DE102014220427B3

DE102014220427B3 - Modellbasierter Abbruch einer automatischen Bremsung

Info

Publication number: DE102014220427B3
Application number: DE102014220427.5A
Authority: DE
Inventors: Kay Fischer; Oliver Schoerrig; Arne Haas; Torsten SEYFFARTH
Original assignee: Bayerische Motoren Werke AG
Current assignee: Bayerische Motoren Werke AG
Priority date: 2014-10-08
Filing date: 2014-10-08
Publication date: 2016-02-11
Anticipated expiration: 2034-10-09

Abstract

Es wird ein Verfahren zur Sicherstellung der funktionalen Sicherheit eines automatischen Eingriffs in den Fahrbetrieb eines Ego-Fahrzeugs beschrieben. Der automatische Eingriff kann zu einer Kollision mit einem Folge-Fahrzeug des Ego-Fahrzeugs führen. Das Verfahren umfasst das Ermitteln von Informationen bezüglich eines statistischen Fahrverhaltens des Folge-Fahrzeugs, und das Ermitteln eines Grenzabstands zwischen Folge-Fahrzeug und Ego-Fahrzeug. Der Grenzabstand hängt von einem bereitzustellenden Level der funktionalen Sicherheit des automatischen Eingriffs ab. Desweiteren umfasst das Verfahren das Ermitteln von Informationen bezüglich eines tatsächlichen Fahrverhaltens des Ego-Fahrzeugs seit Aktivierung des automatischen Eingriffs. Außerdem umfasst das Verfahren das Prädizieren der Möglichkeit einer Kollision zwischen Folge-Fahrzeug und Ego-Fahrzeug auf Basis der Informationen bezüglich des statistischen Fahrverhaltens des Folge-Fahrzeugs, auf Basis des Grenzabstands und auf Basis der Informationen bezüglich des tatsächlichen Fahrverhaltens des Ego-Fahrzeugs. Desweiteren umfasst das Verfahren das Abbrechen des automatischen Eingriffs, in Abhängigkeit von dem Prädizieren der Möglichkeit einer Kollision zwischen Folge-Fahrzeug und Ego-Fahrzeug.

Description

Die Erfindung betrifft ein Verfahren und eine entsprechende Vorrichtung zur zuverlässigen Bereitstellung der funktionalen Sicherheit von automatischen Fahreingriffen eines Fahrzeugs.
Fahrzeuge umfassen vermehrt Fahrerassistenzsysteme, die automatisch in den Fahrbetrieb eines Fahrzeugs eingreifen, um den Fahrer des Fahrzeugs bei der Durchführung einer Fahraufgabe zu unterstützten. Beispielsweise kann ein Fahrzeug eingerichtet sein, auf Basis von Sensordaten ein Hindernis auf einer aktuellen Trajektorie des Fahrzeugs zu detektieren, und in Reaktion darauf automatisch eine Bremsung zu aktivieren, um eine Kollision mit dem detektierten Hindernis zu verhindern.
DE 10 2010 029 223 A1 und DE 10 2007 019 991 A1 beschreiben Verfahren für einen Abbruch einer automatischen Bremsung.
Derartige automatische Eingriffe in den Fahrbetrieb müssen eine funktionale Sicherheit aufweisen, d. h. es muss sichergestellt werden, dass durch das Fahrerassistenzsystem nicht vertretbare Risiken für den Straßenverkehr vermieden werden. In diesem Zusammenhang sind in der ISO Norm 26262 Verfahren beschrieben, mit denen Fahrerassistenzsysteme zu entwickeln und herzustellen sind, bzw. Anforderungen an derartige Fahrerassistenzsystem beschrieben, um eine hohe funktionale Sicherheit des Fahrerassistenzsystems zu gewährleisten.
Die Risiken bezüglich der funktionalen Sicherheit eines Fahrerassistenzsystems (FAS) können insbesondere anhand der Faktoren Eintrittswahrscheinlichkeit (E) von kritischen Situationen aufgrund einer Fehlfunktion des FAS, Schwere (S) der Folgen einer Fehlfunktion des FAS und Kontrollierbarkeit (C) der Folgen einer Fehlfunktion des FAS bewertet werden. Beispielsweise sind für eine automatische Bremsung als FAS solche Bremsungen relevant und als kritische Situation zu betrachten, welche ohne erkennbaren Grund (insbesondere aufgrund einer Fehlfunktion des FAS) erfolgen. Andererseits sind berechtigte Bremsungen, welche aufgrund des Verkehrsgeschehens erfolgen, nicht als kritisch zu betrachten.
Für ein bestimmtes FAS können Werte für die einzelnen Faktoren E, S und C ermittelt werden und das FAS kann so einer bestimmten ASIL (Automotiv Security Integrity Level) Kategorie zugeordnet werden. Der ASIL entspricht einer Risikoeinstufung der bewerteten Fehlfunktion in einer bestimmten Situation. Abhängig von der ASIL-Einstufung beschreibt die ISO 26262 erforderliche Maßnahmen für die sicherheitsgerichtete Entwicklung, um das Risiko einer kritischen Fehlfunktion ausreichend zu reduzieren.
Das vorliegende Dokument befasst sich mit der technischen Aufgabe, in effizienter Weise ein Fahrerassistenzsystem mit einer bestimmten funktionalen Sicherheit bereitzustellen. Insbesondere soll in effizienter Weise gewährleistet werden, dass ein Fahrerassistenzsystem im Rahmen der vorliegenden ASIL-Einstufung eine möglichst hohe Performance bzw. Funktionalität aufweist.
Die Aufgabe wird durch die unabhängigen Ansprüche gelöst. Vorteilhafte Ausführungsformen werden u. a. in den abhängigen Ansprüchen beschrieben.
Gemäß einem Aspekt wird ein Verfahren zur Erhöhung der funktionalen Sicherheit bzw. zur Sicherstellung der funktionalen Sicherheit eines automatischen Eingriffs in den Fahrbetrieb eines Ego-Fahrzeugs beschrieben. Mit anderen Worten, das Verfahren ist auf die Erhöhung bzw. auf die Sicherstellung der funktionalen Sicherheit eines Fahrerassistenzsystems gerichtet, bei dem ein automatischer Eingriff in den Fahrbetrieb des Fahrzeugs (in diesem Dokument als das Ego-Fahrzeug bezeichnet) erfolgt. Insbesondere kann das Fahrerassistenzsystem einen bestimmten Level an funktionaler Sicherheit aufweisen. Das Verfahren kann darauf ausgerichtet sein, sicherzustellen, dass dieser bestimmte Level an funktionaler Sicherheit auch tatsächlich umgesetzt wird.
Der automatische Eingriff kann derart sein, dass durch den automatischen Eingriff eine Kollision zwischen dem Ego-Fahrzeug und einem Folge-Fahrzeug des Ego-Fahrzeugs verursacht werden kann. Das Folge-Fahrzeug kann dabei dem Ego-Fahrzeug direkt (d. h. ohne weitere Zwischen-Fahrzeuge) folgen. Der automatische Eingriff kann insbesondere eine automatische Bremsung des Ego-Fahrzeugs umfassen. Die automatische Bremsung kann z. B. in Reaktion auf die Detektion eines Hindernisses auf der aktuellen Fahrtrajektorie des Ego-Fahrzeugs aktiviert werden. Das Hindernis kann z. B. ein anderes Fahrzeug, einen Fußgänger, einen Radfahrer oder ein anderes Objekt auf der Fahrtrajektorie des Ego-Fahrzeugs umfassen. Durch die automatische Bremsung kann es zu einer Kollision mit dem Folge-Fahrzeug kommen, welches dem Ego-Fahrzeug folgt.
Aufgrund eines Fehlers des Fahrerassistenzsystems kann der automatische Eingriff in den Fahrbetrieb des Ego-Fahrzeugs unberechtigter Weise erfolgen. Beispielsweise kann eine automatische Bremsung erfolgen, obwohl sich kein Hindernis auf der aktuellen Fahrtrajektorie des Ego-Fahrzeugs befindet. Zur Erhöhung der funktionalen Sicherheit des Fahrerassistenzsystems, welches den automatischen Eingriff (z. B. die automatische Bremsung) einleitet, sollte nach Möglichkeit eine Kollision zwischen Folge-Fahrzeug und Ego-Fahrzeug (d. h. eine Folge der Fehlfunktion des Fahrerassistenzsystems) vermieden werden, um so das Risiko für einen Personenschaden im Fehlerfall gemäß der Risikoeinstufung nach ISO 26262 (ASIL) (d. h. gemäß des bereitzustellenden Levels an funktionaler Sicherheit) zu reduzieren.
