Dominio di progettazione operativa: il confine dell’automazione
Un dominio di progettazione operativa, o ODD, è l’insieme completo delle condizioni stradali, geografiche, di velocità, ambientali, di traffico e di altro tipo per le quali una funzione di guida automatizzata è progettata. Nessuna affermazione sui livelli 2, 3 o 4 è significativa senza tale confine.
Che cosa contiene un ODD
ISO 34503 fornisce una tassonomia per definire l’ODD dei sistemi di guida automatizzata. Una descrizione utile può comprendere:
- Geografia: Paese, città, area di servizio, geofence o rete stradale approvata.
- Struttura stradale: autostrada, carreggiata separata, strada urbana, percorso fisso, parcheggio, corsie e tipi di incrocio.
- Velocità: velocità del veicolo supportata e condizioni pertinenti della velocità del traffico.
- Ambiente: pioggia, neve, nebbia, temperatura, stato del manto stradale, luce diurna e visibilità.
- Traffico: congestione, utenti vulnerabili della strada, traffico proveniente in senso opposto o limitazioni di accesso.
- Infrastruttura: segnaletica orizzontale, cartelli, barriere, cantieri, gallerie, caselli e presupposti di connettività.
- Stato del veicolo: pulizia dei sensori, condizioni degli pneumatici, qualità della localizzazione e sistemi di ripiego disponibili.
L’elenco dipende dalla funzione. Un sistema autostradale per il traffico congestionato e un robotaxi urbano affrontano condizioni diverse e richiedono definizioni di dominio differenti.
Il dominio è multidimensionale
Una funzione non ha un unico semplice limite di portata. Può essere approvata in autostrada ma non attraverso un cantiere; di notte ma non sotto una forte pioggia; al di sotto di una certa velocità nel traffico scorrevole ma non in una coda ferma; oppure in un quartiere mappato, tranne che sulle strade con chiusure non risolte.
La domanda pertinente è se tutte le condizioni richieste sono soddisfatte contemporaneamente. Un veicolo può trovarsi geograficamente entro la propria area di servizio ed essere comunque fuori dal suo ODD perché sono cambiate la visibilità, le condizioni della strada o l’efficienza dei sensori.
Per questo un ODD dovrebbe essere descritto mediante attributi verificabili, non con espressioni come «la maggior parte delle strade» o «condizioni meteorologiche normali».
Tre diversi modelli di dominio
Livello 2 per i consumatori
Una funzione di livello 2 può essere utilizzabile su un’ampia rete stradale. La persona monitora l’ambiente e può compensare molte limitazioni, quindi la funzione può richiedere un intervento immediato.
Questa ampia disponibilità non la rende autonoma. La persona fa parte del concetto operativo.
Livello 3 di produzione
Le attuali funzioni di livello 3 utilizzano domini autostradali strettamente delimitati. I limiti possono comprendere Paesi approvati, carreggiate separate, velocità, traffico antistante, condizioni meteorologiche, illuminazione, cantieri e disponibilità di un utente pronto a riprendere il controllo.
Il dominio più ristretto riduce la varietà di situazioni che il sistema di guida automatizzata deve gestire e rende più prevedibili le condizioni di transizione.
Servizio di flotta di livello 4
Un robotaxi può fare a meno del conducente umano entro un’area di servizio mappata perché il sistema operativo completo comprende più del veicolo. Mappatura, gestione delle corse, manutenzione della flotta, ricarica, pulizia dei sensori, assistenza remota, risposta agli incidenti e procedure operative locali sostengono il dominio.
Estendere un servizio di livello 4 significa quindi convalidare un nuovo dominio e le sue operazioni. Non basta copiare lo stesso software in un’altra città.
Rilevamento e uscita dal dominio
Il sistema deve sapere se si trova entro il proprio ODD e se si sta avvicinando a un limite. Sono necessari dati in tempo reale, non solo una coordinata sulla mappa.
Il monitoraggio del dominio può utilizzare la classificazione stradale, l’affidabilità della localizzazione, la velocità, i dati meteorologici, la percezione di bordo, la qualità delle corsie, la diagnostica dei sensori e lo stato del veicolo. Il sistema necessita di margini per poter reagire prima che una condizione diventi pericolosa.
Al livello 2, uscire dalle condizioni supportate significa che il conducente deve riprendere il pieno controllo. Al livello 3, il sistema può richiedere l’intervento dell’utente pronto a riprendere il controllo e necessita di una risposta di riduzione del rischio se l’utente non interviene. Al livello 4, deve raggiungere una condizione di rischio minimo senza dipendere da un conducente.
Una condizione di rischio minimo dipende dal contesto. Può significare fermarsi in un rifugio sicuro, accostare, completare una manovra a bassa velocità o fermarsi nella corsia quando non esistono alternative più sicure. L’«arresto sicuro» non dovrebbe essere considerato un comportamento universale.
Il geofencing è solo una parte
Un geofence è un confine geografico. Un ODD è più ampio. Comprende anche condizioni dinamiche come meteo, visibilità, traffico e lavori stradali.
Le mappe HD possono codificare la geometria delle corsie, le regole del traffico e la struttura stradale prevista, ma invecchiano. Cantieri, chiusure e segnali temporanei possono rendere la situazione reale diversa dalla rappresentazione memorizzata. Un veicolo automatizzato deve conciliare le informazioni della mappa con la percezione di bordo e gli aggiornamenti operativi.
L’assistenza remota può fornire informazioni contestuali quando un veicolo senza conducente incontra una situazione insolita. Non modifica il ruolo di livello 4 se la persona remota non esegue continuamente il compito di guida. La distinzione tra assistenza remota e guida remota dovrebbe essere esplicita.
Come confrontare i domini
Per acquirenti e responsabili politici, la copertura del dominio dovrebbe essere espressa come condizioni, non come un unico numero di chilometri mappati. La quantità di strade dice poco su:
- quanto spesso la funzione sia realmente disponibile;
- se funzioni al buio o con precipitazioni;
- quali incroci, cantieri e cambi di corsia supporti;
- l’intervallo di velocità;
- come gestisca sensori ostruiti o perdita di localizzazione; e
- che cosa accada al confine.
La migliore documentazione del prodotto rende le condizioni di disponibilità e uscita visibili prima dell’acquisto e inequivocabili durante la guida. Se il conducente non sa spiegare quando il sistema si disattiverà, il dominio non è stato comunicato abbastanza bene.