ODC，自动驾驶法力的边界

欢迎大家来到IT世界,在知识的湖畔探索吧!

#头条创作挑战赛#

在阿拉善的英雄会上，越野车可以赢得车模的尖叫，轿车只能喜提黄沙的讥笑。越野车和轿车诞生于完全不同的市场需求，享受过主机厂研发工程师不同力道的马杀鸡，经历过测试场测试工程师不同强度的耐久折磨，并最终成长为适合荒野镖客和城市白领的不同座驾。在传统汽车世界里，不同类型车辆被赋予威力不同的法力，用于追逐不同的家国梦。

而对于即将赋予传统汽车灵魂的自动驾驶系统来说，它关系到车内车外人员的安全，如果不能定义清楚其法力的边界，同时又不能赋予其识别是否超越法力边界的能力，则自动驾驶法力之外的误伤将在所难免。对于自动驾驶法力边界，国际上称之为ODD（operational design domain，设计运行范围），国内称之为ODC（operational design condition，设计运行条件）。

ODD在国际上成名许久，不管是NHTSA还是SAE，都有一套流行的构建框架，国内自动驾驶公司目前也都选择国外某一种构建框架来定义自己产品的法力边界。但在中国自动驾驶行业急速狂飙的过程中，行业内普遍感觉国外ODD的构建框架，无法适应极具中国特色的自动驾驶生存法则。

在这样的背景下诞生了ODC，相应的国标已在制定中。在已经实施的《汽车驾驶自动化分级》（GB/T 40429-2021）标准中ODC被定义为自动驾驶系统设计时确定的适用于其功能运行的各类条件的总称，包括设计运行范围、车辆状态、驾乘人员状态及其他必要条件。其中设计运行范围英文缩写也为ODD，被定义为自动驾驶系统内设计时确定的适用于其功能运行的外部环境条件。

自动驾驶圈黑话第十七期，作者基于国内外已公开的信息和自己工作中的理解，梳理国内ODC在自动驾驶产品开发时可以发挥的作用、三大构成元素的主要内容、制定原则等内容来尝试着窥探自动驾驶法力边界的奥秘。

ODC作用

在NOA/NGP/NOP盛行的今天，常听到一部分真实车主的反馈：“开启这些功能后，带来的不是轻松、惬意，而是更大的负担，我需要更加专注，更加谨慎，以便随时可以及时修正系统的错误操作”。这就好比你在一个陌生的城市第一次坐公交，你不知道你要下的站大概要做多久，你不得不时刻保持警惕，时刻留意车内的到站信息，没法专注在手机的电视剧里。

这样痛苦的源泉便来源于你不了解使用功能什么时候在可靠运行边界内，什么时候在可靠运行边界外。在边界内，不同道路、不同天气、不同光照下系统可靠性如何。边界外功能是否会自动退出，是否具有风险减缓措施。而ODC的一项作用便是帮助用户理解自动驾驶系统，现将其几个主要作用列举如下：

（1）企业依据ODC定义自动驾驶系统能够安全启动和运行的使用范围。通过对ODD包含的外部环境元素进行检测，来识别ODD是否在自动驾驶系统的能力范围之内；通过对车辆状态进行自检，来识别车辆状态是否能够支撑自动驾驶系统的正常运行；通过对动态驾驶任务后援用户（3级驾驶自动化系统中角色）的接管能力和驾乘人员（4和5级驾驶自动化系统中角色）的安全状态进行监测，来识别自动驾驶系统是否具有被及时接管的能力以及是否具有保证驾乘人员安全的运行条件。

（2）企业依据ODC制定用户说明手册，帮助用户理解自动驾驶系统的使用条件和运行范围。用户通过说明手册，可以清晰地了解自动驾驶系统在外部环境满足什么样的条件下可以正常运行；车辆在出现什么故障后会导致自动驾驶系统退出，驾乘人员不满足什么样的安全条件后会进行功能降级。

（3）测试机构依据ODC制定相应的自动驾驶系统的安全测试用例，并出具具有认可性的测试报告。而不像现在，各家厂商均是选择有利于自己功能的场景进行测试，以此来宣传自己系统无与伦比的优势。