Das Verfahren umfasst das Ermitteln bzw. das Bereitstellen von Informationen bezüglich eines statistischen Fahrverhaltens des Folge-Fahrzeugs. Die Informationen bezüglich des statistischen Fahrverhaltens können einer Speichereinheit des Ego-Fahrzeugs entnommen werden. Das heißt, die Informationen bezüglich des statistischen Fahrverhaltens des Folge-Fahrzeugs können vorab, d. h. insbesondere vor Aktivierung des automatischen Eingriffs, ermittelt und ggf. im Ego-Fahrzeug abgespeichert worden sein. Das Ermitteln der Informationen bezüglich eines statistischen Fahrverhaltens des Folge-Fahrzeugs kann dann das Abrufen dieser Informationen umfassen.
Die Informationen bezüglich des statistischen Fahrverhaltens des Folge-Fahrzeugs können auf Basis von einer Vielzahl von Testmessungen ermittelt worden sein (z. B. in einer Lernphase). Desweiteren können die Informationen bezüglich des statistischen Fahrverhaltens des Folge-Fahrzeugs unabhängig von dem konkreten Folge-Fahrzeug sein, welches dem Ego-Fahrzeug folgt. Insbesondere können die Informationen bezüglich des statistischen Fahrverhaltens des Folge-Fahrzeugs unabhängig von Messwerten bezüglich des Folge-Fahrzeugs sein.
Die Informationen bezüglich des statistischen Fahrverhaltens des Folge-Fahrzeugs können z. B. Informationen bezüglich eines statistischen Bremsverhaltens des Folge-Fahrzeugs umfassen. Diese Informationen können auf Basis von einer Vielzahl von Messungen ermittelt worden sein (z. B. in einer Lernphase). Insbesondere können diese Informationen nicht auf Basis von Umfelddaten von Umfeldsensoren des Ego-Fahrzeugs ermittelt worden sein. Wie bereits oben dargelegt, können diese Informationen bereits vorab (z. B. in einem Werk zur Herstellung des Ego-Fahrzeugs) auf einer Speichereinheit des Ego-Fahrzeugs hinterlegt worden sein. Eine Steuereinheit des Ego-Fahrzeugs kann während des Betriebs des Ego-Fahrzeugs auf die Speichereinheit zugreifen, um die vorab gespeicherten Informationen bezüglich des statistischen Fahrverhaltens des Folge-Fahrzeugs zu ermitteln, und zur Erhöhung der funktionalen Sicherheit des FAS zu verwenden.
Das Verfahren umfasst weiter das Ermitteln eines Grenzabstands bzw. eines Initialabstands zwischen dem Folge-Fahrzeug und dem Ego-Fahrzeug. Dabei hängt der Grenzabstand typischerweise von dem bereitzustellenden Level an funktionaler Sicherheit des automatischen Eingriffs ab. Der Grenzabstand kann insbesondere auf Basis einer Abstandskennlinie A(v) ermittelt werden, welche einen (statistischen) Abstand des Folge-Fahrzeugs von dem Ego-Fahrzeugs in Abhängigkeit von einer Fahrgeschwindigkeit v des Ego-Fahrzeugs anzeigt. Dabei kann die Abstandskennlinie A(v) auf Basis von einer Vielzahl von Messungen von Abständen mit Testfahrzeugen ermittelt worden sein. Desweiteren kann die Abstandskennlinie A(v) von einer statistischen Verteilung von Fahrgeschwindigkeiten von Testfahrzeugen abhängen. Die Abstandskennlinie und/oder der Grenzabstand können auf einer Speichereinheit des Ego-Fahrzeugs gespeichert sein. Das Ermitteln des Grenzabstands kann dann das Abrufen des Grenzabstands von der Speichereinheit umfassen.
Der Grenzabstand und die Abstandskennlinie A(v) können von einer Implementierung bzw. von ein oder mehreren Parametern des automatischen Eingriffs abhängen. Insbesondere können der Grenzabstand und die Abstandskennlinie A(v) davon abhängen, wie eine automatische Bremsfunktion in dem Ego-Fahrzeug umgesetzt wird (z. B. mit welchen Verzögerungs- bzw. Bremsverläufen). Desweiteren können der Grenzabstand und die Abstandskennlinie A(v) von einer statistischen Verteilung von Fahrabständen von Testfahrzeugen bei Folgefahrt und/oder einer statistischen Verteilung von Fahrgeschwindigkeiten von Testfahrzeugen abhängen. Außerdem können der Grenzabstand und die Abstandskennlinie A(v) von den Informationen bezüglich des statistischen Fahrverhaltens des Folge-Fahrzeugs abhängen.
Der Grenzabstand kann (für eine bestimmte Fahrgeschwindigkeit) einen Initialabstand zwischen Folge-Fahrzeug und Ego-Fahrzeug bei Aktivierung des automatischen Eingriffs anzeigen, durch den eine Kollision zwischen Folge-Fahrzeug und Ego-Fahrzeug (ggf. mit einer vordefinierten Wahrscheinlichkeit) vermieden wird. Dabei kann die vordefinierte Wahrscheinlichkeit von dem bereitzustellenden Level an funktionaler Sicherheit abhängen. In analoger Weise kann die Abstandkurve diesen Initialabstand für eine Vielzahl von unterschiedlichen Fahrgeschwindigkeiten angeben.
Die Abstandskennlinie A(v) kann somit den Initialabstand A(v₀) anzeigen, den das Folge-Fahrzeug (statistisch) zum Aktivierungszeitpunkt t₀ (bei dem der automatische Eingriff aktiviert wird) zu dem Ego-Fahrzeug hat. Dieser Initialabstand A(v₀) kann auf Basis der (tatsächlichen gemessenen) Fahrgeschwindigkeit v₀ = v(t₀) des Ego-Fahrzeugs zum Zeitpunkt t₀ und auf Basis der (statistische ermittelten) Abstandskennlinie A(v) berechnet werden. Die Wahrscheinlichkeit einer Kollision zwischen Folge-Fahrzeug und Ego-Fahrzeug hängt typischerweise von dem Initialabstand A(v₀) ab, und steigt typischerweise mit sinkendem Initialabstand A(v₀). Wie im Folgenden dargelegt, kann der automatische Eingriff abgebrochen werden, wenn eine Kollision zwischen Folge-Fahrzeug und Ego-Fahrzeug prädiziert wird. Insbesondere kann der automatische Eingriff abgebrochen werden, wenn eine Kollisionswahrscheinlichkeit zwischen Folge-Fahrzeug und Ego-Fahrzeug prädiziert wird, die größer als oder gleich wie ein vordefinierter Wahrscheinlichkeits-Schwellenwert ist. Der Wahrscheinlichkeits-Schwellenwert kann von der dargestellten Sicherheitsintegrität zur Vermeidung des kritischen Fehlers (d. h. von dem Level an funktionaler Sicherheit) abhängen.
Die Informationen bezüglich des statistischen Fahrverhaltens des Folge-Fahrzeugs (und insbesondere die Informationen bezüglich des Bremsverhaltens des Folge-Fahrzeugs) können eine Reaktionszeit t_reak eines Fahrers des Folge-Fahrzeugs auf die Aktivierung des automatischen Eingriffs umfassen. Dabei kann die Reaktionszeit t_reak auf Basis von einer Vielzahl von Messungen von Reaktionszeiten von Testfahrern ermittelt worden sein.
Desweiteren können die Informationen bezüglich des statistischen Fahrverhaltens des Folge-Fahrzeugs (und insbesondere die Informationen bezüglich des Bremsverhaltens des Folge-Fahrzeugs) eine Bremsdruckaufbauzeit t_max des Folge-Fahrzeugs zum Aufbau einer maximalen Verzögerung a_max des Folge-Fahrzeugs umfassen. Dabei kann die Bremsdruckaufbauzeit t_max auf Basis von einer Vielzahl von Messungen von Bremsdruckaufbauzeiten von Testfahrzeugen ermittelt worden sein.
Außerdem können die Informationen bezüglich des statistischen Fahrverhaltens des Folge-Fahrzeugs (und insbesondere die Informationen bezüglich des Bremsverhaltens des Folge-Fahrzeugs) eine maximale Verzögerung a_max des Folge-Fahrzeugs umfassen. Dabei kann die maximale Verzögerung a_max auf Basis von einer Vielzahl von Messungen von maximalen Verzögerungen von Testfahrzeugen ermittelt worden sein.
