DE102011015130A1

DE102011015130A1 - Verfahren und system zum sicherstellen eines betriebs von fahrzeugen mit autonomem fahren mit beschränkten fähigkeiten

Info

Publication number: DE102011015130A1
Application number: DE102011015130A
Authority: DE
Inventors: wird später genannt werden Erfinder
Original assignee: GM Global Technology Operations LLC
Current assignee: GM Global Technology Operations LLC
Priority date: 2010-03-30
Filing date: 2011-03-25
Publication date: 2011-12-22
Anticipated expiration: 2031-03-26
Also published as: US8618922B2; US20110241862A1; CN102233877B; CN102233877A; DE102011015130B4

Abstract

Ein Verfahren zum Sicherstellen eines Betriebes eines zu autonomem Fahren mit beschränkten Fähigkeiten befähigten Fahrzeugs beinhaltet ein Überwachen mehrerer spezifischer Bedingungen, die für eine bevorzugte und zuverlässige Nutzung eines autonomen Fahrens mit beschränkten Fähigkeiten notwendig sind, und ein Einleiten einer Strategie zur Fehlerbehandlung und Herabsetzung, die dafür eingerichtet ist, das Fahrzeug in einen bevorzugten Zustand zu manövrieren, falls der Fahrer nicht imstande ist, das Fahrzeug manuell zu steuern, wenn zumindest eine der spezifischen Bedingungen entweder verletzt ist oder verletzt werden wird.

Description

QUERVERWEIS AUF ZUGEHÖRIGE ANMELDUNGEN
Diese Anmeldung beansprucht den Nutzen der am 30. März 2010 eingereichten vorläufigen US-Anmeldung Nr. 61/319197, die durch Verweis hierin einbezogen ist.
TECHNISCHES GEBIET
Diese Offenbarung bezieht sich auf autonomes Fahren mit beschränkten Fähigkeiten in Straßenfahrzeugen.
HINTERGRUND
Die Angaben in diesem Abschnitt liefern nur Hintergrundinformation bezüglich der vorliegenden Offenbarung und bilden keinen Stand der Technik.
Systeme zum autonomen Fahren und Systeme zum autonomen Fahren mit beschränkten Fähigkeiten nutzen Eingaben bezüglich der Straßen-, Umgebungs- und anderer Fahrbedingungen, um Drossel-, Brems- und Lenkmechanismen automatisch zu steuern. Eine genaue Einschätzung und Identifizierung einer freien Bahn, über die ein Kraftfahrzeug betrieben werden soll, ist entscheidend, um den menschlichen Verstand als Steuerungsmechanismus für den Fahrzeugbetrieb erfolgreich zu ersetzen.
Straßenbedingungen können kompliziert sein. Im normalen Betrieb eines Fahrzeugs macht der menschliche Bediener Hunderte von Beobachtungen pro Minute und stellt er den Betrieb des Fahrzeugs auf der Basis wahrgenommener Straßenbedingungen ein. Ein Aspekt eines Wahrnehmens von Straßenbedingungen ist die Wahrnehmung der Straße zusammen mit Objekten in und in der Nähe der Fahrbahn und ein Lenken einer freien Bahn durch etwaige Objekte hindurch. Eine Ersetzung der menschlichen Wahrnehmung durch Technologie beinhaltet vorzugsweise ein genaues Wahrnehmen von Objekten und Fortsetzen eines erfolgreichen Lenkens um solche Objekte.
Technologische Verfahren zum Wahrnehmen eines Objekts beinhalten Daten von visuellen Kameras und Radarabbildungen. Kameras übersetzen visuelle Bilder in der Form von Strahlung wie zum Beispiel Lichtmuster oder Infrarotsignaturen in ein lesbares Datenformat. Kameras können zusätzlich genutzt werden, um Fahrbahnmarkierungen auf einer Fahrbahn, auf der ein Fahrzeug gerade fährt, zu überwachen. Solch ein Datenformat beinhaltet in Pixel dargestellte Bilder, in denen eine wahrgenommene Szene in eine Reihe von Pixeln heruntergebrochen ist. Eine Radarabbildung nutzt Radiowellen, die von einem Sender erzeugt werden, um Formen und Objekte, die vor dem Sender vorhanden sind, abzuschätzen. Muster in den Wellen, die von diesen Formen und Objekten reflektieren, können analysiert werden, und die Standorte von Objekten können abgeschätzt werden. GPS und drahtlose Technologien können zusätzlich ein Annähern an Kreuzungen, Fahrbahnenden und aufgrund von Verkehr überfüllte Bereiche bestimmen.
Bei jedem System zum autonomen Fahren ist es entscheidend, dass der Bediener eines Fahrzeugs ein angemessenes situationsbedingtes Bewusstsein bewahrt, sodass der Bediener darauf vorbereitet ist, einzugreifen, wenn es Verkehrsbedingungen und externe Bedingungen erfordern. Außerdem müssen physische Störungen bzw. Ausfälle des Systems zum autonomen Fahren überwacht werden, um eine Fehlfunktion des Systems zum autonomen Fahren zu verhindern.
Bekannte Verfahren stellen die Achtsamkeit bzw. Aufmerksamkeit des Bedieners fest und alarmieren den Fahrer, dass eine Antwort erforderlich ist, falls ein interner Fehler festgestellt wird. Diese bekannten Verfahren scheitern jedoch daran, das Fahrzeug selbständig bzw. autonom zu betreiben und das Fahrzeug in einen bevorzugten Zustand zu manövrieren, wenn die Aufmerksamkeit des Bedieners nicht wiedergewonnen werden kann.
ZUSAMMENFASSUNG
Ein Verfahren zum Sicherstellen eines Betriebes eines Fahrzeugs, das autonomes Fahren mit beschränkten Fähigkeiten ermöglicht, beinhaltet ein Überwachen mehrerer spezifischer Bedingungen, die für eine bevorzugte und zuverlässige Nutzung eines autonomen Fahrens mit beschränkten Fähigkeiten notwendig sind, und Einleiten einer Strategie für eine Fehlerbehandlung und Herabsetzung, die dafür eingerichtet ist, das Fahrzeug in einen bevorzugten Zustand zu manövrieren, falls der Fahrer nicht imstande ist, das Fahrzeug manuell zu steuern, wenn zumindest eine der spezifischen Bedingungen entweder verletzt ist oder verletzt werden wird.
KURZE BESCHREIBUNG DER ZEICHNUNGEN
Eine oder mehrere Ausführungsformen werden nun beispielhaft mit Verweis auf die beiliegenden Zeichnungen beschrieben, in welchen:
1 ein beispielhaftes Zustands-Flussdiagramm eines Systems für autonomes Fahren mit beschränkten Fähigkeiten, das Zustände des Systems und mögliche Zustandsübergänge enthält, gemäß der vorliegenden Offenbarung ist;
2 einen beispielhaften Controller, der innerhalb des Zustands-Flussdiagramms von 1 integriert ist, gemäß der vorliegenden Offenbarung schematisch veranschaulicht;
3 ein beispielhaftes Flussdiagramm eines Fahrmodus-Systems, das einen Modus Autonomes Fahren Gesperrt und einen Modus Autonomes Fahren bei Vorhandensein und Fehlen von Betriebsbedenken einschließt, die zusammen mit und zusammenfallend mit dem Zustands-Flussdiagramm von 1 und den beispielhaften Controller von 2 genutzt werden, gemäß der vorliegenden Offenbarung veranschaulicht; und
4 ein beispielhaftes Beurteilungs-Flussdiagramm, das eine Beurteilung für ein Spurwechselmanöver an die Seite der Straße oder zum Stoppen in der aktuellen Fahrspur, falls ein Spurwechselmanöver nicht machbar oder möglich ist, für ein im Modus Autonomes Fahrens mit beschränkten Fähigkeiten arbeitendes Fahrzeug darstellt, gemäß der vorliegenden Offenbarung veranschaulicht.
AUSFÜHRLICHE BESCHREIBUNG
Bezug nehmend nun auf die Zeichnungen, wobei die Darstellungen dazu dienen, bestimmte beispielhafte Ausführungsformen nur zu veranschaulichen, und nicht dazu dienen, dieselben zu beschränken, veranschaulicht 1 ein Zustands-Flussdiagramm eines Systems 100, um ein autonomes Fahren mit beschränkten Fähigkeiten (im Folgenden ”LAAD”) zu nutzen und um einen bevorzugten Betrieb sicherzustellen, indem eine Fehlerbehandlung und Herabsetzung für ein autonomes Fahren mit beschränkten Fähigkeiten eingeleitet wird, wenn eine oder mehrere spezifische Bedingungen, die für die Nutzung von LAAD notwendig sind, nicht länger vorliegen oder nicht länger vorliegen werden, gemäß einer beispielhaften Ausführungsform der vorliegenden Erfindung. Die spezifischen Bedingungen, die zur Nutzung von LAAD notwendig sind, beinhalten: Erfüllen eines Kriteriums Aufmerksamkeit des Bedieners, Verfügbarkeit bzw. Betriebsbereitschaft des Systems 100, um eine bevorzugtes und zuverlässiges LAAD zu liefern, und externe Bedingungen, die eine bevorzugte Nutzung von LAAD ermöglichen. Die Betriebsbereitschaft des Systems 100, um eine bevorzugte und zuverlässige Nutzung von LAAD zu liefern, wird bestimmt, indem keine Diagnosebedingungen festgestellt werden, die systematische Ausfälle/interne Fehler anzeigen, die die Verwendung des bevorzugten und zuverlässigen LAAD erschweren würden. Die externen Bedingungen, die eine bevorzugte und zuverlässige Nutzung von LAAD ermöglichen, können Straßen- und Umgebungsbedingungen beinhalten, die die Verwendung des bevorzugten und zuverlässigen LAAD erschweren können. LAAD entspricht dem System 100 mit der Fähigkeit, Lenkung, Bremsen und Drossel des Fahrzeugs unabhängig von einer Bedienereingabe zu steuern; jedoch kann der Bediener des Fahrzeugs die Fähigkeit besitzen, zwischen mehreren verschiedenen Modi von LAAD auszuwählen, einschließlich, nicht aber darauf beschränkt, etwaigen Kombinationen zwischen einer adaptiven Geschwindigkeitsregelung (ACC), Spurhalten oder -zentrieren und Spurwechseln. Eine Fehlerbehandlung und Herabsetzung entspricht Situationen, in denen LAAD verwendet wird, aber eine oder mehrere der spezifischen Bedingungen, die für eine bevorzugte und zuverlässige Nutzung von LAAD notwendig sind, nicht länger existieren (zum Beispiel verletzt werden) oder nicht länger existieren werden, wobei Versuche unternommen werden, den Bediener zu warnen, um die Steuerung des Fahrzeugs zu übernehmen; sind aber diese Versuche nicht erfolgreich, wird folglich die Strategie der Fehlerbehandlung und Herabsetzung das Fahrzeug in einen ”bevorzugten” Zustand manövrieren, falls die Aufmerksamkeit des Fahrers nicht wiedererlangt werden kann. Die Ausdrücke ”Bediener” und ”Fahrer” können hierin austauschbar verwendet werden.
Falls das System 100 bestimmt, dass das Kriterium Aufmerksamkeit des Bedieners nicht erfüllt ist, Diagnosebedingungen systematische Ausfälle/interne Fehler anzeigen, die die Verfügbarkeit der bevorzugten und zuverlässigen Nutzung von LAAD erschweren, oder externe Bedingungen, die eine bevorzugte und zuverlässige Nutzung von LAAD ermöglichen, nicht länger existieren werden, ist eine herabgesetzte Nutzung von LAAD offenbar, und das System 100 stellt einen bevorzugten Betrieb von LAAD über die Strategie zur Fehlerbehandlung und Herabsetzung sicher, um den Fahrer zu warnen und, falls notwendig, das Fahrzeug in einen ”bevorzugten” Zustand zu manövrieren.

Tabelle 1 ist als ein Schlüssel für 1 vorgesehen, worin die numerisch bezeichneten Blöcke und die entsprechenden Funktionen wie folgt dargelegt sind. Tabelle 1

FIG. 1
BLOCK	BLOCKINHALTE
110	Superzustand ”Zündung aus”, der angibt, dass die Zündung aus ist.
112	Zustand ”Gesperrt”, ein autonomes Fahren mit beschränkter Fähigkeit ist gesperrt, und eine Diagnose wird periodisch geprüft.
114	Zustand ”Freigegeben”, LAAD ist freigegeben und steht dem Fahrer zur Verfügung.
116	Zustand ”Normal”, LAAD ist aktiv, und es liegen keine spezifischen Bedingungen vor
120	Superzustand ”Zündung an”, einschließlich jedes Zustands des Systems, wenn eine Fahrzeugzündung an ist.
122	Zustand „Unaufmerksamer Fahrer”, Bediener war für TBD1 101 Sekunden unaufmerksam, seit der Bediener zuerst gewarnt wurde, um aufmerksam zu werden, und wird nun als unaufmerksam erachtet.
124	Zustand ”Bedingungen ungültig”, Bedingungen, die für bevorzugtes und zuverlässiges LAAD notwendig sind, werden als ungültig erachtet.
126	Zustand ”Herabgesetztes LAAD”, Leistung von LAAD ist herabgesetzt
128	Zustand ”Rückfallposition”, manövriert Fahrzeug in einen bevorzugten Zustand.
130	Superzustand ”Eingeschaltet”, enthält Blöcke 116, 142, 144, 146, 122, 124 und 126, worin ein Betrieb von LAAD eingeschaltet bzw. aktiv ist.
140	Superzustand ”Kein Bedeutender Ausfall” enthält Blöcke 116, 142, 144, 122 und 124, die anzeigen, dass keine drohenden, akuten oder kritischen Ausfälle aufgetreten sind.
142	Zustand ”Warnung1”, Fahrer erfüllt nicht das Kriterium Aufmerksamkeit und wird gewarnt.
144	Zustand ”Warnung2”, Fahrer wird davor gewarnt, dass man erwartet, dass Bedingungen ungültig werden, und Fahrer wird gewarnt, die Steuerung zu übernehmen.
146	Zustand ”Warnung3”, Fahrer wird gewarnt, infolge des Auftretens eines drohenden Ausfalls Steuerung zu übernehmen.
150	Superzustand ”Volles Autonomes Fahren”, enthält Blöcke 116, 142 und 144, die entweder keine Ausfälle oder verhältnismäßig unbedeutende und kurzzeitige Abweichungen, die Aufmerksamkeit erfordern, anzeigen, wo ein gewisses Niveau einer Fehlerbehandlung und Herabsetzung genutzt, LAAD aber fortsetzt wird.

