芯耀
与非AI
422
GB 47955-2026 一共十二章加六个附录，其中第四章《领航组合驾驶辅助系统安全要求》是全书篇幅最长的一章。领航组合驾驶辅助，就是行业里常说的 NOA（Navigation on Autopilot）类产品：在高速和/或城市快速路上持续控制横纵向，还能执行换道、绕行、交叉口通行这类非车道巡航动作。
这一章定的是这类产品的安全底线。它不像 GB/T 44461 系列那样讲"功能怎么做"，而是讲"做成什么样才算合格"。条款给得细，数字给得硬，很多地方直接可测试。这篇文章按标准自身的结构走一遍，每条挑重点，尽量把"这条到底卡在哪儿"说清楚。想对照原文的，按章节号翻就行。
01 总体要求：十六条，三条主线
4.1 节一口气列了十七款总体要求，读下来能归成三条主线。
第一条，驾驶员必须持续参与。4.1.1 明确系统设计应使驾驶员持续执行相应动态驾驶任务，并与 4.8.3（驾驶员状态检测）挂钩。4.1.2 要求系统能有效应对可合理预见的驾驶员误用——注意是"可合理预见"，不是"所有误用"，这条逼着企业把误用场景当设计输入，而不是出事后再解释。
第二条，驾驶员随时能接管。4.1.3 要求系统任何时候都能响应驾驶员执行的有效运动控制干预或退出操作，具体落在 4.8.1.3 和 4.8.2。4.1.4 限定系统只在其设计运行车速范围内辅助控制。
第三条，速度不能越界。4.1.5 和 4.1.6 分别对 A 类（高速/快速路）、B 类（其他道路）环境提出：驾驶员可设置的最高车速应不大于对应 ODC 内所有同类道路的最高限制速度，且按 9.3 预试验时，车辆稳定行驶速度也应不大于限速。简单说，系统允许你设多快，先要看它跑的路允许多快。
4.1.7 到 4.1.10 属于"行为底线"：目标应符合道路通行规定；适应其他交通参与者状态，不无故停车等待；及时响应交通控制设施；不得无故执行紧急制动或紧急转向。4.1.9 是最重的一条：系统应对所适用道路环境中的其他交通参与者、道路设施和障碍物进行探测与响应，向驾驶员提示碰撞风险并避免碰撞，并按 9.4、9.5 的指定场景做试验——试验人员不干预的情况下，车辆不应发生碰撞。
4.1.11 到 4.1.16 是接口与配置要求：系统状态信息要明确充分、白天清晰可见；人机交互不得让驾驶员与其他系统混淆；按附录 C 提供感知探测范围说明；系统至少具备车道巡航控制功能和 RMF；B 类环境激活时至少具备交叉口通行功能；支持挂车的要证明挂车适配策略；车辆还应安装符合 GB 39901 的 AEBS，以及符合 GB/T 39323 或 GB/T 41796 要求的车道保持辅助系统和车道偏离预警功能。
最后 4.1.17 是检验入口：所有要求通过附录 A 的条款-试验对应表，落到场地试验、道路试验和文档检验三类手段；涉及仿真试验的，按附录 B 做可信度评估。
02 边界与可控性：先说清"在哪能开、失效了怎么办"
4.2 处理系统与其他驾驶自动化系统的关系。4.2.1 要求企业按附录 C 提供转换策略说明，包括控制优先级、对其他系统的抑制或中断。4.2.2 有一条很硬的：系统不得抑制或中断正在执行紧急制动的 AEBS。4.2.3 规定系统激活状态下，除声明的必要介入外，其他驾驶自动化系统不得辅助驾驶员持续执行横纵向控制——意思是同一时间只能有一个系统在开车，不能两个一起抢。
4.3 讲 ODC 边界的探测与响应，是这一章里最容易被项目组拖到后面的部分。
4.3.1 要求按 GB/T 45312 说明系统和功能的 ODC 元素。A 类环境至少包括：道路交通标线、道路交通标志、收费站、道路施工、匝道、隧道、机动车、行人、障碍物、设计运行车速范围、车道宽度、时间、天气环境。B 类环境在 A 类基础上还要加：交通信号灯、交叉口、环岛、非机动车。逐项说明本身就是工作量。
