DE102007058192A1

DE102007058192A1 - Zentrales Steuergerät für mehrere in einem Kraftfahrzeug vorgesehene Assistenzsysteme und Kraftfahrzeug (Wegen nicht zuerkannter Prio)

Info

Publication number: DE102007058192A1
Application number: DE200710058192
Authority: DE
Inventors: Jürgen DIEBOLD
Original assignee: Continental Teves AG and Co OHG
Current assignee: Continental Teves AG and Co OHG
Priority date: 2007-12-04
Filing date: 2007-12-04
Publication date: 2009-06-10
Also published as: WO2009071345A1

Abstract

Es wird ein zentrales Steuergerät (1) für mehrere in einem Kraftfahrzeug vorgesehene Assistenzsysteme (2, 3, 4, 5) beschrieben, die jeweils einzeln arbeiten und von denen mindestens ein Assistenzsystem (2, 3, 4, 5) mit Umfeldsensoren ausgestattet ist. Das zentrale Steuergerät (1) ist mit den einzelnen Assistenzsystemen (2, 3, 4, 5) verbunden und dazu eingerichtet, Sensorinformationen von den Assistenzsystemen (2, 3, 4, 5) zu erhalten und auszuwerten sowie Status- und/oder Steuerbefehle an die Assistenzsysteme (2, 3, 4, 5) zurückzumelden. Um durch die Assistenzsysteme (2, 3, 4, 5) auch sicherheitsrelevante Eingriffe in die Fahrdynamik realisieren zu können, wird vorgeschlagen, dass das zentrale Steuergerät (1) eine Sicherheitskontrolleinheit (6) aufweist, welche dazu eingerichtet ist, nicht-redundante Sensorinformationen der einzelnen Assistenzsysteme (2, 3, 4, 5) mittels analytischer Redundanzen verschiedener, von dem zentralen Steuergerät (1) erhaltener Sensorinformationen zu überprüfen.

Description

Die Erfindung betrifft ein zentrales Steuergerät für mehrere in einem Kraftfahrzeug vorgesehene Assistenzsysteme sowie ein mit diesem Steuergerät ausgerüstetes Kraftfahrzeug. Das zentrale Steuergerät gemäß dem Oberbegriff des Anspruchs 1 ist ein gemeinsames Steuergerät für mehrere, jeweils einzeln und autark arbeitende Assistenzsysteme, von denen mindestens ein Assistenzsystem mit Umfeldsensoren zur Erfassung des Fahrzeugumfelds ausgestattet ist. Das zentrale Steuergerät ist mit den einzelnen Assistenzsystemen verbunden und dazu eingerichtet, Sensorinformationen von den Assistenzsystemen zu erhalten und auszuwerten sowie Status- und/oder Steuerbefehle an die Assistenzsysteme zurückzumelden.
Kraftfahrzeuge werden zunehmend mit Assistenzsystemen ausgestattet, zu denen erfindungsgemäß insbesondere komfortorientierte Fahrerassistenzsysteme, elektronisch steuerbare Bremsassistenzsysteme insbesondere mit einem Notbremsassis tenzsystem und Telematiksysteme gegebenenfalls mit einer automatischen Notruffunktion gehören, die neben fahrzeugeigenen Sensoren zur Erfassung der Fahrzeuggeschwindigkeit u. a. auch Umfeldsensoren aufweisen. Derartige Umfeldsensoren können beispielsweise Radarsensoren, Kameras, LIDAR-Sensoren (LIght Detection And Ranging) sein, welche die Rückstreuung ausgesendeter Lichtpulse detektieren. Als Umfeldsensoren werden im Rahmen der Erfindung auch Telematiksysteme verstanden, die Sensorinformationen benachbarter Kraftfahrzeuge oder sonstiger Einrichtungen (bspw. Barken am Straßenrand) in einer Car2Car- bzw. Car2x-Kommunikation übermitteln.
Bisher bekannte Fahrerassistenzsysteme (FAS bzw. DAS – Driver Assistance System), Notbremssysteme, wie beispielsweise das in der WO 2004/085220 A1 beschriebene APIA-System, und/oder Telematiksysteme, wie das aus der DE 10 2005 037 155 A1 bekannte Notrufsystem oder das aus der DE 10 2004 017 602 A1 bekannte Car2x-System, dienen dabei nicht ausschließlich der Fahrerinformation, sondern leiten teilweise selbsttätig Eingriffe in das Fahrzeugsystem ein, die unter dem Sicherheitsaspekt in eine kritische Kategorie eingestuft werden. Hierfür gibt es einzuhaltende Sicherheitsbestimmungen.
