L3自动驾驶系统全面设计指南

L3级别，作为辅助驾驶与自动驾驶的重要转折点，其系统设计与目前市场上量产的辅助驾驶系统有着本质的不同。这不仅体现在系统状态与流程的全面重构上，还涉及到人机交互内容的深度优化，以及安全策略和驾驶员接管机制的重新设计。
L3自动驾驶系统的全面设计，不仅涉及对复杂系统状态和功能逻辑的深入理解，还涵盖了一系列新的专业术语。为了帮助读者更好地把握后续内容，我们将对这些关键术语进行逐一解释。

DDT，即Dynamic Driving Task，动态驾驶任务，它涵盖了驾驶过程中所需的所有实时操作和决策，如车辆的操控、对环境的监测与响应等。TOR，或Take Over Request，指接管请求，当自动驾驶系统无法应对当前情况时，会发出此请求，通常通过视觉、听觉或触觉方式提醒驾驶员接管。

此外，MRM，即Minimum Risk Maneuvers，代表最小风险策略，旨在降低自动驾驶系统或用户无法执行动态驾驶任务时的风险。而EM，Emergency Maneuvers，则指紧急机动，即在面临紧急碰撞风险时，系统采取的动作，旨在避免或减轻碰撞。

在L3自动驾驶系统中，还有两种不同类型的接管：计划内接管和计划外接管。计划内接管是预先已知的，通常在行程终点或L3的ODC边界提出。而计划外接管则涉及事先未知的情况触发，如道路施工、恶劣天气等。

L3自动驾驶系统的状态与功能

在L3自动驾驶系统中，当特定条件满足时，驾驶员可以通过独立的硬开关（如按键）来激活L3级自动驾驶功能。一旦功能被激活，系统将全面接管车辆的驾驶任务，监测周边交通环境，并确保车辆在安全合规的前提下行驶。在此阶段，系统承担着车辆安全驾驶的全部责任。若系统检测到任何异常情况，包括环境变化、系统故障或驾乘人员的不当操作，它会立即发出接管请求（TOR），并给予驾驶员足够的时间进行反应和接管。当驾驶员成功接管车辆后，安全责任随之转移给驾驶员。然而，如果驾驶员未能及时响应接管请求，或者系统遭遇严重故障，系统将执行最小风险策略（MRM），采取换道靠边刹停等措施，以确保车辆和乘员的安全。

接下来，我们将从用户使用的角度出发，逐步深入解读L3自动驾驶系统的各个阶段和功能流程。

在启用L3自动驾驶功能之前，用户必须完成一系列前置设置，包括通过相关学习和考试，并确保已开启功能软开关。此外，用户的使用经验和里程数，以及L2级辅助驾驶的熟练程度，都可能成为开启L3级自动驾驶的必要条件。

【Step 1 to Step 2】
当用户发起导航请求，且自身状态、车辆状态以及外部交通环境均符合L3功能的ODC（操作设计域）要求时，系统将进入L3功能就绪状态。若ODC条件未满足，则系统将进入L3功能未就绪状态。

【Step 2 to Step 4】
在L3功能就绪状态下，若驾驶员操作L3功能专属的硬开关，系统将进入功能激活的过渡阶段。在此过程中，车辆需对周围环境进行判断，保持与周围车辆的安全距离，并调整车身姿态等，这一过程通常持续时间较短，仅有几秒钟。这个过渡阶段标志着DDT（驾驶员与系统之间的责任转移点）从驾驶员向系统的转移，即从人驾模式向L3自动驾驶模式的转换。但在此阶段，L3功能尚未完全启动，安全责任仍由驾驶员承担。

【Step 4 to Step 1】
经过用户二次确认后，若系统持续满足ODC的要求，则将进入L3功能激活状态。否则，系统将进入L3功能退出状态。在功能退出时，应通过视觉、听觉或触觉等方式向用户明确提示功能未能成功激活。

