自动驾驶TPM技术杂谈 ———— ODD&ODC

介绍

  设计运行范围 —— Operational Design Domain（ODD）。驾驶自动化系统设计时确定的适用于其功能运行的外部环境条件。
 设计运行条件 —— Operational Design Condition（ODC）。驾驶自动化系统设计时确定的适用于其功能运行的各类条件的总称，包括设
计运行范围、车辆状态、驾乘人员状态及其他必要条件。
 如下图所示，ODC 是ODD 的超集，在ODD 条件的基础上进一步增加自动驾驶安全启动和运行的内部条件，如驾乘人员状态、车辆状态和其他必要条件。对ODC 中ODD、驾乘人员状态、车辆状态的必要性分析如下：

   1. ODD：自动驾驶系统安全启动和运行的外部环境条件。不同自动驾驶系统启动、运行的外部适用范围不一样：如高速下的自动驾驶系统，A 系统只能在白天启动和运行，B 系统能够在白天和晴朗的夜晚启动和运行。
   2. 驾乘人员状态：驾乘人员包括驾驶员/动态驾驶任务后援用户和乘客。为使自动驾驶系统及时被接管，需要对动态驾驶任务后援用户进行监测，要求动态驾驶任务后援用户的状态满足接管的条件，如不存在疲劳、酒驾等状态；为使驾乘人员满足基本的安全要求，需要对驾乘人员进行监测，如安全带监测；为使自动驾驶系统能够安全运行，需要对乘客抢夺自动驾驶设备的行为进行监测。
   3. 车辆状态：包括车辆速度和功能状态。车辆速度包括激活速度范围，通过激活速度范围判断此刻自动驾驶系统是否能够被激活。另一方面，自动驾驶系统启动、运行的前提条件之一是车辆状态能够达到自动驾驶系统的安全启动和运行的要求。如高速下的自动驾驶系统需要具备功能自检能力，并在启动前需要进行功能自检，要求感知功能状态、定位功能状态和计算功能状态等满足系统设计要求。
 综上所述，只有当上述ODD、驾乘人员状态、车辆状态等全部条件都满足的时候自动驾驶系统才能正常启动和安全运行。相反，欠缺任何一个前提条件，该自动驾驶系统都有可能无法启动或者无法安全运行（包括运行时功能降级），或者导致动态驾驶任务后援用户因接管不及时而造成危险。

研究现状

主流相关定义

国标定义

 设计运行条件 —— Operational Design Condition。驾驶自动化系统设计时确定的适用于其功能运行的各类条件的总称，包括设计运行范围、驾乘人员状态及其他必要条件。
 设计运行范围 —— Operational Design Domain。驾驶自动化系统设计时确定适用于其功能运行的外部环境条件。典型的外部环境条件有道路、交通、天气、光照等。

SAE定义

 设计运行范围 —— Operational Design Domain。特定的驾驶自动化系统或其功能的运行条件，包括但不限于环境、地理和时间限制，以及拥有特定条件的交通或道路。

WP29定义

 设计运行条件 —— Operational Design Condition。自动驾驶系统可以工作的所有设计条件，包括但不限于设计运行范围、车辆状态、驾驶员和乘客状态。ODD 为车辆的外部环境条件。

ODD主流构建框架

NHTSA ODD构建框架

 美国运输部国家公路交通安全管理局（National Highway Traffic Safety Administration，以下简称NHTSA）对ODD 的分类框架和应用方法进行了系统的介绍。NHTSA 对ODD 的定义为：自动驾驶系统可以设计运行的操作范围，包括道路类型、速度范围、光照条件、天气条件和其他相关的运行约束。NHTSA 的ODD 分类法通过结构化的方法定义自动驾驶系统的ODD，如图所示。NHTSA 将ODD 进一步分为六大构建要素：基础设施（Physical Infrastructure)、驾驶操作限制（Operational Constraints ）、周边物体（Objects） 、连接性（Connectivity）、环境条件（Environmental Conditions） 和区域（Zones）。

