特斯拉FSD，英文全稱Full Self-Driving，中文翻譯為完全自動駕駛。

SAE J3016，將駕駛自動化系統(tǒng)由低到高劃分為L0~L5六個等級，最高級別為L5，英文全稱Full Driving Automation，中文翻譯為完全駕駛自動化。

極其曖昧的名字，再加上特斯拉故帶迷惑性的宣傳，部分不明真相的群眾以為多花1.2萬美元就能讓自己的車輛擁有自動駕駛能力，就可以堂而皇之的在開啟了FSD（其中的導航輔助駕駛功能叫NOA）功能的車里睡大覺。

國內(nèi)廠商們看了之后心領(lǐng)神會、相視一笑，不過不是站出來為消費者打抱不平，而是順勢將自家獨門修煉的武功命名為NOP、NGP……，站在巨人的肩上命名，瞬間也積攢了足夠的人氣。

如果說NOA/NOP/NGP們的虛張聲勢?；Ｆ胀ㄏM者還情有可原，那么國內(nèi)部分自動駕駛公司對標L2級別的NOA/NOP/NGP功能做自家的L4自動系統(tǒng)算怎么回事？

這不是無中生有，也不是夸大其詞，這是和業(yè)內(nèi)幾個朋友交流之后的意外收獲。聽到之后既震驚又竊喜，震驚行業(yè)的急速擴張讓部分從業(yè)人員還沒來得及轉(zhuǎn)變“打法”，竊喜從天而降一個科普L2、L3、L4本質(zhì)區(qū)別的機會。

01 回歸到本源

業(yè)內(nèi)但凡討論L2、L3、L4的區(qū)別，總喜歡站在“擔責的角度”，這逐漸讓人們誤解，但凡廠家聲明出了事由駕駛員負責的就是L2，出了事由系統(tǒng)負責的就是L4，視具體情況而定責的就是L3。

那么廠家開發(fā)出來的這個駕駛自動化系統(tǒng)能力上有沒有達到L2/L3/L4的水平呢，關(guān)心的人不多，評價的指標很少。就連如何正向設(shè)計一個具有不同級別“自動駕駛”的系統(tǒng)，目前也沒有什么方法論。

這就導致部分自動駕駛公司開發(fā)自動駕駛系統(tǒng)時，最重要的工作就是對標，宛如眾泰當年的皮尺部。但將自己要設(shè)計的L4系統(tǒng)降維對標到L2頭上，也著實讓人大跌眼鏡。該如何從系統(tǒng)正向設(shè)計的角度去理解L2、L3、L4之間的區(qū)別，是行業(yè)內(nèi)每位工程師必須修煉的基本功。

上述問題的部分答案其實在國際上古老的SAE J3016標準已經(jīng)給出，但遺憾的是，從業(yè)人員很少能靜下心來去細讀這份完整標準。說他不懂，他卻也能說上兩句，說他懂，又說不出個所以然，這大概就是行業(yè)內(nèi)的現(xiàn)狀。

SAE J3016是國際上最早也是最權(quán)威的駕駛自動化系統(tǒng)分級標準，2014年第一次發(fā)布，2016年、2018年、2021年又分別發(fā)布了三次更新。下文提到這個標準的內(nèi)容皆是出自2021年發(fā)布的最新版本。

SAE J3016將可以持續(xù)執(zhí)行部分或全部動態(tài)駕駛?cè)蝿?wù)的駕駛自動化系統(tǒng)劃分為六個等級：

L0：無駕駛自動化(No Driving Automation)

L1：駕駛員輔助(Driver Assistance)

L2：部分駕駛自動化(Partial Driving Automation)

L3：有條件駕駛自動化(Conditional Driving Automation)

L4：高度駕駛自動化(High Driving Automation)

L5：完全駕駛自動化(Full Driving Automation)

而這六個等級的劃分原則，也構(gòu)成了駕駛自動化系統(tǒng)正向設(shè)計的最頂層輸入。而這個劃分原則包括DDT、DDT后援、ODD，下文我們逐一分析。

