GB 44721-2026

一、标准定位与上下文

1.1 基本信息与标准概况

GB 44721-2026《智能网联汽车 自动驾驶系统安全要求》是中国首部针对自动驾驶系统（ADS）安全的强制性国家标准，于2026年6月3日完成报批稿。该标准由中华人民共和国工业和信息化部提出并归口，代替2024年首次发布的推荐性标准GB/T 44721-2024《智能网联汽车 自动驾驶系统通用技术要求》。

标准全文61页，涵盖技术要求、保障要求、检验方法、确认性试验、同一型式判定及标准的实施等完整内容体系，并包含4个规范性附录（附录A-D）。其中附录D（安全档案）占据标准约39页篇幅，是标准中篇幅最大的部分，凸显了安全档案在ADS合规体系中的核心地位。

1.2 从GB/T 44721-2024到GB 44721-2026的演进路径

本次修订相对于2024版的主要技术变化包括：

1.3 适用范围与排除项

标准适用于装备3级和/或4级驾驶自动化系统的M类和N类车辆。M类为载客车辆（M1乘用车、M2/M3客车），N类为载货车辆（N1轻型货车、N2/N3中重型货车）。

标准明确不适用于自动泊车系统（APS）。这一排除考虑了APS的运行场景（低速、封闭/半封闭停车场）、控制策略（仅纵向控制为主）及风险特征（低速碰撞后果有限）与高速ADS存在显著差异，需要独立的规范体系。

1.4 与关联标准的关系网络

GB 44721-2026引用了5项规范性引用文件，构成了完整的技术标准体系：

此外，参考文献还引用了3项基础标准：

• GB/T 34590-2022《道路车辆 功能安全》（对应ISO 26262）：功能安全管理的底层方法学；
• GB/T 40429-2021《汽车驾驶自动化分级》：定义了0-5级驾驶自动化等级，是L3/L4概念的基础；
• GB/T 43267-2023《道路车辆 预期功能安全》（对应ISO 21448）：SOTIF管理的底层方法学。

二、核心术语与概念框架

GB 44721-2026第3章定义了30余项术语，第4章列出20项缩略语。这些术语构成了标准的概念骨架，理解这些概念是正确执行标准要求的前提。

2.1 自动驾驶系统（ADS）与动态驾驶任务（DDT）

自动驾驶系统（ADS）定义为"具备持续执行全部动态驾驶任务能力的车辆硬件和软件共同组成的系统"。关键词是"持续执行全部DDT"，这将其与仅执行部分DDT的驾驶辅助系统（L0-L2）区分开来。

动态驾驶任务（DDT）定义为"车辆驾驶所需的感知、决策及执行控制等行为，包括对车辆运动、照明及信号装置等的控制"。DDT涵盖三大能力维度：

• 感知：探测道路、交通、障碍物等环境信息；
• 决策：基于感知信息进行路径规划、速度控制、行为决策；
• 执行：控制车辆横向运动（转向）和纵向运动（加速/制动），以及照明、信号装置等。

自动驾驶功能（ADS feature）是ADS在特定ODC下执行全部DDT的功能单元。一个ADS可包含多个自动驾驶功能（如高速L3、城市L3、L4 Robotaxi等），每个功能有其独立的ODC定义。

2.2 ODD与ODC：设计运行条件的双层概念

标准区分了两个关键概念：

ODC是ODD的超集，除外部环境条件外，还包括车辆自身状态（如车速、故障状态）和驾乘人员状态（如后援用户是否在位、是否系安全带、是否具备DDT执行能力）。

2.3 MRM与MRC：最小风险策略与状态

最小风险状态（MRC）定义为"一种尽可能降低碰撞风险的稳定且静止的车辆状态"。最小风险策略（MRM）定义为"ADS无法继续安全执行DDT时，所采取的使车辆达到MRC的控制策略"。

MRM是ADS的最终安全兜底机制，标准对L3和L4的MRM要求存在关键差异：

2.4 后援用户、介入请求与接管

标准定义了L3特有的角色和交互概念：

• 后援用户（fallback user）：在自动驾驶功能激活状态下，被指定执行接管的车内用户。后援用户是L3独有的角色概念，L4不存在后援用户。
• 介入请求（request to intervene）：ADS请求后援用户执行接管的提示。介入请求是L3从自动驾控向人工驾控过渡的关键环节。
• 接管（take over）：后援用户响应介入请求，从ADS获得车辆驾驶权的行为。
• 干预（intervention）：用户主动通过已明确的有效方式影响ADS执行DDT的行为。干预不同于接管，干预不终止ADS运行，但用户输入的控制指令优先于ADS。
• 计划接管事件（planned takeover event）：ADS预先已知并需要发出介入请求的事件（如即将驶出ODD）。

2.5 安全档案（Safety Case）与声明-论据-证据框架

安全档案（safety case）定义为"通过充分、有说服力且容易理解的方式证明ADS符合本文件中相关的ADS技术要求且不会对用户及ORU构成不合理风险的结构化文档"。安全档案是型式认证的核心交付物。

安全档案采用声明-论据-证据（Claim-Argument-Evidence）三层结构：

标准D.3.1.1条要求：每项声明至少有一项论据支持，每项论据至少有一项证据支持，且每项声明、论据和证据应有唯一标识。这构成了严格的可追溯性要求。

2.6 场景分类体系：标称/风险/失效

标准将驾驶场景分为三类，形成层次递进的风险应对体系：

风险场景的判定基线是"合格且专注驾驶人"：若仅采用制动措施，减速度大于3 m/s²才能避免碰撞的场景即为风险场景。这为ADS性能评估提供了量化基准。

三、DDT执行要求

第5.1条"DDT执行"是标准的核心技术条款，从一般要求出发，依次规定标称场景、风险场景、失效场景、不符合ODC场景下的DDT执行要求，以及最小风险策略。

3.1 一般要求：安全水平基线

标准5.1.1.1条确立了ADS安全水平的根本基线："ADS的安全水平应至少达到正在承担驾驶任务的合格且专注驾驶人的水平。"这是贯穿全标准的核心准则，所有具体技术要求均围绕这一基线展开。