Das Verfahren umfasst weiter das Ermitteln von Informationen bezüglich eines tatsächlichen Fahrverhaltens des Ego-Fahrzeugs seit Aktivierung des automatischen Eingriffs. Diese Informationen können auf Basis von Fahrzeugdaten von ein oder mehreren Fahrzeugsensoren ermittelt werden. Insbesondere können die Informationen bezüglich des tatsächlichen Fahrverhaltens des Ego-Fahrzeugs Informationen bezüglich einer tatsächlichen Fahrgeschwindigkeit v(t) des Ego-Fahrzeugs umfassen. Die tatsächliche Fahrgeschwindigkeit v(t) kann z. B. mittels eines Geschwindigkeitssensors des Ego-Fahrzeugs gemessen werden. Desweiteren können die Informationen bezüglich des tatsächlichen Fahrverhaltens des Ego-Fahrzeugs Informationen bezüglich einer Wegstrecke x(t) umfassen, die von dem Ego-Fahrzeug seit Aktivierung des automatischen Eingriffs tatsächlich zurückgelegt wurde. Die Wegstrecke x(t) kann z. B. als Integral der Fahrgeschwindigkeit v(t) ab dem Aktivierungszeitpunkt t₀ ermittelt werden, d. h.
Das Verfahren umfasst weiter das Prädizieren einer Kollision bzw. das Prädizieren der Möglichkeit einer Kollision zwischen Folge-Fahrzeug und Ego-Fahrzeug auf Basis der Informationen bezüglich des statistischen Fahrverhaltens des Folge-Fahrzeugs, auf Basis des Grenzabstands und auf Basis der Informationen bezüglich des tatsächlichen Fahrverhaltens des Ego-Fahrzeugs. Mit anderen Worten, auf Basis der Informationen bezüglich des statistischen Fahrverhaltens des Folge-Fahrzeugs und auf Basis der Informationen bezüglich des tatsächlichen Fahrverhaltens des Ego-Fahrzeugs kann prädiziert werden, ob die Wahrscheinlichkeit einer Kollision zwischen Folge-Fahrzeug und Ego-Fahrzeug besteht, wobei die Wahrscheinlichkeit größer als ein Wahrscheinlichkeits-Schwellenwert ist. Dabei kann der Wahrscheinlichkeits-Schwellenwert (implizit) durch den Verlauf der Abstandskennlinie A(v) wiedergegeben werden. Desweiteren kann ein Zeitpunkt t_k einer solchen Kollision prädiziert werden.
Das Prädizieren (der Möglichkeit) einer Kollision zwischen Folge-Fahrzeug und Ego-Fahrzeug kann weiter umfassen, das Prädizieren, an einem aktuellen Zeitpunkt t₁ und auf Basis der Informationen bezüglich des tatsächlichen Fahrverhaltens des Ego-Fahrzeugs, der Wegstrecke x(t_k), die von dem Ego-Fahrzeug an dem Zeitpunkt t_k ≥ t₁ zurückgelegt wurde. Wie oben dargelegt, kann die Wegstrecke x(t_k) z. B. durch Integration der gemessenen tatsächlichen Fahrgeschwindigkeit v(t) des Ego-Fahrzeugs ermittelt werden.
Das Prädizieren (der Möglichkeit) einer Kollision zwischen Folge-Fahrzeug und Ego-Fahrzeug kann außerdem umfassen, das Prädizieren, an dem aktuellen Zeitpunkt t₁ und auf Basis der Informationen bezüglich des statistischen Fahrverhaltens des Folge-Fahrzeugs, einer Wegstrecke s(t_k), die von dem Folge-Fahrzeug an dem Zeitpunkt t_k ≥ t₁ zurückgelegt wurde. Die von dem Folge-Fahrzeug zurückgelegte Wegstrecke s(t_k) kann z. B. durch folgende Formel abgeschätzt werden (mit t = t_k und unter der Annahme t₀ = 0):
Für t₀ ≠ 0 kann in der obigen Formel t durch t – t₀ ersetzt werden. Die von dem Folge-Fahrzeug ab dem Aktivierungszeitpunkt t₀ zurückgelegte Wegstrecke s(t_k) kann somit auf Basis der (gemessenen) Fahrgeschwindigkeit v₀ des Ego-Fahrzeugs und auf Basis von statistischen Daten bezüglich des Bremsverhaltens des Folge-Fahrzeugs ermittelt werden.
Eine Kollision bzw. die Möglichkeit einer Kollision an dem Zeitpunkt t_k kann dann auf Basis von x(t_k) und auf Basis von s(t_k) prädiziert werden. Zu diesem Zweck können die Wegstrecken x(t_k) und s(t_k) miteinander verglichen werden.
Das Prädizieren (der Möglichkeit) einer Kollision zwischen Folge-Fahrzeug und Ego-Fahrzeug kann weiter umfassen, das Ermitteln, auf Basis der Informationen bezüglich des statistischen Fahrverhaltens des Folge-Fahrzeugs, der Abstandskennlinie und auf Basis der Fahrgeschwindigkeit v₀ des Ego-Fahrzeugs bei der Aktivierung des automatischen Eingriffs (d. h. zum Aktivierungszeitpunkt t₀), des Initialabstands bzw. des Grenzabstands A(v₀) des Folge-Fahrzeugs zu dem Ego-Fahrzeug. Eine Kollision bzw. die Möglichkeit einer Kollision an dem Zeitpunkt t_k kann dann auch auf Basis von dem Initialabstand A(v₀) prädiziert werden. Insbesondere kann ermittelt werden, ob zum Zeitpunkt t = t_k s(t) ≥ A(v₀) + x(t) – A_SR, wobei A_SR eine optionale Sicherheits-Abstandsreserve ist.
Das Verfahren umfasst weiter das Abbrechen des automatischen Eingriffs, in Abhängigkeit von dem Prädizieren (der Möglichkeit) einer Kollision zwischen Folge-Fahrzeug und Ego-Fahrzeug. Beispielsweise kann der automatische Eingriff abgebrochen werden, wenn für einen Zeitpunkt t_k eine Kollision bzw. die Möglichkeit einer Kollision prädiziert wurde. Mit anderen Worten, der automatische Eingriff kann abgebrochen werden, wenn prädiziert wurde, dass die Wahrscheinlichkeit einer Kollision zum Zeitpunkt t_k einen vordefinierten Wahrscheinlichkeits-Schwellenwert erreicht oder überschreitet. Durch den Abbruch des automatischen Eingriffs kann die Wahrscheinlichkeit einer Kollision zwischen Folge-Fahrzeug und Ego-Fahrzeug reduziert oder begrenzt werden bzw. im Rahmen eines Sicherheitsziels gehalten werden. Es kann somit die funktionale Sicherheit des FAS mit dem automatischen Eingriff erhöht werden, da die Wahrscheinlichkeit von sicherheitsrelevanten Folgen einer Fehlfunktion des FAS reduziert werden kann. Desweiteren kann die funktonale Sicherheit des FAS in effizienter Weise erhöht werden, da keine zusätzliche Sensorik (insbesondere keine rückwärtige Sensorik) erforderlich ist. Insbesondere sind für das in diesem Dokument beschriebene Verfahren keine Messdaten bezüglich des Folge-Fahrzeugs (und entsprechende Sensorik) erforderlich. Das Fahrverhalten des Folge-Fahrzeugs wird ausschließlich auf Basis von vorab ermittelten statistischen Daten (ggf. in Abhängigkeit von Messdaten bezüglich des Ego-Fahrzeugs) ermittelt. Desweiteren ist das Verfahren dahingehend effizient, dass ein Abbruchkriterium für einen automatischen Eingriff (insbesondere für eine automatische Bremsung) und somit die Wahrscheinlichkeit/das Risiko einer Auffahrkollision in optimaler Weise an eine bestimmte Sicherheitsintegrität (d. h. an ein Level der funktionalen Sicherheit) des FAS angepasst werden kann. So kann der Aufwand hinsichtlich der Sicherheitsintegrität in Bezug auf die Performance des FAS optimal ausgeschöpft werden.
Das Verfahren kann weiter das Ermitteln an dem aktuellen Zeitpunkt t₁ umfassen, ob durch den Abbruch des automatischen Eingriffs eine Kollision an dem Zeitpunkt t_k vermieden werden kann. Zu diesem Zweck kann z. B. eine Wegstrecke x·(t_k) des Ego-Fahrzeugs prädiziert werden, für den Fall, dass der automatische Eingriff zum aktuellen Zeitpunkt t₁ abgebrochen wird. Diese Wegstrecke x·(t_k) kann dann mit der Wegstrecke s(t_k) des Folge-Fahrzeugs verglichen werden, um zu prädizieren, ob eine Kollision vermieden werden kann.