In einer beispielhaften Ausführungsform der vorliegenden Offenbarung enthält das Zustands-Flussdiagramm des Systems 100 mehrere Basiszustände, mehrere Superzustände und mehrere Zustandsübergänge 1–22 von den Basiszuständen. Die mehreren Basiszustände schließen ideale und nicht ideale Zustände ein. Die mehreren Superzustände können Variationen zwischen den idealen und nicht idealen Zuständen der Basiszustände einschließen. Die mehreren Zustandsübergänge 1–22 von den Basiszuständen werden im Folgenden ausführlicher diskutiert.
Unter idealen Umständen ist der Betrieb des Systems 100 beschränkt auf ideale Zustande, die Zustande ”Zündung Aus”, ”Gesperrt”, ”Freigegeben” und ”Normal” 110, 112, 114 bzw. 116 umfassen. In dem Zustand ”Zündung Aus” 110 ist die Zündung für das Fahrzeug abgeschaltet. In dem Zustand ”Gesperrt” 112 müssen Diagnosebedingungen, die etwaige systematische Ausfälle/interne Fehler anzeigen, die die Fähigkeit des Systems, ein bevorzugtes und zuverlässiges LAAD zu liefern, beeinflussen könnten, geklärt werden, bevor dieser Zustand verlassen und in den Zustand ”Freigegeben” 114 eingetreten wird. In dem Zustand ”Freigegeben” 114 ist das System 100 bereit, LAAD zu liefern, weil die Diagnosebedingungen keine systematischen Ausfälle/interne Fehler anzeigen. In dem Zustand ”Normal” 116 liefert das System 100 LAAD, und keine der spezifischen Diagnosebedingungen liegt vor. Zum Beispiel falls das Kriterium Aufmerksamkeit des Fahrers erfüllt ist und es keine Anzeige gibt, dass externe Bedingungen für LAAD innerhalb einer vorbestimmten Zeitspanne (das heißt TBD2 102 Sekunden) ungültig werden.
Unter nicht idealen Umständen enthält, um das Verhalten des Systems 100 genau zu spezifizieren, das Zustands-Flussdiagramm des Systems 100 nicht ideale Zustände ”Warnung1”, ”Warnung2”, ”Warnung3”, ”Unaufmerksamer Fahrer”, ”Bedingungen Ungültig”, ”Herabgesetztes LAAD” und ”Rückzugsposition” 142, 144, 146, 122, 124, 126 bzw. 128. Die nicht idealen Zustände spezifizieren ein Verhalten, das angibt, dass das System 100 erkennt, dass eine oder mehrere der spezifischen Diagnosebedingungen, die eine Fehlerbehandlung und Herabsetzung erfordern, existieren oder unmittelbar bevorstehen. Wenn das System in dem Zustand ”Warnung1” 142 arbeitet, versucht das System 100, die Aufmerksamkeit des Bedieners des Fahrzeugs wiederzugewinnen. Zum Beispiel kann man die Aufmerksamkeit eines Bedieners wiedererlangen, durch Läutenlassen von Glocken, Sprachmeldungen über ein Unterhaltungssystem des Fahrzeugs, Vibration des Sitzes des Bedieners oder irgendeinen anderen geeigneten Benachrichtigungsmechanismus. In der Zwischenzeit liefert das System 100 weiterhin LAAD. Außerdem kann der Zustand ”Warnung1” 142 bestätigende Schritte unternehmen, um für die Möglichkeit Vorbereitungen zu treffen, dass der Bediener dauerhaft unaufmerksam ist. Zum Beispiel kann das System 100 das Fahrzeug verlangsamen und/oder den Abstand des Fahrzeugs vergrößern in Erwartung dessen, dass der Bediener dauerhaft unaufmerksam sein kann.
Wenn das System 100 in dem Zustand ”Unaufmerksamer Fahrer” 122 arbeitet, hat das System 100 bestimmt, dass der Bediener des Fahrzeugs unaufmerksam ist, oder es wurde bestimmt, dass es nicht bevorzugt wird, weiter darauf zu warten, dass der Fahrer aufmerksam wird. Die Fähigkeit des Systems 100, LAAD zu liefern, wird jedoch nicht beeinträchtigt. Bei Eintreten in den Zustand ”Unaufmerksamer Fahrer” 122 bereitet sich das System 100 darauf vor, damit zu beginnen, das Fahrzeug in einen bevorzugten Zustand zu manövrieren, sollte das Kriterium Unaufmerksam für TBD6 106 Sekunden (seit Eintreten in den Zustand ”Unaufmerksamer Fahrer” 122) unerfüllt bleiben oder sollte festgestellt werden, dass LAAD-Bedingungen im Begriff sind, in TBD5 105 Sekunden ungültig zu werden und dadurch über einen Zustandsübergang 10 in den Zustand ”Bedingungen Ungültig” 124 überzugehen. Zum Beispiel kann das Fahrzeug zur Seite der Straße manövriert und dort gestoppt werden. Der Zustand ”Unaufmerksamer Fahrer” 122 kann optimiert werden, indem die Fähigkeit des Systems 100 ausgenutzt wird, LAAD durchzuführen, weil es nicht beeinträchtigt wurde. Zwischenzeitlich kann das System 100 damit fortfahren, aktive Versuche zu unternehmen, die Aufmerksamkeit des Bedieners wiederzuerlangen. Außerdem sollte das System 100 in dem Zustand ”Unaufmerksamer Fahrer” 122 bleiben, bis ein Zustandsübergang den Superzustand ”Eingeschaltet” 130 und eingeschaltete Operation verlässt (d. h. Zustandsübergänge 4 oder 20), bis die TBD6 106 Sekunden verstrichen sind (Zustandsübergang 22), bis LAAD-Bedingungen ungültig werden (d. h. Zustandsübergang 16) oder bis ein drohender Ausfall (d. h. Zustandsübergang 18) auftritt, ein akuter Ausfall (d. h. Zustandsübergang 14) auftritt oder ein kritischer Ausfall auftritt (d. h. Zustandsübergang 17). Die Ausfälle Drohend, Akut und Kritisch werden mit Verweis auf Zustandsübergänge 14, 17 bzw. 18 im Folgenden ausführlicher diskutiert.
Wenn das System 100 in dem Zustand ”Warnung2” 144 arbeitet, hat das System 100 bestimmt, dass die externen Bedingungen, die für LAAD notwendig sind, im Begriff sind, ungültig zu werden; zum Beispiel kann sich das Fahrzeug einer Kreuzung nähern, verschwinden gerade Fahrbahnmarkierungen, nachteilige Wetterbedingungen, ein Unfall, ein Verkehrsstau oder innerhalb der Umgebung von Rettungsfahrzeugen. Der Zustand ”Warnung2” 144 benachrichtigt den Fahrer, dass die Steuerung des Fahrzeugs übernommen werden muss. Außerdem kann der Zustand ”Warnung2” 144 positive Schritte unternehmen, um auf die Möglichkeit eines unmittelbar bevorstehenden Verlustes von LAAD vorzubereiten.
Wenn das System 100 in dem Zustand ”Bedingungen Ungültig” 124 arbeitet, hat das System 100 bestimmt, dass eine unmittelbar bevorstehende Gefahr besteht, dass die externen Bedingungen, die für LAAD notwendig sind, ungültig werden. Bei Eintreten in den Zustand ”Bedingungen Ungültig” 124 gibt das System 100 LAAD frei, um sofort damit zu beginnen, das Fahrzeug in einen bevorzugten Zustand zu manövrieren. Zum Beispiel kann das Fahrzeug an die Seite der Straße manövriert und dort gestoppt werden. Obgleich der Zustand ”Bedingungen Ungültig” 124 das gleiche Ziel hat, das Fahrzeug in einen bevorzugten Zustand (zum Beispiel an der Straße gestoppt) zu bringen, wie der Zustand ”Unaufmerksamer Fahrer” 122, kann der Zustand ”Bedingungen Ungültig” 124 eine unterschiedliche Strategie nutzen, um das Fahrzeug bis zum Erreichen des bevorzugten Zustands zu manövrieren. Zum Beispiel sollte das Manöver optimiert sein, um die Fähigkeit des Systems 100, LAAD auszuführen, auszunutzen; jedoch muss die Strategie, um das Fahrzeug zu manövrieren, berücksichtigen und erkennen, dass Bedingungen für eine bevorzugte Operation von LAAD unmittelbar bevorstehend enden. Zwischenzeitlich fährt das System 100 fort, Anstrengungen zu unternehmen, um die Aufmerksamkeit des Bedieners zu erhalten, um die Kontrolle des Fahrzeugs zu übernehmen. Außerdem sollte das System 100 in dem Zustand ”Bedingungen Ungültig” 124 bleiben, bis ein Zustandsübergang den Superzustand ”Eingeschaltet” 130 und die eingeschaltete Operation verlässt (d. h. Zustandsübergänge 4 oder 20), bis LAAD-Bedingungen ungültig werden (d. h. Zustandsübergang 16) oder bis ein drohender Ausfall (das heißt Zustandsübergang 18), ein akuter Ausfall (d. h. Zustandsübergang 14) oder ein kritischer Ausfall auftritt (d. h. Zustandsübergang 17).
Wenn das System 100 in dem Zustand ”Warnung3” 146 arbeitet, hat das System 100 bestimmt, dass ein drohender Ausfall aufgetreten ist, über einen Zustandsübergang 18, was Zeit dafür lässt, dass der Bediener reagiert und eine Kontrolle des Fahrzeugs übernimmt. Es ist entweder unnötig oder unerwünscht, ein Manöver in einen bevorzugten Zustand sofort zu beginnen, da LAAD noch imstande ist, das Fahrzeug zu steuern, und Zeit ist, damit der Fahrer reagiert und die Kontrolle des Fahrzeugs übernimmt. Wenn das System 100 in dem Zustand ”Warnung3” 146 für eine vorbestimmte Zeitspanne (das TBD7 107 Sekunden) ohne Intervention des Fahrers gearbeitet hat, sollte das System zu dem Zustand ”Herabgesetztes LAAD” 126 übergehen (d. h. Zustandsübergang 19). Außerdem sollte das System sofort zu dem Zustand ”Herabgesetztes LAAD” 126 übergehen, falls ein akuter Ausfall auftritt, während es in den Zustand Warnung3 146 ist (d. h. Zustandsübergang 19).
Wenn das System 100 in dem Zustand ”Herabgesetztes LAAD” 126 arbeitet, hat das System 100 bestimmt, dass ein akuter Ausfall an dem System 100 aufgetreten ist (d. h. Zustandsübergang 14), der die Fähigkeit des Systems 100, LAAD auszuführen, schwer beeinträchtigt. Außerdem kann das System 100 in dem Zustand ”Herabgesetztes LAAD” 126 arbeiten, falls das System 100 bestimmt hat, dass ein drohender Ausfall aufgetreten ist (d. h. Zustandsübergang 18), gefolgt von einem akuten Ausfall, oder ohne Antwort oder Eingreifen des Bedieners nach einer vorbestimmten Zeitspanne (d. h. TBD7 107 Sekunden) (d. h. Zustandsübergang 19) nach einem drohenden Ausfall. Überdies sollte das System 100 in dem Zustand ”Herabgesetztes LAAD” 126 bleiben, bis ein bevorzugter Zustand erreicht ist (d. h. Zustandsübergang 15), ein Zustandsübergang den Superzustand ”Eingeschaltet” verlässt (d. h. Zustandsübergänge 4 oder 20), bis LAAD-Bedingungen ungültig werden (d. h. Zustandsübergang 16) oder das Auftreten eines kritischen Ausfalls bestimmt wird (d. h. Zustandsübergang 17).
Wenn das System 100 in dem Zustand ”Rückzugsposition” 128 arbeitet, hat das System 100 das Auftreten eines kritischen Ausfalls (d. h. Zustandsübergang 17) bestimmt, sind LAAD-Bedingungen ungültig geworden (d. h. Zustandsübergang 16) oder sind TBD6 106 Sekunden verstrichen sind, seit das System 100 in dem Zustand ”Unaufmerksamer Fahrer” 122 war (d. h. Zustandsübergang 22), während LAAD tätig bzw. eingeschaltet war.
Noch auf 1 verweisend können die oben erwähnten mehreren Superzustände die Superzustände ”Zündung Aus”, ”Zündung An”, ”Eingeschaltet”, ”Kein Bedeutender Ausfall” und ”Volles Autonomes Fahren” 110, 120, 130, 140 bzw. 150 einschließen. Der Superzustand ”Zündung An” 120, auch einer der idealen Zustande, schließt jeden Basiszustand des Systems ein, wenn die Zündung des Fahrzeugs an ist. Der Superzustand ”Eingeschaltet” 130 schließt den Zustand ”Normal” 116, die Zustände ”Warnung1”–”Warnung3” 142, 144 bzw. 146 und die Zustände ”Unaufmerksamer Fahrer”, ”Bedingungen Ungültig” und ”Herabgesetztes LAAD” 122, 125 bzw. 126 ein, wobei eine Operation von LAAD eingeschaltet ist. Der Superzustand ”Kein Bedeutender Ausfall” 140 beinhaltet den Zustand ”Normal” 116, die Zustände ”Warnung1” und ”Warnung2” 142 bzw. 144 und die Zustände ”Unaufmerksamer Fahrer” und ”Bedingungen Ungültig” 122 bzw. 124. Der Superzustand ”Kein Bedeutender Ausfall” 140 zeigt allgemein an, dass keine drohenden, akuten oder kritischen Ausfälle aufgetreten sind. Der Superzustand ”Volles Autonomes Fahren” 150 beinhaltet den Zustand ”Normal” 116 und die Zustande ”Warnung1” und ”Warnung2” 142 bzw. 144 und gibt an, dass entweder keine Ausfälle aufgetreten sind oder verhältnismäßig unbedeutende und kurzzeitige Abweichungen aufgetreten sind, die Aufmerksamkeit erfordern, wo ein gewisses Niveau einer Fehlerbehandlung und Herabsetzung genutzt wird, das System 100 aber die Nutzung von LAAD fortsetzt.
Wie oben diskutiert wurde, beinhaltet das beispielhafte Zustands-Flussdiagramm des Systems 100 die Vielzahl von Zustandsübergängen 1–22 von den Basiszuständen. Der Zustandsübergang 01 zeigt an, dass die Zündung eingeschaltet ist. Der Zustandsübergang 02 zeigt an, dass ein kompletter Satz von Systemdiagnoseüberprüfungen durchgeführt wurde und es keine Diagnosebedingungen gibt, die irgendwelche internen Fehler anzeigen, die die Fähigkeit des Systems 100, ein bevorzugtes und zuverlässiges LAAD zu liefern, beeinflussen könnten. Außerdem hat der Bediener den Wunsch angezeigt, LAAD freizugeben, und es gibt keine Ausfälle, die das Merkmal, im gesperrten Zustand 112 zu bleiben, erfordern würden. Der Zustandsübergang 03 zeigt an, dass der Bediener des Fahrzeugs LAAD angefordert hat und Bedingungen für ein bevorzugtes und zuverlässiges LAAD vorliegen, wohingegen der Zustandsübergang 04 anzeigt, dass der Bediener des Fahrzeugs LAAD aufgehoben hat, wenn keine bedeutenden Ausfälle vorliegen. Bedeutende Ausfälle können akute, drohende oder kritische Ausfalle einschließen, welche im Folgenden ausführlicher diskutiert wurden. Der Zustandsübergang 04 kann auftreten, wenn der Bediener über irgendein Verfahren den Wunsch anzeigt, LAAD aufzuheben, einschließlich, nicht aber darauf beschränkt, eines Drückens eines Knopfes an einer Mensch-Maschine-Schnittstelle (HMI), eines Sprachbefehls oder durch irgendwelche anderen geeigneten Aktionen, die ein Aufheben von LAAD angeben, wie zum Beispiel eine Antwort auf eine Bremspedaleingabe durch den Bediener. Der Zustandsübergang 05 zeigt an, dass die Zündung ausgeschaltet ist.
Der Zustandsübergang 06 zeigt an, dass das System 100 bestimmt hat, dass der Bediener das Kriterium Aufmerksamkeit nicht erfüllt. Eine Bestimmung, dass ein Bediener das Kriterium Aufmerksamkeit nicht erfüllt, kann durch zahlreiche Verfahren durchgeführt werden, einschließlich, nicht aber darauf beschränkt, eines Bestimmens der Augenbewegungen des Bedieners, einer Sitzposition des Bedieners oder Kopfhaltung des Bedieners. Der Zustandsübergang 07 zeigt an, dass das System 100 bestimmt hat, dass der Fahrer aufmerksam ist, nachdem er während eines Zustands ”Warnung)” 142 gewarnt wurde. Der Zustandsübergang 08 zeigt an, dass das System 100 bestimmt hat, dass der Bediener das Kriterium Aufmerksamkeit für eine Zeitspanne (d. h. TBD1 101 Sekunden) nicht erfüllt hat. Zum Beispiel hat der Bediener das Kriterium Aufmerksamkeit für TBD1 101 Sekunden seit Eintreten in den Zustand ”Warnung1” 142 nicht erfüllt. Der Zustandsübergang 09 gibt an, dass entweder ein bevorzugter Zustand erreicht worden ist oder der Fahrer nach einem kritischen Ausfall (Zustandsübergang 17) LAAD aufgehoben hat, LAAD-Bedingungen ungültig werden (Zustandsübergang 16) oder der Fahrer das Kriterium Aufmerksamkeit für TBD6 106 Sekunden seit Eintreten in den Zustand ”Unaufmerksamer Fahrer” 122 nicht erfüllt hat (Zustandsübergang 22). Wenn ein Fahrzeug versucht, während des Zustands ”Unaufmerksamer Fahrer” 122, weil der Fahrer das Kriterium Aufmerksamkeit nicht erfüllt, in einen bevorzugten Zustand zu manövrieren, zeigt Zustandsübergang 10 an, dass das System 100 bestimmt hat, dass die externen Bedingungen, die für die Nutzung von LAAD notwendig sind, im Begriff sind, in TBD5 105 Sekunden ungültig zu werden. Der Zustandsübergang 10 führt daher einen Betrieb des Systems 100 von dem Zustand ”Unaufmerksamer Fahrer” 122 in den Zustand ”Bedingungen Ungültig” 124 über, um die Fähigkeit des Systems 100, LAAD zu verwenden, auszunutzen, um die möglichen Folgen davon, dass ein Fahrer das Kriterium Aufmerksamkeit nicht erfüllt, und eines Ungültigwerdens bzw. Endes von Bedingungen zu mildern, während berücksichtigt und erkannt wird, dass die Fähigkeit des Systems 100 zur Nutzung von LAAD im Begriff ist zu enden. Der Zustandsübergang 11 zeigt an, dass das System 100 bestimmt hat, dass die externen Bedingungen, die zur Nutzung von LAAD notwendig sind, im Begriff sind, ungültig zu werden bzw. zu enden (d. h. TBD2 102 Sekunden). Der Zustandsübergang 12 zeigt an, dass das System 100 bestimmt hat, dass die für die Nutzung von LAAD notwendigen externen Bedingungen nicht im Begriff sind, ungültig zu werden. Das System 100 kann den Zustandsübergang 12 so gestalten, dass ein sofortiger Übergang zurück zum Zustand ”Warnung2” 144 vermieden wird, indem angezeigt wird, dass die externen Bedingungen für mindestens eine vorbestimmte Zeitspanne (d. h. TBD2 102 Sekunden) fortbestehen werden. Zustandsübergang 13 zeigt an, dass das System 100 bestimmt hat, dass eine unmittelbare drohende Gefahr besteht, dass die für die Nutzung von LAAD notwendigen externen Bedingungen im Begriff sind, in einer vorbestimmten Zeitspanne (d. h. TBD3 103 Sekunden) ungültig zu werden, oder der Fahrer das Kriterium Aufmerksamkeit für eine Zeitspanne (d. h. TBD4 104 Sekunden) nicht erfüllt hat, während es in dem Zustand ”Warnung2” 144 ist.