一般要求还包含以下关键条款：

• 5.1.1.3：ADS应识别当前情况是否符合ODC — 这是ODC实时监测的强制要求；
• 5.1.1.4：激活状态下ADS应执行全部DDT — 用户干预可在横/纵运动上优先于ADS，但ADS不因此终止；
• 5.1.1.5：ADS应执行合理控制策略应对感知系统性能衰退 — 考虑传感器老化、脏污等因素；
• 5.1.1.6：L3若ODD含高速以外道路，至少具备车道巡航、换道控制、交叉路口通行能力（环形路口除外）；
• 5.1.1.7：L4若ODD仅含高速，至少具备车道巡航、换道控制、绕行障碍物部分驶入相邻车道能力；若含高速以外道路，还需交叉路口通行、倒车、掉头能力。

3.2 标称场景下的DDT执行

标称场景是ADS日常运行的主体场景，标准提出了"零碰撞"目标：

• 5.1.2.1：ADS的驾驶行为不应导致碰撞；
• 5.1.2.2：ADS应避免与安全相关目标发生碰撞（安全相关目标指碰撞可能造成非轻微损坏或安全风险的目标）；
• 5.1.2.3：ADS应调整驾驶行为，包括预判风险、调整速度、保持适当距离；
• 5.1.2.4：ADS应以合理控制策略应对无法充分探测区域内存在的安全风险（盲区风险）；
• 5.1.2.6：ADS应与ORU安全交互，保持稳定驾驶行为，进行有效信息交互（转向灯、制动灯等）；
• 5.1.2.10：ADS应探测与响应享有优先通行权的车辆（警车、消防车、救护车、工程救险车）；
• 5.1.2.11：ADS应探测与响应交通警察现场指挥。

3.3 风险场景下的DDT执行

风险场景是可能需要紧急运动控制以避免碰撞的高风险场景。标准要求：

• 5.1.3.1：只要合理可行，ADS在风险场景下应符合5.1.2（标称场景要求），最小化整体安全风险；
• 5.1.3.2：碰撞不可避免时（除碰撞导致ADS失去运动控制外），ADS应降低事故伤害或损失。碰撞是否可避免以"合格且专注驾驶人"为基线；
• 5.1.3.3：检测到碰撞后（除碰撞导致ADS失去制动控制外），ADS应使车辆静止。

3.4 失效场景下的DDT执行

失效场景是系统故障影响DDT能力的场景。标准要求：

• 5.1.4.1：只要合理可行，ADS在失效场景下应符合5.1.2（标称场景要求）；
• 5.1.4.2：ADS应探测影响其在ODD内执行DDT能力的故障和功能异常；
• 5.1.4.3：故障发生后，ADS应满足以下任一要求：
  • a) 若故障使ADS不能安全执行DDT，执行ADS后援响应且禁止激活受影响的其他自动驾驶功能。若执行MRM，符合5.1.6要求；
  • b) 若ADS仍能安全执行DDT，根据故障严重程度调整执行DDT的能力。

标准区分了两种失效概念：ADS严重失效（ADS关键部件失效导致严重影响ADS安全运行的失效）和车辆严重失效（影响ADS执行DDT能力且影响人工驾驶的失效）。车辆严重失效如爆胎、转向系统机械故障等，同时影响ADS和人工驾驶，是MRM设计的极端场景。

3.5 不符合ODC场景下的DDT执行

ODC不符合是ADS运行边界的核心问题。标准要求：

• 5.1.5.1：ADS应能安全响应不符合ODC的情况，对可预见的不符合ODC的情况还应能预判；
• 5.1.5.2：未激活状态下，存在不符合ODC的情况时，自动驾驶功能不应被激活；
• 5.1.5.3：激活状态下，存在不符合ODC的情况时，ADS应执行ADS后援响应（介入请求/MRM）；
• 5.1.5.4：ADS后援响应过程中，只要合理可行，标称场景、风险场景、失效场景要求继续适用。

3.6 最小风险策略（MRM）

MRM是ADS安全兜底的最终手段。标准对L3和L4的MRM分别规定（见第2.3节表格），核心技术要点包括：

• 换道能力：L3和L4的MRM都需具备换道控制能力，以从行车道移至边侧安全区域；
• 减速度限制：附录B.1.5.2规定L3 MRM以不大于4.0 m/s²的减速度指令减速（特殊情况除外），附录C.1.4.1规定L4同样不大于4.0 m/s²；
• 危险警告信号：MRM过程中和MRC后合理使用危险警告信号，换道过程中用转向灯代替危险警告信号；
• MRC锁定：L3达到MRC后仅在车辆重新启动动力系统后方可激活ADS；L4在未确认MRM原因消除前不应脱离MRC。

四、人机交互要求

第5.2条"人机交互"规范了ADS与用户之间的交互界面、控制权转移和状态提示机制，是ADS安全设计的关键环节。

4.1 一般要求

标准5.2.1条规定了人机交互的一般原则：

• 5.2.1.1：ADS应确保自动驾驶功能被安全激活和退出；
• 5.2.1.2：车辆每次动力系统启动后（发动机自动启停除外），ADS不应自动激活 — 必须用户主动激活；
• 5.2.1.3：ADS安全相关提示应在所有ADS运行状态下都能被目标车内用户注意到，易于理解且无歧义，必要时采用多种提示模式（光学、声学、触觉）；
• 5.2.1.4：执行ADS后援响应时，ADS应向车内用户持续发出提示信号；
• 5.2.1.5：若ADS影响车门控制，ADS应确保车内用户对车门的操作优先于ADS — 逃生优先原则；
• 5.2.1.6：检测到碰撞时，ADS应向车内用户发出提示，至少持续至ADS退出完成或经用户确认。

