CN107571866A - 用于分析传感器数据的方法 - Google Patents

Abstract

本发明涉及一种用于分析传感器数据的方法，其中检测至少一个传感器（121、122）的传感器数据，分别借助签名（142）来对所述至少一个传感器（121、122）的传感器数据进行签名并且根据所述签名（142）来分析（210、220）所述传感器数据。例如根据所分析的传感器数据执行对车辆的车辆引导的自动干预。

Description

用于分析传感器数据的方法

技术领域

本发明涉及一种用于分析传感器数据的方法以及一种计算单元和一种用于执行该方法的计算机程序。

背景技术

在移动系统的自动化过程中，可以在没有车辆驾驶员干预的情况下自动地控制车辆（自主移动）。为了该目的，可以借助传感器、诸如摄像机、雷达设备、激光雷达设备等在测量技术上检测车辆的周围环境。可以分析相应的利用传感器检测的传感器数据并且基于所述被分析的传感器数据可以执行对车辆引导（例如转向、制动、驱动等）的自动干预，例如其方式是，相应地控制车辆的执行器。

这些干预例如可以由车辆的控制设备本身来确定，使得车辆本身自主地控制。也可以设想的是，由外部计算单元确定所述干预，使得可以从外部遥控车辆。

例如在这样的自主移动过程中，可以自动地进行车辆到停车场上或停车楼中的停放和从其中驶出（自动泊车）。车辆因此可以自主地从驶入和驶出区域停放到相应的停车空地中并且又从停车空地自己返回移动至驶入和驶出区域。

对于自主移动重要的是，对车辆引导进行干预所基于的传感器数据是完整的，以便防止车辆乘客或其他交通参与者的危险。足够的数据完整性（数据信息的可信度）是必需的，以便能够执行对车辆引导的安全的有效的干预。

数据完整性包括不同的完整性类型、特别是正确的内容（当正确反映真实世界的事实情况时存在该完整性类型）、未改动的状态（当消息未改变地提供并且程序和过程如有意的那样运行时存在该完整性类型）和改动的识别（当至少识别不能阻止的不期望的改动时存在该完整性类型）。

例如从DE 10 2012 215 343 A1中已知一种用于执行车辆的安全功能的方法。根据至少一个完整性值来检查，所传输的数据对于执行安全功能来说是否足够可靠。

发明内容

根据本发明，提出具有独立权利要求的特征的一种用于分析传感器数据的方法以及一种计算单元和一种用于执行该方法的计算机程序。有利的设计方案是从属权利要求以及随后的说明书的主题。

在方法的范围内检测至少一个传感器的传感器数据。至少一个传感器可以适宜地包括基于电磁波检测的传感器和/或基于声波检测的传感器，例如光学传感器，其特别是借助光学元件和光学探测器检测信息，例如具有CCD芯片、CMOS芯片等的摄像机，声学传感器、例如超声波传感器，基于光谱外的电磁波的检测的传感器、例如雷达设备、激光雷达设备等。特别是至少一个传感器布置在车辆中并且检测关于车辆和/或关于车辆的周围环境的信息。

至少一个传感器的传感器数据分别借助签名（Signatur）而被签名并且根据签名进行分析。特别是为了该目的将特别的预先给定的信息叠加在由相应传感器检测的信息上。优选地，签名是要由传感器连同周围环境来检测的签名、例如电磁的（特别是光学的）或声学的图案。

有利地，通过签名可以检查，各个传感器数据是否是完整的或例如是否（通过攻击者）操纵。在该分析的过程中特别是检查，是否分别将签名的预先给定的信息叠加在传感器数据上。特别是只有当情况如此时，相应的传感器数据才被视为完整的并且例如被用于对车辆引导的自动干预。

根据一种优选的改进方案，根据经分析的传感器数据执行对车辆的车辆引导的自动干预。例如作为对车辆引导的自动干预，执行对车辆的纵向引导和/或横向引导的干预和/或对制动和/或驱动的干预。

根据另一种优选的改进方案，通过签名可以同样检查，传感器是否正确地校准。如果例如不能利用传感器正确地识别签名，则传感器可能没有正确校准并且需要再校准。

通过本发明可以保证，存在完整的传感器数据，其例如满足对车辆引导的自动干预的高的安全性要求。特别是可以保证，对车辆引导进行干预所基于的传感器数据是可靠的、精确的并且没有通过攻击者操纵，以便防止车辆乘客或其他交通参与者的危险。此外可以防止，由于攻击而发生危险的错误控制、车辆运行的干扰或信息的偷窃。为了取得对车辆的访问并且在攻击过程中影响车辆引导，攻击者必须实现将以下数据引入到车辆中，所述数据与由传感器检测的传感器数据一致，利用所述数据传感器数据能够可信并且根据签名而被签名。攻击者因此必须仿制在每个具体时刻检测不同的传感器并且必须在每个时刻能够认识并且模仿特别的签名。否则可以立即察觉不是真的传感器数据而是攻击。然而几乎排除攻击者可以仿制具有在每个具体时刻的正确签名的传感器数据，由此攻击几乎是不可能的。