一、DDT

動態(tài)駕駛?cè)蝿?wù)(Dynamic Driving Task，DDT)，安全駕駛一輛車所需做的操作，通俗一點講包括眼觀六路、耳聽八方、手腳并用，文雅一點講包括感知、決策和執(zhí)行等，包括但不限于以下子任務(wù)：

目標和事件的探測與響應(yīng)(感知)；

駕駛決策(決策)；

車輛橫向運動控制(執(zhí)行)；

車輛縱向運動控制(執(zhí)行)；

車輛照明及信號裝置控制(執(zhí)行)。

而可以擔負DDT子任務(wù)的不同，則是不同級別駕駛自動化系統(tǒng)的第一層不同。

L0沒什么可多說的，駕駛自動化系統(tǒng)不承擔任何DDT子任務(wù)，一切由駕駛員負責，就是典型的純?nèi)笋{駛。

L1長進了一點，駕駛自動化系統(tǒng)可以承擔車輛的橫向運動控制或者縱向運動控制了，以及具備有限的目標和事件的探測與響應(yīng)能力。

前半句挺好理解的，駕駛自動化系統(tǒng)要么負責縱向加速、減速，要么負責橫向轉(zhuǎn)向，不會兩者都負責，ACC和APA分別是L1駕駛自動化系統(tǒng)的典型代表功能；后半句理解起來有點繞，比如車輛現(xiàn)在具備單一縱向控制的ACC功能，那么系統(tǒng)只具備實現(xiàn)ACC功能所需要的縱向目標和事件的探測和響應(yīng)能力，橫向控制的APA功能所需要的目標和事件的探測和響應(yīng)能力就不具備了。

因此，L1這一級別，駕駛員可閑不住，需要時刻監(jiān)督駕駛自動化系統(tǒng)的性能，時刻承擔系統(tǒng)能力之外的目標和事件的探測和響應(yīng)職責，時刻承擔系統(tǒng)不具備能力維度的車輛縱向或橫向控制。

L2更加成熟，駕駛自動化系統(tǒng)可以承擔車輛的橫向運動控制和縱向運動控制了，以及具備有限的目標和事件的探測與響應(yīng)能力。

有了L1的解釋，L2的含義不言自喻，不過需要強調(diào)的是駕駛員仍需時刻監(jiān)督駕駛自動化系統(tǒng)，除了橫縱向控制以外的車輛控制(如燈、雨刮控制等)，仍存在大量系統(tǒng)無法響應(yīng)的事件，比如前方道路施工。

所以做的不好的L1或L2駕駛自動化系統(tǒng)，簡直是駕駛員的噩夢，不僅眼觀六路、耳聽八方的職責沒有少，還增加了照看這個小baby的責任。說好聽點是輔助駕駛員，說難聽點就是駕駛員照顧它，可以說是食之無味、棄之可惜的功能。

而對于L3~L5來說，已經(jīng)是個大人了，可以獨立負責所有DDT子任務(wù)了。在DDT層面，L3~L5沒有區(qū)別，因此這三個級別駕駛自動化系統(tǒng)又被稱為自動駕駛系統(tǒng)(Automated Driving System，ADS)。

二、DDT后援

DDT可以讓我們區(qū)分出L0、L1、L2和L3~L5，但L3~L5之間有什么區(qū)別，可以讓我們在進行系統(tǒng)設(shè)計時有所側(cè)重。這樣的條目很多，但DDT后援絕對是最重要的一個，這也是不同級別駕駛自動化系統(tǒng)的第二層不同。DDT后援聽起來就像一個舶來品，但當你理解它的含義，你會發(fā)現(xiàn)翻譯的精妙。