4.2 允许行驶中退出至人工驾驶的功能

这是L3和部分L4（允许用户干预的）自动驾驶功能的人机交互要求，是标准中篇幅最大、最复杂的人机交互条款。

4.2.1 专用操纵方式与防误用

标准要求ADS配备供车内用户激活和退出的专用操纵方式（如专用操纵件或对操纵件的专用操作方法）。专用操纵件应清晰标识、易于区分且仅响应与之适配的操作。设计应能防止可合理预见的车内用户误用。

对与人工执行DDT相关的操纵件（转向盘、制动踏板、加速踏板），ADS激活时应合理控制以防止对ADS执行DDDT造成不安全的干扰。若采用抑制方式，需满足：

• ADS应具备控制策略避免控制权模糊或对DDT产生非预期影响；
• 当用户对转向/制动的干预超过防止误用而设计的合理阈值时，ADS应发出干预提示并执行退出策略；
• 对操纵件超过抑制阈值的干预不应是触发ADS执行退出策略的主要方式，且该阈值应在安全档案中说明。

4.2.2 激活条件与流程

附录B.2.1.1对L3高速场景的激活条件规定了8项必要条件（全部满足方可激活）：

标准还要求激活前确认用户已完成使用培训（5.3.3）和已阅读并理解使用说明（5.3.5）。培训确认方式包括：面对面培训确认、生物识别、静止状态下账号登录（需密码确认培训完成）。使用说明确认方式要求长按保持或至少两个有目的操作，且30天内未确认则下次激活前再次要求确认。

4.2.3 退出至人工驾驶

退出策略是人机交互中最安全敏感的环节。标准要求：

• 用户发起退出请求后，ADS应执行退出策略，将DDT控制权安全移交给坐在驾驶位的车内用户；
• ADS应响应退出请求，但若未判定车内用户坐在驾驶位，不应启动退出策略。若暂缓退出，应提示用户；
• 退出完成前需评估用户是否做好充分准备，至少满足：手握转向盘 + 视线注视驾驶任务相关区域且持续时长足以支持安全恢复执行DDT；
• 自动驾驶功能应保持激活状态直至退出完成或使车辆达到MRC — 不存在"真空状态"；
• 退出完成时，ADS应明确提示已退出；车辆控制权移交给驾驶人，且不应导致应急辅助系统自动关闭或驾驶辅助系统自动激活。

4.2.4 干预机制

附录B.2.2对L3干预机制进行了详细规定：

• 转向干预：超过安全档案中描述的合理阈值（含力/力矩及持续时间，与后援用户注意力相关）时，后援用户输入的转向控制应被执行；
• 制动干预：后援用户对制动控制的干预产生比ADS引起的减速度更大，或通过任何制动使车辆保持静止时，后援用户输入应被执行；
• 加速干预：后援用户对加速控制的干预被执行后，不应导致ADS不符合本文件要求。

注意力检测方面，ADS应检测后援用户是否注意力集中。不集中的判定条件包括：未注视前方道路 + 未注视后视镜 + 头部运动非主要朝向驾驶任务相关区域。注意力不集中时，ADS退出可能暂缓。

4.2.5 系统状态提示

附录B.2.3.1对L3系统状态提示规定了6类信息：

4.3 不允许行驶中退出至人工驾驶的功能

这是L4无人驾驶场景的人机交互要求。核心差异在于：

• 5.2.3.1：ADS应向乘客提供与安全相关的信息（而非向后援用户）；
• 5.2.3.2：出现对乘客有安全风险的情况（如安全带未系、乘客未就座），ADS应按安全档案中描述的控制策略作出响应；
• 5.2.3.3：若车辆配备人工驾驶操纵件，其设计应能防止在ADS执行DDT时对DDT产生任何影响，或采取防护措施防止操纵件被接触。

4.4 用户告知要求

第5.3条"用户告知"要求车辆制造商除机动车产品使用说明书外，还应通过公开可获取的方式（官网、车载终端、移动终端）向用户提供ADS使用说明。使用说明应至少包含16项内容，包括：

• 自动驾驶功能及其能力、驾驶自动化等级和局限性；
• 不可避免碰撞时的控制策略说明；
• 激活、退出、接管（L3）、干预、MRM的说明，包括接管和干预的区别、退出方式推荐使用顺序；
• 用户角色转换机制和过程说明；
• L3介入请求发出后预留给后援用户的接管时间及需执行操作的说明；
• 激活状态下允许的非驾驶相关活动及相关风险说明；
• ADS相关状态及状态转换说明，及状态提示信号说明（光学、声学、触觉）；
• 故障后DDT执行能力变化的说明；
• L4乘客请求停车方法的说明；
• 使用ADS前需采取的额外安全预防措施（如查验传感器是否被遮挡）；
• 交通事故应急处置建议；
• 维护操作说明；
• 多用户管理相关风险和建议（如车辆移交前提示登出）；
• 挂接挂车情况下ADS的挂车要求和相关风险说明。

五、L3级特定要求（附录B解读）

附录B是标准中针对"应用于高速公路和/或城市快速路的3级自动驾驶功能"的具体技术要求，是对正文第5章通用要求的细化和量化。附录B共7页，包含B.1 DDT执行、B.2人机交互、B.3感知探测范围三部分。

5.1 DDT执行：车道巡航与换道控制

5.1.1 车道巡航要求

B.1.1.1要求ADS在激活状态下使车辆保持在车道内行驶，确保不会无目的跨越车道边线（前轮外边缘越过车道边线外边缘）。ADS目标应使车辆在车道内保持稳定的横向和纵向运动以避免对ORU造成干扰。