各个传感器特别是可以分别被构造为车辆自身的或车辆外的传感器。车辆自身的传感器在该上下文中应该理解成是车辆的组成部分的传感器、例如内部的摄像机、雷达设备、激光雷达设备等。这样的车辆自身的传感器特别是安装在车辆上的确定位置上，使得该传感器在其功能原理上不或至少几乎不依赖于其他传感器的功能。车辆外的传感器在该上下文中应该理解成不是车辆的组成部分的传感器、例如外部的摄像机、雷达设备、激光雷达设备等。这样的车辆外的传感器特别是布置在车辆之外并且特别是固定安装在其他车辆中或车辆的周围环境中，例如在街道上，在疏解交通的区域中或在停车场或保持区中并且监视所述周围环境或周围环境的一部分。

各个传感器可以分别适宜地属于无关的功能组。例如第一功能组的传感器可以被设置用于监视车辆并且与第一功能组无关的第二功能组的传感器可以监视车辆的周围环境。

用于执行方法的计算单元可以是车辆内的或车辆外的计算单元。如果通过车辆内的计算单元、特别是车辆的控制设备执行自动干预，则车辆可以通过这样的自动干预特别是在自主移动过程中自己控制。也可设想的是，由外部计算单元确定干预，使得可以从外部遥控车辆。

优选地，至少一个传感器的传感器数据借助基于电磁波（例如光、无线电波等）和/或借助基于声波的签名来签名。

作为基于电磁波的签名，特别是使用基于光的签名，在下面也称为光学签名。在此可以涉及特别的图案和/或特别的颜色和/或特别的阴影，其被叠加于测量环境或样品。适宜地，其涉及特别形式的几何图案（例如矩阵码、条形码等）或也涉及由字符（字母、数字等）构成的特殊码。特别优选地，当前的时间戳可以用作光学签名。作为基于作为电磁波的无线电信号的签名，例如可以将具有特殊频率的无线电波叠加于测量环境或样品。

作为基于声波的签名（下面也称为声学签名），特别是将声学图案叠加于测量环境或样品，例如特别的噪声或特别的声音或者确定声音的特别顺序。

有利地，测量环境或样品利用签名叠加，有利地其方式是，签名直接被投影到至少一个传感器的测量开口中和/或到至少一个传感器的测量区或视域中。

例如光学签名可以借助激光器来投影，基于无线电波的签名可以借助发射器投影并且声学签名可以借助扬声器投影。特别是光学签名可以聚焦地投影到至少一个传感器的光学元件上，例如投影到透镜或探测器（CCD芯片、CMOS芯片等）上。

如果例如由传感器在测量技术上检测共同的区域、例如围绕着车辆的一定区域，则签名例如可以投影到该共同的区域中。因此可以保证，同时由不同传感器检测的传感器数据利用相同的签名来签名。在分析的过程中，在该情况下特别是可以检查，该签名是否能够实际上在不同传感器的所有同时检测的传感器数据中被识别。

优选地，传感器数据借助时间上变化的签名来签名。优选地，在此签名自身、即例如特别的形状、图案、字符或码等图案可以在时间上改变。替代地或附加地，优选地可以在时间上改变签名的位置。在分析传感器数据的过程中，因此特别是可以检查传感器数据的时间同步性。借助签名的这样的时间上的变化也使得能够监视数据运行时间。因此也实现时间完整性。

有利地，至少一个传感器借助签名来校准。特别是借助签名能够识别由不同传感器共同监视的共同区域。如果例如光学签名被投影到各个传感器的视域中，则光学签名例如可以用作固定点。因此特别是可以保证，车辆相对于周围环境的位置可以精确确定。

这样的签名例如可以同样用于车辆参数（例如车辆速度、转向运动、行驶方向等）的测量或计算值的可信度检查，因为签名的特性（例如光学签名的几何大小、声波、无线电波的强度、频率等）可以根据这些车辆参数来变化。

特别有利地，该方法适合于执行自主移动或自动停放，其中车辆基于传感器数据自动地控制，特别是没有驾驶员的干预。车辆在此可以自动控制或由外部的计算单元来遥控。特别是关于车辆的位置和/或定向检测至少一个传感器的传感器数据。根据所述传感器数据，通过自动干预特别是可以控制或调节车辆的位置和定向。也可以设想的是，所述干预有利地通过驾驶员辅助功能来执行，例如通过轨道保持辅助装置、车距调节速度控制器、自动的纵向引导等来执行。

例如传感器可以布置在（例如街道或停车场/停车楼上的）行驶轨道的边缘处并且监视该行驶轨道的一部分。通过分析相应的传感器数据可以确定车辆和车辆与行驶轨道的位置或定向。根据这些经分析的传感器数据可以确定对车辆引导的干预，以便车辆在行驶轨道上运动。

例如传感器也可以布置在停车楼中或停车楼上。根据相应的经分析的传感器数据可以执行对车辆引导的干预，以便在自动泊车过程中将车辆停放到停车空地中和/或从停车空地中驶出。车辆特别是自动地从驶入和驶出区域停放到相应的停车空地中和/或又从停车空地返回移动至驶入和驶出区域。类似地，车辆也可以在自动泊车过程中根据在街道边缘处布置的车辆外的传感器的经分析的传感器数据而停放到街道边缘处的停车空地中。