Einschlägig ist insbesondere die Norm IEC 61508, welche vier diskrete Sicherheitsintegrationsstufen (SIL, Safety Integrity Level) definiert. Diese Stufen geben Höchstgrenzen für eine mittlere Wahrscheinlichkeit eines Ausfalls der Sicherheitsfunktionen bei Anforderung und die Wahrscheinlichkeit eines gefahrbringenden Ausfalls pro Stunde sowie bestimmte Hardware-Fehlertoleranzen an. Entsprechend der vorgenannten Norm müssen beispielsweise Notbremseingriffe in das Fahrzeugsystem mindestens den Anforderungen der kritischen Kategorie SIL3 genügen, welche das Vorliegen sicherer und redundanter Informationen zur Entscheidungsgrundlage fordert.
Typische Umfeldsensoren, die im Zusammenhang mit den vorgeschriebenen Assistenzsystemen eingesetzt werden, erfüllen diese Anforderungen an die Redundanz gemäß der Stufe SIL3 jedoch nicht und sind meist nur entsprechend der Stufe SIL2 ausgelegt. Damit dürfen durch diese Umfeldsensoren gewonnene Daten nicht zur alleinigen Grundlage für den vollautomatischen Bremseingriff in ein Fahrzeugsystem oder sonstige sicherheitsrelevante Eingriffe gemacht werden. Auf Grundlage dieser Umfeldsensoren können also der Sicherheitsstufe SIL3 unterliegende Eingriffe nicht beliebig durchgeführt werden.
Dies soll nachfolgend am Beispiel automatischer Bremseingriffe zur Reduktion des Anhalteweges des Kraftfahrzeugs beschrieben werden. So ist beispielsweise aus der WO 2005/044652 A1 ein Bremsassistent für Kraftfahrzeuge bekannt, bei dem neben einer Steuereinrichtung zur Vorbereitung oder Einleitung einer Notbremsung auch eine Bewertungseinrichtung zur Erkennung des Bremswunsches des Fahrers vorgesehen ist, die bei ihrer Bewertung die Signale einer Umfeldsensorik mit aufnimmt und auswertet. Entscheidend ist, dass eine Notbremsung nur dann eingeleitet wird, wenn auch auf einen Bremswunsch des Fahrers rückgeschlossen werden. Dies ist jedoch nachteilig, da nach wie vor die weitaus meisten Unfälle auf Fehleinschätzungen des Fahrers beruhen. Auch wenn die Sensorik der in dem Fahrzeug vorhandenen Assistenzsysteme daher objektiv eine Situation erkennen kann, in der eine Notbremsung die einzig sinnvolle Reaktion zur Vermeidung eines Unfalls oder Minderung der Unfallfolgen ist, kann dieses System die Notbremsung nicht unbedingt und uneingeschränkt einleiten, wenn der Fahrer die Einschätzung des Systems nicht teilt und beispielsweise aus Überschätzung seines fahrerischen Könnens das Kraftfahrzeug sogar noch weiter beschleunigt.
Die WO 2004/085220 A1 beschreibt ein elektronisches Steuersystem für ein Fahrzeug und ein Verfahren zum Ermitteln mindestens eines vom Fahrer unabhängigen Eingriffs in ein Fahrzeugsystem. Der Eingriff ist als zeitlich und/oder in der Intensität begrenzter autonomer Bremseneingriff realsisiert, wobei auch hier der Fahrerwunsch und eine Ermittlung des Gefahrenpotenzials zur Freischaltung, bedingten Freischaltung oder Sperrung von Stelleingriffen führt. Dazu wird ein zentrales elektronisches Steuersystem vorgeschlagen, welches mit vielen autonom arbeitenden Assistenzsystemen verbunden ist, das Sensordaten sammelt und Anforderungsbefehle an die einzelnen Assistenzsysteme zurückmeldet, wenn eine Gefahrensituation erkannt wird. Diese Anforderungsbefehle betreffen sowohl die passive als auch die aktive Sicherheit und können von einem Brems- beziehungsweise Notbremsassistenzsystem zum Einleiten einer Vorbremsung ("prebrake") herangezogen werden.
Auch bei diesem System besteht jedoch das Problem, dass die Zuverlässigkeit der verwendeten Sensordaten zur Ermittlung der Stelleingriffe und die Komplexität der Situation bei fahrdynamischen Eingriffen in das Fahrzeug keine autonomen Eingriffe zulassen, weil die Vorgaben der entsprechenden Sicherheitsstufe nicht eingehalten werden können. Daher können die aus dem Gefahrenrechner ermittelten Stelleingriffe nur nach einer Bewertung in einer Arbitriereinheit mit dem in dem Fahrerwunschmodul ermittelten Fahrerwunsch in eingeschränktem Umfang realisiert werden. Insbesondere dürfen ausgelöste Bremseingriffe des Systems aufgrund der nicht-redundanten Sensorkonfigurationen nicht beliebig durchgeführt werden, sondern müssen in der Intensität und/oder in der Eingriffsdauer beschränkt werden.
