مکانیسم‌های حوزه طراحی عملیاتی (ODD) و پرونده‌های ایمنی: خودروهای خودران چگونه محدوده عملکرد خود را تعریف و ایمنی را اثبات می‌کنند؟

خودروهای خودران ماشین‌هایی با قابلیت‌های جهانی نیستند که بتوانند در هر جاده‌ای و تحت هر شرایطی حرکت کنند. در عوض، آنها مهندسی و تأیید شده‌اند تا در مجموعه‌ای از پارامترهای بسیار خاص و تعریف‌شده ریاضی، که به عنوان «حوزه طراحی عملیاتی» (ODD) شناخته می‌شود، فعالیت کنند. برای مصرف‌کننده‌ای که منتظر خرید یک خودروی خودران یا گرفتن یک رباتاکسی است، این حیاتی‌ترین مفهومی است که باید درک کند: شما خودرویی نمی‌خرید که بتواند در هر مکانی رانندگی کند، بلکه خودرویی می‌خرید که فقط در داخل حصار عملیاتی مشخص خود، ایمنی آن تضمین شده است.[3][5]

این صنعت از ایده اثبات ایمنی صرفاً با انباشت میلیون‌ها مایل رانندگی آزمایشی در جاده‌های عمومی فاصله گرفته است. مسافت‌های طی شده نمی‌توانند هر مورد نادر و حاشیه‌ای را پوشش دهند. در عوض، مهندسان به «پرونده ایمنی» (Safety Case) تکیه می‌کنند—یک استدلال ساختاریافته و مبتنی بر شواهد که ثابت می‌کند سیستم رانندگی خودکار خودرو در داخل ODD تعریف‌شده خود، آسیبی ایجاد نخواهد کرد. این تغییر به این معنی است که ایمنی به جای یک احتمال آماری، به عنوان یک معمای منطقی قابل تأیید در نظر گرفته می‌شود.[5]

حوزه طراحی عملیاتی (ODD) به عنوان مرز نامرئی و کاملاً اجباری برای قابلیت‌های خودکار خودرو عمل می‌کند. این حوزه محدودیت‌های دقیق محیطی، جغرافیایی و زمانی را تعریف می‌کند که سیستم به طور خاص برای عملکرد در آن شرایط طراحی و تأیید شده است. این فهرست جامع شامل انواع جاده‌ها—مانند بزرگراه‌های تقسیم‌شده در مقابل خیابان‌های پیچیده شهری—و همچنین شرایط آب و هوایی، محدودیت‌های سرعت، و حتی وجود زیرساخت‌های خاص مانند خط‌کشی‌های بسیار بازتابنده یا چراغ‌های ارتباطی اختصاصی است. بدون برآورده شدن این شرایط، سیستم به سادگی فعال نخواهد شد.[3]

از دیدگاه عملی مالکیت، ODD کاربرد روزمره واقعی خودرو را برای خریدار محلی تعیین می‌کند. اگر مصرف‌کننده‌ای در میشیگان یک خودروی خودران پیشرفته با ODD محدود به آب و هوای صاف و دمای بالای صفر خریداری کند، آن ویژگی گران‌قیمت خودران از نوامبر تا مارس کاملاً بی‌فایده خواهد بود. ODD اساساً رزومه عملکردی خودرو است که دقیقاً مشخص می‌کند واجد شرایط انجام چه کاری و مجاز به انجام آن در کجا است. خریداران به زودی متوجه خواهند شد که خودرویی که قادر به عملکرد خودران در یک کد پستی است، ممکن است تنها چند کیلومتر دورتر، اگر زیرساخت یا آب و هوا تغییر کند، نیاز به رانندگی دستی سنتی داشته باشد.[3][5]

برای اثبات اینکه یک خودرو واقعاً در این رزومه عملیاتی ایمن است، مهندسان از چارچوب‌های پیشرفته‌ای مانند «ایمنی عملکرد مورد نظر» (SOTIF) استفاده می‌کنند. استانداردهای ایمنی سنتی خودرو در طول تاریخ بر آنچه هنگام خرابی یک قطعه فیزیکی رخ می‌دهد، تمرکز داشتند؛ مانند از کار افتادن فرمان، پاره شدن لوله ترمز یا اتصال کوتاه سنسور. SOTIF به یک مشکل بسیار پیچیده‌تر و مدرن می‌پردازد: چه اتفاقی می‌افتد وقتی سیستم خودکار دقیقاً همانطور که طراحی شده کار می‌کند، اما خود وضعیت دنیای واقعی گیج‌کننده، بی‌سابقه یا خارج از داده‌های آموزشی باشد؟[1]

