DE102015001971A1

DE102015001971A1 - Verfahren und Überwachungsvorrichtung zur Überwachung von Fahrerassistenzsystemen

Info

Publication number: DE102015001971A1
Application number: DE102015001971.6A
Authority: DE
Inventors: Benedikt Schonlau; Klaus Krumbiegel
Original assignee: IAV GmbH Ingenieurgesellschaft Auto und Verkehr
Current assignee: IAV GmbH Ingenieurgesellschaft Auto und Verkehr
Priority date: 2015-02-19
Filing date: 2015-02-19
Publication date: 2016-08-25

Abstract

Verfahren und Vorrichtung zur Überwachung eines Fahrerassistenzsystems (2), welche das sichere Betreiben unterschiedlicher Fahrerassistenzsysteme (2) gewährleisten, insbesondere in Situationen, in denen durch die Fahrerassistenzsysteme (2) Funktionen nicht definiert sind, Funktionen zu Unfällen, also zu Schäden am Fahrzeug oder an beteiligten Personen, führen oder Funktionen aufgrund fehlerhafter Komponenten nicht ausführbar sind. Es wird eine Überwachungs- und Rückfallebene angegeben, die durch drei voneinander unabhängigen Schichten (3, 4, 5) sämtliche Fehlerquellen von Fahrerassistenzsystemen (2) ursachenspezifisch erkennen und eliminieren kann.

Description

Die Erfindung betrifft ein Verfahren zur Überwachung eines Fahrerassistenzsystems für Fahrzeuge entsprechend dem unabhängigen Anspruch 1 und eine Überwachungsvorrichtung zur Überwachung eines Fahrerassistenzsystems entsprechend dem unabhängigen Nebenanspruch 5.
Stand der Technik
Fahrerassistenzsysteme sind seit geraumer Zeit bekannt. Diese übernehmen Teilfunktionen der Fahrzeugführung oder die gesamte Fahrzeugführung vollautomatisch und unabhängig vom Fahrer. Da Fehlfunktionen dieser Fahrerassistenzsysteme zu Sach- und/oder Personenschäden führen können, wird eine sogenannte Rückfallebene benötigt, die im Falle einer Fehlfunktion das Fahrzeug in einen sicheren Zustand überführen kann. Diese Rückfallebene wird entweder durch den Fahrzeugführer, also den Fahrer selbst übernommen oder durch Aktionspläne realisiert, die das Fahrzeug gezielt in den Stillstand versetzen.
Die Offenlegungsschrift DE 10 2009 050 399 A1 offenbart ein Verfahren zur Steuerung des Betriebs eines vollautomatischen, zur unabhängigen Fahrzeugführung ausgebildeten Fahrerassistenzsystems eines Fahrzeugs. Bei Eintritt einer Übernahmebedingung wird eine Fahrerübernahmeaufforderung ausgegeben. Bei erfolgter Übernahme durch den Fahrer, z. B. durch Betätigung des Lenkrads, wird das Fahrerassistenzsystem deaktiviert. Wenn der Fahrer nicht fahrübernahmebereit ist und als Rückfallebene wegfällt, wird ein zur Überführung des Fahrzeugs in einen sicheren Zustand, insbesondere den Stillstand, dienender Fahreingriff im Rahmen eines Aktionsplans, der einen zeitlichen Ablauf von Steuerungsbefehlen für Fahrzeugsysteme enthält, ausgeführt. Eine Übernahmebedingung wird erzeugt, wenn Systemgrenzen des Fahrerassistenzsystems überschritten werden. Dabei kann es sich um Funktionsgrenzen, also der der Spezifikation zu entnehmende Einsatzbereich, um Systemausfälle/Systemfehler sowie um externe Einflüsse von fahrerassistenzsystemunabhängigen Fahrzeugkomponenten handeln.
Die Offenlegungsschrift DE 10 2010 021 591 A1 beschreibt ein Verfahren zur Steuerung des Betriebs eines vollautomatischen, zur unabhängigen Fahrzeugführung ausgebildeten Fahrerassistenzsystems eines Fahrzeugs. Ein Plausibilitätsüberwachungsmodul überprüft unter ausschließlicher Berücksichtigung von Egodaten (Fahrzeugzustandsdaten) und Umfelddaten, die von wenigstens einem Sensor und/oder Fahrzeugsystem ermittelt wurden, ob wenigstens ein im Hinblick auf die Funktion des Fahrerassistenzsystems ausgeschlossener Fehlerfall vorliegt. Bei Vorliegen eines Fehlerfalls wird ein zur Überführung des Kraftfahrzeugs in einen sicheren Zustand, insbesondere den Stillstand, dienender Fahreingriff im Rahmen eines Aktionsplans, der einen zeitlichen Ablauf von Steuerungsbefehlen für Fahrzeugsysteme enthält, ausgeführt.
In der Offenlegungsschrift DE 102 31 556 A1 werden ein Verfahren und eine Vorrichtung zur Prädiktion von Bewegungstrajektorien eines Fahrzeugs zur Verhinderung oder Folgenverminderung einer bevorstehenden Kollision vorgeschlagen. Zur Prädiktion der Bewegungstrajektorien werden nur die Trajektorien berücksichtigt, bei denen infolge einer Kombination aus Lenk- und Bremseingriff die an den Rädern des Fahrzeugs auftretenden Kräfte in dem Bereich liegen, der der maximal vom Rad auf die Straße übertragbaren Kraft entspricht. Insbesondere bei Systemen, die einen automatischen Brems- und/oder Lenkeingriff zur Vermeidung einer Kollision oder Verminderung der Unfallschwere mit einem weiteren Objekt vorsehen, erfolgt ein automatischer Brems- und/oder Lenkeingriff in Abhängigkeit der vorausberechneten Bewegungstrajektorien.
Die Patentschrift EP 0 788 581 B1 offenbart eine Steuereinheit zur Steuerung der Antriebseinheit eines Fahrzeugs, wobei zwei Ebenen, eine Funktions- und eine Überwachungsebene, auf außerhalb des Fehlerfalls gegenseitig in ihrer Funktion nicht beeinflussenden Kanälen innerhalb eines Rechenelementes geschaffen werden. Das Rechenelement ist in drei Ebenen organisiert. Die erste Ebene (Funktionsebene) führt die Berechnungen zur Durchführung der Leistungssteuerung durch. Die zweite Ebene überwacht diese Funktionsebene. Die dritte Ebene bildet eine Kontrollebene, welche die Überwachungsebene und damit das Rechenelement selbst auf Basis einer Ablaufkontrolle kontrolliert. Dabei ist zur Ablaufkontrolle eine nahezu beliebige Anzahl von Fragen/Antwort-Paaren denkbar. Ferner ist ein Watch-Dog vorgesehen, der mit dem Rechenelement verbunden ist und dort mit der dritten Kontrollebene kommuniziert.
Eine Ausgangsleitung des Watch-Dogs führt auf den Rücksetzeingang des Rechenelements und bspw. auf die Endstufe einer Luftzufuhreinstellung bzw. die Kraftstoffzumessung zum Stillsetzen der Antriebseinheit im Fehlerfall.
Die Offenlegungsschrift DE 10 2004 056 027 A1 offenbart ein Verfahren zur Verhinderung von Kollisionen oder zur Vermeidung der Kollisionsstärke eines Fahrzeugs, bei dem die Geschwindigkeit und Bewegungsrichtung des Fahrzeugs erfasst werden, die Lage von Objekten im Umfeld sowie deren Geschwindigkeit und Bewegungsrichtung relativ zum Fahrzeug detektiert wird, die zukünftige Lage der Objekte vorausberechnet und bewertet wird und eine Warnung an einen Fahrer ausgegeben wird. Alternativ oder zusätzlich erfolgt die Durchführung eines automatischen Lenk- und/oder Bremseingriffs durch ein Assistenzsystem des Fahrzeugs, wenn eine Kollision mit dem Objekt gemäß der Bewertung ohne Systemeingriff unausweichlich ist.
Aufgabe der Erfindung
Demgegenüber ist es die Aufgabe der Erfindung, ein Verfahren und eine Vorrichtung anzugeben, welche das sichere Betreiben unterschiedlicher Fahrerassistenzsysteme gewährleisten, insbesondere in Situationen, in denen durch die Fahrerassistenzsysteme Funktionen nicht definiert sind, Funktionen zu Unfällen, also zu Schäden am Fahrzeug oder an beteiligten Personen, führen oder Funktionen aufgrund fehlerhafter Komponenten nicht ausführbar sind.
Vorteile der Erfindung
Die Lösung dieser Aufgabe wird durch ein Verfahren zur Überwachung wenigstens eines zur teilweise oder vollständigen Fahrzeugführung ausgebildeten Fahrerassistenzsystems entsprechend dem Hauptanspruch 1 und durch eine Überwachungsvorrichtung zur Überwachung wenigstens eines zur teilweisen oder vollständigen Fahrzeugführung ausgebildeten Fahrerassistenzsystems entsprechend dem Nebenanspruch 6 ermöglicht.