Der automatische Eingriff kann an dem aktuellen Zeitpunkt t₁ abgebrochen werden, wenn eine Kollision an dem Zeitpunkt t_k prädiziert wurde und wenn ermittelt wurde, dass die Kollision durch Abbruch des automatischen Eingriffs an dem aktuellen Zeitpunkt t₁ vermieden werden kann. So kann die funktionale Sicherheit des FAS mit automatischem Eingriff weiter erhöht werden.
Gemäß einem weiteren Aspekt wird eine Steuereinheit für ein Fahrzeug (z. B. für das in diesem Dokument beschriebene Ego-Fahrzeug) beschrieben. Das Fahrzeug (z. B. die Steuereinheit des Fahrzeugs) ist eingerichtet, automatisch in den Fahrbetrieb des Fahrzeugs einzugreifen, wobei der automatische Eingriff zu einer Kollision mit einem Folge-Fahrzeug des Fahrzeugs führen kann. Die Steuereinheit ist eingerichtet, Informationen bezüglich eines statistischen Fahrverhaltens des Folge-Fahrzeugs zu ermitteln und Informationen bezüglich eines tatsächlichen Fahrverhaltens des Fahrzeugs seit Aktivierung des automatischen Eingriffs zu ermitteln. Außerdem ist die Steuereinheit eingerichtet, einen Grenzabstand zwischen Folge-Fahrzeug und Fahrzeug zu ermitteln (z. B. indem die Steuereinheit auf eine gespeicherte Abstandskennlinie mit Grenzabständen zugreift). Die Steuereinheit ist weiter eingerichtet, auf Basis der Informationen bezüglich des statistischen Fahrverhaltens des Folge-Fahrzeugs, auf Basis des Grenzabstands und auf Basis der Informationen bezüglich des tatsächlichen Fahrverhaltens des Fahrzeugs eine Kollision oder die Möglichkeit einer Kollision zwischen Folge-Fahrzeug und Fahrzeug zu prädizieren. Außerdem ist die Steuereinheit eingerichtet, den automatischen Eingriff in Abhängigkeit von einem Ergebnis der Prädiktion der Möglichkeit einer Kollision zwischen Folge-Fahrzeug und Fahrzeug abzubrechen.
Gemäß einem weiteren Aspekt wird ein Fahrzeug (insbesondere ein Straßenfahrzeug z. B. ein Personenkraftwagen, ein Lastkraftwagen oder ein Motorrad) beschrieben, das die in diesem Dokument beschriebene Steuereinheit umfasst.
Gemäß einem weiteren Aspekt wird ein Software (SW) Programm beschrieben. Das SW Programm kann eingerichtet werden, um auf einem Prozessor (z. B. auf einem Steuergerät eines Fahrzeugs) ausgeführt zu werden, und um dadurch das in diesem Dokument beschriebene Verfahren auszuführen.
Gemäß einem weiteren Aspekt wird ein Speichermedium beschrieben. Das Speichermedium kann ein SW Programm umfassen, welches eingerichtet ist, um auf einem Prozessor ausgeführt zu werden, und um dadurch das in diesem Dokument beschriebene Verfahren auszuführen.
Es ist zu beachten, dass die in diesem Dokument beschriebenen Verfahren, Vorrichtungen und Systeme sowohl alleine, als auch in Kombination mit anderen in diesem Dokument beschriebenen Verfahren, Vorrichtungen und Systemen verwendet werden können. Desweiteren können jegliche Aspekte der in diesem Dokument beschriebenen Verfahren, Vorrichtung und Systemen in vielfältiger Weise miteinander kombiniert werden. Insbesondere können die Merkmale der Ansprüche in vielfältiger Weise miteinander kombiniert werden.
Im Weiteren wird die Erfindung anhand von Ausführungsbeispielen näher beschrieben. Dabei zeigt
1 eine beispielhafte Fahrsituation mit einem automatischen Fahreingriff;
2 beispielhafte Komponenten eines Fahrzeugs;
3 beispielhafte statistische Abstandsdaten von Folge-Fahrzeugen;
4 ein Ablaufdiagramm eines beispielhaften Verfahrens zur Überwachung eines automatischen Eingriffs in den Fahrbetrieb.
Wie eingangs dargelegt, befasst sich das vorliegende Dokument mit der effizienten Bereitstellung der funktionalen Sicherheit eines Fahrerassistenzsystems. Die folgenden Ausführungen beziehen sich beispielhaft auf eine automatische Bremsung in Reaktion auf ein detektiertes Hindernis/Objekt. Die beschriebenen Verfahren sind aber entsprechend auf andere automatische Fahreingriffe anwendbar.
Eine Möglichkeit, die funktionale Sicherheit eines automatischen Eingriffs in den Fahrbetrieb zu gewährleisten, ist es, unter bestimmten Bedingungen den automatischen Eingriff abzubrechen, um die Eintrittswahrscheinlichkeit der Folgen einer Fehlfunktion zu reduzieren.
1 zeigt eine beispielhafte Fahrsituation mit einem automatischen Fahreingriff, insbesondere mit einer automatischen Bremsung. Das Fahrzeug 100 (auch als Ego-Fahrzeug bezeichnet) fährt auf einer Fahrbahn mit der Fahrgeschwindigkeit v₀ 111. Ein Folge-Fahrzeug 102 folgt dem Ego-Fahrzeug 100 in einem Abstand d₀ 112. Es kann angenommen werden, dass das Folge-Fahrzeug 102 mit der gleichen Fahrgeschwindigkeit v₀ 111 führt wie das Ego-Fahrzeug 100.
2 zeigt beispielhafte Komponenten des Ego-Fahrzeugs 100, Das Ego-Fahrzeug 100 umfasst eine Steuereinheit 200, die eingerichtet ist, Umfelddaten bezüglich eines Umfelds des Ego-Fahrzeugs 100 von ein oder mehreren Umfeldsensoren 201 zu empfangen. Beispielhafte Umfeldsensoren sind eine Kamera, ein LIDAR-Sensor, ein Ultraschallsensor und/oder ein Radarsensor. Die Umfelddaten können insbesondere Umfelddaten bezüglich eines Umfelds vor dem Ego-Fahrzeug 100 umfassen. Insbesondere können die Umfelddaten keine Informationen bezüglich eines Umfelds hinter dem Ego-Fahrzeug 100 umfassen. Die Steuereinheit 200 kann eingerichtet sein, anhand der Umfelddaten ein Hindernis/Objekt 101 auf der aktuellen Trajektorie des Ego-Fahrzeugs 100 zu detektieren (siehe 1). Desweiteren kann die Steuereinheit 200 eingerichtet sein, in Reaktion auf die Detektion eines Hindernisses 101 eine Verzögerungseinheit 202 (z. B. eine oder mehrere Radbremsen) des Ego-Fahrzeugs 100 zu veranlassen, das Ego-Fahrzeug 100 automatisch (d. h. ohne Eingriff durch einen Fahrer des Ego-Fahrzeugs 100) abzubremsen, um eine Kollision mit dem Hindernis 101 zu vermeiden oder um Folgen einer Kollision mit dem Hindernis 101 zu reduzieren.
Ein Fehler der automatischen Bremsfunktion liegt vor, wenn die Steuereinheit 200 eine Verzögerung des Ego-Fahrzeugs 100 veranlasst, obwohl kein Hindernis 101 auf der Trajektorie des Ego-Fahrzeugs 100 vorliegt. Mit anderen Worten, es besteht das Risiko, dass die Steuereinheit 200 eine fehlerhafte Bremsung des Ego-Fahrzeugs 100 verursacht. Als Folge einer derartigen fehlerhaften Bremsung des Ego-Fahrzeugs 100 kann es zu einem Auffahrunfall des Folge-Fahrzeugs 102 mit dem Ego-Fahrzeug 100 kommen. Dabei ist zu beachten, dass das Risiko einer Auffahrkollision bei einer korrekten automatischen Bremsung mit vorhandenem Hindernis nicht betrachtet wird, da es sich hierbei nicht um eine fehlerhafte Bremsung handelt.
