Operationeel ontwerpdomein: de grenzen waarbinnen een zelfrijdende auto veilig is

Bijgewerkt: 4 augustus 2026 · 5 min leestijd

Stel je een zwemdiploma voor dat alleen geldig is in een rustig, verwarmd binnenbad. In de golven van de Noordzee, met stroming en onderkoeld water, gelden heel andere risico's en heb je andere vaardigheden nodig. Een zelfrijdende auto werkt volgens hetzelfde principe: het systeem is getest en goedgekeurd voor een specifieke set omstandigheden, en buiten dat gebied kan het geen veiligheid garanderen.

Die verzameling omstandigheden — welke wegen, welk weer, welke snelheid, welk tijdstip van de dag — heet het operationeel ontwerpdomein, in het Engels Operational Design Domain (ODD). Het is geen technisch detail voor ingenieurs alleen, maar het fundament waarop de veiligheid en de wettelijke toelating van zelfrijdende voertuigen rust. Zonder een helder gedefinieerd ODD kan niemand — fabrikant, toezichthouder of bestuurder — met zekerheid zeggen wanneer een auto zichzelf mag besturen.

Wat is het precies?

Het ODD beschrijft in precieze termen de grenzen waarbinnen een automatiseringssysteem is ontworpen om te functioneren. Dat gebeurt meestal aan de hand van een aantal categorieën: het type weg (snelweg, stadsstraat, parkeerterrein), het weer (droog, regen, mist, sneeuw), de lichtomstandigheden (dag, nacht, schemer), de maximale en minimale snelheid, en soms zelfs specifieke geografische gebieden die vooraf in kaart zijn gebracht.

De term is officieel vastgelegd in de norm SAE J3016 van de Amerikaanse ingenieursvereniging SAE International, dezelfde norm die ook de bekende schaal van autonomieniveaus 0 tot en met 5 definieert. Een auto op niveau 3 of hoger (voorwaardelijke tot volledige automatisering) mag alleen zelfstandig rijden binnen zijn eigen ODD. Verlaat het voertuig dat domein — bijvoorbeeld omdat het begint te sneeuwen terwijl het systeem alleen voor droog weer is goedgekeurd — dan moet de bestuurder het stuur overnemen, of stopt het systeem zichzelf veilig.

Belangrijk is het onderscheid met een verwant begrip: de operationele ontwerp-condities beschrijven wát het systeem aankan, terwijl aparte veiligheidsmechanismen bepalen wát er gebeurt als de auto per ongeluk buiten dat domein terechtkomt. Sinds enkele jaren bestaat er ook een aanvullende internationale norm, ISO 34503, die een gestandaardiseerde taal en indeling biedt om ODD's tussen fabrikanten en landen onderling vergelijkbaar te maken — voorheen beschreef bijna elk bedrijf zijn eigen operatiegebied op een net iets andere manier, wat vergelijken lastig maakte.

Wat wil men ermee bereiken?

Het achterliggende doel is simpel: eerlijkheid over de beperkingen van automatisering. Een zelfrijdend systeem hoeft niet overal en onder alle omstandigheden te werken om nuttig en veilig te zijn — het moet alleen precies weten, en communiceren, wat het wél en niet aankan. Door dat vooraf strak te definiëren, kunnen fabrikanten een product op de markt brengen zonder te wachten tot het overal ter wereld even goed rijdt als de beste menselijke chauffeur.

Voor toezichthouders zoals de Amerikaanse verkeersveiligheidsdienst NHTSA of de Europese voertuigreglementering via UNECE is het ODD bovendien een toetsingskader: een fabrikant moet aantonen dat het systeem binnen de opgegeven grenzen betrouwbaar functioneert, vaak met miljoenen kilometers aan test- en simulatiedata. Zo verschuift de discussie van een vage vraag als "is deze auto veilig?" naar een concrete: "is deze auto veilig op deze snelweg, bij dit weer, op dit tijdstip?"

Voor de industrie zelf is een goed gedocumenteerd ODD ook een manier om aansprakelijkheid te regelen. Zolang het voertuig binnen zijn domein rijdt en een ongeluk gebeurt door een fout van het systeem, ligt de verantwoordelijkheid doorgaans bij de fabrikant. Buiten dat domein verschuift die verantwoordelijkheid vaak weer naar de menselijke bestuurder — een onderscheid dat in de praktijk nog volop onderwerp van juridisch debat is.

