CN107571868B - 用于执行对车辆的车辆引导的自动干预的方法 - Google Patents

Abstract

本发明涉及一种用于执行对车辆的车辆引导的自动干预的方法，其中，第一传感器的传感器数据作为第一传感器数据来检测，第二传感器的传感器数据作为第二传感器数据来检测；其中，在第一评估的进程中，评估所述第一传感器数据和所述第二传感器数据，并且分别确定所述第一传感器数据和所述第二传感器数据的第一完整性；其中，在第二评估的进程中，评估所述第一传感器数据和所述第二传感器数据，并且分别确定所述第一传感器数据和所述第二传感器数据的第二完整性；其中，根据所述第一完整性和第二完整性并且根据所述第一传感器数据和所述第二传感器数据执行对所述车辆的车辆引导的自动干预。

Description

用于执行对车辆的车辆引导的自动干预的方法

技术领域

本发明涉及一种用于执行对车辆的车辆引导的自动干预的方法以及用于执行该方法的计算单元的网络和计算机程序。

背景技术

在运动系统的自动化的进程中，车辆能够被自动控制，而无需车辆驾驶员的干预（自主前进）。为了这个目的，车辆的环境能够借助于传感器，例如摄像机、雷达设备、激光雷达设备等等在测量技术上被检测。相应的、利用所述传感器被检测到的传感器数据能够被评估，并且对所述车辆引导（例如转向、制动、驱动等等）的自动干预能够基于这些被评估的传感器数据被执行，例如通过相应地操控该车辆的执行器的方式。

这些干预能够例如被该车辆本身的控制设备确定，从而使得所述车辆本身自主地自我控制。也能够被考虑的是，所述干预被外部的计算单元确定，从而使得所述车辆能够被外部地远程控制。

例如，在这样的自主前进的进程中，车辆能够在停车场上或者在室内停车场中被自动地泊入和泊出（自动泊车）。因此，所述车辆能够被自主地从驶入和驶出区域停泊进相应的停车空位中，并且从这个停车空位再次自行运动回所述驶入和驶出区域。

对于所述自主前进来说重要的是，所述传感器数据是完整的，以便防止该车辆的乘客或者其他交通参与者遭到危险，基于所述传感器数据所述车辆引导被干预。足够的数据完整性（数据信息的可信度（Vertrauensgrad））是必需的，以便能够执行对所述车辆引导的、安全的、主动的干预。

所述数据完整性包括不同的完整性类型，尤其是正确的内容（当真实世界的事实情况被正确地映射时，存在这种完整性类型）、未被修改的状态（当消息不被改变地被投递（zustellen）并且程序和过程如预期的那样进行时，存在这种完整性类型）和修改（Modifikation）的识别（当不能够被阻止的、不被期望的修改至少被识别时，存在这种完整性类型）。

例如，由DE 10 2012 215 343 A1公开了一种用于执行车辆的安全功能的方法。根据至少一个完整性值检验：被传输的数据对于该安全功能的执行是否是足够可靠的。

发明内容

根据本发明建议一种用于执行对车辆的车辆引导的自动干预的方法以及用于执行该方法的计算单元的网络和计算机程序。所述车辆能够有利地被构造为地面车辆，尤其是机动车、混合动力车辆或者电动车辆、乘用车或者商用车，例如被构造为轿车、货车、摩托车、公共汽车、列车等等。也能够被考虑的是，所述车辆被构造为离开被固定的道路能够运行的车辆，例如越野车（乌尼莫克（Unimog）、两栖车辆（Amphibienfahrzeug）、推雪车（Pistenraupe）等等）、ATV（全地形车辆，例如小型越野汽车（Quad））或者雪地车辆（Schneemobil）。所述车辆尤其也能够被构造为空中或者水上运输工具，例如飞机、直升机、船（Boot）、摩托艇（Jetski）等等。所述运输工具能够被运输工具驾驶员或者司机控制，或者也能够是无人驾驶的、被远程控制的运输工具，例如无人机。

在该方法的框架中，第一传感器的传感器数据作为第一传感器数据被检测，第二传感器的传感器数据作为第二传感器数据被检测。在第一评估的进程中，所述第一传感器数据和所述第二传感器数据彼此独立地被评估，并且所述第一传感器数据和所述第二传感器数据的第一完整性分别被确定。与此类似地，所述第一和第二传感器数据的第二评估彼此独立地被执行，在该第二评估的进程中所述第一传感器数据和所述第二传感器数据的第二完整性分别被确定。这个第一和第二评估尤其能够同时或者至少基本上同时被执行。因此，所述传感器数据的完整性的冗余的确定能够被执行，并且所述传感器数据能够冗余地被相互校验可信性（plausibilisieren）。例如，多级的完整性检验能够通过下述方式被执行：所述第一传感器数据和/或所述第二传感器数据分别被划分成组。这些组或者这些组的完整性能够被相互比较或者被相互校验可信性。

应当理解，多于两个的传感器的传感器数据也能够被检测。因此，这些大量的传感器数据不仅在该第一也在该第二评估的进程中被评估，并且这些大量的传感器数据的第一和第二完整性分别被确定。

根据所述第一完整性、所述第二完整性以及根据所述第一传感器数据和所述第二传感器数据执行对该车辆的车辆引导的自动干预。为了这个目的，所述第一和第二传感器数据例如被评估，以便产生输入数据，基于所述输入数据确定对所述车辆引导的干预或者相应的用于执行器的操控数据。

