DE102016212195A1

DE102016212195A1 - Verfahren zum Durchführen eines automatischen Eingriffs in die Fahrzeugführung eines Fahrzeugs

Info

Publication number: DE102016212195A1
Application number: DE102016212195.2A
Authority: DE
Inventors: Hans-Leo Ross
Original assignee: Robert Bosch GmbH
Current assignee: Robert Bosch GmbH
Priority date: 2016-07-05
Filing date: 2016-07-05
Publication date: 2018-01-11
Also published as: CN107571868B; CN107571868A

Abstract

Die Erfindung betrifft ein Verfahren zum Durchführen eines automatischen Eingriffs in die Fahrzeugführung eines Fahrzeugs, wobei Sensordaten eines ersten Sensors als erste Sensordaten und Sensordaten eines zweiten Sensors als zweite Sensordaten erfasst werden (201), wobei im Zuge einer ersten Auswertung (210) die ersten Sensordaten und die zweiten Sensordaten ausgewertet werden und jeweils eine erste Integrität der ersten Sensordaten und der zweiten Sensordaten bestimmt wird (213), wobei im Zuge einer zweiten Auswertung (220) die ersten Sensordaten und die zweiten Sensordaten ausgewertet werden und jeweils eine zweite Integrität der ersten Sensordaten und der zweiten Sensordaten bestimmt wird (223), wobei in Abhängigkeit von der ersten Integrität und der zweiten Integrität und in Abhängigkeit von den ersten Sensordaten und den zweiten Sensordaten ein autonomer Eingriff (230) in die Fahrzeugführung des Fahrzeugs durchgeführt wird.

Description

Die vorliegende Erfindung betrifft ein Verfahren zum Durchführen eines automatischen Eingriffs in die Fahrzeugführung eines Fahrzeugs sowie ein Netzwerk von Recheneinheiten und ein Computerprogramm zu dessen Durchführung.
Stand der Technik
Im Zuge der Automatisierung von mobilen Systemen können Fahrzeuge automatisch gesteuert werden, ohne Eingreifen eines Fahrzeugführers (autonomes Fortbewegen). Zu diesem Zweck kann die Umgebung des Fahrzeugs mittels Sensoren, wie z.B. Kamera, Radargerät, Lidargerät usw., messtechnisch erfasst werden. Entsprechende mit den Sensoren erfasste Sensordaten können ausgewertet und basierend auf diesen ausgewerteten Sensordaten automatische Eingriffe in die Fahrzeugführung (z.B. Lenkung, Bremsung, Antrieb usw.) durchgeführt werden, beispielsweise indem Aktoren des Fahrzeugs entsprechend angesteuert werden.
Diese Eingriffe können beispielsweise von Steuergeräten des Fahrzeugs selbst bestimmt werden, so dass sich das Fahrzeug selbst autonom steuert. Es ist auch denkbar, dass die Eingriffe von einer externen Recheneinheit bestimmt werden, so dass das Fahrzeug extern ferngesteuert werden kann.
Beispielsweise kann im Zuge eines derartigen autonomen Fortbewegens ein Fahrzeug auf Parkplätzen oder in Parkhäusern automatisch ein- und ausgeparkt werden (automatisiertes Parken). Das Fahrzeug kann somit autonom von einem Ein- und Ausfahrtsbereich in eine jeweilige Parklücke eingeparkt werden und von dieser wieder zurück zu dem Ein- und Ausfahrtsbereich eigenbewegt werden.
Für das autonome Fortbewegen ist es von Bedeutung, dass die Sensordaten, basierend auf welchen in die Fahrzeugführung eingegriffen wird, integer sind, um eine Gefährdung von Insassen des Fahrzeugs oder weiterer Verkehrsteilnehmer zu verhindern. Eine hinreichende Datenintegrität (Vertrauensgrad der Dateninformation) ist notwendig, um gesicherte aktive Eingriffe in die Fahrzeugführung durchführen zu können.
Die Datenintegrität umfasst unterschiedliche Integritätsarten, insbesondere korrekter Inhalt (diese Integritätsart liegt vor, wenn Sachverhalte der realen Welt korrekt abgebildet werden), unmodifizierter Zustand (diese Integritätsart liegt vor, wenn Nachrichten unverändert zugestellt werden und Programme und Prozesse wie beabsichtigt ablaufen) und Erkennung von Modifikation (diese Integritätsart liegt vor, wenn unerwünschte Modifikationen, die nicht verhindert werden können, zumindest erkannt werden).
Beispielsweise ist aus der DE 10 2012 215 343 A1 ein Verfahren zum Durchführen einer Sicherheitsfunktion eines Fahrzeugs bekannt. In Abhängigkeit von dem mindestens einen Integritätswert wird geprüft, ob übertragene Daten für das Durchführen der Sicherheitsfunktion hinreichend zuverlässig sind.
Offenbarung der Erfindung
Erfindungsgemäß werden ein Verfahren zum Durchführen eines automatischen Eingriffs in die Fahrzeugführung eines Fahrzeugs sowie eine Netzwerk von Recheneinheiten und ein Computerprogramm zu dessen Durchführung mit den Merkmalen der unabhängigen Patentansprüche vorgeschlagen. Vorteilhafte Ausgestaltungen sind Gegenstand der Unteransprüche sowie der nachfolgenden Beschreibung.
Das Fahrzeug kann zweckmäßigerweise als ein Landfahrzeug, insbesondere Kraft-, Hybrid- oder Elektrofahrzeug, Personen- oder Nutzfahrzeug ausgebildet sein, z.B. als Pkw, Lkw, Motorrad, Bus, Zug usw. Es ist auch denkbar, dass das Fahrzeug als ein abseits von befestigten Straßen betreibbares Fahrzeug ausgebildet ist, z.B. als Geländefahrzeug (Unimog, Amphibienfahrzeug, Pistenraupe, etc.), ATV (All-Terrain Vehicle, z.B. ein Quad) oder Schneemobil. Insbesondere kann das Fahrzeug auch als ein Luft- oder Wasserfahrzeug ausgebildet sein, z.B. als Flugzeug, Hubschrauber, Boot, Jetski usw. Das Fahrzeug kann von einem Fahrzeugführer bzw. Fahrer gesteuert werden oder auch ein unbemanntes, ferngesteuertes Fahrzeug sein, z.B. eine Drohne.
Im Rahmen des Verfahrens werden Sensordaten eines ersten Sensors als erste Sensordaten und Sensordaten eines zweiten Sensors als zweite Sensordaten erfasst. Im Zuge einer ersten Auswertung werden die ersten Sensordaten und die zweiten Sensordaten unabhängig voneinander ausgewertet und jeweils eine erste Integrität der ersten Sensordaten und der zweiten Sensordaten wird bestimmt. Analog dazu wird eine zweite Auswertung der ersten und zweiten Sensordaten unabhängig voneinander durchgeführt, im Zug derer jeweils eine zweite Integrität der ersten Sensordaten und der zweiten Sensordaten bestimmt wird. Diese erste und zweite Auswertung können insbesondere gleichzeitig oder zumindest im Wesentlichen gleichzeitig durchgeführt werden. Somit kann eine redundante Bestimmung der Integrität der Sensordaten durchgeführt werden und die Sensordaten können redundant gegeneinander plausibilisiert werden. Beispielsweise kann eine mehrstufige Integritätsprüfung durchgeführt werden, indem die ersten Sensordaten und/oder die zweiten Sensordaten jeweils in Gruppen eingeteilt werden. Diese Gruppen bzw. die Integritäten dieser Gruppen können miteinander verglichen bzw. gegeneinander plausibilisiert werden.
Es versteht sich, dass auch Sensordaten von mehr als zwei Sensoren erfasst werden können. Demgemäß wird diese Vielzahl von Sensordaten sowohl im Zuge der ersten als auch der zweiten Auswertung ausgewertet und es wird jeweils die erste und zweite Integrität von dieser Vielzahl von Sensordaten bestimmt.