老虎都有打盹的時候，駕駛自動化系統(tǒng)也不例外，這其中就包括執(zhí)行DDT相關(guān)的系統(tǒng)失效、超出ODD等。而當這些失效情況出現(xiàn)時，要么請求用戶接管車輛執(zhí)行DDT或執(zhí)行最小風險策略使車輛達到最小風險狀態(tài)，要么駕駛自動化系統(tǒng)直接執(zhí)行最小風險策略使車輛達到最小風險狀態(tài)，而這一行為被稱為DDT后援。

這一段話異常難理解，那是因為出現(xiàn)了兩個不太好理解的術(shù)語：

（1）最下風險策略：駕駛自動化系統(tǒng)無法繼續(xù)執(zhí)行DDT時，系統(tǒng)或用戶所采取的使車輛達到最小風險狀態(tài)的措施。

（2）最小風險狀態(tài)：車輛平穩(wěn)停車，可以最大限度減少碰撞風險的狀態(tài)。

DDT后援可以說是駕駛自動化系統(tǒng)設(shè)計一個分水嶺，而踩在這個分水嶺上的就是L3駕駛自動化系統(tǒng)。

L1/L2駕駛自動化系統(tǒng)，準確來講沒有DDT后援的功能，駕駛員的職責本身就包括目標和事件的探測與響應(yīng)以及部分控制，所以一般會早于系統(tǒng)發(fā)現(xiàn)失效，并第一時間補位。

L3定義的DDT后援非常曖昧，原文意思是L3駕駛自動化系統(tǒng)在部分情況下具備直接執(zhí)行最小風險策略使車輛進入最小風險狀態(tài)的能力，在部分情況下需要請求DDT后援用戶進行接管，由DDT后援用戶決定是接管車輛執(zhí)行DDT或執(zhí)行最小風險策略使車輛達到最小風險狀態(tài)。

而如何定義這個部分情況將廠家分成了不同的樣子，有的廠家將請求接管理解成了L3駕駛自動化系統(tǒng)的標配，但凡出現(xiàn)上文說的任何失效情況，都去請求DDT后援用戶接管，DDT后援用戶在一定時間沒有接管后，執(zhí)行失效減緩策略（本車道停車），而不去思考在部分失效情況下系統(tǒng)直接執(zhí)行最小風險策略是不是比請求DDT后援用戶接管更有效果。

舉個不成熟的例子，如果L3駕駛自動化系統(tǒng)中的感知、決策子系統(tǒng)出現(xiàn)失效，請求接管沒有問題，畢竟此時沒有了眼睛的L3駕駛自動化系統(tǒng)如果執(zhí)行最小風險策略只能選擇停車（靠邊停車或本車道停車），但是如果請求DDT后援用戶接管，DDT后援用戶可以替代系統(tǒng)繼續(xù)執(zhí)行DDT，而感知、決策子系統(tǒng)失效說不定在一定時間后可以自行恢復(fù)，L3駕駛自動化系統(tǒng)又可以重新激活，何樂而不為。

但是如果轉(zhuǎn)向、制動等子系統(tǒng)失效，除非為DDT后援用戶設(shè)計了一套專用的應(yīng)急冗余執(zhí)行機構(gòu)，否則讓L3駕駛自動化系統(tǒng)直接執(zhí)行最小風險策略，完成安全停車，不才是最靠譜DDT后援嗎！否則請求接管只能白白浪費安全停車的時間。

而且在請求DDT后援用戶接管的幾秒鐘時間內(nèi)，L3駕駛自動化系統(tǒng)需要具備繼續(xù)執(zhí)行DDT的能力，不加區(qū)分失效類型的請求用戶接管，能做出來一個產(chǎn)品，但肯定不是一個好產(chǎn)品。

當然這也是L3駕駛自動化系統(tǒng)的設(shè)計難點、感知系統(tǒng)、執(zhí)行機構(gòu)都比L2要強一點，但又達不到L4全冗余的要求，在這樣的條件下，能做出具備量產(chǎn)水平的L3駕駛自動化系統(tǒng)才是真正的勇士。而細數(shù)市面上，貌似只有奧迪、寶馬這兩位愣頭青面向消費者推出過L3產(chǎn)品，國內(nèi)高高在上的自動駕駛公司顯然是看不上出力不討好的L3。

