組成。

圖B.1可信度評估框架與流程

B.4管理

17

DB4403/TXXX—XXXX

B.4.1總則

企業應對仿真試驗建立管理流程，對模型與仿真工具鏈的發布內容進行監控與記錄，管理流程

應包括：

a）監控與記錄模型與仿真工具鏈的每個發布版本的修改情況；

b）確定仿真工具鏈的相應軟件和硬件配置；

c）記錄批準新發布內容的內部審查過程。

B.4.2數據/輸入譜系

B.4.2.1企業應記錄用于確認模型與仿真工具鏈的輸入數據，并確保其可追溯性。

B.4.2.2企業應提供文件，證明用于確認或建立模型的數據與模型的預期使用相匹配。

B.4.2.3企業應記錄用于將仿真模型參數與輸入數據擬合的校準程序。

B.4.2.4模型參數的估算和校準應充分考慮開發模型的數據質量的影響（如數據覆蓋率、信噪比和

傳感器不確定性/偏差/采樣率）。

B.4.3數據/輸出譜系

B.4.3.1企業應記錄確認模型與仿真工具鏈過程中生成的數據和場景信息，并確保其可追溯性。

B.4.3.2企業應記錄仿真試驗輸出數據及其相應仿真配置。

B.4.3.3數據質量對仿真工具鏈可信度的影響，主要包括：

a）輸出數據的范圍應足夠廣，應充分考慮并覆蓋自動駕駛系統的設計運行范圍；

b）輸出數據應支持對仿真模型進行一致性檢查。

B.4.4團隊經驗和專業知識

B.4.4.1企業應至少建立以下團隊：

a）進行仿真工具鏈確認的團隊；

b）運用經確認的仿真工具鏈開展自動駕駛系統仿真試驗的團隊。

B.4.4.2團隊的經驗和專業知識包括兩個層面：

a)組織層面，自動駕駛企業應建立、維護并記錄以下過程：

1)個人能力和技能的識別與評估過程；

2)履行仿真試驗相關職責人員的培訓過程。

b)團隊層面，自動駕駛企業應提供以下資質說明：

1)針對進行仿真工具鏈確認的個人/團隊的經驗和專業知識，提供能力資質說明；

2)針對開展自動駕駛系統仿真試驗的個人/團隊的經驗和專業知識，提供能力資質說明。

B.4.4.3若企業的仿真工具鏈包含或依賴企業自有團隊之外的其他組織或產品時，應對防止其他組

織或產品對仿真工具鏈可信度評估產生影響所采取的措施進行說明。

B.4.5發布管理

B.4.5.1企業應保存模型與仿真工具鏈的所有發布版本，并應記錄構成仿真工具鏈的仿真模型及其

確認方法和接受閾值。企業應確保可將生成的數據追溯到相應仿真工具鏈版本。

B.4.5.2企業應檢查仿真輸入和輸出數據的質量，在仿真工具鏈的整個發布過程和生命周期中，應

確保數據完整性、準確性和一致性。

B.5分析

18

DB4403/TXXX—XXXX

B.5.1通則

B.5.1.1企業應提供關于試驗目的、自動駕駛系統功能及設計運行條件的明確說明。

B.5.1.2仿真試驗分析應定義整個仿真試驗的過程，包括模型和仿真工具鏈的范圍和局限性，以及

可能影響建模與仿真結果的不確定性來源，并通過仿真試驗評估不確定性來源的參數范圍。

B.5.1.3企業應提供完整仿真工具鏈的說明，以及如何利用仿真數據支持自動駕駛系統驗證和確認

方案的說明；

B.5.2模型與仿真工具鏈的范圍/說明

B.5.2.1企業應給出模型的使用范圍。

B.5.2.2成熟的仿真試驗應實現物理現象的虛擬化，企業應證明仿真準確度與所需的真實度水平相

匹配。

B.5.2.3仿真模型應通過專用場景和指標進行確認。用于確認仿真模型的場景應數量充足，以確保

在這些場景之外的場景中，仿真工具鏈仍能以相同方式起作用。

B.5.2.4企業應提供一份用于確認仿真模型及仿真工具鏈的場景清單以及相應參數限值。

B.5.2.5模型的使用范圍、真實度水平、確認場景和指標應與自動駕駛系統的設計運行條件相匹配。

B.5.3假設、局限性和不確定性

B.5.3.1企業應使用合理的建模假設并提供關于以下各項的證據：

a）建模假設說明；

b）建模假設對仿真工具鏈局限性的緩解作用；

c）仿真模型所需保真度。

B.5.3.2企業應說明模型中不確定性來源的相關信息，以及所用不同來源的不確定性會如何影響模

型輸出。

B.5.4相關性閾值

企業應確定仿真試驗結果與實車試驗結果的相關性閾值。

B.6驗證

B.6.1總則