【Step 3 to Step 5】
若在L3功能未就绪的情况下，用户误操作了L3专属的硬开关，系统将进入短暂的功能不可激活状态。此时，应通过视觉、听觉等方式向用户明确提示当前功能无法激活。

接下来，我们将深入探讨L3自动驾驶功能在运行过程中的各种状态与细节。
在L3功能激活后，系统会持续监控用户、车辆和外部环境的动态变化。这些变化可能导致系统在不同状态间进行转换和跳转，以确保驾驶的安全与顺畅。

【Step 1 to Step 2 to Step 4】
若在L3功能激活过程中，系统检测到驾驶员状态异常，会通过视觉和听觉提示驾驶员进行调整。若驾驶员在短时间内（例如10秒内）恢复正常行为，系统将返回至L3功能激活状态并结束提示；若驾驶员状态持续异常，系统将进入请求接管状态，即TOR（Temporary Operation Request）状态。

【Step 1 to Step 3】
若车辆在L3功能激活时面临碰撞风险，系统将执行紧急避撞措施，并通过明显的视觉和听觉信号通知驾驶员当前车辆状态。一旦风险解除，系统将自动恢复至L3功能激活状态。

【Step 1 to Step 4】
当L3功能激活接近ODC边界或遇到未预料的紧急情况时，系统将触发接管请求，可能的情况包括道路施工、恶劣天气、应急车辆接近、车道标线缺失以及货物掉落等。在TOR状态下，系统将通过分等级的视觉和听觉信号提示驾驶员接管车辆。

【Step 4 to Step 5 to Step 1】
若驾驶员在TOR状态下能及时有效接管车辆，系统将进入功能退出状态；若驾驶员未能及时接管，系统将采取变道靠边停车或本车道安全停车的策略，完成MRM（Minimal Risk Management）流程。在此过程中，车辆将驻车、解锁车门并拨打紧急电话，同时L3功能并未完全退出，安全责任仍由系统承担。

接下来，我们将详细探讨L3自动驾驶功能在运行过程中可能遇到的各种场景与应对策略。

在L3功能激活的任何阶段（Step X），若用户踩下制动踏板或通过硬开关主动关闭L3功能，这将触发系统的有效接管，使驾驶员获得车辆的动态驾驶控制权。

【Step X to Step 1】
当驾驶员触发有效接管且系统判断周围环境安全时，L3功能将直接退出，控制权完全移交给驾驶员。

【Step X to Step 2】
若在驾驶员触发有效接管时，车辆系统检测到周围环境存在安全隐患，或车辆正在执行变道、避撞等紧急操作，L3功能不宜立即退出，则系统将进入一个短暂的功能退出-过渡状态。在此状态下，系统会持续监控紧急工况，并在工况解除后，再安全地退出L3功能。这个过渡状态标志着DDT（驾驶动态转换）从系统向驾驶员的平稳转移，即从L3自动驾驶平稳过渡到人工驾驶。在此期间，L3功能仍在运行中，安全责任仍由系统承担。

L3的人机交互

L3自动驾驶不仅操控着车辆在道路上的行驶，还与驾驶员进行着持续的交互，这种交互构成了人-车-路之间的闭环，并带有反馈机制。以奔驰EQS的DRIVE PILOT为例，我们深入探讨了L3自动驾驶系统的人机交互设计。从图4和图5中，我们可以清晰地看到，L3的交互方式多种多样，包括方向盘灯带、L3功能硬开关（如按键）、L3专属指示灯以及SR（Surrounding Reality）动画效果等。此外，系统还会通过文言提示和声音提示来与驾驶员进行沟通。
图4展示了奔驰EQS方向盘上的L3灯带和功能硬开关，这些设计元素为驾驶员提供了直观的反馈和交互方式。通过这些设计，驾驶员可以清晰地了解L3自动驾驶系统的状态，并与系统进行顺畅的沟通。

图5展示了奔驰EQS在L3自动驾驶系统激活时的仪表显示情况。通过这张图片，我们可以清晰地看到系统在各种状态下的交互内容。为了更详细地了解这些交互设计，我们可以参考以下表格：