在这样的自主移动或自动停放过程中适用高的安全准则，因为通过相应的对车辆引导的自动干预不允许危害车辆乘客以及其他交通参与者或不允许损坏其他停放的车辆。通过该方法可以保证，安全并且可靠地执行这样的自主移动或自动停放，而不危害乘客以及其他交通参与者。

根据方法的一个优选的实施方式，对于自动干预，可以在多个不同层面实现冗余并且优选地执行传感器数据的冗余的可信度检查。根据一种有利的实施方案，为了该目的，检测至少两个传感器的传感器数据。在下面在不限制普遍性的情况下考虑以下情况，第一传感器的传感器数据作为第一传感器数据来检测并且借助签名来签名并且第二传感器的传感器数据作为第二传感器数据来检测并且借助签名来签名。易于理解的是，也可以检测多于两个传感器的传感器数据。

在第一分析的过程中，第一传感器数据和第二传感器数据优选地彼此无关地并且优选地与签名一起进行分析并且分别确定第一传感器数据和第二传感器数据的第一完整性。类似于此，优选地，第一和第二传感器数据的第二分析优选地彼此无关地并且与签名一起来执行，在第二分析的过程中分别确定第一传感器数据和第二传感器数据的第二完整性。

因此可以借助签名检查，传感器数据是否是完整的或是否例如通过攻击者操纵，并且此外可以评估，通过传感器多精确地和多可靠地确定传感器数据。所述第一和第二分析可以特别是同时或至少基本上同时地执行。因此可以执行传感器数据的完整性的冗余确定并且传感器数据可以相对于彼此地进行可信度检查。

根据第一完整性、第二完整性以及根据第一传感器数据和第二传感器数据，执行对车辆的车辆引导的自动干预。为了该目的，例如分析第一和第二传感器数据，以便产生输入数据，基于所述输入数据确定对车辆引导的干预或用于执行器的相应控制数据。

因此，适宜地提供用于分析传感器数据的并行的数据流，特别是在交叉比较的过程中彼此无关地检查所述传感器数据。对于第一分析和对于第二分析特别是使用无关的计算方法。数据流的数据内容通过交叉比较或分析特别是不改变和不切断。数据流特别是获得表明相应数据品质的无关的预选。适宜地，实现从传感器直至执行器的并行的无关的数据流。数据流特别是无关地通过全部系统和子系统引导。传感器和执行器大多彼此相关地集成在常规车辆中。与此相对，通过该方法能够实现，功能无关地分析传感器和功能无关地控制执行器。这特别是当传感器和执行器通过以太网连接时能够实现。通过这样的无关的实现，特别是得出传感器数据的更精确的可信度检查可能性并且可以提高数据的完整性。

因此能够实现，对于对车辆引导的自动干预，在多个不同层面实现冗余，特别是在自主移动或自动停放的过程中。特别是从检测车辆位置直至在车辆中实施控制指令能够实现连续的冗余结构。一方面，位置或定向借助不同的冗余传感器在测量技术上检测并且相对于彼此进行可信度检查。此外，在第二分析的过程中执行光学签名的检查以及可信度检查。数据可以在不同层面相对于彼此进行可信度检查或在交叉比较的过程中被监视。适宜地，因此能够保证，在进一步的处理级中不使用或转发不正确的数据。对于自主移动，因此可以保证最大的安全性。

在损失冗余度的情况下，当例如传感器之一失效或当分析之一不再能够执行时，尽管如此车辆仍然能够通过剩余的资源来继续控制并且转变成安全状态，例如直至在安全位置、例如街道边缘或路肩处的停车。例如也可以减小车辆的当前速度，以便实现在事故时的潜在损坏程度的减小并且以便能够收集每时间单位更多的数据，因为提高了用于保存确定距离的时间间隔。特别是因此可以收集更精确的和更可靠的数据。因此更多时间也可供传感器数据的可信度检查使用。因此在损失冗余度的情况下不必需的是，突然停止车辆，这必要时能够导致危害乘客或其他交通参与者。

适宜地，通过连续的冗余结构可以防止攻击。特别是对于分析和自动干预可以分别使用不同的加密（加密的不同类型和/或不同的秘钥）。为了能够影响车辆或车辆的行驶行为，攻击者必须同时操纵不同的加密和签名，这几乎可以排除。

根据一种有利的实施方案，第一完整性由第一计算单元确定并且第二完整性由第二计算单元确定。第一和/或第二计算单元优选地与第三计算单元有通信连接，其中优选地由第三计算单元执行对车辆引导的自动干预。特别是这些计算单元在该情况下可以形成由计算单元构成的网络，该网络被设立用于执行根据本发明的方法的所述优选的实施方式。传感器数据利用光学签名的签名可以优选地由第一和/或第二计算单元执行。