Aufgabe der vorliegenden Erfindung ist es daher, eine Möglichkeit vorzuschlagen, mit der sicherheitsrelevante Eingriffe in die Fahrdynamik des Fahrzeugs durch Einwirkung auf Assistenzsysteme mit stärkerer Eingriffsintensität und/oder längerer beziehungsweise unbeschränkter Eingriffsdauer realisiert werden können. Insbesondere soll ein Kraftfahrzeug mit Fahrerassistenz-, Brems bzw. Notbrems- und/oder Telematiksystemen ausgestattet werden, die weitgehend autonome Eingriffe in die Fahrdynamik zulassen.
Erfindungsgemäß wird diese Aufgabe durch ein zentrales Steuergerät mit den Merkmalen des Anspruchs 1 gelöst.
Dabei ist vorgesehen, dass das für die Assistenzsysteme gemeinsame, zentrale Steuergerät eine Sicherheitskontrolleinheit aufweist, welche dazu eingerichtet ist, nicht-redundante Sensorinformationen der einzelnen Assistenzsysteme mittels analytischer Redundanzen verschiedener, von dem zentralen Steuergerät erhaltener Sensorinformationen zu überprüfen. Dem liegt die Erkenntnis zugrunde, dass auch von nicht-redundanten Sensoren gelieferte Daten durch das Herstellen logischer Relationen in Form analytischer Redundanzen auf ihre Zuverlässigkeit überprüft werden können, sodass nach einer erfolgreichen Überprüfung diese Sensordaten als sicher angenommen werden können. Dazu können die Sensordaten durch Daten anderer Sensoren überprüft und/oder die ermittelten Sensordaten eines nicht-redundanten Sensors in einen zeitlichen Kontext gestellt werden.
Letzteres ist insbesondere bei Kameraaufnahmen möglich, die beispielsweise aus einer Momentaufnahme eine bestimmte Sensorinformation extrahieren, die anhand einer zeitlich später erfolgten Kameraaufnahme noch einmal überprüft werden kann. Handelt es sich bei der Kamerainformation beispielsweise um ein vorausfahrendes Fahrzeug, kann anhand von Geschwindigkeitsinformationen überprüft werden, ob das zeitlich später aufgenommenen Kamerabild, welches das gleiche vorausfahrende Fahrzeug identifiziert, mit den gewonnenen Sensorerkenntnissen übereinstimmt. Ist dies der Fall, können die Daten als sicher eingestuft werden. Entsprechende analytische Redundanzen können neben dem vorerwähnten Beispiel auch durch viele andere Sensorinformationen erreicht werden, die in Zusammenhang miteinander gesetzt werden. Hierdurch können ursprünglich nicht-redundante beziehungsweise sichere Sensordaten nach einer Überprüfung als sicher eingestuft werden und entsprechend den Bestimmungen der Norm IEC 61508 als relevante und sichere Sensordaten gemäß der Sicherheitsintegritätsstufe SIL3 eingestuft werden.
Vorteilhafterweise werden nicht-redundante Sensorinformationen in der Sicherheitskontrolleinheit nach einer erfolgreichen Überprüfung der analytischen Redundanzen plausibilisiert. Die entsprechend gekennzeichneten Sensorinformationen entsprechen dann dem SIL3-Standard. Zur Plausibilisierung erfolgt die Überprüfung der analytischen Redundanz wie zuvor beschrieben insbesondere durch einen Vergleich mit anderen Sensorinformationen. Sofern bereits redundante und sichere Sensorinformationen vorliegen, die beispielsweise von einem SIL3-Sensor stammen, werden diese unmittelbar und ohne Vergleich mit anderen Sensordaten plausibilisiert. Die Plausibilisierung kann durch eine Zusatzinformation in den Sensordaten, beispielsweise durch eine Kennung, angezeigt werden, die auch einen Rückschluss auf die die Plausibilisierung durchführende Stelle und/oder die zur Plausibilisierung herangezogenen Daten erlauben kann.
Insbesondere können in der Sicherheitskontrolleinheit vorzugsweise alle oder ausgewählte nicht-redundante Sensorinformationen von Umfeldsensoren mit dem Ziel der Plausibilisierung überprüft werden. Die Sensorinformationen der Umfeldsensoren spielen gerade im Hinblick auf sicherheitsrelevante und fahrdynamische Eingriffe in das Kraftfahrzeugsystem eine besonders wichtige Rolle.