企業應分析構成仿真試驗仿真工具鏈和模型是否得到正確的運用，確保仿真試驗流程中的輸入

值與對應的輸出結果是符合現實情況的，至少應對敏感性進行驗證。

B.6.2敏感性分析

B.6.2.1對模型和仿真工具鏈的敏感性開展分析時：

a)應量化模型輸出值如何受到模型輸入值變化的影響；

b)確定對仿真模型結果具有最大影響的參數。

B.6.2.2企業應證明，已經通過敏感性分析方法（如擾亂應用模型參數）確定了影響仿真輸出結果

的關鍵參數。

B.6.2.3企業應證明，為提高所開發仿真工具鏈的可信度，在識別和校準關鍵參數時采用了魯棒校

準程序。

B.7確認

19

DB4403/TXXX—XXXX

B.7.1確認范圍

企業應對仿真試驗用到的所有仿真工具鏈及其相關模型進行確認，包括以下一項或多項內容：

a)確認子系統模型，例如環境模型、傳感器模型、車輛模型；

示例1：環境模型為道路、道路設施、天氣環境、目標物等。

示例2：傳感器模型為超聲波雷達、毫米波雷達、激光雷達、攝像頭。

示例3：車輛模型為轉向、制動、動力系統。

b)確認車輛系統（車輛動力學模型和環境模型）；

c)確認傳感器系統（傳感器模型和環境模型）；

d)確認集成系統（傳感器模型、環境模型和車輛模型）。

B.7.2確認方法

企業應指定用于確認仿真試驗仿真工具鏈的邏輯場景。邏輯場景應能最大限度地覆蓋自動駕駛

系統確認所需仿真試驗的設計運行條件。

B.7.3不確定性表征

B.7.3.1評估仿真工具鏈結果的不確定性應包括兩個步驟并證明：

a）使用B.4.2以及B.5章節所述的信息表征輸入數據、模型參數和建模結構中的不確定性；

b）通過仿真工具鏈量化模型輸出的不確定性。

B.7.3.2根據模型輸出的不確定性，企業在執行自動駕駛系統確認的仿真試驗時，應引入適當裕度。

B.7.4性能指標

企業應確定能用于比較仿真試驗工具的輸出結果和真實世界的性能指標，如探測率、位置、速

度、加速度、碰撞時間等。

B.7.5相關性驗證

企業應證明對于試驗目的來說，仿真試驗結果與實車試驗結果中性能指標的相關性是達到閾值

的。

B.8評估要求

B.8.1企業應提交仿真試驗全生命周期的文件，內容至少應包括：

a)試驗場景清單及其通過條件與結果；

b)B.4～B.7章節中提到的仿真試驗可信度要求及其證據；

c)仿真工具鏈和模型的相應發布版本以及相關生成數據；

d)文件與仿真工具鏈、模型和數據之間的溯源關系。

B.8.2評估人員可以通過評估企業的文件和/或進行測試，對企業進行審核。

20

DB4403/TXXX—XXXX

附錄C

（規范性）

自動駕駛功能場地試驗方法及要求

C.1總則

本附錄規定了智能網聯汽車自動駕駛功能場地試驗的一般要求、試驗項目和通過要求。

C.2一般要求

C.2.1試驗場地及試驗環境

C.2.1.1試驗場地應滿足以下條件：

a）試驗場地具有良好附著能力的混凝土或瀝青路面；

b）交通標志和標線清晰可見，并符合GB5768要求；

c）道路及基礎設施符合GB14886、GB14887、GB/T24973要求；

d）試驗道路限速大于等于60km/h時，車道寬度不小于3.5m且不大于3.75m；

e）具備試驗車輛自動駕駛模式正常激活的必要數據和設施條件。

C.2.1.2試驗環境應天氣良好且光照正常環境下進行。

若試驗車輛需要在夜晚環境進行試驗，根據其設計運行條件選取表C.1對應光照強度，進行

C.3.1.1所選取的全部試驗項目并滿足通過要求。

表C.1夜間路面光照強度分級表

單位為勒克司

有路側照明裝置無路側照明裝置

最暗處最亮處最暗處最亮處

≥5≤50≥0≤5

若試驗車輛需要進行特殊天氣（雨、雪、霧等）試驗，在對應的天氣環境下，進行C.3.1.1所

對應的全部試驗項目并滿足通過要求。

C.2.2試驗設備及數據采集

C.2.2.1目標物

目標車輛和摩托車應為大批量生產的乘用車和兩輪普通摩托車，或表面特征參數能夠代表上述

車輛且適應傳感器系統的柔性目標。其中，目標車輛速度控制準確度應為±2km/h。交通錐高度應

大于90cm且符合GB/T24720。

注：兩輪普通摩托車指車輛縱向中心平面上裝有兩個車輪的普通摩托車，其尺寸為長小于等于2.5m，寬小于

等于1.0