In Abhängigkeit von der ersten Integrität, von der zweiten Integrität sowie in Abhängigkeit von den ersten Sensordaten und von den zweiten Sensordaten wird ein automatischer Eingriff in die Fahrzeugführung des Fahrzeugs durchgeführt. Die ersten und zweiten Sensordaten werden zu diesem Zweck beispielsweise ausgewertet, um Eingangsdaten zu erzeugen, basierend auf welchen der Eingriff auf die Fahrzeugführung bzw. entsprechende Ansteuerdaten für Aktoren bestimmt werden.
Insbesondere können durch das Verfahren parallele Datenströme zur Auswertung der Sensordaten bereitgestellt werden, die unabhängig voneinander geprüft werden, insbesondere im Zuge von Kreuzvergleichen. Für die erste Auswertung und für die zweite Auswertung werden insbesondere unabhängige Berechnungsverfahren verwendet. Dateninhalte der Datenströme werden durch die Kreuzvergleiche bzw. Auswertungen insbesondere nicht verändert und nicht abgeschaltet. Die Datenströme erhalten insbesondere einen unabhängigen Qualifier, der die entsprechende Datengüte anzeigt. Zweckmäßigerweise werden die parallelen unabhängigen Datenströme von den Sensoren bis zu den Aktoren implementiert. Die Datenströme werden insbesondere unabhängig durch sämtliche Systeme und Subsysteme geführt. In herkömmlichen Fahrzeugen sind Sensoren und Aktuatoren meist abhängig voneinander integriert. Im Gegensatz dazu wird es durch das Verfahren ermöglicht, Sensoren funktionsunabhängig auszuwerten und Aktoren funktionsunabhängig anzusteuern. Insbesondere kann dies ermöglicht werden, wenn Sensoren und Aktoren über Ethernet verbunden sind. Durch derartige unabhängige Implementierung ergeben sich insbesondere präzisere Plausibilisierungsmöglichkeiten von Sensordaten und die Integrität der Daten kann erhöht werden.
Zweckmäßigerweise wird der automatische Eingriff im Zuge eines autonomen Fortbewegens und/oder automatischen Einparkens durchgeführt, wobei das Fahrzeug basierend auf den Sensordaten automatisch gesteuert wird, insbesondere ohne Eingreifen eines Fahrzeugführers. Das Fahrzeug kann sich dabei selbsttätig steuern oder von einer externen Recheneinheit ferngesteuert werden. Es ist auch denkbar, dass der Eingriff vorteilhafterweise durch eine Fahrerassistenzfunktion durchgeführt wird, z.B. durch einen Spurhalteassistenten, einen Abstandsregeltempomat, eine autonome Längsführung usw.
Insbesondere werden erste und zweite Sensordaten bezüglich einer Position und/oder einer Orientierung des Fahrzeugs erfasst. In Abhängigkeit von diesen Sensordaten können insbesondere Position bzw. Orientierung des Fahrzeugs durch die automatischen Eingriffe gesteuert bzw. geregelt werden, zweckmäßigerweise im Zuge des autonomen Fortbewegens bzw. automatischen Einparkens.
Durch das Verfahren wird es ermöglicht, für automatische Eingriffe in die Fahrzeugführung Redundanzen in mehreren unterschiedlichen Ebenen zu realisieren, insbesondere im Zuge des autonomen Fortbewegens bzw. automatischen Einparkens. Insbesondere kann eine durchgängig redundante Struktur erreicht werden, von der Erfassung der Fahrzeugposition bis zur Ausführung von Steuerbefehlen im Fahrzeug. Einerseits kann die Position bzw. Orientierung mittels unterschiedlicher redundanter Sensoren messtechnisch erfasst und gegeneinander plausibilisiert werden. Weiterhin wird auch diese Plausibilisierung im Zuge zweier Auswertungen redundant durchgeführt. Daten können in unterschiedlichen Ebenen gegeneinander plausibilisiert bzw. im Zuge von Kreuzvergleichen überwacht werden. Zweckmäßigerweise kann somit sichergestellt werden, dass integre Daten in weiteren Verarbeitungsstufen genutzt oder weitergeleitet werden. Durch das Verfahren wird somit für das autonome Fortbewegen eine maximale Sicherheit gewährleistet.
Insbesondere kann durch das Verfahren und die unterschiedlichen Redundanzen auch in einem Fehlerfall gewährleistet werden, dass das Fahrzeug sicher betrieben werden kann. Beim Verlust einer Redundanz, wenn beispielsweise einer der Sensoren ausfällt oder wenn eine der Auswertungen nicht mehr durchgeführt werden kann, kann das Fahrzeug durch die verbleibenden Ressourcen dennoch weiter gesteuert und in einen sicheren Zustand überführt werden, z.B. bis zum Stillstand an einer sicheren Position, etwa dem Straßenrand oder einem Standstreifen. Es ist daher bei Verlust einer Redundanz nicht notwendig, das Fahrzeug abrupt zu stoppen, was gegebenenfalls zu einer Gefährdung von Insassen oder weiteren Verkehrsteilnehmern führen kann.
Bei Verlust einer Redundanz sind entsprechende Daten bzw. Datenströme oftmals nicht komplett zerstört, sondern es können beispielsweise nur Teile der Daten unbrauchbar oder beeinträchtigt sein. Beispielsweise kann es der Fall sein, dass basierend auf derartig beeinträchtigten Daten keine Personenerkennung mehr durchgeführt werden kann, eine Fahrbahn- oder Verkehrsschilderkennung jedoch noch durchführbar ist. Somit können die entsprechenden Daten zumindest noch teilweise ausreichend zuverlässig sein, damit eine defensive Fahrt des Fahrzeugs fortgesetzt werden kann.
Zweckmäßigerweise können durch die durchgängig redundante Struktur Angriffe erkannt und verhindert werden. Insbesondere können für die Auswertungen und den automatischen Eingriff jeweils unterschiedliche Verschlüsselungen verwendet werden. Um auf das Fahrzeug oder dessen Fahrverhalten Einfluss nehmen zu können, müsste ein Angreifer unterschiedliche Verschlüsselungen gleichzeitig manipulieren, was so gut wie ausgeschlossen werden kann. Weiterhin können Angriffe auf das Fahrzeug, insbesondere auf die Fahrzeugführung, leicht erkannt werden. Um sich Zugriff auf das Fahrzeug zu verschaffen und im Zug eines Angriffs auf die Fahrzeugführung Einfluss zu nehmen, müsste es einem Angreifer gelingen, Daten in das Fahrzeug einzubringen, welche mit den von den Sensoren erfassten Sensordaten übereinstimmen und mit diesen Sensordaten plausibilisiert werden können. Der Angreifer müsste somit das nachbilden, was die unterschiedlichen Sensoren zu jedem konkreten Referenzzeitpunkt erfassen. Andernfalls könnte durch den Vergleich der Sensordaten sofort bemerkt werden, dass es sich um keine echten Sensordaten, sondern um einen Angriff handelt. Es ist jedoch nahezu ausgeschlossen, dass ein Angreifer die Sensordaten zu jedem konkreten Referenzzeitpunkt exakt nachbilden kann, wodurch ein Angriff nahezu unmöglich ist.
Der erste Sensor und/oder der zweite Sensor sind jeweils vorzugsweise als ein fahrzeugeigener oder fahrzeugfremder Sensor ausgebildet. Unter einem fahrzeugeigenen Sensor sei in diesem Zusammenhang ein Sensor zu verstehen, der Bestandteil des Fahrzeugs ist, z.B. interne Kamera, Radargerät, Lidargerät, GPS-Gerät, Navigationssystem, Lenkwinkelsensor, Raddrehzahlsensor, Beschleunigungssensor, Drehratensensor, Inertialsensor usw. Insbesondere werden Sensordaten eines derartigen fahrzeugeigenen Sensors ohnehin im Zuge des regulären Betriebs des Fahrzeugs erfasst. Mittels eines derartigen Beschleunigungssensors kann insbesondere eine Längs- und/oder Querbeschleunigung des Fahrzeugs bestimmt werden. Mittels eines Drehratensensors kann zweckmäßigerweise eine Gier-, Roll- und/oder Nickrate des Fahrzeugs bestimmt werden.