然而對于L4駕駛自動化系統(tǒng)來說，沒有請求接管這一說，DDT后援是其必備功能之一。L4駕駛自動化系統(tǒng)激活后，任何失效發(fā)生，系統(tǒng)都可以執(zhí)行最小風險策略從而達到最小風險狀態(tài)。

有人可能會有疑問，L4畢竟還是限定在ODD范圍內(nèi)，如果從起點到終點整個路線上，L4只能在高速公路這個ODD條件內(nèi)激活，下了高速不還是要請求接管。其實不然，即將駛出高速公路這個ODD條件后，L4駕駛自動化系統(tǒng)會告知車內(nèi)乘客，如果需要完成剩余路線，需要有人變成駕駛員繼續(xù)執(zhí)行DDT。

注意乘客這個名詞，如果此時這名乘客帶著耳機沒有聽到系統(tǒng)提醒，L4駕駛自動化系統(tǒng)會執(zhí)行最小風險策略從而達到最小風險狀態(tài)。等到車輛停下來半小時后，乘客發(fā)現(xiàn)自己需要執(zhí)行DDT完成接下來的路線，才搖身一變，變成一名駕駛員。

而對于L3駕駛自動化系統(tǒng)來說，車內(nèi)的直接相關(guān)角色就是DDT后援用戶，用戶監(jiān)測系統(tǒng)需要對DDT后援用戶的接管能力進行實時監(jiān)測，下文用戶監(jiān)測章節(jié)會詳細介紹。且在接管請求發(fā)出后，如果一定時間內(nèi)DDT后援用戶沒有接管，系統(tǒng)執(zhí)行的是失效減緩策略，也不是風險減緩策略。

這是L4和L3駕駛自動化系統(tǒng)的本質(zhì)區(qū)別。所以打著做L4產(chǎn)品的名義，設(shè)計一堆DDT后援用戶請求接管的邏輯，天花板就是L3，連L4的腳后跟都算不上。

當然L4駕駛自動化系統(tǒng)的DDT后援能力也不是大風刮來，需要的是全冗余：感知冗余、計算冗余、執(zhí)行冗余……，否則你拿什么來執(zhí)行DDT后援。

對于L5駕駛自動化系統(tǒng)來說，DDT后援要求和L4駕駛自動化系統(tǒng)一樣，兩者在DDT后援這一點上依舊撕扯不開。

DDT后援完美印證了賀詩人足球場上那句經(jīng)典的解說：如何面對失效，把L3和L1~L2與L4~L5分成了不同的樣子。

三、ODD

通過DDT，我們區(qū)分出了L0、L1、L2和L3~L5之間的區(qū)別，通過DDT后援，我們區(qū)分出了L1~L2，L3和L4~L5之間的區(qū)別，那么L4和L5有什么本質(zhì)區(qū)別呢。

最重要的一個區(qū)別就是上文多次提到的設(shè)計運行范圍(operational design domain，ODD)，簡單來講L5駕駛自動化系統(tǒng)沒有ODD的限制，L1~L4駕駛自動化系統(tǒng)都只能工作在ODD范圍。ODD的詳細介紹，可參考之前兩篇文章《ODC，自動駕駛法力的邊界》和《ODC，自動駕駛系統(tǒng)設(shè)計的“敲門磚”》，此處我們不在贅述。

02 本源處求真

上一節(jié)三個方面主要基于車的角度談?wù)摬煌墑e駕駛自動化系統(tǒng)設(shè)計時的區(qū)別，除了車之外，人作為一個重要的系統(tǒng)參與者，不能不提。當然我們不去談?wù)擇R路邊的責任歸屬問題，只談?wù)撊嗽隈{駛自動化系統(tǒng)設(shè)計時需要承擔的職責。

