GB 44721-2026 智能网联汽车 自动驾驶系统安全要求

ICS43.020

CCST40

中华人民共和国国家标准

GB44721—2026

代替GB/T44721—2024

智能网联汽车自动驾驶系统安全要求

Intelligentandconnectedvehicle—Safetyrequirementsforautomated

drivingsystem

2026⁃07⁃30发布2027⁃07⁃01实施

国家市场监督管理总局

国家标准化管理委员会发布

GB44721—2026

目次

前言··························································································································Ⅲ

1范围·······················································································································1

2规范性引用文件········································································································1

3术语和定义··············································································································1

4缩略语····················································································································5

5ADS技术要求··········································································································5

6保障要求···············································································································11

7保障要求检验·········································································································17

8安全档案检验·········································································································19

9确认性试验············································································································21

10同一型式判定········································································································21

11标准的实施···········································································································22

附录A（规范性）接管能力监测技术要求·········································································23

附录B（规范性）应用于高速公路和/或城市快速路的3级自动驾驶功能具体技术要求···············24

附录C（规范性）4级自动驾驶功能具体技术要求······························································34

附录D（规范性）安全档案···························································································38

参考文献····················································································································55

Ⅰ

GB44721—2026

前言

本文件按照GB/T1.1—2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定

起草。

本文件由GB/T44721—2024《智能网联汽车自动驾驶系统通用技术要求》转化为强制性国家标

准。与GB/T44721—2024相比，除结构调整和编辑性改动外，主要技术变化如下：

——更改了标准范围（见第1章，2024年版的第1章）；

——更改了术语和定义（见第3章，2024年版的第3章）；

——增加了缩略语（见第4章）；

——更改了动态驾驶任务要求（见5.1，2024年版的第4章、第5章和6.3）；

——更改了人机交互要求（见5.2，2024年版的6.2和第7章）；

——更改了用户告知要求（见5.3，2024年版的第8章）；

——更改了保障要求（见第6章，2024年版的A.2）；

——增加了保障要求检验（见第7章）；

——增加了安全档案检验（见第8章）；

——更改了确认性试验（见第9章，2024年版的附录B）；

——增加了同一型式判定（见第10章）；

增加了标准的实施（见第11章）；

——

——更改了接管能力监测技术要求（见附录A，2024年版的6.1）；

——增加了应用于高速公路和/或城市快速路的3级自动驾驶功能具体技术要求（见附录B）；

——增加了4级自动驾驶功能具体技术要求（见附录C）；

——更改了安全档案（见附录D，2024年版的A.1、A.3~A.6）。

请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。

本文件由中华人民共和国工业和信息化部提出并归口。

本文件及其所代替文件的历次版本发布情况为：

——2024年首次发布为GB/T44721—2024；

——本次为第一次修订，标准编号改为GB44721—2026。

Ⅲ

GB44721—2026

智能网联汽车自动驾驶系统安全要求

1范围

本文件规定了智能网联汽车自动驾驶系统的技术要求、保障要求、同一型式判定，描述了相应的保

障要求检验、安全档案检验和确认性试验等方法。

本文件适用于装备3级和/或4级驾驶自动化系统的M类和N类车辆。

本文件不适用于自动泊车系统。

2规范性引用文件

下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文

件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于

本文件。

GB/T41798智能网联汽车自动驾驶功能场地试验方法及要求

GB44497智能网联汽车自动驾驶数据记录系统

GB/T44719智能网联汽车自动驾驶功能道路试验方法及要求

GB/T45312智能网联汽车自动驾驶系统设计运行条件

GB/T47025智能网联汽车自动驾驶功能仿真试验方法及要求

3术语和定义

下列术语和定义适用于本文件。

3.1

自动驾驶系统automateddrivingsystem

具备持续执行全部动态驾驶任务能力的车辆硬件和软件共同组成的系统。

3.2

动态驾驶任务dynamicdrivingtask

车辆驾驶所需的感知、决策及执行控制等行为。

注：动态驾驶任务一般包括对车辆运动、照明及信号装置等的控制。

3.3

自动驾驶功能ADSfeature

ADSDDT

在特定的设计运行条件下执行全部的功能。

3.4

3级自动驾驶功能level3ADSfeature

L3自动驾驶功能level3ADSfeature

有ODD限制且需要后援用户的自动驾驶功能。

注：对应GB/T40429—2021规定的3级驾驶自动化。

3.5

4级自动驾驶功能level4ADSfeature

L4自动驾驶功能level4ADSfeature

有ODD限制且不需要后援用户的自动驾驶功能。

注：对应GB/T40429—2021规定的4级驾驶自动化。

1

GB44721—2026

3.6

激活状态activestate

ADS执行DDT以控制车辆的运行状态。

3.7

就绪状态availablestate

自动驾驶功能的设计运行条件已符合但ADS尚未执行控制的状态。

3.8

激活activation

将自动驾驶功能由就绪状态转换为激活状态的行为。

3.9

退出deactivation

将自动驾驶功能由激活状态转换为不执行控制的行为。

3.10

设计运行范围operationaldesigndomain

驾驶自动化系统设计时确定的适用于其功能运行的外部环境条件。

注：典型的外部环境条件有道路、交通、天气、光照等。

3.11

设计运行条件operationaldesigncondition