尤其是，通过所述方法能够提供平行的、用于评估所述传感器数据的数据流，所述传感器数据彼此独立地被检验、尤其是在交叉比较（Kreuzvergleichen）的进程中。尤其是独立的计算方法被用于所述第一评估和所述第二评估。通过所述交叉比较或者评估，所述数据流的数据内容尤其不被改变并且不被切断（abschalten）。所述数据流尤其获得独立的限定词（Qualifier），所述限定词指示相应的数据质量（Datengüte）。有利地，从所述传感器直到所述执行器的、平行的、独立的数据流被实施。所述数据流尤其独立地通过全部的系统和子系统被引导。在传统的车辆中，传感器和执行器大多相互依赖地被集成。与此相反地，通过所述方法实现的是：功能独立地（funktionsunabhängig）评估传感器并且功能独立地操控执行器。这尤其能够在下述情况下被实现：传感器和执行器通过以太网连接。通过这样的、独立的实施尤其产生传感器数据的更精准的可信性校验可能性，并且所述数据的完整性能够被提高。

有利地，所述自动干预在自主前进和/或自动停泊的进程中被执行，其中，所述车辆基于所述传感器数据被自动控制，尤其是无需车辆驾驶员的干预。所述车辆能够在此自动地自我控制或者被外部的计算单元远程控制。也能够被考虑的是，所述干预有利地通过驾驶员辅助功能（Fahrerassistenzfunktion）被执行，例如通过防偏驶警报系统（Spurhalteassistent）、间距调节巡航控制装置（Abstandsregeltempomat）、自主的纵向引导等等。

尤其是，与该车辆的位置和/或取向有关的第一和第二传感器数据被检测。根据这些传感器数据尤其能够通过所述自动干预，有利地在该自主前进或者该自主停泊的进程中，控制或者调节该车辆的位置或者取向。

通过所述方法实现的是：为了自动干预所述车辆引导而在多个不同的平面（Ebenen）中实现冗余，尤其是在该自主前进或者该自主停泊的进程中。尤其是一贯（durchgängig）冗余的结构能够被实现，从该车辆位置的检测直到在所述车辆中控制指令的实施。一方面，所述位置或者取向能够借助于不同的、冗余的传感器在测量技术上被检测并且被相互校验可信性。此外，这种可信性校验也能够在两个评估的进程中冗余地被执行。数据能够在不同的平面中被相互校验可信性或者在交叉比较的进程中被监控。有利地能够因此保证，完整的数据在其它的处理级中被利用或者被传递。因此通过所述方法为所述自主前进确保最大的安全性。

尤其是，通过所述方法和不同的冗余也能够在出现故障的情况下确保：所述车辆能够安全地被运行。在损失冗余时，当例如所述传感器中的一个传感器失灵时或者当所述评估中的一个评估不再能够被执行时，所述车辆还是能够通过剩余的资源继续被控制并且被转运（überführen）到安全的状态中，例如直到在安全的位置处、例如在道路边缘或者紧急车道处停止。因此，在损失冗余时无需突然停止车辆，这可能能够导致乘客或者其他的交通参与者遭到危险。

在损失冗余时，相应的数据或者数据流常常没有完全地被损坏，而是例如只有所述数据中的部分能够是不能使用的或者被损坏的。例如，能够是下述情况：基于这样被损坏的数据不能够再执行人员识别，然而还能够执行道路和路标识别。因此，所述相应的数据能够至少部分还是足够可靠的，以便能够继续进行该车辆的防御性（defensive）的行驶。

有利地，通过所述一贯冗余的结构能够识别并且防止攻击（Angriffe）。尤其是，不同的加密（Verschlüsselung）能够分别被用于所述评估和所述自动干预。为了能够影响所述车辆或者该车辆的行驶行为，攻击者必须同时处理（manipulieren）不同的加密，这几乎能够被排除。此外，对所述车辆、尤其是所述车辆引导的攻击能够容易地被识别。为了设法访问（Zugriff）所述车辆并且在攻击的进程中影响所述车辆引导，攻击者必须将数据引进到所述车辆中，所述数据能够与被所述传感器检测到的传感器数据一致并且能够利用这些传感器数据被校验可信性。因此，所述攻击者必须模仿所述不同的传感器在各个具体的参考时刻检测到的对象。否则，通过比较所述传感器数据能够立即注意到，这不是真正的传感器数据而是攻击。然而，几乎排除的是，攻击者能够精确地模仿在各个具体的参考时刻的传感器数据，因此攻击几乎是不可能的。

所述第一传感器和/或所述第二传感器分别优选地被构造为车辆自身的或者脱离车辆的传感器。车辆自身的传感器在此能够被理解为是该车辆的构件的传感器，例如内部的摄像机、雷达设备、激光雷达设备、GPS设备、导航系统、转向角度传感器、车轮转速传感器、加速度传感器、转速传感器、惯性传感器等等。尤其是，这样的、车辆自身的传感器的传感器数据本来在该车辆的常规运行的进程中就会被检测。借助于这样的加速度传感器尤其能够确定该车辆的纵向加速度和/或横向加速度。借助于转速传感器能够有利地确定该车辆的偏转率（Gierrate）、侧倾率（Rollrate）和/或俯仰率（Nickrate）。