Um ein besonders hohes Maß an Sicherheit zu erhalten, können in der Sicherheitskontrolleinheit nicht-redundante Sensorinformationen eines Umfeldsensors ausschließlich durch Sensorinformationen eines anderen Umfeldsensors überprüft werden, die vorzugsweise durch das zentrale Steuergerät auf einem anderen Signalpfad- und/oder in einer anderen Be schreibungsform der Umfeldinterpretation erhalten wurden. Durch einen anderen Signalpfad beispielsweise in einem Fahrzugbussystem werden systematische Signalbeeinflussungen weitestgehend ausgeschlossen. Die unterschiedlichen Beschreibungsformen können beispielsweise verschiedene Ziellisten oder teilweise vorverarbeitete Objektlisten sein, die aufgrund der einzelnen Sensorinformationen erstellt wurden.
Eine weitere Möglichkeit der Überprüfung in der Sicherheitskontrolleinheit liegt darin, dass vorzugsweise alle oder ausgewählte, nicht-redundante Sensorinformationen mittels einer Sicherheitskarte (SafetyMap) analysiert werden, wobei die Sicherheitskarte wenigstens aus einer Navigationskarte mit sicherheitsrelevanten Attributen besteht und vorzugsweise direkt in dem zentralen Steuergerät gespeichert und entsprechend den vorliegenden Informationen gegebenenfalls aktualisiert wird.
Um die Sensordaten nach der Plausibilisierung zu verwerten, kann das zentrale Steuergerät dazu eingerichtet sein, auf Basis der plausibilisierten Sensorinformationen, insbesondere plausibilisierter Sensorinformationen von Umfeldsensoren, Steuerbefehle zu erzeugen und an die Assistenzsysteme zurückzumelden, wobei diese Steuerbefehle einen sicherheitsrelevanten Eingriff in das Fahrzeug bewirken können, ohne dass hierfür eine explizite oder implizit abgeleitete Zustimmung des Fahrers benötigt wird. Diese sicherheitsrelevanten Eingriffe in das Fahrzeug sind auch in ihrer Intensität oder Dauer nicht zwangsläufig begrenzt, sodass beispielsweise bei Vorliegen entsprechend sicherer und re dundanter Sensorinformationen von Umfeldsensoren eine vollautomatische Notbremsung des Kraftfahrzeugs durchgeführt werden kann.
In diesem Fall wäre der Steuerbefehl also ein unbeschränkter und/oder unbedingter Notbremsbefehl an ein Bremsassistenzsystem. Natürlich ist die vorliegende Erfindung nicht auf Steuerbefehle an ein Bremsassistenzsystem beschränkt. Andere Steuerbefehle mit einem ebenfalls sicherheitsrelevanten Eingriff in das Kraftfahrzeug können ein automatischer Eingriff in ein Fahrerassistenzsystem, gegebenenfalls im Rahmen einer automatischen Spurprüfung, einer automatischen Abstandshaltung, oder eine automatisierte Notrufabsendung in einem Telematik-Notrufsystem sein. Auch können die Steuerbefehle plausibilisierte Warnungen in einer Car2Car- oder Car2x-Kommunikation darstellen, die von fremden Systemen, beispielsweise anderen Kraftfahrzeugen, plausibilisiert erzeugt wurden und ohne eigene Plausibilitätsprüfung als sichere und relevante Sensorinformationen eines Umgebungssensors interpretiert werden. Auch diese als sicher und redundant eingestuften Daten können gegebenenfalls unmittelbar entsprechende Eingriffe durch Fahrzugassistenzsysteme bewirken. Die vorgenannten Anwendungsfälle stellen jedoch nur Beispiele dar, in denen die vorliegende Erfindung genutzt werden kann, und sind keineswegs als abzählende Aufzählung zu verstehen. Der Einsatz des erfindungsgemäßen Steuergeräts beziehungsweise des auf diesen ablaufenden erfindungsgemäßen Verfahrens zur Erzeugung eines Notbremsbefehls durch ein Bremsassistenzsystem stellt jedoch eine wichtige Anwendung dar.
Die an das Steuergerät angeschlossenen Assistenzsysteme können vorzugsweise ein komfortorientiertes Fahrerassistenzsystem, ein Bremsassistenzsystem gegebenenfalls mit Notbremsfunktion, ein Telematiksystem gegebenenfalls mit Notruffunktion und/oder ein beliebiges Steuergerät, beispielsweise eine Airbag-Steuerung, sein, die ihre Funktion auch eigenständig ohne das gemeinsame, zentrale Steuergerät ausführen können und insoweit autonom arbeiten.