Fahrerassistenzsysteme sind Teilsysteme von Fahrzeugen, die den Fahrer beim Führen des Fahrzeugs unterstützen, indem sie die Längs- und/oder Querführung des Fahrzeugs teilweise oder ganz übernehmen. Daraus lässt sich eine Definition eines Fahrerassistenzsystems ableiten, die sich auf die von dem Fahrerassistenzsystem bereitgestellte bzw. zu erzielende Funktion bezieht. Beispiele für solche Fahrerassistenzsysteme sind Längsführungssysteme, wie ACC (Adaptive Cruise Control – Abstandregeltempomat) und Stop-and-Go-Systeme (eingeschränkter Stauassistent) und Querführungssysteme, wie Spurhalteassistenten. Diese Fahrerassistenzsysteme werden immer komplexer, weil immer mehr Eingangsdaten verarbeitet werden müssen, die eingebundenen Fahrzeugführungssysteme, wie Lenkung, Bremsen oder Antrieb, in ihrer Anzahl zunehmen und weil die Aufgaben der Fahrerassistenzsysteme immer umfassender definiert werden. Galt bis vor Kurzem der Stauassistent als vollautomatisches Fahrerassistenzsystem, weil (innerhalb definierter Grenzen) die Fahrzeugführung, also Längs- und Querführung, vollständig übernommen wurde, geht die Tendenz dahin, die definierten Grenzen mehr und mehr auszuweiten und vollautonome Fahrerassistenzsysteme zu schaffen, die jederzeit ein Fahrzeug ohne Eingriff des Fahrers an einen Zielort steuern können. Aufgrund einer Vielzahl unterschiedlicher Verkehrssituationen, die dabei zu bewältigen sind (Autobahn, Landstraße, Wohngebiet), werden diese Fahrerassistenzsysteme Schritt für Schritt entwickelt und im Fahrzeug implementiert. Dabei können zum einen während der Entwicklung Systemfehler entstehen, die sich erst im Fahrzeug bemerkbar machen, und zum anderen einzelne Fahrerassistenzsysteme zueinander widersprüchliche Befehle für die Längs- und Querführung erzeugen, was im praktischen Fahrbetrieb zu Sach- und Personenschäden führen kann. Fahrerassistenzsysteme müssen daher überwacht werden.
Die Überwachung von Fahrerassistenzsystemen bedeutet im Rahmen der vorliegenden Erfindung sowohl die Kontrolle, dass sämtliche Komponenten funktionsfähig und die Ergebnisse bzw. die Auswirkungen der Eingriffe der Fahrerassistenzsysteme zielführend sind, als auch die Regelung der Vorgaben der Fahrerassistenzsysteme derart, dass keine schädlichen oder nicht zielführenden Auswirkungen der Eingriffe entstehen.
Die zu überwachenden Fahrerassistenzsysteme, von denen wenigstens eines von mehreren überwacht wird, sind zur teilweisen oder vollständigen Fahrzeugführung ausgebildet. Grundsätzlich besteht die Fahrzeugführung lediglich aus einer Längs- und einer Querführungskomponente. Die Ausprägungen beider im Betrag und der Richtung, die daraus entstehenden Kombinationen sowie deren von der Umgebung und vom Fahrzeugzustand abhängigen unterschiedlichen Wirkungsweisen machen die teilweise oder vollständige Fahrzeugführung so komplex. Eine teilweise Fahrzeugführung wirkt dabei nur auf eine Komponente oder nur auf Teile der Komponenten ein. Ein Bremsassistent kann beispielsweise nur den negativen Bereich (Verzögerung), ein Abstandsregeltempomat kann den gesamten Bereich (Verzögerung und Beschleunigung) der Längsführungskomponente beeinflussen. Unter vollständiger Fahrzeugführung ist entsprechend die Möglichkeit der Einwirkung des Fahrerassistenzsystems auf sämtliche Bereiche beider Führungskomponenten zu verstehen.
Eingriffe in Längs- und Querführungssysteme des Fahrzeugs erfolgen in Abhängigkeit von Vorgaben des Fahrers (Fahrerwunsch) oder unabhängig vom Fahrer, also ohne den Fahrer des Fahrzeugs in diese Eingriffe einzubeziehen. Ein einfaches Beispiel ist das seit Jahren in Fahrzeugen eingesetzte ESP (Elektronisches Stabilitätsprogramm), das in Abhängigkeit von erfassten Fahrzeugzustandsparametern gezielt einzelne Räder abbremst, um ein Ausbrechen des Fahrzeugs in fahrdynamischen Grenzsituationen zu verhindern. Dies läuft ohne Beteiligung des Fahrers, also unabhängig, ab. Selbstverständlich kann der Fahrer einen solchen Eingriff provozieren, der Eingriff selbst läuft aber ohne Zutun des Fahrers ab. Meist werden derartige Eingriffe nicht einmal vom Fahrer bemerkt. Das erfindungsgemäße Verfahren kann auch als Verfahren zur Überwachung wenigstens eines zur abhängigen oder unabhängigen Fahrzeugführung ausgebildeten Fahrerassistenzsystems bezeichnet werden.
Das wenigstens eine Fahrerassistenzsystem ermittelt wenigstens einen Fahrzeugführungsbefehl in Abhängigkeit von mittels dem Fahrzeug zugeordneten Umfelderfassungsmitteln erfassten Umfeldparametern und/oder in Abhängigkeit von mittels dem Fahrzeug zugeordneten Fahrzeugzustandserfassungsmitteln erfassten Fahrzeugzustandsparametern, wobei der wenigstens eine Fahrzeugführungsbefehl aus einem Sollwert für eine Längsführung oder Querführung des Fahrzeugs gebildet ist.
Der von dem Fahrerassistenzsystem ermittelte Fahrzeugführungsbefehl besteht aus einem Sollwert für eine Längsführung oder Querführung. Dabei sind verschiedene Möglichkeiten der praktischen Umsetzung bekannt. Die Längsführung kann durch eine Zielgeschwindigkeit und die Querführung kann durch einen Zielgierwinkel vorgegeben sein. Bewährt hat sich die Vorgabe einer Beschleunigung und eines Lenkwinkels. Diese können mittelbar oder unmittelbar durch andere Größen gebildet sein. Letztendlich sind diese Sollwerte für das beeinflusste Fahrzeugsystem, auch Aktuatoren, z. B. Bremsen, Antrieb und Lenkung, genannt, relevant, die die Vorgaben des Fahrerassistenzsystems umsetzen. Der regelungstechnische Unterschied zwischen einer Zielgeschwindigkeit und einer (zeitlich begrenzten) Beschleunigung beziehungsweise einem Ziellenkwinkel und einem Differenzlenkwinkel ist dem Fachmann geläufig. Er erkennt somit sämtliche abhängige Größen, die eine Längsführung und eine Querführung ermöglichen, als möglichen Sollwert an. Darüber hinaus ist einem Fahrzeugführungsbefehl, zumindest grundsätzlich, genau ein Sollwert zugeordnet. Die Längs- und Querführung besteht daher aus einer Mehrzahl von Fahrzeugführungsbefehlen. Ein Fahrzeugführungsbefehl kann selbstverständlich auch eine Kombination aus einem Sollwert für die Längs- und einem Sollwert für die Querführung im Sinne eines Wertepaares aufweisen. Der Fachmann wird die beste regelungstechnische Ausgestaltung für die praktische Umsetzung dem jeweiligen Anwendungsfall anpassen.
Die Fahrzeugführungsbefehle werden in Abhängigkeit von Umfeldparametern, die von Umfelderfassungsmitteln erfasst werden, und von Fahrzeugzustandsparametern, die von Fahrzeugzustandserfassungsmitteln erfasst werden, ermittelt. Zu den als solchen im Stand der Technik bekannten Umfeldparametern zählen sowohl Eigenschaften der unbeweglichen Umwelt, z. B. der Straßenoberfläche, der Straßenkrümmung, der Straßenrandbebauung sowie möglicher Infrastrukturelemente, wie Verkehrszeichen oder Ampeln, als auch Eigenschaften der beweglichen Umwelt, wie Geschwindigkeit und Richtung von Objekten im Umfeld, wie weiteren Fahrzeugen oder Personen. Die Erfassung der Umfeldparameter mittels entsprechender Sensorik, also mittels Umfelderfassungsmitteln, ist ebenfalls bekannt. Dabei kommen vor allem optische Erfassungsmittel, wie Mono- oder Stereokameras, im sichtbaren und nicht sichtbaren Spektrum des Lichts, aber auch Mittel, welche die Laufzeit von ausgesendeten und reflektierten elektromagnetischen bzw. akustischen Strahlen messen, wie Radar, Lidar und Ultraschallsensoren, zum Einsatz. Als Umfelderfassungsmittel im weiteren Sinne kann auch die Erfassung bzw. der Empfang von Nachrichten von anderen Verkehrsteilnehmern oder Infrastrukturelementen (Car-to-X-Kommunikation) sowie die Ermittlung des aktuellen Ortes mithilfe eines Navigationssystems gezählt werden. Auch die Erfassung von Fahrzeugzustandsparametern, wie Geschwindigkeit, Beschleunigung, Gierwinkel, Lenkwinkel usw. mittels entsprechender, dem Fahrzeug zugeordneten Sensorik, also Fahrzeugzustandserfassungsmitteln, ist dem Fachmann bekannt. Die Umfeldparameter und die Fahrzeugzustandsparameter stehen prinzipiell jedem Fahrzeugsystem, also auch den Fahrerassistenzsystemen, als Eingangsparameter zur Verfügung. Diese können beispielsweise über ein Datenbussystem im Fahrzeug an die Fahrzeugsysteme verteilt bzw. von ihnen abgegriffen werden.