脱离车辆的传感器在此能够被理解为不是该车辆的构件的传感器，例如外部的摄像机、雷达设备、激光雷达设备等等。这样的、脱离车辆的传感器被布置在该车辆以外，并且尤其被固定地安装在别的车辆中或者在该车辆的环境中，例如在道路上、在交通控制（verkehrsberuhigt）的区域中或者在泊车或者驻车区域中，并且监控这个环境或者该环境的一部分。

所述第一传感器和所述第二传感器能够有利地配属于独立的功能组。例如，所述第一传感器能够配属于用于监控该车辆的第一功能组，所述第二传感器能够配属于与这个第一功能组无关的第二功能组，所述第二功能组监控该车辆的环境。通过所述交叉比较和独立的、从这些传感器直到在所述车辆中的执行器的数据流能够避免危险的、也是故障决定的横向影响或者临界的故障串联（Fehlerkaskadierung）。

特别有利的是，所述方法适宜于执行自主前进或者自动停泊。例如，脱离车辆的传感器能够被布置在车道（Fahrspur）的边缘处（例如在所述道路或者停车场/室内停车场或者别的行驶环境上）并且监控这个车道的一部分。通过评估相应的传感器数据，所述车辆和该车辆的位置或者相对于所述车道的取向能够被确定。根据这些被评估的传感器数据，对所述车辆引导的干预（转向、制动、驱动等等）能够被确定，以便在所述车道上运动所述车辆或者以便在自动泊车的进程中将所述车辆停入进停车空位中和/或泊出。尤其是，所述车辆被自主地从驶入和驶出区域停泊进相应的停车空位中和/或从这个停车空位再次运动回所述驶入和驶出区域。类似地，所述车辆也能够在自动泊车的进程中，根据被布置在所述道路边缘处的脱离车辆的传感器的被评估的传感器数据，被停泊进在所述道路边缘处的停车空位中。

在这样的自主前进或者自动停泊的进程中，适用高的安全准则，因为通过相应的、对所述车辆引导的自主干预不能使该车辆的乘员或者别的交通参与者遭到危险，或者使其它的被停泊的车辆受到损伤。通过评估所述传感器数据的完整性能够确保，这样的自主前进或者自动停泊被安全地和可靠地执行，而不使乘员和其他交通参与者遭到危险。有利地，根据所述被确定的完整性能够确定，尤其是在该自主前进或者自动停泊的进程中，以何种强度执行对所述车辆引导的自动干预，如在下面还将继续详细阐述的那样。所述传感器数据被评估得越不可靠，所述相应的干预被执行得就越不强。通过所述方法能够特别有利地评估，该车辆的当前的位置和当前的周围环境是否能够足够可靠地为了这个目的被确定，如随后描述的那样。

有利地，该完整性的确定在至少一个接口处被执行，例如在所述传感器、所述计算单元和/或所述执行器的接口处。所述独立的、冗余的数据流尤其平行地被检查或者被诊断，例如通过交叉（Kreuz）。这种检查或者诊断能够在合适的通信接口处被执行。

根据一种有利的实施，所述第一完整性被第一计算单元确定，所述第二完整性被第二计算单元确定。所述第一和/或第二计算单元优选与第三计算单元处于通信连接中，其中，对所述车辆引导的自动干预优选被所述第三计算单元执行。这个第三计算单元尤其能够同样地对于所述执行器冗余地实施，从而使得在所述执行器操控处尤其同样能够执行交叉比较。

因此，有利地，不仅实现该完整性的确定的时间上的冗余，而且同样实现空间上的冗余。所述传感器数据的完整性的确定因此尤其同时或者基本上同时在不同的计算单元上被执行。此外，该自动干预的执行与此无关地通过另外的第三计算单元进行，由此引入另外的安全级或者冗余。

优选地，所述第一和/或所述第二计算单元分别被构造为脱离车辆的计算单元，例如分别被构造为用于交通监控的服务器，所述服务器借助于所述传感器监控相应的车道。优选地，所述第一和/或第二计算单元能够分别被构造为室内停车场的和/或停车场的服务器。借助于所述传感器，这样的室内停车场服务器能够有利地监控相应的室内停车场或者停车场。所述第三计算单元（和必要时其它的计算单元）尤其也能够被构造为域名控制设备（Domainsteuergerät）或者车辆引导计算机。

所述第三计算单元有利地被构造为车辆自身的计算单元，有利地被构造为控制设备，所述控制设备相应地操控执行器，以便执行所述自动干预。尤其是，所述第一和/或第二（脱离车辆的）计算单元能够分别例如通过无线电连接，如WLAN/GSM/3G/4G等等与所述车辆自身的第三计算单元处于通信连接中。因此，当例如各个计算单元被不同的能源供电时，尤其能够在能源供应中同样实现冗余的结构。

通过用于执行该自动干预的一贯冗余的结构，所述各个计算单元能够有利地分别在功率上被最优化，并且不必设置附加的消耗能源的安全机制。例如标准操作系统，例如Linux、尤其是实时Linux，能够被用于所述各个计算单元。“实时”表示，进行中的过程具有确定性的（deterministisch）时间相应，并且保证了在一定时间范围内过程的结束。所有处理步骤尤其在足够的并且及时（zeitgerecht）的间隔中被实施。