SAE AVSC ODD构建框架

 SAE 工业技术协会（SAE Industry Technologies Consortia, SAE ITC）的自动车辆安全协会（Automated Vehicle Safety Consortium, AVSC）为开发人员和企业定义自动驾驶系统的ODD。SAE AVSC 关于ODD 的定义主要参考SAE J3016, 同时该最佳实践通过概念框架和词典文档建立了ODD 通用术语及框架。ODD 主要由以下7 个维度构成： 天气相关的环境条件（Weather-Related Environmental Conditions）、道路表面条件（Road Surface Conditions）、道路设施（Roadway Infrastructure）、操作限制（Operational Constraints）、道路使用者（Road Users）、非静止的道路目标（Non-static Roadside Objects） 和连接性（Connectivity）。

PEGASUS 6层模型

 PEGASUS 项目的目标是“为高度自动驾驶功能建立通用的质量标准、工具和方法、场景和情景”，如图所示。

 PEGASUS 研究小组使用六层模型确定场景中与ODD 有关元素，六层模型具体内容如下所示：
   1. 道路：几何结构，路面质量、边界（路面）；
   2. 基础设施：边界（结构），标志牌、信号灯等；
   3. 暂时性操纵：道路的临时性设施，如临时封路、道路施工现场等；
   4. 目标物：交通参与者状态、行为等；
   5. 自然环境：天气、光照等其他环境信息；
   6. 数字信息：数字信息，如V2X 信息、数字地图信息等。

BSI ODD构建框架

 英国标准协会（British Standards Institution，BSI）在2020 年8 月发布一项新的标准规范PAS 1883:2020《自动驾驶系统(ADS)的运行设计范围（ODD）分类标准规范Operational Design Domain (ODD) taxonomy for an automated driving system (ADS) – Specification》。该标准提供了为实现自动驾驶系统的安全运行而定义的ODD 最低层分类法的要求，其中ODD 的定义主要引用SAE J3016 标准中ODD 的定义。该规范的ODD 顶层分类，ODD 主要分为“静态场景Scenery”、“环境条件Environmental Conditions”和“动态元素Dynamic Elements”。

设计运行条件的原则

ODC 的设计原则

 ODC 为设计时确定的自动驾驶系统可以安全启动和运行的所有条件。不同企业的ODC 元素和设计方案并不完全一致，因此在ODC 设计时需要考虑如下原则：
   1. ODC应为OEM满足最低安全要求所定义的最小元素集合。并允许用户、测试机构和监管机构在其使用中参考ODC 最小元素集合的条件要求。
   2. 不同的利益相关者可能会使用不同的详细程度来制定其ODC。同时，ODC最小元素集合允许利益相关者添加新层级进行横向扩展，或将更多元素信息添加到现有层级中进行纵向扩展。

ODC 元素的制定原则

 ODC 指设计时确定的自动驾驶系统可以安全启动和运行的所有条件，包括 ODD、驾乘人员状态、车辆状态以及其他必要条件。在制定ODC 元素时需要分别可考虑以下原则：
   1. ODD：在制定自动驾驶系统运行的外部环境时，需要考虑自动驾驶系统能够实时获取的信息，以使自动驾驶系统能够识别ODD 范围及限制。ODD 元素可以通过自动驾驶传感器等实时感知，也可以通过V2X、高精地图等形式获得。
   2. 驾乘人员状态：动态驾驶任务后援用户需要达到及时接管的条件状态，；另一方面，需要在驾乘人员足够安全这个前提条件下，才能开启和运行自动驾驶系统。OEM在对驾乘人员状态进行描述时可采取不同的策略，如L3 自动驾驶系统需要对动态驾驶任务接管用户状态进行说明；L4 自动驾驶系统在设计为搭载乘客时需要对乘客状态进行说明，在设计为非搭载乘客时则无需对驾乘人员状态进行说明，可用NA 进行表示。
   3. 车辆状态：包括激活速度范围和功能状态，其中激活速度范围为自动驾驶系统能够开启的速度，通过识别车辆是否达到激活速度范围来判断车辆是否能够开启。功能状态为自动驾驶系统启动和运行时与自动驾驶功能相关的状态。车辆自检时的信息可以声觉、视觉、触觉等任意一种或以上形式向用户传达，以自动驾驶系统理解的形式向系统传达。

ODC 的使用原则

 如上所述，OEM可通过定义ODC 最小元素集合来说明