Um auch intern redundant aufgebaut zu sein, weist das zentrale Steuergerät vorzugsweise eine dual-core Prozessor-Architektur auf. Diese ermöglicht eine redundante Signalverarbeitung.
Ferner kann das zentrale Steuergerät skalierbare Rechenressourcen aufweisen, insbesondere modular skalierbare Speicher (RAM/ROM) und/oder Prozessorgrößen. Dadurch ist das zentrale Steuergerät auch einfach an zukünftige, neue Aufgaben anpassbar. Beispielsweise kann so eine Kunden- oder Third-Party-Software einfach in das zentrale Steuergerät integriert werden. In einem Extremfall bei kleinen Systemausprägungen kann die Funktionalität und die zu integrierende Hardware auch in das Steuergerät des Bremsassistenzsystems (ESP-System) mitintegriert werden, insbesondere wenn vorrangig ein Notbremssystem realisiert werden soll.
Ferner bezieht sich die Erfindung auf ein Kraftfahrzeug mit Assistenzsystemen, insbesondere komfortorientierten Fahrerassistenzsystemen, Brems- beziehungsweise Notbremsassistenzsystemen und/oder Telematiksystemen, wobei das Kraft fahrzeug mit dem vorbeschriebenen gemeinsamen Steuergerät für die Assistenzsysteme ausgestattet ist.
Mit der Erfindung lassen sich die Ansätze zu einer globalen Fahrzeugsteuerung (GCC, Global Chassis Controler) aller fahrzeugdynamischen Systeme (längs-, quer-, und vertikale Stabilisierung) und die Ansätze für Fahrerassistenz- und Bremssysteme, wie APIA, die sicherheitsrelevante Eingriffe vornehmen, sowie telematikbasierte Systeme in einem zentralen Steuergerät umsetzen, das die Anforderungen an eine SIL3-fähige Architektur erfüllt.
Da in dieser SIL3-fähigen Architektur die einzelnen Sensorsignale, die nicht-redundant sind (z. B. die durch ein Telematiksystem mit Car2Car oder Car2Infrastruktur(Car2x)-Kommunikation gewonnen Sensordaten), untereinander plausibilisiert werden, können im Vergleich zu den einzeln für sich arbeitenden Assistenzsystemen stärkere und zeitlich unbeschränkte Systemeingriffe in das Kraftfahrzeug realisiert werden, insbesondere Notbremseingriffe auf Basis von durch Telematiksysteme oder Umfeldsensorik mit erhöhter Reichweite und vergrößerter Zuverlässigkeit zur Verfügung gestellter Informationen.
Damit wird also ein zentrales Steuergerät zur ganzheitlichen Erfassung des Fahrzeugumfelds, der Fahrzeugeigendynamik und zur Ermittlung der Stelleingriffe sowie der Integration von Fahrzeuginertialsensorik für aktive und passive Sicherheitssysteme bereitgestellt, die die hohen Sicherheitsanforderungen der Norm IEC 61508 erfüllt. Durch die skalierbare Architektur des Steuergerätes kann dieses fle xibel an die jeweils existierenden Aufgaben angepasst werden.
Weitere Vorteile, Merkmale und Anwendungsmöglichkeiten der vorliegenden Erfindung ergeben sich auch aus der nachfolgenden Beschreibung eines Ausführungsbeispiels und der Zeichnung. Dabei bilden alle beschriebenen und/oder bildlich dargestellten Merkmale für sich oder in beliebiger Kombination den Gegenstand der vorliegenden Erfindung, auch unabhängig von ihrer Zusammenfassung in den Ansprüchen oder deren Rückbezügen.
Die einzige 1 zeigt schematisch eine erfindungsgemäßes zentrales Steuergerät für mehrere in einem Kraftfahrzeug vorgesehene Assistenzsysteme.
Das zentrale Steuergerät 1 ist mit mehreren Assistenzsystemen verbunden, die jeweils einzeln und autark arbeiten. In dem dargestellten Beispiel sind als Assistenzsysteme ein Fahrerassistenzsystem 2, ein Bremsassistenzsystem 3, welches auch die Funktion eines Notbremsassistenzsystems übernimmt, und ein Telematik-System 4 vorgesehen, das zum Absenden von Notrufen beispielsweise als Ecall-System ausgebildet ist und/oder einer Kommunikation mit anderen Verkehrsteilnehmern (Car2Car-Kommukikationen) oder mit am Straßenrand vorhandener Infrastruktur (Car2Infrastruktur-Kommunikationen) dient. Als weiteres Assistenzsystem 5 beziehungsweise Steuergerät können Airbagsteuergeräte, Steuergeräte für sonstige aktive oder passive Sicherheitselemente, elektronische Steuersysteme oder dergleichen an das zentrale Steuergerät 1 angeschlossen sein.