4.3.2 要求给出 ODC 边界说明：列出系统有能力探测的边界和探测方式；探测到超出、即将超出或正在接近边界时的提示策略；如果超出边界后还能保持激活一段时间，要证明其合理性和安全性；对无法探测的边界也要说明。4.3.4 是行为要求：激活状态下持续探测 ODD 边界，接近时提前提示，已超出时发出 DCA（按 4.8.4.2、4.8.4.3）并以可控方式终止控制辅助。
这条实际卡的是：很多系统"不知道自己什么时候出界了"。传感器看不到施工区、看不到天气突变，边界探测就失效，而标准要求你明确列出"哪些边界我探测不到"，并证明这些盲区不影响安全运行（4.3.6）。
4.4 是可控性。4.4.1 要求系统至少在三种情况下对驾驶员保持可控：系统失效、达到或即将超出 ODD 边界、取消非车道巡航功能，并且要评估这些情况下驾驶员的反应时间。4.4.3 补充：除为保障行车安全需要提高减速度外，系统的制动和加速行为应对驾驶员和其他交通参与者是安全响应的。翻译成人话：正常行驶时别给乘客和旁边车辆来惊吓式的加减速。
03 限速控制：最容易被营销忽略的硬约束
4.5 节只有十条，但它是产品合规里最容易踩空的部分，因为很多宣传把重点放在"能跑多快"上，标准却把重点放在"不能超过多少"。
4.5.1、4.5.2：系统应能确定当前道路的限制速度，并持续显示当前限速和巡航目标车速。4.5.3 给出了巡航目标车速的两种确定方式：驾驶员设置的车速，或系统确定的当前道路限制速度。4.5.4：稳定速度控制时，车辆行驶速度应不大于巡航目标车速。4.5.6：车速大于当前道路限速时，应发出持续的光学及声学提示。
4.5.7 处理限速变化的规则，逻辑要仔细读：若巡航目标车速在限速改变前是驾驶员设置的车速，且该车速低于系统上一次和本次确定的道路限速，系统不得自动把巡航目标调高到新限速；若系统本次确定的限速低于巡航目标车速，则自动或经驾驶员确认后调低。再配合 4.5.9：驾驶员可设置的默认偏移量，不得使巡航目标车速大于限速。
合起来的含义：限速降低时系统必须跟着降，限速升高时系统不得自己跟着升——"限速 100 变 120，系统自己偷偷提速"这种逻辑在这条下面过不了。
04 功能要求：车道巡航、换道、绕行、RMF
4.6 是第四章篇幅最大的部分，分三块：车道巡航（4.6.1）、非车道巡航（4.6.2）、风险减缓功能（4.6.3）。
车道巡航：弯道和横向加速度说了算
4.6.1.1 要求系统具有弯道减速通行能力，并在声明的横向加速度限值内不偏离出本车道。4.6.1.2 要求按附录 C 提供横向加速度限值与速度的控制策略说明，允许按速度区间声明不同的最大横向加速度。
数字在 4.6.1.4 到 4.6.1.8：M1、N1 类最大横向加速度不大于 3 m/s²，M2、M3、N2、N3 类不大于 2.5 m/s²；为保持可控性，准许连续 2 秒内放宽到声明的 1.4 倍（对应 3.3 / 2.8 m/s²）；M1 类在满足光学提示、未发出脱离提示、系统可控三个条件时，准许特定情况下超过 3 m/s²；任意 0.5 秒内横向加速度变化率平均值不大于 5 m/s³。
4.6.1.3 描述了一种"救回来"的场景：车辆达到声明的横向加速度限值、驾驶员未对转向盘有效输入、任意前轮开始跨越车道边线外边缘时，系统应按安全概念提供控制辅助避免突然失去横向控制，并通过持续光学信号加声学或触觉信号提示状态。4.6.1.9 给出试验口径：按 9.4.2.3 a) 或 9.4.2.4 a) 试验时，车辆任一车轮外边缘不得跨越车道边线内边缘。