B.1.1.6要求ADS具备控制车辆在前方静止的ORU或阻碍通行的车道前完全静止以避免碰撞的能力。这是对感知-决策-执行全链路的端到端要求。

5.1.2 换道控制要求

换道控制是附录B的技术核心，标准区分了常规换道控制和MRM换道控制两种场景，并定义了换道执行阶段（从车辆外廓开始跨越目标车道边线外侧至车辆完全行驶至目标车道的阶段）和潜在车辆存在区域（PVPA）概念。

换道控制的核心要求包括：

• B.1.2.1.1：换道控制不应造成不合理安全风险，不与ORU发生碰撞，且对ORU是能被预期和安全响应的；
• B.1.2.1.4：换道控制应按照后向安全距离进行评估，且评估中应考虑本车辆的任何减速或加速行为；
• B.1.2.1.5：完成换道后至少2秒内不应增加减速度（除避免急迫碰撞风险或MRM需要外）；
• B.1.2.1.6：常规换道触发条件包括感知能力满足B.3.1、无影响换道安全的失效、目标车道具备可用空间；
• B.1.2.1.8：常规换道还需存在明确换道原因（导航/通行效率/避免碰撞）且目标车道可通行；
• B.1.2.1.9：MRM换道在开始执行MRM 3秒内不应触发（除应急车道即将终止或风险性与常规换道相同外）。

5.1.3 后向安全距离评估

B.1.2.3对后向安全距离评估进行了详细量化规定，区分常规换道和MRM换道：

5.2 紧急避撞控制要求

B.1.3对紧急避撞控制进行了规定：

• B.1.3.1.1：存在急迫碰撞风险时，ADS应执行紧急避撞控制。ADS发出高于5 m/s²制动减速度指令视为紧急避撞控制；
• B.1.3.1.2：若发生影响车辆制动或转向性能的失效，紧急避撞控制应考虑车辆剩余能力；
• B.1.3.1.3：除跨车道线避撞外，横向避撞过程中车辆不应跨越车道边线。横向避撞完成后，ADS应使车辆恢复至稳定运动状态；
• B.1.3.1.4：除急迫碰撞风险消失或ADS被后援用户退出外，紧急避撞控制不应被终止。

5.2.1 跨车道线避撞控制

B.1.3.2规定了跨车道线避撞控制的条件，这是允许车辆在紧急避撞时跨越车道线的特殊机制：

• 仅在ADS充分探测到前向、侧向和后向交通情况时；
• ADS能评估跨越车道线的安全风险；
• ADS确保不会导致跨线方向相邻车道内其他车辆被迫不合理减速；
• 运动规划意图跨越车道线时，ADS应开启相应转向信号灯。

5.3 介入请求过程

B.1.4对L3介入请求过程进行了详细规定，是L3人机交互的核心条款：

5.3.1 介入请求触发条件

B.1.4.1要求ADS具备明确的介入请求触发条件，且应能识别需要发出介入请求的所有情况。触发时机包括：

• 计划接管事件：ADS适时发出介入请求，确保即使后援用户未接管，MRM仍能使车辆在计划接管事件发生前静止；
• 非计划接管事件：ADS在识别到该事件时及时发出介入请求（如遇恶劣天气等）；
• 影响ADS安全执行DDT的失效：ADS在检测到该失效时及时发出介入请求；
• 不符合激活条件：B.2.1.1 a)~h)中任一条件不符合时，适时发出介入请求。

5.3.2 介入请求时间约束

B.1.4.4和 B.1.4.5对介入请求的时间约束进行了量化规定：

5.3.3 介入请求与换道控制的关系

B.1.4.3规定：若ADS已知在换道控制中会发出介入请求，则不应触发该换道控制。除为安全响应道路设施/交通标志/标线（如施工改道、车道数变少）外，常规换道控制不属于介入请求阶段的一部分。这避免了在换道过程中触发介入请求带来的安全风险。

5.4 MRM要求与感知探测范围

5.4.1 MRM要求

B.1.5对L3 MRM进行了细化规定：

• B.1.5.1：除ADS在执行MRM过程中被人工退出外，MRM应使车辆达到MRC；
• B.1.5.2：除安全档案描述的特殊情况外，ADS应以不大于4.0 m/s²的减速度指令进行减速；
• B.1.5.3：执行MRM时应开启并保持危险警告信号，换道中按B.1.2.2.6要求合理使用；
• B.1.5.4：除ADS退出或ADS使车辆达到MRC后，ADS不应终止MRM；
• B.1.5.5：因车辆达到MRC而终止MRM后，不应因ADS退出导致危险警告信号关闭。

5.4.2 感知探测范围要求

B.3对L3高速场景的感知探测范围进行了量化规定，这是传感器配置的直接依据：

前向探测范围与最高设计运行速度的对应关系：

B.3.2.2规定，最高运行速度大于60 km/h需同时满足：车辆具备减速度值不小于5 m/s²的减速度能力 + 前向探测范围达到表B.1对应值。若特定情况下（如湿滑路面）无法达到5 m/s²减速度或最小前向探测范围，ADS应根据实际能力调整最高运行速度。

5.4.3 接管能力监测（附录A）

附录A对L3后援用户接管能力监测进行了规定，包含三个维度：

执行DDT能力的监测指标包括：特定的人机交互动作、眼部运动、头部运动、身体运动、语音输出和生理特征等。

六、L4级特定要求（附录C解读）

附录C是标准中针对4级自动驾驶功能的具体技术要求。与附录B不同，附录C不限定ODD道路类型，适用于所有L4场景（包括高速和城市道路）。L4的核心特征是不需要后援用户，因此不存在介入请求机制，取而代之的是远程协助机制。

