Domaine de conception opérationnelle : la limite de l’automatisation

Un domaine de conception opérationnelle, ou ODD, est l’ensemble complet des conditions routières, géographiques, de vitesse, environnementales, de circulation et autres dans lesquelles une fonction de conduite automatisée est conçue pour fonctionner. Aucune affirmation concernant les niveaux 2, 3 ou 4 n’a de sens sans cette limite.

Ce que contient un ODD

ISO 34503 fournit une taxonomie pour définir l’ODD des systèmes de conduite automatisée. Une description utile peut inclure :

Géographie : pays, ville, zone de service, géorepérage ou réseau routier homologué.
Structure routière : autoroute, route à chaussées séparées, rue urbaine, itinéraire fixe, parking, voies et types d’intersections.
Vitesse : vitesse du véhicule prise en charge et conditions pertinentes de vitesse du trafic.
Environnement : pluie, neige, brouillard, température, état de la chaussée, lumière du jour et visibilité.
Circulation : congestion, usagers vulnérables, trafic en sens inverse ou restrictions d’accès.
Infrastructure : marquage au sol, panneaux, barrières, zones de travaux, tunnels, péages et hypothèses de connectivité.
État du véhicule : propreté des capteurs, état des pneus, qualité de la localisation et systèmes de repli disponibles.

La liste dépend de la fonction. Un système autoroutier pour embouteillages et un robotaxi urbain sont confrontés à des conditions différentes et nécessitent des définitions de domaine distinctes.

Le domaine est multidimensionnel

Une fonction ne possède pas une seule limite de portée. Elle peut être homologuée sur autoroute, mais pas dans une zone de travaux ; la nuit, mais pas sous une forte pluie ; en dessous d’une certaine vitesse lorsque la circulation est fluide, mais pas dans une file à l’arrêt ; ou dans un quartier cartographié, sauf sur les routes comportant des fermetures non résolues.

La question pertinente est de savoir si toutes les conditions requises sont réunies simultanément. Un véhicule peut se trouver géographiquement dans sa zone de service tout en étant hors de son ODD parce que la visibilité, l’état de la route ou celui des capteurs a changé.

C’est pourquoi un ODD doit être décrit par des attributs vérifiables plutôt que par des expressions comme « la plupart des routes » ou « des conditions météo normales ».

Trois configurations de domaine différentes

Niveau 2 grand public

Une fonction de niveau 2 peut être utilisable sur un vaste réseau routier. L’humain surveille l’environnement et peut compenser de nombreuses limites ; la fonction peut donc demander une intervention immédiate.

Cette large disponibilité ne la rend pas autonome. L’humain fait partie du concept d’exploitation.

Niveau 3 de série

Les fonctions actuelles de niveau 3 utilisent des domaines autoroutiers étroitement délimités. Les limites peuvent porter sur les pays homologués, les routes séparées, la vitesse, la présence de trafic devant le véhicule, la météo, l’éclairage, les zones de travaux et la disponibilité d’un utilisateur prêt à reprendre le contrôle.

Ce domaine plus étroit réduit la diversité des situations que le système de conduite automatisée doit gérer et rend les conditions de transition plus prévisibles.

Service de flotte de niveau 4

Un robotaxi peut se passer de conducteur humain dans une zone de service cartographiée, car le système d’exploitation complet comprend davantage que le véhicule. Cartographie, répartition, entretien de la flotte, recharge, nettoyage des capteurs, assistance à distance, réaction aux incidents et procédures locales d’exploitation soutiennent le domaine.

Étendre un service de niveau 4 signifie donc valider un nouveau domaine et ses opérations. Copier le même logiciel dans une autre ville ne suffit pas.

Détection du domaine et sortie

Le système doit savoir s’il se trouve dans son ODD et si une limite approche. Cela exige des éléments en temps réel, pas seulement une coordonnée cartographique.

La surveillance du domaine peut exploiter la classification de la route, la confiance dans la localisation, la vitesse, les données météorologiques, la perception embarquée, la qualité des voies, le diagnostic des capteurs et l’état du véhicule. Le système a besoin de marges pour pouvoir réagir avant qu’une condition ne devienne dangereuse.

Au niveau 2, quitter les conditions prises en charge signifie que le conducteur doit reprendre le contrôle total. Au niveau 3, le système peut demander l’intervention de l’utilisateur prêt à reprendre le contrôle et doit réduire le risque si celui-ci n’obtempère pas. Au niveau 4, il doit atteindre une condition de risque minimal sans dépendre d’un conducteur.

Une condition de risque minimal dépend du contexte. Elle peut consister à s’arrêter dans un refuge sûr, à se ranger sur le côté, à terminer une manœuvre à basse vitesse ou à s’immobiliser sur la voie si aucune option plus sûre n’existe. L’« arrêt sûr » ne doit pas être considéré comme un comportement universel.

Le géorepérage n’est qu’un élément

Une zone géorepérée est une limite géographique. Un ODD est plus large. Il comprend également des conditions dynamiques comme la météo, la visibilité, la circulation et les travaux routiers.

Les cartes HD peuvent coder la géométrie des voies, la signalisation et la structure routière attendue, mais elles vieillissent. Travaux, fermetures et panneaux temporaires peuvent rendre la situation réelle différente de sa représentation enregistrée. Un véhicule automatisé doit concilier les informations cartographiques avec la perception embarquée et les mises à jour opérationnelles.

L’assistance à distance peut fournir des informations contextuelles lorsqu’un véhicule sans conducteur rencontre une situation inhabituelle. Elle ne modifie pas le rôle de niveau 4 si la personne distante n’exécute pas continuellement la tâche de conduite. La distinction entre assistance à distance et conduite à distance doit être explicite.

Comment comparer les domaines

Pour les acheteurs et les décideurs publics, la couverture d’un domaine doit être exprimée en conditions, et non par un simple nombre de kilomètres cartographiés. La quantité de routes dit peu de choses sur :

la fréquence à laquelle la fonction est réellement disponible ;
son fonctionnement dans l’obscurité ou sous les précipitations ;
les intersections, travaux et changements de voie qu’elle prend en charge ;
la plage de vitesses ;
sa gestion de l’obstruction des capteurs ou de la perte de localisation ; et
ce qui se produit à la limite.

La meilleure documentation produit rend les conditions de disponibilité et de sortie visibles avant l’achat et sans équivoque pendant la conduite. Si le conducteur ne peut pas expliquer quand le système se désactivera, le domaine n’a pas été suffisamment bien communiqué.