例如第一和/或第二计算单元可以为了该目的控制相应的投影仪。

因此，适宜地不仅能够实现完整性确定的时间冗余，而且同样能够实现空间冗余。传感器数据的完整性确定因此特别是同时或基本上同时地在不同计算单元上执行。此外，自动干预的执行与此无关地通过另外的第三计算单元来实现，由此引入进一步的安全级或冗余。

优选地，第一和/或第二计算单元分别构造为车辆外的计算单元，例如分别构造为用于交通监视的服务器，该服务器借助传感器监视相应的行驶轨道。优选地，第一和/或第二计算单元可以分别构造为停车楼和/或停车场的服务器。这样的停车楼服务器借助传感器可以适宜地监视相应的停车楼或停车场。第三计算单元有利地构造为车辆内的计算单元，适宜地构造为控制设备，该控制设备相应地控制执行器，以便执行自动干预。特别是第一和/或第二（车辆外的）计算单元例如可以分别通过无线电连接、如WLAN/GSM/3G/4G等与车辆内的第三计算单元有通信连接。

通过用于执行自动干预的连续的冗余结构可以适宜地分别在功率上优化各个计算单元并且不必设置附加的消耗资源的安全机构。例如对于各个计算单元可以使用标准操作系统、例如Linux、特别是实时Linux。实时意味着，运行完的过程具有决定论的时间行为并且在确定的时间段内保证过程的结束。所有处理步骤特别是在足够的并且准时的间隔内实施。

适宜地，第一和第二计算单元同样有通信连接，例如通过如上所述的无线电连接或通过线缆连接的连接、如以太网。第一计算单元特别是将由其确定的第一完整性传递到第二计算单元并且第二计算单元将所述第一完整性与由其确定的第二完整性进行比较。类似地，第二计算单元特别是将第二完整性传递到第一计算单元并且第一计算单元同样将第一和第二完整性进行相互比较。

如果两个完整性相同或至少基本上（即在允许的偏差范围内）相同，则第一和第二计算单元特别是并行地并且彼此无关地分别将第一和第二完整性传递到第三计算单元。第三计算单元、优选车辆的控制设备根据完整性和传感器数据在该情况下确定自动干预并且执行自动干预。车辆在该情况下自身控制。

也可以设想的是，如果两个完整性相同或至少基本上相同，则第一和第二计算单元分别并行地并且彼此无关地确定待执行的自动干预。在该情况下，第一和第二计算单元可以将其相应的结果传递到第三计算单元。所述第三计算单元、优选车辆的控制设备最后执行所述自动干预。在该情况下，车辆特别是通过第一或第二计算单元来遥控。

数据通过第一和第二计算单元的传递特别是分别借助不同的加密（加密的不同类型和/或不同的秘钥）来进行。因此特别是可以防止攻击，因为几乎可以排除攻击者能够同时操纵这两个加密。

有利地，第一完整性在第一分析的过程中和/或第二完整性在第二分析的过程中分别如下描述地来确定：优选地从第一传感器数据确定第一姿势信息，所述第一姿势信息描述车辆在参考时刻的位置和/或定向。类似地，优选地从第二传感器数据确定第二姿势信息，所述第二姿势信息同样描述车辆在参考时刻的位置和/或定向。姿势信息因此特别是描述车辆在参考时刻处于哪个具体位置。

所述第一和第二姿势信息优选地相互比较并且根据所述比较确定第一传感器数据和第二传感器数据的相应完整性。第一和第二传感器数据因此可以进行可信度检查。理想地，通过第一和第二姿势信息描述的车辆位置或定向应该是相同的并且重现车辆的实际位置或定向。因此，第一和第二姿势信息越准确地一致，相应传感器数据的相应完整性就越高。

优选地，因此在时间上和位置上校准不同传感器的传感器数据。传感器数据特别是被引入到时间和位置的前后关系中或者在空间上和时间上定义到固定的格栅中。不同的传感器数据因此可以进行比较并且被定义到共同的明确的前后关系中并且可以有代表性地和有说服力地相互比较。通过位置校准保证，传感器监视至少部分相同的区域并且因此检测相同区域的传感器数据。因此能够实现传感器数据的第一重叠。此外，通过时间校准保证，该共同区域由传感器在相同的具体时刻检测。因此实现传感器数据的另外的重叠。用于确定完整性的方案基于在传感器数据中包含的信息的重叠度的确定。如果不同的传感器在时间上和空间上识别相同的对象，即如果相应传感器数据在时间上和位置上重叠，则这些数据具有提高的完整性程度。

通过时间校准特别是能够实现传感器数据的时间完整性。特别是在发送（光学）信息的时刻和由相应传感器探测所述消息（光电转换）的时刻之间的第一时间间隔可以予以补偿。此外，特别是可以补偿在激励传感器和产生相应的电信号（物理电气转换）之间的第二时间间隔以及该信号的相应信号运行时间。

通过相应完整性的所述确定特别是能够补偿不同的数据运行时间（时延）。这样的不同的数据运行时间在该上下文中特别是应该理解成，对于不同的传感器，直至所测量的传感器数据被分析并且相应的可利用的信息被确定可能持续不同长时间。数据运行时间例如可以取决于数据传输时间，需要所述数据传输时间来将传感器检测的传感器数据传输到相应的计算单元中，该计算单元分析所述传感器数据。此外，数据运行时间可以取决于例如在计算单元中实施的程序为了分析传感器数据并且确定相应的信息所需的运行时间。