Die Ermittlung der Fahrzeugführungsbefehle selbst, also die algorithmische oder heuristische Verknüpfung sämtlicher relevanter Eingangsparameter, die Ableitung notwendiger Reaktionen und die Ermittlung der Fahrzeugführungsbefehle zur Umsetzung der notwendigen Reaktionen, ist Bestandteil des jeweiligen Fahrerassistenzsystems und wird im Weiteren nur insofern betrachtet, wie dies für das Verfahren zur Überwachung des Fahrerassistenzsystems notwendig ist.
Das erfindungsgemäße Verfahren zur Überwachung des wenigstens einen Fahrerassistenzsystems führt drei voneinander unabhängige Überwachungsschritte durch, nämlich einen Plausibilitätstest, einen Unfalltest und einen Funktionsfähigkeitstest. Jeder Test überwacht eine unterschiedliche Perspektive des Fahrerassistenzsystems. Das Wort Test ist dabei synonym zu dem Wort Überwachung zu verstehen. Das Überwachen und das Testen der Funktionalität bedeutet also im Rahmen vorliegender Offenbarung das gleiche.
Der Plausibilitätstest überwacht die Plausibilität des wenigstens einen Fahrzeugführungsbefehls durch Vergleich mit einem vorgegebenen plausiblen situationsabhängigen Grenzwert. Bei nicht vorhandener Plausibilität wird der wenigstens eine Fahrzeugführungsbefehl durch wenigstens einen mittels eines plausiblen Sollwerts gebildeten angepassten Fahrzeugführungsbefehl ersetzt oder der wenigstens eine Fahrzeugführungsbefehl wird an nicht an dem Fahrzeug zugeordnete Aktuatoren übertragen. Der Plausibilitätstest überwacht die Funktion des Fahrerassistenzsystems als solches, also die Ergebnisse, die es in Form der Fahrzeugführungsbefehle erzeugt. Die Plausibilität kann, wie im Stand der Technik bekannt ist, anhand definierter Fehlerfälle überprüft werden. Alternativ oder zusätzlich kann die Plausibilität anhand von Tabellen, Kennfeldern, funktionalen Zusammenhängen, Look-up-Tabellen oder ähnlichem überprüft werden. Dazu können die Fahrzeugführungsbefehle mit vorgegebenen Grenzwerten in Abhängigkeit von Fahrzeugzustandsparametern, also situationsabhängig, sehr einfach verglichen werden. Liegen diese außerhalb eines definierten Intervalls, werden die Fahrzeugführungsbefehle als nicht plausibel eingestuft. Vorteilhafterweise können damit zusätzlich die Funktionsgrenzen des Fahrerassistenzsystems überwacht werden, da für Fahrzeugzustandsparameter außerhalb der Funktionsgrenzen (z. B. maximale Geschwindigkeit für Stauassistent) keine Werte zum Vergleichen vorgegeben sind und der Plausibilitätstest zwangsläufig negativ ausfällt. Im Falle der Nichtplausibilität wird der wenigstens eine Fahrzeugführungsbefehl entweder durch den mindestens einen angepassten Fahrzeugführungsbefehl ersetzt, der mittels eines plausiblen Sollwerts gebildet wurde, oder der wenigstens eine Fahrzeugführungsbefehl wird nicht an die entsprechenden Aktoren weitergeleitet. Selbstverständlich kann auch beides erfolgen. Die Bildung des angepassten Fahrzeugführungsbefehls mittels des plausiblen Sollwertes kann derart erfolgen, dass fest vorgegebene Standard-Sollwerte verwendet werden oder eine Grenze eines definierten Intervalls als angepasster Sollwert verwendet wird. Es kann eine Rückmeldung an das Fahrerassistenzsystem erfolgen, welches daraufhin einen neuen Fahrzeugführungsbefehl bestimmt oder den wenigsten einen Fahrzeugführungsbefehl deaktiviert. Im Falle der Deaktivierung des Fahrerassistenzsystems kann ein Hinweis, eine Warnung und/oder eine Fahrerübernahmeaufforderung ausgegeben werden. Erfolgt keine Fahrerübernahme, kann das Fahrzeug in einen sicheren Zustand überführt werden. Die Überführung in den sicheren Zustand kann die Aktivierung eines weiteren Fahrerassistenzsystems auslösen, welches das Fahrzeug entsprechend einer vorgegeben Route weiterfährt oder in den Stillstand verbringt. In letzterem Fall kann, wie im Stand der Technik bekannt, eine Warnung an den Fahrer und an weitere Verkehrsteilnehmer erfolgen, beispielsweise per Car-to-Car-Kommunikation oder durch Aktivieren einer optischen und/oder akustischen Warneinheit, wie Warnblinkanlage und Signalhorn.
Der Unfalltest bewertet bzw. überwacht allgemein die aktuelle Unfallgefahr bzw. Unfallwahrscheinlichkeit und deren zukünftige Entwicklung unter Beachtung der Fahrzeugführungsbefehle. Die Bewertung bzw. Überwachung kann dabei auf unterschiedliche Art und Weise erfolgen. Eine Möglichkeit ist die Überwachung oder Fortschreibung der Fahrzeugtrajektorie. Eine weitere Möglichkeit ist die einfache Bestimmung der Unfallwahrscheinlichkeit auf Basis aktueller Fahrzeugzustandsparameter. Neben diesen näher dargestellten Möglichkeiten ist eine Vielzahl weiterer Möglichkeiten zur Überwachung der Unfallgefahr denkbar.
Der Unfalltest überwacht also einerseits die Auswirkungen des wenigstens einen durch wenigstens einen dem Fahrzeug zugeordneten Aktuator umgesetzten Fahrzeugführungsbefehls durch Abgleich einer durch den wenigstens einen Fahrzeugführungsbefehl hervorgerufenen Änderung einer Eigentrajektorie des Fahrzeugs mit im Umfeld befindlichen Hindernissen hinsichtlich einer Unfallgefahr. Für den Fall, dass die vorhergesagte Unfallgefahr über einem vorgegebenen Schwellenwert liegt, werden Maßnahmen zur Unfallvermeidung oder zur Verringerung der Schwere von Unfällen durch entsprechend korrigierte bzw. ersetzte Fahrzeugführungsbefehle eingeleitet. Die Bezeichnung Unfalltest und Unfallgefahr ist im Rahmen vorliegender Offenbarung im weiteren Sinne zu verstehen. Ein Unfall kann eine Kollision mit anderen Verkehrsteilnehmern, wie weiteren Fahrzeugen oder Personen, aber auch mit Infrastrukturelementen darstellen. Des Weiteren wird auch ein Verlassen der Fahrbahn als Unfall klassifiziert. Allgemein gesagt ist ein Unfall eine Situation, in der das Fahrzeug Sach- und/oder Personenschäden hervorruft.
Die Überwachung der Auswirkung des Fahrzeugführungsbefehles, also der Auswirkung der den Fahrzeugführungsbefehl umsetzenden Aktoren, die eine veränderte Eigentrajektorie bewirken, erfolgt durch Abgleich der veränderten Eigentrajektorie mit Hindernissen im Umfeld des Fahrzeugs. Üblicherweise wird dies durch die Prädiktion von Fahrschläuchen des Fahrzeugs und weiterer Verkehrsteilnehmer und anschließender Überschneidung der Fahrschläuche erreicht. Das weitere Fahrzeug ist in dem Fall ein sich bewegendes Hindernis. Unbewegliche Hindernisse werden analog bestimmt. Die Überwachung der Auswirkung der Aktoren findet vorzugsweise permanent statt, also auch dann, wenn kein Fahrerassistenzsystem aktiv ist, und funktioniert diesbezüglich ähnlich des Elektronischen Stabilitätsprogramms. Das heißt, es wird unabhängig von weiteren Fahrzeugsystemen regelmäßig die Trajektorie des Fahrzeugs bestimmt und in Relation eines Modells der Umwelt, welches Trajektorien weiterer Objekte im Umfeld und Orte von Infrastrukturelementen bzw. Infrastrukturbegrenzungen beinhaltet, vorhergesagt, ob eine Unfallgefahr besteht. Mit anderen Worten wird die Auswirkung des wenigstens einen durch wenigstens einen dem Fahrzeug zugeordneten Aktuator (6) umgesetzten Fahrzeugführungsbefehls durch Abgleich einer durch den wenigstens einen Fahrzeugführungsbefehl hervorgerufenen relativen Änderung einer Eigentrajektorie des Fahrzeugs in Relation zu im Umfeld befindlichen Hindernissen hinsichtlich einer Unfallgefahr überwacht. Der Begriff der Eigentrajektorie ist dabei nicht im Sinne einer spezifischen technischen Umsetzung zu verstehen. Er beschreibt vielmehr die weitere Bewegung des Fahrzeugs in Raum und Zeit, unabhängig von einer Berechnungs- oder Prognosemethode oder der Art der mathematischen bzw. geometrischen Darstellung. Somit weist auch ein stehendes Fahrzeug eine Eigentrajektorie auf, bei der sich lediglich räumliche Koordinaten und zeitliche Fahrzeugzustandsparameter, wie Geschwindigkeit und Beschleunigung, nicht ändern. Da die Unfallgefahr beispielsweise als eine Unfallwahrscheinlichkeit bestimmt wird, kann durch einen einfachen Vergleich mit einem Schwellenwert, der dann eine Wahrscheinlichkeitsschwelle ist, entschieden werden, ob die Unfallgefahr groß genug ist, um Maßnahmen einzuleiten. Alternativ kann auch ein Erwartungswert des Unfalls als Unfallgefahr vorhergesagt werden, der die Unfallwahrscheinlichkeit mit dem zu erwartenden Schaden darstellt. Schließlich kann auch eine Kritikalität der jeweiligen Situation bestimmt und das Einleiten von Maßnahmen anhand einer oder mehrerer Kritikalitätsschwellen veranlasst werden.