Im vorliegenden Dokument wird ein Verfahren beschrieben, mit dem die Wahrscheinlichkeit eines derartigen Auffahrunfalls des Folge-Fahrzeugs 102 mit dem Ego-Fahrzeug 100 reduziert werden kann um eine konkrete Systemintegrität zu gewährleisten. Insbesondere wird ein Verfahren beschrieben, durch das die automatische Bremsung des Ego-Fahrzeugs 100 bei Vorliegen von bestimmten Abbruchbedingungen abgebrochen wird, und so die Wahrscheinlichkeit für einen Auffahrunfall reduziert wird. Durch die Reduzierung der Eintrittswahrscheinlichkeit (E) eines Auffahrunfalls kann in effizienter Weise die funktionale Sicherheit der automatischen Bremsfunktion bereitgestellt werden. Andererseits kann durch die Wahl der Abbruchbedingungen gewährleistet werden, dass das Fahrerassistenzsystem weiterhin eine hohe Performance bzw. eine hohe Funktionalität aufweist, z. B. dass das Fahrerassistenzsystem weiterhin mit einer möglichst hohen Verfügbarkeit durch eine automatische Bremsung eine Kollision des Ego-Fahrzeugs 100 mit einem detektierten Hindernis 101 verhindert.
Die Abbruchbedingungen für den automatischen Fahreingriff sind von statistischen Daten der durch den Fahreingriff verursachten Folgesituation, z. B. der in 1 dargestellten Auffahr-Situation, abhängig. Wie aus 1 ersichtlich, hängt die Wahrscheinlichkeit eines Auffahrunfalls des Folge-Fahrzeugs 102 von dem Abstand d 112 des Folge-Fahrzeugs 102 und von der Geschwindigkeit v 111 des Folge-Fahrzeugs 102 bzw. des Ego-Fahrzeugs 100 ab. Durch eine Verringerung des Abstands d₀ 112 des Folge-Fahrzeugs 102 erhöht sich typischerweise die Wahrscheinlichkeit eines Auffahrunfalls (bei gleichbleibender Fahrgeschwindigkeit v 111). Außerdem ist typischerweise bei einer höheren Fahrgeschwindigkeit v 111 die Wahrscheinlichkeit für einen Auffahrunfall höher (bei gleichbleibendem Abstand d 112).
3 zeigt beispielhafte statistische Verläufe 302, 303, 304, 305 des Abstands 112 des Folge-Fahrzeugs 102 von dem Ego-Fahrzeug 100 in Abhängigkeit von der Fahrgeschwindigkeit v 111. Dabei ist der Abstand 112 in Sekunden angegeben und lässt sich über die Fahrgeschwindigkeit 111 in Meter umrechnen. Desweiteren zeigt 3 einen Verlauf 301, der eine Wagenlänge von 5 Meter als Funktion der Fahrgeschwindigkeit 111 darstellt. Der Verlauf 302 zeigt eine 1% Perzentile, d. h. der Verlauf 302 zeigt den Abstand 112 an, den 1% der Folge-Fahrzeuge 102 einhalten oder unterschreiten. Der Verlauf 303 zeigt eine 5% Perzentile, der Verlauf 304 zeigt eine 10% Perzentile und der Verlauf 305 zeigt eine 32% Perzentile.
Auf Basis der statistischen Abstandsdaten 302, 303, 304, 305 kann eine Abstandskennlinie A(v) 300 für die automatische Bremsfunktion ermittelt werden. Dabei können ggf. noch weitere statistische Daten berücksichtigt werden. Insbesondere kann eine Geschwindigkeitsverteilung von Fahrzeugen 100, 102 berücksichtigt werden, d. h. es kann berücksichtigt werden, mit welcher Wahrscheinlichkeit die unterschiedlichen Fahrgeschwindigkeiten v 111 tatsächlich gefahren werden. Außerdem kann die Abstandskennlinie A(v) 300 von ein oder mehreren Parametern der automatischen Bremsfunktion abhängen. Insbesondere kann die Abstandskennlinie A(v) 300 davon abhängen, mit welcher Verzögerung bzw. mit welchem Verzögerungsverlauf das Ego-Fahrzeug 100 abgebremst wird.
Die Abstandskennlinie 300 kann derart ermittelt werden, dass die Abstandskennlinie A(v) 300 für eine Fahrgeschwindigkeit v 111 des Ego-Fahrzeugs 100 den Mindestabstand angibt, den das Folge-Fahrzeug 102 zu dem Ego-Fahrzeug 100 haben muss, damit es (z. B. mit einer bestimmten Wahrscheinlichkeit) zu keiner Kollision zwischen Folge-Fahrzeug 102 und Ego-Fahrzeug 100 kommt. Dieser Mindestabstand hängt typischerweise davon ab, mit welcher Verzögerung bzw. mit welchem Verzögerungsverlauf der automatische Bremseingriff des Ego-Fahrzeugs 100 erfolgt. Desweiteren hängt der Mindestabstand typischerweise davon ab, wie das Folge-Fahrzeug 102 (statistisch) in Reaktion auf eine Bremsung des Ego-Fahrzeugs 100 verzögert wird. Außerdem kann der Mindestabstand von einer statistischen Geschwindigkeitsverteilung des Folge-Fahrzeugs 102 und/oder von einer statistischen Verteilung des Abstands zwischen Folge-Fahrzeug 102 und Ego-Fahrzeugs 100 abhängen. Diese statistischen Daten können im Rahmen von Tests mit Testfahrzeugen ermittelt werden. Außerdem hängt der Mindestabstand typischerweise von der zu erreichenden ASIL-Einstufung der automatischen Bremsfunktion und/oder von der ASIL-Einstufung der einzelnen funktionalen Komponenten der automatischen Bremsfunktion ab.
Die Abstandskennlinie 300 kann somit auf Basis der statistischen Verzögerung des Ego-Fahrzeugs 100 (unter Annahme von ein oder mehreren Parametern der automatischen Bremsfunktion) und aus dem statistischen Bremsverhalten des Folge-Fahrzeugs 102 in Kombination mit den statistischen Abstandswerten von aufeinander folgenden Fahrzeugen ermittelt werden. Daraus ergibt sich eine Risikoeinstufung nach ISO 26262 (d. h. eine ASIL-Einstufung). Es können somit die ein oder mehreren Parameter der automatischen Bremsfunktion (z. B. der Verzögerungsverlauf), aus denen sich die statistische Verzögerung des Ego-Fahrzeugs 100 ergibt, dahingehend optimiert werden, dass eine maximale bzw. optimale Performance der automatischen Bremsfunktion erreicht wird, ohne dabei eine höhere ASIL-Einstufung zu erreichen. Durch Veränderung der Abstandskennlinie 300 kann somit bei Vorgabe einer ASIL-Einstufung (d. h. bei Vorgabe von Systemanforderungen bezüglich der funktionalen Sicherheit) die Performance der automatischen Bremsfunktion optimiert werden.
Desweiteren kann die Abstandskennlinie 300 zur Bereitstellung eines Sicherheitsmechanismus (z. B. zur Ermittlung eines Abbruchkriteriums für eine automatische Bremsfunktion) verwendet werden. Insbesondere kann anhand der Abstandskennlinie 300 ein Überschreiten der Systemperformance, welche der Risikobewertung zugrunde liegt und welche hinsichtlich der Systemanforderungen bezüglich der funktionalen Sicherheit optimiert (maximiert) wurde, überwacht und verhindert werden. Beispielsweise kann überwacht werden, ob der tatsächlich von der automatischen Bremsfunktion realisierte Bremsweg kürzer ist als der für die funktionale Sicherheit und für die Ermittlung der Abstandskennlinie 300 angenommene Bremsweg. Die Abstandskennlinie 300 kann dazu verwendet werden, ein Abweichen der tatsächlichen Systemperformance von der statistischen Systemperformance der automatischen Bremsfunktion zu detektieren, und bei Bedarf die automatische Bremsfunktion abzubrechen. Die Abstandskennlinie 300 kann dazu als der maximal zulässige Abstand betrachtet werden, der durch den statistisch zurückgelegten Weg des Folge-Fahrzeugs 102 und durch den gemessenen/interpolierten Weg des Ego-Fahrzeugs 100 abgebaut werden darf, bevor eine automatische Bremsung abzubrechen ist.