Zustandsübergang 14 zeigt an, dass das System 100 bestimmt hat, dass ein akuter Ausfall unmittelbar bevorsteht oder aufgetreten ist, sodass LAAD nicht mit voller Funktionalität fortgesetzt werden kann und mit einer herabgesetzten Kapazität arbeiten muss. Das System 100 geht von dem Superzustand ”Kein Bedeutender Ausfall” 140 zu dem Zustand ”Herabgesetztes LAAD” 126 über. Der akute Ausfall steht unmittelbar bevor, falls man erwartet, dass er stattfindet, bevor ein aufmerksamer Fahrer wahrscheinlich die Steuerung übernimmt. Ein akuter Ausfall beeinträchtigt nicht die Fähigkeit des Systems, ein Manöver, um einen bevorzugten Zustand zu erreichen, zu planen und auszuführen. Andernfalls würde der Ausfall als ein kritischer Ausfall klassifiziert werden. Zustandsübergang 15 zeigt an, dass das System 100 ein Manöver, um einen bevorzugten Zustand zu erreichen, abgeschlossen hat, nachdem es einen akuten Ausfall (d. h. Zustandsübergang 14), einen drohenden Ausfall, gefolgt von einem akuten Ausfall (d. h. Zustandsübergang 19) oder einen drohenden Ausfall, gefolgt von einem Verharren in dem Zustand ”Warnung3” 146 für TBD7 107 Sekunden erfahren hat. In dem Zustand ”Herabgesetztes LAAD” 126 fordert das System 100 den Bediener auf, die Kontrolle über das Fahrzeug zu übernehmen, und nach Erreichen des bevorzugten Zustands wird LAAD infolge des akuten Ausfalls oder der oben dargelegten Sequenz von Ausfällen oder Ereignissen, die die Fähigkeit, einen vollen Betrieb von LAAD zu nutzen, herabsetzen, beendet. Zustandsübergang 16 zeigt an, dass das System 100 bestimmt hat, dass die für die Nutzung von LAAD notwendigen externen Bedingungen ungültig geworden sind, während das System LAAD liefert. Das System 100 wird dadurch von dem Superzustand ”Eingeschaltet” 130 in den Zustand ”Rückzugsposition” 128 übergeführt und anschließend über den Zustandsübergang 9 gesperrt. Zustandsübergang 17 zeigt an, dass ein kritischer Ausfall aufgetreten ist, wobei das System 100 nur eine beschränkte Fähigkeit hat, den Betrieb fortzusetzen. Der Bediener wird gewarnt und aufgefordert, die Kontrolle über das Fahrzeug zu übernehmen. Der Zustandsübergang 18 zeigt an, dass ein drohender Ausfall aufgetreten ist; ein aufmerksamer Fahrer hat jedoch genug Zeit, die Kontrolle des Fahrzeugs zu übernehmen. Der Zustandsübergang 19 zeigt an, dass das System 100 bestimmt hat, dass ein akuter Ausfall aufgetreten oder eine Zeitspanne (d. h. TBD7 107 Sekunden) verstrichen ist, seit der Fahrer in dem Zustand ”Warnung3” 146 gewarnt wurde. Der Zustandsübergang 20 zeigt an, dass das System bestimmt hat, dass der Bediener nach Auftreten eines bedeutenden Ausfalls wie zum Beispiel der drohenden oder akuten Ausfälle oder des Endes der LAAD-Bedingungen LAAD aufgehoben hat. Der Zustandsübergang 20 kann auftreten, wenn der Bediener durch irgendein Verfahren den Wunsch anzeigt, LAAD aufzuheben, einschließlich, nicht aber darauf beschränkt, eines Drückens eines Knopfes an der HMI, eines Sprachbefehls oder durch irgendwelche anderen geeigneten Aktionen, die ein Aufheben von LAAD anzeigen, wie zum Beispiel eine Antwort auf eine Bremspedaleingabe durch den Bediener. Der Zustandsübergang 20 tritt nach dem Auftreten eines bedeutenden Ausfalls (akut oder drohend) im Gegensatz zum Zustandsübergang 04 auf, der auftritt, während es keine bedeutenden Ausfälle gibt (d. h. Zustand ”Kein Bedeutender Ausfall” 140). Zustandsübergang 21 ist der Übergang von dem Zustand ”Freigegeben” 114 in den Zustand ”Gesperrt” 112 aufgrund eines Diagnosestörungscodes, der durch das System 100 gesetzt wird, der die Fähigkeit, LAAD auszuführen, beeinflusst. Zustandsübergang 22 ist der Übergang von dem Zustand ”Unaufmerksamer Fahrer” 122 in den Zustand ”Rückzugsposition” 128 und tritt auf, wenn TBD6 106 Sekunden verstrichen sind, seit bestimmt worden ist, dass der Fahrer das Kriterium Aufmerksamkeit nicht erfüllt, wenn man in dem Zustand „Unaufmerksamer Fahrer” 122 ist.
Das Flussdiagramm des Systems 100 veranschaulicht ferner jeweils mehrere symbolische Werte TBD1–TBD7 101–107. Nachdem das System bestimmt, dass der Bediener das Kriterium Aufmerksamkeit während der Nutzung von LAAD nicht erfüllt (d. h. Zustand ”Warnung1” 142), repräsentiert TBD1 101 die Anzahl Sekunden, die das System 100 für den Versuch aufwendet, die Aufmerksamkeit des Bedieners wiederzuerlangen, bevor das System 100 entscheidet, dass der Fahrer unaufmerksam ist, und in den Zustand ”Unaufmerksamer Fahrer” 122 übergeht. In einem nicht beschränkenden Beispiel ist TBD1 101 5 Sekunden. TBD2 102 repräsentiert die Anzahl Sekunden, bevor die für LAAD notwendigen externen Bedingungen ungültig bzw. enden werden. In einem nicht beschränkenden Beispiel ist TBD2 102 gleich 15 Sekunden. TBD3 103 repräsentiert die Zeitspanne, die benötigt wird, um einzugreifen, bevor die für LAAD notwendigen externen Bedingungen ungültig werden, nachdem man in den Zustand ”Warnung2” 144 eingetreten ist. Falls die für LAAD notwendigen externen Bedingungen in TBD3 103 Sekunden ungültig werden, sollte das System 100 das Warten darauf, die Aufmerksamkeit des Bedieners wiederzuerlangen, aufgeben und übernehmen und das Manöver einleiten, um unabhängig vom Bediener den bevorzugten Zustand zu erreichen. In einem nicht beschränkenden Beispiel ist TBD3 103 5 Sekunden. TBD4 104 ist die Zeitspanne, die das System 100 für eine Warnung an den Fahrer einräumen sollte, um Kontrolle über das Fahrzeug 100 zu übernehmen, bevor Versuche, die Aufmerksamkeit de Bedieners wiederzuerlangen, aufgegeben werden und das Manöver, um den bevorzugten Zustand zu erreichen, eingeleitet wird. Falls der Wert von TBD4 104 klein ist, könnte dann das System 100 damit beginnen, ein Manöver zu einem bevorzugten Zustand als Antwort auf eine vorübergehende Unterbrechung der für LAAD notwendigen externen Bedingungen durchzuführen. In einem nicht beschränkenden Beispiel ist TBD4 104 2 Sekunden. Nachdem entschieden wurde, dass der Bediener dauerhaft unaufmerksam ist (d. h. Zustand ”Unaufmerksamer Fahrer” 122), sollte, falls die LAAD-Bedingungen im Begriff sind, in TBD5 105 Sekunden ungültig zu werden, das System 100 sofort in den Zustand ”Bedingungen Ungütig” 124 übergehen. Somit repräsentiert TBD5 105 die Zeitspanne, die benötigt wird, um einzugreifen, bevor die externen Bedingungen ungültig werden bzw. enden. TBD6 106 ist die erlaubte Anzahl Sekunden, seit bestimmt wurde, dass das Fahrer das Kriterium Aufmerksamkeit nach Eintreten in den Zustand ”Unaufmerksamer Fahrer” 122 nicht erfüllt, bevor ein Manöver, um einen bevorzugten Zustand zu erreichen, eingeleitet wird. TBD6 repräsentiert die Zeitspanne, in der das System 100 in dem Zustand ”Fahrer unaufmerksam” 122 arbeiten soll, bevor eingegriffen wird. In einem nicht beschränkenden Beispiel ist TBD6 106 15 Sekunden. TBD7 107 ist die erlaubte Anzahl Sekunden einer Warnung, die das System 100 dem Bediener geben sollte, um auf das Auftreten eines drohenden Ausfalls zu antworten. TBD7 107 repräsentiert die erlaubte Zeitspanne, die das System 100 in dem Zustand ”Warnung3” 146 arbeiten sollte, vorausgesetzt, dass kein akuter Ausfall aufgetreten ist. In einem nicht beschränkenden Beispiel ist TBD7 107 2 Sekunden.
Vorgesehene Szenarien beinhalten eine Nutzung des Systems 100 in zahlreichen Szenarien für einen Fahrzeugbetrieb einschließlich eines Basiszündzyklus, eines vorübergehend unaufmerksamen Fahrers, eines dauerhaft unaufmerksamen Fahrers, eines Verlusts von für LAAD notwendigen Bedingungen und eines akuten Ausfalls, gefolgt von einem kritischen Ausfall. Es wird ersichtlich werden, dass das System 100 einen bevorzugten Betrieb von LAAD sicherstellt, wenn eine oder möglicherweise mehrere der spezifischen Bedingungen, die für einen LAAD-Betrieb notwendig sind, nicht länger vorliegen.
In einem nicht beschränkenden beispielhaften Szenario wird das System 100 während eines Basiszündzyklus genutzt. Die Zündung ist in dem Zustand ”Zündung Aus” 110, wenn der Bediener das Fahrzeug startet. Das System 100 geht über Zustandsübergang 01 in den Zustand ”Gesperrt” 112 über, wo das System 100 Diagnosebedingungen überprüft, die die Fähigkeit, das Fahrzeug in LAAD zu betreiben, beeinflussen würden. Das System 100 geht von dem Zustand ”Gesperrt” 112 über den Zustandsübergang 02 in den Zustand ”Freigegeben” 114 über, wenn das System 100 keine Diagnosebedingungen feststellt, die die Nutzung von LAAD ausschließen würden, und wenn der Fahrer eine Freigabe von LAAD anfordert. In dem Zustand ”Freigegeben” 114 fordert der Bediener die Nutzung von LAAD an, wobei alle für die bevorzugte und zuverlässige Nutzung von LAAD notwendigen spezifischen Bedingungen vorliegen. Zum Beispiel kann der Bediener einen an einer HMI oder einem Lenkrad befindlichen Knopf drücken, um eine Nutzung von LAAD anzufordern, falls der Fahrer dies wünscht, oder sie können einen Sprachbefehl oder eine andere geeignete Anzeige geben, um LAAD einzuleiten. Wenn LAAD durch den Fahrer angefordert wird, geht das System 100 von dem Zustand ”Freigegeben” 114 über den Zustandsübergang 03 in den Zustand ”Normal” 116 über. In dem Zustand ”Normal” 116 wendet das System 100 ein volles autonomes Fahren an. In dem Zustand ”Normal” 116 kann der Bediener des Fahrzeugs eine Nutzung von LAAD über einen Knopf an der HMI, über einen Sprachbefehl, durch Drücken des Bremspedals oder durch Liefern irgendeiner anderen geeigneten Anzeige aufheben. Wenn der Bediener eine Nutzung von LAAD aufhebt, geht das System 100 von dem Zustand ”Normal” 116 über Zustandsübergang 04 zurück zu dem ”Freigegeben”-Zustand 114 über. Nach einer Zeitspanne erreicht der Fahrer sein/ihr Ziel und parkt das Fahrzeug manuell und schaltet die Zündung aus. Wenn der Bediener die Zündung ausschaltet, geht das System 100 von dem Zustand ”Freigegeben” 114 über den Zustandsübergang 05 über in den Zustand ”Zündung Aus” 110.
In einem anderen nicht beschränkenden beispielhaften Szenario wird von dem System 100 festgestellt, dass ein Bediener des Fahrzeugs das Kriterium Aufmerksamkeit nicht erfüllt, während es in dem Zustand ”Volles Autonomes Fahren” 150 arbeitet. Wenn das System 100 in dem Zustand ”Normal” 116 ist, sorgt das System 100 für die Nutzung von LAAD. Nach einer Zeitspanne (zum Beispiel 10 Minuten) stellt das System 100 fest, dass der Bediener das Kriterium Aufmerksamkeit nicht erfüllt. Wenn das System 100 bestimmt, dass der Bediener das Kriterium Aufmerksamkeit nicht erfüllt, geht das System 100 sofort von dem Zustand ”Normal” 116 über Zustandsübergang 06 über in den Zustand ”Warnung1” 142. In dem Zustand ”Warnung1” 142 versucht das System 100, die Aufmerksamkeit des Bedieners wiederzuerlangen. Zum Beispiel können Glocken über das Unterhaltungssystem des Fahrzeugs läuten, kann der Sitz des Bedieners vibrieren, können Lichter auf der Instrumententafel aufleuchten oder kann irgendein anderes geeignetes Verfahren genutzt werden, um die Aufmerksamkeit des Bedieners wiederzuerlangen. Das System 100 setzt die Nutzung von LAAD fort, während es in dem Zustand ”Warnung1” 142 ist. Nach einer kurzen Zeitspanne (z. B. TBD1 101 Sekunden oder 5 Sekunden) stellt das System 100 fest, dass der Fahrer wieder aufmerksam ist. Das System geht über den Zustandsübergang 07 zurück in den Zustand ”Normal” 116 und setzt die Nutzung von LAAD fort.
In einem anderen nicht beschränkenden beispielhaften Szenario wird ein dauerhaft unaufmerksamer Bediener des Fahrzeugs vom System 100 festgestellt, während es in dem Zustand ”Volles Autonomes Fahren” 150 arbeitet. Wenn das System 100 in dem Zustand ”Normal” 116 ist, sorgt das System 100 für die Nutzung von LAAD. Nach einer Zeitspanne (z. B. 10 Minuten) stellt das System 100 fest, dass der Bediener das Kriterium Aufmerksamkeit nicht erfüllt. Wenn das System 100 bestimmt, dass der Bediener das Kriterium Aufmerksamkeit nicht erfüllt, geht das System 100 sofort von dem Zustand ”Normal” 116 über Zustandsübergang 06 über in den Zustand ”Warnung1” 142. In dem Zustand ”Warnung1” 142 versucht das System 100, die Aufmerksamkeit des Bedieners wiederzuerlangen. Zum Beispiel können Glocken über das Unterhaltungssystem des Fahrzeugs läuten, kann der Sitz des Fahrers vibrieren, können Lichter an der Instrumententafel aufleuchten oder kann irgendein anderes geeignetes Verfahren verwendet werden, um die Aufmerksamkeit des Bedieners wiederzuerlangen. Das System 100 nutzt LAAD weiter, während es in dem Zustand ”Warnung1” 142 ist. Nach einer Zeitspanne (d. h. TBD1 101 oder 5 Sekunden beispielsweise) bestimmt das System 100 weiterhin, dass der Fahrer das Kriterium Aufmerksamkeit nicht erfüllt. Als Folge der fortgesetzten Unaufmerksamkeit des Bedieners trotz einer Warnperiode entscheidet das System 100, einen Übergang von dem Zustand ”Warnung1” 142 über einen Zustandsübergang 08 in den Zustand ”Unaufmerksamer Fahrer” 122 einzuleiten. In dem Zustand ”Unaufmerksamer Fahrer” 122 versucht das System weiterhin, die Aufmerksamkeit des Bedieners wiederzuerlangen, und plant ein Manöver, um einen bevorzugten Zustand zu erreichen. Falls die Aufmerksamkeit des Bedieners in TBD6 106 Sekunden, zum Beispiel 15 Sekunden, nicht wiedererlangt wird, führt dann LAAD das geplante Manöver aus, um einen bevorzugten Zustand zu erreichen. Beispielsweise fährt das Manöver das Fahrzeug zur Seite der Straße und stoppt das Fahrzeug auf dem Randstreifen. Das Fahrzeug erreicht einen bevorzugten Zustand, und das System 100 sperrt LAAD, um das Fahrzeug im bevorzugten Zustand zu halten.
In noch einem anderen nicht beschränkenden beispielhaften Szenario wird ein abweichendes Szenario, das einen dauerhaft unaufmerksamen Bediener des Fahrzeugs betrifft, von dem System 100 festgestellt, während es in LAAD arbeitet. Wenn das System 100 in dem Zustand ”Normal” 116 ist, nutzt das System 100 LAAD. Nach einer Zeitspanne (z. B. 10 Minuten) stellt das System 100 fest, dass der Bediener das Kriterium Aufmerksamkeit nicht erfüllt. Wenn das System 100 bestimmt, dass der Bediener das Kriterium Aufmerksamkeit nicht erfüllt, geht das System 100 sofort von dem Zustand ”Normal” 116 über den Zustandsübergang 06 über in den Zustand ”Warnung1” 142. In dem Zustand ”Warnung1” 142 versucht das System 100, die Aufmerksamkeit des Bedieners wiederzuerlangen. Zum Beispiel können Glocken über das Unterhaltungssystem des Fahrzeugs läuten, kann eine Stimme versuchen, den Bediener zu alarmieren, kann der Sitz des Bedieners vibrieren, können Lichter an der Instrumententafel aufleuchten oder kann irgendein anderes geeignetes Mittel verwendet werden, um die Aufmerksamkeit des Bedieners wiederzuerlangen. Das System 100 nutzt LAAD weiterhin, während es in dem Zustand ”Warnung1” 142 ist. Nach einer kurzen Zeitspanne (d. h. TBD1 101 Sekunden oder 5 Sekunden) hebt der Bediener LAAD auf (z. B. drückt einen Knopf, drückt das Bremspedal oder nutzt irgendeine andere geeignete Anzeige). Wenn der Bediener LAAD aufhebt, während man in dem Zustand ”Warnung1” 142 ist, geht das System über die Zustandsänderung 04 über in den Zustand ”Freigegeben” 114. Wenn man in dem Zustand ”Freigegeben” 114 ist, kann der Bediener eine Nutzung von LAAD erneut anfordern, falls dies erwünscht ist, oder setzt einen manuellen Betrieb des Fahrzeugs bis zum Ende der Fahrt fort.
In einem weiteren, nicht beschränkenden, beispielhaften Szenario wird ein Verlust von für LAAD notwendigen Bedingungen durch das System 100 festgestellt, während es in LAAD arbeitet. Wenn das System 100 in dem Zustand ”Normal” 116 ist, nutzt das System 100 LAAD. Nach einer Zeitspanne (z. B. 10 Minuten) stellt das System 100 fest, dass die für LAAD notwendigen externen Bedingungen in TBD2 102 Sekunden ungültig werden bzw. enden werden. Das System geht sofort von dem Zustand ”Normal” 116 über den Zustandsübergang 11 über in den Zustand ”Warnung2” 144. In dem Zustand ”Warnung2” 144 beginnt das System 100 sofort, den Bediener zu alarmieren, um die Kontrolle des Fahrzeugs zu übernehmen. Das System stellt weiterhin LAAD bereit, da die für LAAD notwendigen externen Bedingungen noch nicht ungültig geworden sind. Wenn die Zeit bis zu dem Zeitpunkt fortschreitet, zu dem die TBD3 103 Sekunden übrig sind, bevor diese Bedingungen ungültig werden, entscheidet das System, eine Abhilfe-Steuerungsaktion einzuleiten, und geht über den Zustandsübergang 13 über in den Zustand ”Bedingungen Ungültig” 124. Nach dem Start der Abhilfeaktion hebt der Bediener die Nutzung von LAAD durch eines der oben diskutierten Verfahren oder durch irgendein anderes Verfahren auf. Nachdem der Bediener die Nutzung von LAAD aufhebt, geht das System 100 von dem Zustand ”Bedingungen Ungültig” 124 über den Zustandsübergang 04 über in den Zustand ”Freigegeben” 114, wo der Bediener die Nutzung von LAAD, falls dies erwünscht ist, erneut anfordern oder einen manuellen Betrieb des Fahrzeugs bis zum Ende der Fahrt fortsetzen kann.
