SAE J3016 주요 내용

<자율주행 Taxonomy>

1. 자율주행 0단계

- 인간이 모든 주행 관련 행위에 책임을 지고 수행하는 시스템

 

2. 자율주행 1단계

- 시스템이 횡방향 제어 또는 종방향 제어를 보조할 수 있는 시스템.

여전히 주변 환경 주시의 의무는 인간에게 있음.

 

3. 자율주행 2단계

- 시스템이 횡방향 제어 그리고 종방향 제어를 모두 보조할 수 있는 시스템.

여전히 주변 환경 주시의 의무는 인간에게 있음.

 

4. 자율주행 3단계

- 시스템이 주어진 ODD내에서 전체 주행 과제(DDT)를 수행하며, 그 동안 DDT fallback user(인간)은 주변 환경 주시의 의무가 없음. 다만, 어떠한 이유로(ODD 이탈, 시스템 failure 등) 시스템이 인간에게 개입 요청을 하게 되면 대응할 수 있어야 함. 시스템이 개입 요청을 하지 않더라도 개입이 필요한 상황(예. 자율주행 시스템 외 고장 - 차체 파손, 타이어 펑크 등)에 대한 대응 준비가 되어 있어야 함.

 

5. 자율주행 4단계

- 시스템이 주어진 ODD내에서 전체 주행과제(DDT)와 fallback을 수행하며, 그 과전에서 user(인간)에게 어떠한 개입도 기대하지 않음. 고속도로에서 4단계 자율주행 기능이 있는 차(즉, ODD=고속도로)를 예를 들면, 고속도로 진출 시 user의 역할이 필요한데, 고속도로를 벗어날 때(즉, ODD 이탈) 인간 user가 제어권을 가지고 갈 수 있도록 알림을 줘야 함. 하지만 그럼에도 불구하고 인간이 제어권을 가지고 가는데 실패한다면 시스템이 DDT fallback을 수행하여 MRC를 달성해야 함.

 

.6. 자율주행 5단계

- 시스템이 어떤 상황에서든지(즉, ODD제한 없음) 모든 주행과제(DDT)와 fallback을 user(인간)에게 개입 요청 없이 수행해야 함. 주행 대응이 불가능한 상황이 되면 시스템이 fallback 후 MRC를 달성해야 함. (중요) 차량의 기동성 측면에서 자율주행 5단계는 0단계와 같음. 즉, 평범한 운전자가 conventional 차량을 가지고 manual drive하여 갈 수 있는 곳이라면, 자율주행 5단계 시스템도 마찬가지로 주행할 수 있는 능력을 가지고 있어야 함. 하지만, 출입 금지 지역(군사 보호 지역, 사유지 등), 홍수 등의 자연재해 상황 등, 인간도 스스로 대응이 불가능한 모든 edge case까지 ODD에 포함시켜 자율주행 5단계 시스템이 대응해야 하는 것은 아님.

 

<정의 및 기타 discussion>

1. “자율주행 단계”는 차량이 아닌 기능에 부여지는 것입니다. 예를 들어, ‘자율주행 3단계 차량’이라는 표현의 사용은 잘못된 것이며 ‘자율주행 3단계 기능(또는 시스템)’이 올바른 표현입니다. 자율주행 단계가 차량 단위가 아니라 시스템 단위에 부여되는 이유는 문서의 뒷부분을 통해 설명하도록 하겠습니다. 실제로 이 문서에서 차량(vehicle)을 정의한 사례는 두 가지 뿐입니다(ADS-DV, Dual-Mode vehicle).

 

2. ADS-Dedicated Vehicle(ADS-DV)

- ODD內 모든 주행 경로에서 자율주행 4 또는 5단계 주행이 가능하도록 설계된 차량입니다. 즉, 모든 주행을 시스템에 의해 완료할 수 있는 차량입니다. 초기 버전과 마찬가지로 ’18.6 개정된 J3016은 ADS-DV를 자율주행 4/5단계에만 국한시켰습니다.

 

3.(ADS-equipped) Dual-Mode vehicle

- Driverless operation과 conventional driver에 의해 모두 주행이 가능한 차량입니다. 문맥상, 특정 차량이 driverless operation으로 주행을 완료할 수 있고, manual driving으로도 주행을 완료할 수 있는 차량을 말합니다. 전체 주행 중 일부를 driverless, 나머지를 manual로 하는 컨셉을 말하는 것이 아닙니다.

 

자율주행 단계를 차량 단위로 지정했다면, 이러한 Dual-mode vehicle은 단계 지정이 불가능합니다. 자율주행 단계를 시스템 기능 단위로 지정하기 때문에 이 차량은 0 또는 1또는 2단계 자율주행 기능과 4또는 5단계 자율주행 기능이 있는 차량이라고 말할 수 있습니다. 만약 차량에 단계를 부여하게 되면 3.5, 4+, 5-와 같은 파생적인 숫자가 발생하게 되며 뒤에서 논의하겠지만 이는 SAE가 권장하지 않는 방식입니다.