6.1 DDT执行与远程协助

6.1.1 DDT执行一般要求

C.1.1对L4 DDT执行的一般要求与L3有相似之处，但增加了以下L4特有条款：

• C.1.1.2：ADS应具备采取合理控制策略应对道路因施工、交通管制等情况发生临时变更的能力 — L4需自主处理道路变更，不能依赖介入请求；
• C.1.1.3：ADS应识别前方车辆减速、邻车切入、逆向行驶车辆、突然出现障碍物、行人/自行车骑行者等弱势道路使用者、无法识别类型的目标，并执行合理控制策略；
• C.1.1.4：若车辆允许乘客站立或不佩戴乘客约束系统，除安全档案描述的特殊情况外，ADS发出的水平方向加速度和减速度指令均不应大于2.4 m/s²，加速度和减速度变化率均不应大于5.0 m/s³ — 这是L4特有的舒适性与安全性约束。

6.1.2 换道控制与紧急避撞

C.1.2规定L4换道控制应符合B.1.2.1、B.1.2.2.1、B.1.2.2.3和B.1.2.2.4的要求（即常规换道的一般要求、换道执行阶段的连续性和PVPA要求、无法完成时驶回原车道的要求）。C.1.3规定L4紧急避撞控制应符合B.1.3.1.1~B.1.3.1.3和B.1.3.2的要求。

L4紧急避撞控制的终止条件（C.1.3.2）与L3相同：除急迫碰撞风险消失外不应被终止，终止后ADS仍保持激活状态，静止时开启危险警告信号。

6.1.3 MRM要求

C.1.4对L4 MRM的规定与L3类似，但有关键差异：

• C.1.4.1：除安全档案描述的特殊情况外，以不大于4.0 m/s²的减速度指令减速（与L3相同）；
• C.1.4.2：MRM过程中开启并保持危险警告信号，换道执行阶段用转向灯代替；
• C.1.4.3：在未确认导致ADS执行MRM的原因消除前，ADS不应使车辆脱离MRC — 这是L4特有的MRC锁定机制，确认方式可包括ADS自检、车内用户查验（如适用）或远程查验（如适用）。

6.1.4 远程协助

C.2对远程协助进行了规定，这是L4的核心差异化能力。远程协助定义为"对于4级自动驾驶功能，当ADS处于激活状态且遇到难以处置的情况时，ADS接收由远程方式发送的协助信息，以继续完成行程"。

远程协助的关键约束：

6.2 人机交互与乘客停车请求

6.2.1 激活条件

C.3.1.1对L4激活条件规定了7项必要条件：

• a) 不存在影响ADS运行的失效；
• b) DSSAD处于可用状态，存储区域未被锁定事件占满；
• c) 天气环境和道路设施允许ADS运行；
• d) ADS自检确认；
• e) 车辆未在执行影响ADS运行的软件升级；
• f) 规划的路径不超出ODD的道路类型范围；
• g) 安全档案中描述的其他ODC。

与L3激活条件相比，L4不需要"驾驶人坐在驾驶位且系好安全带"和"驾驶人具备执行DDT能力"（因为L4无后援用户），但增加了"规划的路径不超出ODD的道路类型范围"，这是L4作为全自主系统对路径规划的安全约束。

6.2.2 乘客停车请求

C.3.1.2规定ADS应向乘客提供请求停车的方法。这是L4特有的交互需求，允许乘客在行程中请求停车，ADS应使车辆安全静止。标准正文5.1.2.7也规定：对于4级自动驾驶功能，若乘客按照C.3.1.2的方法请求停车，则ADS应使车辆安全静止。

6.2.3 L4允许行驶中退出至人工驾驶的功能

部分L4功能允许坐在驾驶位的车内用户干预和退出。C.3.2对此类功能进行了规定：

• 若在车辆驾驶区域外设置激活操纵方式，人工驾驶过程中非驾驶位用户操作激活前应获得驾驶人确认；
• 除将控制权安全移交车内用户、安全切换至L3或安全切换至APS外，若车辆未处于静止状态，4级自动驾驶功能不应退出；
• 非驾驶位用户操作退出操纵方式退出至人工驾驶时，ADS应获得坐在驾驶位的车内用户同意其担任驾驶人的确认。

6.2.4 L4不允许行驶中退出至人工驾驶的功能

这是纯无人驾驶L4（如Robotaxi）的人机交互要求。C.3.3规定：

• 除安全切换至4级APS外，若车辆未处于静止状态，4级自动驾驶功能不应退出；
• 为人工驾驶或维修等模式提供的退出操作装置，仅在车辆静止状态下被响应；
• ADS应向车内用户提示ADS状态和因不可用而不能响应激活操作的信息。

6.3 L3与L4要求差异对比

综合正文和附录B/C的内容，L3与L4的关键差异对比如下：

七、安全档案要求（附录D解读）

附录D是标准中篇幅最大的部分（约39页），定义了安全档案的结构、内容和质量要求。安全档案是型式认证的核心交付物，也是企业向认证机构证明ADS安全性的唯一正式途径。

7.1 安全档案结构与层次

安全档案由四大模块构成：

7.2 系统描述（D.1）

D.1要求车辆制造商提供系统描述，包括功能描述和系统布局/原理两部分。

7.2.1 功能描述

功能描述应包括：

• ADS的预期用途（个人车辆/城市出租车/货运运输等）；
• 每项自动驾驶功能的配置、运行特性、ODC定义（按GB/T 45312）；
• 激活条件、MRM执行条件、退出条件、介入请求条件（如适用）；
• ADS设计交互的ORU类别及交互策略；
• ADS设计所针对的用户及交互策略；
• 允许行驶中退出至人工驾驶的功能：视线监测方式和参数；
• 接管能力监测：安全带监测、在位监测、DDT能力监测的方式和参数；
• 远程协助交互策略及流程（如适用）；
• 激活、干预、接管或退出方法；
• 可实现的MRC（MRM过程和MRC风险评估）；
• 可识别的ADS故障清单和导致ADS无法执行DDT的其他车辆系统/部件清单；
• 自动驾驶功能对失效情况的响应方式。