Ein weiterer Faktor für das Eintreten eines Auffahrunfalls (d. h. für das Auftreten eines Folgeunfalls aufgrund von einem Fehler des FAS) ist die Reaktion des Fahrers des Folge-Fahrzeugs 102 auf einen Bremsvorgang des Ego-Fahrzeugs 100. Mit anderen Worten, ein weitere Faktor der funktionalen Sicherheit ist die Kontrollierbarkeit (C) der Folgen eines Fehlers des FAS. Der Fahrer des Folge-Fahrzeugs 102 kann einen Auffahrunfall dadurch vermeiden, dass er das Folge-Fahrzeug 102 derart abbremst, dass es zu keiner Kollision mit dem Ego-Fahrzeug 100 kommt. Das dies bezüglich Verhalten des Folge-Fahrzeugs 102 kann ebenfalls durch statistische Daten modelliert werden. Insbesondere kann anhand von statistischen Daten ein Modell für den Bremsweg s(t) als Funktion der Zeit t bereitgestellt werden. Insgesamt kann somit das Bremsverhalten des Folge-Fahrzeugs 102 (inkl. des Verhaltens des Fahrers des Folge-Fahrzeugs 102) durch statistische Daten beschrieben werden.
Der Bremsweg s(t) hängt z. B. von der Reaktionszeit t_reak des Fahrers des Folge-Fahrzeugs 102 auf eine Bremsanforderung des Ego-Fahrzeugs 100 ab. Die Reaktionszeit t_reak kann statistisch ermittelt werden. Desweiteren hängt der Bremsweg s(t) davon ab, wie schnell, d. h. in welcher Zeit t_max das Folge-Fahrzeug 102 einen maximalen Bremsdruck a_max aufbauen kann und wie hoch der maximale Bremsdruck a_max des Folge-Fahrzeugs 102 ist. Auch die Bremsdruckaufbauzeit t_max und der maximale Bremsdruck a_max können statistisch ermittelt werden. Für den Bremsweg s(t) des Folge-Fahrzeugs 102 ergibt sich somit:
wobei v₀ der Fahrgeschwindigkeit des Ego-Fahrzeugs 100 zum Aktivierungszeitpunkt t₀ entspricht. In der obigen Formel wurde angenommen, dass t₀ = 0 ist.
Anhand der o. g. Formel kann der Bremsweg s(t) des Folge-Fahrzeugs 102 ermittelt werden. Die Abstandskennlinie A(v) 300 und die Formel für den Bremsweg s(t) können in einer Speichereinheit 203 des Ego-Fahrzeugs 100 gespeichert werden. Die Steuereinheit 200 des Ego-Fahrzeugs 100 ist eingerichtet, auf die Speichereinheit 203 zuzugreifen.
Ein weiterer Faktor durch den das Eintreten eines Auffahrunfalls beeinflusst wird, ist der (tatsächlich) zurückgelegte Weg x(t) des Ego-Fahrzeugs 100. Der zurückgelegte Weg x(t) des Ego-Fahrzeugs 100 kann anhand von ein oder mehreren Fahrzeugsensoren 204 des Ego-Fahrzeugs 100 ermittelt werden. Insbesondere kann anhand von Fahrzeugdaten der ein oder mehreren Fahrzeugsensoren 204 eine Fahrgeschwindigkeit v₀ 111 zum Aktivierungszeitpunkt t₀ der automatischen Bremsung ermittelt werden. Desweiteren kann zu einem nachfolgenden Zeitpunkt t, der seit dem Zeitpunkt t₀ zurückgelegte Bremsweg x(t) des Ego-Fahrzeugs 100 ermittelt werden (insbesondere durch Integration der Fahrgeschwindigkeit v(t) über die Zeit t.
Die Steuereinheit 200 kann auf Basis der Fahrgeschwindigkeit v₀ 111 zum Zeitpunkt t₀, auf Basis der Abstandskennlinie A(v) 300, auf Basis der Formel für den Bremsweg s(t) und auf Basis des seit dem Zeitpunkt t₀ zurückgelegten Bremswegs x(t) des Ego-Fahrzeugs 100 ermitteln, ob zu einem aktuellen Zeitpunkt t₁ eine Abbruchbedingung für die automatische Bremsung des Ego-Fahrzeugs 100 vorliegt. Insbesondere kann ermittelt werden, ob durch einen Abbruch zum aktuellen Zeitpunkt t₁ ein, im Hinblick auf A(v₀) 300, s(t) und x(t) zu erwartender Auffahrunfall des Folge-Fahrzeugs 102 auf das Ego-Fahrzeug 100 verhindert werden kann. Ist dies erstmalig nicht mehr der Fall, so kann die automatische Bremsung des Ego-Fahrzeugs 100 abgebrochen werden, um die Folgen eines Fehlers der automatischen Bremsfunktion zu reduzieren bzw. zu vermeiden. Es kann so ein Erfüllen der funktionalen Sicherheit (gemäß einer bestimmten ASIL-Einstufung der automatischen Bremsfunktion) gewährleistet werden. Insbesondere kann sichergestellt werden, dass das kombinierte Risiko aus Auftretenswahrscheinlichkeit der Fehlfunktion und Kollisionswahrscheinlichkeit des Folge-Fahrzeugs 102 bei Auftreten der Fehlfunktion (d. h. die Eintrittswahrscheinlichkeit E) ausreichend gering ist.
Beispielsweise kann zu dem aktuellen Zeitpunkt t₁ ermittelt (insbesondere prädiziert) werden, ob bei Fortführen der automatischen Bremsung zu irgendeinem folgenden Zeitpunkt t ≥ t₁ folgende Bedingung für einen Auffahrunfall erfüllt ist: s(t) ≥ A(v₀) + x(t) – A_SR, wobei A_SR eine optionale Sicherheits-Abstandsreserve ist. Der Grenzabstand A(v₀) errechnet sich auf Basis der Abstandkurve A(v) 300 für die Initialgeschwindigkeit v₀. Es kann somit zu einem aktuellen Zeitpunkt t₁ prädiziert werden, ob zu einem nachfolgenden Zeitpunkt t ≥ t₁ der erwartete (statistische) Bremsweg s(t) des Folge-Fahrzeugs 102 größer als oder gleich wie die Summe aus dem (statistischen) Grenzabstand A(v₀) zwischen Ego-Fahrzeug 100 und Folge-Fahrzeug 102 und dem seit t₀ zurückgelegten (gemessenen) Bremsweg x(t) des Ego-Fahrzeugs 100 ist, und somit eine Kollision zwischen Folge-Fahrzeug 102 und Ego-Fahrzeug 100 zu erwarten ist. Alternativ oder ergänzend kann zum aktuellen Zeitpunkt t₁ geprüft werden, ob durch einen Abbruch zum aktuellen Zeitpunkt t₁ eine Kollision zu einem nachfolgenden Zeitpunkt t ≥ t₁ gerade noch vermieden werden kann.
Desweiteren kann der Zeitpunkt t_k > t₁ einer möglichen Kollision prädiziert werden, bei dem gilt: s(t_k) = A(v₀) + x(t_k) – A_SR. Alternativ oder ergänzend kann prädiziert werden, ob das Ego-Fahrzeug 100 bei einem konkreten vorliegenden Bremsverhalten (z. B. bei einem konkreten bisherigen Bremsweg x(t)) und unter Verwendung eines angenommenen Schleppmoments ab dem Abbruchzeitpunkt t₁, eine Kollision mit einen Folge-Fahrzeug 102 noch gerade verhindert werden kann.
Außerdem kann ermittelt werden, ob die mögliche Kollision vermieden werden kann, wenn die automatische Bremsung zum Zeitpunkt t₁ abgebrochen wird. Zu diesem Zweck kann die aktuelle Geschwindigkeit v₁ des Ego-Fahrzeugs 100 zum Zeitpunkt t₁ ermittelt werden (anhand der Fahrzeugdaten der ein oder mehreren Fahrzeugsensoren 204). Desweiteren kann berücksichtigt werden, dass das Ego-Fahrzeug 100 nach Abbruch der automatischen Bremsung nur noch mit einem Schleppmoment eines Motors des Ego-Fahrzeugs 100 verzögert wird. In Summe kann so der zurückgelegte Weg x·(t) des Ego-Fahrzeugs 100 ab dem Zeitpunkt t₁ prädiziert werden. Desweiteren kann angenommen werden, dass sich das Folge-Fahrzeug 102 weiterhin gemäß der Formel s(t) bewegt. Es kann somit ermittelt werden, ob es weiterhin einen Zeitpunkt t_k gibt, für den gilt: s(t_k) < A(v₀) + x·(t_k) – A_SR. Liegt ein solcher Zeitpunkt erstmalig nicht mehr vor, so kann durch den Abbruch des automatischen Bremsvorgangs zum Zeitpunkt t₁ eine, in Bezug auf die Sicherheitsintegrität des Systems zur Vermeidung einer Falschbremsung, zu hohe Kollisionswahrscheinlichkeit zwischen Folge-Fahrzeug 102 und Ego-Fahrzeug 100 vermieden werden.