In noch einem anderen nicht beschränkenden beispielhaften Szenario wird ein abweichendes Szenario des Verlusts von für LAAD notwendigen Bedingungen durch das System 100 festgestellt, während es in LAAD arbeitet. Wenn das System 100 in dem Zustand ”Normal” 116 ist, nutzt das System 100 LAAD. Nach einer Zeitspanne (z. B. 10 Minuten) stellt das System 100 fest, dass die für LAAD notwendigen externen Bedingungen in TBD2 102 Sekunden ungültig werden bzw. enden werden. Das System geht sofort von dem Zustand ”Normal” 116 über den Zustandsübergang 11 über in den Zustand ”Warnung2” 144. In dem Zustand ”Warnung2” 144 beginnt das System 100 sofort, den Bediener zu alarmieren, um die Kontrolle über das Fahrzeug zu übernehmen. Das System wird weiterhin LAAD bereitstellen, da die für LAAD notwendigen externen Bedingungen noch nicht ungültig geworden sind. Unmittelbar nach einem Eintreten in den Zustand ”Warnung2” 144 bestimmt jedoch das System 100, dass die für LAAD notwendigen externen Bedingungen nicht im Begriff sind, ungültig zu werden. Zum Beispiel hat sich ein anbahnender Verkehrsstau auf gelöst, oder es erscheinen erneut ausreichende Fahrbahnmarkierungen. Das System 100 geht über den Zustandsübergang 12 zurück zum Zustand ”Normal” 116. Während es unter dem Zustand ”Normal” 116 arbeitet, stellt das System 100 plötzlich fest, dass die externen Bedingungen, die für die Nutzung in LAAD erforderlich sind, ohne jegliche Warnung ungültig geworden sind. Es sollte erkannt werden, dass es für ein kontrolliertes Manöver wie zum Beispiel jenes zu spät ist, welches durch das System in den Zuständen ”Unaufmerksamer Fahrer” oder ”Bedingungen Ungültig” 122 bzw. 124 vorgesehen werden kann. Daher muss das System sofort von dem Zustand ”Normal” 116 über den Zustandsübergang 16 übergehen in den Zustand ”Rückzugsposition” 128, wobei das System verlangt, dass der Bediener die Kontrolle über das Fahrzeug übernimmt, und die Nutzung von LAAD gesperrt wird, wenn ein bevorzugter Zustand einmal erreicht ist.
In einem anderen nicht beschränkenden Szenario wird durch das System 100 ein akuter Ausfall, gefolgt von einem kritischen Ausfall festgestellt. Während das System 100 in dem Zustand ”Normal” 116 arbeitet und somit das System 100 LAAD nutzt, wird ein plötzlicher akuter Ausfall festgestellt. Wenn der akute Ausfall festgestellt wird, geht das System von dem Zustand ”Normal” 116 über den Zustandsübergang 14 über in den Zustand ”Herabgesetztes LAAD” 126. Gemäß der Definition des akuten Ausfalls hat das System noch die Fähigkeit, ein kontrolliertes Abhilfemanöver zu planen und auszuführen. Das geplante Manöver wird bei Eintreten in den Zustand ”Herabgesetztes LAAD” 126 ausgeführt. Nach einigen Sekunden eskaliert der akute Ausfall in einen kritischen Ausfall, bevor das kontrollierte Abhilfemanöver vollständig beendet ist. Das System 100 geht über den Zustandsübergang 17 über in den Zustand ”Rückfallposition” 128, wo der Zustand ”Rückfallposition” 128 den Bediener auffordert, die Kontrolle über das Fahrzeug zu übernehmen, und LAAD sperrt, wenn ein bevorzugter Zustand einmal erreicht ist. Das System 100 geht dadurch über den Zustandsübergang 09 über in den Zustand ”Gesperrt” 112 und bleibt für den Rest des Zündzyklus in dem Zustand ”Gesperrt” 112.
Es wird basierend auf dem Zustands-Flussdiagramm des Systems 100 zum Sicherstellen einer bevorzugten Operation von LAAD und den oben beschriebenen nicht beschränkenden Szenarien erkannt, dass ein allgemeiner Ablauf zwischen Zuständen bezüglich der Wünschbarkeit dieser Zustände während der Nutzung von LAAAD unter normalen Fahrbedingungen evident ist. Die Wünschbarkeit eines Zustands basiert auf einer Berücksichtigung von sowohl der Fähigkeit des Bedieners, das Fahrzeug zu kontrollieren, als auch der Zweckmäßigkeit.
Wie oben erwähnt wurde, sind die idealen Zustände, die die Zustände ”Zündung Aus”, ”Gesperrt”, ”Freigegeben” und ”Normal” 110, 112, 114 bzw. 116 einschließen, die am meisten erwünschten Zustände. Diese vier idealen Zustände repräsentieren zusammen eine ereignislose Nutzung von LAAD (d. h. alle für eine bevorzugte und zuverlässige Nutzung von LAAD notwendigen Bedingungen liegen vor).
Die Zustände ”Warnung1” und ”Warnung2” 142 bzw. 144 sind verhältnismäßig unbedeutende und kurzzeitige Abweichungen von der ereignislosen Nutzung von LAAD und sind folglich nur geringfügig weniger wünschenswert als die ereignislose Nutzung von LAAD. Es ist sehr wahrscheinlich, dass man auf einen dieser oder beide Zustände während einer einzelnen Fahrt trifft, in der LAAD für eine ausgedehnte Zeitspanne (z. B. mehr als 5 Minuten jeweils) genutzt wird. Das Auftreten von entweder dem Zustand ”Warnung1” oder ”Warnung2” 142 bzw. 144 sollte nur eine unbedeutende Herabsetzung der LAAD-Operation zur Folge haben, falls überhaupt.
Der Zustand ”Warnung3” 146 ist eine ernstere Abweichung von der ereignislosen Nutzung von LAAD. Der Entwurf des Systems 100 ist dazu gedacht, sicherzustellen, dass es unwahrscheinlich oder sehr unwahrscheinlich ist, dass man während einer einzelnen Fahrt auf den Zustand ”Warnung3” 146 treffen wird, unter der Annahme, dass das Fahrzeug gut gewartet ist. Die Fähigkeit, die Nutzung von LAAD fortzusetzen, wird jedoch nicht beeinträchtigt; es gibt aber ein erhöhtes Risiko eines kritischen Ausfalls. Daher ist es die Aufgabe dieses Zustandes, eine allmähliche Übergabe der Steuerung an den Fahrer zu erreichen.
Die Zustände ”Unaufmerksamer Fahrer”, ”Bedingungen Ungültig”, ”Herabgesetztes LAAD” und ”Rückfallposition” 122, 124, 126 bzw. 128 repräsentieren signifikantere Abweichungen von der ereignislosen Nutzung von LAAD als der Zustand ”Warnung3” 146. Der Entwurf des Systems ist dazu gedacht, es sehr unwahrscheinlich zu machen, dass man auf diese Zustände während einer einzelnen Fahrt trifft, in der LAAD genutzt wird, unter der Annahme, dass der Fahrer nicht unfähig, nicht beeinträchtigt ist und nicht vorsätzlich versucht, die LAAD-Funktionalität zu demonstrieren oder zu testen. In den Zuständen ”Unaufmerksamer Fahrer” und ”Bedingungen Ungültig” 122 bzw. 124 hat das System 100 den Versuch, die Aufmerksamkeit des Bedieners wiederzuerlangen, gestoppt, und hat ein kontrolliertes Abhilfemanöver eingeleitet, um das Fahrzeug in einen bevorzugten Zustand zu bringen. Als Folge eines Eintretens in einen dieser vier Zustände wird die LAAD-Operation signifikant herabgesetzt, bis der Bediener eingreift, um manuell die Kontrolle über das Fahrzeug zu übernehmen. Dies verhält sich so, weil ein Eintritt in einen dieser vier Zustände die ”Aufgabe” von LAAD ändert, wobei die neue Aufgabe darin besteht, so schnell wie möglich ohne wachsendes Risiko in einen bevorzugten Zustand zu gelangen. Die Zustände ”Unaufmerksamer Fahrer”, ”Bedingungen Ungültig”, ”Herabgesetztes LAAD” und ”Rückfallposition” 122, 124, 126 bzw. 128 repräsentieren eine fortschreitend herabgesetzte Form einer LAAD-Operation, wobei das System 100 das größte Leistungsvermögen hat, während es in dem Zustand ”Unaufmerksamer Fahrer” 122 ist, und das geringste Leistungsvermögen, während es in dem Zustand ”Rückfallposition” 128 ist.
Die oben diskutierten drohenden, akuten und kritischen Ausfälle werden hierin ausführlicher diskutiert. Die Zustandsübergänge 14, 17, 18 und 19 sind hinsichtlich des Ausfalltyps definiert, welcher akut, kritisch, drohend, akut nach drohend oder im Zustand ”Warnung3” 146 für TBD7 107 Sekunden nach einem drohenden Ausfall jeweils einschließen kann. Der Ausfalltyp wird durch das System 100 zur Zeit eines Auftretens dynamisch bestimmt. Der Superzustand ”Kein Bedeutender Ausfall” 140 in dem in 1 veranschaulichten Zustandsdiagramm zeigt an, dass entweder keine Ausfälle aufgetreten sind, keine bedeutenden Ausfälle aufgetreten sind oder nur unbedeutende Ausfälle (unten definiert) aufgetreten sind. Somit bezieht sich der Ausdruck ”Bedeutender Ausfall” zusammenfassend darauf, akute, kritische, drohende, akute nach drohenden Ausfällen oder im Zustand ”Warnung3” für TBD7 Sekunden nach einem drohenden Ausfall einzuschließen.
Ein ”Unbedeutender Ausfall” beeinflusst nicht die Fähigkeit des Systems 100, LAAD fortzusetzen. Es gibt keinen Grund dafür, dass das System als Folge eines ”Unbedeutenden” Ausfalls 100 eine erhöhte Anfälligkeit für einen kritischen Ausfall erwarten sollte. Ein Beispiel ist ein in einem RAM gespeicherter beschädigter Datenwert, der auf einen bevorzugten Standardwert gesetzt wird, wenn ein Ausfall festgestellt wird. Allgemeiner beinhalten unbedeutende Ausfälle, sind aber nicht darauf beschränkt, Ausfalle, die lokal ohne die Notwendigkeit irgendeiner weiteren Aktion repariert werden können. Die harmlose Natur solcher Ausfalle könnte das Ergebnis eines gewissen Fehlertoleranzmechanismus sein oder könnte der Fall sein, dass der Ausfall so unbedeutend ist, dass er zumindest bis zum Ende der Periode von LAAD ignoriert werden kann.
Ein drohender Ausfall ist ein Ausfall, der die Fähigkeit des Systems 100 beeinflusst, LAAD nur bei Vorliegen eines nachfolgenden Ausfalls auszuführen. Zum Beispiel erhöht der erste Ausfall die Wahrscheinlichkeit, dass ein kritischer Ausfall auftritt, verglichen mit der Wahrscheinlichkeit, dass ein kritischer Ausfall zu der Zeit auftritt, zu der LAAD in den Superzustand ”Eingeschaltet” 130 übergeführt wurde. Weder die Wahrscheinlichkeit noch die Unmittelbarkeit des nachfolgenden Ausfalls sind bekannt. Ein Beispiel eines drohenden Ausfalls wäre der Ausfall eines kritischen Sensors, der nur eine redundante Alternative hat. Falls das System 100 innerhalb des Superzustands ”Kein Bedeutender Ausfall” 140 zu der Zeit des Auftretens eines drohenden Ausfalls ist, würde dann das System 100 über den Zustandsübergang 18 in den Zustand ”Warnung3” 146 übergehen. Das Wort ”drohend” wird verwendet, um diesen Typ eines Ausfalls zu beschreiben, als eine Anzeige dafür, dass solche Ausfälle nicht notwendigerweise einen unmittelbaren Effekt haben. Folglich sind im Sinne der Dringlichkeit bzw. Akutheit drohende Ausfälle weniger kritisch als akute Ausfälle. Die Konsequenz eines drohenden Ausfalls, wenn der Effekt realisiert ist, ist jedoch nicht notwendigerweise geringer als der potentielle Effekt eines akuten Ausfalls.
Akute Ausfälle schließen eine von zwei Möglichkeiten ein. Die erste Möglichkeit beinhaltet, dass der Ausfall die Fähigkeit des Systems 100, LAAD in dem Zustand ”Normal” 116 fortzusetzen, sofort herabsetzt; dieser Ausfall beeinflusst jedoch nicht die Fähigkeit des Systems, ein kontrolliertes Abhilfemanöver in dem Zustand ”Herabgesetztes LAAD” 126 durchzuführen. Diese erste Möglichkeit eines akuten Ausfalls könnte zum Beispiel einen kompletten Verlust der Sensorfunktionalität beinhalten, die für Fahrspurwechsel erforderlich ist. Außerdem nehme man an, dass das in dem Zustand ”Herabgesetztes LAAD” 126 durchgeführte gesteuerte Manöver, ausgewählt für diesen Ausfall, sich in einen Zustand ohne die Fähigkeit zum Spurwechsel herabsetzt und in der gegenwärtigen Fahrbahn stoppt, das heißt kein Spurwechsel. Daher beeinflusst der Verlust der Sensorfunktionalität, die für einen Spurwechsel erforderlich ist, nicht den Betrieb im Zustand ”Herabgesetztes LAAD” 126. Die zweite Möglichkeit eines akuten Ausfalls schließt ein, dass der Ausfall die Fähigkeit des Systems 100, LAAD in dem Zustand ”Normal” 116 fortzusetzen, sofort herabgesetzt. Dieser Typ eines akuten Ausfalls beeinflusst auch die Fähigkeit des Systems 100, ein kontrolliertes Abhilfemanöver durchzuführen; jedoch gibt es eine Alternative, die genügt, um das kontrollierte Abhilfemanöver durchzuführen. Zum Beispiel hat das System 100 die Sichtbarkeit der Fahrbahnmarkierung vollständig verloren, aber die Historie von Videodaten für die vergangenen 10 Sekunden, kombiniert mit Radardaten, die die Position des vorausfahrenden Fahrzeugs erfassen, reicht aus, um weiterzufahren, die Position des Fahrzeugs in der Fahrbahn für eine kurze Zeitdauer abzuschätzen, um ein kontrolliertes Abhilfemanöver durchzuführen. Falls das System 100 zu der Zeit, zu der ein akuter Ausfall stattfindet, in dem Superzustand ”Kein Bedeutender Ausfall” 140 ist, kann das System 100 über den Zustandsübergang 14 in den Zustand ”Herabgesetztes LAAD” 126 übergehen. Falls der akute Ausfall nicht aufgetreten ist, aber ein drohender Ausfall während der aktuellen Fahrt aufgetreten ist, geht dann gleichfalls das System über den Zustandsübergang 18 über in den Zustand ”Warnung3” 146.
Kritische Ausfälle sind nicht unbedeutend, drohend oder akut. Im Allgemeinen hat ein kritischer Ausfall sofort einen nachteiligen Effekt auf die Fähigkeit des Systems 100, eine normale Operation von LAAD fortzusetzen. Der Ausfall wird entweder nicht festgestellt oder ist nicht steuerbar durch LAAD, und das System 100 warnt den Fahrer vor solchen Situationen, falls sie festgestellt werden, und gibt die LAAD-Fähigkeit frei, nachdem der Bediener die Kontrolle über das Fahrzeug übernimmt.
Wie oben erwähnt wurde, wird der Typ eines Ausfalls durch das System 100 zur Zeit seines Auftretens dynamisch bestimmt, das heißt, wenn der Ausfall zuerst festgestellt wird. Der Typ eines Ausfalls kann eine Funktion sein von: (1) der Gefährlichkeit des Ausfalls für die Operation von LAAD in dem Zustand ”Normal” 116; (2) der Gefährlichkeit des Ausfalls für die Fähigkeit des Systems, kontrollierte Abhilfemanöver in den Zuständen ”Herabgesetztes LAAD” und ”Rückfallposition” 126 bzw. 128 durchzuführen; und (3) der aktuellen Verfügbarkeit von Redundanz oder kurzzeitigen Alternativen des Systems. Während die Punkte (1) und (2) statisch bestimmt werden können (d. h. wenn das System 100 ausgelegt wird), ist Punkt (3) eine dynamische Eigenschaft, die in dem Moment, in dem der Ausfall auftritt, bestimmt werden muss. Da der Punkt (3) nur dynamisch bestimmt werden kann, ist es nicht möglich, einfach jede Art eines Ausfalls (z. B. Ausfall des linken vorderen Radars mittlerer Reichweite) als einen von unbedeutend, drohend, akut oder kritisch als Teil des Entwurfs zu bezeichnen. Stattdessen kann eine Software-Funktion genutzt werden, um den Typ eines Ausfalls zu bestimmen, der aufgetreten ist, wenn ein Ausfall festgestellt wird. Dies kann auf einer bestimmten Verfügbarkeit von Redundanz, alternativen Manövern etc. gestützt werden. Die Software-Funktion kann alle gegenwärtigen Diagnosesignale lesen, um die Bestimmung durchzuführen. Mit anderen Worten muss die Software-Funktion genau eine Funktion der unten dargestellten Form spezifizieren.
if (...........) then aktueller Ausfalltyp ist ”Unbedeutend”
else if (....) then aktueller Ausfalltyp ist ”Drohend”
else if (....) then aktueller Ausfalltyp ist ”Akut”
else aktueller Ausfalltyp ist ”Kritisch”
Überdies kann das System 100 eine Antizipations-Software-Funktion vorsehen, die bestimmen kann, wann ein akuter Ausfall aus Diagnosesignalen erwartet werden kann. Falls zum Beispiel ein ”Vertrauenswert”, der durch ein Kamerasystem geliefert wird, das genutzt wird, um Fahrbahnmarkierungen festzustellen, stetig abnimmt, könnte dann diese ”Vorausschau”-Information verwendet werden, um den akuten Ausfall vorauszusehen, statt darauf zu warten, dass der akute Ausfall auftritt. Die Nutzung des Systems 100, um das Auftreten eines akuten Ausfalls vorauszusehen, schafft eine Gelegenheit für einen allmählicheren Übergang aus dem LAAD. In einer bevorzugten Ausführungsform sollte die Software-Funktion für die Bestimmung des Ausfalltyps eine Liste aller feststellbaren Diagnosebedingungen enthalten, die einen Ausfall oder das wahrscheinliche Auftreten eines Ausfalls während einer aktuellen Fahrt festlegen. In dieser beispielhaften Ausführungsform sollte die Software-Funktion ferner dafür ausgebildet sein, eine Gleichung abzuleiten, die von dem System 100 genutzt werden kann, um den Typ eines Ausfalls basierend auf einer Analyse des detaillierten Entwurfs des Systems 100 dynamisch zu berechnen. Zum Beispiel drückt die folgende Gleichung eine Beziehung zwischen drei Sensoren aus, sodass ein Ausfall des Sensors 1 nur kritisch ist, falls entweder Sensor 2 oder Sensor 3 NICHT in Ordnung sind. Sensor1.failureType is Urgent = ((Sensor1 is ~OK) AND ((Sensor2 is ~OK) OR (Sensor3 is ~OK))) [1]
In dieser beispielhaften Ausführungsform kann die Software-Funktion ferner dafür eingerichtet sein, den Entwurf basierend auf den Ergebnissen der abgeleiteten Gleichung zu überprüfen, um Modifikationen an dem Entwurf zu identifizieren, die die Dringlichkeit von Ausfällen allgemein minimieren werden. Mögliche Änderungen an dem Entwurf können die Hinzufügung von Diagnosesignalen und die Hinzufügung einer redundanten Funktionalität einschließen.
