《組合駕駛輔助系統安全要求》對自動駕駛行業提出了什么要求？

[首發于智駕最前沿微信公眾號]按照《中華人民共和國標準化法》和《強制性國家標準管理辦法》，工業和信息化部裝備工業一司組織全國汽車標準化技術委員會開展了《智能網聯汽車組合駕駛輔助系統安全要求》強制性國家標準的制定。2025年9月17日開始，公開征求社會各界意見（以下簡稱：征求意見稿）。這份征求意見稿都規定了啥？對自動駕駛行業提出了什么要求？會對自動駕駛行業未來發展產生什么影響？

把“誰管誰的事”講清楚

這份征求意見稿首先把“組合駕駛輔助系統”定義成在其設計運行條件（ODD）下，持續執行車輛橫向和縱向運動控制，并具備相應目標和事件探測與響應能力的軟硬件系統。組合駕駛輔助系統主要分成四類，即基礎單車道、基礎多車道、領航類和泊車類，每一類作為獨立系統來規定要求和試驗方法。標準適用于M、N類車輛（常見的乘用車及商用車）。整體目錄除了功能與安全要求外，還把場地試驗、道路試驗、用戶告知、系統禁用、同一型式判定、實施日期和若干規范性附錄（例如仿真可信度、功能安全描述、制造商安全保障與數據記錄）都系統化列出，形成“規則+驗證+治理+數據”閉環。

把系統類型、ODD范圍和試驗方法放在同一標準里，對于自動駕駛行業來說或有兩方面的現實意義。一是可以統一口徑，監管與檢測機構可以用同一套條目檢查不同廠家的產品是否滿足“能做什么/不能做什么”；二是可以促使廠商在產品設計階段就把能力聲明（比如在哪些道路、速度、能否換道、能否通過復雜路段）和對應的驗證計劃寫清楚，避免“功能說明模糊、現場使用超范圍”的風險。標準通過把試驗方法也規范化，縮短了“規則—檢驗—整改”的閉環時間，有利于從工程端把安全做成可測量、可復現的工作。

一個組合駕駛輔助系統最容易出問題的環節就是“誰在開車”的邊界不清。征求意見稿對駕駛員監測（手部和視線）以及在駕駛員不配合時的提示與接管/減災流程做了嚴格規定，并給出明確的時序要求。當車輛速度大于10km/h且駕駛員視線偏離駕駛任務相關區域時，系統應在最遲5秒內發出EOR（視線回歸提示）；如果視線繼續偏離，要在發出EOR后最遲3秒升級EOR；在升級EOR后若視線仍未回歸，系統最遲在5秒內發出DCA（立即控制警告），DCA要顯著提示駕駛員立即恢復對車輛橫向運動的控制；如果在發出升級的HOR或DCA后仍無響應，系統應在最遲10秒內觸發RMF（風險減緩功能）。這些時間點和升級順序都有明確的條款約束。

為什么要把這些提示和時間量化成“秒級”的硬指標？這背后其實是出于安全的考慮。人類在被提示后恢復注意力與動作需要時間，但這個時間窗口不能任意放大，太短會造成誤報警、太長會讓車輛進入不可控風險區。把視線/手部檢測與分級提示（HOR、EOR、DCA）做成可測量的時序，便于在實驗場場景復現人機不配合的極限情形，檢驗系統是否能在可接受風險下完成安全控制或及時觸發RMF。此外，明確“RMF最遲觸發時間”能給系統設計一個硬的“最后防線”，在駕駛員明確未響應時，系統必須在限定時間內把車輛帶入更安全狀態，不能靠模糊的人機判斷拖延決策，降低因遲緩引發事故的概率。

征求意見稿還提到允許“跳過階段直接發出DCA或RMF”，并對不同警示之間的抑制邏輯做了說明（例如在發出升級的HOR時可以抑制EOR等），這是在用戶體驗與報警之間的折中選擇。在某些緊迫情形，系統不必按嚴苛流程逐級提示，而是直接進入高優先級警示或RMF；但為何允許這種跳步？因為實際路況具有突發性，標準既要保證用戶有充分的糾正機會，也要允許系統在不可逆風險面前采取果斷策略。

征求意見稿還要求DCA要持續到系統檢測到駕駛員已恢復橫向控制或系統觸發RMF，并規定DCA應包括持續的光學、聲學和觸覺信號。這充分體現了一個原則，即報警設計需要“可感知且可信”。單一通道（比如只閃燈）在真實車內很容易被忽略或誤判，把多種感官通道組合起來能提高駕駛員對緊急提示的響應概率，從而降低因信號不可見或不可聞導致的事故風險。

為什么要嚴格告知“在哪兒能干活”？

征求意見稿對系統的ODD要求與能力聲明非常重視。廠商必須明確系統能在哪些道路類型、車速范圍、車道寬度、天氣光照等條件下運行，并且要有辦法探測是否即將超出ODD，一旦檢測到超出應提示駕駛員并可控地終止自動控制。這一條的意義在于把“能力聲明”變成可執行的安全約束，若沒有明確的ODD定義，用戶容易把系統能力過度泛化（例如在匝道、交叉口或施工區誤用），導致事故風險上升，現階段就有很多智駕車主會過渡使用組合輔助駕駛功能，并給其他人造成錯誤的引導。明確ODD有助于從產品發布到用戶使用形成一致預期，便于監管核查與事故責任認定。