通过姿势信息与参考时刻关联，可以补偿不同传感器的这些不同的数据运行时间。因此在相同参考时刻确定的姿势信息不相互进行比较，因为这些姿势信息可能基于在不同时刻由相应传感器检测的传感器数据。代替于此，相互比较以下姿势信息，其描述车辆在相同参考时刻的位置并且因此与具体的固定时间参考点关联。如果例如当前时间被用作光学签名，则特别是可以将作为光学签名而包含于传感器数据中的时间用作参考时刻。

因此可以有代表性地评估所检测的传感器数据是如何可靠的。特别是因此可以评估通过传感器可以如何精确地确定车辆的实际位置。借助确定的完整性特别是可以评估，传感器数据是否是足够可靠地用于自动干预。

例如可以确定相应的完整性值，其例如可以处于0（差）和1（好）之间或0%和100%之间。可以定义一个阈值，其中当完整性值未达到该阈值时将传感器数据评估为不足够完整的。因此特别是能够将不精确的“传感器数据”（例如神经网络、卡尔曼滤波器的输出数据、其他静态的所检测的数据等）也列入完整性确定中。

根据一种有利的实施方案，第一姿势信息和/或第二姿势信息与环境信息进行比较，所述环境信息描述在参考时刻车辆的周围环境。根据所述比较优选地确定第一和第二传感器数据的相应完整性。特别是可以因此评估传感器数据如何可靠地描述车辆的位置和周围环境，并且因此如何强地依赖于传感器数据适宜地执行对车辆引导的干预。

优选地，车辆的周围环境可以是街道和/或停车楼和/或停车场。例如环境信息可以描述街道，车辆在参考时刻在该街道上运动。这样的环境信息例如可以从车辆导航系统的地图数据或从因特网获得或通过无线数据连接（必要时也从其他车辆）获得。环境信息特别是也可以描述停车楼或停车场。停车楼或停车场可以为了该目的而被精确测量，以便确定相应的环境信息。

例如从传感器数据可以确定在参考时刻相对于车辆周围环境的位置。因此不仅预先给定时间参考点而且预先给定空间参考点（特别是车辆的周围环境），传感器数据可以与时间参考点和空间参考点关联。传感器数据因此可以如上所述那样适宜地被引入到具体的时间和位置前后关系中或者在空间上和时间上定义到固定的格栅中。传感器数据因此变得可比较的、有代表性的并且有说服力的。

优选地，车辆与周围环境的参考点的间距被确定为第一姿势信息和/或第二姿势信息。该参考点可以适宜地从环境信息中提取。例如可以选择周围环境中的有显著特征的能明确识别的点、诸如桥、墩子、十字路口、丁字路口、树、车行道标记等。例如在作为周围环境的停车楼/停车场中可以选择栅栏、灯笼、引道、岔口、停车空地、停车空地的标记等作为具体的点。

因此可以借助周围环境的具体参考点来评估传感器可以如何精确和可靠地确定车辆的位置和周围环境并且如何强地依赖于此执行或允许执行对车辆引导的干预。

优选地，车辆在车辆的惯性系统中相对于车辆周围环境的位置固定的坐标系的相对位置被确定为第一姿势信息和/或第二姿势信息。替代地或附加地，优选地也可以将车辆在车辆周围环境的位置固定的坐标系中的绝对位置确定为第一姿势信息和/或第二姿势信息。

在惯性系统中特别是可以将车辆假设为不运动的或静止的。惯性系统又相对于周围环境的位置固定的坐标系以车辆的当前速度运动。周围环境的坐标系例如可以是全球的地球坐标系。例如该位置固定的坐标系可以从车辆导航系统的相应环境信息和/或从因特网获得或通过无线数据连接获得。例如可以精确测量街道、停车楼或停车场，以便确定这样的位置固定的坐标系。

借助惯性系统和其在具体的参考时刻（作为时间参考）与位置固定的环境坐标系（作为空间参考）的相对定向，特别是可以将传感器数据如上所述那样引入到空间和时间前后关系中或者在空间上和时间上被定义到固定的格栅中。

有利地，根据第一传感器数据或第二传感器数据的第一完整性和/或第二完整性来确定，如何强地执行对车辆引导的自动干预，特别是如何强地影响车辆的执行器。因此能够实现区分的评估并且可以确定，在自主移动或自动停放过程中允许如何强地对车辆引导进行干预。数据完整性越高，就允许越强地进行所述干预。例如可以定义不同的阈值，其中当确定的完整性值达到所述阈值之一时分别减小干预强度。例如当特别是在0和1之间定义的完整性值与相应的干预强度相乘时也可以设想干预强度的连续调整。

通过传感器数据的确定的完整性可以评估，基于所述传感器数据是否可以执行对车辆引导的安全干预，或者传感器数据是否是太不安全的并且应该被丢弃。这样的对车辆引导的干预因此特别是可以根据标准ISO 26262的安全标准或根据其中定义的ASIL（Automotive Safety Integrity Level，汽车安全完整性等级）来执行。