Der Unfalltest überwacht entsprechend andererseits die Auswirkungen des wenigstens einen durch den wenigstens einen dem Fahrzeug zugeordneten Aktuator umgesetzten Fahrzeugführungsbefehls durch Abgleich einer durch den wenigstens einen Fahrzeugführungsbefehl hervorgerufenen Änderung der Fahrzeugzustandsparameter mit einer in Abhängigkeit der Fahrzeugzustandsparameter berechneten Unfallgefahr. Dies kann alternativ oder zusätzlich zur ersten Möglichkeit (Trajektorienüberwachung) erfolgen. Eine Möglichkeit der Berechnung einer Unfallgefahr (Kollisionswahrscheinlichkeit) in Abhängigkeit der Fahrzeugzustandsparameter (Bewegungs- und Lageparameter) wird in dem nicht vorveröffentlichten Dokument DE 10 2014 008 413.2 beschrieben, dessen Inhalt hiermit explizit in die Offenbarung der vorliegenden Anmeldung einbezogen wird.
Im Stand der Technik sind weiterhin Maßnahmen bekannt, die zu einer Vermeidung von Unfällen oder zu einer Verringerung der Schwere von Unfällen beitragen. Es ist ebenfalls bekannt, diese zu staffeln, also je nach Situation und Kritikalität bzw. Unfallgefahr zu eskalieren. Üblicherweise werden in derartigen Situationen zuerst die Bremsen durch Anlegen eines Bremsdruckes, der noch keine signifikante Bremswirkung hervorruft, in Betriebsposition gebracht. Dies verkürzt die Totzeit zwischen dem Befehl zur Bremsung und der Ausführung. Weitere Maßnahmen sind kurzzeitige Bremsungen, sogenannte Bremsrucke, um den Fahrer zu warnen und ähnliches. Schließlich ist das Überführen in einen sicheren Zustand, beispielsweise durch starkes Bremsen und/oder Ausweichen, Maßnahme einer der höchsten Kritikalitätsstufen. Der Fachmann findet im Stand der Technik ausreichend Anregung, die Maßnahmen zur Unfallvermeidung oder Verringerung der Schwere des Unfalls im Rahmen der vorliegenden Erfindung auszuwählen.
Der Funktionstest überwacht die Funktionsfähigkeit von bei der Ermittlung des wenigstens einen Fahrzeugführungsbefehles beteiligten Fahrzeugkomponenten. Beteiligte Fahrzeugkomponenten sind neben den Erfassungsmitteln für Umfeld- und Fahrzeugzustandsparameter auch beteiligte Recheneinheiten von Steuergeräten und Algorithmen des Fahrerassistenzsystems selbst. Bei nicht vorhandener Funktionsfähigkeit einer der Fahrzeugkomponenten wird deren Funktion durch eine weitere Fahrzeugkomponente ersetzt, also praktisch substituiert, oder deaktiviert. Selbstverständlich kann auch beides erfolgen. Das Ersetzen der Fahrzeugkomponenten kann nur erfolgen, falls eine adäquate Ersatzkomponente vorhanden ist. Es können auch Fahrzeugkomponenten emuliert bzw. simuliert werden, indem die Eingangsparameter der nicht funktionsfähigen Fahrzeugkomponente aus Daten anderer Fahrzeugkomponenten ermittelt werden. So kann ein Radargerät als nicht funktionsfähig eingestuft werden und die Entfernung zu einem vor dem Fahrzeug befindlichen Objekt über eine Stereokamera ermittelt werden oder ein defektes Modul eines Steuergerätes durch ein redundantes oder ähnliches Modul ersetzt werden. Dem Fahrerassistenzsystem werden somit weiterhin Entfernungsparameter geliefert bzw. können von diesem weiterhin verarbeitet werden. Im Falle der Deaktivierung der nicht funktionsfähigen Fahrzeugkomponente, kann ein Hinweis, eine Warnung und/oder, wenn notwendig, eine Fahrerübernahmeaufforderung ausgegeben werden. Erfolgt keine Fahrerübernahme, kann das Fahrzeug in einen sicheren Zustand überführt werden. Die Überführung in den sicheren Zustand kann die Aktivierung eines weiteren Fahrerassistenzsystems auslösen, welches das Fahrzeug entsprechend einer vorgegebenen Route weiterfährt oder in den Stillstand verbringt. In letzterem Fall kann, wie im Stand der Technik bekannt, eine Warnung an den Fahrer und an weitere Verkehrsteilnehmer erfolgen, beispielsweise per Car-to-Car-Kommunikation oder durch Aktivieren optischer und/oder akustischer Warneinheiten, wie Warnblinkanlage und Signalhorn.
Die Überwachungsschritte werden permanent durchgeführt. Somit wird eine Überwachungsebene, bestehend aus drei Schichten, gebildet, die aktive Fahrerassistenzsysteme permanent überwachen. Das Überwachungsverfahren kann auf demselben Steuergerät durchgeführt werden, auf dem das Fahrerassistenzsystem durchgeführt wird, oder auf einem davon verschiedenen Steuergerät. Auch können dieselben oder andere Prozessoren an der Berechnung der Überwachung und der Fahrzeugführungsbefehle beteiligt sein. Die einzelnen Schichten können unterschiedlich priorisiert werden. So macht ein bestandener Plausibilitätstest einen Funktionstest nicht überflüssig, weil die Aussagekraft des Plausibilitätstests entsprechend gering sein kann, wenn dessen Aussagen auf fehlerhaften Fahrzeugzustandsparametern basieren. Wird eine Unfallgefahr erkannt, ist die Plausibilitätsprüfung hingegen nicht relevant. Daher wird die Überwachungsebene in unterschiedlichen Schichten organsiert, die nicht nacheinander sondern permanent ablaufen. Zur Freigabe einer Aktion ist jedoch prinzipiell die Zustimmung aller drei Schichten erforderlich.
Der Vorteil dieses Vorgehens ist die Bereitstellung der Überwachungs- und Rückfallebene, die durch die drei voneinander unabhängigen Schichten sämtliche Fehlerquellen von Fahrerassistenzsystemen ursachenspezifisch erkennen und eliminieren. Diese Überwachungsebene kann systematisch entsprechend den Anforderungen funktionaler Sicherheit entwickelt und getestet werden. Besonders vorteilhaft ist dabei eine parametrisierte Gestaltung zur Anpassung der Überwachungsebene an mehrere Fahrzeugtypen. Damit können der relativ große Aufwand und die daraus resultierenden Kosten auf eine Vielzahl von Fahrzeugen verteilt werden. Die einzelnen angewandten Fahrerassistenzsysteme können heuristisch entwickelt oder antrainiert sein, da eventuelle Systemfehler, wie fehlerhafte Algorithmen, nicht definierte Fahrzustände oder widersprüchliche Wechselwirkungen mit Fahrzeugführungsbefehlen weiterer Fahrerassistenzsysteme, keine gefährdungsrelevanten Auswirkungen auf das Fahrzeug und dessen Umfeld haben. Es bedarf keiner umfassenden Tests der Fahrerassistenzsysteme selbst und diese müssen ihre eigenen Grenzen nicht kennen, was wiederum den Implementierungsaufwand Fahrerassistenzsystem-eigener Plausibilitätswerttabellen verringert bzw. entfallen lässt. Diese Tatsache ist auch deshalb besonders vorteilhaft, weil ein Fahrerassistenzsystem die Plausibilitätswerte nicht für jede Plattform, also nicht für jeden Fahrzeugtyp, kennen kann. Dafür hätte es auf jeder Plattform ausgiebig getestet werden müssen. Mit zukünftig fortschreitender Standardisierung der Schnittstellen von Sensordaten, Aktorstelleingriffen und Fahrerassistenzsystemen kann die vorliegende Erfindung dazu beitragen, Fahrerassistenzsysteme plattformunabhängig zu entwickeln und einzusetzen.
Die Erfindung schafft eine permanente Rückfallebene, die auf das gesamte Fahrzeug wirkt und nicht nur auf einzelne Fahrerassistenzsysteme. Weiterhin von Vorteil ist, dass Fahrerassistenzsysteme auf einfache und vor allem sichere Art und Weise getestet werden können, beispielsweise in der Entwicklungsphase von Fahrerassistenzsystemen. Schließlich ist ein großer Vorteil, dass die Fahrerassistenzsysteme nachgerüstet werden können. Dies erfolgt am einfachsten durch ein Software-Update des oder der betroffenen Steuergeräte. Dies kann ebenso von dritten vorgenommen werden, ohne die Sicherheit des Fahrzeugs oder der Umwelt zu gefährden.
In einer vorteilhaften Ausgestaltung der Erfindung werden bei nicht vorhandener Funktionsfähigkeit einer der Fahrzeugkomponenten sämtliche auf diese Fahrzeugkomponente zugreifenden weiteren Fahrzeugkomponenten deaktiviert. Dies hat den Vorteil, dass andere Fahrzeugkomponenten keine Entscheidungen oder Befehle durchführen, die auf falschen Sensorsignalen oder falschen Berechnungen basieren würden. Damit werden zukünftige falsche Entscheidungen oder Befehle verhindert und entsprechend notwendige Kapazitäten, beispielsweise Rechenleistung, gespart.
