4. 法规与标准体系

在 NOA（Navigate on Autopilot）接管与安全降级工程中，法规与标准不是“合规装饰”，而是决定系统边界、接管策略、降级时序与验证证据的硬约束。工程团队常犯的错误，是把 ISO 26262 当作唯一安全标准，把 ISO 21448 当作“补充说明”，把 UN R157 当作“海外认证才需要看的文件”。实际上，这三者分别从功能安全、预期功能安全与法规准入三个维度，共同约束 NOA 的接管与降级设计。

一、三套体系的定位与接管相关性

ISO 26262 关注 E/E 系统的功能安全，核心是避免因随机硬件失效、系统性失效导致危害。对 NOA 而言，它约束的是：当感知、计算、执行、电源、通信发生故障时，系统必须进入安全状态。接管请求（TOR）本身可以被视为一种安全机制，但前提是驾驶员被正确识别为“可接管”。

ISO 21448 关注预期功能安全（SOTIF），核心是避免因性能局限、场景理解不足、可预见误用导致危害。NOA 的接管难题，大量属于 SOTIF 范畴：例如施工锥桶识别延迟、异形车辆误判、大雨导致摄像头性能下降、驾驶员过度信任系统而分心。这些不是“故障”，而是“能力边界”。

UN R157 是联合国关于自动车道保持系统（ALKS）的法规，明确规定了系统激活条件、驾驶员监控、接管请求、最小风险状态（MRM）与最小风险操作（MRM）等要求。它把“接管”从工程概念提升为法规义务：系统必须在规定时间内发出接管请求，并在驾驶员未响应时执行最小风险操作。

二、接管相关条款的工程解读

UN R157 对接管有明确的时间与行为要求。系统在识别到即将超出运行设计域（ODD）或无法继续安全运行时，必须发出接管请求，并给驾驶员足够的反应时间。若驾驶员在规定时间内未接管，系统应执行最小风险操作，例如减速、靠边停车、开启危险报警灯。工程上，这意味着 TOR 不是“提示音”，而是一个带有倒计时、升级策略和兜底动作的状态机。

ISO 21448 则要求团队回答：接管请求本身是否可能被误解？驾驶员是否具备接管能力？如果驾驶员长期不接管，系统是否助长了过度信任？这些问题需要在场景库中显式建模，而不是只靠“驾驶员应保持注意力”一句话带过。

ISO 26262 要求对接管链路做功能安全分析。例如：TOR 信号丢失、HMI 显示失效、驾驶员监控摄像头故障、降级执行器失效，是否会导致危害？这些失效模式需要分配 ASIL 等级，并设计相应的安全机制与故障响应时间。

三、典型场景：施工区接管与降级

假设 NOA 车辆在高速公路上以 110 km/h 行驶，前方出现施工区，锥桶摆放不规则，车道线被遮挡。感知模块置信度下降，系统判断即将超出 ODD。此时：

1. ISO 21448 视角：这是典型的性能局限场景，系统不应“硬闯”，而应提前识别能力边界并请求接管。
2. ISO 26262 视角：若感知模块发生故障而非性能下降，系统需在故障容忍时间内进入降级状态。
3. UN R157 视角：系统需发出接管请求，给驾驶员约 10 秒反应时间；若未响应，执行 MRM，如减速至停车并开启双闪。

四、常见误区与复盘

• 误区一：只做 ISO 26262，忽略 SOTIF。 很多接管失败不是硬件故障，而是场景理解不足。没有 SOTIF 场景库，接管策略会漏掉大量真实边界。
• 误区二：把 UN R157 当作“出口认证才看”。 法规中的 TOR 时间窗和 MRM 要求，直接影响国内 NOA 的降级设计，提前对齐可减少后期返工。
• 误区三：接管请求发出即认为驾驶员会接管。 必须结合驾驶员监控（DMS）判断可接管性，否则 TOR 只是“免责声明”。
• 误区四：降级策略只有“靠边停车”。 不同 ODD、不同车速、不同交通密度下，MRM 应有差异化策略，例如减速、变道、停车、保持车道等。

接管与降级状态机关键参数示例：
TOR_trigger_confidence < 0.75
TOR_lead_time = 10 s
DMS_attention_threshold = 0.6
MRM_deceleration = -2.5 m/s²
MRM_target = 应急车道停车
HMI_level_1 = 视觉 + 声音
HMI_level_2 = 座椅振动 + 安全带预紧
HMI_level_3 = 自动减速 + 双闪

复盘时，建议把每一次接管事件映射到三套标准：是故障触发还是性能边界触发？是否满足法规时间窗？驾驶员状态是否被正确评估？只有把标准条款转化为可执行的设计参数和测试用例，NOA 的接管与降级才不是“碰运气”，而是可验证、可追溯、可认证的工程能力。