驾驶自动化系统设计时确定的适用于其功能运行的各类条件的总称，包括设计运行范围、车辆状

态、驾乘人员状态及其他必要条件。

3.12

计划接管事件plannedtakeoverevent

ADS预先已知并需要发出介入请求的事件。

3.13

用户user

使用装备ADS的车辆的人员。

3.14

车内用户occupant

位于装备ADS的车辆内的用户。

3.15

后援用户fallbackuser

在自动驾驶功能激活状态下，被指定执行接管的车内用户。

3.16

乘客passenger

非驾驶人或后援用户的车内用户。

3.17

干预intervention

用户主动通过已明确的有效方式影响ADS执行DDT的行为。

3.18

ADS后援响应ADSfallbackresponse

ADS发出介入请求和/或执行最小风险策略。

3.19

介入请求requesttointervene

ADS请求后援用户执行接管的提示。

2

GB44721—2026

3.20

接管takeover

后援用户响应介入请求，从ADS获得车辆驾驶权的行为。

3.21

最小风险状态minimalriskcondition

一种尽可能降低碰撞风险的稳定且静止的车辆状态。

3.22

最小风险策略minimalriskmaneuver

ADS无法继续安全执行DDT时，所采取的使车辆达到最小风险状态的控制策略。

3.23

其他道路使用者otherroaduser

任何其他使用道路基础设施的实体。

3.24

行为能力behavioralcompetency

ADS在其ODC内操控车辆时，表现出符合预期且可验证的能力。

3.25

失效failure

由于故障出现导致系统或组件预期行为的终止。

3.26

故障fault

能够引起系统或组件失效的异常情况。

3.27

安全保障要求safetymaintenancespecification

一种系统性的安全管理方法，包括并整合了组织、人员和技术要素：

a）通过规范的程序和方法管理已识别的风险，理解风险之间及其与缓解措施的关联性和相互作

用，并确保无不可预期的结果；

bADS

）确保由具备相应技能、培训和认知能力的人员对全生命周期进行监测，识别风险并制定

适当的缓解措施，并充分考虑人为失误的可能性；

c）运用适当的工具和设备支持安全管理。

3.28

仿真试验simulationtest

在仿真场景中使用仿真工具链对ADS或装备ADS的车辆开展试验的方式。

3.29

仿真工具链simulationtoolchain

为进行仿真试验，由一组或多组仿真试验工具和模型组合的总称。

注：仿真工具指用于ADS仿真试验的硬件和/或软件设备。

3.30

安全档案safetycase

通过充分、有说服力且容易理解的方式证明ADS符合本文件中相关的ADS技术要求且不会对用

户及ORU构成不合理风险的结构化文档。

3.31

声明claim

安全档案中可验证的陈述。

3

GB44721—2026

3.32

论证argument

在安全档案中存在的书面解释，旨在阐明某项声明与其实现的证据之间的逻辑关联。

3.33

证据evidence

为证明某项声明的有效性而提供的相关材料。

示例：实车试验结果、仿真试验结果、带有支持数据的分析等。

3.34

安全概念safetyconcept

在ADS设计时，为保障ADS在其ODC相关的各种运行条件下，使其不会对用户和ORU造成不

合理风险所采取的安全措施的描述。

3.35

场景scenario

对在特定行程中可能出现的一系列行驶情况的描述。

3.36

标称场景nominalscenario

任何不属于风险场景或失效场景的场景。

3.37

风险场景criticalscenario

所涉及的其他道路使用者及其行为、道路设施、障碍物等对合格且专注驾驶人执行DDT的风险

较高，可能导致合格且专注驾驶人通过执行紧急的运动控制以避免碰撞或缓解碰撞后果的场景。

注：对于紧急的运动控制，假设仅采用制动措施，则车辆减速度大于一定的数值（例如，3m/s2）才能避免碰撞。

3.38

失效场景failurescenario

失效会影响ADS执行DDT能力的场景。

3.39

接管能力监测takeovercapabilitymonitoring

对后援用户是否具备响应介入请求并从ADS获得车辆驾驶权的能力进行监测。

3.40

换道控制lanechange

从转向信号灯首次开启，到车辆从本车道完全行驶至目标车道且转向信号灯关闭的过程。

3.41

换道执行阶段lanechangemanoeuvrephase

从车辆外廓开始跨越目标车道边线外侧至车辆完全行驶至目标车道的阶段。

注：换道执行阶段是变更车道的一部分。

3.42