4 zeigt ein Ablaufdiagramm eines beispielhaften Verfahrens 400 zur Gewährleistung der funktionalen Sicherheit eines automatischen Eingriffs in den Fahrbetrieb eines Fahrzeugs 100. Das Verfahren 400 kann z. B. durch die Steuereinheit 200 des Ego-Fahrzeugs 100 ausgeführt werden. Das Verfahren 400 umfasst das Ermitteln 401 von Informationen bezüglich eines statistischen Fahrverhaltens des Folge-Fahrzeugs 102. Insbesondere können die statistischen Parameter t_reak, t_max und/oder a_max. ermittelt werden (die ggf. auch abhängig voneinander gewählt werden können). Es kann so eine (statistische) Wegstrecke s(t) des Folge-Fahrzeugs 102 ermittelt werden. Desweiteren kann auf Basis einer Abstandskennlinie 300 und auf Basis der Fahrgeschwindigkeit zum Aktivierungszeitpunkt t₀ ein Grenzabstand A(v₀) zwischen dem Folge-Fahrzeug 102 und dem Ego-Fahrzeug 100 ermittelt werden 402. Wie oben dargelegt, kann der Grenzabstand A(v₀) aus einer Risikobewertung des automatischen Eingriffs in den Fahrbetrieb abgeleitet werden. Das Verfahren 400 umfasst weiter das Ermitteln 403 von Informationen bezüglich eines tatsächlichen Fahrverhaltens des Ego-Fahrzeugs 100 seit Aktivierung des automatischen Eingriffs zum Aktivierungszeitpunkt t₀. Insbesondere kann die Fahrgeschwindigkeit v(t) des Ego-Fahrzeugs 100 und eine Wegstrecke x(t) des Ego-Fahrzeugs 100 ermittelt (insbesondere gemessen) werden.
Das Verfahren 400 umfasst weiter das Prädizieren 404 einer Kollision zwischen Folge-Fahrzeug 102 und Ego-Fahrzeug 100 auf Basis der Informationen bezüglich des statistischen Fahrverhaltens des Folge-Fahrzeugs 102 und auf Basis der Informationen bezüglich des tatsächlichen Fahrverhaltens des Ego-Fahrzeugs 100. Mit anderen Worten, es kann prädiziert werden, ob eine Kollision zwischen Folge-Fahrzeug 102 und Ego-Fahrzeug 100 erfolgt bzw. zu erwarten ist (bei weiterer Durchführung des automatischen Eingriffs). Alternativ oder ergänzend kann prädiziert werden, ob eine Kollision zwischen Folge-Fahrzeug 102 und Ego-Fahrzeug 100 verhindert werden kann, wenn der automatische Eingriff (ggf. zu dem aktuellen Zeitpunkt t₁) abgebrochen wird.
Außerdem umfasst das Verfahren 400 das Abbrechen 405 des automatischen Eingriffs, in Abhängigkeit von dem Prädizieren 404 einer Kollision zwischen Folge-Fahrzeug 102 und Ego-Fahrzeug 100. Insbesondere kann der automatische Eingriff abgebrochen werden, wenn eine Kollision prädiziert wurde. So kann die funktionale Sicherheit des automatischen Eingriffs (insbesondere des automatischen Bremsmanövers) hinsichtlich der Sicherheitsintegrität des Systems zur Vermeidung des Fehlers gewährleistet werden.
In dem in diesem Dokument beschriebenen Verfahren 400 werden abgestimmte Annahmen für eine Folgeverkehrsfahrt getroffen. Diese Annahmen können auf statistischen Analysen von Testfahrzeugen und/oder Testfahrern für Folge-Fahrzeuge ermittelt werden. Desweiteren können in flexibler Weise Funktionseigenschaften eines automatischen Eingriffs (z. B. einer automatischen Bremsung) berücksichtigt werden. Diese Funktionseigenschaften können insbesondere bei der Abstandskennlinie A(v) 300 berücksichtigt werden. Dies zeigt sich z. B. in der Abstandskennlinie 300 in 3, bei der der Anstand 112 ab einer Fahrgeschwindigkeit 111 auf null sinkt, da ab dieser Fahrgeschwindigkeit keine automatische Bremsung mehr erfolgt. Durch die Abstandskennlinie A(v) 300 kann so eine Sicherheitscharakteristik für das FAS mit dem automatischen Eingriff bereitgestellt werden. Eine Anpassung der Funktion des automatischen Eingriffs (z. B. eine Anpassung des Verzögerungsverlaufs) kann in integerer Weise durch eine Anpassung der Abstandskennlinie A(v) 300 berücksichtigt werden.
Das in diesem Dokument beschriebene Verfahren 400 ermöglicht es somit, in Abhängigkeit von einem Objekt 101, das eine automatische Bremsung auslöst, in Abhängigkeit von gewünschten Use-Cases Sicherheitscharakteristiken zu ermitteln. Die Funktionsausprägung kann passend zur vorliegenden Integrität (ASIL) im Fahrzeug 100 gezielt angepasst werden. Die Sicherheitscharakteristik kann in einem Steuergerät 200 des Fahrzeugs 100 implementiert werden und zur Laufzeit mit wenigen Informationen bezüglich des Ego-Fahrzeugs 100 (insbesondere ausschließlich anhand der Fahrgeschwindigkeit 111 des Ego-Fahrzeugs 100) überprüft werden. Das Verhalten des Folgeverkehrs (d. h. des Folge-Fahrzeugs 102) kann analytisch berechnet werden bzw. kann im Ego-Fahrzeug 100 analytisch festgelegt sein, so dass eine Auslegung eines Sicherheitsmechanismus funktions- und umsetzungsspezifisch erfolgen kann.
Die vorliegende Erfindung ist nicht auf die gezeigten Ausführungsbeispiele beschränkt. Insbesondere ist zu beachten, dass die Beschreibung und die Figuren nur das Prinzip der vorgeschlagenen Verfahren, Vorrichtungen und Systeme veranschaulichen sollen.

Claims

Verfahren (400) zur Bereitstellung einer funktionalen Sicherheit eines automatischen Eingriffs in den Fahrbetrieb eines Ego-Fahrzeugs (100), wobei der automatische Eingriff zu einer Kollision mit einem Folge-Fahrzeug (102) des Ego-Fahrzeugs (100) führen kann, wobei der automatische Eingriff eine automatische Bremsung des Ego-Fahrzeugs (100) umfasst, wobei das Verfahren (400) umfasst, – Ermitteln (401) von Informationen bezüglich eines statistischen Fahrverhaltens des Folge-Fahrzeugs (102); – Ermitteln (402) eines Grenzabstands zwischen Folge-Fahrzeug (102) und Ego-Fahrzeug (100); wobei der Grenzabstand einen Abstand anzeigt, der durch eine statistisch zurückgelegte Wegstrecke des Folge-Fahrzeugs (102) und durch eine tatsächlich zurückgelegte Wegstrecke des Ego-Fahrzeugs (100) abgebaut werden darf, bevor die automatische Bremsung abzubrechen ist; wobei der Grenzabstand von einer Umsetzung der automatischen Bremsung im Ego-Fahrzeug (100) abhängt; – Ermitteln (403) von Informationen bezüglich eines tatsächlichen Fahrverhaltens des Ego-Fahrzeugs (100) seit Aktivierung des automatischen Eingriffs; – Prädizieren (404) der Möglichkeit einer Kollision zwischen Folge-Fahrzeug (102) und Ego-Fahrzeug (100) auf Basis der Informationen bezüglich des statistischen Fahrverhaltens des Folge-Fahrzeugs (102), auf Basis des Grenzabstands und auf Basis der Informationen bezüglich des tatsächlichen Fahrverhaltens des Ego-Fahrzeugs (100); wobei auf Basis der Informationen bezüglich des statistischen Fahrverhaltens des Folge-Fahrzeugs (102) die statistisch zurückgelegte Wegstrecke des Folge-Fahrzeugs (102) ermittelt wird; wobei auf Basis der Informationen bezüglich des tatsächlichen Fahrverhaltens des Ego-Fahrzeugs (100) die tatsächlich zurückgelegte Wegstrecke des Ego-Fahrzeugs (100) ermittelt wird; und – Abbrechen (405) des automatischen Eingriffs, in Abhängigkeit von dem Prädizieren (404) der Möglichkeit einer Kollision zwischen Folge-Fahrzeug (102) und Ego-Fahrzeug (100).
