Domínio de conceção operacional: o limite da automatização
Um domínio de conceção operacional, ou ODD, é o conjunto completo de condições rodoviárias, geográficas, de velocidade, ambientais, de trânsito e outras para as quais uma função de condução automatizada foi concebida. Nenhuma afirmação sobre os níveis 2, 3 ou 4 é significativa sem esse limite.
O que contém um ODD
A ISO 34503 fornece uma taxonomia para definir o ODD dos sistemas de condução automatizada. Uma descrição útil pode incluir:
- Geografia: país, cidade, área de serviço, geocerca ou rede rodoviária aprovada.
- Estrutura rodoviária: autoestrada, via com faixas de rodagem separadas, rua urbana, trajeto fixo, parque de estacionamento, faixas e tipos de cruzamentos.
- Velocidade: velocidade do veículo suportada e condições relevantes da velocidade do trânsito.
- Ambiente: chuva, neve, nevoeiro, temperatura, estado da superfície da estrada, luz diurna e visibilidade.
- Trânsito: congestionamento, utilizadores vulneráveis da estrada, trânsito em sentido contrário ou restrições de acesso.
- Infraestrutura: marcações rodoviárias, sinais, barreiras, zonas de obras, túneis, portagens e pressupostos de conectividade.
- Estado do veículo: limpeza dos sensores, estado dos pneus, qualidade da localização e sistemas de recurso disponíveis.
A lista é específica de cada função. Um sistema para congestionamentos em autoestrada e um robotáxi urbano enfrentam condições diferentes e precisam de definições de domínio distintas.
O domínio é multidimensional
Uma função não tem um único limite simples de alcance. Pode estar aprovada numa autoestrada, mas não numa zona de obras; à noite, mas não com chuva forte; abaixo de determinada velocidade em trânsito fluido, mas não numa fila parada; ou num bairro cartografado, exceto nas estradas com encerramentos por resolver.
A questão relevante é saber se todas as condições exigidas se verificam simultaneamente. Um veículo pode estar geograficamente dentro da sua área de serviço e, mesmo assim, fora do seu ODD porque a visibilidade, o estado da estrada ou o funcionamento dos sensores se alteraram.
É por isso que um ODD deve ser descrito através de atributos verificáveis, e não por expressões como «a maioria das estradas» ou «condições meteorológicas normais».
Três padrões de domínio diferentes
Nível 2 para consumidores
Uma função de nível 2 pode ser utilizada numa rede rodoviária vasta. A pessoa monitoriza o ambiente e consegue compensar muitas limitações, pelo que a função pode solicitar uma intervenção imediata.
Essa grande disponibilidade não a torna autónoma. A pessoa faz parte do conceito operacional.
Nível 3 de produção
As atuais funções de nível 3 utilizam domínios de autoestrada estritamente delimitados. Os limites podem incluir países aprovados, vias com faixas de rodagem separadas, velocidade, trânsito à frente, condições meteorológicas, iluminação, zonas de obras e disponibilidade de um utilizador preparado para retomar o controlo.
O domínio mais restrito reduz a variedade de situações que o sistema de condução automatizada tem de gerir e torna mais previsíveis as condições de transição.
Serviço de frota de nível 4
Um robotáxi pode dispensar o condutor humano dentro de uma área de serviço cartografada porque o sistema operacional completo inclui mais do que o veículo. Cartografia, despacho, manutenção da frota, carregamento, limpeza de sensores, assistência remota, resposta a incidentes e procedimentos operacionais locais apoiam o domínio.
Expandir um serviço de nível 4 significa, portanto, validar um novo domínio e as respetivas operações. Não basta copiar o mesmo software para outra cidade.
Deteção e saída do domínio
O sistema tem de saber se está dentro do seu ODD e se um limite se aproxima. Para isso, são necessários dados em tempo real, não apenas uma coordenada do mapa.
A monitorização do domínio pode utilizar a classificação da estrada, a confiança na localização, a velocidade, dados meteorológicos, perceção a bordo, qualidade das faixas, diagnóstico dos sensores e estado do veículo. O sistema precisa de margens para poder reagir antes de uma condição se tornar insegura.
No nível 2, sair das condições suportadas significa que o condutor tem de retomar o controlo total. No nível 3, o sistema pode pedir a intervenção do utilizador preparado para retomar o controlo e precisa de uma resposta de redução do risco se este não o fizer. No nível 4, tem de alcançar uma condição de risco mínimo sem depender de um condutor.
Uma condição de risco mínimo depende do contexto. Pode significar parar num refúgio seguro, encostar, concluir uma manobra a baixa velocidade ou parar na faixa quando não existe uma opção mais segura. A «paragem segura» não deve ser tratada como um comportamento universal.
A geocerca é apenas uma parte
Uma geocerca é um limite geográfico. Um ODD é mais abrangente. Também inclui condições dinâmicas como condições meteorológicas, visibilidade, trânsito e obras rodoviárias.
Os mapas HD podem codificar a geometria das faixas, os controlos de trânsito e a estrutura rodoviária esperada, mas envelhecem. Obras, encerramentos e sinalização temporária podem tornar a situação real diferente da representação guardada. Um veículo automatizado tem de conciliar as informações do mapa com a perceção a bordo e as atualizações operacionais.
A assistência remota pode fornecer informações contextuais quando um veículo sem condutor encontra uma situação invulgar. Não altera o papel de nível 4 se a pessoa remota não executar continuamente a tarefa de condução. A diferença entre assistência remota e condução remota deve ser explícita.
Como comparar domínios
Para compradores e decisores políticos, a cobertura do domínio deve ser expressa como condições, não como um único número de quilómetros cartografados. A quantidade de estradas pouco revela sobre:
- a frequência com que a função está realmente disponível;
- se funciona no escuro ou com precipitação;
- que cruzamentos, obras e mudanças de faixa suporta;
- o intervalo de velocidades;
- como lida com sensores obstruídos ou perda de localização; e
- o que acontece no limite.
A melhor documentação do produto torna as condições de disponibilidade e saída visíveis antes da compra e inequívocas durante a condução. Se o condutor não conseguir explicar quando o sistema se desativa, o domínio não foi comunicado com clareza suficiente.