通过干预强度的所述连续调整特别是可以保证，在自动停放过程中不执行突然的制动或转向机动性，而是车辆在连续的“柔和的”运行过程中被停放。在此，车辆的速度例如可以连续地降低，直至在相应的停车空地中静止。

根据一种优选的改进方案，来自其他传感器的另外的姿势信息与第一和第二姿势信息进行比较。根据所述比较适宜地确定具有相较于第一和第二传感器数据提高的数据完整性的传感器数据。优选地，为了提高数据完整性，执行关于传感器的传感器数据的表决（所谓的“投票（Voting）”）。在此特别是检查，是否至少确定数量的传感器数据或其姿势信息一致或基本上一致。这些一致的传感器数据特别是具有相较于第一和第二传感器数据提高的数据完整性。

例如可以执行所谓的三分之二表决（“三分之二投票”，“2oo3”），在该表决过程中三个传感器数据中的至少两个必须一致。也可以执行百分之七十表决（“百分之七十投票”，“70oo100”），在该表决过程中一百个传感器数据中的至少七十个必须一致。因此可以实现高的容许误差和传感器数据的高可靠性。例如也可以将不精确的传感器数据、具有不同的数据运行时间的传感器数据或消逝的传感器数据引入到表决中。

例如也可以设想，特别是当不同的控制单元或功能作用于两个无关的执行器或执行器系统时，例如作用于用于制动前轴或后轴的车轮的第一和第二执行器系统时或例如作用于电机中的两个无关的绕组对形式的两个无关的执行器系统时，执行针对执行器的表决。基于完整性可以适宜地表决，哪些控制单元或功能作用于执行器。

优选地，对于确定第一或第二完整性，此外可以分别考虑第一传感器和/或第二传感器的元数据。元数据在该上下文中特别是应该理解成以下信息，所述信息描述，相应传感器能够以哪种品质或准确性在测量技术上检测传感器数据和/或能够以哪种品质或准确性分析所述被检测的传感器数据。例如所述元数据可以在各个传感器的制造或研发过程的过程中通过以下方式来确定，即精确地测量传感器。例如所述元数据可以在制造过程的过程中保存在传感器本身中并且由传感器特别是通知给相应的在该方法的范围内确定完整性的计算单元。

例如元数据可以描述传感器的错误率、诊断覆盖率（Diagnostic Coverage，DC）和/或总线运行时间。例如元数据也可以描述概率、例如出现干扰或错误、诸如系统决定的硬件或软件错误的概率。优选地，第一和第二传感器数据的完整性值可以根据所述元数据来确定，特别是根据这样的出现错误或干扰的概率和/或根据这样的错误率来确定。

对于这样的元数据的详细解释，在此应该参考公开文献DE 10 2012 215 343 A1。对于可能的错误和相应错误率的示例例如在该公开文献的第[0030]段中给出。此外，关于元数据、诸如错误率、诊断覆盖率、相应概率以及关于根据这样的元数据来确定数据的完整性值的详细实施在该公开文献中特别是在第[0010]段至第[0040]段中予以解释，在此完全参考第[0010]段至第[0040]段。

根据本发明的计算单元、例如车辆的控制设备特别是在程序技术上被设立用于执行根据本发明的方法。

该方法以计算机程序形式的实现也是有利的，因为这导致特别少的成本，特别是当进行实施的控制设备还用于其他任务并且因此本来存在时。用于提供计算机程序的合适的数据载体特别是磁性、光学和电存储器、诸如硬盘、闪存、EEPROM、DVD等等。程序也可以通过计算机网（因特网、内联网等）下载。

本发明的其他优点和设计方案从说明书和附图中得出。

附图说明

本发明借助实施例在附图中示意性示出并且在下面参考附图来描述。

图1示意性示出计算单元的网络的一种优选的设计方案，该网络被设立用于执行根据本发明的方法的优选实施方式。

图2作为框图示意性示出根据本发明的方法的优选实施方式。

具体实施方式

在图1中示意性示出轿车形式的车辆110，该车辆在自动停放过程中自动停放在停车楼100中。

停车楼100具有多个停车空地。在图1中，这些停车空地中示例性三个利用附图标记101、102、103来表示。车辆110在该示例中在自动停放过程中应该停放到停车空地102中。在自动停放过程中，车辆110自动从停车楼100的驶入和驶出区域104运动到停车空地102中，没有驾驶员的干预。特别是可以设想驾驶员已经离开了车辆。

在停车楼100中布置有两个监视停车楼100的摄像机121和122。第一摄像机121在该示例中被视为车辆外的检测第一传感器数据的第一传感器并且第二摄像机122在该示例中被视为车辆外的检测第二传感器数据的第二传感器。

第一和第二摄像机121和122两者分别与停车楼100的两个服务器131和132有通信连接。第一服务器131在该上下文中被视为车辆外的第一计算单元并且第二服务器132被视为车辆外的第二计算单元。在服务器131和132上特别是分别实施有实时能力的操作系统、例如实时Linux。