Unter einem fahrzeugfremden Sensor sei in diesem Zusammenhang ein Sensor zu verstehen, welcher kein Bestandteil des Fahrzeugs ist, z.B. externe Kameras, Radargeräte, Lidargeräte usw. Ein derartiger fahrzeugfremder Sensor ist außerhalb des Fahrzeugs angeordnet und ist insbesondere in anderen Fahrzeugen oder in einer Umgebung des Fahrzeugs, z.B. auf einer Straße, in einem verkehrsberuhigten Bereich oder in einer Park- oder Haltezone, fest installiert und überwacht diese Umgebung bzw. einen Teil der Umgebung.
Der erste Sensor und der zweite Sensor können zweckmäßigerweise unabhängigen Funktionsgruppen angehören. Beispielsweise kann der erste Sensor einer ersten Funktionsgruppe zur Überwachung des Fahrzeugs angehören und der zweite Sensor kann einer von dieser unabhängigen zweiten Funktionsgruppe angehören, welche Umgebung des Fahrzeugs überwacht. Durch die Kreuzvergleiche und die unabhängigen Datenströme von diesen Sensoren bis zu Aktoren im Fahrzeug kann eine gefährliche, auch fehlerbedingte Querbeeinflussung oder eine kritische Fehlerkaskadierung vermieden werden.
Besonders vorteilhaft eignet sich das Verfahren zum Durchführen eines autonomen Fortbewegens bzw. automatischen Einparkens. Beispielsweise können fahrzeugfremde Sensoren an einem Rand einer Fahrspur (z.B. auf der Straße oder Parkplatz/Parkhaus oder anderen Fahrumgebungen) angeordnet sein und einen Teil dieser Fahrspur überwachen. Durch Auswerten entsprechender Sensordaten kann das Fahrzeug und dessen Position bzw. Orientierung zu der Fahrspur bestimmt werden. In Abhängigkeit von diesen ausgewerteten Sensordaten können Eingriffe in die Fahrzeugführung (Lenkung, Bremse, Antrieb usw.) bestimmt werden, um das Fahrzeug auf der Fahrspur zu bewegen oder um das Fahrzeug im Zuge eines automatisierten Parkens in eine Parklücke ein- und/oder auszuparken. Insbesondere wird das Fahrzeug autonom von einem Ein- und Ausfahrtsbereich in eine jeweilige Parklücke eingeparkt und/oder von dieser wieder zurück zu dem Ein- und Ausfahrtsbereich bewegt. Analog kann das Fahrzeug auch im Zuge eines automatisierten Parkens in eine Parklücke am Straßenrand eingeparkt werden, in Abhängigkeit von ausgewerteten Sensordaten von am Straßenrand angeordneten fahrzeugfremden Sensoren.
Im Zuge eines derartigen autonomen Fortbewegens bzw. automatisierten Einparkens gelten hohe Sicherheitsrichtlinien, da durch entsprechende automatische Eingriffe in die Fahrzeugführung keine Gefährdung der Insassen des Fahrzeugs sowie anderer Verkehrsteilnehmer bzw. keine Beschädigungen weiterer geparkter Fahrzeuge erfolgen dürfen. Durch die Bewertung der Integrität der Sensordaten kann gewährleistet werden, dass ein derartiges autonomes Fortbewegen bzw. automatisiertes Einparken sicher und zuverlässig durchgeführt wird, ohne dass Insassen und weitere Verkehrsteilnehmer gefährdet werden. Vorteilhafterweise kann in Abhängigkeit von der bestimmten Integrität bestimmt werden, wie stark automatische Eingriffe in die Fahrzeugführung, insbesondere im Zuge des autonomen Fortbewegens bzw. automatisierten Einparkens, durchgeführt werden, wie weiter unten noch im Detail erläutert wird. Je unzuverlässiger die Sensordaten bewertet werden, desto weniger stark werden die entsprechenden Eingriffe durchgeführt. Durch das Verfahren kann besonders vorteilhaft bewertet werden, ob die aktuelle Position und das aktuelle Umfeld des Fahrzeugs zuverlässig genug für diesen Zweck bestimmt werden können, wie nachfolgend beschrieben wird.
Vorteilhafterweise wird die Bestimmung der Integrität an wenigstens einer Schnittstelle durchgeführt, beispielsweise an einer Schnittstelle der Sensoren, der Recheneinheiten und/oder der Aktoren. Die unabhängigen, redundanten Datenströme werden insbesondere parallel überprüft bzw. diagnostiziert, z.B. über Kreuz. Diese Überprüfung bzw. Diagnostizierung kann an zweckmäßigen Kommunikationsschnittstellen durchgeführt werden.
Gemäß einer vorteilhaften Ausführung wird die erste Integrität von einer ersten Recheneinheit bestimmt und die zweite Integrität von einer zweiten Recheneinheit. Die erste und/oder zweite Recheneinheit steht vorzugsweise mit einer dritten Recheneinheit in Kommunikationsverbindung, wobei von der dritten Recheneinheit bevorzugt der automatische Eingriff in die Fahrzeugführung durchgeführt wird. Diese dritte Recheneinheit kann insbesondere ebenfalls redundant zum Aktor ausgeführt sein, so dass an der Aktoransteuerung insbesondere ebenfalls ein Kreuzvergleich durchgeführt werden kann.
Somit wird zweckmäßigerweise nicht nur eine zeitliche Redundanz der Bestimmung der Integrität ermöglicht, sondern ebenfalls eine räumliche Redundanz. Die Bestimmung der Integrität der Sensordaten wird somit insbesondere gleichzeitig oder im Wesentlichen gleichzeitig auf unterschiedlichen Recheneinheiten durchgeführt. Weiterhin erfolgt die Durchführung des automatischen Eingriffs unabhängig davon durch die weitere dritte Recheneinheit, wodurch eine weitere Sicherheitsstufe bzw. Redundanz eingeführt wird.
Vorzugsweise sind die erste und/oder die zweite Recheneinheit jeweils als fahrzeugfremde Recheneinheiten ausgebildet, beispielsweise jeweils als Server zur Verkehrsüberwachung, welcher mittels der Sensoren die entsprechende Fahrspur überwacht. Bevorzugt können die erste und/oder zweite Recheneinheit jeweils als Server eines Parkhaus und/oder eines Parkplatzes ausgebildet sein. Mittels der Sensoren kann ein derartiger Parkhausserver das jeweilige Parkhaus bzw. den Parkplatz zweckmäßigerweise überwachen. Die dritte Recheneinheit (und gegebenenfalls weitere Recheneinheiten) können insbesondere auch als Domainsteuergerät oder Fahrzeugführungsrechner ausgebildet sein.
Die dritte Recheneinheit ist vorteilhafterweise als eine fahrzeugeigene Recheneinheit ausgebildet, zweckmäßigerweise als ein Steuergerät, welches Aktoren entsprechend ansteuert, um den automatischen Eingriff durchzuführen.
Insbesondere kann die erste und/oder zweite (fahrzeugfremde) Recheneinheit jeweils beispielsweise über eine Funkverbindung wie WLAN/GSM/3G/4G usw. mit der dritten, fahrzeugeigenen Recheneinheit in Kommunikationsverbindung stehen. Insbesondere kann somit ebenfalls eine redundante Struktur in der Energieversorgung erreicht werden, wenn z.B. die einzelnen Recheneinheiten aus unterschiedlichen Energiequellen gespeist werden.
Durch die durchgängige redundante Struktur zum Durchführen des automatischen Eingriffs können die einzelnen Recheneinheiten zweckmäßigerweise jeweils auf Leistung optimiert werden und es müssen keine zusätzlichen ressourcenverbrauchenden Sicherheitsmechanismen vorgesehen werden. Beispielsweise kann für die einzelnen Recheneinheiten ein Standard-Betriebssystem verwendet werden, beispielsweise Linux, insbesondere Echtzeitlinux. Echtzeit bedeutet, dass ablaufende Prozesse ein deterministisches Zeitverhalten aufweisen und ein der Abschluss eines Prozesses innerhalb eines bestimmten Zeitraums garantiert ist. Alle Verarbeitungsschritte werden insbesondere in einem hinreichenden und zeitgerechten Intervall ausgeführt.