组成元素之设计运行范围（ODD）

在制定自动驾驶系统运行的ODD包含的元素时，厂家不能肆意发挥，而须做到有理有据。自动驾驶系统需要能够实时获取ODD包含的元素信息，以使自动驾驶系统能够识别是否处于ODD范围。而ODD元素的获取即可以通过自身传感器实时获取，也可以通过高精地图、V2X等形式获取。所以，打工人每罗列一条ODD元素，都要思考我这个车可以通过什么方式可以获取这个元素的信息，这可能是制定ODD的难处所在。

为了尽快建立ODD的构建框架和一个最小元素集合，以便在日后自动驾驶标准制定中拥有更多的话语权，世界各地大小组织夜以继日，废寝忘食，目前除了出生地SAE外，也形成了其他几个有代表性的ODD构建框架。包括NHTSA ODD构建框架、Pegasus 6层模型、BSI ODD构建框架以及蓄势待发国标ODD(包含在ODC之中)。下文挑选应用比较广泛的NHTSA和SAE两个国外ODD构建框架做详细介绍，并最后罗列出适合中国国情的一个可行的ODD元素集合。

一、NHTSA ODD构建框架

NHTSA（National Highway Traffic Safety Administration，美国高速公路安全管理局）在2019年发布的《A Framework for Automated Driving System Testable Cases and Scenarios》中对ODD的分类框架和应用方法进行了系统的介绍。

NHTSA对ODD的定义为：自动驾驶系统可以设计运行的操作范围，包括道路类型、速度范围、光照条件、天气条件和其他相关的运行约束。从定义可以看出和国标ODD定义基本一致，都是聚焦在外部环境。NHTSA通过结构化方法将ODD进一步分为六大构建要素。基础设施、驾驶操作限制、周边物体、连接性、环境条件和区域。ODD六大构建要素及其子元素如下图所示。

基础设施。服务一个国家经济运行的设施和系统，如道路、桥梁、隧道、供水、供电、网络等。而自动驾驶系统中的功能也将受限于此类基础设施。NHTSA将影响ODD设计的基础设施划分为道路类型、道路表面、道路边缘、道路几何四个元素。

（1）道路类型。高速公路没有红绿灯，城市道路没有收费站，乡村道路可能没有标线，这些不同将影响自动驾驶系统的设计。因此，ODD设计需要充分考虑不同类型的道路，包括高速公路、乡村公路、城市道路、交叉路口、沙土路、越野道路、停车场、私人车道、环岛、匝道、人行道等。

（2）道路表面。不同道路表面，摩擦系数不同，对应的规划、控制、安全策略也就不可能完全一致。不同摩擦系数的道路表面包括沥青、混凝土、沙土、泥土、碎石、草地等。

（3）道路边缘。道路边缘可用来进行辅助定位等作用，而不同的道路边缘就将影响感知、定位的策略。典型的道路边缘有标线（固定或临时）、路肩（铺面、碎石、草地）、格栅、栏杆、锥体等。

（4）路面几何。行驶在笔直的康庄大道与十八弯的山路，安全等级要求是不一样的。常见的路面几何形状可以抽象为直线、曲线、山丘、侧峰等。

驾驶操作限制。不同的道路有不同的限速要求，不同的交通状况有不同的交通管制要求。驾驶操作限制就是考虑这些限制元素，主要包括速度限制和交通条件两大类。

（1）速度限制。包括最低和最高速度限制。

（2）交通条件。包括正常、拥堵、事故、施工等交通状况下所引入的交通限制属性。

周边物体。城市内环基本不会有大货车通行，高速公路基本不会出现公交车，在ODD设计时如果可以明确影响感知、定位的物体的种类，将显著提高感知、定位的准确性和可靠性。此类物体包括标志标牌、道路使用者、非道路使用者物体。

（1）标志标牌。用于解释车辆通行规则，包括交通标识（斑马线、让行标识、禁行标识等）、交通信号（红绿灯、缓慢通行指示灯）、道路使用者信号、遇险信号、急救信号等。

（2）道路使用者。包括不同类型的车辆（桥车、公交车、摩托车、特种车辆、电瓶车、自动车等）、行人。

（3）非道路使用者物体。穿过自然保护区的道路总会出现意想不到的惊喜，包括麋鹿、大象等。这些原本不该出现在道路上的物体被称为非道路使用者物体，包括动物、购物车、垃圾、梯子、建筑设备等等。