Voorbeelden uit de praktijk

Waymo (voorheen het zelfrijdende-autoproject van Google) begon in 2020 in Phoenix, Arizona met een volledig chauffeurloze taxidienst, welbewust gekozen vanwege het droge klimaat, de brede, overzichtelijke wegen en het weinig complexe weerpatroon — een relatief eenvoudig ODD dus. Vanaf 2023 breidde het bedrijf uit naar het aanzienlijk complexere San Francisco, met steile hellingen, dichte bebouwing en mist, wat een uitgebreider en strenger geverifieerd ODD vereiste.

Cruise, het zelfrijdende-autobedrijf van General Motors, moest zijn vergunning voor bestuurderloos rijden in San Francisco in oktober 2023 inleveren nadat een van zijn voertuigen betrokken raakte bij een ernstig ongeval met een voetganger. Het incident toonde pijnlijk aan wat er misgaat wanneer een situatie zich net buiten de grenzen van het geteste ODD voordoet: het systeem reageerde niet zoals verwacht op een reeks opeenvolgende gebeurtenissen.

Mercedes-Benz Drive Pilot is een van de weinige systemen ter wereld die officieel als niveau 3 (voorwaardelijk automatisch) is goedgekeurd, eerst in Duitsland (2021-2022) en later in de Amerikaanse staten Nevada en Californië. Het ODD is hier bewust smal gehouden: alleen op bepaalde snelwegen, bij file of langzaam verkeer, tot ongeveer 60 kilometer per uur, en alleen overdag bij goed zicht. Buiten die condities schakelt het systeem zichzelf simpelweg niet in.

Ter vergelijking: Tesla's Full Self-Driving-functie werkt in veel meer omgevingen en weertypen dan de bovenstaande voorbeelden, maar heeft geen door een toezichthouder goedgekeurd, formeel gedefinieerd ODD in de zin van SAE J3016 — het blijft volgens de fabrikant zelf een niveau 2-systeem, wat betekent dat de bestuurder te allen tijde verantwoordelijk en oplettend moet blijven, ongeacht de omstandigheden.

Hoe ver is de techniek?

De afgelopen jaren is de trend duidelijk: ODD's worden geleidelijk breder, maar het tempo daarvan ligt veel lager dan de industrie tien jaar geleden voorspelde. Rond 2015-2016 verwachtten meerdere fabrikanten dat volledig zelfrijdende auto's zonder enige beperking rond 2020 op de markt zouden zijn. Die voorspelling bleek te optimistisch; in de praktijk blijft elke uitbreiding van een ODD — een nieuwe stad, een nieuw type kruising, regen in plaats van alleen droog weer — een langdurig traject van testen, valideren en vaak opnieuw certificeren.

De grootste technische obstakels zitten in de zogeheten "edge cases": zeldzame, moeilijk te voorspellen situaties zoals een omgevallen boom, een verkeersregelaar die met de hand aanwijzingen geeft, of ongebruikelijk gedrag van andere weggebruikers. Slecht weer zoals hevige sneeuwval of stortregens blijft voor vrijwel elk systeem een grens van het ODD, omdat sensoren als camera's en lidar (een soort laserradar) dan minder betrouwbaar worden.

Er is nog geen wetenschappelijke consensus over hoeveel testkilometers of simulatie-uren nodig zijn om een uitbreiding van een ODD verantwoord te verklaren — verschillende fabrikanten en toezichthouders hanteren hier eigen, niet altijd openbare normen. Dat maakt onafhankelijke vergelijking tussen systemen lastig, al moet de nieuwere ISO 34503-norm dat euvel op termijn verhelpen.

Wie werken eraan?

In de Verenigde Staten lopen Waymo (onderdeel van Alphabet, het moederbedrijf van Google) en Zoox (onderdeel van Amazon) voorop met bestuurderloze taxidiensten binnen zorgvuldig afgebakende ODD's. Motional, een samenwerking tussen Hyundai en het techbedrijf Aptiv, richt zich eveneens op robotaxi's. In Europa is vooral de Duitse autobouwer Mercedes-Benz een koploper met zijn goedgekeurde niveau 3-systeem, en werkt het Israëlische chipbedrijf Mobileye (onderdeel van Intel) aan sensor- en cameratechnologie die door meerdere automerken wordt gebruikt.

Op het gebied van normen en regelgeving zijn SAE International en de internationale standaardisatieorganisatie ISO toonaangevend, terwijl toezicht en toelating per regio verschillen: de Amerikaanse NHTSA in de VS, en in Europa de voertuigreglementering onder UNECE (een orgaan van de Verenigde Naties), die mede bepaalt welke ODD's een fabrikant in Europese lidstaten mag aanbieden. In Nederland is de RDW de instantie die voertuigen daadwerkelijk toelaat tot de openbare weg.