Operationelt designdomæne: automatiseringens grænse
Et operationelt designdomæne, eller ODD, er det samlede sæt af vej-, geografiske, hastigheds-, miljø-, trafik- og andre forhold, som en automatiseret kørefunktion er udviklet til at fungere under. Ingen påstand om niveau 2, niveau 3 eller niveau 4 giver mening uden denne afgrænsning.
Hvad et ODD indeholder
ISO 34503 indeholder en taksonomi til at definere et ODD for automatiserede køresystemer. En nyttig beskrivelse kan omfatte:
- Geografi: land, by, serviceområde, geofence eller godkendt vejnet.
- Vejstruktur: motorvej, vej med adskilte kørebaner, bygade, fast rute, parkeringsanlæg, vognbaner og krydstyper.
- Hastighed: understøttet køretøjshastighed og relevante forhold for trafikkens hastighed.
- Miljø: regn, sne, tåge, temperatur, vejbanens tilstand, dagslys og sigtbarhed.
- Trafik: trængsel, sårbare trafikanter, modkørende trafik eller adgangsbegrænsninger.
- Infrastruktur: vognbanemarkeringer, skilte, barrierer, vejarbejder, tunneler, betalingsanlæg og forudsætninger om forbindelse.
- Køretøjets tilstand: sensorernes renhed, dækkenes tilstand, lokaliseringskvalitet og tilgængelige fallback-systemer.
Listen afhænger af funktionen. Et motorvejssystem til køkørsel og en byrobotaxi møder forskellige forhold og kræver forskellige domænedefinitioner.
Domænet er flerdimensionalt
En funktion har ikke én enkel rækkeviddegrænse. Den kan være godkendt på en motorvej, men ikke gennem et vejarbejde; om natten, men ikke i kraftig regn; under en bestemt hastighed i flydende trafik, men ikke i en stillestående kø; eller i et kortlagt område bortset fra veje med uafklarede lukninger.
Det relevante spørgsmål er, om alle nødvendige betingelser er opfyldt samtidig. Et køretøj kan geografisk befinde sig i sit serviceområde og stadig være uden for sit ODD, fordi sigtbarheden, vejens tilstand eller sensorernes funktion har ændret sig.
Derfor bør et ODD beskrives med egenskaber, der kan testes, frem for udtryk som »de fleste veje« eller »normalt vejr«.
Tre forskellige domænemønstre
Niveau 2 til forbrugere
En niveau 2-funktion kan være brugbar på et stort vejnet. Mennesket overvåger omgivelserne og kan kompensere for mange begrænsninger, så funktionen kan bede om øjeblikkelig indgriben.
Den brede tilgængelighed gør den ikke autonom. Mennesket er en del af driftskonceptet.
Niveau 3 i serieproduktion
Aktuelle niveau 3-funktioner bruger nøje afgrænsede motorvejsdomæner. Begrænsningerne kan omfatte godkendte lande, adskilte kørebaner, hastighed, trafik foran, vejr, belysning, vejarbejder og tilgængeligheden af en bruger, der er klar til at overtage.
Det smallere domæne reducerer variationen af situationer, som det automatiserede køresystem skal håndtere, og gør overgangsbetingelserne mere forudsigelige.
Niveau 4-flådetjeneste
En robotaxi kan undvære en menneskelig fører inden for et kortlagt serviceområde, fordi det komplette driftssystem omfatter mere end køretøjet. Kortlægning, disponering, flådevedligeholdelse, opladning, rengøring af sensorer, fjernassistance, hændelseshåndtering og lokale driftsprocedurer understøtter domænet.
At udvide en niveau 4-tjeneste betyder derfor, at et nyt domæne og dets drift skal valideres. Det er ikke nok at kopiere den samme software til en anden by.
Registrering og forladelse af domænet
Systemet skal vide, om det befinder sig i sit ODD, og om en grænse nærmer sig. Det kræver aktuelle data, ikke kun en kortkoordinat.
Domæneovervågning kan anvende vejklassifikation, tillid til lokalisering, hastighed, vejrdata, køretøjets egen perception, vognbanekvalitet, sensordiagnostik og køretøjets tilstand. Systemet har brug for marginer, så det kan reagere, før et forhold bliver usikkert.
På niveau 2 betyder det at forlade de understøttede forhold, at føreren skal genoptage fuld kontrol. På niveau 3 kan systemet anmode den overtagelsesklare bruger om at gribe ind og skal have en risikoreducerende reaktion, hvis brugeren ikke gør det. På niveau 4 skal det opnå en tilstand med minimal risiko uden at være afhængigt af en fører.
En tilstand med minimal risiko afhænger af sammenhængen. Det kan betyde at standse et sikkert sted, trække ind til siden, afslutte en manøvre ved lav hastighed eller standse i vognbanen, hvis der ikke findes en sikrere mulighed. »Sikkert stop« bør ikke betragtes som én universel adfærd.
Geofencing er kun én del
Et geofence er en geografisk grænse. Et ODD er bredere. Det omfatter også dynamiske forhold som vejr, sigtbarhed, trafik og vejarbejder.
HD-kort kan lagre vognbanegeometri, trafikregulering og forventet vejstruktur, men kort bliver forældede. Vejarbejder, lukninger og midlertidige skilte kan gøre den aktuelle situation forskellig fra den gemte repræsentation. Et automatiseret køretøj skal afstemme kortoplysninger med sin egen perception og driftsopdateringer.
Fjernassistance kan levere kontekstuelle oplysninger, når et førerløst køretøj møder en usædvanlig situation. Det ændrer ikke niveau 4-rollen, hvis personen på afstand ikke løbende udfører køreopgaven. Forskellen mellem fjernassistance og fjernkørsel bør være tydelig.
Sådan sammenlignes domæner
For købere og beslutningstagere bør domænedækning udtrykkes som betingelser, ikke som ét antal kortlagte kilometer. Mængden af veje siger kun lidt om:
- hvor ofte funktionen faktisk er tilgængelig;
- om den fungerer i mørke eller nedbør;
- hvilke kryds, vejarbejder og vognbaneskift den understøtter;
- hastighedsområdet;
- hvordan den håndterer blokerede sensorer eller tab af lokalisering; og
- hvad der sker ved grænsen.
Den bedste produktdokumentation gør betingelserne for tilgængelighed og afslutning synlige før køb og utvetydige under kørslen. Hvis føreren ikke kan forklare, hvornår systemet kobler fra, er domænet ikke blevet kommunikeret godt nok.