In einer weiteren vorteilhaften Ausgestaltung des erfindungsgemäßen Verfahrens wird bei nicht vorhandener Funktionsfähigkeit einer der Fahrzeugkomponenten und bei Ersetzen der Funktion der nicht funktionsfähigen Fahrzeugkomponente durch eine weitere Fahrzeugkomponente dieser ein Vertrauenswert kleiner als 100% zugewiesen. Vorteilhafterweise wird dadurch noch weiteren Fahrzeugkomponenten und zukünftigen Überwachungstests auf sehr einfache Art und Weise mitgeteilt, dass eine weniger genaue Komponente einen Zustand erfasst, überwacht und/oder Maßnahmen zur Sicherheitserhöhung umsetzt. Die noch weiteren Fahrzeugkomponenten und zukünftigen Überwachungstests können anhand des Vertrauenswertes Sicherheitszuschläge bestimmen. Dies erhöht die Sicherheit des Gesamtsystems.
In einer weiteren vorteilhaften Ausgestaltung des erfindungsgemäßen Verfahrens erfolgt bei nicht vorhandener Plausibilität des wenigstens einen Fahrzeugführungsbefehls eine Rückmeldung an das Fahrerassistenzsystem. Dadurch wird dem Fahrerassistenzsystem je nach dessen Ausgestaltung die Möglichkeit gegeben, den Fahrzeugführungsbefehl erneut zu bilden. Im Übrigen wird das Fahrerassistenzsystem nicht deaktiviert, da durch die erfindungsgemäß vorteilhafte Ausgestaltung der permanenten Rückfallebene aus den drei Schichten nicht plausible Fahrzeugführungsbefehle nicht wirksam werden können. Damit können situativ bedingte Ausfälle des Fahrerassistenzsystems abgesichert und die korrekte Funktionsweise in anderen Situationen zugelassen werden.
Die Aufgabe vorliegender Erfindung wird ebenfalls durch eine Überwachungsvorrichtung zur Überwachung wenigstens eines zur teilweisen oder vollständigen Fahrzeugführung ausgebildeten Fahrerassistenzsystems gelöst. Dem Fahrzeug sind dabei Umfelderfassungsmittel zum Erfassen von Umfeldparametern, Fahrzeugzustandserfassungsmittel zum Erfassen von Fahrzeugzustandsparametern und eine Einheit zum Berechnen von wenigstens einem Fahrzeugführungsbefehl in Abhängigkeit der Umfeldparameter und der Fahrzeugzustandsparameter zugeordnet. Die Einheit zum Berechnen von wenigstens einem Fahrzeugführungsbefehl ist ein Steuergerät oder ein Teil eines Steuergerätes, das die Funktionen ermittelt, die das Fahrerassistenzsystem erfüllen soll. Sie ist somit der hardwareseitige Teil des Fahrerassistenzsystems. Die Überwachungsvorrichtung des wenigstens einen Fahrerassistenzsystems umfasst Eingänge zum Empfangen der Umfeldparameter, der Fahrzeugzustandsparameter und des wenigstens einen Fahrzeugführungsbefehls. Die Überwachungsvorrichtung ist vorzugsweise als ein Steuergerät ausgebildet, welches an ein fahrzeuginternes Steuer- und Informationsübermittlungs-Datennetz, z. B. ein CAN-Bus, angeschlossen ist. Auf dem Bussystem werden Nachrichten an sämtliche im Fahrzeug befindlichen Komponenten verteilt. Durch den Anschluss der Überwachungsvorrichtung an den CAN-Bus sind somit Eingänge vorhanden, um die Umfeldparameter, die Fahrzeugzustandsparameter und die Fahrzeugführungsbefehle zu empfangen, weil die Umfelderfassungsmittel, die Fahrzeugzustandserfassungsmittel und die Einheit zum Berechnen des wenigstens einen Fahrzeugführungsbefehls ebenfalls an das Bussystem angeschlossen sind.
Die Überwachungsvorrichtung weist weiterhin ein Plausibilitätsmodul zum Testen der Plausibilität des wenigstens einen Fahrzeugführungsbefehls und zum Ausgeben eines Plausibilitätssignals auf. Das Plausibilitätsmodul ist Teil eines vorhandenen Steuergeräts, kann aber auch ein eigenständiges Steuergerät darstellen und ist ausgebildet zum Vergleich des wenigstens einen Fahrzeugführungsbefehls mit einem vorgegebenen plausiblen situationsabhängigen Grenzwert. Das Plausibilitätsmodul kann anhand von in einem flüchtigen oder festen Speichersystem hinterlegten Algorithmen die von der Einheit zum Berechnen des wenigstens einen Fahrzeugführungsbefehls empfangenen Fahrzeugführungsbefehle auf deren Plausibilität testen. Dazu können dem Plausibilitätsmodul weitere flüchtige oder nichtflüchtige Speicher zugeordnet sein, die Tabellen, Kennfelder, funktionale Zusammenhänge, Look-up-Tabellen oder ähnliches enthalten, anhand derer die Fahrzeugführungsbefehle durch Vergleich auf Plausibilität geprüft werden. Das Plausibilitätsmodul gibt ein Plausibilitätssignal aus. Dieses steht der Überwachungsvorrichtung zur Verfügung, da das Plausibilitätsmodul Teil dieser Überwachungsvorrichtung ist.
Als weiteres weist die Überwachungsvorrichtung ein Unfallgefahrüberwachungsmodul zum Überwachen der Unfallgefahr des Fahrzeugs und zum Ausgeben eines Unfallsignals auf. Das Unfallgefahrüberwachungsmodul ist Teil eines vorhandenen Steuergeräts, kann aber auch ein eigenständiges Steuergerät darstellen und ist ausgebildet zum Abgleich einer durch den wenigstens einen Fahrzeugführungsbefehl hervorgerufenen Änderung einer Eigentrajektorie des Fahrzeugs mit im Umfeld befindlichen Hindernissen. Das Unfallgefahrüberwachungsmodul kann anhand der Fahrzeugzustandsparameter und der Umfeldparameter zu jedem Zeitpunkt eine Unfallwahrscheinlichkeit für einen bevorstehenden Unfall vorhersagen. Diese vorhergesagte Unfallwahrscheinlichkeit kann mit einem Schwellenwert verglichen werden, der in dem Unfallgefahrüberwachungsmodul selbst oder in einem dem Unfallgefahrüberwachungsmodul zugeordneten flüchtigen oder nichtflüchtigen Speicher hinterlegt ist. Als Ergebnis dieses Vergleichs wird von dem Unfallgefahrüberwachungsmodul ein Unfallsignal ausgegeben, welches der Überwachungsvorrichtung zur Verfügung steht, da das Unfallgefahrüberwachungsmodul ein Teil der Überwachungsvorrichtung ist.
Als weiteres weist die Überwachungsvorrichtung ein Funktionsüberwachungsmodul zum Überwachen der Funktionalität von Fahrzeugkomponenten und zum Ausgeben eines Funktionssignals auf. Das Funktionsüberwachungsmodul ist Teil eines vorhandenen Steuergeräts, kann aber auch ein eigenständiges Steuergerät darstellen. Das Funktionsüberwachungsmodul kann anhand von in einem flüchtigen oder nichtflüchtigen Speichersystem hinterlegten Algorithmen die Funktionalität, also die Funktionsfähigkeit der dem Fahrzeug zugeordneten Fahrzeugkomponenten überwachen. Als Fahrzeugkomponenten werden neben der Überwachungsvorrichtung und deren Teile auch die Einheit zum Berechnen des wenigstens einen Fahrzeugführungsbefehls, das fahrzeuginterne Steuer- und Informationsübermittlungs-Datennetz, Aktuatoren zum Umsetzen der Fahrzeugführungsbefehle sowie die Umfelderfassungsmittel und die Fahrzeugzustandserfassungsmittel überwacht. Diese Überwachung ist dabei auf die gegebene hardwareseitige Funktionalität der Fahrzeugkomponenten bezogen und umfasst ebenfalls an die Fahrzeugkomponenten angeschlossene weitere Einheiten, beispielsweise flüchtige und nichtflüchtige Speicher. Im Ergebnis der Überwachung der Fahrzeugkomponenten durch das Funktionsüberwachungsmodul wird ein Funktionssignal zu jeder überwachten Fahrzeugkomponente ausgegeben. Dies steht ebenfalls der Überwachungsvorrichtung zur Verfügung, da das Funktionsüberwachungsmodul ein Teil der Überwachungsvorrichtung ist.
Die Überwachungsvorrichtung weist weiterhin ein Fahrzeugführungsbefehlanpassungsmodul zum Anpassen des wenigstens einen Fahrzeugführungsbefehls in Abhängigkeit des Plausibilitätssignals und/oder des Unfallsignals und/oder des Funktionssignals und zum Ausgeben wenigstens eines angepassten Fahrzeugführungsbefehls auf. Das Fahrzeugführungsbefehlanpassungsmodul ist Teil eines vorhandenen Steuergeräts, kann aber auch ein eigenständiges Steuergerät darstellen. Das Fahrzeugführungsbefehlanpassungsmodul bewertet anhand des Plausibilitätssignals und/oder des Funktionssignals und/oder des Unfallsignals die Notwendigkeit zur Anpassung des Fahrzeugführungsbefehls vorzugsweise in mehreren Stufen. Jeder Notwendigkeitsstufe kann ein Aktionsplan zugeordnet sein, der auf einem dem Fahrzeugführungsbefehlanpassungsmodul zugeordneten flüchtigen oder nichtflüchtigen Speicher abgelegt sein kann. Ein Aktionsplan besteht aus einem oder mehreren fest oder variabel, also in Abhängigkeit der Umfeldparameter und/oder Fahrzeugzustandsparameter, vorgegebenen Fahrzeugführungsbefehlen. Jeder Aktionsplan ruft einen unterschiedlich stark ausgeprägten Eingriff in die Fahrzeugsteuerung hervor. Weitere Details finden sich im Ausführungsbeispiel. Bei entsprechender Notwendigkeit wird von dem Fahrzeugführungsbefehlanpassungsmodul wenigstens ein angepasster Fahrzeugführungsbefehl ausgegeben, welcher der Überwachungsvorrichtung zur Verfügung steht, da das Fahrzeugführungsbefehlanpassungsmodul ein Teil der Überwachungsvorrichtung ist.
