近万字概述L3及以上自动驾驶故障运行和故障安全机制

本文描述了对ADS的FO和FS机制的评估方法。当系统不能按预期运行时，ADS将使用FO和FS机制。这些机制使ADS能够在最大程度上达到使车辆及其乘员脱离危险的MRC。定义、测试和验证实现MRC的FO和FS策略是确保ADS安全运行和部署的重要步骤。

MRC在SAE J3016中被定义为：

用户或ADS在执行DDT接管后可使车辆达到的状态，以减少在特定行程不能或不应该完成时发生碰撞的风险。

SAE J3016进一步指出：

在L3级，考虑到ADS或车辆的DDT性能相关的系统故障，DDT准备接管的用户在确定有必要时，应达到最小风险的状态。

在L4级和L5级，ADS能够在必要时（即，由于ODD退出，如果适用，或ADS与DDT性能相关的系统故障）自动实现最小风险条件。在L4级和L5级自动实现最小风险条件的特点将根据系统故障的类型和程度、有关ADS功能的ODD（如果有）以及系统故障或ODD退出发生时的特定操作条件而变化。它可能需要自动将车辆停在其当前的行驶路线上，也可能需要一个更广泛的操作，旨在将车辆从一个有效的车道上移开和/或将车辆自动返回到调度设施。

如《万字概述L3级及以上自动驾驶测试和评估方法》所述，样本测试框架包括