Zweckmäßigerweise stehen die erste und die zweite Recheneinheit ebenfalls in Kommunikationsverbindung, beispielsweise über eine Funkverbindung wie oben oder über eine kabelgebundene Verbindung wie Ethernet. Die erste Recheneinheit übermittelt insbesondere die von ihr bestimmte erste Integrität an die zweite Recheneinheit und die zweite Recheneinheit vergleicht diese erste Integrität mit der von ihr bestimmten zweiten Integrität. Analog übermittelt insbesondere die zweite Recheneinheit die zweite Integrität an die erste Recheneinheit und die erste Recheneinheit vergleicht die erste und zweite Integrität ebenfalls miteinander.
Wenn die beiden Integritäten identisch oder zumindest im Wesentlichen (d.h. im Rahmen zulässiger Abweichungen) identisch sind, übermitteln die erste und zweite Recheneinheit insbesondere parallel und unabhängig voneinander jeweils die erste und zweite Integrität an die dritte Recheneinheit. Die dritte Recheneinheit, bevorzugt ein Steuergerät des Fahrzeugs, bestimmt in Abhängigkeit von den Integritäten und von den Sensordaten in diesem Fall den automatischen Eingriff und führt diesen durch. Das Fahrzeug steuert sich in diesem Fall selbst.
Es ist auch denkbar, dass sowohl die erste als auch die zweite Recheneinheit jeweils parallel und unabhängig voneinander den durchzuführenden automatischen Eingriff bestimmen, wenn die beiden Integritäten identisch oder zumindest im Wesentlichen identisch sind. In diesem Fall können die erste und die zweite Recheneinheit ihre jeweiligen Ergebnisse an die dritte Recheneinheit übermitteln. Diese dritte Recheneinheit, bevorzugt ein Steuergerät des Fahrzeugs, führt diesen automatischen Eingriff letztendlich durch. In diesem Fall wird das Fahrzeug insbesondere durch die erste bzw. zweite Recheneinheit ferngesteuert.
Insbesondere erfolgt eine Übermittelung von Daten durch die erste und zweite Recheneinheit jeweils mittels einer unterschiedlichen Verschlüsselung (unterschiedliche Art der Verschlüsselung und/oder unterschiedliche Schlüssel). Somit können insbesondere Angriffe verhindert werden, da so gut wie ausgeschlossen werden kann, dass ein Angreifer diese beiden Verschlüsselungen gleichzeitig manipulieren kann.
Vorteilhafterweise werden die erste Integrität im Zuge der ersten Auswertung und/oder die zweite Integrität im Zuge der zweiten Auswertung jeweils wie nachfolgend beschrieben bestimmt: Aus den ersten Sensordaten werden bevorzugt erste Poseinformationen bestimmt, welche eine Position und/oder eine Orientierung des Fahrzeugs zu einem Referenzzeitpunkt beschreiben. Analog werden aus den zweiten Sensordaten bevorzugt zweite Poseinformationen bestimmt, welche ebenfalls die Position und/oder die Orientierung des Fahrzeugs zu dem Referenzzeitpunkt beschreiben. Die Poseinformationen beschreiben somit insbesondere jeweils, an welcher konkreten Position sich das Fahrzeug zu dem Referenzzeitpunkt befindet.
Diese ersten und zweiten Poseinformationen werden vorzugsweise miteinander verglichen und aus diesem Vergleich wird die jeweilige Integrität der ersten Sensordaten und der zweiten Sensordaten bestimmt. Die ersten und zweiten Sensordaten können somit plausibilisiert werden. Idealerweise sollte die Position bzw. Orientierung des Fahrzeugs, welche durch die ersten und die zweiten Poseinformationen beschrieben wird, identisch sein und die tatsächliche Position bzw. Orientierung des Fahrzeugs wiedergeben. Je genauer die ersten und zweiten Poseinformationen also übereinstimmen, desto höher ist die jeweilige Integrität der entsprechenden Sensordaten.
Vorzugsweise werden somit Sensordaten von verschiedenen Sensoren zeitlich und örtlich kalibriert. Die Sensordaten werden insbesondere in einen zeitlichen und örtlichen Kontext gebracht bzw. räumlich und zeitlich in ein festes Raster hineindefiniert. Verschiedene Sensordaten werden somit vergleichbar gemacht und in einen gemeinsamen, eindeutigen Kontext definiert und können repräsentativ und aussagekräftig miteinander verglichen werden. Durch örtliches Kalibrieren wird gewährleistet, dass die Sensoren zumindest teilweise denselben Bereich überwachen und somit Sensordaten desselben Bereichs erfassen. Somit kann eine erste Überlappung der Sensordaten erreicht werden. Durch zeitliches Kalibrieren wird darüber hinaus gewährleistet, dass dieser gemeinsame Bereich von den Sensoren zum selben konkreten Zeitpunkt erfasst wird. Somit wird eine weitere Überlappung der Sensordaten erreicht. Eine Möglichkeit zur Bestimmung der Integrität basiert auf einer Bestimmung eines Überlappungsgrades von in den Sensordaten enthaltenen Informationen. Wenn unterschiedliche Sensoren in Zeit und Raum dasselbe erkennen, wenn also die entsprechenden Sensordaten zeitlich und örtlich überlappen, besitzen diese Daten einen erhöhten Integritätsgrad.
Durch zeitliches Kalibrieren kann insbesondere eine zeitliche Integrität der Sensordaten erzielt werden. Insbesondere kann ein erstes Zeitintervall zwischen dem Zeitpunkt, zu welchem eine (optische) Information gesendet wird, und dem Zeitpunkt, zu welchem die Information von dem entsprechenden Sensor detektiert wird (optisch-elektrische Wandlung), kompensiert werden. Weiterhin können insbesondere ein zweites Zeitintervall zwischen Anregung des Sensors und Erzeugung eines entsprechenden elektrischen Signals (physikalisch-elektrische Wandlung) sowie die jeweilige Signallaufzeit dieses Signals kompensiert werden.
Durch diese Bestimmung der jeweiligen Integrität können insbesondere unterschiedliche Datenlaufzeiten (Latenzen) kompensiert werden. Unter derartigen unterschiedlichen Datenlaufzeiten sei in diesem Zusammenhang insbesondere zu verstehen, dass es für unterschiedliche Sensoren unterschiedlich lange dauern kann, bis gemessene Sensordaten ausgewertet und die jeweiligen verwertbaren Informationen bestimmt sind. Die Datenlaufzeit kann beispielsweise von Datenübertragungszeiten abhängen, welche benötigt werden, um die vom Sensor erfassten Sensordaten in eine entsprechende Recheneinheit zu übertragen, welche die Sensordaten auswertet. Weiterhin kann die Datenlaufzeit von einer Laufzeit abhängen, welche z.B. ein in der Recheneinheit ausgeführtes Programm benötigt, um die Sensordaten auszuwerten und die entsprechenden Information zu bestimmen.
Durch den Bezug der Poseinformationen auf den Referenzzeitpunkt können diese unterschiedlichen Datenlaufzeiten von unterschiedlichen Sensoren kompensiert werden. Es werden somit nicht Poseinformationen miteinander verglichen, welche zum selben zweiten Zeitpunkt bestimmt werden, da diese gegebenenfalls auf Sensordaten basieren, welche zu verschiedenen ersten Zeitpunkten von den jeweiligen Sensoren erfasst wurden. Stattdessen werden Poseinformationen miteinander verglichen, welche die Position des Fahrzeugs zu demselben Referenzzeitpunkt beschreiben.
Somit kann repräsentativ bewertet werden, wie zuverlässig bzw. integer erfasste Sensordaten sind. Insbesondere kann somit bewertet werden, wie präzise durch die Sensoren die tatsächliche Position des Fahrzeugs bestimmt werden kann. Anhand der bestimmten Integrität kann insbesondere bewertet werden, ob die Sensordaten zuverlässig genug sind, um für den automatischen Eingriff verwendet zu werden.