Schließlich weist die Überwachungsvorrichtung noch Ausgänge zum Übertragen des wenigstens einen Fahrzeugführungsbefehls und/oder des wenigstens einen angepassten Fahrzeugführungsbefehls an Aktuatoren des Fahrzeugs auf. Die Aktuatoren dienen dazu, die Bewegung des Fahrzeugs zu beeinflussen, also die Längs- und/oder Querführung. Beispielhafte Aktoren sind die Bremsen, der Antrieb und die Lenkung.
Vorteilhafterweise kann mithilfe der Überwachungsvorrichtung eine Architektur geschaffen werden, die es ermöglicht, sämtliche mögliche Fehlerursachen eines Fahrerassistenzsystems ursachenspezifisch zu erkennen und zu eliminieren. Dadurch ist es möglich, Fahrerassistenzsysteme zu betreiben, deren Einsatz in Fahrzeugen ohne die erfindungsgemäße Überwachungsvorrichtung zu Sicherheitsbedenken führen würde, weil die Rückfallebene durch die Überwachungsvorrichtung unabhängig von dem verwendeten bzw. aktiven Fahrerassistenzsystem vorhanden ist. Schließlich besteht ein weiterer großer Vorteil darin, dass die Überwachungsvorrichtung neben der Überwachung von Fahrerassistenzsystemen auch die permanente Überwachung von Fahrzeugkomponenten und von vom Fahrer des Fahrzeugs vorgegebenen Fahrzeugführungsbefehlen ermöglicht und bei erkannten Funktionsfehlern oder einer Unfallgefahr die entsprechenden Aktionspläne ausführt.
Ausführungsbeispiel
Weitere Merkmale, Anwendungsmöglichkeiten und Vorteile der Erfindung ergeben sich aus der nachfolgenden Beschreibung von Ausführungsbeispielen der Erfindung, die schematisch in der Figur dargestellt sind. Dabei bilden alle beschriebenen oder dargestellten Merkmale für sich oder in beliebiger Kombination den Gegenstand der Erfindung, unabhängig von ihrer Zusammenfassung in den Patentansprüchen oder deren Rückbeziehung sowie unabhängig von ihrer Formulierung bzw. Darstellung in der Beschreibung bzw. in der Zeichnung.
1 zeigt eine schematische Darstellung der Rückfallebene mit den einzelnen Schichten. Anhand dieser schematischen Darstellung wird die erfindungsgemäße Lösung der Aufgabe, Fahrerassistenzsysteme zu überwachen und abzusichern, unter Zuhilfenahme mehrere Szenarien einer innerstädtischen Fahrt eines Kraftfahrzeugs erläutert, welches mit dem erfindungsgemäßen Überwachungssystem ausgestattet ist.
Das Kraftfahrzeug weist ein Navigationssystem auf, welches auf ein globales Positionierungssystem und eine digitale Karte zugreift, die auf einem dem Kraftfahrzeug zugeordneten Speicher oder in einer Zentrale hinterlegt ist, wobei das Navigationssystem im letzteren Fall über eine Datenfernübertragungsverbindung auf die Daten der digitalen Karte zugreift. Auch wenn das Navigationssystem keine Routenführung durchführt, werden die Eigenschaften der aktuell befahrenen Strecke aus der digitalen Karte ausgelesen. Dazu zählen die Kategorie der Straße, hier innerorts, die Fahrbahnkrümmung, die Fahrbahnsteigung, die gültigen Verkehrsregeln, wie Geschwindigkeitsbegrenzungen oder Vorfahrtsregeln, sowie die Anordnung von Infrastrukturelementen, wie Ampeln. Neben dem Navigationssystem weist das Kraftfahrzeug eine Kommunikationsschnittstelle zur Kommunikation mit anderen Verkehrsteilnehmern und Infrastrukturelementen auf (Car-to-X-Kommunikation). Weiterhin ist das Kraftfahrzeug mit einer oder mehreren Radaranlagen, wenigstens einer Kamera, Ultraschallsensoren und weiteren herkömmlichen Umfelderfassungsmitteln ausgestattet. Diese erfassen teils redundant das Fahrzeugumfeld. Dies ermöglicht eine Plausibilisierung der Umfelddaten, auf die später eingegangen wird.
Das Kraftfahrzeug weist selbstverständlich auch Fahrzeugzustandserfassungsmittel, wie Raddrehzahlsensoren, Beschleunigungssensoren für Längs-, Quer- und Gierbeschleunigungen, sowie Erfassungsmittel zum Ermitteln des Funktionszustands einzelner Fahrzeugkomponenten, beispielsweise der Kraftfahrzeugtüren, der Scheinwerfer, der Fahrtrichtungsanzeiger oder der Fahrerwunscherfassungsmittel Gas- und Bremspedal sowie weitere zum Betrieb des Kraftfahrzeug notwendige und hinlänglich bekannte Sensoren auf.
Sowohl die Umfeld- als auch die Fahrzeugzustandserfassungsmittel (1) stellen ihre Daten, nämlich die Umfeld- und Fahrzeugzustandsparameter (11) über einen Datenbus, vorzugsweise über einen CAN-Datenbus, sämtlichen Komponenten des Fahrzeugs zur Verfügung. Diese, im weiteren Verlauf Sensordaten (11), genannten Daten können nominalskalierte Zustandsdaten, wie ein- oder ausgeschaltete, oder kardinalskalierte Messwerte, wie konkrete Drehzahlen, sein.
Anhand der oben aufgestellten Definition eines Fahrerassistenzsystems, die auf die zu erfüllende Funktion des Fahrerassistenzsystems abzielt, erkennt der Fachmann, dass es nicht (mehr) zielführend ist, ein Fahrerassistenzsystem als abgeschlossenes System zu betrachten. Diese Sichtweise, welche sich aus der Entwicklungsgeschichte von Fahrerassistenzsystemen begründen lässt, ist veraltet. Wurden früher einzelne Sensoren, z. B. Radaranlagen, für genau ein Fahrerassistenzsystem, z. B. Abstandsregeltempomat, entwickelt und abgestimmt, steht mehr und mehr die Sensordatenfusion im Fokus der Entwicklung. Das erfindungsgemäße Überwachungssystem ermöglicht konsequent die gesamtheitliche, funktionsorientierte Überwachung. Dies bedeutet, dass im einfachsten Fall die Funktion „Fahren” überwacht wird, unabhängig davon, ob ein Fahrer sämtliche Fahrzeugführungsbefehle vorgibt oder ob ein Fahrerassistenzsystem das Kraftfahrzeug hochautonom selbsttätig führt.
Fährt das Kraftfahrzeug nun auf einer innerstädtischen Straße, die in eine Kurve übergeht, soll beispielsweise die Funktion eines Spurhalteassistenten ausgeführt werden. Diese Funktion kann durch einen Funktionsalgorithmus (2) umgesetzt werden. Dieser empfängt die Sensordaten (11), die von einem Erfassungsmittel (1) erfasst und über den Datenbus ausgesendet werden. Der Funktionsalgorithmus (2) ermittelt nun den genauen Verlauf der Fahrbahn anhand der von einer Kamera aufgezeichneten Bilder. Diese Ermittlung kann durch eine Vielzahl verschiedener Rahmenbedingungen und Zielvorgaben höchst unterschiedlich erfolgen. So kann eine möglichst ökonomische oder eine möglichst sportliche Kurvendurchfahrt gewollt sein. Im Stand der Technik ist eine Vielzahl möglicher Kurvendurchfahrtsteuerungen bekannt. Je nach Prämisse des Funktionsalgorithmus (2) werden Fahrzeugführungsbefehle (12) erzeugt. Diese bestehen aus einer Längs- und einer Querführungskomponente, im einfachsten Fall aus einem Beschleunigungssignal und einem Lenkwinkel.
