Domínio de projeto operacional: o limite da automação
Um domínio de projeto operacional, ou ODD, é o conjunto completo de condições viárias, geográficas, de velocidade, ambientais, de trânsito e de outros tipos para as quais um recurso de condução automatizada foi projetado. Nenhuma afirmação sobre os níveis 2, 3 ou 4 faz sentido sem esse limite.
O que um ODD contém
A ISO 34503 fornece uma taxonomia para definir o ODD de sistemas de condução automatizada. Uma descrição útil pode incluir:
- Geografia: país, cidade, área de serviço, geocerca ou malha viária aprovada.
- Estrutura viária: rodovia, via com pistas separadas, rua urbana, rota fixa, estacionamento, faixas e tipos de cruzamentos.
- Velocidade: velocidade do veículo compatível e condições relevantes da velocidade do trânsito.
- Ambiente: chuva, neve, neblina, temperatura, estado do pavimento, luz do dia e visibilidade.
- Trânsito: congestionamento, usuários vulneráveis da via, trânsito em sentido contrário ou restrições de acesso.
- Infraestrutura: marcações viárias, placas, barreiras, zonas de obras, túneis, pedágios e pressupostos de conectividade.
- Estado do veículo: limpeza dos sensores, condição dos pneus, qualidade da localização e sistemas de contingência disponíveis.
A lista é específica de cada recurso. Um sistema para congestionamentos em rodovias e um robotáxi urbano enfrentam condições diferentes e precisam de definições de domínio distintas.
O domínio é multidimensional
Um recurso não tem um único limite simples de alcance. Pode ser aprovado em uma rodovia, mas não em uma zona de obras; à noite, mas não sob chuva forte; abaixo de certa velocidade com o trânsito fluindo, mas não em uma fila parada; ou em uma região mapeada, exceto em vias com bloqueios ainda não resolvidos.
A pergunta relevante é se todas as condições necessárias são atendidas ao mesmo tempo. Um veículo pode estar geograficamente dentro de sua área de serviço e, ainda assim, fora de seu ODD porque mudaram a visibilidade, o estado da via ou o funcionamento dos sensores.
Por isso, um ODD deve ser descrito com atributos que possam ser testados, e não com expressões como “a maioria das vias” ou “condições meteorológicas normais”.
Três padrões de domínio diferentes
Nível 2 para consumidores
Um recurso de nível 2 pode ser usado em uma ampla malha viária. A pessoa monitora o ambiente e consegue compensar muitas limitações, por isso o recurso pode solicitar uma intervenção imediata.
Essa ampla disponibilidade não o torna autônomo. A pessoa faz parte do conceito operacional.
Nível 3 de produção
Os recursos atuais de nível 3 usam domínios rodoviários estritamente delimitados. Os limites podem incluir países aprovados, pistas separadas, velocidade, trânsito à frente, condições meteorológicas, iluminação, zonas de obras e disponibilidade de um usuário preparado para reassumir o controle.
O domínio mais restrito reduz a variedade de situações que o sistema de condução automatizada precisa administrar e torna mais previsíveis as condições de transição.
Serviço de frota de nível 4
Um robotáxi pode dispensar o motorista humano dentro de uma área de serviço mapeada porque o sistema operacional completo inclui mais do que o veículo. Mapeamento, despacho, manutenção da frota, recarga, limpeza dos sensores, assistência remota, resposta a incidentes e procedimentos operacionais locais dão suporte ao domínio.
Portanto, ampliar um serviço de nível 4 significa validar um novo domínio e suas operações. Não basta copiar o mesmo software para outra cidade.
Detecção e saída do domínio
O sistema precisa saber se está dentro de seu ODD e se um limite está se aproximando. Para isso, são necessários dados em tempo real, e não apenas uma coordenada do mapa.
O monitoramento do domínio pode usar classificação da via, confiança na localização, velocidade, dados meteorológicos, percepção a bordo, qualidade das faixas, diagnóstico dos sensores e estado do veículo. O sistema precisa de margens para poder reagir antes que uma condição se torne insegura.
No nível 2, sair das condições compatíveis significa que o motorista precisa reassumir o controle total. No nível 3, o sistema pode solicitar a intervenção do usuário preparado para reassumir o controle e precisa de uma resposta de redução de risco se ele não atender. No nível 4, precisa alcançar uma condição de risco mínimo sem depender de um motorista.
Uma condição de risco mínimo depende do contexto. Pode significar parar em um refúgio seguro, encostar, concluir uma manobra em baixa velocidade ou parar na faixa quando não houver opção mais segura. A “parada segura” não deve ser tratada como um comportamento universal.
A geocerca é apenas uma parte
Uma geocerca é um limite geográfico. Um ODD é mais amplo. Ele também inclui condições dinâmicas, como clima, visibilidade, trânsito e obras viárias.
Mapas HD podem codificar a geometria das faixas, os controles de trânsito e a estrutura viária esperada, mas envelhecem. Obras, bloqueios e sinalização temporária podem fazer com que a situação real seja diferente da representação armazenada. Um veículo automatizado precisa conciliar as informações do mapa com a percepção a bordo e as atualizações operacionais.
A assistência remota pode fornecer informações contextuais quando um veículo sem motorista encontra uma situação incomum. Ela não altera o papel de nível 4 se a pessoa remota não executar continuamente a tarefa de condução. A diferença entre assistência remota e condução remota deve ser explícita.
Como comparar domínios
Para compradores e formuladores de políticas, a cobertura do domínio deve ser expressa como condições, e não como um único número de quilômetros mapeados. A quantidade de vias diz pouco sobre:
- a frequência com que o recurso está realmente disponível;
- se ele funciona no escuro ou sob precipitação;
- quais cruzamentos, obras e mudanças de faixa ele admite;
- a faixa de velocidades;
- como lida com sensores bloqueados ou perda de localização; e
- o que acontece no limite.
A melhor documentação do produto torna as condições de disponibilidade e saída visíveis antes da compra e inequívocas durante a condução. Se o motorista não conseguir explicar quando o sistema será desativado, o domínio não foi comunicado com clareza suficiente.