به عنوان مثال، ممکن است دوربین جلوی خودرو طبق مشخصات سخت‌افزاری خود کاملاً کار کند، اما تابش خیره‌کننده خورشید در حال غروب مستقیماً به لنز، می‌تواند به طور موقت آن را کور کند. یا، یک الگوریتم یادگیری ماشینی که کاملاً کار می‌کند، ممکن است عابری را که یک صفحه شیشه‌ای بزرگ و بازتابنده حمل می‌کند، به اشتباه طبقه‌بندی کند. SOTIF یک روش‌شناسی دقیق برای شناسایی این سناریوهای «ناایمن ناشناخته» در طول فاز توسعه ارائه می‌دهد و سیستم را طوری بازطراحی می‌کند که یا به خوبی از پس آنها برآید یا قبل از وقوع تصادف، با ایمنی از کار بیفتد. این امر تضمین می‌کند که خودرو زمانی که محیط فریبنده است، کورکورانه به سنسورهای خود اعتماد نکند.[1]

اینجاست که مفهوم «مانور حداقل ریسک» (MRM) برای ایمنی سرنشینان و عملکرد روزانه حیاتی می‌شود. اگر خودرو با وضعیتی خارج از ODD تأییدشده خود مواجه شود—مانند یک کولاک ناگهانی و کورکننده که تمام خط‌کشی‌های جاده را پنهان می‌کند—سیستم باید فوراً تشخیص دهد که دیگر در محدوده‌های ایمن خود کار نمی‌کند. این سیستم نمی‌تواند به سادگی کنترل را بدون هیچ هشداری به یک راننده انسانی خواب‌آلود یا حواس‌پرت بازگرداند؛ در عوض، باید به طور خودکار یک MRM را اجرا کند. برای مالک، این بدان معناست که خودرو به طور خودران سرعت خود را کاهش می‌دهد، چراغ‌های خطر را فعال می‌کند و در شانه جاده به یک توقف ایمن می‌رسد تا زمانی که شرایط بهبود یابد یا راننده کنترل دستی را به دست گیرد.[3]

فراتر از رسیدگی به سردرگمی‌های محیطی از طریق SOTIF، صنعت رانندگی خودران به شدت به «تحلیل فرآیند تئوری سیستم» (STPA) متکی است، که یک تکنیک تحلیل خطر است و در استانداردهای مهندسی مانند SAE J3187 رسمی شده است. برخلاف روش‌های ایمنی سنتی که به خرابی‌های اجزای منفرد به صورت جداگانه نگاه می‌کنند، STPA خودروی خودران را به عنوان یک سیستم بسیار پیچیده و به‌هم‌پیوسته در نظر می‌گیرد. این روش بر این فرض عمل می‌کند که حوادث فاجعه‌بار می‌توانند رخ دهند، حتی اگر هیچ قطعه‌ای خراب نشود، صرفاً به این دلیل که تعاملات پیچیده بین ماژول‌های نرم‌افزاری مختلف و سنسورهای سخت‌افزاری منجر به یک نتیجه کلی ناایمن می‌شود.[4]

با به کارگیری چارچوب STPA، مهندسان ایمنی می‌توانند دقیقاً ترسیم کنند که چگونه یک سیگنال کمی تأخیردار از سنسور لیدار، هنگامی که با یک الگوریتم ترمز کاملاً کارآمد اما تهاجمی ترکیب می‌شود، ممکن است منجر به توقفی با تأخیر شود که باعث تصادف از پشت گردد. این دیدگاه جامع و سیستمی برای ساختن یک پرونده ایمنی کامل کاملاً حیاتی است. این امر تضمین می‌کند که منطق داخلی خودرو حتی زمانی که مجبور به پردازش اطلاعات متناقض یا تأخیردار از دنیای آشفته بیرون است، سالم و قابل پیش‌بینی باقی بماند.[4]

نهادهای نظارتی به طور فزاینده‌ای در حال پذیرش دقیق این چارچوب‌ها برای نظارت بر استقرار خودروهای خودران در جاده‌های عمومی هستند. اداره ملی ایمنی ترافیک بزرگراه‌ها (NHTSA) اقدامات نظارتی متعددی را برای ایجاد دستورالعمل‌های گزارش‌دهی و ایمنی واضح آغاز کرده است که مستقیماً با استقرارهای مبتنی بر ODD همسو هستند. به جای تلاش برای نوشتن یک کتاب قانون واحد، سخت و سراسری برای همه خودروهای خودران—که با توجه به تکامل سریع فناوری تقریباً غیرممکن است—تنظیم‌کنندگان در عوض از تولیدکنندگان می‌خواهند که پرونده‌های ایمنی خاص و مبتنی بر ریاضیات خود را برای ODDهای مشخص خود ارائه دهند.[2]