连接性。车路协同+单车智能被认为是自动驾驶的终局。车路协同可以为车辆提供超视距的感知，从而提高自动驾驶的安全性以及提供更好的驾乘体验。自车与其它车辆、道路使用者、车队管理系统、智能基础设施等通过万物互联技术相连，实现更有效的协同工作。

（1）车辆。基于V2V技术，自车与道路上的其它车辆实现互通有无。

（2）交通密度。基于V21技术，车辆可以实时从路测单元获得交通密度信息；基于V2V技术，可以从车辆众包数据中获取交通密度信息。

（3）车队管理系统。基于V2N技术，车辆可以实时获得远程车队管理系统的支持。

（4）智能基础设施。基于V2I，车辆可以与智能基础设施传感器实现通信，从而获得弱势道路使用者、坑洞、天气、高精地图、交通管制等数据。

环境条件。自动驾驶面对恶劣天气依旧无能为力，雨、雪、雾将极大降低当前主流传感器的感知能力，大风、结冰、极端温度也将极大影响车辆的可操作性。可以说，环境条件是ODD设计必须着重考虑的要素之一。

（1）天气。恶劣天气既影响驾驶员的视线，也将影响车上主要传感器的感知能力。自动驾驶功能在不同天气条件下必将设计不同的应对策略，因此需要在ODD设计时充分考虑雨、雪、雾、沙尘等天气属性以及它们的严重程度。

（2）道路天气。不同天气必将对道路的通行能力带来不同的影响。积水的道路、结冰的道路、积雪的道路都对自动驾驶功能的安全设计带来严苛的挑战。

（3）颗粒物。颗粒物主要降低能见度，从而增加碰撞风险，主要包括雾、烟、扬尘、雾霾等。

（4）照明。白天、黎明、黄昏、夜晚、有路灯、无路灯、有迎面大灯等对自动驾驶功能的影响都是不同的。

区域。自动驾驶功能在笔直大道上可能火力全开，但在前方有学校的路段需要收敛部分光芒，不同的区域对自动驾驶功能有不同的限制，这也是ODD设计必须考虑的一个关键要素。

（1）地理围栏区。围栏已经表明独立于世的运行法则，围栏内生存就需要遵循围栏内权威定下的规则。典型的地理围栏区包括学校、工业园区、社区、商业区等。

（2）交通管控区。道路维护、交通事故等都会诞生临时的交通管理区。这些交通管理区可能会临时关闭某些车道、增设一些动态交通标志、改变道路速度限制、增删一些车道标记、增加人为（交警）引导的交通等。人在经过这些交通管控区都需要调整驾驶策略，更何况计算机操纵的一些自动驾驶功能。

（3）学校/施工区。这条我没有理解，学校不是属于地理围栏区吗，施工区不是交通管控区吗，为何还要单拎出来？可能美丽国的学校和施工区和咱中国不太一样，没实地考察过，这里先原汁原味的翻译出来。这个区域需要动态限速，因为存在不稳定的行人和车辆行为。

（4）国家/地区。各个国家或地区都在积极推动自动驾驶相关法律、法规的建立，后续自动驾驶车辆上路必须满足当地的法律、法规以及一些准入要求。

（5）干扰区。有些区域对自动驾驶的感知、定位影响较大，导致自动驾驶功能在这些区域必须进行更优策略的设计。比如地下停车场、茂密树荫下的GNSS信号干扰，隧道对感知相机成像的影响，多金属环境对毫米波雷达回波的多径影响等。

NHTSA在ODD的描述中给了一个L3有条件拥堵驾驶的ODD部分检查清单，如下图所示，其中Y表示可允许的设计元素，N表示不允许的设计元素。

二、SAE ODD构建框架

ODD一词最早的定义来自于SAE的《道路车辆驾驶自动化相关的分级和术语定义》（J3016）标准。原文直译过来便是：特定的驾驶自动化系统或其功能的运行条件，包括但不限于环境、地理和时间限制，以及拥有特定条件的交通或道路。从定义中可以看出SAE对于ODD的定义包含影响自动驾驶运行的外部条件和内部条件，更类似国标中ODC的定义，属于一锅端类型的定义。

