Operational Design Domain: die Grenze der Automatisierung

Eine Operational Design Domain, kurz ODD, ist die Gesamtheit der Straßen-, geografischen, Geschwindigkeits-, Umwelt-, Verkehrs- und sonstigen Bedingungen, für die eine automatisierte Fahrfunktion ausgelegt ist. Ohne diese Grenze ist keine Aussage über Level 2, Level 3 oder Level 4 aussagekräftig.

Was eine ODD umfasst

ISO 34503 stellt eine Taxonomie zur Definition einer ODD für automatisierte Fahrsysteme bereit. Eine zweckmäßige Beschreibung kann Folgendes enthalten:

Geografie: Land, Stadt, Servicegebiet, Geofence oder genehmigtes Straßennetz.
Straßenstruktur: Autobahn, Straße mit getrennten Fahrbahnen, Stadtstraße, feste Route, Parkanlage, Fahrstreifen und Kreuzungstypen.
Geschwindigkeit: unterstützte Fahrzeuggeschwindigkeit und relevante Bedingungen der Verkehrsgeschwindigkeit.
Umwelt: Regen, Schnee, Nebel, Temperatur, Fahrbahnzustand, Tageslicht und Sichtweite.
Verkehr: Stau, ungeschützte Verkehrsteilnehmer, Gegenverkehr oder Zufahrtsbeschränkungen.
Infrastruktur: Fahrbahnmarkierungen, Verkehrszeichen, Barrieren, Baustellen, Tunnel, Mautstellen und vorausgesetzte Konnektivität.
Fahrzeugzustand: Sauberkeit der Sensoren, Reifenzustand, Qualität der Lokalisierung und verfügbare Rückfallsysteme.

Die Liste ist funktionsspezifisch. Ein Autobahn-Stauassistent und ein städtisches Robotaxi sind unterschiedlichen Bedingungen ausgesetzt und benötigen unterschiedliche Bereichsdefinitionen.

Der Bereich ist mehrdimensional

Eine Funktion besitzt nicht nur eine einfache Reichweitengrenze. Sie kann auf einer Autobahn genehmigt sein, aber nicht in einer Baustelle; nachts, aber nicht bei starkem Regen; unterhalb einer bestimmten Geschwindigkeit im fließenden Verkehr, aber nicht in einer stehenden Schlange; oder in einem kartierten Bezirk mit Ausnahme von Straßen mit ungeklärten Sperrungen.

Entscheidend ist, ob alle erforderlichen Bedingungen gleichzeitig erfüllt sind. Ein Fahrzeug kann sich geografisch innerhalb seines Servicegebiets und dennoch außerhalb seiner ODD befinden, weil sich Sicht, Fahrbahnzustand oder Sensorfunktion verändert haben.

Deshalb sollte eine ODD durch prüfbare Merkmale beschrieben werden und nicht durch Formulierungen wie „die meisten Straßen“ oder „normales Wetter“.

Drei unterschiedliche Bereichsmuster

Level 2 für Privatkunden

Eine Level-2-Funktion kann in einem großen Straßennetz nutzbar sein. Der Mensch überwacht die Umgebung und kann viele Einschränkungen ausgleichen, sodass die Funktion sofortiges Eingreifen verlangen kann.

Diese breite Verfügbarkeit macht sie nicht autonom. Der Mensch ist Teil des Betriebskonzepts.

Level 3 in Serienfahrzeugen

Aktuelle Level-3-Funktionen nutzen eng begrenzte Autobahn-Bereiche. Einschränkungen können genehmigte Länder, getrennte Fahrbahnen, Geschwindigkeit, vorausfahrenden Verkehr, Wetter, Beleuchtung, Baustellen und die Verfügbarkeit eines übernahmebereiten Nutzers umfassen.

Der engere Bereich verringert die Vielfalt der Situationen, die das automatisierte Fahrsystem bewältigen muss, und macht die Übergangsbedingungen berechenbarer.