有利地，同样将所述第一和所述第二计算单元处于通信连接中，例如通过如上所述的无线电连接或者通过有线连接、如以太网。所述第一计算单元尤其将被它确定的第一完整性传送到所述第二计算单元处，所述第二计算单元将这个第一完整性与被它确定的第二完整性比较。类似地，所述第二计算单元尤其将所述第二完整性传送到所述第一计算单元处，所述第一计算单元同样将所述第一和第二完整性相互比较。

当两个完整性相同或者至少基本上（也就是说在允许的误差的范围中）相同时，所述第一和第二计算单元尤其平行地并且彼此独立地分别将所述第一和第二完整性传送到所述第三计算单元处。所述第三计算单元、优选该车辆的控制设备根据所述完整性和所述传感器数据在这种情况下确定所述自动干预，并且执行这个自动干预。所述车辆在这种情况下自我控制。

也能够被考虑的是，当所述两个完整性相同或者至少基本上相同时，不仅所述第一计算单元而且所述第二计算单元分别平行地并且彼此独立地确定待被执行的自动干预。在这种情况下，所述第一和所述第二计算单元能够将它们各自的结果传送到所述第三计算单元处。这个第三计算单元，优选该车辆的控制设备最终执行这个自动干预。在这种情况下，所述车辆尤其通过所述第一或者第二计算单元被远程控制。

尤其是，数据的传送通过所述第一和第二计算单元分别借助于不同的加密（不同类型的加密和/或不同的密码（Schlüssel））进行。因此，尤其能够阻止攻击，因为几乎能够被排除的是：攻击者能够同时处理这两个加密。

有利地，所述第一完整性在该第一评估的进程中和/或所述第二完整性在该第二评估的进程中分别如下所述地被确定：从所述第一传感器数据中优选确定第一姿势信息，所述第一姿势信息描述该车辆在参考时刻的位置和/或取向。类似地，从所述第二传感器数据中优选确定第二姿势信息，所述第二姿势信息同样描述该车辆在所述参考时刻的位置和/或取向。因此，所述姿势信息尤其分别描述所述车辆在所述参考时刻位于哪个具体的位置。

这些第一和第二姿势信息优选被相互比较，并且从这个比较中确定所述第一传感器数据和所述第二传感器数据的相应的完整性。因此，所述第一和第二传感器数据能够被校验可信性。理想地，通过所述第一和所述第二姿势信息被描述的、该车辆的位置或者取向应该是相同的并且反映该车辆的实际位置或者取向。所述第一和第二姿势信息越准确地一致，所述相应的传感器数据的各自的完整性越高。

优选地，不同的传感器的传感器数据因此在时间上和地点上被校准（kalibrieren）。所述传感器数据尤其被引进到时间上和空间上的关联（Kontext）中，或者在空间上和时间上被定义到固定的栅格中（Raster）。不同的传感器数据因此能够被比较，并且被定义到共同的、明确的关联中，并且能够有代表性地和有说服力地被相互比较。通过地点上的校准确保的是，所述传感器至少部分地监控相同区域并且因此检测该相同区域的传感器数据。因此能够实现所述传感器数据的第一重叠。除此之外，通过时间上的校准确保的是，这个共同的区域被所述传感器在相同具体的时刻检测。因此所述传感器数据的另一个重叠被实现。确定该完整性的可能性基于确定被包含在所述传感器数据中的信息的重叠度。当不同的传感器在时间和空间中识别同一物时，即当相应的传感器数据在时间上和地点上重叠时，这些数据具有提高的完整度。

通过时间上的校准尤其能够达到所述传感器数据的、时间上的完整性。在（光学的）信息被发送的时刻与所述信息被所述相应的传感器探测到（光-电-转换）的时刻之间的第一时间间隔尤其能够被补偿。此外，在激发该传感器与产生相应的电信号（物理-电-转换）之间的第二时间间隔以及这个信号的相应的信号运行时间尤其能够被补偿。

通过所述相应的完整性的这种确定，尤其能够补偿不同的数据运行时间（等待时间（Latenzen））。这样的不同的数据运行时间在这种关联下尤其能够被理解为：直到被测量的传感器数据被评估并且相应的、能够利用的信息被确定，对于不同的传感器来说能够持续不同时间。所述数据运行时间能够例如与数据传输时间有关，所述数据传输时间被需要，以便将被所述传感器检测到的传感器数据传输到相应的计算单元中，所述计算单元评估所述传感器数据。此外，所述数据运行时间能够与运行时间有关，例如在所述计算单元中被实施的程序需要所述运行时间，以便评估所述传感器数据并且确定所述相应的信息。

通过所述姿势信息与所述参考时刻的联系，不同的传感器的这些不同的数据运行时间能够被补偿。因此不相互比较在同一第二时刻被确定的姿势信息，因为这些必要时基于在不同的第一时刻被所述相应的传感器检测到的传感器数据。取而代之地，对描述该车辆在同一参考时刻的位置的姿势信息进行相互比较。

因此能够有代表性地评估被检测到的传感器数据有多可靠或者完整。尤其能够因此评估，通过所述传感器能够有多精确地确定该车辆的实际位置。根据所述被确定的完整性尤其能够评估，所述传感器数据是否足够可靠，以便被用于所述自主干预。