Weitere, ins Auge gefasste Ausführungsformen beinhalten ein Definieren von zumindest fünf möglichen Optionen, um das Verhalten des Systems 100 in einen ”bevorzugten Zustand” überzuführen. Mit anderen Worten kann das System 100 bestimmen, welche Maßnahmen ergriffen werden müssen, um diese Zustände zu erreichen (von den Zuständen ”Unaufmerksamer Fahrer”, ”Bedingungen Ungültig”, ”Herabgesetztes LAAD” und ”Rückfallposition” 122, 124, 126 bzw. 128). Das System 100 kann eine heuristische Strategie wählen, statt eine einzelne Option für spezifische Situationen wählen, wobei die Strategie die beste Option dynamisch wählen kann in Abhängigkeit von der Art des Ausfalls und der Umgebungsbedingungen. Überdies kann eine ”Vorausschau”- und ”Vorausplanungs”-Analyse (siehe Vorausschau- und Vorausplanungs-Module 324 bzw. 322 in 3) durchgeführt werden, sodass eine Entscheidung sofort getroffen werden kann, falls und wenn der Ausfall stattfindet. In Abhängigkeit von der Art des Ausfalls und der Umgebungsbedingungen des Fahrzeugs und des Systems 100, das damit verbunden ist, müssen Vorteile und Nachteile für jede der möglichen Optionen, um das Verhalten des Systems 100 in den ”bevorzugten Zustand überzuführen, ausgewertet werden. Das System 100 ist nicht auf die unten aufgelisteten fünf Optionen beschränkt und kann dafür ausgestaltet sein, andere Optionen zu definieren, um das Verhalten des Fahrzeugs in Abhängigkeit von der Art des Ausfalls und der Umgebungsbedingungen in einen ”bevorzugten Zustand” überzuführen.
In einer ersten Option wird LAAD fortgesetzt, falls der Bediener noch aufmerksam ist; der Bediener wird jedoch energisch aufgefordert, die Kontrolle des Fahrzeugs zu übernehmen. Die erste Option ist vorteilhaft, weil sie einfach in das System zu implementieren ist. Die erste Option muss Situationen berücksichtigen, in denen das Fahrzeug eine LAAD-Operation fortsetzt, wenn es sehr unwahrscheinlich ist, dass der Bediener die Kontrolle übernimmt, falls und wenn LAAD aufgrund eines Ausfalls oder eines Ungültigwerdens bzw. Endes von LAAD-Bedingungen nicht fortsetzen kann.
Eine zweite Option ist identisch mit der ersten Option, außer dass das Fahrzeug auf eine verfügbare Straßenausfahrt manövriert und dann ein Versuch unternommen wird, das Fahrzeug zu stoppen, und die Warnblinkanlage eingeschaltet wird. Die zweite Option kann gegenüber der ersten Option bevorzugt werden, da sie die Dauer der Gefahraussetzung für das System 100 beschränkt, unter der Annahme, dass bald eine Ausfahrt entlang der Straße auftaucht. Sie bietet auch den Vorteil gegenüber einigen anderen Optionen, dass das Fahrzeug an einem weniger gefährlichen Platz als in der Mitte oder an der Seite der Schnellstraße gestoppt werden könnte. Die zweite Option muss so ausgestaltet sein, dass sie nicht zu einer anderen Verkehrssituation führt, die gefährlicher sein kann, als auf der Schnellstraße zu bleiben (zum Beispiel eine Auffahrt auf eine andere Schnellstraße).
In einer dritten Option wird verlangt, dass das Fahrzeug in der Spur bleibt, aber verlangsamt, den Abstand vergrößert und die Warnlichter einschaltet. Die dritte Option ist vorteilhaft, da sie einfach zu implementieren ist und keine riskanten Manöver (z. B. Spurwechsel) erfordert. Die dritte Option muss andere Fahrzeuge berücksichtigen, die hinter dem Fahrzeug auf der Straße fahren, um eine Kollision von hinten zu vermeiden.
In einer vierten Option wird verlangt, dass das Fahrzeug sobald wie möglich an die Seite der Straße (zum Beispiel Standstreifen bzw. Bankett) manövriert, die Warnlichter einschaltet, bis zu einem Stopp verlangsamt und die Parkbremse anzieht. Die vierte Option ist vorteilhaft, falls die grundlegenden Fähigkeiten, die zum Abschließen des Manövers, bei dem das Fahrzeug an die Seite der Straße überführt wird, erforderlich sind, zur Verfügung stehen und die Seite der Straße ein wahrscheinlich bevorzugterer Platz ist, als in der aktuellen Spur zu bleiben. Die vierte Option kann ein eher vorhersagbares Ergebnis sein, als zu versuchen, die nächste Ausfahrt zu nehmen. Die vierte Option muss berücksichtigen, dass ein an der Seite der Straße befindliches Bankett nicht zur Verfügung stehen kann und es eine unbestimmte Zeitspanne in Anspruch nehmen kann, einen geeigneten Platz zu finden, um am Straßenrand zu halten. Als ein Faktor bei starkem Verkehr werden in erwünschter Weise auch mehrfache Spurwechselmanöver betrachtet.
In einer fünften Option wird verlangt, dass das Fahrzeug die Warnlichter einschaltet, hupt, die Motorhaube nach einen Stoppen aufspringen lässt und über ein System wie zum Beispiel OnStar den Bereitschaftsdienst anfordert. Die fünfte Option ist einfach zu implementieren und beschränkt die Zeitspanne, in der LAAD arbeiten muss. Außerdem gibt es keine risikobehafteten Manöver wie zum Beispiel ein Wechseln von Spuren mit eifern Fahrer, der das Kriterium Aufmerksamkeit nicht erfüllt. Die fünfte Option muss andere Fahrzeuge, die hinter dem Fahrzeug fahren, berücksichtigen, um ein Risiko zu vermeiden, wenn das Fahrzeug stoppt.
Wie oben erwähnt wurde, kann es wünschenswert sein, einen Ansatz zu entwickeln, der in heuristischer Weise in Abhängigkeit von der Art des Ausfalls und der Umgebungsbedingungen die beste Option wählt. Zum Beispiel könnte in dem Zustand ”Unaufmerksamer Fahrer”, falls der Verkehr schwach ist oder nur langsam fließt, die vierte Option, bei der man sich zum Bankett bewegt, die beste Wahl sein, falls es ein entlang der Seite der Straße vorhandenes Bankett gibt. Falls an der Seite der Straße kein Bankett vorhanden ist, könnte die zweite Option, bei der die nächste Ausfahrt genommen wird, gewählt werden. Falls auf der anderen Seite der Verkehr dicht ist und langsam fließt, kann die fünfte Option, bei der in der aktuellen Spur gestoppt wird, die beste Option für eine Wahl sein. Andernfalls kann das System 100 für eine Minute oder zwei zuerst die dritte Option wählen, bei der verlangsamt wird, der Abstand vergrößert wird und die Warnlichter eingeschaltet werden, und dann Bedingungen erneut auswerten, um zu sehen, ob eine andere Option geeignet ist. Falls keine andere Option geeignet ist, bleibt man dann bei der dritten Option und wertet erneut in periodischer Weise aus.
Wie oben erwähnt wurde, hat das System 100 die Mindestfähigkeit, während es in den Zuständen ”Herabgesetztes LAAD” und/oder ”Rückfallposition” 126 bzw. 128 ist. Es ist daher ein Ziel des Entwurfs des Systems 100, die Möglichkeit zu minimieren, dass man auf Bedingungen trifft, um eine Operation von LAAD in den Zuständen ”Herabgesetztes LAAD” und ”Rückfallposition” 126 bzw. 128 auszulösen. Zum Beispiel soll der Entwurf die Abhängigkeit des Systems 100 von etwaigen Bedingungen minimieren, die plötzlich falsch werden können, ohne eine gewisse Fähigkeit des Systems 100, das Unültigwerden bzw. Ende solcher Bedingungen ”vorherzusehen” oder vorherzusagen. Der Entwurf sollte ferner Maßnahmen wie zum Beispiel Redundanz nutzen, um das Ungültigwerden bzw. Ende solcher Bedingungen zu minimieren. Der Entwurf sollte die Nutzung von Gelegenheiten, um das Ungültigwerden bzw. Ende solcher Bedingungen vorherzusehen oder vorherzusagen, maximieren. Das System 100 sollte ferner dafür ausgelegt sein, einen konservativen Ansatz bei einer Entscheidung zu nehmen, ob solche Bedingungen, die erfordern können, das Fahrzeug in den Zuständen ”Herabgesetztes LAAD” und/oder ”Rückfallposition” 126 bzw. 128 zu betreiben, für die nächsten TBD Sekunden andauern werden. Zum Beispiel kann das System dafür eingerichtet sein, zu bestimmen, ob es eine Anzeige gibt, dass die Fahrbahnmarkierungen in 120 Sekunden nicht mehr sichtbar sein könnten, und damit zu beginnen, den Fahrer zu warnen, an diesem Punkt die Kontrolle zu übernehmen. Das System 100 kann ferner energische Maßnahmen ergreifen, um den Bediener aufzufordern, die Kontrolle über das Fahrzeug sobald wie möglich zu übernehmen, wenn es zuerst feststellt, dass die Bedingungen, die für ein bevorzugtes und zuverlässiges LAAD notwendig sind, im Begriff sind, ungültig zu werden, und zusätzlich energische Maßnahmen nutzen, um den Fahrer davon abzuschrecken, vorsätzlich zu erlauben, dass das System 100 die Zustände ”Herabgesetztes LAAD” und/der ”Rückfallposition” 126 bzw. 128 erreicht. Wenn ein Ausfall auftritt, kann das System dafür eingerichtet sein, die Möglichkeit zu minimieren, dass man auf die Zustände ”Herabgesetztes LAAD” und/oder ”Rückfallposition” 126 bzw. 128 trifft, indem irgendein alternatives, vorübergehendes Kurzzeitverfahren genutzt wird, um den Ausfall zu überwinden, statt sofort in einen Zustand eines akuten oder kritischen Ausfalls zu springen. Falls man zum Beispiel auf einen plötzlichen und vollständigen Verlust von Kameradaten trifft, die zum Zentrieren in der Spur genutzt werden, kann das System 100 historische Daten (d. h. Daten für zum Beispiel die letzten 10 Sekunden) nutzen oder eine Bewegung von Fahrzeugen voraus verfolgen, um eine andere Quelle für die verlorenen Kameradaten für eine ausreichend lange Periode zu liefern, um den Bediener eine Chance zu geben, die Kontrolle über das Fahrzeug zu übernehmen. Zum Beispiel kann das System 100 in die Zustände ”Warnung2” und/oder ”Bedingungen Ungültig” 144 bzw. 124 übergehen.
Außerdem kann das System 100, das auf eine LAAD-Operation in dem Zustand ”Rückfallposition” 128 trifft, minimiert werden, indem sichergestellt wird, dass der Entwurf des Systems 100 die Möglichkeit von Fehlern minimiert und Einzelpunktausfälle (engl. single point failures) vermeidet. Überdies kann das System auf einen Entwurf für den Zustand „Herabgesetztes LAAD” 126 mit einer sehr großen Fähigkeit, Fehler zu tolerieren, beschränkt werden. Solch ein Entwurf würde minimale Abhängigkeiten und eine adäquate Fehlertoleranz beinhalten. Der Entwurf des Systems 100 sollte ferner energische Maßnahmen einbeziehen, um den Bediener aufzufordern, die Kontrolle über das Fahrzeug manuell zu übernehmen, wenn ein akuter Ausfall auftritt, bevor der akute Ausfall in einen kritischen Ausfall eskaliert.
2 veranschaulicht schematisch einen in dem System 100 von 1 integrierten beispielhaften Controller 200 gemäß der vorliegenden Offenbarung. Der beispielhafte Controller 200 kann definieren, in welchem Zustand das Fahrzeug betrieben wird (siehe System 100 von 1) und in welchem Fahrmodus das Fahrzeug betrieben wird (siehe System 300 von 3). Der beispielhafte Controller 200 kann die spezifischen Bedingungen, die für die Nutzung von LAAD notwendig sind, überwachen und analysieren und eine Fehlerbehandlung und Herabsetzung sicherstellen, wenn eine oder mehrere der für die Nutzung von LAAD notwendigen spezifischen Bedingungen nicht länger existieren oder zu einem bestimmten zukünftigen Zeitpunkt nicht länger existieren können. Der beispielhafte Controller 200 enthält einen beispielhaften Verwalter 210 mit einer Überwachungssteuerung über ein Überwachungs- und Warnsystem 212, das ferner erste und zweite Subsysteme 220 bzw. 230 enthält, ein Mensch-Maschine-Schnittstellensystem (HMIS) 240, ein Fahrerüberwachungssystem 250 und ein ein autonomes Fahren überwachendes System 260. Der Status des Überwachungs- und Warnsystems 212 wird zu dem Verwalter 210 übermittelt, und der Verwalter 210 kann basierend auf der überwachten Information, die dazwischen übermittelt wird, Aktionsbefehle für das Überwachungs- und Warnsystem 212 erzeugen. Wie oben erwähnt wurde, beinhalten die für eine Nutzung von LAAD notwendigen spezifischen Bedingungen ein Kriterium Aufmerksamkeit des Bedieners, Verfügbarkeit, um ein bevorzugtes und zuverlässiges LAAD bereitzustellen, und externe Bedingungen, die eine bevorzugte Nutzung von LAAD ermöglichen. Die ersten und zweiten Subsysteme 220 bzw. 230 können Diagnosebedingungen überwachen, die systematische Ausfälle/interne Fehler anzeigen, die die Verwendung der bevorzugten und zuverlässigen LAAD beeinträchtigen können, wobei eine Verwendung einer Fehlerbehandlung erforderlich sein kann, um das Fahrzeug in einen bevorzugten Zustand zu manövrieren. Die überwachten Diagnosebedingungen können kontinuierlich an den Verwalter 210 übermittelt werden, wobei der Verwalter 210 das Auftreten (oder eine Möglichkeit des Auftretens) eines unbedeutenden, drohenden, akuten oder kritischen Ausfalls bestimmen kann. Der Verwalter 210 kann dafür eingerichtet sein, einen festgestellten Ausfall innerhalb eines der Subsysteme 220 bzw. 230 direkt zu fixieren, falls es möglich ist, dies zu tun. Zum Beispiel könnte das Auftreten eines unbedeutenden Ausfalls ohne die Notwendigkeit irgendeiner weiteren Aktion lokal repariert werden. Die ersten und zweiten Subsysteme 220 bzw. 230 können außerdem Bedingungen des Fahrzeugs überwachen, einschließlich, nicht aber darauf beschränkt, einer Bremspedaleingabe, Drehmomentanforderung durch den Bediener, Lenkradeingabe und Kraftstoffverbrauch, die die Steuerbarkeit des Fahrzeugs beeinflussen und/oder dessen Nutzung beschränken können, wobei das Fahrzeug in LAAD betrieben wird. Das beispielhafte Überwachungs- und Warnsystem 212 ist nicht auf die ersten und zweiten Subsysteme 220 bzw. 230 beschränkt und kann eine beliebige Anzahl von Subsystemen beinhalten, die notwendig sind, um Diagnosebedingungen oder andere Aspekte adäquat zu überwachen, die sich auf ein Betreiben des Fahrzeugs in der bevorzugten Art und Weise unter Nutzung von LAAD beziehen. Wie oben erwähnt wurde, kann das HMIS 240 zahlreiche Mechanismen enthalten, einschließlich, nicht aber darauf beschränkt, Knöpfe, Sprachaktivierung etc., damit der Bediener eine Operation des Systems aktiviert und aufhebt, wenn der Bediener dies wünscht. Zum Beispiel kann das HMIS 240 innerhalb eines Infotainment-Systems integriert sein, wobei das HMIS 240 einen Knopf oder ein anderes geeignetes und brauchbares Mittel zum Aktivieren von LAAD und einen Knopf oder ein anderes geeignetes und brauchbares Mittel zum Aufheben von LAAD enthalten kann. Außerdem kann das HMIS 240 Knöpfe oder andere geeignete und brauchbare Mittel zum Steuern des Niveaus der LAAD-Funktionalität enthalten, die der Fahrer wünscht. Zum Beispiel kann der Fahrer wünschen, dass LAAD Lenkung, Bremse und Drossel des Fahrzeugs unabhängig von einer Bedienereingabe steuert, der Bediener des Fahrzeugs kann jedoch die Fähigkeit haben, zwischen mehreren verschiedenen Modi von LAAD auszuwählen, welche einschließen, nicht aber darauf beschränkt sind, beliebige Kombinationen zwischen einem adaptiven Geschwindigkeitsregelungssystem (ACC), Spurhalten oder -zentrieren und Spurwechseln. Das Fahrerüberwachungssystem 250 beinhaltet eine Überwachung der Aufmerksamkeit eines Fahrers. Das Fahrerüberwachungssystem 250 kann Innenkameras enthalten, ist aber nicht darauf beschränkt, die Augenbewegungen und/oder die Kopfhaltung eines Bedieners zu überwachen, um anzuzeigen, ob der Fahrer aufmerksam und/oder wach ist. Das Fahrerüberwachungssystem 250 kann außerdem die Sitzposition des Bedieners überwachen. Das ein autonomes Fahren überwachende System 260 überwacht in erster Linie die externen Bedingungen, die für eine bevorzugte Nutzung von LAAD notwendig sind. Zum Beispiel kann das ein autonomes Fahren überwachende System 260 Kamerainformationen überwachen und analysieren bezüglich der Sichtbarkeit von Fahrbahnmarkierung, um die Fahrspur zu bestimmen, in der ein Fahrzeug fährt, und ob ein Spurwechsel notwendig ist. Außerdem kann das ein autonomes Fahren überwachende System 260 in Verbindung mit einer GPS-Überwachung arbeiten, um ein Annähern an Kreuzungen, erforderliches Einfädeln in die Spur und erwünschte Kurven des Fahrzeugs auf der Route zu bestimmen, wobei solch eine Information von dem ein autonomes Fahren überwachenden System 260 an den Verwalter 210 weitergeleitet werden kann, um Fahrzeugbetriebszustände und Modi eines autonomen Fahrens, die damit verbunden sind, ”vorauszusehen” und ”vorauszuplanen”. Das beispielhafte Überwachungs- und Warnsystem 212 kommuniziert mit dem Verwalter 210, wobei der Verwalter 210 die überwachte Information von dem Überwachungs- und Warnsystem 212 analysiert und bestimmen kann, ob eine der spezifischen Bedingungen für einen bevorzugten und zuverlässigen Betrieb des LAAD nicht länger existiert oder Gefahr besteht, dass sie ungültig wird. Der beispielhafte Controller 200 arbeitet in Verbindung mit dem System 100 von 1, wobei das System 100 einen der Superzustände und konkreter einen der Basiszustände zum Betreiben des Fahrzeugs unter Nutzung von LAAD bestimmt. Wie oben erwähnt wurde, kann der beispielhafte Verwalter 210 basierend auf der überwachten Information Befehlsaktionen veranlassen. Zum Beispiel kann der beispielhafte Verwalter 210 einen Fahrer warnen, der das Kriterium Aufmerksamkeit nicht erfüllt (d. h. Zustände ”Warnung1”–”Warnung3”), um Kontrolle über ein Fahrzeug zu übernehmen, wenn eine Nutzung von LAAD in naher Zukunft nicht bevorzugt werden kann, indem das HMIS 240 in dem Innenraum aufleuchtet oder der Sitz des Fahrers durch das Fahrerüberwachungssystem 250 gerüttelt wird oder durch irgendein anderes geeignetes Mittel.
3 veranschaulicht schematisch ein Fahrmodussystem 300 (im Folgenden ”System 300”) autonomer Fahrmodi bei Vorhandensein und Fehlen von Bedenken, die in Verbindung und zusammenfallend mit dem System 100 von 1 und dem beispielhaften Controller 200 von 2 genutzt werden.