Diese Fahrzeugführungsbefehle (12) werden einer Plausibilitätsüberwachung zugeführt. Das Plausibilitätsüberwachungsmodul kennt den Kurvenradius der Kurve und die Geschwindigkeitsbegrenzung aus der digitalen Karte, den Straßenzustand aus dem Signal eines Regensensors oder einer Kommunikationsbotschaft eines anderen Fahrzeugs, sowie die Eigengeschwindigkeit des Kraftfahrzeugs. Aus diesen Sensordaten (11) ermittelt das Plausibilitätsmodul, ob die Kurvendurchfahrt mit den von dem Funktionsalgorithmus (2) vorgegebenen Fahrzeugführungsbefehlen (12) möglich bzw. plausibel ist. Eine derartige Ermittlung kann relativ einfach anhand des Kurvenradius, der aktuellen Geschwindigkeit sowie einer Abschätzung von den Reibbeiwert beeinflussenden Bedingungen erfolgen. Dabei werden plausible Fahrzeugführungsbefehle ermittelt, die unter den gegebenen Umständen angemessen sind. Weichen die so ermittelten plausiblen Fahrzeugführungsbefehle um einen vorbestimmten Betrag von den vom Funktionsalgorithmus ermittelten Fahrzeugführungsbefehlen (12) ab, werden diese durch die vom Plausibilitätsüberwachungsmodul ermittelten plausiblen Fahrzeugführungsbefehle ersetzt. Dabei sei darauf hingewiesen, dass die Abweichung als ein- oder zweiseitiges Intervall definiert sein kann. Bei einer Kurvenfahrt wäre ein zu hoher Lenkwinkel genauso unplausibel wie ein zu niedriger. Werden die Fahrzeugführungsbefehle (12) durch die plausiblen Fahrzeugführungsbefehle ersetzt, sind diese die von da an gültigen und an die Aktoren weiterzugebenen Fahrzeugführungsbefehle (13). Werden die Fahrzeugführungsbefehle (12) nicht durch die plausiblen Fahrzeugführungsbefehle ersetzt, sind die von dem Funktionsalgorithmus (2) ermittelten Fahrzeugführungsbefehle (12) die von da an gültigen und an die Aktoren weiterzugebenen Fahrzeugführungsbefehle (13).
Alternativ kann bei nicht plausiblen Fahrzeugführungsbefehlen (12) auf deren Ersetzen verzichtet werden. In diesem Fall wird nur die Weitergabe dieser Fahrzeugführungsbefehle verhindert. Es kann eine Meldung an den Fahrzeugführer erfolgen und/oder das Fahrzeug in einen sicheren Zustand versetzt werden, was später erläutert wird.
Neben der Plausibilitätsüberwachung (3) der vom Funktionsalgorithmus (2) ermittelten Fahrzeugführungsbefehle (12) wird eine Unfallgefahrüberwachung (4) durchgeführt. Diese kann durch eine Vorhersage der Auswirkung der durch einen Aktor (6) ungesetzten Fahrzeugführungsbefehle (12, 13, 14, 15) oder durch eine Bestimmung einer Unfallwahrscheinlichkeit auf Basis einer Analyse der Ist-Situation erfolgen. Wenn sich das Kraftfahrzeug nun im Laufe der Kurvenfahrt einem vorausfahrenden Fahrzeug nähert, so darf das Kraftfahrzeug natürlich nicht auf das vorausfahrende Fahrzeug auffahren. Selbst wenn die von dem Funktionsalgorithmus (2) ermittelten Fahrzeugführungsbefehle (12) zu einer optimalen Kurvendurchfahrt geeignet sind und von der Plausibilitätsüberwachung (3) als plausibel angesehen werden, so muss wenigstens ein Fahrzeugführungsbefehl (12, 13), im oben geschilderten Fall der Annäherung an ein vorausfahrendes Fahrzeug vorzugsweise die Längsführungskomponente, angepasst werden. Die Vorhersage einer Unfallgefahr erfolgt beispielsweise durch Abgleichen der durch die Fahrzeugführungsbefehle (12, 13) hervorgerufenen Trajektorie mit (Relativ-)Trajektorien von beweglichen und nicht beweglichen Objekten im Fahrzeugumfeld. Bei einer Überschneidung dieser Trajektorien oder Fahrschläuche wird ein Maß für die Unfallgefahr bestimmt, vorzugsweise eine Unfallwahrscheinlichkeit. Liegt dieses Maß über einem vorbestimmten Schwellenwert, werden Maßnahmen zur Unfallvermeidung oder zur Verringerung der Schwere des Unfalls eingeleitet. Diese Maßnahmen haben das Ziel, das Fahrzeug in einen sicheren Zustand zu versetzen. Darauf wird, wie bereits angekündigt, weiter unten detailliert eingegangen. Es soll an dieser Stelle darauf hingewiesen werden, dass mit der Einleitung der Maßnahmen zur Unfallvermeidung die Fahrzeugführungsbefehle (12, 13) angepasst oder komplett durch im Vorfeld festgelegte Aktionspläne ersetzt werden, die wiederum Fahrzeugführungsbefehle (14) umfassen.
Schließlich wird eine Funktionsüberwachung (5) sämtlicher bei der Ermittlung der Fahrzeugführungsbefehle (12, 13, 14, 15) beteiligten Fahrzeugkomponenten durchgeführt. Im vorliegenden Beispiel wären die Kameras, das Navigationssystem inklusive des Zugriffs auf die digitale Karte, und die an der Funktionsgenerierung und Überwachung beteiligten Fahrzeugkomponenten einem Funktionstest bzw. einer Funktionsüberwachung (5) zu unterziehen. Die Funktionsalgorithmen (2), Plausibilitätsüberwachungen (3) und Unfallgefahrüberwachungen (4) müssen hinsichtlich funktionsfähiger Hard- und Software geprüft werden. Bei nicht vorhandener Funktionsfähigkeit wird, falls möglich, eine Ersatzkomponente ausgewählt, die die Aufgabe der nicht funktionsfähigen Fahrzeugkomponente übernimmt. Oft sind in Kraftfahrzeugen redundante Komponenten vorgesehen. Mittels Fusion der Sensordaten (11) kann ein geringer Funktionsausfall bei den Erfassungsmitteln (1) kompensiert werden. So kann bei Ausfall einer Kamera eine Fahrspurinformation, vorzugsweise der Fahrbahnverlauf, anhand kombinierter Daten aus der digitalen Karte, dem Positionierungssystem und aus Kommunikationsbotschaften eines Car-to-X-Kommunikationsnetzwerks ermittelt werden, falls keine redundante Kamera vorhanden ist. Diese Datenkombination ist durch die Kombination geeigneter Daten aussagekräftig genug, um eine Plausibilitätsüberwachung (3) durchzuführen. In Verbindung mit einer Radaranlage könnte die Aussagekraft, also das Vertrauensniveau, hoch genug sein, um innerhalb gewisser Grenzen, z. B. einer maximalen Geschwindigkeit von 60 km/h, eine Unfallgefahrüberwachung (4) durchzuführen. Sollte eine Kompensation der Funktion einzelner Fahrzeugkomponenten nicht möglich oder nicht vorgesehen sein, wird die betroffene Fahrzeugkomponente deaktiviert. Dies kann neben verbauten Sensoren (1) und Aktoren (6) auch den Funktionsalgorithmus (2) sowie die Plausibilitätsüberprüfung (3) und Unfallgefahrüberwachung (5) selbst betreffen. Wird eine Fahrzeugkomponente deaktiviert, kann diese hardwareseitig von der Kommunikationsverbindung innerhalb des Fahrzeugdatenbussystems getrennt werden. Alternativ oder zusätzlich kann die Fahrzeugkomponente softwareseitig durch Marker deaktiviert werden. Greifen weitere, an der aktuell umzusetzenden Funktion nicht beteiligte Fahrzeugkomponenten ebenfalls auf die nicht funktionsfähige Fahrzeugkomponente zu, so können diese weiteren Fahrzeugkomponenten teilweise oder ganz deaktiviert werden.
In Abhängigkeit der Schwere der Abweichung der Plausibilitätsprüfung (3), der Unfallgefahrüberwachung (4) und der Funktionsfähigkeitsüberwachung (5) werden die Fahrzeugführungsbefehle (12, 13, 14, 15) angepasst, Fahrzeugkomponenten kompensiert oder deaktiviert und/oder vorgegebene Aktionspläne zur Überführung des Kraftfahrzeugs in einen sicheren Zustand ausgeführt. Jede Abweichung wird entsprechend ihrer Kritikalität in einer Log-Datei abgespeichert und/oder dem Fahrer signalisiert. Im Falle des Einleitens eines Aktionsplans erfolgt eine Warnung an den Fahrer und/oder eine Übernahmeaufforderung. Ist die Situation besonders kritisch, kann entsprechend einem Aktionsplan direkt die Überführung des Kraftfahrzeugs in einen sicheren Zustand eingeleitet werden.
Der sichere Zustand ist abhängig von der Art und der Kritikalität der Abweichung der Plausibilitätsprüfung (3), der Unfallgefahrüberwachung (4) und der Funktionsfähigkeitsüberwachung (5). Bei einer geringen Kritikalität ist der sichere Zustand durch erfolgte Kompensation bzw. Anpassung eines Sensorsignals (11), einer Fahrzeugkomponente oder eines Fahrzeugführungsbefehls (12, 13, 14, 15) erreicht. Bei einer mittleren Kritikalität ist der sichere Zustand durch eine erfolgte Übernahme durch den Fahrer erreicht. Bei hoher Kritikalität wird der sichere Zustand durch automatisches Anhalten des Fahrzeugs außerhalb der Gefahrenzone erzielt. Dafür notwendige Aktionspläne umfassen Fahrzeugführungsbefehle, wie Warnblinker aktivieren, mittels Umfelderfassungsmittel nach einem geeigneten Platz zum Anhalten suchen, das Kraftfahrzeug verzögern und die Lenkung betätigen, um an dem geeigneten Platz zum Stehen zu kommen. Diese Aktionspläne müssen flexibel sein, da ein einfaches Bremsen und nach rechts Lenken unter Umständen die Gefährdung weiter erhöhen können. Daher sind diese Aktionspläne auch Teil des erfindungsgemäßen Überwachungssystems und werden im Gegensatz zu den überwachten Funktionsalgorithmen der Fahrerassistenzsysteme entsprechend den Grundsätzen funktionaler Sicherheit implementiert.