例如，相应的完整性值能够被确定，所述完整性值例如能够在0（差）与1（好）之间或者在0%与100%之间。阈值能够被定义，其中，当所述完整性值没有达到这个阈值时，所述传感器数据被评估为不够完整。由此尤其实现的是，将不精确的“传感器”数据（例如神经元网络、卡尔曼滤波的输出数据，其他统计上检测的数据等等）也纳入到完整性确定中。

根据一种有利的实施，将所述第一姿势信息和/或所述第二姿势信息与环境信息比较，所述环境信息描述该车辆在具体的参考时刻的环境。从这个比较中优选确定所述第一和第二传感器数据的相应的完整性。尤其能够因此评估，所述传感器数据有多完整地描述该车辆的位置和环境，并且因此以何种强度根据所述传感器数据有利地执行对所述车辆引导的干预。

优选地，该车辆的环境是道路和/或室内停车场和/或停车场。例如，所述环境信息能够描述所述道路，所述车辆在所述参考时刻在所述道路上运动。例如从该车辆的导航系统的地图数据中或者从所述互联网中或者通过无线的数据连接（必要时从别的车辆处）能够得到这样的环境信息。所述环境信息尤其也能够描述所述室内停车场或者所述停车场。室内停车场或者停车场能够为了这个目的被精确地测量，以便确定所述相应的环境信息。

例如，从所述传感器数据中能够确定在所述参考时刻相对于该车辆的环境的位置。因此，不仅时间上的参考点而且空间上的参考点（尤其是该车辆的环境）被预先给定，所述传感器数据能够被与所述参考点联系起来。所述传感器数据能够因此如上所述有利地被引进到具体的时间上的和地点上的关联中，或者在空间上和时间上被定义到固定的栅格中。所述传感器数据因此变得能够被比较、有代表性和有说服力。

优选地，该车辆与该环境的参考点的距离作为第一姿势信息和/或第二姿势信息被确定。这个参考点能够有利地从所述环境信息中被取出。例如，能够选择在所述环境中的显著的、清楚待辨识的参考点，例如桥、墩（Pfeiler）、十字路口（Kreuzung）、入口（Einmündung）、树、道路标记（Fahrbahnmarkierung）等等。在室内停车场/停车场作为环境时，能够选择例如栏杆（Schranke）、信号灯（Laterne）、上坡、下坡、停车空位、停车空位的标记等等作为参考点。

优选地，该车辆在该车辆的惯性系中相对于该车辆的环境的位置固定的坐标系的相对位置作为第一姿势信息和/或第二姿势信息被确定。替代地或者附加地，该车辆在该车辆的环境的位置固定的坐标系中的绝对位置作为第一姿势信息和/或第二姿势信息也优选能够被确定。

在所述惯性系中，所述车辆尤其能够被假设是不运动的或者静止的。所述惯性系又相对于该环境的位置固定的坐标系以该车辆的当前速度运动。该环境的坐标系能够例如是全球的世界坐标系。例如从该车辆的导航系统的相应的环境信息中和/或从所述互联中或者通过无线的数据连接能够得到这个位置固定的坐标系。例如，道路、室内停车场或者停车场能够被精确地测量，以便确定这样的位置固定的坐标系。

借助于所述惯性系和该惯性系在所述参考时刻（作为时间上的参考）相对于所述位置固定的环境坐标系（作为空间上的参考）的相对取向，所述传感器数据尤其能够如上所述地被引进到空间上的和时间上的关联中，或者在空间上和时间上被定义到固定的栅格中。通过这种利用假设是位置固定的环境的校正（Abgleich）不仅能够保证所述数据的电正确性（尤其是，所述电信息是否正确），尤其也能够保证所述数据的逻辑正确性（例如，在所述车辆前面是否有障碍物或者人员）。

有利地，根据所述第一传感器数据或者所述第二传感器数据的第一完整性和/或第二完整性确定，以何种强度执行对所述车辆引导的自动干预，尤其是以何种强度影响该车辆的执行器。因此使得不同的（differenziert）评估成为可能，并且能够确定，在该自主前进或者自动停泊的进程中允许以何种强度干预所述车辆引导。所述数据完整性越高，这种干预就允许越强地进行。例如，能够定义不同的阈值，其中，当被确定的完整性值达到这些阈值中的一个阈值时，干预强度分别被减小。例如，当尤其被定义在0与1之间的完整性值被乘以相应的干预强度时，也能够考虑该干预强度的连续的适配。

通过所述传感器数据的被确定的完整性能够评估，基于这些传感器数据是否能够执行安全的、对所述车辆引导的干预，或者所述传感器数据是否是太不安全的而应该舍弃。这样的对所述车辆引导的干预能够因此尤其根据标准ISO 26262的安全标准或者根据在其中被定义的ASIL（汽车安全完整性级别）被执行。

通过该干预强度的这种连续的适配尤其能够确保，在该自动停泊的进程中不执行突然的制动-或者转向机动，而是在连续的、“温和的”运动的进程中将所述车辆停泊。该车辆的速度能够在此例如连续地被减小，直到它在相应的停车空位中停止。