表1展示了功能未就绪或退出状态下的交互设计。在这个状态下，系统会通过特定的指示灯和提示音等方式，向驾驶员传达系统的状态信息，以便驾驶员能够及时了解并做出相应的操作。

表2展示了功能已就绪状态下的交互设计。在这个状态下，系统会通过仪表盘上的相应图标和提示信息，告知驾驶员各项功能已经准备就绪，可以随时启动自动驾驶系统进行驾驶。
表3展示了功能激活-过渡状态的交互设计。在这个状态下，系统会通过仪表盘上的特定图标和提示信息，告知驾驶员自动驾驶功能已激活，目前正处于过渡阶段，请驾驶员做好准备。

表4展示了功能激活-正常状态的交互设计。当自动驾驶功能完全激活并进入正常工作状态时，系统会通过仪表盘上的特定图标和提示信息，明确告知驾驶员自动驾驶功能已进入正常状态，车辆将自主驾驶，无需驾驶员干预。

表5展示了功能激活时驾驶员处于异常状态的交互设计。若驾驶员在自动驾驶功能激活后，因某种原因陷入异常状态，无法对车辆进行正常操控，系统将通过仪表盘上的警示图标和声音提示，迅速提醒驾驶员注意并采取相应措施，以确保驾驶安全。
表6展示了功能激活时系统进入紧急管理状态的交互设计。当自动驾驶功能被激活，且系统检测到驾驶员可能陷入异常状态或无法正常操控车辆时，系统将自动进入紧急管理状态。此时，仪表盘上的警示图标将变为红色，并伴随紧急提示音，以迅速吸引驾驶员的注意。同时，系统将采取一系列措施，如自动接管车辆控制、调整车速等，以确保驾驶安全。
表7展示了功能激活时系统TOR/MRM状态的交互设计。在自动驾驶功能被激活的状态下，若系统检测到TOR/MRM出现异常，将会触发一系列交互反应。这些反应旨在确保驾驶安全，包括仪表盘上的警示图标变化、紧急提示音的响起，以及系统自动采取的相应措施。通过这些设计，驾驶员能够及时得知TOR/MRM的异常状态，并采取必要的应对措施。
表8展示了功能退出-过渡状态的交互设计。当自动驾驶功能退出时，系统会经历一个过渡状态，这一过程中同样伴随着一系列的交互反应。这些反应旨在平稳地结束自动驾驶模式，确保驾驶过程中的顺畅转换，包括仪表盘上的提示信息、声音提醒，以及系统自动进行的必要调整。通过这些精心设计的交互，驾驶员能够清晰感知到自动驾驶功能的退出，并做出相应的操作准备。

表9展示了功能退出状态的交互设计细节。在自动驾驶功能退出后，系统同样需要一系列的交互反应来确保平稳过渡。这些反应包括仪表盘上的确认信息、声音提示，以及系统自动完成的最后调整。通过这些设计，驾驶员能够明确感知到自动驾驶功能已完全退出，从而做出相应的后续操作。
为了更具体地展现L3级别自动驾驶功能在不同状态下的交互设计，我们接下来将详细剖析奔驰EQS的L3功能交互效果图，从而帮助读者深入理解这一复杂系统的运作。
接下来，我们将深入探讨奔驰EQS的L3级别自动驾驶功能。当这一功能准备就绪时，其交互设计将呈现出一种特定的状态，如上图所示。

接下来，我们将进一步观察奔驰EQS的L3级别自动驾驶功能在激活时的状态。当这一功能被激活时，其交互设计会呈现出另一种特定的状态，如上图所示。

接下来，我们继续探讨奔驰EQS的L3级别自动驾驶功能。在激活状态下，该功能会展现出独特的特点，其中之一便是TOR交互设计。这一设计在激活时，会呈现出别样的状态，如图8所示。
L3自动驾驶系统在安全策略上有着独特的要求
与L2及以下的辅助驾驶系统相比，其安全责任和系统能力都面临着更高的挑战。因此，在L3的系统设计中，安全策略成为了核心的关注点。