این رویکرد نظارتی هدفمند به خوبی توضیح می‌دهد که چرا عرضه خدمات رباتاکسی تجاری به صورت بسیار پراکنده و شهر به شهر انجام می‌شود. یک شرکت فناوری باید پرونده ایمنی جامع خود را برای ODD خاص مرکز شهر فینیکس، که دارای جاده‌های عریض و قابل پیش‌بینی و آب و هوای همیشه صاف است، اثبات کند. انتقال دقیقاً همان ناوگان خودرو به سانفرانسیسکو مستلزم یک پرونده ایمنی کاملاً جدید و مستقل تأیید شده است تا مه غلیظ، تپه‌های شیب‌دار و ترافیک نامنظم عابران پیاده را در نظر بگیرد. خودرو دوباره رانندگی را یاد نمی‌گیرد؛ بلکه به طور قانونی و فنی برای یک پوشش عملیاتی کاملاً جدید تأیید می‌شود.[2][5]

برای مصرف‌کننده محلی و مالک آینده خودرو، این بدان معناست که بازار خودروهای خودران در آینده قابل پیش‌بینی احتمالاً بسیار منطقه‌ای باقی خواهد ماند. خودرویی که به عنوان یک سیستم کاملاً خودران سطح ۴ در یک شهر آفتابی عمل می‌کند، ممکن است در شمال شرق تنها به عنوان یک سیستم کمک‌راننده سطح ۲ کار کند. خریداران به زودی باید ODD تأییدشده خودرو را به همان دقت که در حال حاضر برد باتری، ظرفیت بکسل یا مصرف سوخت آن را ارزیابی می‌کنند، بررسی کنند تا مطمئن شوند قابلیت‌های سیستم واقعاً با رفت‌وآمد روزانه و واقعیت‌های آب و هوایی محلی آنها مطابقت دارد.[3][6]

پرونده ایمنی همچنین به عنوان یک سپر حیاتی حقوقی و مالی برای صنعت خودروسازی عمل می‌کند. با تعریف واضح ODD، تولیدکننده شرایط دقیق و بدون ابهامی را تعیین می‌کند که تحت آن مسئولیت کامل اقدامات خودرو را بر عهده می‌گیرد. اگر تصادفی در حالی رخ دهد که خودرو به طور خودران و دقیقاً در داخل ODD خود کار می‌کند، مسئولیت عموماً مستقیماً بر عهده تولیدکننده است. با این حال، اگر راننده انسانی سیستم را مجبور کند که خارج از آن محدوده‌ها کار کند، یا هشدار MRM را نادیده بگیرد، مسئولیت فوراً به مالک باز می‌گردد.[5][6]

در نهایت، مکانیسم‌های حوزه‌های طراحی عملیاتی و پرونده‌های ایمنی ساختاریافته، نشان‌دهنده یک تغییر اساسی و دائمی در مهندسی خودرو و انتظارات مصرف‌کننده هستند. ما در حال دور شدن از یک الگوی صد ساله هستیم که در آن رانندگان انسانی کاملاً مسئول سازگاری با محیط بودند، و به سمت واقعیت جدیدی می‌رویم که در آن نرم‌افزار خودرو به صورت ریاضی اثبات شده است که می‌تواند بخش بسیار خاص و با دقت اندازه‌گیری شده‌ای از واقعیت را مدیریت کند. این امر مستلزم سطح جدیدی از شفافیت از سوی خودروسازان در مورد آنچه خودروهایشان می‌توانند و نمی‌توانند انجام دهند، است.[4][6]

با بلوغ این چارچوب‌های مهندسی و بهبود فناوری سنسورها، حصارهای نامرئی که تعریف می‌کنند خودروهای خودران در کجا می‌توانند فعالیت کنند، به تدریج گسترش خواهند یافت تا محیط‌های پیچیده‌تری را پوشش دهند. اما اصل اساسی حاکم بر این صنعت بدون تغییر باقی خواهد ماند: ایمنی یک خودروی خودران هرگز مطلق نیست. بلکه، یک استدلال با دقت ساخته شده و الزام‌آور قانونی است که تنها در مرزهای سخت‌گیرانه حوزه طراحی عملیاتی آن (ODD) معتبر است و اساساً نحوه خرید، مالکیت و بهره‌برداری ما از نسل بعدی وسایل نقلیه را تغییر می‌دهد. درک این واقعیت، اولین گام برای هر مصرف‌کننده‌ای است که برای حرکت در آینده خودران آماده می‌شود.[5][6]