优选地，根据所述第一传感器数据和所述第二传感器数据对该车辆的纵向和/或横向引导和/或对制动和/或对驱动的干预作为这样的对所述车辆引导的自动干预被执行。为了在该自主前进的进程中或者在驾驶辅助功能的进程中安全地并且没有危险地执行这样的干预，尤其重要的是，所述传感器能够精确地并且可靠地确定该车辆的当前位置以及当前周围环境。

根据一种优选的改型方案，将其它的、来源于其他传感器的姿势信息与所述第一和第二姿势信息比较。从这个比较中有利地确定具有与所述第一和第二传感器数据相比被提高的数据完整性的传感器数据。优选地，为了提高该数据完整性，通过所述传感器的传感器数据执行表决（所谓的“投票（Voting）”）。在此尤其检查，至少一定数量的传感器数据或者所述传感器数据的姿势信息是否一致或者基本上一致。这些一致的传感器数据尤其具有与所述第一和第二传感器数据相比被提高的数据完整性。

例如，所谓的3取2表决（“2 out of 3 voting”，“2oo3”）能够被执行，在该3取2表决的进程中三个传感器数据中至少两个必须一致。也能够执行100取70表决（“70 out of100 voting”，“70oo100”），在该100取70表决的进程中，100个传感器数据中至少70个必须一致。因此能够实现所述传感器数据的高的误差允许（Fehlertoleranz）和高的可靠性。例如，不精确的传感器数据、具有不同的数据运行时间的传感器数据或者消逝的（verrauscht）传感器数据也能够被引进到所述表决中。

例如也能够被考虑的是，尤其是当不同的控制单元或者功能对两个独立的执行器或者执行器系统起作用时（例如对用于使前轴或者后轴的车轮制动的第一和第二执行器系统，或者例如对在电机中以两个独立的线圈对为形式的两个独立的执行器系统），为执行器执行表决。基于所述完整性能够有利地表决，哪些控制单元或者功能对所述执行器起作用。

优选地，为了确定该第一或者第二完整性此外还能够分别考虑到该第一传感器和/或该第二传感器的元数据（Metadaten）。元数据在这种关联中尤其能够被理解为下述信息，所述信息描述每个传感器能够以何种质量或者准确性在测量技术上检测传感器数据，和/或这些被检测的传感器数据能够以何种质量或者准确性被评估。例如，这些元数据能够在所述各个传感器的制造或者开发过程的进程中以下述方式被确定：所述传感器被精确地测量。例如，这些元数据能够在该制造过程的进程中被储存在所述传感器本身中，并且被所述传感器尤其传输（mitteilen）到相应的计算单元处，所述计算单元在该方法的框架中确定所述完整性。

例如，所述元数据能够描述所述传感器的故障率、诊断覆盖率（（诊断覆盖）Diagnostic Coverage DC）和/或总线运行时间。例如，所述元数据也能够描述概率，例如对于出现干扰或者故障、诸如系统决定的硬件或者软件故障的概率。优选地，所述第一和第二传感器数据的完整性值能够根据这些元数据、尤其根据对于出现故障或者干扰的概率和/或根据这样的故障率被确定。

为了详细阐述这样的元数据，在这一点上参考公开文献DE 10 2012 215 343 A1。可能的故障和相应的故障率的例子例如在这个公开文献的大约第【0030】段中被给出。此外，在这个公开文献中尤其在第【0010】至【0040】段阐述了对元数据，例如故障率、诊断覆盖率、相应的概率的详细实施，以及对根据这样的元数据对数据的完整性值的确定的详细实施，在这一点上完全参考所述第【0010】至【0040】段。

根据本发明的计算单元或者计算单元的网络尤其程序技术地被设置用于执行根据本发明的方法。

以计算机程序为形式的该方法的实施也是有利的，因为这造成特别小的成本，尤其当实施的控制设备还被用于其它的任务并且因此本来就存在时。合适的、用于提供该计算机程序的数据载体尤其是磁性的、光学的和电子的存储器，例如硬盘、闪速存储器（Flash-Speicher）、EEPROM、DVD等等。通过计算机网络（互联网、内部网等等）下载程序也是可能的。

本发明的其它的优点和构造方案从说明书和附图中得出。

本发明借助于实施例在附图中示意性地被示出并且在下文中参照附图被描述。

附图说明

图1 示意性地示出计算单元的网络的优选的构造方案，所述网络被设置用于执行根据本发明的方法的优选的实施方式。

图2示意性地示出作为方框图的根据本发明的方法的优选的实施方式。

具体实施方式

在图1中示意性地示出以轿车为形式的车辆110，所述车辆在主动停泊的进程中在室内停车场100中被自动地停泊。

所述室内停车场100具有大量的停车空位。在图1中示例性地用附图标记101、102、103标明这些停车空位中的三个停车空位。所述车辆110应该在这个例子中在该自动停泊的进程中被停泊进所述停车空位102中。在该自动停泊的进程中，所述车辆110被自动地从该室内停车场100的出口和入口104运动到所述停车空位102中，而无需驾驶员的干预。尤其能够被考虑的是，所述驾驶员已经离开了所述车辆。

在所述室内停车场100中布置两个摄像机121和122，所述摄像机监控所述室内停车场100。第一摄像机121在这个例子中被视作第一脱离车辆的传感器，所述第一脱离车辆的传感器检测第一传感器数据，并且第二摄像机122在这个例子中被视作第二脱离车辆的传感器，所述第二脱离车辆的传感器检测第二传感器数据。