7.2.2 系统布局和原理

系统布局和原理应提供：

• ADS硬件组件及功能概要、软件组件及功能概要、ADS与其他车辆系统的关系；
• 框图和/或示意图：硬件组件分布、硬件标识与软件标识关联、单一组件多模块的单一标识；
• 组件间互连：电路图（电子传输链路）、管道图（气动/液压）、布置简图（机械连接）；
• 信号优先级确定（当多路复用数据传输链路上信号优先级影响性能或安全时）；
• 感知、决策规划、远程功能、信息显示、数据记录、冗余等功能的实现方式；
• 感知系统各组件安装选项信息（位置、周边材料、尺寸/几何形状、表面光洁度、安装角度公差）；
• 所有ADS的ECU输入清单（含传感器输入）和工作范围定义；
• 所有ADS的ECU输出清单和控制范围定义；
• ADS如何探测ODC符合情况及响应方式。

7.3 安全概念（D.2）

D.2安全概念是安全档案的技术核心，涵盖功能安全（ISO 26262对应）和预期功能安全（ISO 21448对应）两大维度。

7.3.1 危害分析和风险评估

D.2.2要求进行功能安全危害分析和风险评估（HARA）以及预期功能安全危害识别和评估。功能安全HARA结果应至少涵盖表D.1中的11项整车危害。

7.3.2 接受准则和确认目标

D.2.3定义了两类接受准则：

• 危害行为接受准则：基于表D.1中的安全目标和安全度量，用于判断车辆行为是否属于危害行为；
• 残余风险接受准则：碰撞等事故率低于10^-4/h，轻伤事故率低于10^-5/h，重伤事故率低于10^-6/h，致命事故率低于10^-7/h。

7.3.3 安全措施

D.2.4要求提交功能安全措施和预期功能安全措施说明。功能安全措施的核心要求包括：

• D.2.4.2.2：描述策略以避免ADS在系统无法执行DDT时操控车辆；
• D.2.4.2.4：安全相关故障时至少采用以下一种安全措施：ADS部分系统实现后援响应、独立系统冗余设计、多样性系统设计、限制部分或全部自动驾驶功能；
• D.2.4.2.5：避免因电气/电子系统单点故障导致完全失去主动转向、主动制动和主动驻车能力；
• D.2.4.2.7（L3）：避免因电气/电子系统单点故障导致完全失去提醒能力；
• D.2.4.2.8：对可能导致丢失MRM的严重故障或极端情况，其残余风险应控制在合理水平；
• D.2.4.2.10（远程协助）：对远程通信链路故障进行探测，存在安全相关故障时不应使能远程协助功能；
• D.2.4.2.11~D.2.4.2.16：运行阶段安全保障措施，包括安全监测、风险探测、事件管理流程、OTA升级等。

7.3.4 验证确认计划和结果

D.2.6要求提交功能安全验证确认计划和结果（D.2.6.2~D.2.6.3）以及预期功能安全验证确认计划和结果（D.2.6.4~D.2.6.5）。验证确认应基于硬件在环测试、实车测试或其他适当方法，试验应作为主要方法之一（仿真、场地、道路试验）。

7.4 声明、论据与证据（D.3）

D.3规定了安全档案的核心逻辑结构 — 声明-论据-证据框架：

• 每项声明至少有一项论据支持；
• 每项论据至少有一项证据支持；
• 每项声明、论据和证据应有唯一标识；
• 声明、论据和证据应易被理解、符合逻辑、正确和稳健；
• 声明应证明ADS对用户及ORU不会造成不合理风险，且符合DDT执行、人机交互、用户告知、其他要求；
• 从要求到证据的前后追溯性；
• 与声明相关的各项假设均应说明。

D.3.2规定了生成证据的试验活动要求，包括试验条件、试验场景及其管理、试验过程和试验证据的要求。试验证据应来源于仿真试验、场地试验和道路试验的组合，并表明试验方法间结果的一致性。

7.5 整车危害清单与ASIL等级

表D.1定义了11项ADS相关整车危害及其安全目标、ASIL等级和安全度量：

表D.2定义了触发条件清单，涵盖环境、交互和用户误用三大类触发条件，包括天气（雨雪雾沙尘雾霾）、光照（清晨/白天/傍晚/夜晚/逆光/强光照/光照突然变化）、道路类型（弯道/匝道/隧道/坡道/交叉口/环岛）、道路标记、道路设施、目标物类型（机动车/行人/摩托车/动物/临时障碍物/异形目标物/低对比度目标物等）、目标物状态、多目标物交互（遮挡/横穿/并行/对向/切入/切出/紧急制动）和用户误用（误激活/激活后误用/不接管/误接管/误退出）。

八、保障要求与检验

第6章保障要求、第7章保障要求检验和第8章安全档案检验构成了标准的三重验证体系。保障要求定义"应做什么"，保障要求检验验证"是否做到了"，安全档案检验验证"是否证明了"。

8.1 安全保障要求（SMS）

第6.1条定义了安全保障要求（Safety Maintenance Specification, SMS），这是一种系统性的安全管理方法，包括组织、人员和技术要素的整合。SMS包含8个模块：