1 zeigt schematisch die Verschachtelung der einzelnen Sicherheits- bzw. Überwachungsschichten (3, 4, 5) um den Funktionsalgorithmus (2), also das Fahrerassistenzsystem. Die Darstellung der Fahrzeugführungsbefehle (12, 13, 14, 15) in Pfeilform schematisiert die Notwendigkeit des Durchlaufens aller drei Sicherheits- bzw. Überwachungsschichten (3, 4, 5). Die Erfindung ist keinesfalls darauf beschränkt, seriell die einzelnen Sicherheits- bzw. Überwachungsschichten (3, 4, 5) zu durchlaufen. Vielmehr erfolgen die einzelnen Überwachungstests unabhängig voneinander. Jede Schicht muss dabei die generierten Fahrzeugführungsbefehle freigeben. Es kann dabei eine Priorisierung der einzelnen Schichten vorgesehen sein, um sicherheitskritische Situationen zu vermeiden. So kann nach einem erkannten Ausfall einer wesentlichen Fahrzeugkomponente das autonome Fahren komplett deaktiviert werden. Damit ist eine Plausibilitätsüberwachung (3) hinfällig. Auch können durch die Plausibilisierungsüberwachung (3) korrigierte Fahrzeugführungsbefehle (13) hinfällig sein, wenn die Unfallgefahrüberwachung (4) eine kritische Situation erkennt und die Längsführungskomponente des Fahrzeugführungsbefehls (12, 13) derart abändert, dass eine Bremse (6) ausgelöst wird. Am Ende können auch alle Fahrzeugführungsbefehle (12, 13, 14, 15) gegenübergestellt werden und der kleinste gemeinsame Nenner, der unkritisch ist, ausgewählt werden.
Bezugszeichenliste

1: Erfassungsmittel
2: Funktionsalgorithmus Fahrerassistenzsystem
3: Plausibilitätsüberwachung
4: Unfallgefahrüberwachung
5: Funktionsfähigkeitsüberwachung
6: Aktuatoren
11: Sensordaten
12–15: Fahrzeugführungsbefehle

ZITATE ENTHALTEN IN DER BESCHREIBUNG
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
Zitierte Patentliteratur

DE 102009050399 A1 [0003]
DE 102010021591 A1 [0004]
DE 10231556 A1 [0005]
EP 0788581 B1 [0006]
DE 102004056027 A1 [0008]
DE 102014008413 [0024]

Claims

Verfahren zur Überwachung wenigstens eines zur teilweisen oder vollständigen Fahrzeugführung ausgebildeten Fahrerassistenzsystems (2), wobei das wenigstens eine Fahrerassistenzsystem (2) wenigstens einen Fahrzeugführungsbefehl (12, 13, 14, 15) in Abhängigkeit von mittels dem Fahrzeug zugeordneten Umfelderfassungsmitteln (1) erfassten Umfeldparametern (11) und/oder in Abhängigkeit von mittels dem Fahrzeug zugeordneten Fahrzeugzustandserfassungsmitteln (1) erfassten Fahrzeugzustandsparametern (11) ermittelt, wobei der wenigstens eine Fahrzeugführungsbefehl (12, 13, 14, 15) aus einem Sollwert für eine Längsführung oder Querführung des Fahrzeugs gebildet ist, wobei – die Plausibilität des wenigstens einen Fahrzeugführungsbefehls (12, 13, 14, 15) durch Vergleich mit einem vorgegebenen plausiblen Grenzwert überwacht und bei nicht vorhandener Plausibilität der wenigstens eine Fahrzeugführungsbefehl (12, 13, 14, 15) durch wenigstens einen mittels eines plausiblen Sollwerts angepassten Fahrzeugführungsbefehl (12, 13, 14, 15) ersetzt und/oder der wenigstens eine Fahrzeugführungsbefehl (12, 13, 14, 15) nicht an dem Fahrzeug zugeordnete Aktuatoren (6) übertragen wird und – die Auswirkung des wenigstens einen durch wenigstens einen dem Fahrzeug zugeordneten Aktuator (6) umgesetzten Fahrzeugführungsbefehls (12, 13, 14, 15) hinsichtlich einer Unfallgefahr überwacht wird und für den Fall, dass die vorhergesagte Unfallgefahr über einem vorgegebenen Schwellenwert liegt, Maßnahmen zur Unfallvermeidung oder zur Verringerung der Schwere des Unfalls eingeleitet werden und – die Funktionsfähigkeit von bei der Ermittlung des wenigstens einen Fahrzeugführungsbefehls (12, 13, 14, 15) beteiligten Fahrzeugkomponenten überwacht und bei nicht vorhandener Funktionsfähigkeit einer der Fahrzeugkomponenten deren Funktion durch eine weitere Fahrzeugkomponente ersetzt und/oder diese Fahrzeugkomponente deaktiviert wird.
Verfahren nach Anspruch 1, wobei die Auswirkung des wenigstens einen durch den wenigstens einen dem Fahrzeug zugeordneten Aktuator (6) umgesetzten Fahrzeugführungsbefehls (12, 13, 14, 15) durch Abgleich einer durch den wenigstens einen Fahrzeugführungsbefehl (12, 13, 14, 15) hervorgerufenen Änderung einer Eigentrajektorie des Fahrzeugs mit im Umfeld befindlichen Hindernissen hinsichtlich einer Unfallgefahr überwacht wird und/oder durch Abgleich einer durch den wenigstens einen Fahrzeugführungsbefehl (12, 13, 14, 15) hervorgerufenen Änderung der Fahrzeugzustandsparameter (11) mit einer in Abhängigkeit der Fahrzeugzustandsparameter (11) berechneten Unfallgefahr überwacht wird.
Verfahren nach Anspruch 1 oder 2, wobei bei nicht vorhandener Funktionsfähigkeit einer der Fahrzeugkomponenten sämtliche auf diese Fahrzeugkomponente zugreifenden weiteren Fahrzeugkomponenten deaktiviert werden.
Verfahren nach Anspruch 1 oder 2, wobei bei nicht vorhandener Funktionsfähigkeit einer der Fahrzeugkomponenten und bei Ersetzen der Funktion der nicht funktionsfähigen Fahrzeugkomponente durch eine weitere Fahrzeugkomponente dieser ein Vertrauenswert kleiner als 100% zugewiesen wird.
Verfahren nach einem der vorhergehenden Ansprüche, wobei bei nicht vorhandener Plausibilität des wenigstens einen Fahrzeugführungsbefehls (12, 13, 14, 15) eine Rückmeldung an das Fahrerassistenzsystem (2) erfolgt.
Überwachungsvorrichtung zur Überwachung wenigstens eines zur teilweisen oder vollständigen Fahrzeugführung ausgebildeten Fahrerassistenzsystems (2), wobei dem Fahrzeug Umfelderfassungsmittel (1) zum Erfassen von Umfeldparametern (11) und Fahrzeugzustandserfassungsmittel (1) zum Erfassen von Fahrzeugzustandsparametern (11) und eine Einheit zum Berechnen von wenigstens einem Fahrzeugführungsbefehl (12, 13, 14, 15) in Abhängigkeit der Umfeldparameter (11) und der Fahrzeugzustandsparameter (11) zugeordnet sind, wobei die Überwachungsvorrichtung – Eingänge zum Empfangen der Umfeldparameter (11) und der Fahrzeugzustandsparameter (11) und des wenigstens einen Fahrzeugführungsbefehls (12, 13, 14, 15), – ein Plausibilitätsmodul zum Testen der Plausibilität des wenigstens einen Fahrzeugführungsbefehls (12, 13, 14, 15), ausgebildet zum Vergleich des wenigstens einen Fahrzeugführungsbefehls (12, 13, 14, 15) mit einem vorgegebenen plausiblen Grenzwert und zum Ausgeben eines Plausibilitätssignals, – ein Unfallgefahrüberwachungsmodul zum Überwachen der Unfallgefahr des Fahrzeugs, ausgebildet zum Abgleich einer durch den wenigstens einen Fahrzeugführungsbefehl (12, 13, 14, 15) hervorgerufenen Änderung einer Eigentrajektorie des Fahrzeugs mit im Umfeld befindlichen Hindernissen und/oder ausgebildet zum Abgleich einer durch den wenigstens einen Fahrzeugführungsbefehl (12, 13, 14, 15) hervorgerufenen Änderung der Fahrzeugzustandsparameter (11) mit einer in Abhängigkeit der Fahrzeugzustandsparameter (11) berechneten Unfallgefahr und ausgebildet zum Ausgeben eines Unfallsignals und – ein Funktionsüberwachungsmodul zum Überwachen der Funktionalität von Fahrzeugkomponenten und zum Ausgeben eines Funktionssignals aufweist, wobei die Überwachungsvorrichtung weiterhin aufweist – ein Fahrzeugführungsbefehlanpassungsmodul zum Anpassen des wenigstens einen Fahrzeugführungsbefehls (12, 13, 14, 15) in Abhängigkeit des Plausibilitätssignals und/oder des Funktionssignals und/oder des Unfallsignals und zum Ausgeben wenigstens eines angepassten Fahrzeugführungsbefehls (12, 13, 14, 15) und – Ausgänge zum Übertragen des wenigstens einen Fahrzeugführungsbefehls (12, 13, 14, 15) und/oder des wenigstens einen angepassten Fahrzeugführungsbefehls (12, 13, 14, 15) an Aktuatoren (6) des Fahrzeugs.