所述第一和第二摄像机121和122均分别与该室内停车场100的两个服务器131和132处于通信连接中。第一服务器131在此被视作第一脱离车辆的计算单元，第二服务器132被视作第二脱离车辆的计算单元。在所述服务器131和132上分别尤其实施具有实时能力的操作系统，例如实时-Linux。

所述两个服务器131和132相互处于通信连接中，例如通过以太网-连接133。此外，两个服务器131和132还与第三计算单元113处于通信连接中，例如通过WLAN-连接134。

这个第三计算单元113优选被构造为该车辆的控制设备，例如汽车控制设备。例如，所述服务器131和132能够间接地与所述控制设备113处于通信连接中。例如，所述服务器131和132能够直接地与WLAN-接收单元111处于通信连接中，并且分别与这个WLAN-接收单元111交换数据。这样被接收的数据能够被所述WLAN-接收单元111通过车辆自身的通信系统112（例如通过现场总线如CAN或者FlexRay）传送到所述控制设备113处。

所述控制设备113和该室内停车场的服务器131和132因此构成计算单元的网络，所述网络被设置用于执行根据本发明的方法的优选的实施方式，所述方法在图2中示意性地作为方框图被示出。

在步骤201中，在此，第一传感器数据被所述第一摄像机121检测，第二传感器数据被所述第二摄像机122检测。所述第一和第二传感器数据不仅被传送到所述第一服务器131处而且被传送到所述第二服务器132处。

在所述第一服务器131中，所述第一和第二传感器数据的第一评估210被实施。平行地并且与此无关地，在所述第二服务器132中实施所述第一和所述第二传感器数据的第二评估220。

在这个第一评估210和这个第二评估220的进程中，所述第一和第二传感器数据分别在所述第一服务器131或者第二服务器132中在时间上和地点上被校准或者被带入到固定的、时间上的和地点上的关联（Kontext）中。

为了这个目的，相应的服务器131或者132在步骤211或者221中从所述第一和第二传感器数据中确定姿势信息，所述姿势信息分别描述该车辆110在参考时刻的位置并且优选地描述取向。

为了补偿所述数据运行时间，这个参考时刻尤其能够通过所述数据运行时间被确定。例如，这个具体的参考时刻能够比当前时刻早0.5秒。

此外，所述传感器数据在地点上被校准，或者被与空间上的参考点联系起来。优选地，为了这个目的，选择该环境的具体的点，所述点利用所述两个摄像机121和122能够容易地被辨识，例如所述停车空位102或者在所述室内停车场内的参考标记。

例如，为了这个目的，在步骤211中，所述服务器131从该摄像机121的第一传感器数据中确定该车辆110在所述参考时刻与所述停车空位102的距离作为第一姿势信息。同样地，所述服务器131从该摄像机122的第二传感器数据中确定在所述参考时刻的这个距离作为第二姿势信息。

例如，能够为了这个目的根据所述第一和第二传感器数据分别执行目标识别。所述车辆110以及所述停车空位102在这些目标识别的进程中分别被识别并且所述距离由此分别被确定。

也能够被考虑的是，从所述第一和第二传感器数据中分别确定该车辆110在该车辆110的惯性系中相对于该室内停车场100的位置固定的坐标系的相对位置，并且由此分别确定所述距离。

在步骤212中，这些第一和第二姿势信息、即这两个距离被相互比较。从这个比较中所述第一服务器131确定213所述第一和第二传感器数据的第一完整性。例如，完整性值能够被确定，该完整性值例如能够在0与1之间。

与步骤211类似地，在步骤221中，所述第二服务器132从该第一摄像机121的第一传感器数据中确定在所述参考时刻在车辆110与停车空位102之间的距离作为第一姿势信息。类似地，所述第二服务器132也从该第二摄像机122的第二传感器数据中确定在所述参考时刻在车辆110与停车空位102之间的距离作为第二姿势信息。

这些第一和第二姿势信息在步骤222中被所述第二服务器132相互比较，并且从这个比较中所述第二服务器132确定223所述第一和第二传感器数据的第二完整性、尤其是同样以在0与1之间的完整性值为形式。

在步骤214中，所述第一服务器131将被它确定的第一完整性传送到所述第二服务器132处。与此类似地，所述第二服务器132将被它确定的第二完整性在步骤224中传送到所述第一服务器131处。所述第一服务器131在步骤215中将所述两个完整性相互比较，与此类似地，所述第二服务器132在步骤225中将所述两个完整性相互比较。

只有当这两个完整性相同或者至少基本上相同时，对所述车辆引导的自动干预230才在该自动停泊的进程中被执行。因此，利用所述两个摄像机121和122能够确保在所述室内停车场100中的车辆110的位置的和需要时取向的冗余的检测。通过在两个不同的服务器131和132上平行地评估和确定这些摄像机121，122的传感器数据的完整性，此外还能够执行所述传感器数据的冗余的可信性校验（Plausibilisierung）。因此保证不正确的数据不被利用或者不被传递。

为了干预230所述车辆引导，首先在步骤216中所述第一和第二完整性以及所述第一和第二传感器数据被所述第一服务器131传送到该车辆110的WLAN-接收单元111处。同样地，在步骤226中所述第一和第二完整性以及所述第一和第二传感器数据被所述第二服务器132传送到该车辆110的WLAN-接收单元111处。