MRM换道控制MRMlanechange

在执行MRM期间，ADS执行的换道控制。

3.43

常规换道控制regularlanechange

在未执行MRM期间，ADS执行的换道控制。

3.44

远程协助remoteassistance

对于4级自动驾驶功能，当ADS处于激活状态且遇到难以处置的情况时，ADS接收由远程方式

4

GB44721—2026

发送的协助信息，以继续完成行程。

注1：远程协助信息如行驶轨迹引导、停车等。

注2：策略性功能（例如，目的地选择）不属于远程协助。

3.45

ADS严重失效severeADSfailure

ADS关键部件失效导致严重影响ADS安全运行的失效。

3.46

车辆严重失效severevehiclefailure

任何影响ADS执行DDT能力且影响人工驾驶的失效。

4缩略语

下列缩略语适用于本文件。

ADS：自动驾驶系统（AutomatedDrivingSystem）

APS：自动泊车系统（AutomatedParkingSystem）

ASIL：汽车安全完整性等级（AutomotiveSafetyIntegrityLevel）

DDT：动态驾驶任务（DynamicDrivingTask）

DSSAD：自动驾驶数据记录系统（DataStorageSystemforAutomatedDriving）

ECU：电子控制器（ElectronicControlUnit）

FIT：失效率（FailuresinTime）

FMEAFailureModeandEffectsAnalysis

：失效模式与影响分析（）

FTA：故障树分析（FaultTreeAnalysis）

HAZOP：危害和可操作性分析（HAZardandOPerabilityanalysis）

KPI：关键性能指标（KeyPerformanceIndicators）

MRC：最小风险状态（MinimalRiskCondition）

MRM：最小风险策略（MinimalRiskManeuver）

ODC：设计运行条件（OperationalDesignCondition）

ODD：设计运行范围（OperationalDesignDomain）

ORU：其他道路使用者（OtherRoadUser）

PMHF：随机硬件失效概率度量（ProbabilisticMetricforrandomHardwareFailures）

PVPA：潜在车辆存在区域（PotentialVehiclePresenceArea）

SMS：安全保障要求（SafetyMaintenanceSpecification）

SOTIF：预期功能安全（SafetyOfTheIntendedFunctionality）

STPA：系统理论过程分析（SystemTheoreticProcessAnalysis）

5ADS技术要求

5.1DDT执行

5.1.1一般要求

ADS的安全水平应至少达到正在承担动态驾驶任务的合格且专注驾驶人的水平。

注：合格且专注指符合相关法律法规规定的驾驶水平。

ADS不应对用户和ORU造成不合理的安全风险。

5

GB44721—2026

ADS应识别当前情况是否符合自动驾驶功能的ODC。

在激活状态下，ADS应执行全部DDT。

注：当坐在驾驶位的车内用户进行干预时，车内用户对车辆横向运动和/或纵向运动的控制可能优先于ADS。

ADS应执行合理的控制策略应对感知系统的性能衰退。

对于3级自动驾驶功能，若其ODD包括高速公路和/或城市快速路以外的道路，ADS应至少

具备车道巡航、换道控制和交叉路口（除环形路口外）通行的能力。

注：仅在专用车道内运行的快速公共汽车交通可能不具备换道控制的能力。

对于4级自动驾驶功能，若其ODD仅包括高速公路和/或城市快速路，ADS应至少具备车道

巡航、换道控制和为绕行前方障碍物而部分或全部驶入相邻车道的能力；若其ODD还包括高速公路

和/或城市快速路以外的道路，ADS应至少具备车道巡航、换道控制、交叉路口（除环形路口外）通行、

为绕行前方障碍物而部分或全部驶入相邻车道、倒车和掉头的能力。

5.1.2标称场景下的DDT执行

ADS的驾驶行为不应导致碰撞。

ADS不应与安全相关目标发生碰撞。

注：安全相关目标指若发生碰撞可能会对车辆造成非轻微损坏，或可能对ORU、用户或基础设施构成安全风险的

目标。

根据安全风险，ADS应调整其驾驶行为，应至少包括：

a）预判驾驶环境中的风险，以降低遇到风险场景的可能性；

b）根据安全风险调整行驶速度；

c）控制车辆的纵向和横向运动以与ORU保持适当的距离。

ADS应以合理的控制策略应对无法充分探测区域内存在的安全风险。

注：无法充分探测区域如由ORU或障碍物遮挡造成的盲区、道路拓扑或形状造成的盲区等。

ADS应探测与响应和其执行DDT相关的目标和事件。