 

4. Dynamic Driving Task(DDT)

- On-Road 교통상황에서 차량을 운행하기 위해 요구되는 모든 실시간 operational/tactical 기능을 말합니다. 경로 설정 등과 같은 Strategic 기능 같은 것들은 DDT에 포함되지 않습니다.

Operational 기능에는 횡방향(스티어링휠 사용) 및 종방향(가/감속) 제어가 포함됩니다. 주행 환경을 모니터링하는 하고 적절한 응답을 하는 것(OEDR) 역시 DDT에 포함됩니다.

 

ESC, AEB, 차선 유지 보조 등과 같은 기능은 (자율주행 단계 지정에서)제외됩니다. 이 기능들은 주행 과제를 전부 혹은 일부 수행하는 것이 아니라, 위험 상황이 예상될 때 잠시 동안 개입해주는 수준이기 때문입니다. 또한, 이 기능들의 개입이 주행 과제를 수행하는 주체(운전자 또는 시스템)의 역할을 바꾸거나 없애지 않기 때문에, 자율주행 기능에 포함된다고 보기 어렵습니다.

 

 

5. DDT Fallback

- DDT 성능과 관계된 시스템 에러 또는 ODD 이탈 또는 ADS의 요청이 있은 후, Minimal Risk Condition을 달성하거나 DDT를 직접 수행하기 위해 user가 응답하는 것을 말합니다. DDT와 DDT Fallback은 분리된 기능이기 때문에, 이 둘 중 하나를 수행할 수 있는 기능이 꼭 나머지 하나까지 수행할 능력이 있어야 하는 것은 아닙니다. 자율주행 3단계 ADS의 경우 DDT fallback을 수행하지 못하고 인간에게 개입을 요청하는 것도 같은 맥락입니다.

 

특정 상황에서, 예를 들면 장애물이 없거나 갓길이 있는 상황이라면, 자율주행 3단계 시스템이 자동적으로 fallback과 MRC까지 수행할 수 있습니다. 하지만 시스템을 자율주행 3단계로 지정하는 것이 곧 자동적으로 MRC를 수행해야 한다는 것을 의미하진 않습니다.

 

자율주행 3단계에서 인간에게 제어권 전환 요청을 한 이후로 몇 초간은 시스템이 주행 과제를 여전히 수행할 수 있어야 합니다.( At level 3, an ADS is capable of continuing to perform the DDT for at least several seconds after providing the fallback-ready user with a request to intervene.)

 

인간이 직접 혹은 원격으로 주행을 가능하도록 만든 자율주행 4/5단계 시스템이 장착된 차량의 경우는 인간 운전자가 원할 경우 DDT fallback을 하도록 만들 수 있습니다.

 

자율주행 4단계 또는 5단계 ADS가 DDT fallback을 수행할 때, 속도 등과 같은 차량 거동 제어에 제한을 둘 수 있습니다.(Limp home mode)

 

6. Minimal Risk Condition

 

더 이상의 주행이 불가능할 때 충돌의 위험을 줄이기 위해서 User 또는 ADS가 DDT fallback을 수행한 이후의 상태를 말합니다. MRC 달성은 user가 할 수도 있고 ADS가 할 수도 있습니다. Failure Mitigation과는 구분해야 하는데 8.6 DDT Fallback versus Failure Mitigation Strategy 에서 다시 논의하겠습니다.

 

7. Monitor

차량을 운행 또는 운행 지원하기 위해 인간 또는 시스템이 실시간으로 sensing 및 processing하는 것입니다.. 예를 들면, User를 monitor, 주행 환경을 monitor, 차량 성능을 monitor, 자율주행 시스템 성능을 monitor 등이 있습니다.

 

단, 경고 또는 시스템 failure 알람을 받을 준비가 되어 있는 상태는 monitoring의 형태라고 보지 않음. Receptivity와 Monitoring의 차이: 핸드폰 벨소리나 화재 경보를 들었을 때 그것을 모니터링 하고 있었던 것은 아님. 반면, 레벨1 ACC를 실행시키고 갈 때는 주변과 ACC 성능을 모니터링하는 것임.

 

8. Supervise(Driving automation system performance)

- 자율주행 1단계 또는 2단계 기능을 수행중인 차량에서 그 기능의 성능을 monitoring하고 필요할 경우 responding까지하는 운전자 행동을 말합니다. 예를 들어, 운전자가 ACC가 제대로 작동하지 않는다고 판단한다면 스스로 제동을 할 수 있는데 이 일련의 행위를 Supervise라고 할 수 있습니다. Supervise는 Monitoring + Responding까지 포함하는 개념이기 때문에 Monitoring 보다 상위 개념이라고 할 수 있습니다.