4.6.1.10 还留了一条硬骨头：若系统能在无车道边线的道路上执行车道巡航，应可靠确定和跟随预期的行驶轨迹，并对其他交通参与者安全响应。无标线场景历来是算法难点，标准直接把它放进要求里。
换道：把"安全变道"拆成可测试的秒和米
4.6.2 先给了非车道巡航的一般要求：系统设计应具有能安全执行此类功能的前向、侧向、向后感知探测范围（4.6.2.1.1）；发出驾驶员脱离提示或警告时，非车道巡航功能不得激活（4.6.2.1.2）；执行过程中检测到脱离后系统怎么办（触发 RMF、完成本次控制、使车辆静止），要在安全概念里说明（4.6.2.1.3）。
换道控制（4.6.2.2）被拆成三个阶段：准备阶段、执行阶段、完成。对应的硬条款有这些：
实线约束。除响应道路施工等设施和指示、或为避免急迫碰撞外，系统不得在车道边线为实线处进入换道执行阶段（4.6.2.2.1.1）；不得向对向车道换道（4.6.2.2.1.2）；执行换道期间不得连续变更两条及以上车道（4.6.2.2.1.4）。
后向距离评估。这是换道安全的核心。4.6.2.2.1.6 要求：探测到目标车道后向接近车辆时，该车以不高于 3 m/s² 减速度制动至与本车同速后，两车距离与本车速度的比值不小于 1 秒。t₀ 取两个值：系统在进入执行阶段前已持续探测到后向车辆至少 1 秒时取 0.4 秒，否则取 1.4 秒。未探测到后向车辆时，按"后向距离等于系统当前后向感知探测范围、后向车辆速度等于当前道路最高限速或 120 km/h 取较小值"来评估。这条实际上决定了后向感知的最小探测距离，直接反推传感器选型和布置。
横向指标。进入执行阶段前开启转向信号灯并保持（4.6.2.2.1.7）；M1、N1 类换道执行阶段最大横向加速度不大于 3.5 m/s²，直道上不大于 1.5 m/s²（4.6.2.2.1.8、4.6.2.2.1.9）；换道中减速不大于 2 m/s²（避免急迫碰撞除外，4.6.2.2.1.11）；驾驶员任何时候可通过单一操作取消本次换道（4.6.2.2.1.13）。
三类换道还有各自的特殊要求。驾驶员触发的换道：至少能通过转向信号灯操纵件触发，单次触发不得产生多个换道过程（4.6.2.2.2）。驾驶员确认的换道：系统只在沿导航路线、提升通行效率、避免碰撞风险等合理情况下发出确认请求，不得发出会导致违反探测到的交通标志标线的请求，探测到车辆在公交专用道等限行车道内时应适时提示变更车道，驾驶员未确认则不得触发（4.6.2.2.3）。系统触发的换道：应能探测到适用特定交通参与者的车道，避免在限制驶入期间触发换道，若已驶入应提示驾驶员并适时变更（4.6.2.2.4）。
绕行与交叉口：低速场景一样有硬指标
4.6.2.3.1 给出其他非车道巡航控制的通用要求：系统只在说明的合理情况下执行（沿导航、提升通行效率、避免碰撞）；开始执行前驾驶员有时间通过易操作方式取消；不满足"意图依然存在、目标区域未超出 ODD 边界、目标区域可通行"三个条件就不得使车辆离开本车道；执行中不违反所适用的交通标志标线。
环岛和交叉口功能（4.6.2.3.2）：交叉口通行至少具有直行能力，环岛通行至少具有驶入、环行、驶出能力；要对探测到的交通信号灯、让行标线、停止标线、特定车道安全响应；车辆轨迹与其他车辆轨迹交叉或合流时，对其他相关车辆安全响应；轨迹与人或非机动车通行道路交叉时，对行人、非机动车安全响应。
跨车道边线障碍物绕行（4.6.2.3.3）的触发条件写得很窄：绕行车道内静止障碍物、以适当横向距离驶过慢行行人或非机动车、响应道路施工等设施指示，以及企业按附录 C 声明的其他安全情况。绕行中与相关前向、侧向、后向交通参与者保持合理安全空间；驶入对向车道时要保障能安全驶回原车道的距离和时间；除道路设施情况外，不得跨越实线车道边线。