在步骤231中，这些数据被所述WLAN-接收单元111通过所述CAN总线112传送到所述控制设备113处。根据所述第一完整性和所述第二完整性以及根据所述第一传感器数据和所述第二传感器数据，所述控制设备113执行对所述车辆引导的自动干预。

为了这个目的，所述控制设备113在步骤232中确定用于该车辆110的执行器的操控值。尤其是，所述控制设备113根据所述完整性值确定以何种强度进行对所述车辆引导的这种自动干预，和以何种强度操控相应的执行器。例如，为了这个目的，用于所述执行器的操控值能够被乘以被确定的第一或者第二完整性值。

在步骤233中，所述执行器被相应地操控，从而使得所述车辆110相应地运动。例如，在该运动的进程中，对该车辆110的纵向和横向引导、对该车辆110的驱动以及制动的干预能够被执行。

通过这种在不同平面中的冗余的结构能够确保，不同的安全标准被考虑到。例如，该室内停车场的服务器131，132能够按照该室内停车场100的安全准则被运行。通过所述控制设备113对所述车辆引导的干预能够按照该车辆领域的安全标准被执行，例如根据标准ISO 26262以及在其中被定义的ASIL（汽车安全完整性级别）。

Claims (14)

1.用于执行对车辆（110）的车辆引导的自动干预的方法，

其中，第一传感器（121）的传感器数据作为第一传感器数据来检测，第二传感器（122）的传感器数据作为第二传感器数据来检测（201）；

其中，在第一评估（210）的进程中，评估所述第一传感器数据和所述第二传感器数据，并且分别确定（213）所述第一传感器数据和所述第二传感器数据的第一完整性；

其中，在第二评估（220）的进程中，评估所述第一传感器数据和所述第二传感器数据，并且分别确定（223）所述第一传感器数据和所述第二传感器数据的第二完整性；

其中，根据所述第一完整性和第二完整性并且根据所述第一传感器数据和所述第二传感器数据执行对所述车辆（110）的车辆引导的自动干预（230），

其中，所述第一完整性在所述第一评估（210）的进程中和/或所述第二完整性在所述第二评估（220）的进程中分别确定，其方式为：

从所述第一传感器数据中确定第一姿势信息，所述第一姿势信息描述（211，221）所述车辆（110）在参考时刻的位置和/或取向；

从所述第二传感器数据中确定第二姿势信息，所述第二姿势信息描述（211，221）所述车辆（110）在所述参考时刻的位置和/或取向；

将所述第一姿势信息和所述第二姿势信息相互比较（212，222），并且从这个比较中确定（213，223）所述第一传感器数据和所述第二传感器数据的相应的完整性。

2.根据权利要求1所述的方法，

其中，所述第一完整性由第一计算单元（131）确定（213），并且其中，所述第二完整性由第二计算单元（132）确定（223）；

其中，所述第一计算单元（131）和/或所述第二计算单元（132）与第三计算单元（113）处于通信连接中，并且其中，对所述车辆引导的自动干预（230）由所述第三计算单元（113）执行。

3.根据权利要求2所述的方法，其中，所述第一计算单元（131）和/或所述第二计算单元（132）分别构造为脱离车辆的计算单元，和/或其中，所述第三计算单元（113）构造为车辆自身的计算单元。

4.根据权利要求1所述的方法，其中，将所述第一姿势信息和/或所述第二姿势信息与环境信息比较，所述环境信息描述所述车辆（110）在所述参考时刻的环境（100），并且其中，从这个比较中确定所述第一和第二传感器数据的相应的完整性（213，223）。

5.根据权利要求4所述的方法，其中，确定所述车辆（110）与所述环境（100）的参考点（102）的距离作为第一姿势信息和/或第二姿势信息（211，221）。

6.根据权利要求4或者5所述的方法，其中，确定所述车辆（100）在坐标系（341，342）中的位置和/或取向作为第一姿势信息和/或第二姿势信息。

7.根据权利要求1所述的方法，其中，根据所述第一完整性和/或所述第二完整性确定以何种强度执行对所述车辆引导的自动干预（232）。

8.根据权利要求1所述的方法，其中，根据所述第一传感器数据和所述第二传感器数据将对所述车辆（110）的纵向-和/或横向引导和/或对制动和/或对驱动的干预作为对所述车辆引导的自动干预来执行（233）。

9.根据权利要求1所述的方法，其中，对所述车辆（110）的车辆引导的自动干预（230）在自主前进的进程中和/或在自动停泊的进程中执行。

10.根据权利要求1所述的方法，其中，所述第一传感器和/或所述第二传感器构造为摄像机（121，122）和/或雷达设备和/或激光雷达设备和/或被构造为转向角度传感器和/或车轮转速传感器和/或加速度传感器和/或转动速率传感器。

11.根据权利要求1所述的方法，其中，所述第一传感器和/或所述第二传感器构造为惯性传感器。

12.计算单元（113，131，132），其被设置用于执行根据上述权利要求1-11中任一项所述的方法。

13.计算机程序产品，其促使计算单元（113，131，132）执行根据权利要求1至11中任一项所述的方法，当该计算机程序产品在所述计算单元上被实施时。

14.机器能读取的存储介质，其具有被储存在其上的、根据权利要求13所述的计算机程序产品。

Images