在2020年4月发布的一项新的最佳实践《AVSC Best Practice for Describing an Operational Design Domain: Conceptual Framework and Lexicon》中，详尽阐述了如何定义自动驾驶系统的ODD。

SAE AVSC采用7个维度来构建ODD，包括天气相关的环境条件、道路表面条件、道路设施、操作限制、道路使用者、非静止的路边目标和连接性。通过使用允许和不允许的元素，基于表格描述和文字描述的形式对自动驾驶系统的ODD进行说明，下图是SAE AVSC表格描述的一个示例：

三、中国ODD

Tesla的Autopilot中有一个功能叫“Traffic Light and Stop Sign Control”的功能，红绿灯我们都熟悉，停止标识为何和红绿灯等放在一个层次，习惯国内开车的朋友可能很难理解，因为我们在路上很少看见STOP的标识牌。但对北美地区来说，路口红绿灯的覆盖率远远低于我们的城市环境，北美地区更加普遍的路口控制标识便是“STOP”标识牌。

这样的中外交通环境差异还只是冰山一角，这也难怪在看NHTSA和SAE关于ODD的原文时，一些元素总是找不到合适的中文对应，勉强按字面翻译出来后也感觉ODD构建框架缺少社会主义特有的儒雅和灵动。笔者“土鳖”的脑海里只有中国的地大物博，完全没法理解国外的“月亮”。国内自动驾驶行业翘首以盼，期待适应国情的自动驾驶设计运行范围标准尽快出来。

国标委发布的《自动驾驶系统设计运行条件白皮书》，作为国标制定的前菜，里面呈现的内容对我们窥探主食国标的色、香、味，具有重要意义。白皮书在最高一层将ODD分为静态物体、环境条件、动态实体。一层元素下又划分为二层元素，如下图所示。白皮书中列举了一个五层ODD最小元素集合及两种描述示例，企业可依据本身自动驾驶系统要求进行增删。

组成元素之车辆状态

车辆状态包含车辆速度和车辆软硬件状态。车辆速度主要指激活速度范围，通过激活速度范围判断驾驶自动驾驶系统是否能够被激活。硬件状态主要指关键传感器、计算单元、关键执行器状态是否满足激活和运行的要求。软件状态指定位、感知、控制、规划等模块的状态是否满足激活和运行的要求。不满足要么无法激活，激活后的不满足将启动功能降级。

组成元素之驾乘人员状态

３级驾驶自动化系统工作时，可以识别驾驶自动化系统发出的介入请求和明显的动态驾驶任务相关的车辆故障，并执行接管的用户称为动态驾驶任务后援用户。动态驾驶任务后援用户在风平浪静的时候可以安心欣赏前方的美景，但在驾驶自动化系统发出接管请求或发生影响驾驶自动化系统的车辆故障，需要及时进行接管。

而为了保证驾驶3级驾驶自动化系统可以及时被接管，就需要对动态驾驶任务后援用户进行实时监测，通过识别其疲劳、注意力、位姿、安全带、醉酒等状态来判断是否满足接管条件，不满足时要采取声、光、电三维暴力提醒，提醒依旧无效后，3级驾驶自动化系统还需启动功能降级直至安全停车。

对于4~5级驾驶自动化系统来说，车内人员统称为乘客，为了保证乘客乘坐的安全，势必还要监测其位姿、安全带、儿童约束系统、生命体征等状态是否满足一定的安全条件。车外人员被称为调度员，是否需要对调度员进行异常行为的监测，也值得各企业思考。

小结

小结总想扯点无关的，恰巧看到上海六院关于保护洋大人命根子的深情报道，一时愤慨万千。社会中对白皮肤高鼻子持天然崇敬、仰慕的国民不在少数，这和我们上个世纪在各方面都被他们牵着鼻子走有巨大关联。但在今天，在自动驾驶圈内，白皮肤高鼻子俨然一副坐吃山空、混吃等死的状态，就看傻儿子几时挥霍完地主爸爸的存款了。当然，美国不乏几个能打的选手，也在部分方面引领着自动驾驶的潮流，但中国自动驾驶的群狼，已然无所畏惧，已然准备好正面战场的随时厮杀。

参考资料

《自动驾驶系统设计运行条件白皮书》