L3的驾驶决策支持功能（DDT）需要覆盖各种工况，包括应对意外场景和故障，确保不会给车内外人员带来不必要的风险。对于碰撞风险，L3系统必须能够迅速作出反应。当系统无法应对时，会发出接管请求（TOR），提醒驾驶员接管车辆。

L3系统能够智能判断何时需要将控制权交回给驾驶员，并为驾驶员的安全接管预留足够的时间。对于计划内的接管，系统会设定固定的时间余量；而对于计划外的接管，则会立即发出接管请求。

若驾驶员在系统发出接管请求后未能及时响应，L3系统将启动最小风险策略（MRM），例如使车辆靠边停车，以最小化风险。在此过程中，车辆的减速度应控制在4m/s²以内，直至车辆完全静止。同时，危险警告灯（双闪）将保持开启状态。当MRM执行完毕后，L3系统将退出，并需要驾驶员手动重新激活。

若车辆面临高风险的紧急工况，L3系统将启动紧急机动（EM）功能。当系统发出的减速度值超过5m/s²时，即可视为紧急机动。紧急机动将持续到紧急碰撞风险消失或驾驶员关闭L3系统为止。若紧急机动导致车辆静止，危险警示灯（双闪）将同步开启。

驾驶员能力的判断

在L3自动驾驶系统中，驾驶员的驾驶能力和接管能力是至关重要的。系统必须实时判断驾驶员是否具备这些能力，并在其能力不足时及时发出提示或进入TOR状态。这主要通过DMS（驾驶员监控系统）实现，同时还需要其他传感器提供支持。

DMS系统用于监测驾驶员的疲劳、分神以及危险行为。在L2级辅助驾驶车辆上，DMS虽然不是必备配置，但已经较为常见。然而，在L3级自动驾驶中，DMS却成为了不可或缺的标准配置。它能够实时判断驾驶员是否具备驾驶或接管能力，并在必要时发出提示或进入TOR状态，确保系统的安全运行和动态驾驶责任的合理判定。

驾驶员可用性的识别是DMS系统的核心任务之一。它涵盖了多个方面，包括驾驶员在场检测、可用性标准设定以及异常状态处理等。通过这些功能，DMS系统能够确保在需要时，驾驶员能够及时接管车辆，保障行驶安全。

图9展示了根据关键指标判断驾驶员可用性的示意图。在驾驶过程中，除了我们之前讨论的驾驶员状态外，还存在其他多种行为，如接打电话、阅读、进食、办公、弯腰拾物、坐姿不端以及低头使用其他电子设备等。这些行为的合规性需根据不同国家或地区的法规来具体判断，以确保其是否符合L3自动驾驶系统的要求。

值得注意的是，尽管L3系统在理论上允许驾驶员在系统工作时分散注意力并从事其他活动，但鉴于当前L3技术的起步阶段及政策环境的不完善，我们仍需以安全为首要考虑，逐步推进相关技术的放开。

目前，国内L3自动驾驶技术尚处于发牌照测试和准入试点阶段，相关法规对于L3功能激活时驾驶员的行为规范及责任界定尚不明确。同时，驾驶员在驾驶过程中可能佩戴的帽子、口罩、眼镜等物品，以及头部姿态的变化，都可能对视觉算法造成挑战，导致误报情况的出现。

结语

在探讨L3自动驾驶系统的过程中，我们深入分析了其系统状态、功能逻辑以及人机交互的关键方面。同时，文章也着重阐述了L3在安全策略和驾驶员能力方面的核心理念。通过这些解读，我们可以清晰地看到L3已经迈入了自动驾驶的新阶段。相较于L2的辅助驾驶，L3的系统方案需要从底层逻辑开始，进行全面的重新定义和设计，以适应自动驾驶系统的高性能和高要求。