8.2 试验条件要求

第6.2条规定了三类试验的条件要求：

8.2.1 仿真试验条件（6.2.1）

仿真试验条件是标准中篇幅最大的试验条件要求，包含9个子项：

• 6.2.1.2 数据管理：输入数据管理、输出数据管理、随机模型管理；
• 6.2.1.3 人员能力：仿真工具链开发、评估、使用人员的能力记录；
• 6.2.1.4 发布管理：仿真工具链全生命周期管理和维护；
• 6.2.1.5 假设和不确定性量化：建模假设、已知限制、公差适当性、不确定性来源评估；
• 6.2.1.6 适用范围：仿真工具链适用范围与ODC匹配；
• 6.2.1.7 关键性分析：评估仿真工具链对安全档案声明的影响；
• 6.2.1.8 验证：代码验证、计算验证、敏感性分析；
• 6.2.1.9 确认：定量指标确认、实车-仿真一致性、性能观测量定义、统计方法比较、验收准则。

8.2.2 场地试验条件（6.2.2）

要求场地试验的设施、环境和能力与预期用途匹配，包括体现ODC和预期运行工况的静态和动态元素，设备定期查验、维护和校准。

8.2.3 道路试验条件（6.2.3）

要求道路试验的路线能使ADS有足够概率遇到大量ORU以及少见的道路基础设施、非典型道路/环境条件。设备同样需定期查验、维护和校准。

8.3 保障要求检验

第7章规定了检验人员对SMS的检验方法，对应第6.1章的8个模块：

• 7.1.1 一般要求：检验SMS符合6.1要求，评估管理安全风险及确保ADS全生命周期安全相关过程的鲁棒性；
• 7.1.2 安全方针检验：检验原则和目标、组织架构、安全承诺、安全文化措施；
• 7.1.3 风险管理检验：检验应对和预防风险措施、风险覆盖ADS全生命周期；
• 7.1.4 安全保证检验：检验独立内审和外部检验、供应链管理、变更管理、纠正措施、KPI监测；
• 7.1.5 安全提升检验：检验人员能力、培训过程、沟通途径、持续改进；
• 7.1.6 设计与开发管理检验：检验设计开发管理过程、安全方针/风险管理/安全保证/安全提升在设计开发中的应用；
• 7.1.7 生产管理检验：检验生产管理过程、安全方针等在生产管理中的应用；
• 7.1.8 部署后安全管理检验：检验安全监测与管理能力。

第7.2条还规定了试验条件检验（仿真、场地、道路），检验人员可要求车辆制造商展示仿真工具链执行及结果生成，或开展部分场地试验/道路试验。

8.4 安全档案检验

第8章安全档案检验从三个维度检验安全档案质量：

8.4.1 完整性检验（8.2.1）

检验安全档案完整性，至少满足：

• 每项要求均通过一个或多个声明得到阐释；
• 声明的集合能够证明ADS不存在不合理风险；
• 每个声明均有论据支持，每个论据均有证据支持；
• 已记录与声明相关的指标及验收准则；
• 声明、论据和证据唯一标识；
• 从要求到证据的前后追溯性。

8.4.2 鲁棒性检验（8.2.2）

检验安全档案鲁棒性，至少满足：

• 所有已识别风险全部被降低、缓解或接受，总体残余风险低于不合理风险阈值；
• ADS及其功能开发、验证和确认的完整性等级足以将风险降至不合理风险阈值以下；
• 已限制ADS或与其交互的其他车辆系统导致的潜在非预期功能；
• 获取证据的试验条件达到可接受的可信度水平；
• 试验证据来源于仿真、场地和道路试验的组合，且方法间结果一致；
• 提供的证据可复现，且安全目标保持一致；
• 证据合理覆盖预期运行区域内可预见的运行条件和事件；
• 已开展内审并针对发现的问题采取整改措施。

8.4.3 试验活动检验（8.3）

检验试验方法适用于证明安全档案及性能/功能要求符合性，包括：

• 8.3.2 场景及其管理检验：检验行为能力推导过程、场景识别和生成方法、场景选择技术；
• 8.3.3 试验过程检验：检验试验过程适当性；
• 8.3.4 试验证据检验：检验仿真/场地/道路试验证据，包括DDT执行能力证据、用户安全交互能力证据、特定试验用例。

九、试验与认证

9.1 确认性试验

第9条规定了确认性试验的方法和依据：

"检验人员应根据安全档案使用多种试验方法确认自动驾驶功能的表现，场地试验应按照GB/T 41798开展，道路试验应按照GB/T 44719开展。若采用仿真试验，检验人员应按照GB/T 47025开展仿真试验。"

确认性试验的核心原则：

• 多种试验方法：使用仿真、场地、道路试验的组合，不依赖单一方法；
• 基于安全档案：试验设计基于安全档案中描述的ODC、行为能力和安全度量；
• 标准依据：场地试验依据GB/T 41798，道路试验依据GB/T 44719，仿真试验依据GB/T 47025；
• 检验人员主导：由检验人员根据安全档案设计试验方案，可要求额外试验。

9.2 同一型式判定

第10章定义了同一型式判定的条件，分为直接视同和检验检测验证后视同两种路径。

9.2.1 直接视同条件（10.1）

符合以下全部18项条件时，视为同一型式：

9.2.2 检验检测验证后视同条件（10.2）

若ADS涉及10.1条件变更，但符合以下条件，仅需对变更参数相关的技术要求进行补充检验检测，经审批许可后获得扩展：

• 整车生产企业相同；
• 保障要求检验检测报告有效且未超过三年；
• 除车辆型号信息外，安全档案中声明相同；
• 感知系统类型/数量/安装位置相同（生产企业/名称/型号可不同）；
• 定位系统类型/数量相同；
• ECU硬件生产企业/名称/型号/数量相同；
• ADS软件企业/型号/版本相同（不影响表现时允许版本不同）；
• ADS软件架构特征相同；
• 感知定位系统/ECU逻辑连接关系相同；
• 自动驾驶功能相同；
• L3介入请求控制策略相同；
• 除以下条件外ODC其他要素相同：道路类型相同或减少、时间相同或减少、最高车速相同或降低、天气条件相同或程度降低、车道类型相同或减少。