Beispielsweise kann ein entsprechender Integritätswert bestimmt werden, welcher beispielsweise zwischen 0 (schlecht) und 1 (gut) bzw. zwischen 0% und 100% liegen kann. Es kann ein Schwellwert definiert werden, wobei die Sensordaten als nicht ausreichend integer bewertet werden, wenn der Integritätswert diesen Schwellwert nicht erreicht. Hierdurch wird es insbesondere möglich, auch unscharfe "Sensor"daten (z.B. Ausgabedaten von neuronalen Netzen, Kalman-Filtern, andere statistische erfasste Daten usw.) in die Integritätsbestimmung einzubeziehen.
Gemäß einer vorteilhaften Ausführung werden die ersten Poseinformationen und/oder die zweiten Poseinformationen mit Umgebungsinformationen verglichen, welche eine Umgebung des Fahrzeugs zu dem konkreten Referenzzeitpunkt beschreiben. Aus diesem Vergleich wird vorzugsweise die jeweilige Integrität der ersten und zweiten Sensordaten bestimmt. Insbesondere kann somit bewertet werden, wie integer die Sensordaten die Position und die Umgebung des Fahrzeugs beschreiben, und wie stark in Abhängigkeit von den Sensordaten somit zweckmäßigerweise Eingriffe in die Fahrzeugführung durchgeführt werden.
Vorzugsweise ist die Umgebung des Fahrzeugs eine Straße und/oder ein Parkhaus und/oder ein Parkplatz. Beispielsweise können die Umgebungsinformationen die Straße beschreiben, auf welcher sich das Fahrzeug zu dem Referenzzeitpunkt bewegt. Derartige Umgebungsinformationen können beispielsweise aus Kartendaten eines Navigationssystems des Fahrzeugs oder aus dem Internet bzw. über eine drahtlose Datenverbindung (ggf. auch von anderen Fahrzeugen) bezogen werden. Die Umgebungsinformationen können insbesondere auch das Parkhaus bzw. den Parkplatz beschreiben. Parkhaus bzw. Parkplatz können zu diesem Zweck präzise vermessen werden, um die entsprechenden Umgebungsinformationen zu bestimmen.
Beispielsweise kann aus den Sensordaten die Position zu dem Referenzzeitpunkt relativ zu der Umgebung des Fahrzeugs bestimmt werden. Somit werden sowohl ein zeitlicher Referenzpunkt als auch ein räumlicher Referenzpunkt (insbesondere die Umgebung des Fahrzeugs) vorgegeben, auf welche die Sensordaten bezogen werden können. Die Sensordaten können somit wie oben beschrieben zweckmäßigerweise in einen konkreten zeitlichen und örtlichen Kontext gebracht bzw. räumlich und zeitlich in ein festes Raster hineindefiniert werden. Die Sensordaten werden somit vergleichbar, repräsentativ und aussagekräftig.
Vorzugsweise wird ein Abstand des Fahrzeugs zu einem Referenzpunkt der Umgebung als erste Poseinformationen und/oder zweite Poseinformationen bestimmt. Dieser Referenzpunkt kann zweckmäßigerweise aus den Umgebungsinformationen entnommen werden. Beispielsweise kann ein markanter, eindeutig zu identifizierender Referenzpunkt in der Umgebung gewählt werden, wie beispielsweise eine Brücke, ein Pfeiler, eine Kreuzung, eine Einmündung, ein Baum, eine Fahrbahnmarkierung usw. Beispielsweise können bei Parkhaus/Parkplatz als Umgebung eine Schranke, eine Laterne, eine Auffahrt, eine Abfahrt, eine Parklücke, eine Markierung einer Parklücke usw. als Referenzpunkt gewählt werden.
Vorzugsweise wird eine relative Position des Fahrzeugs in einem Inertialsystem des Fahrzeugs relativ zu einem ortsfesten Koordinatensystem einer Umgebung des Fahrzeugs als erste Poseinformationen und/oder zweite Poseinformationen bestimmt. Alternativ oder zusätzlich kann bevorzugt auch eine absolute Position des Fahrzeugs in dem ortsfesten Koordinatensystem der Umgebung des Fahrzeugs als erste und/oder zweite Poseinformationen bestimmt werden.
In dem Inertialsystem kann das Fahrzeug insbesondere als unbewegt bzw. stillstehend angenommen werden. Das Inertialsystem wiederum bewegt sich relativ zu dem ortsfesten Koordinatensystem der Umgebung mit der aktuellen Geschwindigkeit des Fahrzeugs. Das Koordinatensystem der Umgebung kann beispielsweise ein globales Weltkoordinatensystem sein. Beispielsweise kann dieses ortsfeste Koordinatensystem aus entsprechenden Umgebungsinformationen eines Navigationssystems des Fahrzeugs und/oder aus dem Internet bzw. über eine drahtlose Datenverbindung bezogen werden. Beispielswiese können Straßen, Parkhäuser bzw. Parkplätze präzise vermessen werden, um ein derartiges ortsfestes Koordinatensystem zu bestimmen.
Mittels des Inertialsystems und dessen relativer Orientierung zu dem ortsfesten Umgebungskoordinatensystem (als räumliche Referenz) zu dem Referenzzeitpunkt (als zeitliche Referenz) können die Sensordaten insbesondere wie oben beschrieben in einen räumlichen und zeitlichen Kontext gebracht bzw. räumlich und zeitlich in ein festes Raster hineindefiniert werden. Durch diesen Abgleich mit der als ortsfest angenommenen Umgebung kann insbesondere auch eine logische Korrektheit der Daten (z.B. ob sich ein Hindernis oder eine Person vor dem Fahrzeug befindet oder nicht) und nicht nur eine elektrische Korrektheit der Daten (insbesondere ob die elektrische Information korrekt ist) sichergestellt werden.
Vorteilhafterweise wird in Abhängigkeit von der ersten Integrität und/oder von der zweiten Integrität der ersten Sensordaten bzw. der zweiten Sensordaten bestimmt, wie stark der automatische Eingriff in die Fahrzeugführung durchgeführt wird, insbesondere wie stark auf Aktoren des Fahrzeugs Einfluss genommen wird. Somit wird eine differenzierte Bewertung ermöglicht und es kann bestimmt werden, wie stark im Zuge des autonomen Fortbewegens bzw. des automatisierten Einparkens auf die Fahrzeugführung eingegriffen werden darf. Je höher die Datenintegrität, desto stärker darf dieser Eingriff erfolgen. Es können beispielsweise verschiedene Schwellwerte definiert werden, wobei die Eingriffsstärke jeweils reduziert wird, wenn der bestimmte Integritätswert einen dieser Schwellwerte erreicht. Beispielsweise ist auch eine kontinuierliche Anpassung der Eingriffsstärke denkbar, wenn der insbesondere zwischen 0 und 1 definierte Integritätswert mit der entsprechenden Eingriffsstärke multipliziert wird.
Durch die bestimmte Integrität der Sensordaten kann bewertet werden, ob basierend auf diesen Sensordaten ein sicherer Eingriff auf die Fahrzeugführung durchgeführt werden kann oder ob die Sensordaten zu unsicher sind und verworfen werden sollen. Derartige Eingriff in die Fahrzeugführung können somit insbesondere gemäß den Sicherheitsstandards der Norm ISO 26262 bzw. gemäß dem darin definierten ASIL (Automotive Safety Integrity Level) durchgeführt werden.
Durch diese kontinuierliche Anpassung der Eingriffsstärke kann insbesondere gewährleistet werden, dass im Zuge des automatisierten Einparkens keine abrupten Brems- oder Lenkmanöver durchgeführt werden, sondern dass das Fahrzeug im Zuge einer kontinuierlichen, "sanften" Bewegung eingeparkt wird. Die Geschwindigkeit des Fahrzeugs kann dabei z.B. kontinuierlich verringert werden, bis es in der jeweiligen Parklücke zum Stillstand kommt.