ADS应与ORU安全交互，应至少包括：

a）展现预期行为，保持稳定的驾驶行为；

b）进行有效的信息交互（例如，转向信号灯、制动灯等）。

对于4级自动驾驶功能，若乘客按照C.3.1.2的方法请求停车，则ADS应使车辆安全静止。

根据安全风险，ADS不应不合理地扰乱交通流而导致通行效率下降。

ADS执行DDT应符合道路通行规定。

0ADS应探测与响应享有优先通行权的车辆（例如，执行紧急任务的警车、消防车、救护车、工

程救险车），当妨碍享有优先通行权的车辆通行时，应至少符合以下要求：

a）对于3级自动驾驶功能，执行让行控制或执行ADS后援响应；

b）对于4级自动驾驶功能，执行让行控制。

1ADS应探测与响应交通警察现场指挥，应至少符合以下要求：

a）对于3级自动驾驶功能，按照交通警察现场指挥通行或执行ADS后援响应；

b）对于4级自动驾驶功能，按照交通警察现场指挥通行。

5.1.3风险场景下的DDT执行

只要合理可行，ADS在风险场景下执行DDT应符合5.1.2的要求，最小化整体安全风险。

当自动驾驶功能处于激活状态时，若碰撞不可避免，除碰撞导致ADS失去对车辆的运动控制

外，ADS应降低事故伤害或损失。

注：碰撞是否可避免以正在承担动态驾驶任务的合格且专注驾驶人的水平为基线。

6

GB44721—2026

当自动驾驶功能处于激活状态且检测到发生碰撞时，除碰撞导致ADS失去对车辆的制动控

制外，ADS应使车辆静止。

5.1.4失效场景下的DDT执行

只要合理可行，ADS在失效场景下执行DDT应符合5.1.2的要求，最小化整体安全风险。

ADS应探测影响其在ODD内执行DDT能力的故障和功能异常。

当发生故障时，ADS应符合以下任一要求。

a）若故障使ADS不能安全地执行DDT，执行ADS后援响应且禁止激活受影响的其他自动驾

驶功能；若执行MRM，符合5.1.6的要求。

b）若ADS仍能安全地执行DDT，根据故障的严重程度调整执行DDT的能力。

5.1.5不符合ODC场景下的DDT执行

ADS应能安全响应不符合ODC的情况。对于可预见的不符合ODC的情况，ADS还应能

预判。

当自动驾驶功能未处于激活状态时，若存在不符合ODC的情况，则相应自动驾驶功能不应被

激活。

当自动驾驶功能处于激活状态时，若存在不符合ODC的情况，ADS应执行ADS后援响应。

若执行MRM，应符合5.1.6的要求。

ADS在执行ADS后援响应过程中，只要合理可行，应符合以下要求：

a）在标称场景下，5.1.2的要求继续适用；

b）在风险场景下，5.1.3的要求继续适用；

c）在失效场景下，5.1.4的要求继续适用。

5.1.6最小风险策略

对于3级自动驾驶功能，若后援用户未完成接管或发生安全档案中描述的直接执行MRM的

情况，ADS应执行MRM使车辆达到MRC，且应符合以下要求：

a）具备执行换道控制的能力；

b）最小化对用户和ORU的安全风险；

c）目标将车辆移至不妨碍交通的道路边侧安全静止，当车辆严重失效或ADS严重失效导致无

法安全移至道路边侧，至少使车辆在本车道安全静止，在执行MRM过程中和使车辆达到

MRC后，ADS不禁止后援用户干预和退出；

d）在ADS执行MRM过程中和使车辆达到MRC后合理使用危险警告信号；

e）当ADS使车辆达到MRC后，仅在车辆重新启动动力系统（发动机自动启停除外）后，ADS

才能被激活。

对于4级自动驾驶功能，若发生安全档案中描述的执行MRM的情况，ADS应执行MRM使

车辆达到MRC，且应符合以下要求：

a）具备执行换道控制的能力；

b）最小化对用户和ORU的安全风险；

c）目标将车辆移至不妨碍交通的安全区域静止，至少将车辆移至不妨碍交通的道路边侧安全

静止；

d）当车辆严重失效导致无法安全移至道路边侧时，至少使车辆在本车道安全静止；

e）在ADS执行MRM过程中和使车辆达到MRC后合理使用危险警告信号。

7

GB44721—2026

5.2人机交互

5.2.1一般要求

ADS应确保自动驾驶功能被安全激活和退出。

车辆每次动力系统启动后（发动机自动启停除外），ADS不应自动激活。

ADS的安全相关提示应符合以下要求：

a）在所有ADS运行状态下都能被目标的车内用户注意到；

b）易于理解且无歧义；

c）在必要时采用多种提示模式（例如，光学、声学和触觉）。

当执行ADS后援响应时，ADS应向车内用户持续发出执行ADS后援响应的提示信号。

若ADS影响车门控制，ADS应确保车内用户对车门的操作优先于ADS。

当自动驾驶功能处于激活状态且检测到发生碰撞时，ADS应向车内用户发出提示；该提示应

至少持续至ADS退出完成或经用户确认。

若自动泊车功能与自动驾驶功能（非自动泊车功能）共用人机交互方式，相关人机交互方式及

其合理性应在安全档案中予以说明。

注：共用人机交互方式可能包括专用的操纵方式、系统状态提示等。