換道等復雜動作在征求意見稿中被單獨列了出來，其中要求對換道的觸發條件、后向交通評估以及換道執行期間的可預期性提出限制（換道在不同觸發模式下要滿足更高的感知與決策要求）。換道會帶來對周邊車輛的影響，錯誤的時機或過激的橫向動作可能觸發后車緊急制動或碰撞。征求意見稿通過對換道行為設置更嚴格的感知與決策門檻，防止“系統主動換道引發連鎖風險”的情形。雖然征求意見稿中把許多細則放在技術要求和試驗方法里，但其核心邏輯是，越是影響周邊交通參與者的動作，越要高置信度的感知與更保守的決策策略。

后向距離示意圖

另外，征求意見稿中還要求系統在與AEB（自動緊急制動）等安全系統交互時不得抑制正在執行的緊急動作，并要明確控制優先級的轉換策略。這說明自動駕駛并非孤立模塊，它需要與車身控制、安全系統緊密協作，任何優先級沖突都可能帶來災難性后果。把這些交互寫進標準，可以迫使設計者在早期就處理好模塊間的接口與異常場景。

為什么要同時要求“場地+道路+仿真+數據”四管齊下？

征求意見稿把驗證體系分成場地試驗、道路試驗和仿真試驗，并在附錄中專門對仿真試驗的可信度評估提出規范（包括工具鏈管理、模型不確定性量化、驗證與確認流程）。這是對當前產業實踐的直接回應，隨著仿真替代實車測試的比重上升，必須有統一的可信度評估辦法，避免“仿真結果與現實脫節”的風險。要求仿真工具鏈可溯源、模型不確定性有量化說明，能促使廠商提升仿真平臺的工程能力。

仿真測試可信度評估框架

場地和道路試驗把關鍵情景和通過準則在征求意見稿中更加具體化，例如觸發駕駛員脫離檢測的試驗方法、碰撞事件觸發的要求以及對記錄數據的讀取與核驗方式。這些試驗流程的規范化會給自動駕駛行業帶來兩個好處，一是幫助檢測方在有限的試驗資源下復現關鍵失效場景；二是讓產品設計方有明確的驗證清單，從而把安全需求映射成可測試的工程任務。

關于數據記錄，征求意見稿提出要把記錄系統分為I型和II型，并對時間段事件與時間戳事件、記錄字段、鎖定與不可覆蓋原則等做了規范。把記錄要求寫清楚目的其實非常直接，那就是一旦發生事故，完整且保真（不可覆蓋）的時間序列數據是判定事實、回放決策鏈與改進算法的基礎。沒有可用數據，既無法做出技術上的責任判定，也不利于行業吸取教訓。

制造商責任、用戶告知與系統禁用的規范

征求意見稿不僅規范了具體技術，還要求制造商建立覆蓋車生命周期的安全保障體系，其中包括安全方針、風險管理、設計開發流程、生產管理、供應商管理與持續改進機制等。這部分其實強調的是組織能力，自動駕駛系統的安全不是單一算法或單個模塊的事，而是涵蓋供應鏈、軟件迭代、上線后監測與事件處置的體系工程。要求制造商在制度層面負責，是為了把技術安全上升為企業治理的核心任務，而非工程團隊的孤立工作。

用戶告知和確認機制也有硬性條款，例如要求車輛在靜止時提供用戶確認已閱讀并理解使用說明的操作（可以通過賬號登錄與兩步確認動作），并要求在最長30天未再次確認時提示用戶更新。這樣的規定既考慮到合規性，也考慮到用戶理解能力與設備轉手后的使用安全。與之配套的系統禁用規則也很嚴格，在當前點火周期內若發生觸發RMF、或連續升級報警多次等情況，系統應被禁用至少30分鐘，并提示用戶重新閱讀使用說明。這些條款是對“多次逃避人機責任或頻繁誤報”的直接治理手段，目的在于防止駕駛員過度依賴或對系統失去信任，同時強制回到人工控制與學習環節。

最后的話

把以上條款綜合起來看，這份征求意見稿的方向和邏輯很清晰，把組合駕駛輔助系統的能力、邊界、人機交互時序、關鍵安全行為與驗證流程都從“工程模糊區”拉回到“可聲明、可測量、可復核”的范疇。對于廠商而言，短期要求他們在感知、駕駛員監測、仿真驗證與數據記錄上有更多的技術投入；長期卻能帶來市場競爭的秩序化，讓那些能把安全治理做扎實的企業在合規/信任上取得更多的優勢。對用戶而言，標準能帶來更明確的使用說明和事故可溯源性，減少“功能過度宣傳—現場誤用—責任不清”的灰色地帶。