Level-4-Flottendienst

Ein Robotaxi kann innerhalb eines kartierten Servicegebiets ohne menschlichen Fahrer auskommen, weil das vollständige Betriebssystem mehr als das Fahrzeug umfasst. Kartierung, Disposition, Flottenwartung, Laden, Sensorreinigung, Fernunterstützung, Reaktion auf Vorfälle und lokale Betriebsverfahren stützen den Bereich.

Die Erweiterung eines Level-4-Dienstes bedeutet daher, einen neuen Bereich und dessen Betrieb zu validieren. Dieselbe Software in eine andere Stadt zu kopieren genügt nicht.

Erkennung und Verlassen des Bereichs

Das System muss wissen, ob es sich innerhalb seiner ODD befindet und ob sich eine Grenze nähert. Dafür sind aktuelle Nachweise erforderlich, nicht nur eine Kartenkoordinate.

Die Bereichsüberwachung kann Straßenklassifizierung, Lokalisierungsvertrauen, Geschwindigkeit, Wetterdaten, bordeigene Wahrnehmung, Fahrstreifenqualität, Sensordiagnose und Fahrzeugzustand verwenden. Das System benötigt Reserven, damit es reagieren kann, bevor eine Bedingung unsicher wird.

Bei Level 2 muss der Fahrer beim Verlassen der unterstützten Bedingungen wieder die volle Kontrolle übernehmen. Bei Level 3 kann das System den übernahmebereiten Nutzer zum Eingreifen auffordern und benötigt eine risikomindernde Reaktion, falls dieser nicht folgt. Bei Level 4 muss es unabhängig von einem Fahrer einen Zustand minimalen Risikos erreichen.

Ein Zustand minimalen Risikos hängt vom Kontext ab. Er kann bedeuten, an einer sicheren Stelle anzuhalten, an den Rand zu fahren, ein langsames Manöver abzuschließen oder auf der Fahrspur anzuhalten, wenn keine sicherere Möglichkeit besteht. Ein „sicherer Halt“ sollte nicht als ein universelles Verhalten betrachtet werden.

Geofencing ist nur ein Bestandteil

Ein Geofence ist eine geografische Grenze. Eine ODD ist umfassender. Sie beinhaltet auch dynamische Bedingungen wie Wetter, Sicht, Verkehr und Straßenarbeiten.

HD-Karten können Fahrstreifengeometrie, Verkehrsregelungen und die erwartete Straßenstruktur abbilden, doch Karten veralten. Baustellen, Sperrungen und vorübergehende Schilder können dazu führen, dass die aktuelle Situation von der gespeicherten Darstellung abweicht. Ein automatisiertes Fahrzeug muss Karteninformationen mit der bordeigenen Wahrnehmung und betrieblichen Aktualisierungen abgleichen.

Fernunterstützung kann Kontextinformationen liefern, wenn ein fahrerloses Fahrzeug auf eine ungewöhnliche Situation trifft. Sie verändert die Level-4-Rolle nicht, sofern die entfernte Person nicht kontinuierlich die Fahraufgabe ausführt. Der Unterschied zwischen Fernunterstützung und Fernsteuerung sollte ausdrücklich benannt werden.

So lassen sich Bereiche vergleichen

Für Käufer und politische Entscheidungsträger sollte die Bereichsabdeckung als Bedingungen ausgedrückt werden, nicht als einzelne Zahl kartierter Kilometer. Die Straßenmenge sagt wenig darüber aus:

wie oft die Funktion tatsächlich verfügbar ist;
ob sie bei Dunkelheit oder Niederschlag funktioniert;
welche Kreuzungen, Baustellen und Spurwechsel sie unterstützt;
welchen Geschwindigkeitsbereich sie abdeckt;
wie sie mit blockierten Sensoren oder Lokalisierungsverlust umgeht; und
was an der Grenze geschieht.

Die beste Produktdokumentation macht Verfügbarkeits- und Austrittsbedingungen vor dem Kauf sichtbar und während der Fahrt unmissverständlich. Kann der Fahrer nicht erklären, wann sich das System deaktiviert, wurde der Bereich nicht ausreichend vermittelt.