5.2.2允许行驶中退出至人工驾驶的自动驾驶功能

一般要求

.1ADS的设计应能防止可合理预见的车内用户误用。

.2ADS应配备供车内用户激活和退出的专用操纵方式。

注1：专用操纵方式如专用的操纵件或对操纵件的专用操纵方法等。

注2：APS可能共用相同的激活和退出专用操纵方式。

.3专用于ADS的车辆操纵件应清晰标识、易于区分且仅响应与之适配的操作。

.4ADS应指示自动驾驶功能是否可被激活。

注：当APS处于激活状态下，同驾驶自动化级别的其他自动驾驶功能可能无需指示是否可被激活。

.5当自动驾驶功能处于激活状态时，符合以下要求。

a）与人工执行DDT相关的操纵件应被合理控制以防止对ADS执行DDT造成不安全的干扰，

若采用抑制方式，符合以下要求：

1）ADS应具备相应控制策略，以避免出现控制权模糊或对DDT产生非预期影响；

2）当坐在驾驶位的车内用户对转向控制和/或制动控制的干预超过为防止误用而设计的合

理阈值时，ADS应发出干预提示并按照执行退出策略；

3）对操纵件超过抑制阈值的干预不应是触发ADS执行退出策略的主要方式，且该阈值应

在安全档案中予以说明。

b）对于3级自动驾驶功能，ADS不应导致前方视野受限；对于4级自动驾驶功能，若ADS导致

前方视野受限，当车内用户执行DDT时，ADS应将前方视野立即恢复至适合人工驾驶的

状态。

c）若非ADS导致前方视野受限，当车内用户执行DDT时，ADS目标应执行合理控制策略恢复

前方视野至适合人工驾驶的状态。

.6对于坐在驾驶位的车内用户干预转向控制和/或制动控制的情况，若提供干预后不执行退出

策略的设置，当车内用户选择该设置时，ADS应提示相关安全风险，并在干预期间发出干预提示。

.7当自动驾驶功能处于激活状态时，应至少有一种退出的操纵方式对坐在驾驶位的车内用户

8

GB44721—2026

保持可见。

.8当自动驾驶功能处于激活状态时，ADS应持续向车内用户提示以下信息：

a）ADS状态信息；

b）因ADS失效而导致的DDT执行调整情况。

.9当3级自动驾驶功能处于激活状态时，ADS应符合以下要求：

a）持续评估后援用户是否具备接管能力并符合附录A；

b）当检测到后援用户不具备接管能力时，执行有效控制策略以使其恢复接管能力；

c）当不能使后援用户安全地恢复接管能力时，执行ADS后援响应并使车辆达到MRC；

d）若发出介入请求，确保预留充分时间，以便后援用户感知到介入请求并安全接管DDT。

自动驾驶功能激活

.1当ADS处于就绪状态时，应持续向车内用户直观地提示。

.2当车内用户尝试激活自动驾驶功能时，应向车内用户及时提示是否成功激活的信息。

.3ADS应按照5.3.3的要求确认坐在驾驶位的车内用户完成ADS的使用培训，并按照5.3.5

的要求确认坐在驾驶位的车内用户已阅读并理解使用说明后才允许进入激活状态。

.4当3级自动驾驶功能激活时，ADS应立即且明确提示后援用户仍需准备响应介入请求。

.5ADS在从4级自动驾驶功能向3级自动驾驶功能切换前，ADS应获得坐在驾驶位的车内用

户同意其担任后援用户的确认。

.6若允许自动泊车功能向自动驾驶功能（非自动泊车功能）切换，安全切换策略应在安全档案

中予以说明，并符合以下要求。

a）若允许自动泊车功能向同级别的自动驾驶功能（非自动泊车功能）切换且无需车内用户确认，

切换时ADS应提示相关信息。

b）若允许3级自动泊车功能向4级自动驾驶功能（非自动泊车功能）切换且无需车内用户确认，

切换时ADS应提示相关信息。

c）若允许4级自动泊车功能向3级自动驾驶功能（非自动泊车功能）切换，每次切换前ADS应

符合以下要求：

1）符合3级自动驾驶功能（非自动泊车功能）的激活条件；

2）获得坐在驾驶位的车内用户同意其担任后援用户的确认；

3）向车内用户提示切换相关信息。

退出至人工驾驶

.1车内用户发起ADS退出请求后，ADS应执行退出策略，将DDT控制权安全地移交给坐在

驾驶位的车内用户。

.2ADS应响应车内用户发起的ADS退出请求。若ADS未判定车内用户坐在驾驶位，ADS

不应启动退出策略。若ADS暂缓退出，则应向车内用户提示该情况。

注：当因ADS退出可能造成不安全时，ADS可能暂缓退出。

.3ADS应在退出完成前评估坐在驾驶位的车内用户是否做好充分准备以恢复执行DDT。除

坐在驾驶位的车内用户对转向控制和/或制动控制的干预超过防止误用而设计的合理阈值外，至少应

符合以下全部条件，才视为车内用户做好充分准备以恢复执行DDT：

a）手握转向盘；

b）视线注视驾驶任务相关区域，且持续时长足以支持安全恢复执行DDT。

.4针对.3b）的要求，当视线监测结果暂不可用时，若采用其他措施替代视线监测，这些

措施应在安全档案中予以说明。

9

GB44721—2026

.5自动驾驶功能应保持激活状态直至退出完成或使车辆达到MRC。