[首發(fā)于智駕最前沿微信公眾號]為確定自動駕駛的可使用范圍，會給自動駕駛設(shè)置一個運(yùn)行設(shè)計域（Operational Design Domain，ODD）。ODD的作用就是用來明確自動駕駛在什么情況下能工作，在什么情況下不能工作，給車設(shè)定“工作范圍”。

這個范圍可以包括天氣、路型、時間、地理區(qū)域、交通狀況、道路標(biāo)線是否完好等明確的條件。明確這些條件可以讓工程師知道系統(tǒng)的最大能力在哪里，便于測試和改進(jìn)；還能讓用戶、監(jiān)管方和應(yīng)急人員知道車在什么情況下會要求人工接管或降級停車，可以在需要接管時有心理準(zhǔn)備。

怎么確認(rèn)一個自動駕駛系統(tǒng)的ODD

自動駕駛汽車的ODD并不是由工程師直接劃定一個范圍就可以確定，需要依托自動駕駛系統(tǒng)的能力來決定。自動駕駛系統(tǒng)的關(guān)鍵能力來自傳感器、感知算法、定位/地圖、決策與控制。

確認(rèn)ODD的第一步是把這些能力用能量化的方式說清楚，傳感器在雨天或夜晚的有效探測距離是多少，定位在路邊沒有高精地圖時的精度是多少，急剎時車輛需要的最短制動距離是多少，決策模塊在復(fù)雜路口需要多長時間作出安全判斷，等等都是量化的指標(biāo)。

這些技術(shù)參數(shù)一旦明確，就能將“在什么情況下能開”轉(zhuǎn)換成具體的外部條件，從而可以明確能見度小于多少米就不能自動駕駛、路面積雪深度超過多少就必須降級等具體的要求。

ODD還要明確如是否必須在封閉細(xì)分的測試道路運(yùn)行，是否需要隨車安全員，是否只允許白天運(yùn)營等具體的運(yùn)營要求。更要把超出ODD時怎么辦寫清楚，是馬上提示駕駛員接管、還是自動找安全地點(diǎn)停車、亦或是降速并等待遠(yuǎn)程輔助。只有把這些策略和邊界條件一并定義，才能讓ODD真正可以執(zhí)行。

確認(rèn)ODD要先做需求分析，接著要測量并記錄各個模塊的能力邊界，然后把這些邊界映射到環(huán)境條件，最后形成可檢驗的ODD文檔。這個文檔要既有定性的描述，也要有量化指標(biāo)。舉個例子，ODD不能只寫“夜間可行”，而要寫清在光照強(qiáng)度大于X、路面標(biāo)線可見度大于Y的夜間環(huán)境下可以工作。有了這些具體的規(guī)定，測試和驗證才有標(biāo)準(zhǔn)可依。

ODD的驗證、測試與運(yùn)行監(jiān)控

把ODD規(guī)定好了只是第一步，接下來要做的是要證明在規(guī)定的ODD條件下自動駕駛是否真正安全，其可采用仿真、封閉場地實車測試和分階段的上路試驗這三種方式驗證。

仿真可以快速覆蓋大量場景，檢驗算法在理論上的表現(xiàn)，但仿真模型有局限性，需要用實車測試來補(bǔ)強(qiáng)。封閉場地可以精確控制變量，驗證車輛在某些邊界場景下的行為是否符合預(yù)期。為了更貼合實際的交通情況，必須在真實道路上分階段、受控地驗證，并逐步增加里程和場景復(fù)雜度。

驗證過程中要用明確的度量指標(biāo)來判斷是否滿足ODD。感知性能要看在不同天氣和光照下的檢測距離、漏檢率和誤檢率；定位性能要看漂移、重定位時間；決策控制要看制動距離、跟車誤差、轉(zhuǎn)向響應(yīng)時間等。將這些指標(biāo)和ODD條件一一對應(yīng)并測試后，才能決定ODD是否滿足要求。

在評估ODD時，車端要有實時的ODD評估模塊，持續(xù)判斷當(dāng)前環(huán)境是否仍在允許范圍內(nèi)，一旦發(fā)現(xiàn)有超出邊界的征兆，應(yīng)立即觸發(fā)降級或提示接管。事后要有數(shù)據(jù)回傳和邊界事件回放分析，把上路數(shù)據(jù)作為修正仿真模型和改進(jìn)算法的依據(jù)。

ODD應(yīng)如何根據(jù)技術(shù)發(fā)展調(diào)整？

隨著技術(shù)進(jìn)步，ODD可根據(jù)實際慢慢放寬，但任何擴(kuò)展都要有證據(jù)支撐。比較穩(wěn)妥的做法就是分階段推進(jìn)，可先在仿真里驗證新增場景，再在封閉場地做實車驗證，然后在有限范圍內(nèi)小規(guī)模上線試運(yùn)行，最后在收集到足夠現(xiàn)場數(shù)據(jù)并通過安全評估后再全面放開。ODD的每一步的放寬都要有量化依據(jù)，比如在新增天氣下的感知漏檢率不超過某個閾值，控制系統(tǒng)的異常恢復(fù)時間符合要求等。只有滿足這些量化門檻，才能把ODD的邊界向外擴(kuò)。

涉及ODD擴(kuò)展的軟件迭代需要非常慎重。每次升級都要做回歸測試，確保舊的場景仍然安全。OTA不能成為風(fēng)險放縱的理由，涉及ODD擴(kuò)展的軟件更新應(yīng)先在少量車輛和受控區(qū)域內(nèi)驗證，確認(rèn)沒問題后再放大范圍。同時要保證有快速回滾能力和明確的版本管理，出現(xiàn)問題時能立刻恢復(fù)到先前穩(wěn)定版本。

在擴(kuò)展ODD的過程中，還要考慮監(jiān)管和用戶告知等因素。很多地區(qū)對自動駕駛有具體監(jiān)管要求，任何重要的ODD擴(kuò)展都應(yīng)該先報備。對用戶則要做到透明，乘客要能清楚知道當(dāng)前車輛處在什么ODD、什么時候可能要求人工接管、何時會降級停車。透明化不進(jìn)是安全責(zé)任，也是贏得公眾信任的必要步驟。

對于ODD的擴(kuò)展應(yīng)采取更加保守的態(tài)度。即使實驗室和仿真已經(jīng)表現(xiàn)得很好，也不要急于在運(yùn)營中把ODD擴(kuò)展到極端或邊緣場景。應(yīng)先擴(kuò)展到那些能用數(shù)據(jù)支持且有成熟應(yīng)對手段的場景。如已經(jīng)有白天高速的大量里程和驗證數(shù)據(jù)的前提下，在夜間感知和控制的關(guān)鍵指標(biāo)滿足要求時，可以考慮逐步加入低流量夜間高速場景，并且要有應(yīng)急退路。

最后的話

對于ODD，應(yīng)將其當(dāng)成安全承諾，而不是束縛。ODD的價值不在于把自動駕駛系統(tǒng)的能力寫得越寬就越好，而在于把能控制的部分說清楚、把不可控的風(fēng)險管理好，然后在數(shù)據(jù)與驗證的支撐下，有步驟、可回溯地慢慢擴(kuò)展。這樣既保護(hù)了用戶安全，也為技術(shù)成熟和社會信任爭取時間。