两个服务器131和132彼此例如通过以太网连接133有通信连接。此外，两个服务器131和132例如通过WLAN连接134与第三计算单元113有通信连接。

所述第三计算单元113优选地构造为车辆的控制设备，例如构造为汽车控制设备。例如服务器131和132可以与控制设备113间接地有通信连接。例如服务器131和132可以直接与WLAN接收单元111有通信连接并且与该WLAN接收单元111分别交换数据。这样接收的数据可以由WLAN接收单元111通过车辆内的通信系统112、例如通过现场总线、如CAN、以太网、SPI或FlexRay传递到控制设备113。

例如第一服务器131此外与激光器141连接并且控制该激光器。激光器141将特别的图案142投影到停车楼的由摄像机121和122共同监视的区域101上。例如服务器131控制激光器141，使得当前时间由激光器141作为这样的图案142来投影。

控制设备113和停车楼的服务器131和132因此构成计算单元的网络，该网络被设立用于执行根据本发明的方法的优选实施方式，该方法在图2中示意性地作为框图来示出。

在步骤201中，在此第一传感器数据由第一摄像机121来检测并且第二传感器数据由第二摄像机122来检测。第一和第二传感器数据不仅传递到第一服务器131而且传递到第二服务器132。通过由激光器141投影的时间142，所述第一和第二传感器数据分别借助光学签名来签名。

在第一服务器131中，根据光学签名来实施第一和第二传感器数据的第一分析210。并行地并且与此无关地，在第二服务器132中，根据光学签名来实施第一和第二传感器数据的第二分析220。

在步骤211中，在此由服务器131首先检查，第一和第二传感器数据中的光学签名、即投影的时间142是否相同。类似地，在步骤221中同样由服务器132检查，第一和第二传感器数据中的光学签名、即投影的时间142是否相同。

如果情况分别如此，此外在所述第一分析210和所述第二分析220的过程中第一和第二传感器数据分别在第一服务器131或第二服务器132中在时间上和位置上被校准或者被引入到固定的时间和位置前后关系中。

为了该目的，由相应服务器131或132在步骤212或222中根据第一和第二传感器数据来确定姿势信息，所述姿势信息分别描述在参考时刻的车辆110的位置和优选地车辆110的定向。

为了补偿数据运行时间，该参考时刻特别是可以通过数据运行时间来确定。例如该参考时刻可以处于当前时刻之前的0.5秒。

此外，传感器数据在位置上被校准或与空间参考点相关联。为了该目的，优选地选择周围环境的具体的点，该点可以容易地利用两个摄像机121和122来识别，例如停车楼之内的停车空地102或参考标记。

为了该目的，例如在步骤212中由服务器131根据摄像机121的第一传感器数据来确定车辆110在参考时刻与停车空地102的间距作为第一姿势信息。同样，由服务器131根据摄像机122的第二传感器数据来确定在参考时刻的该间距作为第二姿势信息。

为了该目的，例如可以分别借助第一和第二传感器数据执行物体识别。车辆110以及停车空地102在该物体识别过程中分别被识别并且分别由此确定间距。

也可以设想，根据第一和第二传感器数据分别确定车辆110在车辆110的惯性系统中相对于停车楼100的位置固定的坐标系的相对位置并且分别由此确定间距。

在步骤212中，所述第一和第二姿势信息、即所述两个间距此外相互进行比较。根据所述比较，由第一服务器131在步骤213中确定第一和第二传感器数据的第一完整性。例如可以确定例如能够处于0和1之间的完整性值。

类似于步骤212，在步骤222中由第二服务器132根据第一摄像机121的第一传感器数据来确定在参考时刻车辆110与停车空地102之间的间距作为第一姿势信息。类似地，由第二服务器132还根据第二摄像机122的第二传感器数据来确定在参考时刻车辆110与停车空地102之间的间距作为第二姿势信息。

在步骤222中，所述第一和第二姿势信息此外由第二服务器132进行相互比较，并且根据所述比较，由第二服务器132在步骤223中确定第一和第二传感器数据的第二完整性，特别是同样以0和1之间的完整性值形式。

在步骤214中，第一服务器131将由其确定的第一完整性传递到第二服务器132。类似于此，在步骤224中第二服务器132将由其确定的第二完整性传递到第一服务器131。在步骤215中，第一服务器131将两个完整性进行相互比较，并且类似于此，在步骤225中，第二服务器132将两个完整性进行相互比较。

只有当这两个完整性相同或至少基本上相同时，在自动停放的过程中才执行对车辆引导的干预230。因此利用两个摄像机121和122能够保证在停车楼100中的车辆110的位置和必要时定向的冗余检测。通过基于两个不同的服务器131和132并行分析和确定这两个摄像机121、122的传感器数据的完整性，此外可以执行传感器数据的冗余的可信度检查。因此保证不使用或不转发不正确的数据。

对于对车辆引导的干预230，首先在步骤216中由第一服务器131将第一和第二完整性以及第一和第二传感器数据传递到车辆110的WLAN接收单元111。同样，在步骤226中由第二服务器132将第一和第二完整性以及第一和第二传感器数据传递到车辆110的WLAN接收单元111。