Tabelle 2 wird als Schlüssel für 3 geliefert, wobei die numerisch bezeichneten Blöcke und die entsprechenden Funktionen wie folgt dargelegt sind. Tabelle 2

FIG. 3
BLOCK	BLOCKINHALTE
310	Modus Autonomes Fahren Gesperrt
320	Modus Volles Autonomes Fahren: Fahrzeug arbeitet unter LAAD, ohne dass irgendwelche spezifischen Bedingungen verletzt sind.
322	Vorausplanungs-Modul: Beurteilt verfügbare Optionen, um das Verhallten des Fahrzeugs in einen bevorzugten Zustand überzuführen, wenn spezifische Bedingungen verletzt werden oder verletzt werden können.
324	Vorausschau-Modul: Identifiziert, ob irgendwelche spezifischen Bedingungen in Zukunft verletzt werden und, falls dies der Fall ist, wann.
330	Warnmodus: Versucht, Aufmerksamkeit des Bedieners zu erlangen, beurteilt Optionen, stellt Warnoptionen basierend auf einer Fahrerantwort oder einem Fehlen einer Antwort ein und eskaliert oder stoppt Warnungen.
340	Erhöhter Warnmodus: eskaliert Warnungen, um die Aufmerksamkeit des Bedieners wiederzuerlangen und eine zusätzliche Aktion zu unternehmen.
350	Modus Herabgesetztes Autonomes Fahren: Beurteilt geplante Optionen (Block 322), stellt autonomes Fahren ein (zum Beispiel Benachrichtigen des Fahrers, dass das System abgeschaltet wird, Fahrzeuggeschwindigkeit reduzieren). Fahrzeug, arbeitend in herabgesetztem LAAD
360	Modus Autonomes Fahren Abschalten
390	Fahrerüberwachung: Überwacht die Aufmerksamkeit des Fahrers
392	Überwachungseinrichtung für autonomes Fahren: Überwacht Bedingungen, die für eine bevorzugte und zuverlässige Nutzung von LAAD notwendig sind.

