Operational design domain: de grens van automatisering

Een operational design domain, of ODD, is de volledige verzameling weg-, geografische, snelheids-, omgevings-, verkeers- en andere omstandigheden waarvoor een geautomatiseerde rijfunctie is ontworpen. Geen enkele bewering over niveau 2, niveau 3 of niveau 4 is zinvol zonder die begrenzing.

Wat een ODD omvat

ISO 34503 biedt een taxonomie voor het definiëren van een ODD voor geautomatiseerde rijsystemen. Een bruikbare beschrijving kan het volgende omvatten:

Geografie: land, stad, servicegebied, geofence of goedgekeurd wegennet.
Wegstructuur: autosnelweg, weg met gescheiden rijbanen, stadsstraat, vaste route, parkeerterrein, rijstroken en kruispunttypen.
Snelheid: ondersteunde voertuigsnelheid en relevante omstandigheden van de verkeerssnelheid.
Omgeving: regen, sneeuw, mist, temperatuur, toestand van het wegdek, daglicht en zicht.
Verkeer: congestie, kwetsbare weggebruikers, tegemoetkomend verkeer of toegangsbeperkingen.
Infrastructuur: rijstrookmarkeringen, borden, barrières, wegwerkzaamheden, tunnels, tolpoorten en aannamen over connectiviteit.
Voertuigstatus: reinheid van sensoren, staat van de banden, kwaliteit van de lokalisatie en beschikbare terugvalsystemen.

De lijst is functiespecifiek. Een autosnelwegsysteem voor files en een stedelijke robotaxi worden met andere omstandigheden geconfronteerd en hebben andere domeindefinities nodig.

Het domein is multidimensionaal

Een functie heeft niet één eenvoudige bereikgrens. Ze kan op een autosnelweg zijn goedgekeurd, maar niet door een werkzone; ’s nachts, maar niet bij zware regen; onder een bepaalde snelheid in doorstromend verkeer, maar niet in een stilstaande rij; of in een in kaart gebracht gebied, behalve op wegen met nog niet opgeloste afsluitingen.

De relevante vraag is of alle vereiste voorwaarden tegelijkertijd gelden. Een voertuig kan zich geografisch binnen zijn servicegebied bevinden en toch buiten zijn ODD vallen omdat het zicht, de toestand van de weg of de werking van de sensoren is veranderd.

Daarom moet een ODD worden beschreven met toetsbare kenmerken, niet met termen als ‘de meeste wegen’ of ‘normaal weer’.

Drie verschillende domeinpatronen

Niveau 2 voor consumenten

Een functie van niveau 2 kan op een uitgebreid wegennet bruikbaar zijn. De mens bewaakt de omgeving en kan veel beperkingen compenseren, zodat de functie om onmiddellijke interventie kan vragen.

Die brede beschikbaarheid maakt haar niet autonoom. De mens maakt deel uit van het operationele concept.

Productieniveau 3

Huidige functies van niveau 3 gebruiken strikt begrensde autosnelwegdomeinen. De beperkingen kunnen goedgekeurde landen, gescheiden rijbanen, snelheid, voorliggend verkeer, weer, verlichting, wegwerkzaamheden en de beschikbaarheid van een overnamebereide gebruiker omvatten.

Het smallere domein beperkt de verscheidenheid aan situaties die het geautomatiseerde rijsysteem moet verwerken en maakt de overgangsvoorwaarden voorspelbaarder.

Vlootdienst van niveau 4

Een robotaxi kan binnen een in kaart gebracht servicegebied zonder menselijke bestuurder werken, omdat het volledige besturingssysteem meer dan het voertuig omvat. Kartering, dispatching, vlootonderhoud, laden, sensorreiniging, ondersteuning op afstand, incidentrespons en lokale bedrijfsprocedures ondersteunen het domein.

Een dienst van niveau 4 uitbreiden betekent daarom dat een nieuw domein en de activiteiten daarin moeten worden gevalideerd. Dezelfde software naar een andere stad kopiëren is niet voldoende.

Domeindetectie en verlaten van het domein

Het systeem moet weten of het zich binnen zijn ODD bevindt en of er een grens nadert. Dat vereist actuele gegevens, niet alleen een kaartcoördinaat.

Domeinbewaking kan gebruikmaken van wegclassificatie, betrouwbaarheid van de lokalisatie, snelheid, weergegevens, waarneming aan boord, rijstrookkwaliteit, sensordiagnostiek en voertuigstatus. Het systeem heeft marges nodig om te kunnen reageren voordat een toestand onveilig wordt.

Op niveau 2 betekent het verlaten van de ondersteunde omstandigheden dat de bestuurder de volledige controle moet hervatten. Op niveau 3 kan het systeem de overnamebereide gebruiker vragen in te grijpen en heeft het een risicobeperkende reactie nodig als die gebruiker dat niet doet. Op niveau 4 moet het een toestand met minimaal risico bereiken zonder afhankelijk te zijn van een bestuurder.

Een toestand met minimaal risico is afhankelijk van de context. Dit kan betekenen dat het voertuig op een veilige uitwijkplaats stopt, naar de kant gaat, een manoeuvre met lage snelheid voltooit of op de rijstrook stopt wanneer er geen veiliger alternatief is. Een ‘veilige stop’ mag niet als één universele gedraging worden beschouwd.

Geofencing is slechts één onderdeel

Een geofence is een geografische grens. Een ODD is breder. Het omvat ook dynamische omstandigheden zoals weer, zicht, verkeer en wegwerkzaamheden.

HD-kaarten kunnen rijstrookgeometrie, verkeersregels en de verwachte wegstructuur coderen, maar kaarten verouderen. Werkzaamheden, afsluitingen en tijdelijke borden kunnen de werkelijke situatie doen afwijken van de opgeslagen weergave. Een geautomatiseerd voertuig moet kaartinformatie afstemmen op waarneming aan boord en operationele updates.

Ondersteuning op afstand kan contextuele informatie geven wanneer een voertuig zonder bestuurder een ongebruikelijke situatie tegenkomt. Dit verandert de niveau 4-rol niet als de persoon op afstand niet voortdurend de rijtaak uitvoert. Het onderscheid tussen ondersteuning op afstand en besturing op afstand moet expliciet zijn.

Domeinen vergelijken

Voor kopers en beleidsmakers moet de domeindekking worden uitgedrukt als voorwaarden, niet als één aantal in kaart gebrachte kilometers. De hoeveelheid wegen zegt weinig over:

hoe vaak de functie werkelijk beschikbaar is;
of ze werkt in het donker of bij neerslag;
welke kruispunten, wegwerkzaamheden en rijstrookwisselingen ze ondersteunt;
het snelheidsbereik;
hoe ze omgaat met geblokkeerde sensoren of verlies van lokalisatie; en
wat er aan de grens gebeurt.

De beste productdocumentatie maakt de voorwaarden voor beschikbaarheid en afsluiting vóór aankoop zichtbaar en tijdens het rijden ondubbelzinnig. Als de bestuurder niet kan uitleggen wanneer het systeem wordt uitgeschakeld, is het domein niet duidelijk genoeg gecommuniceerd.