Zwischen den Assistenzsystemen 2, 3, 4, 5 und dem zentralen Steuergerät 1 ist eine bidirektionale Kommunikationsmöglichkeit vorgesehen, sodass das zentrale Steuergerät 1 insbesondere Sensorinformationsdaten von den Assistenzsystemen 2, 3, 4, 5 erhalten und beispielsweise Steuerungsbefehle and diese zurücksenden kann.
Das Fahrerassistenzsystem 2 ist mit drei nicht dargestellten Umfeldsensoren zur Erfassung des Fahrzeugumfelds ausgestattet, bei denen es sich um einen Radarsensor, eine Kamera und einen LIDAR-Sensor handelt, der das von einer Oberfläche reflektierte Licht eines ausgesendeten Lichtpulses/Burst detektiert. Diese Umfeldsensoren ermöglichen es den Assistenzsystemen, den Fahrer des Kraftfahrzeugs aktiv zu unterstützen. Mittels Radarsensoren wird beispielweise der Abstand zu vorausfahrenden Fahrzeugen erfasst. Kamerasensoren können der Fahrspurerkennung, einer Lichtdetektierung im Dunkeln, einer Verkehrszeichenerkennung oder einer Fahrzeugdetektion dienen. Jeder dieser Umgebungssensoren erzeugt jedoch keine sicheren und redundanten Daten, insbesondere weil die Auswertung und Erkennung von Daten häufig mit gewissen Unsicherheiten verbunden ist und Fehlinterpretationen der Daten nicht ausgeschlossen werden können. Außerdem ist ein technischer Funktionsausfall einzelner Sensoren möglich. So kann beispielsweise die hinter der Windschutzscheibe angeordnete Kamera zeitweise ausfallen, wenn die Windschutzscheibe vereist oder beschlagen ist.
Aus diesem Grund ist es entsprechend der Norm zur funktionalen Sicherheit IEC 61508 nicht zulässig, dass derartige Sensoren, die keine sicheren und redundanten Informationen liefern und damit nicht der Sicherheitsstufe SIL3 angehören, als Grundlage für automatische und selbsttätige Eingriffe in die Fahrdynamik eines Kraftfahrzeugs verwendet werden, insbesondere wenn der Fahrer die durch das Assistenzsystem vorgeschlagene Reaktion nicht bestätigt oder der durch das Assistenzsystem eingeleitete Eingriff nicht in der Dauer oder Intensität begrenzt ist.
Um die durch die Umfeldsensoren des Fahrerassistenzsystems 2 gewonnenen Sensorinformationen zu überprüfen, werden diese daher gemäß in dem erfindungsgemäß vorgeschlagenen Verfahren an das zentrale Steuergerät 1 übertragen und dort in einer Sicherheitskontrolleinheit 6 ausgewertet. Die Sicherheitskontrolleinheit 6 ist dazu eingerichtet, die nicht-redundanten Sensorinformation der einzelnen Assistenzsysteme 2, 3, 4, 5 mittels analytischer Redundanzen verschiedener, von dem zentralen Steuergerät erhaltener Sensorinformationen zu überprüfen. Die zur logischen Überprüfung herangezogenen Sensorinformationen können Sensorinformationen anderer an die Assistenzsysteme 2, 3, 4, 5 angeschlossener Sensoren, insbesondere der Umfeldsensoren, sein. Ferner können an das Steuergerät 1 unmittelbar Sensoren 7, 8 angeschlossen sein, die dem zentralen Steuergerät 1 beispielsweise Informationen über die Fahrzeugdynamik oder das Airbagsystem übermitteln. Natürlich können auch andere Sensoren unmittelbar an das zentrale Steuergerät 1 angeschlossen sein und entweder als Zusatzinformationen für die analytischen Redundanzen herangezogen beziehungsweise selbst überprüft werden. Die direkte Integration von Sensorik 7, 8 in das zentrale Steuergerät 1 hat ferner den Vorteil, dass im Vergleich zu separaten Sensorclustern für beispielsweise das Brems- bzw. ESP-System und den Airbag Kosten gespart werden können.