Die Modi für autonomes Fahren beinhalten Autonomes Fahren Gesperrt 310, Modus Volles Autonomes Fahren, Warnmodus, Erhöhter Warnmodus, Modus Herabgesetztes Autonomes Fahren und Modus Autonomes Fahren Abschalten 310, 320, 330, 340, 350 bzw. 360. 3 beinhaltet ferner Vorausschau- und Vorausplanungs-Module 324 bzw. 322. Der Modus Volles Autonomes Fahren 320 beinhaltet eine Nutzung von LAAD mit der Fähigkeit, Lenkung, Bremsen und Drossel des Fahrzeugs unabhängig von einer Bedienereingabe zu steuern; jedoch kann der Bediener des Fahrzeugs die Fähigkeit haben, zwischen mehreren verschiedenen Modi von LAAD auszuwählen, einschließlich, nicht aber darauf beschränkt, beliebiger Kombinationen zwischen einer adaptiven Geschwindigkeitsregelung (ACC), Spurhalten oder -zentrieren und Spurwechseln. Der Warnmodus, der erhöhte Warnmodus, der Modus Herabgesetztes Autonomes Fahren und der Modus Autonomes Fahren Abschalten 330, 340, 350 bzw. 360 beinhalten Situationen, in denen LAAD verwendet wird, aber eine oder mehrere der für eine bevorzugte und zuverlässige Nutzung von LAAD notwendigen spezifischen Bedingungen nicht länger vorliegen, oder bestimmt wird, dass sie in TBD Sekunden ungültig werden, und somit ein gewisses Niveau einer Fehlerbehandlung vorliegt. Desgleichen entsprechen der Warnmodus, der erhöhte Warnmodus, der Modus Herabgesetztes Autonomes Fahren und Modus Autonomes Fahren Abschalten 330, 340, 350 bzw. 360 einem oder mehreren der Basiszustände ”Warnung1”, ”Warnung2” oder ”Warnung3”, ”Unaufmerksamer Fahrer”, ”Bedingungen Ungültig” oder ”Herabgesetztes LAAD” 142, 144, 146, 122, 124, bzw. 126 innerhalb des Superzustands ”Eingeschaltet” 130 oder des Basiszustands ”Rückfallposition” 128 von 1. Wenn das Fahrzeug in dem Modus Autonomes Fahren Gesperrt 310 fährt, arbeitet gleichfalls das System 100 in dem Zustand ”Gesperrt” 112 von 1, wo der Bediener eine Nutzung von LAAD manuell gesperrt hat.
Das Fahrzeug kann über einen Übergang 312 einen Betrieb aus dem Modus Autonomes Fahren Gesperrt 310 in dem Modus Volles Autonomes Fahren 320 überführen (zum Beispiel den Modus Volles Autonomes Fahren freigeben), wenn der Bediener des Fahrzeugs ein autonomes Fahren anfordert und die Mehrzahl spezifischer Bedingungen für eine bevorzugte und zuverlässige Nutzung von LAAD alle erfüllt sind. Die Anforderung kann von dem Bediener auf zahlreiche geeignete Weisen durchgeführt werden, einschließlich, nicht darauf beschränkt, Zugreifen auf einen Aktivierungsknopf, der sich an dem in 2 veranschaulichten HMIS 240 befindet. Das Fahrzeug kann gleichfalls einen Modus Volles Autonomes Fahren 320 verlassen (zum Beispiel den Modus Volles Autonomes Fahren sperren), wenn der Bediener anfordert, autonomes Fahren zu sperren (zum Beispiel über einen Übergang 314) oder wenn zumindest eine der spezifischen Bedingungen, die für eine bevorzugte und zuverlässige Nutzung von LAAD notwendig sind, verletzt wird oder im Begriff ist, verletzt zu werden (zum Beispiel über Übergänge 316 oder 318). Die Aufforderung, zu sperren, kann von dem Bediener auf eine Vielzahl geeigneter Arten durchgeführt werden, einschließlich, nicht aber darauf beschränkt, eines Zugreifens auf einen Deaktivierungsknopf, der sich an dem HMIS 240 befindet. Alternativ dazu kann der Bediener des Fahrzeugs ein autonomes Fahren sperren, indem beispielsweise Druck auf ein Bremspedal aufgebracht wird oder durch irgendein anderes geeignetes Mittel. Ein Verlassen des Modus Volles Autonomes Fahren 320 in den Modus Autonomes Fahren Gesperrt 310 wird über einen Übergang 314 durchgeführt.
Wenn das Fahrzeug in dem Modus Volles Autonomes Fahren 320 fährt, fährt das Fahrzeug unter LAAD, ohne dass irgendwelche spezifischen Bedingungen verletzt werden. Wenn das Fahrzeug in dem Modus Volles Autonomes Fahren 320 fährt, überwacht die Fahrerüberwachung 390 ständig die Aufmerksamkeit des Fahrers. Falls die Fahrerüberwachung 390 bestimmt, dass der Fahrer das Kriterium Aufmerksamkeit nicht erfüllt, kann der Betriebsmodus in einen Warnmodus 330 übergehen. Die Überwachungseinrichtung 392 für autonomes Fahren überwacht mehrere Bedingungen, die für eine bevorzugte und zuverlässige Nutzung von LAAD notwendig sind, einschließlich einer Systemdiagnostik und Bedingungen, die erforderlich sind, um eine bevorzugte und zuverlässige Nutzung von LAAD beizubehalten.
Der Betriebsmodus kann in den Warnmodus 330 übergehen, wenn zumindest eine der spezifischen Bedingungen, die keinen unmittelbaren nachteiligen Effekt auf die Fähigkeit des Systems, einen Betrieb in LAAD fortzusetzen, hat, verletzt wird oder verletzt werden wird, wobei der Warnmodus 330 dafür eingerichtet ist, die Aufmerksamkeit des Bedieners zu erlangen, Optionen zu beurteilen, Warnoptionen basierend auf einer Antwort oder einem Fehlen einer Antwort des Fahrers einzustellen und beispielsweise Warnungen zu eskalieren oder zu stoppen. Falls zum Beispiel die Fahrerüberwachung 390 bestimmt, dass der Bediener das Kriterium Aufmerksamkeit nicht erfüllt, kann der Betriebsmodus über den Übergang 316 in den Warnmodus 330 übergehen. Falls die Überwachungseinrichtung 392 für autonomes Fahren über die Systemdiagnostik bestimmt, dass kein bedeutender Ausfall vorliegt, sondern ein unbedeutender Fehler oder Abweichung aufgetreten ist, die die Aufmerksamkeit des Fahrers erfordert, kann der Betriebsmodus über den Übergang 316 in den Warnmodus 330 übergehen. Falls das Auftreten eines bedeutenden Ausfalls, der ein Abschalten des autonomen Fahrens erfordert, bestimmt wird, geht der Fahrzeugbetriebmodus über den Übergang 318 über in den Modus Herabgesetztes Autonomes Fahren 350. Falls die Überwachungseinrichtung 392 für autonomes Fahren bestimmt, dass Bedingungen für autonomes Fahren ungültig werden, kann der Betriebsmodus über den Übergang 316 in den Warnmodus 330 übergehen. Falls der Bediener ein autonomes Fahren sperrt, geht der Betriebsmodus über den Übergang 314 über in autonomes Fahren gesperrt 310.
Wenn das Fahrzeug in dem Modus Volles Autonomes Fahren 320 fährt, kann das System 300 die ständig überwachte Information von der Fahrerüberwachung 390 und der Überwachungseinrichtung 392 für autonomes Fahren zusammen mit einem Vorausschau-Modul 324 über eine Verknüpfung 332 nutzen, um zu identifizieren, ob irgendeine der spezifischen Bedingungen in der Zukunft verletzt werden wird, und falls dies der Fall ist, wann. Falls eine spezifische Bedingung verletzt wird oder in der Zukunft verletzt werden wird, kann das Vorausschau-Modul 324 notwendige Übergänge in einen ”bevorzugten Zustand” identifizieren, wobei der Status über eine Verknüpfung 334 an den Modus Volles Autonomes Fahren 320 übermittelt wird. Beispielsweise kann die Überwachungseinrichtung 392 für autonomes Fahren, die eine Kamera zum Beispiel oder irgendein anderes geeignetes Mittel nutzt, um Fahrbahnmarkierungen festzustellen, auch in Verbindung mit dem Vorausschau-Modul 324 genutzt werden, um zu bestimmen, dass Fahrbahnmarkierungen nach einer Zeitspanne beispielsweise aufgrund zunehmend verschneiter Bedingungen nicht sichtbar sein können, wobei diese Information genutzt werden kann, falls ein Übergang in einen ”bevorzugten Zustand” in der Zukunft angefordert wird.
Wenn das Fahrzeug in dem Modus Volles Autonomes Fahren 320 arbeitet, kann überdies das System 300 die kontinuierlich überwachte Information von der Fahrerüberwachung 390 und der Überwachungseinrichtung 392 für autonomes Fahren und die Information von dem Vorausschau-Modul 324 in Verbindung mit einem Vorausplanungs-Modul 322 nutzen, um alternative bevorzugte Manöver zu planen und deren Umsetzbarkeit für eine unmittelbare Anwendung zu beurteilen, wenn irgendwelche der spezifischen Bedingungen verletzt werden oder für einen gewissen Zeitpunkt in der Zukunft verletzt werden können. Das Vorausplanungs-Modul 322 arbeitet in Verbindung mit dem System 100 von 1 und kann beliebige der verfügbaren Optionen beurteilen, um das Verhalten des Fahrzeugs in einen ”bevorzugten Zustand” überzuführen. Mit anderen Worten kann das Vorausplanungs-Modul 322 bestimmen, welche zukünftigen Maßnahmen ergriffen werden können, basierend auf einer Beurteilung der verfügbaren Optionen, falls der Fahrzeugbetriebsmodus über den Übergang 318 in den Modus Herabgesetztes Autonomes Fahren 350 (d. h. einen der bevorzugten Zustande von 1) übergeführt wird. Die Operation des Vorausplanungs-Moduls 322 kann unabhängig von der Aufmerksamkeit oder Eingabe des Bedieners durchgeführt werden. Der Modus Volles Autonomes Fahren 320 überwacht kontinuierlich das Vorausplanungs-Modul 322 über die Verknüpfung 333, und das Vorausplanungs-Modul 322 übermittelt über eine Verknüpfung 336 einen Status zurück an das Modul 320 für volles autonomes Fahren. Das Vorausplanungs-Modul 322 übermittelt einen Status über die Verknüpfung 352 dem Modus Herabgesetztes Autonomes Fahren 350.
Wenn das Fahrzeug im Warnmodus 330 läuft, kann das System 300 versuchen, die Aufmerksamkeit des Bedieners zu erlangen, Optionen zu beurteilen, die in den Vorausschau- und Vorausplanungs-Modulen 324 bzw. 322 ausgewertet wurden, Warnoptionen basierend auf einer Bedienerantwort (oder deren Fehlen) einzustellen oder Warnungen an den Bediener zu eskalieren (oder zu stoppen). Falls der Bediener aufmerksam wird, kann der Bediener ein autonomes Fahren über einen Übergang 326 durch eines der oben erwähnten Verfahren oder durch irgendein anderes geeignetes Verfahren sperren. Gleichfalls kann das System 330 über einen Übergang 338 zurück in den Modus Volles Autonomes Fahren 320 übergehen, falls die Aufmerksamkeit des Bedieners wiedererlangt wird, externe Bedingungen nicht länger ungültig werden oder ein unbedeutender Fehler beseitigt ist. Falls der Bediener nicht aufmerksam wird, nachdem eine Zeitspanne seit einem Übergehen in den Warnmodus 330 verstrichen ist, geht der Betriebsmodus des Fahrzeugs über einen Übergang 341 über in ein autonomes Fahren 340 mit erhöhtem Warnmodus. Der erhöhte Warnmodus 340 ist dafür eingerichtet, Warnungen zu eskalieren, um die Aufmerksamkeit des Fahrers wiederzuerlangen und bei Bedarf eine zusätzliche Aktion vorzunehmen.
Wenn das Fahrzeug in dem erhöhten Warnmodus 340 läuft, kann das System 300 ferner Warnungen eskalieren, um die Aufmerksamkeit des Bedieners wiederzuerlangen, und eine weitere Aktion durchführen, wie zum Beispiel in den Vorausschau- und Vorausplanungs-Modulen 324, 322 ausgewerteten Optionen für eine sofortige Nutzung zu beurteilen. Falls der Bediener aufmerksam wird, kann der Bediener über einen Übergang 346 durch eines der oben erwähnten Verfahren oder durch irgendein anderes geeignetes Verfahren autonomes Fahren sperren. Falls der Bediener nicht aufmerksam wird, nachdem eine vorbestimmte Zeitspanne verstrichen ist, geht der Betriebsmodus des Fahrzeugs über in den Modus Herabgesetztes Autonomes Fahren 350. Der erhöhte Warnmodus 340 kann die Option repräsentieren, worin das Fahrzeug weiter unter LAAD läuft, also ob der Bediener aufmerksam ist, außer der Bediener des Fahrzeugs energisch aufgefordert wird, die Kontrolle über das Fahrzeug zu übernehmen.
Wenn das Fahrzeug in dem Modus Herabgesetztes Autonomes Fahren 350 läuft, beurteilt das System 300 die geeignete Optionen von dem Vorausplanungs-Modul 322 über eine Verknüpfung 352 für eine unmittelbare Nutzung, da die Aufmerksamkeit des Fahrers in weder dem Warnmodus noch dem erhöhten Warnmodus 330 bzw. 340 wiedererlangt wurde oder ein physischer Ausfall aufgetreten ist, der ein Abschalten des autonomen Fahrens erfordert. Das System 300 beginnt, aus LAAD auszusteigen, weil eine oder mehrere der spezifischen Bedingungen verletzt sind und der Fahrer nicht zur Verfügung steht, um das Fahrzeug manuell in einen ”bevorzugten Zustand” zu manövrieren. Die Strategie zur Fehlerbehandlung und Herabsetzung in dem Modus Herabgesetztes Autonomes Fahren 350 basierend auf der in dem Vorausplanungs-Modul 322 beurteilten besten Option kann als eine Option das Fahrzeug verlangsamen und das Fahrzeug an die Seite der Straße manövrieren und zum Beispiel stoppen. Falls ein Manövrieren des Fahrzeugs an die Seite der Straße nicht möglich ist, kann das Fahrzeug gleichfalls verlangsamt und in der Fahrspur gestoppt werden. Erreicht das Fahrzeug einmal einen ”bevorzugten Zustand”, indem eine der verfügbaren Optionen genutzt wird, wird autonomes Fahren abgeschaltet, und der Fahrzeugbetriebsmodus wird über einen Übergang 356 in den Modus Autonomes Fahren Abschalten 360 übergeführt. Falls außerdem in dem Modus Herabgesetztes Autonomes Fahren 350 der Fahrer autonomes Fahren sperrt (zum Beispiel aufhebt), findet dann ein Übergang 354 in den Modus Autonomes Fahren Gesperrt statt, und autonomes Fahren ist gesperrt.
Wenn das Fahrzeug in dem Modus Autonomes Fahren Abschalten 360 läuft, bleibt das Fahrzeug in diesem Modus, bis ein ”bevorzugter Zustand” erreicht wird, und geht dann über einen Übergang 358 über in den Modus Autonomes Fahren Gesperrt 310.
4 veranschaulicht ein beispielhaftes Beurteilungs-Flussdiagramm 400, das eine Beurteilung für ein Spurwechselmanöver an die Seite der Straße eines Fahrzeugs darstellt, das im Modus Fehlerbehandlung und Herabsetzung läuft, gemäß einem beispielhaften Beispiel der vorliegenden Offenbarung. Die Beurteilung kann durch das Vorausplanungs-Modul 322 in Verbindung mit dem Vorausschau-Modul 324 von 3 und dem System 100 von 1 durchgeführt werden, wobei die Beurteilung ein Auswerten der verfügbaren Optionen einschließt, die von dem Vorausplanungs-Modul 322 empfangen werden. Bevorstehende Kreuzungen und die externe Umgebung des Fahrzeugs müssen zum Beispiel durch das Vorausplanungs-Modul 322 sorgfältig ausgewertet werden, damit die Strategie zur Fehlerbehandlung und Herabsetzung das Fahrzeug an die Seite der Straße auf ein Bankett manövriert. Außerdem müssen interne Fehler (oder deren Möglichkeit) durch das Überwachen der Diagnosebedingungen beurteilt werden, um die Umsetzbarkeit, solche Manöver durchzuführen, zu bestimmen, wenn eine Fehlerbehandlung und Herabsetzung verwendet wird.