RMF：最后一道执行底线
4.6.3 定义风险减缓功能。系统至少具备车道巡航和 RMF 是 4.1.14 的硬要求，所以 RMF 不是加分项。
4.6.3.1.2：系统根据能力和当前情况选择适当的目标停车区域，包括本车道、右侧车道、应急车道、硬路肩。4.6.3.1.3：RMF 介入开始时应开启危险警告信号。4.6.3.1.4：介入过程中，除为避免碰撞需要更大减速度外，车辆减速度不大于 4 m/s²；若采用点刹作为触觉警告，极短时间内准许更大减速度。4.6.3.1.5：停稳后至少保持危险警告信号开启。4.6.3.1.6：介入期间至少发出持续的光学、声学警告和触觉警告。
若系统具有驾驶员确认或系统触发的换道功能，RMF 至少应具备 A 类道路环境下的换道能力（4.6.3.1.1）。RMF 换道控制（4.6.3.2）还有自己的一套约束：仅在换道被确认能降低对乘员和其他参与者安全风险、且换道可预期安全时执行；仅当换道执行阶段会在车辆静止前完成时进入执行阶段；执行阶段用转向灯代替双闪，完成后及时关闭转向灯并重新开启双闪；除弯道曲率产生的横向加速度外，换道不得额外产生大于 1 m/s² 的横向加速度。
05 人机交互：激活、干预、脱离检测的完整闭环
4.8 是第四章里和驾驶员打交道最多的部分，也是 DMS 相关从业者最关心的部分。
激活与退出（4.8.1）。系统每次上电/点火后默认不处于激活状态（4.8.1.1.3），防止上车就自动开的误用。首次激活前，要按 7.3 确认驾驶员完成使用培训、按 7.4 确认已阅读理解使用说明（4.8.1.1.2）。激活条件列在 4.8.1.2.2，共七项：驾驶员坐在驾驶位并系好安全带；驾驶员脱离检测可用；未检测到影响安全运行的失效；未超出 ODD 边界；DSSCDA 可用且存储区域未被锁定事件占满；AEBS（如有）开启；其他声明的条件（如车门关闭、座椅位置适当）。退出是单一操作（4.8.1.3.1），重新激活须重新满足全部条件。4.8.1.3.3 还有一条：AEBS 等应急辅助介入导致车辆静止后，没有驾驶员人工操作，系统不得恢复纵向运动控制。
运动控制干预（4.8.2）。系统应响应驾驶员的有效干预，干预期间准许保持激活（4.8.2.1）。纵向干预包括：驾驶员制动输入比系统引起的减速度更大、通过任意制动系统使车辆保持静止、加速输入比系统引起的加速度更大（4.8.2.2）。制动干预后系统不得自动恢复纵向控制，除非干预导致 2 秒内车速减少量不超过 30 km/h（4.8.2.3、4.8.2.4）；恢复后基于巡航目标车速控制（4.8.2.5、4.8.2.6）。横向干预：驾驶员通过不大于 50 N 的转向操纵力即可干预（4.8.2.7）；若干预发生在非车道巡航过程中，除支持系统规划或小幅纠正外，该非车道巡航控制应被终止（4.8.2.8）。干预期间至少持续发出光学提示（4.8.2.9）。
驾驶员状态检测（4.8.3）。核心要求：系统激活状态、车速大于 10 km/h 时，至少采用手部脱离检测和视线脱离检测两种方式（4.8.3.1.1.1），且激活状态下不得关闭（4.8.3.1.1.2）。系统无法检测到眼睛注视方向和头部姿态，本身视为视线脱离。视线脱离检测不可用时，系统不得通过非车道巡航功能使车辆离开本车道（4.8.3.1.1.3）。
视线"驾驶任务相关区域"的定义在 4.8.3.1.3.2，值得原样读一遍：由驾驶员基准眼点相对车辆纵向基准面分别向左 55° 垂直平面右侧和向右 55° 垂直平面左侧，以及向下 30° 平面以下围成的区域，且不包括从基准眼点观察到的前风窗玻璃、车窗区域及周围 10° 范围内的区域。这条决定了 DMS 视线算法的判定边界。