在步骤231中，这些数据由WLAN接收单元111经由CAN总线112传递到控制设备113。根据第一完整性和第二完整性以及根据第一传感器数据和第二传感器数据，控制设备113执行对车辆引导的自动干预。

为了该目的，控制设备113在步骤232中确定用于车辆110的执行器的控制值。特别是控制设备113根据完整性值来确定，多强地进行对车辆引导的干预并且多强地控制相应的执行器。例如为了该目的，用于执行器的控制值可以乘以确定的第一或第二完整性值。

在步骤233中相应地控制执行器，使得车辆相应地运动。例如在运动过程中可以执行对车辆110的纵向引导和横向引导、驱动以及制动的干预。

通过在不同层面中的这些冗余结构可以保证，考虑不同的安全标准。例如停车楼的服务器131、132可以根据停车楼100的安全准则运行。通过控制设备113对车辆引导的干预可以根据车辆领域的安全标准来执行，例如根据标准ISO 26262以及其中定义的ASIL（Automotive Safety Integrity Level，汽车安全完整性等级）来执行。

Claims (18)

1.用于处理传感器数据的方法，其中

检测（201）至少一个传感器（121、122）的传感器数据，

分别借助签名（142）来对所述至少一个传感器（121、122）的传感器数据进行签名（201）以及

根据所述签名（142）来分析（210、220）所述传感器数据。

2.根据权利要求1所述的方法，其中分别借助签名（142）通过以下方式来对所述至少一个传感器（121、122）的传感器数据进行签名（201），即所述至少一个传感器（121、122）的测量环境利用签名来叠加。

3.根据权利要求2所述的方法，其中所述签名（142）直接被投影到所述至少一个传感器（121、122）中和/或到所述至少一个传感器（121、122）的测量区中。

4.根据前述权利要求之一所述的方法，其中所述签名（142）包括基于电磁波和/或基于声波的签名。

5.根据前述权利要求之一所述的方法，其中所述签名（142）包括时间上变化的签名。

6.根据前述权利要求之一所述的方法，其中根据所分析的传感器数据执行对车辆（110）的车辆引导的自动干预（230）。

7.根据权利要求6所述的方法，

其中第一传感器（121）的传感器数据作为第一传感器数据来检测并且借助签名来签名并且其中第二传感器（122）的传感器数据作为第二传感器数据来检测并且借助签名来签名（201），

其中在第一分析（210）的过程中第一传感器数据和第二传感器数据与签名一起进行分析并且分别确定第一传感器数据和第二传感器数据的第一完整性（213），

其中在第二分析（220）的过程中第一传感器数据和第二传感器数据与签名一起进行分析并且分别确定第一传感器数据和第二传感器数据的第二完整性（223），

其中根据第一完整性和第二完整性并且根据第一传感器数据和第二传感器数据执行对车辆（110）的车辆引导的自动干预（230）。

8.根据权利要求7所述的方法，其中分别在第一分析（210）的过程中确定第一完整性和/或在第二分析（220）的过程中确定第二完整性，其方式是：

从第一传感器数据确定第一姿势信息，所述第一姿势信息描述车辆（110）在参考时刻的位置和/或定向（211、221），

从第二传感器数据确定第二姿势信息，所述第二姿势信息描述车辆（110）在参考时刻的位置和/或定向（211、221），

第一姿势信息与第二姿势信息进行相互比较（212、222）并且根据所述比较来确定（213、223）第一传感器数据和第二传感器数据的相应完整性。

9.根据权利要求8所述的方法，其中第一姿势信息和/或第二姿势信息与环境信息进行比较，所述环境信息描述在具体参考时刻的车辆（110）的周围环境（100），并且其中根据所述比较来确定（213、223）第一和第二传感器数据的相应完整性。

10.根据权利要求9所述的方法，其中所述车辆（110）与周围环境（100）的参考点（102）的间距被确定（211、221）为第一姿势信息和/或第二姿势信息。

11.根据权利要求9或10所述的方法，其中所述车辆（110）在坐标系（341、342）中的位置和/或定向被确定为第一姿势信息和/或第二姿势信息。

12.根据权利要求7至11之一所述的方法，其中根据第一完整性和/或第二完整性来确定（232），多强地执行对车辆引导的自动干预。

13.根据权利要求6至12之一所述的方法，其中在自主移动和/或在自动停放的过程中执行对车辆（110）的车辆引导的自动干预（230）。

14.根据权利要求6至13之一所述的方法，其中执行（233）对车辆（110）的纵向引导和/或横向引导和/或对制动和/或驱动的干预作为对车辆引导的自动干预。

15.根据前述权利要求之一所述的方法，其中所述至少一个传感器（121、122）借助所述签名来校准。

16.一种计算单元，其被设立用于执行根据前述权利要求之一所述的方法。

17.一种计算机程序，其促使计算单元当计算机程序在计算单元上实施时执行根据权利要求1至15之一所述的方法。

18.一种机器可读的存储介质，其具有在其上存储的根据权利要求17所述的计算机程序。