2. 自动驾驶分级与L3边界
在讨论冗余与安全架构之前，必须先回答一个更基础的问题：L3 到底“自动”到什么程度，驾驶员又保留哪些责任。SAE J3016 用“动态驾驶任务（DDT）”这一概念把分级讲清楚：谁执行转向、制动、加速，谁负责感知与决策，谁在系统失效时兜底。L3 的工程难点，恰恰来自它把“执行 DDT”交给系统，却把“接管后继续执行 DDT”留给人类。
一、SAE J3016 分级：从 L0 到 L5 的责任迁移
SAE J3016 的核心不是“功能多少”，而是“责任如何分配”。L0 到 L2 属于“人类驾驶，系统辅助”：L0 无自动化，L1 提供纵向或横向其一的持续辅助，L2 同时提供纵向与横向辅助，但驾驶员必须持续监控并随时接管。L3 是分水岭：在限定 ODD 内，系统完成全部 DDT，驾驶员从“持续监控”变为“按请求接管”。L4 在 ODD 内系统完成 DDT 且不依赖人类接管，L5 则无 ODD 限制。
下表给出关键差异的对照，便于在架构设计中快速定位责任边界：
| 等级 | DDT 执行者 | 监控与接管 | 典型 ODD | 失效兜底 |
|---|---|---|---|---|
| L2 | 人 + 系统 | 人持续监控 | 高速/车道内 | 人立即接管 |
| L3 | 系统（ODD 内） | 系统请求，人接管 | 限定路段/拥堵 | MRM + 人接管 |
| L4 | 系统（ODD 内） | 系统自处理 | 限定区域/园区 | 系统 MRM |
| L5 | 系统（全域） | 无需人 | 无限制 | 系统 MRM |
二、L3 与 L2/L4 的核心差异
L3 与 L2 的差异不在“能力”，而在“监控责任”。L2 要求驾驶员始终注视道路，系统只是辅助；L3 允许驾驶员在 ODD 内“脱眼”，但必须保持“可接管性”。这意味着 L3 系统必须能判断自己何时接近 ODD 边界，并提前发出接管请求（TOR）。
L3 与 L4 的差异则在“失效兜底”。L4 在 ODD 内不依赖人类接管，系统必须自行达到最小风险状态（MRM）；L3 允许系统在无法继续时请求人类接管，但必须提供足够的接管时间预算，并在无人响应时执行 MRM。因此，L3 的安全架构必须同时覆盖“系统失效”和“人失效”两条路径。
工程要点：L3 的 ODD 不是“地图上的一个圈”，而是由道路类型、天气、光照、交通流、车速、地理围栏等参数共同定义的多维运行包络。任何一维越界，都应触发降级或接管请求。
三、ODD 设计运行域：把“能开”变成“可证明能开”
ODD 是 L3 系统的“合同边界”。它必须可定义、可检测、可验证。常见维度包括：道路几何（高速、匝道、隧道）、交通条件（拥堵、畅通、施工）、环境条件（雨、雪、雾、夜间）、速度范围、地理围栏。系统需要实时估计自身是否仍在 ODD 内，这依赖感知、定位、地图与车辆状态的融合。
ODD 边界检测通常分为三层：第一层是静态地理围栏，由高精地图与 GNSS 给出；第二层是动态环境评估，由摄像头、雷达、雨量传感器判断天气与光照；第三层是系统健康度，由冗余通道的自检结果判断传感器、计算、执行器是否可用。三层中任意一层不满足，都应进入降级流程。
四、接管请求与最小风险状态：L3 的安全闭环
接管请求（TOR）不是一声警报，而是一条带时间预算的状态链。典型流程为：系统检测到 ODD 即将退出，先发出“请接管”提示；若驾驶员在 T1 内未响应，升级为视觉+听觉+触觉的多模态警告；若在 T2 内仍未接管，系统执行 MRM，如减速、靠边停车、开启双闪。T1 与 T2 的取值取决于车速、交通密度与执行器能力，通常需要 HMI 与底盘协同标定。
MRM 的目标不是“把车停住”，而是“把风险降到可接受”。在高速场景，急停可能引发追尾，因此 MRM 策略应优先选择减速并保持车道，再寻找安全区域靠边。MRM 的执行需要冗余的制动与转向通道，这也是后续章节讨论冗余架构的起点。
五、典型场景与常见误区
场景一：高速拥堵路段，L3 系统在 ODD 内跟车行驶。前方施工导致车道线消失，系统检测到 ODD 即将退出，发出 TOR。驾驶员在 T1 内接管，系统平稳退出。若驾驶员未响应，系统在 T2 后执行 MRM，减速并靠边。
场景二：暴雨导致能见度下降，雨量传感器与摄像头同时判断 ODD 不满足。系统不应“硬撑”，而应提前降级。若此时驾驶员正在看手机，TOR 必须足够醒目，且 MRM 必须独立于驾驶员操作。
常见误区：把 L3 当成“更高级的 L2”，认为驾驶员可以完全放松；或把 MRM 当成“紧急制动”，忽视追尾风险。正确做法是：L3 的 HMI 必须明确“可脱眼但不可脱责”，MRM 必须分级、可标定、可验证。
复盘清单：① ODD 是否可量化、可检测？② TOR 是否有明确的时间预算？③ MRM 是否覆盖系统失效与人失效？④ 冗余通道是否覆盖感知、计算、执行、电源？⑤ HMI 是否能让驾驶员在 T1 内理解并接管？
理解 L3 的边界，是后续冗余设计的前提。只有把“谁负责、何时接管、失效怎么办”定义清楚，才能把安全架构落到具体的传感器、控制器与执行器上。