細心的朋友可能發(fā)現(xiàn)，前文中我們出現(xiàn)了駕駛員、DDT后援用戶、乘客等多種角色，而這一些也不是隨意亂叫，都在具體語境有著不同的含義。SAE J3016中統(tǒng)一用用戶這一名稱指代不同角色。而監(jiān)控則是駕駛自動化系統(tǒng)中和用戶強相關(guān)的功能。

一、用戶

用戶的第一層含義是駕駛員。

在L1和L2駕駛自動化系統(tǒng)中，只有駕駛員這一個角色。駕駛員通過一些開關(guān)操作決定什么時候打開激活駕駛自動化系統(tǒng)；在駕駛自動化系統(tǒng)激活后，監(jiān)控駕駛自動化系統(tǒng)、監(jiān)控駕駛環(huán)境、監(jiān)控車輛性能，以便在需要時及時迅速替代駕駛自動化系統(tǒng)執(zhí)行DDT。

在L3駕駛自動化系統(tǒng)中，在系統(tǒng)沒有激活時，執(zhí)行所有DDT并像L1和L2駕駛自動化系統(tǒng)一樣，決定什么時候打開激活駕駛自動化系統(tǒng)。但是一旦L3駕駛自動化系統(tǒng)激活，駕駛員立馬變成了DDT后援用戶，這也是用戶的第二層含義。

而對于DDT后援用戶，一方面負責在接收到接管請求后，及時接管車輛執(zhí)行DDT后援任務(wù)；另一方面在發(fā)生影響DDT執(zhí)行相關(guān)的系統(tǒng)失效后，及時接管車輛執(zhí)行DDT后援任務(wù)；最后在執(zhí)行DDT后援任務(wù)時決定是自己變成駕駛員執(zhí)行全部DDT還是執(zhí)行最小風險策略達到最小風險狀態(tài)。

在L4駕駛自動化系統(tǒng)中，在系統(tǒng)沒有激活時，依舊可以存在駕駛員的角色。比如在一個起點到終點的行程中，L4駕駛自動化系統(tǒng)只能在園區(qū)內(nèi)這個ODD內(nèi)激活使用，出了園區(qū)要想開到終點，就需要駕駛員進行駕駛。當然駕駛員同樣可以決定是否開啟激活L4駕駛自動化系統(tǒng)。

不過L4駕駛自動化系統(tǒng)一旦激活，駕駛員角色立刻變?yōu)槌丝?，這是用戶的第三層含義。乘客人如其名，不需要執(zhí)行DDT，也不需要對DDT后援負責，真正可以在車里睡覺看電影。所以在設(shè)計L4駕駛自動化系統(tǒng)時，你用一堆傳感器監(jiān)視乘客的接管能力，不就是掛著L4的頭賣L3的肉嗎！

L5駕駛自動化系統(tǒng)和L4駕駛自動化系統(tǒng)一樣，同樣存在兩種角色，畢竟現(xiàn)在還沒有法律法規(guī)規(guī)定人沒有開車的權(quán)力。

上文提到的駕駛員、DDT后援用戶、乘客都是車內(nèi)用戶的角色，與之對應(yīng)的是車外的遠程駕駛員、遠程DDT后援用戶、遠程調(diào)度員，一一對應(yīng)，本文就不去多做介紹。

二、監(jiān)控

你需要用戶給你做這做那，但如果用戶沒有這能力怎么辦，監(jiān)控及提醒便是最好的方法。當然不只用戶監(jiān)控，還包括駕駛環(huán)境監(jiān)控、車輛性能監(jiān)控、駕駛自動化系統(tǒng)監(jiān)控。后三者前文我們已經(jīng)多次帶過，不再重提，此處只重點介紹用戶監(jiān)控。

用戶監(jiān)控的目的主要是為了防止用戶對駕駛自動化系統(tǒng)誤用和濫用，怎么理解呢。L2駕駛自動化系統(tǒng)需要駕駛員時刻注意交通狀態(tài)，系統(tǒng)運行狀態(tài)，如果駕駛員過度依賴系統(tǒng)，系統(tǒng)激活了之后就開始玩手機，甚至睡大覺，是不是不太合適。