Vorzugsweise wird als ein derartiger automatischer Eingriff in die Fahrzeugführung ein Eingriff auf eine Längs- und/oder Querführung des Fahrzeugs und/oder auf eine Bremse und/oder auf einen Antrieb in Abhängigkeit von den ersten Sensordaten und von den zweiten Sensordaten durchgeführt. Um derartige Eingriffe im Zuge des autonomen Fortbewegens bzw. im Zuge von Fahrassistenzfunktionen sicher und ohne Gefährdung durchzuführen, ist es insbesondere von Bedeutung, dass die Sensoren die aktuelle Position sowie das aktuelle Umfeld des Fahrzeugs präzise und zuverlässig bestimmen können.
Gemäß einer bevorzugten Weiterbildung werden weitere von anderen Sensoren stammende Poseinformationen mit den ersten und zweiten Poseinformationen verglichen. Aus diesem Vergleich werden zweckmäßigerweise Sensordaten mit einer im Vergleich zu den ersten und zweiten Sensordaten erhöhten Datenintegrität bestimmt. Vorzugsweise wird zur Erhöhung der Datenintegrität eine Abstimmung (sog. "Voting") über die Sensordaten der Sensoren durchgeführt. Dabei wird insbesondere überprüft, ob mindestens eine bestimmte Anzahl der Sensordaten bzw. deren Poseinformationen übereinstimmen bzw. im Wesentlichen übereinstimmen. Diese übereinstimmenden Sensordaten weisen insbesondere eine im Vergleich zu den ersten und zweiten Sensordaten erhöhte Datenintegrität auf.
Beispielsweise kann eine sog. 2 von 3 Abstimmung ("2 out of 3 voting", "2oo3") durchgeführt werden, im Zuge derer mindestens zwei von drei Sensordaten übereinstimmen müssen. Es kann auch eine 70 von 100 Abstimmung durchgeführt werden ("70 out of 100 voting", "70oo100"), im Zuge derer mindestens 70 von 100 Sensordaten übereinstimmen müssen. Somit kann eine hohe Fehlertoleranz und eine hohe Verlässlichkeit der Sensordaten erreicht werden. Beispielsweise können in die Abstimmung auch unscharfe Sensordaten, Sensordaten mit unterschiedlichen Datenlaufzeiten oder verrauschte Sensordaten eingebracht werden.
Es ist beispielsweise auch denkbar, eine Abstimmung für Aktoren durchzuführen, insbesondere wenn unterschiedliche Steuereinheiten oder Funktionen auf zwei unabhängige Aktoren bzw. Aktorsysteme einwirken, z.B. auf ein erstes und ein zweites Aktorsystem zum Bremsen der Räder der Vorderachse bzw. der Hinterachse oder z.B. auf zwei unabhängige Aktorsysteme in Form von zwei unabhängigen Wicklungspaaren in einer elektrischen Maschine. Basierend auf den Integritäten kann zweckmäßigerweise abgestimmt werden, welche Steuereinheiten oder Funktionen auf die Aktoren einwirken.
Vorzugsweise können für die Bestimmung der ersten bzw. zweiten Integrität weiterhin jeweils Metadaten des ersten Sensors und/oder des zweiten Sensors berücksichtigt werden. Unter Metadaten seien in diesem Zusammenhang insbesondere Informationen zu verstehen, die beschreiben, mit welcher Güte bzw. Genauigkeit der jeweilige Sensor Sensordaten messtechnisch erfassen kann und/oder mit welcher Güte bzw. Genauigkeit diese erfassten Sensordaten ausgewertet werden können. Beispielsweise können diese Metadaten im Zuge eines Herstellungs- bzw. Entwicklungsprozesses der einzelnen Sensoren bestimmt werden, indem der Sensor präzise vermessen wird. Beispielsweise können diese Metadaten im Zuge des Herstellungsprozesses in dem Sensor selbst hinterlegt werden und von dem Sensor insbesondere an die entsprechende Recheneinheit, welche die Integrität im Rahmen des Verfahrens bestimmt, mitgeteilt werden.
Beispielsweise können die Metadaten Fehlerraten, Diagnosedeckungsgrad (Diagnostic Coverage DC) und/oder Buslaufzeiten der Sensoren beschreiben. Beispielsweise können die Metadaten auch Wahrscheinlichkeiten beschreiben, z.B. Wahrscheinlichkeiten für das Auftreten von Störungen bzw. Fehlern, wie etwa systembedingte Hardware- oder Softwarefehler. Vorzugsweise kann der Integritätswert der ersten und zweiten Sensordaten in Abhängigkeit von diesen Metadaten bestimmt werden, insbesondere in Abhängigkeit von derartigen Wahrscheinlichkeiten für das Auftreten von Fehlern bzw. Störungen und/oder in Abhängigkeit von derartigen Fehlererraten.
Für eine detaillierte Erläuterung derartiger Metadaten sei an dieser Stelle auf die Offenlegungsschrift DE 10 2012 215 343 A1 verwiesen. Beispiele für mögliche Fehler und entsprechende Fehlerraten sind etwa in Absatz [0030] dieser Offenlegungsschrift gegeben. Weiterhin sind detaillierte Ausführungen zu Metadaten, wie z.B. Fehlerraten, Diagnosedeckungsgrad, entsprechenden Wahrscheinlichkeiten, sowie zu der Bestimmung eines Integritätswertes von Daten in Abhängigkeit von derartigen Metadaten in dieser Offenlegungsschrift insbesondere in den Absätzen [0010] bis [0040] erläutert, auf welche an dieser Stelle vollumfänglich verwiesen wird.
Eine erfindungsgemäße Recheneinheit bzw. ein Netzwerk von Recheneinheiten ist, insbesondere programmtechnisch, dazu eingerichtet, ein erfindungsgemäßes Verfahren durchzuführen.
Auch die Implementierung des Verfahrens in Form eines Computerprogramms ist vorteilhaft, da dies besonders geringe Kosten verursacht, insbesondere wenn ein ausführendes Steuergerät noch für weitere Aufgaben genutzt wird und daher ohnehin vorhanden ist. Geeignete Datenträger zur Bereitstellung des Computerprogramms sind insbesondere magnetische, optische und elektrische Speicher, wie z.B. Festplatten, Flash-Speicher, EEPROMs, DVDs u.a.m. Auch ein Download eines Programms über Computernetze (Internet, Intranet usw.) ist möglich.
Weitere Vorteile und Ausgestaltungen der Erfindung ergeben sich aus der Beschreibung und der beiliegenden Zeichnung.
Die Erfindung ist anhand von Ausführungsbeispielen in der Zeichnung schematisch dargestellt und wird im Folgenden unter Bezugnahme auf die Zeichnung beschrieben.
Kurze Beschreibung der Zeichnungen
1 zeigt schematisch eine bevorzugte Ausgestaltung eines Netzwerks von Recheneinheiten, das dazu eingerichtet ist, eine bevorzugte Ausführungsform eines erfindungsgemäßen Verfahrens durchzuführen.
2 zeigt schematisch eine bevorzugte Ausführungsform eines erfindungsgemäßen Verfahrens als ein Blockdiagramm.
Ausführungsform(en) der Erfindung
In 1 ist ein Fahrzeug 110 in Form eines Personenkraftfahrzeugs schematisch dargestellt, das im Zuge eines automatischen Einparkens in einem Parkhaus 100 automatisch eingeparkt wird.
Das Parkhaus 100 weist eine Vielzahl von Parklücken auf. In 1 sind beispielhaft drei dieser Parklücken mit den Bezugszeichen 101, 102, 103 bezeichnet. Das Fahrzeug 110 soll in diesem Beispiel im Zuge des automatischen Einparkens in die Parklücke 102 eingeparkt werden. Im Zuge dessen wird das Fahrzeug 110 automatisch von einer Ein- und Ausfahrt 104 des Parkhauses 100 in die Parklücke 102 bewegt, ohne Eingreifen eines Fahrers. Insbesondere ist denkbar, dass der Fahrer das Fahrzeug bereits verlassen hat.