Verfahren (400) gemäß Anspruch 1, wobei – der Grenzabstand von einer Implementierung des automatischen Eingriffs abhängt; und/oder – der Grenzabstand von einem bereitzustellenden Level der funktionalen Sicherheit abhängt.
Verfahren (400) gemäß einem der vorhergehenden Ansprüche, wobei der Grenzabstand einen Abstand zwischen Folge-Fahrzeug (102) und Ego-Fahrzeug (100) bei Aktivierung des automatischen Eingriffs anzeigt, durch den eine Kollision zwischen Folge-Fahrzeug (102) und Ego-Fahrzeug (100) mit einer vordefinierten Wahrscheinlichkeit vermieden wird, wobei die vordefinierte Wahrscheinlichkeit von dem Level der funktionalen Sicherheit abhängt.
Verfahren (400) gemäß einem der vorhergehenden Ansprüche, wobei der Grenzabstand abhängt von ein oder mehreren von: – einer statistischen Verteilung von Fahrabständen (302, 303, 304, 305) von Testfahrzeugen bei Folgefahrt; und/oder – einer statistischen Verteilung von Fahrgeschwindigkeiten von Testfahrzeugen; und/oder – den Informationen bezüglich des statistischen Fahrverhaltens des Folge-Fahrzeugs (102).
Verfahren (400) gemäß einem der vorhergehenden Ansprüche, wobei die Informationen bezüglich des tatsächlichen Fahrverhaltens des Ego-Fahrzeugs (100) ein oder mehrere umfassen von: – Informationen bezüglich einer tatsächlichen Fahrgeschwindigkeit (111) des Ego-Fahrzeugs (100); und/oder – Informationen bezüglich einer Wegstrecke x(t), die von dem Ego-Fahrzeug (100) seit Aktivierung des automatischen Eingriffs tatsächlich zurückgelegt wurde; und/oder – Informationen bezüglich eines tatsächlichen Verzögerungsverlaufs des Ego-Fahrzeugs (100).
Verfahren (400) gemäß einem der vorhergehenden Ansprüche, wobei die Informationen bezüglich des statistischen Fahrverhaltens des Folge-Fahrzeugs (102) Informationen bezüglich eines statistischen Bremsverhaltens des Folge-Fahrzeugs (102) umfassen.
Verfahren (400) gemäß einem der vorhergehenden Ansprüche, wobei die Informationen bezüglich des statistischen Fahrverhaltens des Folge-Fahrzeugs (102) ein oder mehrere umfassen von: – eine Reaktionszeit t_reak eines Fahrers des Folge-Fahrzeugs (102) auf die Aktivierung des automatischen Eingriffs; wobei die Reaktionszeit t_reak auf Basis von einer Vielzahl von Messungen von Reaktionszeiten von Testfahrern ermittelt wurde; – eine Bremsdruckaufbauzeit t_max des Folge-Fahrzeugs (102) zum Aufbau einer maximalen Verzögerung a_max des Folge-Fahrzeugs (102); wobei die Bremsdruckaufbauzeit t_max auf Basis von einer Vielzahl von Messungen von Bremsdruckaufbauzeiten von Testfahrzeugen ermittelt wurde; und/oder – eine maximale Verzögerung a_max des Folge-Fahrzeugs (102); wobei die maximale Verzögerung a_max auf Basis von einer Vielzahl von Messungen von maximalen Verzögerungen von Testfahrzeugen ermittelt wurde.
Verfahren (400) gemäß einem der vorhergehenden Ansprüche, wobei das Prädizieren (404) der Möglichkeit einer Kollision zwischen Folge-Fahrzeug (102) und Ego-Fahrzeug (100) umfasst, – Prädizieren, an einem aktuellen Zeitpunkt t₁ und auf Basis der Informationen bezüglich des tatsächlichen Fahrverhaltens des Ego-Fahrzeugs (100), einer Wegstrecke x(t_k), die von dem Ego-Fahrzeug (100) an einem Zeitpunkt t_k ≥ t₁ zurückgelegt wurde; – Prädizieren, an dem aktuellen Zeitpunkt t₁ und auf Basis der Informationen bezüglich des statistischen Fahrverhaltens des Folge-Fahrzeugs (102), einer Wegstrecke s(t_k), die von dem Folge-Fahrzeug (102) an dem Zeitpunkt t_k ≥ t₁ zurückgelegt wurde; und – Prädizieren der Möglichkeit einer Kollision an dem Zeitpunkt t_k auf Basis von x(t_k) und auf Basis von s(t_k).
Verfahren (400) gemäß Anspruch 8, wobei das Prädizieren (404) weiter umfasst, – Ermitteln, auf Basis einer Abstandskurve (300) zwischen Folge-Fahrzeug (102) und Ego-Fahrzeug (100) und auf Basis einer Fahrgeschwindigkeit v₀ (111) des Ego-Fahrzeugs (100) bei der Aktivierung des automatischen Eingriffs, des Grenzabstands A(v₀) des Folge-Fahrzeugs (102) zu dem Ego-Fahrzeug (100); wobei die Abstandskurve (300) den Grenzabstand für unterschiedliche Fahrgeschwindigkeiten (111) anzeigt; und – Prädizieren der Möglichkeit einer Kollision an dem Zeitpunkt t_k auch auf Basis von dem Grenzabstand A(v₀).
Verfahren (400) gemäß einem der Ansprüche 8 bis 9, wobei – das Verfahren (400) weiter umfasst, Ermitteln, an dem aktuellen Zeitpunkt t₁, ob durch Abbruch des automatischen Eingriffs eine Kollision an dem Zeitpunkt t_k vermieden werden kann; und – der automatische Eingriff an dem aktuellen Zeitpunkt t₁ abgebrochen wird, wenn eine Kollision an dem Zeitpunkt t_k prädiziert wurde und wenn ermittelt wurde, dass die Kollision durch Abbruch des automatischen Eingriffs an dem aktuellen Zeitpunkt t₁ gerade noch vermieden werden kann.
Verfahren (400) gemäß einem der vorhergehenden Ansprüche, wobei der automatische Eingriff eine automatische Bremsung des Ego-Fahrzeugs (100) in Reaktion auf die Detektion eines Hindernisses (101) umfasst.
Steuereinheit (200) für ein Fahrzeug (100), wobei das Fahrzeug (100) eingerichtet ist, automatisch in den Fahrbetrieb des Fahrzeugs (100) einzugreifen, wobei der automatische Eingriff zu einer Kollision mit einem Folge-Fahrzeug (102) des Fahrzeugs (100) führen kann, wobei der automatische Eingriff eine automatische Bremsung des Fahrzeugs (100) umfasst, wobei die Steuereinheit (200) eingerichtet ist, – Informationen bezüglich eines statistischen Fahrverhaltens des Folge-Fahrzeugs (102) zu ermitteln; – einen Grenzabstand zwischen dem Folge-Fahrzeug (102) und dem Fahrzeug (100) zu ermitteln; wobei der Grenzabstand einen Abstand anzeigt, der durch eine statistisch zurückgelegte Wegstrecke des Folge-Fahrzeugs (102) und durch eine tatsächlich zurückgelegte Wegstrecke des Fahrzeugs (100) abgebaut werden darf, bevor die automatische Bremsung abzubrechen ist; wobei der Grenzabstand von einer Umsetzung der automatischen Bremsung im Fahrzeug (100) abhängt; – Informationen bezüglich eines tatsächlichen Fahrverhaltens des Fahrzeugs (100) seit Aktivierung des automatischen Eingriffs zu ermitteln; – auf Basis der Informationen bezüglich des statistischen Fahrverhaltens des Folge-Fahrzeugs (102), auf Basis des Grenzabstands und auf Basis der Informationen bezüglich des tatsächlichen Fahrverhaltens des Fahrzeugs (100) die Möglichkeit einer Kollision zwischen Folge-Fahrzeug (102) und Fahrzeug (100) zu prädizieren; wobei auf Basis der Informationen bezüglich des statistischen Fahrverhaltens des Folge-Fahrzeugs (102) die statistisch zurückgelegte Wegstrecke des Folge-Fahrzeugs (102) ermittelt wird; wobei auf Basis der Informationen bezüglich des tatsächlichen Fahrverhaltens des Fahrzeugs (100) die tatsächlich zurückgelegte Wegstrecke des Fahrzeugs (100) ermittelt wird; und – den automatischen Eingriff in Abhängigkeit von einem Ergebnis der Prädiktion der Möglichkeit einer Kollision zwischen Folge-Fahrzeug (102) und Fahrzeug (100) abzubrechen.