而為了避免這種情況發(fā)生，系統(tǒng)就需要對L2駕駛自動系統(tǒng)中的駕駛員角色進行監(jiān)控。監(jiān)控其是否走神、疲勞等，并在此種情況發(fā)生時對其進行提醒，提醒無效后執(zhí)行失效減緩策略。

而對于L3駕駛自動化系統(tǒng)，用戶在系統(tǒng)激活后變成DDT后援用戶，需要承擔DDT后援職責，那么DDT后援用戶具不具備接管能力就需要我們對其進行監(jiān)控。DDT后援用戶不具備時，系統(tǒng)就要在適當時候?qū)ζ溥M行提醒。但有一點很關(guān)鍵、系統(tǒng)是在監(jiān)控到用戶不具備接管能力后就開始進行提醒，還是在同時預(yù)測到可能有DDT后援任務(wù)時才去提醒。兩者策略的不同將決定L3駕駛自動化系統(tǒng)體驗的不同。

而前者不加區(qū)分的隨時隨地提醒也決定其和L2駕駛自動化系統(tǒng)不會有本質(zhì)區(qū)別。

而對于L4/L5來說，系統(tǒng)激活后，用戶角色就是乘客，乘客沒有負責任何DDT和DDT后援的任務(wù)，因此是不需要對乘客進行監(jiān)控的。

而對于L1來說，SAE通過數(shù)據(jù)研究發(fā)現(xiàn)，很少有用戶會對L1駕駛自動化系統(tǒng)產(chǎn)生無用或依賴，所以也不需要對駕駛員進行監(jiān)控。

綜上所述，用戶監(jiān)控是L2和L3駕駛自動化系統(tǒng)的典型特征，敲黑板。

03 求真后妄語

2021年9月的時候，我們自己的駕駛自動化分級國家標準GB/T 40429-2021也出來了，高興肯定也是高興的，但看到內(nèi)容基本是SAE J3016的翻譯、閹割及名詞上面的創(chuàng)新，也不是那么高興。矮個中挑高個的話，只能說國標為SAE J3016提供了一份中英文名詞對照表，也算是幸事一樁。

SAE J3016雖2014年第一版已經(jīng)出來，但行業(yè)內(nèi)顯然沒有組織過好好學習，不然也不會出現(xiàn)這么多常識性的錯誤而無人指出。

最最不可理解的常識性錯誤我們要從駕駛自動化系統(tǒng)的定義來說：駕駛自動化系統(tǒng)將可以持續(xù)執(zhí)行部分或全部動態(tài)駕駛?cè)蝿?wù)的系統(tǒng)劃分為六個等級。其中的關(guān)鍵詞是持續(xù)執(zhí)行，ACC激活時持續(xù)控制油門、剎車、TJA激活時持續(xù)控制油門、剎車、方向盤，這些都可以歸類為不同級別的駕駛自動化系統(tǒng)沒有問題。

但是像AEB這種，不是持續(xù)執(zhí)行DDT，而是僅在危險情況發(fā)生時提供短暫的干預(yù)，它就不屬于這六個等級里面。但是市面上大量的文章將其劃為L0/L1。SAE J3016中其實已經(jīng)給這類系統(tǒng)定義了一個名字，主動安全系統(tǒng)(Active Safety Systems)。此系統(tǒng)還包括FCW、LDW、BSD等預(yù)警類功能。

其它的常識性錯誤不再舉例，列出來也不是為了批判，只是期望從事這個行業(yè)的人，該練的功還是要盡快練上，不是有那么一句話老話嗎：練武不練功，到頭一場空。

本文是基于作者認真看了一遍SAE J3016后做出的總結(jié)，也不保證完全理解正確，但至少有了自己的理解。SAE J3016還有很多在做駕駛自動化系統(tǒng)正向設(shè)計時候可供借鑒的點，后續(xù)我們有空再來深度剖析。 ?

編輯：黃飛