In dem Parkhaus 100 sind zwei Kameras 121 und 122 angeordnet, welche das Parkhaus 100 überwachen. Eine erste Kamera 121 wird in diesem Beispiel als ein erster fahrzeugfremder Sensor angesehen, welcher erste Sensordaten erfasst, und eine zweite Kamera 122 wird in diesem Beispiel als ein zweiter fahrzeugfremder Sensor angesehen, welcher zweite Sensordaten erfasst.
Die erste und zweite Kamera 121 und 122 stehen beide mit jeweils zwei Servern 131 und 132 des Parkhauses 100 in Kommunikationsverbindung. Ein erster Server 131 wird in diesem Zusammenhang als eine erste fahrzeugfremde Recheneinheit und ein zweiter Server 132 als eine zweite fahrzeugfremde Recheneinheit angesehen. Auf den Servern 131 und 132 wird jeweils insbesondere ein echtzeitfähiges Betriebssystem ausgeführt, beispielsweise ein Echtzeit-Linux.
Die beiden Server 131 und 132 stehen miteinander in Kommunikationsverbindung, beispielsweise über eine Ethernet-Verbindung 133. Weiterhin stehen beide Server 131 und 132 mit einer dritten Recheneinheit 113 in Kommunikationsverbindung, beispielsweise über eine WLAN-Verbindung 134.
Diese dritte Recheneinheit 113 ist vorzugsweise als ein Steuergerät des Fahrzeugs ausgebildet, beispielsweise als ein Automotive-Steuergerät. Beispielsweise können die Server 131 und 132 mit dem Steuergerät 113 indirekt in Kommunikationsverbindung stehen. Beispielsweise können die Server 131 und 132 direkt mit einer WLAN-Empfangseinheit 111 in Kommunikationsverbindung stehen und mit dieser WLAN-Empfangseinheit 111 jeweils Daten austauschen. Derart empfangene Daten können von der WLAN-Empfangseinheit 111 über ein fahrzeugeigenes Kommunikationssystem 112, beispielsweise über einen Feldbus wie CAN oder FlexRay, an das Steuergerät 113 übermittelt werden.
Das Steuergerät 113 und die Server 131 und 132 des Parkhauses bilden somit ein Netzwerk von Recheneinheiten, welches dazu eingerichtet ist, eine bevorzugte Ausführungsform eines erfindungsgemäßen Verfahrens durchzuführen, welches in 2 schematisch als ein Blockdiagramm dargestellt ist.
In einem Schritt 201 werden dabei erste Sensordaten von der ersten Kamera 121 und zweite Sensordaten von der zweiten Kamera 122 erfasst. Die ersten und zweiten Sensordaten werden sowohl an den ersten Server 131 als auch an den zweiten Sensor 132 übermittelt.
In dem ersten Server 131 wird eine erste Auswertung 210 der ersten und der zweiten Sensordaten ausgeführt. Parallel und unabhängig davon wird in dem zweiten Server 132 eine zweite Auswertung 220 der ersten und der zweiten Sensordaten ausgeführt.
Im Zuge dieser ersten Auswertung 210 und dieser zweiten Auswertung 220 werden die ersten und zweiten Sensordaten jeweils in dem ersten Server 131 bzw. zweiten Server 132 zeitlich und örtlich kalibriert bzw. in einen festen zeitlichen und örtlichen Kontext gebracht.
Zu diesem Zweck werden von dem jeweiligen Server 131 bzw. 132 in einem Schritt 211 bzw. 221 aus den ersten und zweiten Sensordaten Poseinformationen bestimmt, welche jeweils die Position und vorzugsweise Orientierung des Fahrzeugs 110 zu einem Referenzzeitpunkt beschreiben.
Zur Kompensation der Datenlaufzeiten kann dieser Referenzzeitpunkt insbesondere durch die Datenlaufzeiten bestimmt sein. Beispielsweise kann dieser konkrete Referenzzeitpunkt 0,5 Sekunden vor dem aktuellen Zeitpunkt liegen.
Weiterhin werden die Sensordaten örtlich kalibriert bzw. auf einen räumlichen Referenzpunkt bezogen. Vorzugsweise wird zu diesem Zweck ein konkreter Punkt der Umgebung ausgewählt, welcher mit den beiden Kameras 121 und 122 leicht zu identifizieren ist, beispielsweise die Parklücke 102 oder eine Referenzmarkierung innerhalb des Parkhauses.
Beispielsweise wird zu diesem Zweck in Schritt 211 von dem Server 131 der Abstand des Fahrzeugs 110 zu der Parklücke 102 zu dem Referenzzeitpunkt aus den ersten Sensordaten der Kamera 121 als erste Poseinformation bestimmt. Ebenso wird von dem Server 131 dieser Abstand zu dem Referenzzeitpunkt aus den zweiten Sensordaten der Kamera 122 als zweite Poseinformation bestimmt.
Beispielsweise kann zu diesem Zweck jeweils eine Objekterkennung anhand der ersten und zweiten Sensordaten durchgeführt werden. Das Fahrzeug 110 sowie die Parklücke 102 werden im Zuge dieser Objekterkennungen jeweils erkannt und der Abstand wird daraus jeweils bestimmt.
Es ist auch denkbar, aus den ersten und zweiten Sensordaten jeweils eine relative Position des Fahrzeugs 110 in einem Inertialsystem des Fahrzeugs 110 relativ zu einem ortsfesten Koordinatensystem des Parkhauses 100 zu bestimmten und daraus jeweils den Abstand zu bestimmen.
In Schritt 212 werden diese ersten und zweiten Poseinformationen, also diese beiden Abstände, miteinander verglichen. Aus diesem Vergleich wird von dem ersten Server 131 eine erste Integrität der ersten und zweiten Sensordaten bestimmt. Beispielsweise kann ein Integritätswert bestimmt werden, welcher beispielsweise zwischen 0 und 1 liegen kann.
Analog zu Schritt 211 wird in Schritt 221 von dem zweiten Server 132 aus den ersten Sensordaten der ersten Kamera 121 der Abstand zwischen Fahrzeug 110 und Parklücke 102 zu dem Referenzzeitpunkt als erste Poseinformation bestimmt. Analog wird von dem zweiten Server 132 auch aus den zweiten Sensordaten der zweiten Kamera 122 der Abstand zwischen Fahrzeug 110 und Parklücke 102 zu dem Referenzzeitpunkt als zweite Poseinformation bestimmt.
Diese ersten und zweiten Poseinformationen werden in Schritt 222 von dem zweiten Server 132 miteinander verglichen und aus diesem Vergleich wird von dem zweiten Server 132 eine zweite Integrität der ersten und zweiten Sensordaten bestimmt, insbesondere ebenfalls in Form eines Integritätswert zwischen 0 und 1.
In Schritt 214 übermittelt der erste Server 131 die von ihm bestimmte erste Integrität an den zweiten Server 132. Analog dazu übermittelt der zweite Server 132 die von ihm bestimmte zweite Integrität in Schritt 224 an den ersten Server 131. In Schritt 215 vergleicht der erste Server 131 die beiden Integritäten miteinander und analog dazu vergleicht in Schritt 225 der zweite Server 132 die beiden Integritäten miteinander.
Nur wenn diese beiden Integrität identisch oder zumindest im Wesentlichen identisch sind, wird ein automatischer Eingriff 230 in die Fahrzeugführung im Zuge des automatischen Einparkens durchgeführt. Somit kann mit den beiden Kameras 121 und 122 eine redundante Erfassung der Position und gewünschtenfalls der Orientierung des Fahrzeugs 110 in dem Parkhaus 100 gewährleistet werden. Durch die parallele Auswertung und Bestimmung der Integrität der Sensordaten dieser Kameras 121, 122 auf zwei unterschiedlichen Servern 131 und 132 kann weiterhin eine redundante Plausibilisierung der Sensordaten durchgeführt werden. Somit wird sichergestellt, dass keine inkorrekten Daten genutzt oder weitergeleitet werden.