 

 9. (DDT)Fallback-ready user

- 자율주행 3단계 기능이 작동되고 있는 차량의 사용자가 ADS가 송출하는 운전자 개입 요청에 receptive 하거나 차량을 직접 제어 가능한 것을 의미합니다. 자율주행 3단계에서만 사용되는 개념입니다. ADS가 개입 요청을 할 때는 ‘typical person’이 당시 마주하는 주행 상황에 적절하게 대응할 수 있는 충분한 시간을 줘야 합니다. 섹션 3.14에는 several seconds라고 표현되어 있습니다.

 

10. J3016은 스펙이 아니며 강제 사항이 아닙니다. 따라서, 예를 들어, 레벨4 ADS가 때때로 remote fallback-ready user가 fallback을 수행하게 된다고 해서, 그 시스템이 레벨4 정의에 어긋나게 되거나 더 위험하다고 판단하는 것은 적절하지 않을 수 있습니다.

 

11. 레벨은 측정하는 것이 아니라, 제조사가 그들의 자율주행 시스템의 설계 의도를 반영하여 부여하는 것입니다. ADS의 능력과 한계는 잠재적인 user들에게 다양한 방식으로 알려져야 하며, 예를 들면 오너스 메뉴얼을 통해 상세한 내용을 기술해 놓는 방법도 있습니다. 그 내용에는 어떤 식으로 사용해야 하는지, 어떤식으로 사용하면 안되는지, 시스템의 한계가 있다면 무엇인지, DDT 관련 시스템이 fail되면 무엇을 해야 하는지 등이 포함돼야 합니다.

 

12. 자율주행 레벨은 단지 숫자를 부여하는 것 뿐이며, 순서에 따른 차이를 의미하는 것이 아닙니다. 또한, 소수나 +/- 등의 표현으로 쪼개어질 수 없습니다.

 

13. 레벨은 서로 공유되지 않습니다. 즉, 한 가지 시스템/기능에 복수의 레벨이 지정되는 것은 맞지 않습니다.

 

14. DDT 수행, fallback 수행, MRC 달성은 서로 다른 기능입니다.  자율주행 3,4,5단계 ADS에 대해서 시스템 failure 또는 ODD 이탈을 대응하는데 있어, J3016은 이 세가지 분리된 기능을 구분합니다. DDT 수행은 ADS 기능의 정상 작동 조건에서 발생합니다. DDT fallback은 ADS가 전체 DDT 수행을 계속하는 것이 불가능할 때 발생합니다. 자율주행 3단계 ADS 기능에서, human fallback-ready user는 개입 요청에 응하거나 차량 자체의 고장에 대응할 수 있어야 합니다. 이 때 수동으로 주행을 계속하거나, MRC 상태로 진행되게 할 수도 있습니다. 자율주행 4/5단계에서는, 자율주행 기능 또는 시스템이 자동적으로 MRC에 진입함으로써 fallback을 수행합니다. Fallback과 MRC는 DDT 수행 관련 시스템이 fail되거나 ODD 조건을 이탈했을 때도 여전히 ADS가 기능을 하도록 요구합니다. 만약 ADS가 제 기능을 할 수 없다면, failure mitigation 전략이 적용됩니다.

 

15. DDT Fallback versus Failure Mitigation Strategy

-자율주행 2/3단계 기능을 갖춘 차량은 만약 운전자가 기능의 수행을 supervise하는데 실패하거나(2단계), fallback-ready user가 fallback하는데 실패(3단계)한다면, controlled stop을 위해 failure mitigation을 실시해야 합니다. 예를 들어, 자율주행 3단계 기능의 fallback-ready user가 개입 요청에 응하는 것에 실패한다면, 차량은 failure mitigation 전략을 수행하여 주행 차로에서 멈추고 비상등을 켜도록 되어 있습니다. 차량이 failure mitigation을 수행하는 것은 MRC 달성과는 성격이 다릅니다. Failure mitigation은 ADS가 해제되었을 때 수행되는 것이기 때문에 자율주행 4/5단계의 fallback 기능이 아닙니다.

 

16. User Request to Perform the DDT when a Level 3, 4 or 5 ADS is Engaged.

 

자율주행 3단계 시스템이 장착된 차량은 DDT fallback ready user는 일부러 제어권을 가지고 올 수 있습니다. 어떤 차량은 수동 운전 자체를 불가능하도록 만들어진 것도 있으나, 이 때 탑승객이 차량이 멈추도록 (비상버튼 등을 이용) 요구할 수 있습니다. 하지만 인간이 직접 주행할 수도 있에 만든 자율주행 4/5단계 시스템 탑재 차량에서, 운전자는 ADS를 해제 시키고 수동 주행을 할 수 있는데, 이 때 ADS는 위험한 상황을 방지하고 안전하게 제어권을 이양하기 위해서, 일부러 제어권 이양을 지연시킬 수도 있습니다.