Ein Beispiel für eine solche analytische Redundanz-Prüfung könnte sein, daß die Bildinformationen einer Kamera die Meßdaten eines Strahlsensors (Radar, Lidar) bestätigen, d. h. eine redundante Information im Sinne SIL3 fähig bilden (Sensorfusion). Diese Daten können nun aber auch durch Dejustage fehlerhafte Werte liefern. Diese Dejustage kann jedoch erfindungsgemäß z. B. mit Hilfe von Fahrdynamiksensorik (Vertikalbeschleunigung und/oder Ausfederwege eines Luftfahrwerks oder einer geregelten Chassis) abgesichert werden – also der über die Kamera ermittelte Horizont mit der sensierten Lage des Chassis plausibilisiert und geprüft werden.
Damit läßt die Fehlerrate zum einen reduzieren und zu anderen die Eingriffstärke der autonomen Eingriffe erhöhen sowie die Zeitdauer der Eingriffe steigern.
Wenn die analytische Redundanz-Prüfung erfolgreich abgeschlossen wurde, gelten die geprüften Sensorinformationen als redundant und sicher. Sie werden dann durch die Sicherheitskontrolleinheit 6 beziehungsweise das zentrale Steuergerät 1 plausibilisiert. Hierzu kann den Sensordaten eine entsprechende Kennung hinzugefügt werden.
Diese plausibilisierten Sensordaten werden den einzelnen Assistenzsystemen 2, 3, 4, 5 zugesandt, sofern das betreffende Assistenzsystem 2, 3, 4, 5 diese Daten auswertet.
In einem häufigen Anwendungsfall werden die plausibilisierten Sensorinformationen der Umfeldsensoren dem Bremsassistenzsystem 3 zugeleitet, das aufbauend auf diesen Informationen in an sich bekannter Weise dann eine automatische Notbremsung einleitet, wenn die Sensorinformationen der Umfeldsensoren sowie gegebenenfalls weitere Sensorinformationen, die durch das zentrale Steuergerät 1 plausibilisiert wurden, eine Gefahrensituation anzeigen, die eine Notbremsung erforderlich macht. Da die Notbremsung dann auf der Grundlage plausibilisierter Sensorinformationen erfolgt, die der Sicherheitsstufe SIL3 entsprechen, muss die Notbremsung weder durch den Fahrer aktiv bestätigt werden noch findet zwangsläufig eine Beschränkung der Bremsdauer oder Bremsintensität durch das System statt.
Indem die Assistenzsysteme durch die erfindungsgemäß vorgeschlagene Plausibilisierung an sich nicht sicherer und redundanter Sensorinformationen in die Lage versetzt werden, selbsttätig sicherheitsrelevante Eingriffe in die Fahrdynamik des Kraftfahrzeugs auszuüben, wird die Sicherheit im Verkehr insgesamt erhöht, da gerade schwerwiegende Gefahrensituationen, die anhand der Sensorik unzweifelhaft erkannt werden können, in positiver Weise entgegengetreten werden kann.
Ferner kann das erfindungsgemäße zentrale Steuergerät Schnittstellen für eine Mobilfunkkommunikation 9, eine Telematik-Kommunikation 10 mit der Umgebung des Kraftfahrzeugs, für eine Satellitennavigation 11 und für eine Sicherheitskarte (SafetyMap) 12 aufweisen, wobei eine Sicher heitskarte auch unmittelbar in das zentrale Steuergerät 1 mitintegriert sein kann und dort anhand der vorliegenden Informationen unmittelbar aktualisiert wird.
Mit dem erfindungsgemäßen zentralen Steuergerät 1 beziehungsweise einem mit diesem Steuergerät 1 ausgerüsteten Fahrzeug kann die Funktion automatischer in einem Kraftfahrzeug vorhandene Assistenzsysteme erheblich erweitert werden, weil durch die Plausibilisierung sicherheitsrelevanter Sensorinformationen die Kompetenzen der Assistenzsysteme insgesamt ausgedehnt werden können.