9.3 标准的实施时间节点

第11章规定了标准的实施时间：

• 新申请型式批准的车型：自标准实施之日起开始执行；
• 已获得型式批准的车型：自标准实施之日起第13个月开始执行。

十、开发实施要点

基于GB 44721-2026的技术要求和保障要求，本章从需求工程、系统架构、安全设计和测试策略四个维度提炼开发实施要点。

10.1 需求工程

标准要求建立从ODC定义到安全度量的完整需求链条：

• ODC定义：按照GB/T 45312定义每项自动驾驶功能的ODC，包括ODD（道路/交通/天气/光照）、车辆状态、驾乘人员状态；
• 行为能力推导：从ODC推导ADS应具备的行为能力（车道巡航/换道/交叉路口通行/倒车/掉头等）；
• 安全目标定义：基于表D.1的11项整车危害定义安全目标和安全度量（ASIL等级）；
• 接受准则定义：定义危害行为接受准则（基于安全度量）和残余风险接受准则（10^-4/h）；
• 确认目标设定：设定量化确认目标（如16000小时累积运行对应10^-4/h的80%置信度）；
• 需求追溯：建立从ODC到安全目标到安全度量到试验证据的全链路追溯矩阵。

10.2 系统架构设计

标准对系统架构设计提出了以下关键要求：

10.2.1 感知系统架构

• 前向探测范围50-130m（根据最高运行速度），需考虑性能衰退余量；
• 侧向探测范围左右各至少9m，覆盖相邻车道；
• 后向探测范围满足换道后向安全距离评估要求；
• 感知系统安装选项需在安全档案中详细描述（位置/材料/尺寸/光洁度/角度公差）；
• 需设计传感器健康监测机制，应对性能衰退（5.1.1.5）；
• L4需支持360°感知覆盖（含倒车和掉头场景）。

10.2.2 冗余架构设计

D.2.4.2.5要求避免因电气/电子系统单点故障导致完全失去主动转向、主动制动和主动驻车能力。建议采用以下冗余架构：

10.2.3 DMS架构设计（L3特有）

• 安全带监测：座椅安全带传感器；
• 在位监测：座椅压力传感器/摄像头；
• 执行DDT能力监测：至少2种指标独立确认（眼部运动+头部运动+身体运动等），评估周期≤30秒；
• 视线追踪：注视前方道路/后视镜的检测，用于退出策略和注意力检测；
• 手部检测：手握转向盘检测，用于退出策略条件判定。

10.2.4 通信架构设计（L4远程协助）

• 车端安全策略：远程平台故障时有安全策略保障车辆安全运行；
• 通信状态检测：信号强度、网络时延/时延抖动监测；
• 信息上传：车辆状态、ADS状态、环境信息、远程协助接收结果；
• 通信链路冗余：建议采用4G/5G+V2X双链路冗余。

10.3 安全设计策略

10.3.1 功能安全设计

基于GB/T 34590-2022，对表D.1的11项整车危害进行HARA分析，分配ASIL等级，制定功能安全概念（FSC）和技术安全概念（TSC）。关键设计要点：

• ASIL-D等级（危害1/2/4/5/9）：需满足最高安全完整性要求，包括硬件度量（SPFM/LFM/PMHF）、软件分区保护、诊断覆盖率等；
• 单点故障避免（D.2.4.2.5）：主动转向/制动/驻车能力不可因单点故障完全丢失，需采用容错架构；
• 用户提醒能力冗余（D.2.4.2.7，L3）：声学+触觉+光学多模态冗余，不可因单点故障完全丢失；
• MRM能力保障（D.2.4.2.8）：对可能导致丢失MRM的严重故障，残余风险需控制在合理水平。

10.3.2 预期功能安全（SOTIF）设计

基于GB/T 43267-2023，对表D.2触发条件清单进行SOTIF分析：

• 触发条件识别：环境（天气/光照）、交互（道路类型/标记/设施/目标物）、用户误用；
• 场景生成：数据驱动+知识驱动+随机方法，覆盖ODD内实际交通状况要素；
• 已知危害场景验证：对触发条件及其组合进行充分验证，残余风险降至合理水平；
• 未知危害场景确认：通过真实世界数据挖掘、影子模式、场景泛化等方法确认残余风险；
• 运行阶段安全保障：安全监测、风险探测、事件管理、OTA升级的持续闭环。

10.4 测试验证策略

标准要求采用仿真、场地、道路三类试验的组合策略，以下为建议的测试矩阵：

测试验证的关键原则：

• 方法间一致性：仿真、场地、道路试验结果需具有一致性和相关性（D.3.2.5.1）；
• 可复现性：每项试验需保留足够信息以可复现（相同软件/硬件版本、工具版本、场景、参数）；
• 覆盖度：试验覆盖范围需支撑安全档案声明，覆盖标称/风险/失效场景、ODC内/边界/超出ODC；
• 残余风险确认：累积运行时长需达到确认目标（如16000小时对应10^-4/h），可按比例分配仿真和实车等效时长。

十一、开发行动清单

基于GB 44721-2026的全面解读，以下按优先级（P0/P1/P2）梳理开发行动清单。P0为法规准入必须项，P1为型式认证优化项，P2为竞争力提升项。

11.1 P0级（法规准入必须）

P0级行动项是标准合规的底线要求，不满足将导致型式认证失败。

11.2 P1级（型式认证优化）

P1级行动项是型式认证过程中的优化项，有助于提高认证通过率和效率。

11.3 P2级（竞争力提升）

P2级行动项是超出标准要求但有助于提升产品竞争力和安全水平的优化项。

十二、标准实现自检清单

本章提供GB 44721-2026核心要求的自检清单，供企业在型式认证前进行自查。自检清单覆盖DDT执行、人机交互和安全档案三大核心领域。

12.1 DDT执行自检

12.2 人机交互自检

12.3 安全档案自检