Für den Eingriff 230 in die Fahrzeugführung werden zunächst in Schritt 216 von dem ersten Server 131 die erste und zweite Integrität sowie die ersten und zweiten Sensordaten an die WLAN-Empfangseinheit 111 des Fahrzeugs 110 übermittelt. Ebenso werden in Schritt 226 von dem zweiten Server 132 die erste und zweite Integrität sowie die ersten und zweiten Sensordaten an die WLAN-Empfangseinheit 111 des Fahrzeugs 110 übermittelt.
In Schritt 231 werden diese Daten von der WLAN-Empfangseinheit 111 über den CAN-Bus 112 an das Steuergerät 113 übermittelt. In Abhängigkeit von der ersten Integrität und von der zweiten Integrität sowie in Abhängigkeit von den ersten Sensordaten und von den zweiten Sensordaten führt das Steuergerät 113 den automatischen Eingriff in die Fahrzeugführung durch.
Zu diesem Zweck bestimmt das Steuergerät 113 in Schritt 232 Ansteuerwerte für Aktoren des Fahrzeugs 110. Insbesondere bestimmt das Steuergerät 113 in Abhängigkeit von den Integritätswerten, wie stark dieser Eingriff in die Fahrzeugführung vorgenommen wird und wie stark entsprechende Aktoren angesteuert werden. Beispielsweise können zu diesem Zweck die Ansteuerwerte für die Aktoren mit dem bestimmten ersten oder zweiten Integritätswert multipliziert werden.
In Schritt 233 werden die Aktoren entsprechend angesteuert, so dass sich das Fahrzeug 110 entsprechend bewegt. Beispielsweise kann im Zuge dessen ein Eingriff auf eine Längs- und Querführung, auf einen Antrieb sowie Bremsen des Fahrzeugs 110 durchgeführt werden.
Durch diese redundante Struktur in unterschiedlichen Ebenen kann gewährleistet werden, dass unterschiedliche Sicherheitsstandards berücksichtigt werden. Beispielswiese können die Server 131, 132 des Parkhauses nach Sicherheitsrichtlinien des Parkhauses 100 betrieben werden. Der Eingriff in die Fahrzeugführung durch das Steuergerät 113 kann nach Sicherheitsstandards des Fahrzeugbereichs durchgeführt werden, beispielsweise gemäß der Norm ISO 26262 sowie dem darin definierten ASIL (Automotive Safety Integrity Level).
ZITATE ENTHALTEN IN DER BESCHREIBUNG
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
Zitierte Patentliteratur

DE 102012215343 A1 [0007, 0060]

Zitierte Nicht-Patentliteratur

Norm ISO 26262 [0052]
ISO 26262 [0092]

Claims

Verfahren zum Durchführen eines automatischen Eingriffs in die Fahrzeugführung eines Fahrzeugs (110), wobei Sensordaten eines ersten Sensors (121) als erste Sensordaten und Sensordaten eines zweiten Sensors (122) als zweite Sensordaten erfasst werden (201), wobei im Zuge einer ersten Auswertung (210) die ersten Sensordaten und die zweiten Sensordaten ausgewertet werden und jeweils eine erste Integrität der ersten Sensordaten und der zweiten Sensordaten bestimmt wird (213), wobei im Zuge einer zweiten Auswertung (220) die ersten Sensordaten und die zweiten Sensordaten ausgewertet werden und jeweils eine zweite Integrität der ersten Sensordaten und der zweiten Sensordaten bestimmt wird (223), wobei in Abhängigkeit von der ersten Integrität und der zweiten Integrität und in Abhängigkeit von den ersten Sensordaten und den zweiten Sensordaten ein automatischer Eingriff (230) in die Fahrzeugführung des Fahrzeugs (110) durchgeführt wird.
Verfahren nach Anspruch 1, wobei die erste Integrität von einer ersten Recheneinheit (131) bestimmt wird (213) und wobei die zweite Integrität von einer zweiten Recheneinheit (132) bestimmt wird (223), wobei die erste Recheneinheit (131) und/oder die zweite Recheneinheit (132) mit einer dritten Recheneinheit (113) in Kommunikationsverbindung stehen und wobei von der dritten Recheneinheit (113) der automatische Eingriff (230) in die Fahrzeugführung durchgeführt wird.
Verfahren nach Anspruch 2, wobei die erste Recheneinheit (131) und/oder die zweite Recheneinheit (132) jeweils als eine fahrzeugfremde Recheneinheit ausgebildet sind und/oder wobei die dritte Recheneinheit (113) als eine fahrzeugeigene Recheneinheit ausgebildet ist.
Verfahren nach einem der vorstehenden Ansprüche, wobei die erste Integrität im Zuge der ersten Auswertung (210) und/oder die zweite Integrität im Zuge der zweiten Auswertung (220) jeweils bestimmt werden, indem aus den ersten Sensordaten erste Poseinformationen bestimmt werden, welche eine Position und/oder eine Orientierung des Fahrzeugs (110) zu einem Referenzzeitpunkt beschreiben (211, 221), aus den zweiten Sensordaten zweite Poseinformationen bestimmt werden, welche die Position und/oder die Orientierung des Fahrzeugs (110) zu dem Referenzzeitpunkt beschreiben (211, 221), die ersten Poseinformationen und die zweiten Poseinformationen miteinander verglichen werden (212, 222) und aus diesem Vergleich die jeweilige Integrität der ersten Sensordaten und der zweiten Sensordaten bestimmt wird (213, 223).
Verfahren nach Anspruch 4, wobei die ersten Poseinformationen und/oder die zweiten Poseinformationen mit Umgebungsinformationen verglichen werden, welche eine Umgebung (100) des Fahrzeugs (110) zu dem Referenzzeitpunkt beschreiben, und wobei aus diesem Vergleich die jeweilige Integrität der ersten und zweiten Sensordaten bestimmt wird (213, 223).
Verfahren nach Anspruch 5, wobei ein Abstand des Fahrzeugs (110) zu einem Referenzpunkt (102) der Umgebung (100) als erste Poseinformationen und/oder zweite Poseinformationen bestimmt werden (211, 221).
Verfahren nach Anspruch 5 oder 6, wobei eine Position und/oder Orientierung des Fahrzeugs (100) in einem Koordinatensystem (341, 342) als erste Poseinformationen und/oder zweite Poseinformationen bestimmt werden.
Verfahren nach einem der vorstehenden Ansprüche, wobei in Abhängigkeit von der ersten Integrität und/oder der zweiten Integrität bestimmt wird, wie stark der automatische Eingriff in die Fahrzeugführung durchgeführt wird (232).
Verfahren nach einem der vorstehenden Ansprüche, wobei ein Eingriff auf eine Längs- und/oder Querführung des Fahrzeugs (110) und/oder auf eine Bremse und/oder auf einen Antrieb in Abhängigkeit von den ersten Sensordaten und von den zweiten Sensordaten als automatischer Eingriff in die Fahrzeugführung durchgeführt wird (233).
Verfahren nach einem der vorstehenden Ansprüche, wobei der automatische Eingriff (230) in die Fahrzeugführung des Fahrzeugs (110) im Zuge eines autonomen Fortbewegens und/oder im Zuge eines automatisierten Einparkens durchgeführt wird.
Verfahren nach einem der vorstehenden Ansprüche, wobei der erste Sensor und/oder der zweite Sensor als Kamera (121, 122) und/oder Radargerät und/oder Lidargerät und/oder als Lenkwinkelsensor und/oder Raddrehzahlsensor und/oder Beschleunigungssensor und/oder Drehratensensor und/oder Inertialsensor ausgebildet sind.
Recheneinheit (113, 131, 132), die dazu eingerichtet ist, ein Verfahren nach einem der vorstehenden Ansprüche durchzuführen.
Computerprogramm, das eine Recheneinheit (113, 131, 132), dazu veranlasst, ein Verfahren nach einem der Ansprüche 1 bis 11 durchzuführen, wenn es auf der Recheneinheit ausgeführt wird.
Maschinenlesbares Speichermedium mit einem darauf gespeicherten Computerprogramm nach Anspruch 13.