Tabelle 3 wird als Schlüssel zu 4 bereitgestellt, wobei die numerisch bezeichneten Blöcke und die entsprechenden Funktionen wie folgt dargelegt werden. Tabelle 3

FIG. 4
BLOCK	BLOCKINHALTE
410	Block Start
412	Beschränktes Autonomes Fahren AN
414	Übergang in bevorzugten Zustand anfordern?: ”0” = ”Nein”, zurückkehren zu Block 412 ”1” = ”Ja”, zu Entscheidungsblock 416
416	Ist Verkehr schwach?: ”0” = ”Nein”, zu Block 420 übergehen ”1” = ”Ja”, zu Entscheidungsblock 422 übergehen
420	Verlangsamen und Warnlichter einschalten
422	Ist Manöver umsetzbar?: ”0” = ”Nein”, zu Block 420 übergehen ”1” = ”Ja”, in Block 426 abgeschlossen
424	Zeitgeber für Manöver abgelaufen? ”0” = ”Nein”, zu Entscheidungsblock 422 übergehen ”1” = ”Ja”, zu Block 428 übergehen
426	Manöver abschließen
428	Fahrzeug in aktueller Fahrspur stoppen
430	Block Ende: bevorzugter Zustand

Das Beurteilungs-Flussdiagramm 400 geht vom Startblock 410 über zu einem Block 412 (d. h. ”Beschränktes Autonomes Fahren AN”), der angibt, dass LAAD verwendet wird. Der Block 412 zeigt an, dass das Fahrzeug unter einem gewissen Niveau von LAAD läuft und auch die Strategie zur Fehlerbehandlung und Herabsetzung nutzen kann. Entscheidungsblock 414 zeigt an, ob ein ”Übergang in bevorzugten Zustand anfordern” angefordert wird. Falls der Entscheidungsblock eine ”0” ist, was ein ”Nein” angibt, kehrt das Flussdiagramm zurück zu Block 412. Falls der Entscheidungsblock 414 eine ”1” ist, was ein ”Ja” angibt (d. h. ”Übergang in einen bevorzugten Zustand anfordern”), wertet das Flussdiagramm die Verkehrsbedingung in Entscheidungsblock 416 (d. h. ”schwacher Verkehr?”) aus. Wenn Entscheidungsblock 414 eine ”1” ist, was ein ”Ja” angibt, tritt das System 100 in einen der bevorzugten Zustände ein, wobei die Optionen durch die Vorausschau- und Vorausplanungs-Module 324 bzw. 322 von 3 ständig ausgewertet und geplant werden. Falls der Entscheidungsblock 416 (d. h. ”schwacher Verkehr”) eine ”0” ist, was ein ”Nein” angibt, geht das Flussdiagramm über zu Block 420. Falls der Entscheidungsblock 416 eine ”1” ist, was ein ”Ja” angibt, geht das Flussdiagramm 400 über zum Entscheidungsblock 422. Der Entscheidungsblock 422 zeigt an, ob das Manöver, wie zum Beispiel zum Bankett der Straße, machbar ist oder nicht. Zum Beispiel kann eine Kamera oder GPS mit Kartendaten anzeigen, dass an der Straße, auf der das Fahrzeug gerade fährt, kein Bankett vorhanden ist, oder Radar könnte anzeigen, dass ein Fahrzeug in einer benachbarten Fahrspur vorübergehend das Manöver behindert, selbst wenn ein Bankett vorhanden ist. Falls der Entscheidungsblock 422 eine ”1” ist, was ein ”Ja” angibt, ist das Manöver machbar und wird in Block 426 abgeschlossen (d. h. ”Manöver abschließen”). Falls entweder der Entscheidungsblock 416 eine ”0” ist, was ein ”Nein” angibt (d. h. Verkehr ist nicht schwach), oder der Entscheidungsblock 422 eine ”0” ist, was ein ”Nein” angibt (z. B. Fahrspurmanöver zum Bankett ist nicht machbar), geht das Beurteilungs-Flussdiagramm 400 über zu dem Block 420 (d. h. Verlangsamen und Warnlichter einschalten”). Der Block 420 zeigt daher an, dass aufgrund starken Verkehrs und/oder der Unmöglichkeit, ein Spurwechselmanöver durchzuführen, beispielsweise die am ehesten umsetzbare bevorzugte Option darin besteht, jetzt zu verlangsamen und Warnlichter einzuschalten, um anzuzeigen, dass das Fahrzeug gerade verlangsamt und im Begriff ist zu halten. Der Entscheidungsblock 424 (d. h. ”Zeitgeber für ein Manöver wie zum Beispiel Spurwechsel zum Bankett abgelaufen”) beurteilt eine Schwelle zum Bestimmen, wann die Verfügbarkeit oder Durchführbarkeit für das Manöver wie zum Beispiel ein Spurwechsel zu einem Bankett abgelaufen ist. Zum Beispiel kann der Entscheidungsblock 422 bestimmen, dass ein Bankett während der nächsten Viertelmeile vorhanden ist, aber benachbarte Fahrzeuge gegenwärtig jegliche Manöver zum Bankett der Straße behindern. In einem anderen Fall kann der Entscheidungsblock 424 bestimmt haben, dass aufgrund eines internen Ausfalls, eine Fehlerbehandlung und Herabsetzung nur das Manöver durchführen kann, bevor LAAD komplett abschaltet, nachdem eine vorbestimmte Zeitspanne verstrichen ist. Falls der Entscheidungsblock 424 eine ”0” ist, was ein ”Nein” angibt, dass für das Manöver wie zum Beispiel einen Spurwechsel zum Bankett der Straße noch möglicherweise Zeit ist, kann folglich der Ablauf zu Block 422 zurückkehren und die Möglichkeit eines Spurwechselmanövers erneut beurteilen. Falls jedoch der Entscheidungsblock 424 eine ”1” ist, was ein ”Ja” angibt, stoppt das Fahrzeug in der aktuellen Fahrspur in Block 428. Ob das Fahrzeug in der aktuellen Spur gestoppt hat (d. h. Block 428) oder ein Manöver zur Seite der Straße abgeschlossen hat (d. h. Block 426), das Flussdiagramm endet bei Block 430 (d. h. ”Ende”), wo das Fahrzeug einen ”bevorzugten Zustand” erreicht hat. Daher veranschaulicht das Beurteilungs-Flussdiagramm beispielhaft, dass ein in einem Modus zur Fehlerbehandlung und Herabsetzung fahrendes Fahrzeug manövriert werden kann, um in einen ”bevorzugten Zustand” einzutreten, wenn eine oder mehrere der spezifischen Bedingungen verletzt wurden oder Gefahr besteht, dass sie verletzt werden.
Die Offenbarung beschrieb bestimmte bevorzugte Ausführungsformen und Modifikationen daran. Weitere Modifikationen und Änderungen können Anderen beim Lesen und Verstehen der Beschreibung einfallen. Daher soll die Offenbarung nicht auf die bestimmte(n) Ausführungsform(en) beschränkt sein, die als das beste Verfahren offenbart wurde, das zum Ausführen dieser Offenbarung in Betracht gezogen wurde, sondern die Offenbarung schließt alle Ausführungsformen ein, die in den Umfang der beigefügten Ansprüche fallen.

Claims

Verfahren zum Sicherstellen eines Betriebes eines zum autonomen Fahren mit beschränkten Fähigkeiten befähigten Fahrzeugs, umfassend: Überwachen mehrerer spezifischer Bedingungen, die für eine bevorzugte und zuverlässige Nutzung eines autonomen Fahrens mit beschränkten Fähigkeiten notwendig sind; und Einleiten einer Strategie zur Fehlerbehandlung und Herabsetzung, die dafür eingerichtet ist, das Fahrzeug in einen bevorzugten Zustand zu manövrieren, falls der Fahrer nicht imstande ist, das Fahrzeug manuell zu steuern, wenn zumindest eine der spezifischen Bedingungen, die für eine bevorzugte und zuverlässige Nutzung eines autonomen Fahrens mit beschränkten Fähigkeiten notwendig sind, entweder verletzt wird oder verletzt werden wird.
Verfahren nach Anspruch 1, wobei ein Überwachen der mehreren speziellen Bedingungen, die für eine bevorzugte und zuverlässige Nutzung eines autonomen Fahrens mit beschränkten Fähigkeiten notwendig sind, umfasst: Überwachen eines Kriteriums Aufmerksamkeit des Bedieners; Überwachen von Diagnosebedingungen, damit keine internen Fehler die Verfügbarkeit einer bevorzugten und zuverlässigen Nutzung eines autonomen Fahrens mit beschränkten Fähigkeiten beeinträchtigen; und Überwachen externer Bedingungen, die eine bevorzugte und zuverlässige Nutzung eines autonomen Fahrens mit beschränkten Fähigkeiten erlauben.
Verfahren zum Sicherstellen eines Betriebs eines Fahrzeugs mit autonomem Fahren mit beschränkten Fähigkeiten in mehreren Betriebsmodi, umfassend: Freigeben eines Modus Volles Autonomes Fahren, wenn ein Bediener des Fahrzeugs ein autonomes Fahren mit beschränkten Fähigkeiten anfordert und mehrere spezifische Bedingungen, die für eine bevorzugte und zuverlässige Nutzung eines autonomen Fahrens mit beschränkten Fähigkeiten notwendig sind, alle erfüllt sind; und Sperren des Modus Volles Autonomes Fahren, wenn zumindest eine der spezifischen Bedingungen, die für eine bevorzugte und zuverlässige Nutzung eines autonomen Fahrens mit beschränkten Fähigkeiten notwendig sind, verletzt wird oder verletzt werden wird.
Verfahren nach Anspruch 3, ferner umfassend: Überwachen einer Vorausschau-Information in jedem der mehreren Betriebsmodi, um vorherzusehen, ob eine der spezifischen Bedingungen verletzt werden wird und wann solch eine Verletzung stattfinden wird.
Verfahren nach Anspruch 3, ferner umfassend: Überwachen einer Vorausplanungs-Information in jedem der mehreren Betriebsmodi, um alternative bevorzugte Manöver zu planen und eine Umsetzbarkeit für eine sofortige Anwendung zu beurteilen, wenn eine der spezifischen Bedingungen verletzt wird oder verletzt werden kann.
Verfahren nach Anspruch 3, wobei eine Erfüllung der mehreren spezifischen Bedingungen umfasst: der Bediener erfüllt ein vorbestimmtes Kriterium Aufmerksamkeit; kein existierender interner Fehler, der die Verfügbarkeit einer bevorzugten und zuverlässigen Nutzung eines autonomen Fahrens mit beschränkten Fähigkeiten beeinträchtigt; kein beginnender interner Fehler, der die Verfügbarkeit der bevorzugten und zuverlässigen Nutzung eines autonomen Fahrens mit beschränkten Fähigkeiten beeinträchtigt; und Erfüllung externer Bedingungen, die für eine bevorzugte und zuverlässige Nutzung eines autonomen Fahrens mit beschränkten Fähigkeiten notwendig sind.
Verfahren nach Anspruch 3, wobei ein Sperren des Modus Volles Autonomes Fahren, wenn zumindest eine der spezifischen Bedingungen, die für eine bevorzugte und zuverlässige Nutzung eines autonomen Fahrens mit beschränkten Fähigkeiten notwendig sind, verletzt wird oder verletzt werden wird, umfasst: Übergehen in einen Warnmodus, der dafür eingerichtet ist, die Aufmerksamkeit des Fahrers zu erlangen, wenn die zumindest eine der spezifischen Bedingungen, die verletzt wird oder in spe verletzt wird, eine Bedingung umfasst, die keinen unmittelbaren nachteiligen Effekt auf die Fähigkeit des Systems hat, einen Betrieb in einem autonomen Fahren mit beschränkten Fähigkeiten fortzusetzen.
Verfahren nach Anspruch 7, ferner umfassend: Übergehen in einen erhöhten Warnmodus, der dafür eingerichtet ist, Warnungen zu eskalieren, um die Aufmerksamkeit des Fahrers zu erlangen, und eine Vorausschau- und Vorausplanungs-Information für eine sofortige Nutzung zu beurteilen, falls die Aufmerksamkeit des Bedieners nach einer Zeitspanne seit einem Übergehen in den Warnmodus nicht wiedergewonnen worden ist; und Übergehen in den Modus Volles Autonomes Fahren, falls entweder die Aufmerksamkeit des Bedieners wiedergewonnen wird oder die spezifischen Bedingungen nicht länger verletzt werden oder in spe verletzt werden; oder einen Modus Herabgesetztes Autonomes Fahren, der dafür eingerichtet ist, das Fahrzeug in einen bevorzugten Zustand zu manövrieren, wenn die Aufmerksamkeit des Fahrers nicht wiedergewonnen wird.
Verfahren nach Anspruch 3, wobei ein Sperren des Modus Volles Autonomes Fahren, wenn zumindest eine der spezifischen Bedingungen, die für eine bevorzugte und zuverlässige Nutzung eines autonomen Fahrens mit beschränkten Fähigkeiten notwendig sind, verletzt wird oder verletzt werden wird, umfasst: Übergehen in einen Modus Herabgesetztes Autonomes Fahren, der dafür eingerichtet ist, das Fahrzeug in einen bevorzugten Zustand zu manövrieren, wenn die zumindest eine der spezifische Bedingung, die verletzt wird oder in spe verletzt wird, eine Bedingung mit einem unmittelbar nachteiligen Effekt auf die Fähigkeit des Systems, einen Betrieb in einem autonomen Fahren mit beschränkten Fähigkeiten fortzusetzen, umfasst.
Verfahren nach Anspruch 9, wobei der Modus Herabgesetztes Autonomes Fahren, der dafür eingerichtet ist, das Fahrzeug in einen bevorzugten Zustand zu manövrieren, umfasst: Beurteilen von Manöveroptionen für eine sofortige Nutzung basierend auf einer kontinuierlich überwachten Vorausschau- und Vorausplanungs-Information; und Auswählen einer am ehesten umsetzbaren der beurteilten Manöveroptionen.