提示、警告到 RMF 的时序链（4.8.3.2、4.8.4、4.8.5）。
HOR（手握转向盘提示）：车速大于 10 km/h、双手离开方向盘后最迟 5 秒发出；若系统未检测到视线脱离，可放宽到最迟 10 秒。继续脱离，最迟 10 秒升级。HOR 至少为持续的光学提示，画面应包括表示手部和转向盘的基本构成要素；升级的 HOR 还须附加持续的声学或触觉信号。HOR 持续到系统检测到驾驶员不再脱离。
EOR（视线回归提示）：视线脱离后最迟 5 秒发出，继续脱离最迟 3 秒升级。EOR 至少包括持续光学提示并附加声学或触觉；升级的 EOR 声学或触觉须持续。EOR 持续到检测到眼睛注视方向或头部姿态朝向驾驶任务相关区域至少 200 ms；若恢复后 3 秒内再次脱离且持续至少 2 秒，应立即再次发出 EOR。
DCA（立即控制警告）：升级 EOR 后驾驶员继续视线脱离，最迟 5 秒发出；清晰显著指示驾驶员立即至少恢复横向运动控制，至少包括持续光学、声学警告和触觉警告；持续到驾驶员恢复横向控制或系统触发 RMF。
RMF 触发：发出升级 HOR 或 DCA 后最迟 10 秒，系统应触发 RMF（4.8.5）。
另外 4.8.3.2.3 允许信号跳级直接发出，DCA 正在发出时抑制其他提示，升级 HOR 抑制 EOR、升级 EOR 抑制 HOR——给工程实现留了冗余，但整体时序是往下走的。
06 失效、功能安全与数据记录
4.7 处理系统失效。4.7.1 要求激活状态下能检测并响应影响安全运行的失效。4.7.2：检测到失效后，受影响的系统或功能按附录 C 声明的安全概念以安全方式终止，例如逐步减少控制辅助。4.7.3：若失效影响整个系统安全运行，系统终止控制辅助后转换到关闭状态，并至少发出持续适当时长的光学警告，该信号明显区别于其他信号。4.7.4：若失效只影响部分功能，可用功能符合要求且通过光学信号提示驾驶员，准许保持激活。4.7.5：失效导致不可用的功能，驾驶员执行激活操作后应收到不可用提示。
4.9 到 4.11 是三条"文件性"要求，落地工作量不比功能条款小：功能安全和预期功能安全符合附录 C；组合驾驶辅助安全保障覆盖车辆生命周期相关阶段、符合附录 E；数据记录符合附录 F（DSSCDA 的采集、存储与锁定）。4.1.13 还单列了感知探测范围的说明义务——你对系统"能看到多远"的声明，是要写进安全档案的。
07 给研发团队的三点提醒
第四章读下来，有几点对项目排期影响最大，单独拎出来。
第一，换道后向距离条款决定传感器布置。4.6.2.2.1.6 的 1 秒规则和 t₀ 取值，直接推导出后向感知的最小探测距离。方案评审时先算这一条，比后面返工便宜得多。
第二，DMS 不是"座舱域的事"。4.8.3 的脱离检测、4.8.3.1.1.3 的功能联动、4.8.4/4.8.5 的 DCA 与 RMF 触发，全都在智驾域的控制链路上。DMS 检测结果必须作为输入给到决策层，单独在座舱报警不满足要求。
第三，边界和文件比功能更费人力。ODC 元素逐项说明（4.3.1）、边界探测与盲区声明（4.3.2/4.3.6）、感知探测范围说明（4.1.13）、安全概念与可控性说明（4.4.2、4.6.2.1.3）、功能安全与保障文件（4.9、4.10），加上附录 A 的条款-试验对应，这部分工作量经常被低估，建议尽早启动。
第四章之外，第 9 章场地试验、第 10 章道路试验、附录 B 仿真可信度、附录 F 数据记录与这一章逐条对应。做合规对照时，建议以附录 A 的对应表为入口，把每一条要求翻到试验方法，再回到设计文档，这样不容易漏项。
资料来源：GB 47955-2026《智能网联汽车 组合驾驶辅助系统安全要求》标准原文