1: zentrales Steuergerät
2: Fahrerassistenzsystem
3: Brems-/Notbremsassistenzsystem
4: Telematiksystem
5: Assistenzsystem/Steuergerät
6: Sicherheitskontrolleinheit
7: Sensor
8: Sensor
9: Schnittstelle für Mobilfunkkommunikation
10: Schnittstelle für Telematikkommunikation
11: Schnittstelle für Satellitennavigation
12: Schnittstelle für eine Sicherheitskarte

ZITATE ENTHALTEN IN DER BESCHREIBUNG
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
Zitierte Patentliteratur

- WO 2004/085220 A1 [0003, 0007]
- DE 102005037155 A1 [0003]
- DE 102004017602 A1 [0003]
- WO 2005/044652 A1 [0006]

Zitierte Nicht-Patentliteratur

- IEC 61508 [0004]
- IEC 61508 [0012]
- IEC 61508 [0025]
- IEC 61508 [0031]

Claims

Zentrales Steuergerät für mehrere in einem Kraftfahrzeug vorgesehene Assistenzsysteme (2, 3, 4, 5), die jeweils einzeln arbeiten und von denen mindestens ein Assistenzsystem (2, 3, 4, 5) mit Umfeldsensoren ausgestattet ist, wobei das zentrale Steuergerät (1) mit den einzelnen Assistenzsystemen (2, 3, 4, 5) verbunden und dazu eingerichtet ist, Sensorinformationen von den Assistenzsystemen (2, 3, 4, 5) zu erhalten und auszuwerten sowie Status- und/oder Steuerbefehle an die Assistenzsysteme (2, 3, 4, 5) zurückzumelden, dadurch kennzeichnet, dass das zentrale Steuergerät (1) eine Sicherheitskontrolleinheit (6) aufweist, welche dazu eingerichtet ist, nicht-redundante Sensorinformationen der einzelnen Assistenzsysteme (2, 3, 4, 5) mittels analytischer Redundanzen verschiedener, von dem zentralen Steuergerät (1) erhaltener Sensorinformationen zu überprüfen.
Zentrales Steuergerät nach Anspruch 1, dadurch kennzeichnet, dass in der Sicherheitskontrolleinheit (6) nicht-redundante Sensorinformationen nach einer erfolgreichen Überprüfung der analytischen Redundanzen plausibilisiert werden.
Zentrales Steuergerät nach Anspruch 1 oder 2, dadurch gekennzeichnet, dass in der Sicherheitskontrolleinheit (6) nicht-redundante Sensorinformationen von Umfeldsensoren überprüft werden.
Zentrales Steuergerät nach einem der vorhergehenden Ansprüche, dadurch kennzeichnet, dass in der Sicherheitskontrolleinheit (6) nicht-redundante Sensorinformationen eines Umfeldsensors durch Sensorinformationen eines anderen Umfeldsensors überprüft werden, die vorzugsweise durch das zentrale Steuergerät (1) auf einem anderen Signalpfad und/oder in einer anderen Beschreibungsform der Umfeldinterpretation erhalten wurden.
Zentrales Steuergerät nach einem der vorhergehenden Ansprüche, dadurch kennzeichnet, dass in der Sicherheitskontrolleinheit (6) nicht-redundante Sensorinformationen mittels einer Sicherheitskarte überprüft werden, wobei die Sicherheitskarte wenigstens aus einer Navigationskarte mit sicherheitsrelevanten Attributen besteht und in dem zentralen Steuergerät gespeichert wird.
Zentrales Steuergerät nach einem der Ansprüche 2 bis 5, dadurch kennzeichnet, dass in dem zentralen Steuergerät (1) auf der Basis plausibilisierter Sensorinformationen, insbesondere plausibilisierter Sensorinformationen von Umfeldsensoren, Steuerbefehle erzeugt und an die Assistenzsysteme (2, 3, 4, 5) zurückgemeldet werden, wobei die Steuerbefehle einen sicherheitsrelevaten Eingriff in das Fahrzeug bewirken können.
Zentrales Steuergerät nach Anspruch 5, dadurch gekennzeichnet, dass der Steuerbefehl ein unbeschränkter und/oder unbedingter Notbremsbefehl an ein Bremsassistenzsystem (3) ist.
Zentrales Steuergerät nach einem der vorhergehenden Ansprüche, dadurch kennzeichnet, dass die Assistenzsysteme (2, 3, 4, 5) ein komfortorientiertes Fahrerassistenzsystem (2), ein Bremsassistenzsystem (3), ein Telematiksystem (4) und/oder ein Steuergerät (5) sind.
Zentrales Steuergerät nach einem der vorhergehenden Ansprüche, dadurch kennzeichnet, dass das zentrale Steuergerät (1) eine dual-core Prozessor-Architektur aufweist.
Zentrales Steuergerät nach einem der vorhergehenden Ansprüche, dadurch kennzeichnet, dass das zentrale Steuergerät (1) skalierbare Rechenressourcen, insbesondere modular skalierbare Speicher und/oder Prozessorgrößen, aufweist.
Kraftfahrzeug mit Assistenzsystemen (2, 3, 4, 5), insbesondere einem komfortorientierten Fahrerassistenzsystem (2), Bremsassistenzsystem (3) und/oder Telematiksystem (4), dadurch kennzeichnet, dass das Kraftfahrzeug ein gemeinsames Steuergerät (1) für die Assistenzsysteme (2, 3, 4, 5) nach einem der Ansprüche 1 bis 9 aufweist.